Tarjetas de puntos, ¿actividad vulnerable?