Guardar la tarjeta de un cliente sin meterte en un lío: RGPD, PSD2 y tokenización

Apuntar el número de la tarjeta de un cliente en una libreta, en una hoja de Excel o en el campo de notas de tu agenda es una de esas cosas que parecen prácticas y son un problema serio. No solo por la ley de protección de datos: también por los estándares de seguridad que rigen el uso de tarjetas y por el riesgo puro de que esos datos acaben donde no deben. La buena noticia es que hacerlo bien no exige ser experto en nada. Exige, sobre todo, no guardar tú el número.

Por qué no puedes anotar la tarjeta y ya está

Los datos de una tarjeta (número, caducidad, código de seguridad) están entre la información más sensible que manejas. Guardarlos por tu cuenta te mete en dos terrenos a la vez.

Uno es el de la normativa de protección de datos (el RGPD europeo y la ley española que lo desarrolla). Los datos de pago son datos personales, y tratarlos exige cumplir principios que veremos abajo. Otro, menos conocido pero igual de real, es el de los estándares de seguridad de la industria de tarjetas (el conjunto de normas conocido como PCI-DSS). Almacenar números de tarjeta te obliga a cumplir requisitos técnicos de seguridad pensados para bancos y pasarelas, no para el mostrador de una consulta. Anotarlos en papel o en una hoja sin cifrar incumple casi todo de golpe.

Y luego está lo obvio: una libreta se pierde, un ordenador se infecta, un correo se reenvía por error. El día que esos números acaban donde no deben, el responsable eres tú.

La forma correcta: tokenización

La solución que usa todo el mundo que hace esto bien se llama tokenización, y es más sencilla de lo que suena. En lugar de guardar tú el número de la tarjeta, se lo pasas a una pasarela de pago certificada (Stripe es el estándar) que lo custodia en sus sistemas seguros y te devuelve a cambio un "token": una referencia que no sirve para nada fuera de esa pasarela y que no es el número real.

Con ese token puedes cobrar cuando corresponda, pero tú nunca ves ni almacenas los dígitos de la tarjeta. Si te roban la base de datos, no hay nada que robar: solo referencias inútiles. Es exactamente lo que hace la tarjeta de garantía: el cliente introduce sus datos en el entorno seguro de la pasarela, no en tu cuaderno.

A esto se añade la autenticación reforzada que exige la normativa europea de pagos (PSD2/SCA): cuando el cliente registra su tarjeta, verifica que es suya con su banco. No es un trámite molesto; es la capa que protege tanto al cliente como a ti frente a fraudes y reclamaciones.

Los principios del RGPD que sí te tocan

Aunque no guardes el número, sí tratas datos personales (nombre, contacto, el hecho de que hay una tarjeta asociada), y ahí el RGPD pide algunas cosas de sentido común:

• Finalidad y minimización: recoges esos datos solo para gestionar la cita y la posible garantía, y no guardas más de lo necesario.
• Información y consentimiento: el cliente sabe para qué se usa su tarjeta (garantizar la reserva, cobrar solo si no acude) y lo acepta antes de reservar.
• Seguridad: los datos sensibles los custodia una pasarela certificada, no tú.
• Constancia: conviene poder demostrar qué información diste y que el cliente la aceptó. Esto no solo cumple con protección de datos; también te defiende si el cliente reclama el cargo a su banco.

La autoridad de referencia en España para todo esto es la Agencia Española de Protección de Datos (AEPD), cuya web es un buen sitio para orientarte si tienes dudas concretas.

Lo que esto significa en la práctica

Si quieres poder cobrar una ausencia, no necesitas montar una caja fuerte de datos ni convertirte en experto en seguridad de pagos. Necesitas apoyarte en una herramienta que tokenice la tarjeta y que te deje constancia del consentimiento. Con eso, la parte técnica y legal está resuelta y tú te dedicas a lo tuyo.

Lo que no debes hacer, bajo ningún concepto, es seguir anotando números "para tenerlos a mano". Es incómodo de oír porque mucha gente lo hace, pero es justo el hábito que te expone a una sanción y a un disgusto. La alternativa correcta existe, es fácil y protege a todos. Y encaja con el resto de tu estrategia para reducir las ausencias y para cobrarlas de forma legal cuando toque.