¿Qué datos míos ve quien me invita con su código?

El código no es una llave que abre tus datos. Es un identificador que la marca usa para saber a quién atribuir el premio. Quien te invita comparte un código o un enlace; quien decide qué se hace con la información de tu alta es la entidad que gestiona el programa, y la ley le pone límites.

Qué es: el responsable es la marca

En todos los programas que hemos leído, el responsable del tratamiento es la entidad, no el cliente que invita. PayPal lo dice en sus condiciones: tus datos personales «serán tratados por parte de PayPal (Europe) S.à.r.l et Cie, S.C.A. para gestionar tu participación en el Programa». Openbank lo dice igual en sus bases: Open Bank, S.A., «en calidad de responsable», trata los datos para gestionar la participación, verificar el cumplimiento de las condiciones y comunicarse con el participante.

Que el responsable sea la marca cambia a quién le pides explicaciones. Si algo va mal con tus datos, el interlocutor es la entidad, no la persona que te pasó el código.

Cómo funciona: qué viaja cuando usas un código

1. El código identifica al que invita. Es un identificador personal o de campaña. Por eso las bases suelen decir que cada código se usa una sola vez y que no se puede cambiar después del alta.
2. La marca atribuye tu alta a ese código. Ese es el dato que hace posible el premio: la relación entre la invitación y tu registro.
3. La marca comprueba tus condiciones. Nómina, ingreso, compras, Bizum. No lo comprueba el que te invitó: lo comprueba la entidad, que es la que ve tu cuenta.
4. La marca paga el premio. Al que invita, a ti o a los dos, según el programa. Openbank, por ejemplo, paga hasta 70 € netos a cada uno.
5. Si algo falla, reclamas a la marca. El que te invitó no puede consultar tu expediente ni desbloquear tu pago.

Cuando tus datos llegan por otra persona

El RGPD tiene una regla específica para este caso. Si los datos no se han obtenido de ti, el artículo 14 obliga al responsable a facilitarte:

• la identidad y el contacto del responsable;
• los fines del tratamiento y su base jurídica;
• las categorías de datos que se tratan;
• los destinatarios o categorías de destinatarios;
• la fuente de la que proceden los datos;
• el plazo de conservación y tus derechos.

Y el plazo no es indefinido: la información debe llegar «dentro de un plazo razonable, una vez obtenidos los datos personales, y a más tardar dentro de un mes».

Dato: el artículo 5 obliga además a que los datos sean «adecuados, pertinentes y limitados a lo necesario» para el fin. Un programa que paga por una invitación no necesita tu historial de compras para saber si la invitación existió.

Lo que dice cada marca, en una tabla

Leído en las bases de cada programa el 25 de octubre de 2026, y las de N26 el 5 de noviembre de 2026.

ING es la que más detalla: sus bases dan el contacto de su delegado de protección de datos, dpo@ing.es, y un buzón para ejercer tus derechos, proteccion.datos@ing.es.

La letra pequeña

Lo que el que invita ve es un estado, no un expediente. Para cobrar necesita saber si la invitación ha producido premio. Eso es un resultado: registrado, pendiente, completado. No es tu extracto.

Las bases que hemos leído no incluyen tu saldo ni tus movimientos entre los fines. PayPal declara como fin gestionar tu participación; Openbank, gestionar la promoción, verificar condiciones, comunicarse contigo y entregar el premio; ING dice que tratará y conservará los datos «durante el plazo máximo legal desde la finalización de la Promoción, para hacer frente a cualquier responsabilidad». Ninguna añade «mostrar información del invitado al que invita».

Un email que das al invitar no es lo mismo que un código. Si el programa pide a tu amigo tu correo para enviarte la invitación, ese dato sí pasa por la marca y por la persona que invita. Es la única vía por la que tus datos llegan antes que tú.

El derecho de acceso es tuyo. Se pide a la marca, y la respuesta debe incluir los fines, las categorías de datos y los destinatarios. La Ley Orgánica 3/2018 desarrolla cómo ejercerlo. Openbank publica incluso el buzón en sus bases: privacy@openbank.es.

Nadie necesita tu DNI para una invitación. En las bases que hemos leído no hay ningún trámite que exija entregar tu documento o un extracto a la otra persona. Si alguien lo pide «para validar» el premio, no es el programa.

Qué hacer

• Usa el código sin dar más de lo necesario. Con el código o el enlace basta. Si te piden datos que las bases no mencionan, no los des.
• Mira la política de privacidad antes del alta. Ahí están los fines, los destinatarios y el plazo. Es el documento que responde a esta pregunta para cada marca concreta.
• Si quieres saber qué consta, pide acceso. Dirígete al responsable que figura en la política de privacidad o en las bases, no al que te invitó.
• Revisa cómo se atribuye la invitación. Si el premio depende de que el que invita introduzca tu email, ese es el dato que compartes. Lo explicamos en cómo usar un código como invitado.
• Para entender el resto del programa, mira las condiciones de un código de referido en España y cuándo abrir la cuenta para cobrar el bono. Y si quieres saber qué comprobamos nosotros antes de publicar un código, está en cómo verificamos.

Límites

Esto es información general, no asesoramiento jurídico. Hemos leído las bases de cuatro programas, no la política de privacidad completa de cada marca, que es la que rige tus datos fuera de la promoción.

Las bases describen fines, no pantallas: no dicen qué muestra cada app a quien invita. Para una marca concreta, la vía es pedir el acceso a tus datos.

Y si crees que una marca ha usado tus datos para algo que no te contó, el artículo 77 del RGPD te permite reclamar ante una autoridad de control. En España es la Agencia Española de Protección de Datos.