La idea que ho ordena tot: cada dada té una base
L’error de concepte més comú és creure que tot requereix consentiment. No: la major part de les dades que tracta un hotel es recolzen en bases millors que el consentiment, i convé tenir clar quina sustenta cada cosa:
| Tractament | Base legal |
|---|---|
| Dades de la reserva i l’estada | Execució del contracte |
| Registre de viatgers i comunicació a l’autoritat | Obligació legal |
| Factura amb dades fiscals | Obligació legal |
| Enviar-li ofertes després de l’estada | Consentiment (o interès legítim, amb matisos) |
La conseqüència pràctica: per allotjar algú no necessites que signi cap consentiment — necessites informar-lo de què fas amb les seves dades. Per enviar-li publicitat, sí que necessites el seu permís, i la casella ha d’estar sense marcar. El check-in online és el lloc natural per a totes dues coses: el text informatiu i la casella de màrqueting, separats.
El DNI: mirar sí, acumular no
El registre de viatgers t’obliga a recollir les dades del document; no t’obliga a quedar-te fotocòpies o fotos del document per sempre. La pràctica defensable és capturar les dades (i la imatge, si el teu procés la fa servir per verificar), conservar-les el termini del registre, i que el sistema les purgui després. Un calaix —físic o digital— amb anys de DNIs escanejats sense data de caducitat és de les troballes que més cares surten en una inspecció.
Els terminis, de fet, ja te’ls dona la norma: la documentació del registre de viatgers es conserva tres anys; les factures, els terminis fiscals i mercantils. El que no té termini definit és el que no hauries d’estar guardant.
Les targetes no s’apunten
Encara es veu: la targeta de l’hoste apuntada en un paper, en un correu o al camp «observacions» del PMS per «garantir» la reserva. A més del RGPD, això incompleix les normes de seguretat de pagaments. Les dades de targeta viuen a la passarel·la de pagament —tokenitzades, amb enllaços de pagament o càrrecs gestionats per la plataforma—, mai en text als teus sistemes. Si avui hi ha targetes apuntades al teu PMS, el primer projecte de protecció de dades del teu hotel és esborrar-les i canviar el procés.
Els papers mínims, sense teatre
Per a un hotel petit, l’expedient RGPD raonable cap en poc:
- Registre d’activitats de tractament: l’inventari de quines dades tractes, per a què, amb quina base i quant de temps les guardes. És el document que ordena tots els altres.
- Informació a l’hoste: al web, al motor de reserves i al check-in. Clara i en els idiomes en què vens.
- Contractes d’encarregat amb els teus proveïdors que toquen dades: el PMS, el channel manager, la passarel·la, l’assessoria. Un proveïdor seriós te’l dona fet; que no el tingui és un senyal.
- Un procediment per a drets i bretxes: qui respon si un hoste demana les seves dades o la seva supressió (hi ha un mes de termini), i què es fa si es perd un portàtil o entra un ransomware — la bretxa amb risc es notifica a l’AEPD en 72 hores.
La videovigilància, si n’hi ha, amb el seu cartell i sense enfocar on no toca; el wifi d’hostes, amb un proveïdor que no faci negoci a part amb la navegació dels teus clients.
On viu la meitat del compliment
Bona part de tot això no es resol amb documents sinó amb el software triat: control d’accessos per usuari a recepció, dades xifrades, purgues automàtiques en vèncer els terminis, servidors a la UE, i un proveïdor que signi el seu contracte d’encarregat sense que l’hagis de perseguir. És el tipus de coses que es comproven abans de contractar —a la nostra pàgina de seguretat hi ha el que nosaltres mateixos apliquem— i que converteixen el RGPD en infraestructura en lloc de en burocràcia anual.
L’objectiu final és poc èpic i molt valuós: que si un hoste, un empleat ressentit o una inspecció pregunten «què feu amb les meves dades?», la resposta estigui escrita, sigui curta i sigui veritat.