Resolución de la KVKK sobre tarjetas de fidelización: cómo verificar a los miembros en caja con OTP, QR y opt-in antes del 28 de febrero de 2027

Respuesta breve: La resolución de la KVKK sobre tarjetas de fidelización (resolución de principios 2026/266) pone fin a la práctica de usar una tarjeta de fidelización en la caja con solo dictar un número de teléfono o de tarjeta, sin comprobar que el miembro está al tanto y da su consentimiento. La KVKK es la autoridad de protección de datos personales de Turquía. Su Junta amplió el plazo de cumplimiento hasta el 28 de febrero de 2027 con la resolución 2026/1491. La verificación abarca cada uso de la tarjeta, incluidos crear una membresía, acumular puntos, canjear puntos y aplicar descuentos o promociones. La Junta cita como ejemplos estos métodos: un código de un solo uso enviado por SMS, un código de barras o QR en la aplicación o en el sitio web, una tarjeta física, un PIN de tarjeta en caja y un “opt-in” que el miembro selecciona en su cuenta en línea. Por tanto, el número de teléfono no desaparece de la caja; lo que desaparece es su uso sin verificar. El verdadero trabajo está en la acumulación de puntos y los descuentos, que, según la resolución, suelen funcionar sin ninguna verificación.

Escribimos esta guía para responsables de TI, CRM y comercio electrónico de cadenas minoristas y de franquicias que gestionan su programa de fidelización con sistemas de caja, CRM y aplicación móvil propios o parcialmente a medida. También resulta útil para marcas internacionales con tiendas en Turquía, ya sea de forma directa o a través de franquiciados. Si utiliza software de caja estándar, puede usar este artículo como lista de preguntas para su proveedor. Hemos leído las resoluciones en el Resmî Gazete (el Boletín Oficial de Turquía, donde se publican las leyes y las decisiones oficiales) y en los anuncios de la KVKK. Basamos nuestras recomendaciones técnicas en fuentes primarias como OWASP y el IETF. Nuestras recomendaciones son opciones de ingeniería, no asesoramiento jurídico. Cuando decimos “caja” o “POS”, nos referimos al software de venta en tienda y a la caja registradora fiscal (ÖKC) que se usan en las tiendas turcas; para los pagos en línea, consulte nuestra guía de integración de POS virtual. Este artículo está actualizado a fecha de 31 de octubre de 2026.

¿Qué dice la resolución de la KVKK sobre tarjetas de fidelización? Dos resoluciones en una tabla

La Junta (Kişisel Verileri Koruma Kurulu, el órgano decisorio de la KVKK) examinó este escenario: una tercera persona dicta en caja el número de teléfono o de tarjeta de un miembro. La compra se realiza con la tarjeta del miembro sin que se escriba ningún código de aprobación. Se emite una factura o un documento similar a nombre del miembro y los datos de la compra se registran en su cuenta. La resolución cita como sectores de ejemplo la alimentación, la cosmética, la tecnología, el bricolaje y la ropa.

Los tres ejes del razonamiento de la Junta afectan al diseño del software:

• Sin base jurídica: Cuando una tercera persona usa el número sin que el miembro lo sepa ni lo consienta, ninguna de las condiciones de tratamiento del artículo 5 de la Ley n.º 6698 puede justificarlo. Por ello constituye un tratamiento ilícito de datos.
• Un registro erróneo también es una infracción: Emitir un documento a nombre del miembro por una compra que no hizo, o anotar esa compra en su cuenta, vulnera el principio del artículo 4 según el cual los datos deben ser “exactos y, si fuera necesario, actualizados”. La cuestión no es solo quién obtiene el descuento, sino también qué se escribe en el perfil y en el documento.
• Un contrato no basta: Hacer responsable al miembro, mediante el contrato de membresía, de impedir que terceros usen la tarjeta no elimina la obligación de seguridad de los datos del artículo 12.

Según las constataciones de la Junta, la membresía y el canje de puntos ya suelen verificarse con un código SMS o con un código de barras o QR de la aplicación. Lo que funciona sin verificación es el flujo de descuentos, promociones y acumulación de puntos. Por tanto, el verdadero trabajo está en este flujo, que además es el que más se repite.

El margen que deja la resolución: La lista de métodos termina en “etc.” y el responsable del tratamiento decide qué mecanismo usar. Los números de teléfono no están prohibidos: las operaciones para las que el miembro haya dado su opt-in pueden realizarse solo con el número. La resolución se centra en la caja de la tienda física. Aplicar la misma lógica al centro de llamadas es una recomendación nuestra, no una obligación escrita en la resolución.

Plazo y sanciones: A 31 de octubre de 2026, los anuncios de la KVKK y su lista de resoluciones de principios no muestran ninguna nueva prórroga ni modificación, y quedan 120 días hasta la fecha límite. El plazo ya se amplió una vez a petición del sector, así que siga de cerca los anuncios. Quienes no cumplan se enfrentarán a medidas conforme al artículo 18 de la Ley n.º 6698. No citamos aquí importes de multas porque, según el apartado 7 del artículo 17 de la Ley de Faltas (Kabahatler Kanunu), las multas administrativas se incrementan cada año con la tasa de revalorización.

¿Qué 5 métodos de verificación enumera la Junta y cuál es su costo de ingeniería?

Los métodos persiguen el mismo fin, pero imponen cargas distintas a la caja, al presupuesto y al equipo de soporte. La siguiente valoración es nuestra propia visión de ingeniería:

La conclusión práctica: ofrecer al menos dos métodos cubre tanto a los distintos grupos de clientes como los escenarios de interrupción del servicio.

¿Hace falta un código SMS en cada operación? Matriz de verificación por tipo de operación

No. La resolución indica expresamente que pueden elegirse mecanismos distintos según el tipo de operación (verificación de la membresía; acumulación de puntos, descuentos y promociones; canje de puntos) y el nivel de riesgo. Nuestro punto de partida sugerido:

Esta matriz es una opción de ingeniería, no una garantía jurídica. La evaluación de riesgos y la elección del método corresponden al responsable del tratamiento.

Diseñe el opt-in como una regla del servicio de verificación, no como una excepción. Si el miembro ha autorizado un tipo de operación, el servicio acepta esa operación con el número. Si no, recurre al método de la matriz. Recomendamos mantener desactivado por defecto el opt-in para el canje de puntos.

Arquitectura de referencia: ¿cómo deben funcionar juntos la caja, el CRM, el SMS y la facturación e-Arşiv?

La decisión de diseño más importante es dónde se aplica la regla. Si la regla reside en la pantalla de caja, cada versión de caja y cada franquicia se convierte en un punto débil por sí misma. Recomendamos situar la regla en la API de escritura del sistema de fidelización/CRM: sin un token de verificación válido, se rechazan las escrituras de puntos, descuentos personales y datos de perfil.

1. Caja (software POS y ÖKC): Localiza al miembro por número, tarjeta o código QR. Hasta que se completa la verificación, muestra datos enmascarados, no el nombre del miembro.
2. Servicio de verificación: Abre una sesión vinculada a la cesta de compra, lee las preferencias de opt-in y genera un código SMS o comprueba el código QR, la tarjeta o el PIN. Si la verificación es correcta, devuelve un token de corta duración y de un solo uso.
3. Fidelización/CRM: Escribe puntos, descuentos y datos de compra únicamente con este token.
4. Proveedor de SMS: Solo se le llama a través del servicio de verificación.
5. Aplicación móvil y web: Muestran el código QR, las preferencias de opt-in y el aviso informativo.
6. Flujo de documentos: Los datos del comprador se completan a partir del perfil solo en operaciones verificadas. Según la GİB, la Administración Tributaria de Turquía, un vendedor que usa el sistema e-Arşiv emite las facturas como e-Arşiv Fatura (factura de archivo electrónico) a los compradores no registrados en e-Fatura, el sistema de factura electrónica. Esto incluye a los consumidores que no son contribuyentes. Si su ERP completa automáticamente los datos del comprador a partir del perfil, vincule también este paso al token de verificación.

Si sus datos de fidelización residen en su propio sistema CRM, la comprobación se agrega allí. Si usa una plataforma estándar, pida lo mismo a su proveedor. Comparamos las opciones de integración de documentos electrónicos en nuestro artículo sobre la integración de ERP y factura electrónica.

Cuando falla la verificación: complete la venta de forma anónima en lugar de detenerla

Si la verificación falla, la venta no se detiene; lo que debe detenerse es toda escritura que pertenezca al miembro. La regla que recomendamos: se completa el pago, no se aplican descuentos personales ni puntos, no se escribe nada en el perfil y no se emite ningún documento a nombre del miembro. Quien desee un documento facilita sus propios datos. A un miembro que no quiera perder los puntos se le puede ofrecer la opción de reclamarlos más tarde en su propia aplicación, con un código de un solo uso impreso en el recibo. Así, la escritura procede de la cuenta verificada del propio miembro. Prepare también de antemano lo que dirá el personal de caja en esta situación.

¿Qué ocurre si la caja se queda sin conexión?

Si se cae la conexión o el proveedor de SMS, la opción predeterminada más segura es la venta anónima. Como advierte OWASP, un mecanismo alternativo no debe ser más débil que el método principal. Por eso, “usemos solo el número por ahora” no es una solución. Supongamos que los puntos sin conexión son un requisito comercial y que su aplicación usa un código rotativo basado en el tiempo (TOTP). En ese caso, la caja almacena el código escaneado y la hora del escaneo. Cuando vuelve la conexión, el servicio verifica el código con respecto a esa hora y solo entonces se abonan los puntos. Este enfoque exige que el reloj de la caja sea exacto y que el personal de caja no pueda cambiarlo. Aun así, no se emite ningún documento a nombre del miembro. Para el SMS, configure la conmutación automática a un segundo proveedor.

¿Cómo reforzar los códigos SMS y los códigos QR de la aplicación?

El texto del SMS: cómo estructurarlo conforme a la resolución 2025/1072

La resolución de principios 2025/1072 de la KVKK establece este marco para los códigos de verificación por SMS:

• El personal explica primero con claridad para qué sirve el SMS y qué significa facilitar el código. El SMS incluye además un canal para obtener más información.
• La aprobación de la membresía, el permiso para tratar datos y el consentimiento para recibir comunicaciones comerciales electrónicas (el término jurídico turco para los mensajes de marketing) no se recopilan con un único código. Se ofrece una opción separada para cada actividad de tratamiento que requiera consentimiento explícito.
• El consentimiento para comunicaciones comerciales no se presenta como condición de la venta. Se solicita una vez completada la venta, o bien el mensaje indica claramente que el código es opcional, que la venta se realizará incluso sin el código y que las preferencias pueden cambiarse en cualquier momento.
• El personal que interviene en estos procesos recibe formación periódica.

En otras palabras, el código de verificación debe tener una única finalidad. Texto de ejemplo (traducido del turco): “[MARCA]: Su código para aprobar el uso de su tarjeta de fidelización en la caja de [Tienda] es 482913. Válido durante 3 minutos. Compártalo solo si aprueba esta operación. Información: [enlace corto]”. Los caracteres turcos pueden modificar el número de segmentos del mensaje y, por tanto, el costo, así que haga pruebas con su proveedor.

Límites de caducidad, intentos y costo

Según la guía de OWASP sobre autenticación multifactor, enviar mensajes SMS cuesta dinero y los atacantes pueden solicitar grandes cantidades de mensajes para agotar su presupuesto. El SMS también está expuesto al duplicado de SIM, a las vistas previas en la pantalla de bloqueo y a las aplicaciones maliciosas. Los controles que recomendamos:

• El código se genera y se verifica en el servidor. Es de corta duración y de un solo uso, nunca se almacena en texto plano y nunca aparece en los logs.
• Un límite de intentos erróneos y un tiempo de espera antes de poder reenviar un código.
• Límites por hora por número, por caja y por tienda, además de una alerta cuando una caja solicita códigos para distintos números uno tras otro.
• Una alerta de umbral sobre el presupuesto diario de SMS. Si el servicio también se usa en la web y en la aplicación, limitación de frecuencia (rate limiting) y protección contra bots en esos endpoints.

Los identificadores de remitente, un proveedor de respaldo y los registros de consentimiento son tarea de su infraestructura de mensajería multicanal. Mantenga los SMS de verificación en un flujo separado de los envíos de marketing.

Código QR de la aplicación: ¿código de barras estático o TOTP?

La resolución menciona un código de barras o QR en la aplicación o en el sitio web. No distingue entre códigos estáticos y dinámicos ni exige que el código sea “dinámico”. Sin embargo, cualquiera puede hacer una captura de pantalla de un código de barras estático y compartirla. Si desea cerrar esta brecha, existe un estándar consolidado: la contraseña de un solo uso basada en el tiempo (TOTP) de la RFC 6238. El código se renueva con una clave secreta del dispositivo y el reloj; el intervalo predeterminado recomendado es de 30 segundos. La verificación se hace en el servidor, se admite una tolerancia limitada por desfase del reloj y el mismo código nunca se acepta dos veces. El costo es la distribución de claves y un flujo de renovación para las aplicaciones reinstaladas. Diseñar esto en la aplicación móvil desde el principio es más barato que agregarlo después como parche. Si opta por un diseño en el que los clientes escanean un código QR en la tienda, tenga en cuenta también la advertencia de la KVKK sobre el quishing (phishing mediante códigos QR).

¿Cómo diseñar la pantalla de opt-in y qué hacer con los clientes sin teléfono?

El miembro da el opt-in en su cuenta en línea. Allí elige cuáles de estas operaciones pueden realizarse solo con el número: acumulación de puntos, descuentos y promociones, y canje de puntos. Diseñe la pantalla conforme a la resolución de principios 2026/347. El aviso informativo (aydınlatma metni) y el texto de consentimiento explícito (açık rıza) se presentan con encabezados separados y declaraciones separadas. En el aviso informativo, se pide al miembro que confirme que lo ha leído, no que lo apruebe. El lenguaje es sencillo. Si el tratamiento se apoya en una base jurídica distinta del consentimiento explícito, solo se facilita el aviso informativo. Aclare con su equipo jurídico la naturaleza legal del opt-in: ¿es una preferencia en virtud del contrato o un consentimiento explícito? Nuestras recomendaciones para la pantalla:

• Un interruptor independiente para cada tipo de operación, todos desactivados por defecto.
• Una nota de riesgo de una frase junto a cada interruptor: “Si activa esta opción, cualquier persona que conozca su número podrá realizar esta operación en caja”.
• Desactivar un interruptor es tan fácil como activarlo. Cada cambio se registra con una marca de tiempo y se notifica al miembro.
• El consentimiento de marketing no aparece en esta pantalla.

Alternativas para distintos grupos de clientes

La KVKK indica que pueden ofrecerse mecanismos alternativos para tener en cuenta diferencias como la edad, el nivel educativo, la situación económica y la alfabetización tecnológica. Para un miembro sin teléfono inteligente, la vía más sencilla es una tarjeta física. Para un miembro cuyo teléfono básico puede recibir SMS, es un código SMS. Si opta por un PIN, el miembro no se lo dice al personal de caja, sino que lo escribe personalmente en el dispositivo. El PIN no se almacena en texto plano; se almacena con un algoritmo de hash lento y con sal (salt). Los PIN cortos son fáciles de adivinar, por lo que también se limita el número de intentos erróneos. Evite la verificación facial o por huella dactilar: según el artículo 6 de la Ley n.º 6698, los datos biométricos son datos personales de categoría especial. Su tratamiento está prohibido y solo es posible si se cumple alguna de las condiciones enumeradas en dicho artículo.

Cómo cumplir la resolución de la KVKK sobre tarjetas de fidelización: registro de auditoría y plan de 120 días

Un registro de auditoría mínimo

La Guía de Seguridad de Datos Personales de la KVKK considera necesario registrar periódicamente la actividad transaccional de todos los usuarios (por ejemplo, en forma de logs). La tabla de medidas técnicas de la guía incluye además una matriz de autorización, logs de acceso, enmascaramiento de datos y gestión de claves. Los campos mínimos que recomendamos para el servicio de verificación:

• Hora; identificadores de tienda, caja, personal de caja y cesta de compra
• Identificador seudonimizado y número enmascarado del miembro
• Tipo de operación, método, resultado (correcto, código erróneo, tiempo agotado, sin conexión, venta anónima), número de intentos
• Versión de la preferencia de opt-in aplicada; número de documento, si lo hay

El código en sí y el número completo nunca se escriben en el log. Defina el acceso mediante su matriz de autorización y el período de conservación mediante su política de destrucción de datos.

Plan paso a paso del 31 de octubre de 2026 al 28 de febrero de 2027

1. Días 1–15, inventario: Enumere todos los puntos en los que el número por sí solo abre una operación (cajas de tiendas y franquicias, comercio electrónico, centro de llamadas). Apruebe la matriz e inicie el trabajo sobre los textos legales con su equipo jurídico.
2. Días 16–60, desarrollo: El servicio de verificación, los tokens obligatorios en el CRM, la plantilla y los límites de SMS, el código QR, la pantalla de opt-in, las ventas anónimas y los logs.
3. Días 61–90, tienda piloto: En las horas de mayor afluencia, mida el tiempo que la verificación agrega en caja, el tiempo de entrega de los SMS y la tasa de verificaciones fallidas. Corte la conexión a propósito para probar el flujo sin conexión. La formación del personal de caja se cierra en esta etapa.
4. Días 91–120, despliegue: Despliegue por grupos de tiendas, supervise los indicadores a diario y deje un margen antes de la fecha límite.

Proveedores: Según el apartado 2 del artículo 12 de la Ley n.º 6698, si otra parte trata los datos en su nombre, usted responde solidariamente con ella de las medidas de seguridad. Revise sus contratos de caja, CRM, aplicación y SMS. Si utiliza software estándar, pregunte a su proveedor:

• ¿Qué métodos de verificación admiten y admiten la preferencia de opt-in?
• Si falla la verificación, ¿se bloquean las escrituras en los puntos, el perfil y los documentos?
• ¿Disponen de límites de SMS, una alerta de presupuesto y un registro de auditoría exportable?

Cómo le ayuda Partnerfy

Comenzamos un proyecto así en la caja. En una tienda piloto, observamos la hora de mayor afluencia y trazamos qué escriben hoy el número, la tarjeta y el código QR en cada sistema. Después construimos el servicio de verificación como una capa de API independiente del software de caja y vinculamos la regla al punto de escritura del sistema de fidelización/CRM. Así, las distintas versiones de caja y las franquicias siguen la misma regla. En cuanto al SMS, configuramos límites, un proveedor de respaldo y registros de consentimiento con proveedores turcos como NetGSM, Verimor e İletimerkezi, y desarrollamos las pantallas de QR y opt-in en la aplicación. No redactamos los textos legales; colocamos correctamente en las pantallas y plantillas los textos que su abogado haya aprobado. Para hablar del alcance, póngase en contacto con nosotros o consulte nuestro enfoque de integración de API.

Fuentes

• Resmî Gazete, 28 de febrero de 2026, n.º 33182: resolución de principios 2026/266 (en turco)
• KVKK: anuncio de la resolución de principios sobre tarjetas de fidelización (en turco)
• Resmî Gazete, 13 de agosto de 2026, n.º 33339: resolución 2026/1491 (en turco)
• KVKK: anuncio sobre la prórroga del plazo de cumplimiento (en turco)
• KVKK: resolución de principios 2025/1072 sobre códigos de verificación por SMS (en turco)
• KVKK: anuncio de la resolución de principios 2026/347 (en turco)
• KVKK: listas de anuncios y de resoluciones de principios (en turco)
• Ley n.º 6698 de Protección de Datos Personales (en turco)
• Ley n.º 5326 de Faltas (en turco)
• KVKK: Guía de Seguridad de Datos Personales, abril de 2025 (en turco)
• OWASP: Multifactor Authentication Cheat Sheet
• IETF RFC 6238: TOTP
• GİB (Administración Tributaria de Turquía): información sobre la e-Arşiv Fatura (en turco)
• KVKK: el riesgo que traen los códigos QR: quishing (en turco)

Preguntas frecuentes