Publicado originalmente en 2017. Revisión editorial: 8 de octubre de 2026. Se han revisado las referencias al RGPD, a los datos de menores y a PCI DSS. La seguridad del motor y las prácticas del equipo siguen siendo el tema central.
El motor de reservas conecta información de huéspedes, condiciones comerciales y pagos. Su seguridad debe valorarse junto con los procedimientos del hotel y los servicios de sus proveedores. El cumplimiento normativo no elimina por sí solo los riesgos de un ciberataque.
Por qué revisar la seguridad del motor y del equipo
Al incorporar tecnología para vender directamente conviene revisar también quién puede acceder a los datos, qué información se comparte y cómo se resuelven las incidencias. No basta con valorar el diseño o el porcentaje de conversión.
El factor humano forma parte de esa revisión. Guardar tarjetas en documentos sin protección, enviar capturas con datos de huéspedes o compartir credenciales puede crear riesgos, aunque la plataforma contratada disponga de controles adecuados. El entorno online no es seguro por definición ni el trabajo offline es siempre inseguro: importa cómo se gestiona cada proceso.
Recomendamos acompañar la implantación con formación, permisos limitados y procedimientos claros. Al evaluar un proveedor, hay que pedir evidencias sobre el servicio contratado y definir responsabilidades; una declaración comercial de «máxima seguridad» no sustituye esa comprobación.
Qué aporta PCI DSS y qué documentación comprobar
PCI DSS establece requisitos técnicos y operativos para proteger datos de cuentas de pago. Su alcance depende de cómo se almacenan, procesan o transmiten esos datos. No equivale a una certificación general de cumplimiento del RGPD.
El PCI Security Standards Council advierte que los certificados comerciales no sustituyen sus formularios oficiales de validación, como las declaraciones de cumplimiento —AOC— o los documentos que correspondan a cada caso. Al revisar el motor y el proveedor de pagos, conviene comprobar el alcance y vigencia de la evidencia aportada. Véase su aclaración sobre documentación PCI DSS.
Protección de datos más allá del pago
El RGPD es aplicable desde el 25 de mayo de 2018. Además de la seguridad, el hotel debe revisar finalidades, base jurídica, información al huésped, conservación, derechos y relación con proveedores. La guía de la AEPD para responsables ofrece un punto de partida para organizar esa revisión.
Sanciones y gestión de brechas
El artículo 83 del RGPD distingue máximos según la infracción: hasta 10 millones de euros o el 2 % del volumen de negocio mundial anual del ejercicio anterior, y hasta 20 millones o el 4 % en el nivel superior; para las empresas se toma la cifra mayor en cada caso. La sanción concreta se valora atendiendo a las circunstancias, no se impone automáticamente el máximo. Fuente: RGPD, artículo 83.
El responsable debe notificar una brecha a la autoridad competente sin demora injustificada y, cuando sea posible, dentro de las 72 horas desde que tenga constancia, salvo que sea improbable el riesgo para los derechos y libertades. La comunicación a las personas afectadas tiene requisitos distintos. Un proveedor que actúe como encargado debe avisar al responsable sin demora injustificada. La AEPD detalla la notificación de brechas de datos personales.
Qué ocurre con los datos de menores
No existe una regla que obligue a pedir consentimiento parental para todo dato de un menor incluido en una reserva. Primero debe determinarse la base jurídica y la finalidad del tratamiento. En España, cuando se utiliza el consentimiento, el artículo 7 de la LOPDGDD establece la referencia de 14 años y contempla excepciones para actos que exigen asistencia de los representantes legales. Estas reglas no sustituyen las condiciones para contratar alojamiento. Fuente: LOPDGDD, artículo 7.
La selección del motor debe combinar experiencia de reserva, integración y revisión de seguridad y privacidad. Son aspectos que conviene comprobar con los proveedores y con los responsables del hotel antes de poner el sistema en producción.
