Hotel batek gonbidatua iritsi baino askoz lehenagotik tratatzen ditu datu pertsonalak: erreserba webetik, OTA batetik edo telefonoz sartzen da, emailez berresten da, check-inean osatzen da, bidaiarien erregistro-liburuarekin gurutzatzen da, PMSa elikatzen du, fakturaziora doa eta, azkenean, fidelizazio programara iristen da. Datuen babesa ez da proiektuaren amaieran gehitzen den izapide bat; ostatuaren eguneroko operatibaren parte da.
Gida honek edozein hotel-arduradunek eskura izan beharko lukeen gutxieneko dokumentazioa laburbiltzen du —ostatu berri bat irekitzeko, dagoen bat erregularizatzeko edo kate baten egoera berrikusteko— DBEOren (EB 2016/679 Erregelamendua), DBLOren (3/2018 Lege Organikoa) eta ostatu sektoreko araudi espezifikoaren markoan.
Zergatik tratatzen ditu datu pertsonalak hotel batek
Erdi mailako hotel batek datu pertsonalen lau fluxu handi kudeatzen ditu egunero:
- Gonbidatuak: erreserbak (izena, kontaktua, datak, pertsona kopurua, lehentasunak), ostatu erregistrorako identifikazio agiriaren datuak, bermerako txartelaren datuak, komunikazioak, balorazioak, bezeroaren fitxa eta, hala badagokio, fidelizazio programa.
- Langileak: kontratazioa eta nomina, lan-ordutegiaren kontrola (PIN, RFID txartel edo app bidez), prestakuntza, barne komunikazioak eta, hala badagokio, baja-parteak edo lan-istripuei lotutako datuak.
- Hornitzaileak eta hirugarrenak: upategien, garbitegien, mantentze-lanen, gestoriaren, marketin agentziaren, channel manager-aren, erreserba motorraren, OTAen, gertakarien kudeaketa plataformen kontaktu pertsonak.
- Erakundeak eta agintariak: bidaiarien erregistroaren datuen derrigorrezko komunikazioa Estatuko Segurtasun Indar eta Kidegoei, SES.HOSPEDAJES sistemaren bidez (933/2021 Errege Dekretua).
Ostatua zenbat eta txikiagoa izan, tratamenduaren arduraduna beti hotelaren titularra da (pertsona fisikoa edo juridikoa). Figura horrek erabakitzen du zer datu jasotzen diren eta zertarako, eta beraz, DBEOren betebeharrak bere gain hartzen ditu.
Bidaiarien erregistro-liburua eta Estatuko Segurtasun Indar eta Kidegoei komunikazioa
Bidaiariak erregistratzeko betebeharra eta agintaritza eskudunei haien komunikazioa sektorearen berezitasun estrukturaletako bat da. Bere erreferentziazko araua 933/2021 Errege Dekretua da, urriaren 26koa, ostatu eta motordun ibilgailuen alokairu jarduerak egiten dituzten pertsona fisiko edo juridikoen dokumentu erregistroaren eta informazioaren betebeharrak arautzen dituena.
- Oinarri juridikoa: DBEOren 6.1.c art.a —legezko betebeharra betetzea— 933/2021 ED beraren babesean.
- Biltzen diren datuak: sektorearen arau zehatzak zerrendatzen dituenak (gonbidatuaren identifikazio datuak, identifikazio agiria, egonaldiaren datuak, aurreikusitako baldintzetan ordainketa datuak). Legezko betebeharra betetzeko beharrezkoak diren bakarrak.
- Bide telematikoak: komunikazioa Segurtasuneko Estatu Idazkaritzak gaitutako bide elektronikoetatik egiten da, batez ere SES.HOSPEDAJES sistematik.
- Gordeketa epea: bidaiarien erregistroaren informazioa hiru urtez gorde behar da kontratatutako zerbitzu edo prestazioaren amaiera-dataz geroztik, 933/2021 EDren arabera.
- Nola kudeatzen den identifikazio agiria: hotelak arauak eskatzen dituen ezinbesteko datuak sisteman apuntatzen ditu. Inoiz ez du fotokopiatzen, eskaneatzen ez eta irudirik gordetzen gonbidatuaren NANarena edo pasaportearena: AEPDren irizpide zigortzaileak eta minimizazio printzipioak (DBEO 5.1.c art.) baztertu egiten dute.
Araudi autonomiko turistikoak (establezimenduen erregistroa, inskripzio orriak, bidaiarien liburu autonomikoak) eskakizun formal gehigarriak gehi ditzake Autonomia Erkidego bakoitzean; nahitaezkoa da ostatuari aplikatzekoa zaion turismoaren araudi autonomikoa egiaztatzea.
Tratamenduaren arduradunaren gutxieneko dokumentazioa
Hauek dira hotel batek, gutxienez, lehen check-ina baino lehen prest izan beharko lituzkeen dokumentuak. Batzuk derrigorrezkoak dira; beste batzuk, erreklamazio bat, ikuskapen bat edo hornitzaile aldaketa bat etortzean arazoak aurrezten dituzten praktika onak.
| Dokumentua | Oinarri arautzailea | Zertarako balio du |
|---|---|---|
| Tratamendu Jardueren Erregistroa (TJE) | DBEO 30. art. | Barne inbentarioa: zer tratatzen den, zertarako, zenbat denborarako eta zein neurrirekin. |
| Gonbidatuentzako klausula informatiboa | DBEO 13. art. | Erreserba, web, erreserba motor eta check-inean ematen den informazioa. |
| Langileentzako klausula informatiboa | DBEO 13. art. | Kontratuarekin eta lanpostuko tresna digitalekin ematen den informazioa. |
| Webaren pribatutasun politika | DBEO 13. eta 14. art. | Arduradunak erabiltzaileari ematen dion informazioaren bertsio publiko eta osoa. |
| Webaren ohar legala | LSSICE 10. art. | Webgunearen titularraren identifikazioa: izena, NIF, helbidea, posta, merkataritza erregistroa. |
| Cookieen politika eta bannera | LSSICE 22.2 art. | Hertsiki beharrezkoak ez diren cookieentzako informazio geruza eta adostasun mekanismoa. |
| Tratamenduaren enkargatzaileen kontratuak | DBEO 28. art. | Hotelaren izenean datuak tratatzen dituen hornitzaile bakoitzarekin sinatutako akordioa (PMS, erreserba motorra, channel manager, gestoria, marketina, gonbidatuen datuak dituen garbitegia). |
| Segurtasun politika | DBEO 32. art. | Neurri teknikoak eta antolakuntzakoak: pasahitzak, rolen bidezko sarbideak, segurtasun kopiak, epeak. |
| Hausteen protokoloa | DBEO 33-34. art. | Detektatzeko, baloratzeko eta, hala badagokio, AEPDri eta kaltetuei jakinarazteko prozedura. |
| Interesdunen eskubideen prozedura | DBEO 15-22. art. | Sarbidea, zuzenketa, ezabaketa, aurkaritza, eramangarritasuna eta mugaketa erantzuteko bidea. |
TJE (Tratamendu Jardueren Erregistroa) hotel batean
DBEOren 30. art.ak tratamendu jardueren barne erregistroa eramatera behartzen du. 5. apartatuak 250 langile baino gutxiagoko entitateentzat aurreikusten duen salbuespena erortzen da tratamenduak noizbehinkakoak ez badira edo eskubide eta askatasunei eragin badiezaiekete. Hotel batean —bideo-zaintza, fidelizazioa, bidaiarien derrigorrezko erregistroa, txandadun plantillaren kudeaketa— ia tratamendurik ez da "noizbehinkakoa", beraz praktika gomendagarria da TJE eramatea kasu guztietan.
Erdi mailako hotel baterako TJE errealista batek, gutxienez, jarduera hauek hartzen ditu:
- Erreserbak eta gonbidatuaren arreta. DBEOren 6.1.b art. oinarria (kontratuaren betearazpena): kontaktua, berrespenak, lineako aurre-erregistroa, check-ina, check-outa, gonbidatuari fakturazioa.
- Bidaiarien erregistroa eta Estatuko Segurtasun Indar eta Kidegoei komunikazioa. DBEOren 6.1.c art. oinarria —legezko betebeharra— 933/2021 Errege Dekretuaren babesean. Hiru urteko gordeketa epea.
- Fakturazioa eta zerga betebeharrak. DBEOren 6.1.c art. oinarria: Tributuen Lege Orokorra, kontabilitate araudia.
- Langileen kudeaketa (kontratazioa, nomina, prestakuntza). 6.1.b + 6.1.c art. oinarria.
- Lan-ordutegiaren kontrola. 6.1.c art. oinarria (ET 34.9 art.) + 6.1.b art. PIN, RFID txartel, mugikorreko app edo NFC bezalako sistemen bidez.
- Bideo-zaintza sarreretan, korridore orokorretan, aparkalekuan eta gune komunetan. 6.1.f art. oinarria (interes legitimoa) DBLOren 22. art.aren baldintzetan. Legez baztertutako guneak: logelak, komunak, aldagelak eta langileen atseden guneak (DBLO 89.1 art.).
- Marketina eta fidelizazioa (buletina, gonbidatu programa). 6.1.a art. oinarria (adostasuna) edo 6.1.f art. (interes legitimoa lehendik dagoen bezerogoarengan produktu analogoekin, LSSICE 21.2 art.).
- Hornitzaileen kudeaketa. 6.1.b edo 6.1.f art. oinarria.
- Interesdunen eskubideei erantzutea. 6.1.c art. oinarria.
TJEren sarrera bakoitzak identifikatu behar du: helburua, oinarri juridikoa, datu eta interesdun kategoriak, hartzaileak eta, hala badagokio, nazioarteko transferentziak, gordeketa epeak eta segurtasun neurriak. Turismo, kontsumo eta segurtasun arloko araudi autonomikoak eskakizun formalak zabaldu edo ñabartu ditzake.
Klausula informatiboa: check-ina, weba, erreserba inprimakia eta motorra
DBEOren 13. art.aren informatzeko betebeharra derrigorrezkoa da nahiz eta oinarri juridikoa adostasuna ez izan. Akats ohikoa da pentsatzea, erreserba kontratuaren betearazpenean eta Estatuko Segurtasun Indar eta Kidegoei komunikazioa legezko betebeharrean babesten direnez, ezer ematea ez dela beharrezkoa. Bai, beharrezkoa da. Klausula informatiboak harrera-puntu ohiko guztietan egon behar du eskuragarri:
- Webaren erreserba motorrean eta kontaktu inprimakian (esteka ikusgarria eta eskuragarria bidalketa baino lehen).
- Emailezko erreserba berrespenean.
- Check-in fitxan (paperean edo digitalki), idealki lehen geruzan laburpen bertsioarekin eta bertsio osoa eskuragarri.
- Lan kontratuaren eranskinean eta langileen ongietorri eskuliburuan.
- Bideo-zaintzako kartelean (gune ikusgarrian dispositibo informatiboa, DBLOren 22.4 art.aren arabera).
- Fidelizazio edo buletin inprimakian.
Gonbidatuak jakin behar du, datua eman aurretik, nork tratatzen duen, zertarako, zein oinarrirekin, nori komunikatzen zaion (Estatuko Segurtasun Indar eta Kidegoei derrigorrezko komunikazioa barne), zenbat denboran gordetzen den eta nola gauzatu bere eskubideak. Eskakizun bera aplikatzen zaio langileari lehen egunean.
Hoteleko tratamenduaren enkargatzaile ohikoak (DBEO 28. art.)
Hotelak erabakitzen du datuekin zer egin; baina, praktikan, hornitzaileen bidez biltzen eta tratatzen ditu. Hornitzaile horietako bakoitza, arduradunaren izenean datuak tratatzen baditu, tratamenduaren enkargatzailea da eta DBEOren 28. art.aren baldintzetan sinatutako kontratua eskatzen du.
| Hornitzailea | Tratatzen dituen datuak | Dokumentu giltzarria |
|---|---|---|
| PMS (Property Management System) | Gonbidatuen fitxak, erreserbak, fakturazioa, fidelizazioa | DBEO 28. art. kontratua + rolen araberako sarbide profilak |
| Erreserba motorra | Gonbidatuaren kontaktu datuak, ordainketa datuak, lehentasunak | DBEO 28. art. kontratua + zerbitzarien kokapena |
| Channel manager | OTAetatik datozen erreserbak eta sinkronizatutako erabilgarritasuna | DBEO 28. art. kontratua + azpienkargatzaileen zerrenda |
| OTAk (enkargatzaile gisa diharduten kasuetan) | Plataformaren bidez izapidetutako gonbidatuaren datuak | Kasuz kasuko analisia: erakarpen fasean arduradun independente gisa eta hotelari igortzean enkargatzaile gisa joka dezakete |
| Gestoria / lan-aholkularitza | Langile datuak, nominak, kontratuak | DBEO 28. art. kontratua |
| Marketin agentzia | Buletinen datu-baseak, publizitate audientziak | DBEO 28. art. kontratua + harrera oinarrien egiaztapena |
| Garbiketa / garbitegi enpresa | Logeletarako sarbidea, okupazio zerrendak | DBEO 28. art. kontratua + konfidentzialtasun klausula indartua |
| Bideo-zaintza enpresa | Sarrera, korridore orokor eta aparkalekuko irudiak | DBEO 28. art. kontratua + 30 eguneko epea (DBLO 22.3 art.) |
Ohar errepikaria: kontratua amaitzean, enkargatzaileak datuak arduradunari itzuli edo esportatu behar dizkio, eta soilik ondoren ezabatu (DBEO 28.3.g art.). Horrek ahalbidetzen dio hotelari bere legezko gordeketa epeak —fiskalak, lanekoak, bidaiarien erregistroa— betetzen jarraitzea, irteten den hornitzailearen mende egon gabe.
Fidelizazio marketina eta komunikazio komertzialak
Gonbidatuen programa eta buletinen bidalketa hotelaren ohiko piezak dira. Komeni da oinarri juridikoak argi izatea:
- Adostasuna (DBEO 6.1.a art.): arau orokorra buletinerako edo gonbidatuen klubrako harpidedun berriak erakartzeko. Kasilla espezifikoa, granularra, lehenetsita markatu gabea eta politika orokorraren onarpenetik independentea.
- Interes legitimoa edo produktu analogoekin lehendik dagoen bezerogoa (DBEO 6.1.f art. + LSSICE 21.2 art.): ostatu hartu duten bezeroei dagoeneko gozatu zituzten produktu edo zerbitzu analogoei buruzko komunikazio komertzialak egitea baimentzen du, betiere lehen bilketan eta komunikazio bakoitzean aurka egiteko aukera eman zaienean.
- Baja eskuragarria komunikazio komertzial bakoitzean (esteka ikusgarria, traba artifizialik gabe).
Hotelak gonbidatuaren lehentasunak profilatzen baditu (logela mota, intolerantziak, ohiko datak, batez besteko gastua) eskaintzak pertsonalizatzeko, TJEan dokumentatu eta klausula informatiboan islatu behar du. Fitxa horretan osasun datuak (alergiak, mugikortasun murriztua) modu iraunkorrean gordetzen badira, DBEOren 9.2.a art.aren adostasun esplizitu espezifikoa aplikatu behar da, kasilla independente eta lehenetsita markatu gabearekin.
Lehen egunari hasiera emateko praktika onak
- Nor da nor: tratamenduaren arduraduna (hotelaren titularra) eta eskubide eskakizunak eta gertakariak koordinatzen dituen taldeko pertsona identifikatu.
- Hornitzaileen inbentarioa: PMSa, erreserba motorra, channel manager-a, OTAk, gestoria, marketina, garbiketa, garbitegia, bideo-zaintza zerrendatu. Bakoitzarekin DBEO 28. art.aren kontratua dagoela egiaztatu.
- Egia iturri bakarra: gonbidatuen datu-basea bikoiztea ekidin, kalkulu-orri pertsonal, langileen mugikor edo kontrolik gabeko paperezko agendetan.
- Klausula prest eta emanak: gonbidatu eta langileentzako bertsio laburrak, harreran eta weban/erreserba motorrean eskuragarri.
- Bideo-zaintza ondo seinalizatua eta irudiak gehienez 30 egunez gordetzeko konfiguratua (DBLO 22.3 art.). Zero kamerak logela, komun, aldagela eta langileen atseden guneetan (DBLO 89.1 art.).
- PMSan banakako kontuak (erabiltzaile bat pertsonako, inoiz ez partekatua).
- Gertakari baten aurrean jarduteko plana: USB bat galtzen bada, PMSa erortzen bada edo ezabatze eskaera bat iristen bada, nori abisatu.
Helburua ez da karpetak sortzea: erreklamazio, sarbide eskaera edo hornitzaile aldaketa iristen den egunean, hotelak garbi izatea non dagoen datu bakoitza eta nork kudeatzen duen.
"En un hotel, la protección de datos empieza en recepción: con un check-in que registra lo justo, devuelve el documento al huésped y guarda con orden lo que la ley pide guardar. No hace falta más, y tampoco menos."
Mario P. Talamillo · Bazkide-zuzendaria, Certix®
Hotel, ostatu edo ostatu-kate bat kudeatzen baduzu eta zure datuen babeseko dokumentazioa berrikusi nahi baduzu, Certixen hotel eta ostatuekin zehazki lan egiten dugu. Komertzialik gabe: lehen kontaktutik aditu batekin hitz egingo duzu.
Hoteletarako datuen babeseko gida
Eduki hau orientagarri eta dibulgaziozkoa da soilik; ez du inola ere aholkularitza juridiko espezializatua osatzen. Sektoreko araudi autonomikoak estatuko arauaren epeak eta eskakizunak zabaldu edo aldatu ditzake. Araudia kasu zehatz bakoitzean aplikatzeak analisi indibidualizatua eskatzen du.