Programa de lealtad y Ley 8968: qué exige la protección de datos en Costa Rica
Por Sebastián Villalobos, fundador de Fideliup · Actualizado el 29 de octubre de 2026
Si tu programa de lealtad guarda el nombre, el teléfono o el correo de tus clientes, estás tratando datos personales y te aplica la Ley 8968. Lo esencial: informarles antes para qué usás sus datos y obtener su consentimiento expreso, pedir un permiso aparte si les vas a mandar promociones, responder en 5 días hábiles si piden ver, corregir o borrar sus datos, no pedir datos sensibles y no vender ni compartir la lista. Una base de clientes de uso interno, que no se comercializa, no tiene que inscribirse ante la PRODHAB, pero la ley igual aplica.
Esta guía resume la Ley 8968 y su reglamento (Decreto 37554-JP) vigentes al 30 de octubre de 2026. La ley no ha sido reformada; hay proyectos en trámite en la Asamblea Legislativa, como el expediente 25.826. No es asesoría legal: para tu caso particular, consultá con un abogado.
¿Le aplica la Ley 8968 a mi programa de lealtad?
Sí. La ley protege «cualquier dato relativo a una persona física identificada o identificable» (art. 3.b). El nombre, el teléfono y el correo de un cliente lo son, y también su historial de compras o visitas cuando está ligado a él. Registrar, guardar y usar esos datos es «tratamiento» (art. 3.i).
Que tu base de clientes no tenga que inscribirse ante la PRODHAB no te exime: la PRODHAB aclara que una base no inscribible sigue sujeta a la normativa de protección de datos.
Qué informarle al cliente antes de registrarlo
La ley pide informar estos puntos de forma expresa, precisa e inequívoca, y obtener el consentimiento por escrito, en papel o en formato electrónico (art. 5). El consentimiento se puede revocar, y la prueba de que lo obtuviste te corresponde a vos (reglamento, art. 6): guardá el registro.
- Que existe una base de datos con sus datos.
- Para qué se usan (por ejemplo, operar el programa de lealtad).
- Quién los recibe o puede consultarlos, incluido tu proveedor de software.
- Si dar cada dato es obligatorio o voluntario.
- Cómo se van a tratar.
- Qué pasa si no los quiere dar.
- Que puede ejercer sus derechos de acceso, rectificación y supresión.
- Tu identidad y tu dirección como responsable.
Promociones: pedí un permiso aparte
Usar los datos para algo distinto de lo que el cliente autorizó es falta grave (art. 30.c), y el consentimiento debe referirse a finalidades determinadas (reglamento, art. 4). Si vas a mandarle promociones, informalo como finalidad y pedí su consentimiento específico; lo recomendable es una casilla aparte, sin marcar de antemano.
Para correo y otros envíos de venta directa aplica además el artículo 44 de la Ley General de Telecomunicaciones: hace falta consentimiento previo, el remitente tiene que estar identificado y el cliente tiene que poder darse de baja sin costo.
Los derechos de tus clientes
- Pedir acceso a sus datos, corregirlos o que los borres (art. 7).
- Revocar su consentimiento cuando quiera (art. 5.2).
- Que respondas gratis y en un plazo de 5 días hábiles, contados a partir del día siguiente a recibir la solicitud (art. 7; reglamento, art. 18). Conviene dar un acuse de recibo con la fecha.
¿Tengo que inscribir la base ante la PRODHAB?
Solo si se administra «con fines de distribución, difusión o comercialización» (art. 21). Una base de clientes que usás solo para tu propio programa y tus propias promociones, sin venderla ni compartirla con terceros, es una base interna, y el reglamento dice que no se inscribe (reglamento, arts. 2.c y 44).
Si vendés, intercambiás o compartís la lista con terceros con un fin comercial, la base pasa a ser inscribible, necesitás el consentimiento de tus clientes para esa transferencia y se paga un canon anual (art. 33; reglamento, arts. 78 a 81).
Datos que no tenés que pedir
Los datos sensibles (salud, religión, vida sexual, origen racial, opiniones políticas, entre otros) no se pueden pedir ni tratar (arts. 3.e y 9.1), y hacerlo siendo un comercio privado es falta gravísima (art. 31.a). En un salón de belleza, por ejemplo, no anotes alergias ni condiciones de salud en la ficha del programa de lealtad.
Tu proveedor de software y la seguridad
Pasarle los datos a un proveedor que los procesa por cuenta tuya, como la plataforma de tu programa de lealtad, no se considera una transferencia (reglamento, art. 40), pero vos seguís siendo responsable y tenés que verificar que cumpla medidas de seguridad mínimas (reglamento, art. 29). Si el proveedor aloja los datos fuera de Costa Rica, conviene informarlo en tu aviso.
La ley exige medidas técnicas y organizativas de seguridad (art. 10). Si hay una filtración, tenés que avisar a los clientes afectados en 5 días hábiles (reglamento, art. 38).
Qué hace Fideliup y qué te toca a vos
- Fideliup: al registrarse, el cliente acepta los términos y la política de privacidad de Fideliup con una casilla.
- Fideliup: desde el panel podés exportar la lista de clientes a CSV y eliminar a un cliente con todo su historial, para responder pedidos de acceso o supresión.
- Fideliup: aloja los datos en proveedores de nube en Estados Unidos (Vercel y Neon), y lo informa en su política de privacidad.
- Vos: informar tu identidad, tu dirección y para qué usás los datos, por ejemplo en un rótulo junto al QR de inscripción.
- Vos: pedir un permiso aparte antes de mandar promociones.
- Vos: responder en 5 días hábiles los pedidos de tus clientes y no vender ni compartir la lista.
Sanciones
Las faltas leves se multan con hasta 5 salarios base; las graves, con 5 a 20; y las gravísimas, con 15 a 30, más la posible suspensión del fichero de uno a seis meses (art. 28). El salario base es el del cargo de auxiliar judicial I.
Para elegir el tipo de programa, mirá la guía sobre programas de lealtad; para comparar plataformas y precios, la comparativa de apps de fidelización.
Fuentes
Creá tu programa de lealtad hoy
Tarjetas de sellos y cashback en el Wallet de tus clientes. Lo configurás vos en 5 minutos y lo probás 30 días gratis, sin tarjeta.
Crear mi programa gratisPreguntas frecuentes
¿Tengo que inscribir mi programa de lealtad ante la PRODHAB?
No, si la base de clientes es de uso interno: la usás solo para tu programa y tus promociones, sin venderla ni compartirla con terceros. Solo se inscriben las bases con fines de distribución, difusión o comercialización (art. 21 de la Ley 8968 y art. 44 del reglamento).
¿Puedo mandarle promociones a los clientes de mi programa de lealtad?
Sí, si les informaste esa finalidad y te dieron su consentimiento específico para recibirlas, con una forma de darse de baja sin costo. Lo recomendable es pedirlo con una casilla aparte del registro.
¿Cuánto tiempo tengo para responder si un cliente pide borrar sus datos?
Cinco días hábiles, contados a partir del día siguiente a recibir la solicitud, y la respuesta es gratuita (art. 7 de la Ley 8968 y art. 18 del reglamento).
¿Qué pasa si no cumplo la Ley 8968?
La PRODHAB puede imponer multas: hasta 5 salarios base por faltas leves, de 5 a 20 por graves y de 15 a 30 por gravísimas, además de una posible suspensión del fichero (art. 28).