El PMS (Property Management System) es el sistema operativo del hotel. Concentra reservas, check-in, check-out, fichas de huéspedes, facturación, cargos por consumo, fidelización, conexión con el motor de reservas y, en muchos casos, con el channel manager, con las OTAs, con la pasarela de pago y con el sistema de comunicación al Ministerio del Interior. Quien provee ese PMS no es un simple vendedor de software: es alguien que trata datos personales del hotel por su cuenta. Y eso, en términos del RGPD, tiene un nombre y un contrato concretos.
Esta guía repasa el régimen del encargado del tratamiento (art. 28 RGPD) aplicado al sector hotelero: qué tiene que firmar el hotel con su proveedor de PMS, qué garantías debe exigir, qué pasa con los servidores fuera de la UE, cómo deben funcionar los perfiles de acceso y qué ocurre con la base de datos cuando termina el contrato.
Por qué el PMS, el motor de reservas y el channel manager son encargados del tratamiento
El RGPD diferencia dos roles claros:
- Responsable del tratamiento (art. 4.7): quien decide los fines y medios del tratamiento. En este caso, el hotel.
- Encargado del tratamiento (art. 4.8): quien trata datos personales por cuenta del responsable, siguiendo sus instrucciones.
El proveedor del PMS no decide a quién fideliza el hotel, qué preferencia se anota en la ficha del huésped o qué oferta se envía. Ejecuta lo que el responsable necesita: registra reservas, almacena fichas, factura, sincroniza disponibilidades. Es encargado del tratamiento. Lo mismo aplica al proveedor del motor de reservas y al channel manager cuando tratan datos por cuenta del hotel.
OTAs: un caso particular. Cuando una OTA (Booking, Expedia, Hotels.com, etc.) capta al huésped desde su propia plataforma, decide los medios y fines de esa captación: actúa como responsable independiente en esa fase. Cuando transmite los datos al hotel para ejecutar la reserva, el hotel pasa a ser responsable del tratamiento de esos datos en su propia operativa. En determinadas funcionalidades específicas la OTA puede actuar como encargada del hotel; en otras, ambos pueden tener escenarios de corresponsabilidad. Conviene analizar caso a caso la relación concreta con cada OTA y reflejarla en el contrato y en la cláusula informativa.
Cuidado también con un escenario frecuente: si el proveedor del PMS reutiliza los datos del hotel para finalidades propias (analítica agregada de mercado, benchmarking, marketing de la propia plataforma), en esa parte ya no actúa como encargado, sino como responsable independiente, y debe tener su propia base jurídica. Conviene leer las condiciones con atención y aclararlo por contrato.
El contrato del art. 28 RGPD: contenido mínimo (art. 28.3)
El art. 28.3 RGPD exige que la relación responsable-encargado se documente en un contrato u otro acto jurídico vinculante, con un contenido mínimo tasado. No es una sugerencia: es un requisito del propio Reglamento. Estos son los puntos que no pueden faltar:
| Apartado | Qué debe regular |
|---|---|
| Objeto y duración | Qué servicio presta el PMS y durante cuánto tiempo trata datos por cuenta del hotel. |
| Naturaleza y finalidad | Para qué se tratan los datos en el marco del servicio (reservas, check-in, facturación, fidelización, comunicaciones). |
| Tipo de datos y categorías de interesados | Identificativos del huésped, contacto, datos de la estancia, datos de pago, preferencias, fichas del personal con acceso al sistema. |
| Art. 28.3.a — Instrucciones documentadas | El encargado solo trata datos siguiendo instrucciones documentadas del responsable, incluidas las transferencias internacionales. |
| Art. 28.3.b — Confidencialidad | Las personas autorizadas para tratar los datos se comprometen por contrato o por ley a respetar la confidencialidad. |
| Art. 28.3.c — Medidas de seguridad | Aplicar las medidas del art. 32 RGPD apropiadas al riesgo (cifrado, autenticación, control de accesos, copias de seguridad, capacidad de restaurar). |
| Art. 28.3.d — Subencargados | Régimen de autorización y comunicación al responsable; los subencargados asumen las mismas obligaciones. |
| Art. 28.3.e — Asistencia en derechos | Asistir al responsable mediante medidas técnicas y organizativas para atender los derechos de los interesados (arts. 15–22 RGPD). |
| Art. 28.3.f — Cumplimiento auxiliar | Ayudar al responsable a cumplir las obligaciones de los arts. 32–36 RGPD (seguridad, notificación de brechas, EIPD, consulta previa). |
| Art. 28.3.g — Fin del contrato | Devolver o suprimir los datos a elección del responsable y eliminar copias, salvo conservación obligada por ley. |
| Art. 28.3.h — Información y auditoría | Poner a disposición del responsable la información necesaria para demostrar cumplimiento y permitir auditorías o inspecciones. |
Muchos proveedores cuentan con su propio modelo de contrato (DPA, Data Processing Addendum). Eso no exime al hotel de leerlo: el DPA debe encajar con el contenido del art. 28.3 RGPD y no contradecirlo. Y debe cubrir, además del PMS, los demás módulos contratados (motor de reservas, channel manager, integración con SES.HOSPEDAJES, pasarela de pago) o estar acompañado de los DPAs específicos correspondientes.
Subencargados: cuando el PMS se apoya en AWS, Azure o Google Cloud
La inmensa mayoría de los proveedores de PMS en la nube no alojan ellos mismos los servidores: los contratan a un hiperescalador (Amazon Web Services, Microsoft Azure, Google Cloud). Esos hiperescaladores son subencargados del tratamiento.
El art. 28.2 y 28.4 RGPD exige:
- Autorización del responsable, específica o general (suele formalizarse en el contrato inicial con una lista de subencargados ya aceptados).
- Información previa al responsable de cualquier cambio o incorporación de nuevos subencargados, con oportunidad para oponerse.
- Mismo régimen: el subencargado queda obligado, mediante contrato análogo, a las mismas obligaciones de protección de datos que el encargado principal.
- Responsabilidad del encargado frente al responsable por los incumplimientos de sus subencargados (art. 28.4 RGPD).
Como hotel responsable, lo recomendable es exigir al proveedor del PMS una lista pública y actualizada de subencargados (URL accesible) con país de ubicación y finalidad. Eso facilita la transparencia frente al huésped y la trazabilidad ante una incidencia.
Transferencias internacionales: DPF y Cláusulas Contractuales Tipo
Saber dónde están físicamente los servidores del PMS y de sus subencargados es una pregunta concreta y razonable. Las opciones habituales:
- Servidores en la UE / EEE: sin transferencia internacional. Régimen ordinario del RGPD.
- Servidores en países con decisión de adecuación (art. 45 RGPD): Reino Unido (con régimen específico), Suiza, Canadá (parcialmente), Japón, Corea del Sur, entre otros. Transferencia legítima sin garantías adicionales.
- Servidores en EE. UU.: desde julio de 2023, decisión de adecuación basada en el Data Privacy Framework (DPF). Las transferencias a proveedores adheridos al DPF cuentan con cobertura del art. 45 RGPD. Antes de contratar conviene verificar la adhesión activa del proveedor (y de sus subencargados estadounidenses) en el listado oficial del DPF. Si el proveedor no está adherido, deben aplicarse Cláusulas Contractuales Tipo (art. 46 RGPD) y, según el caso, medidas suplementarias tras una evaluación de impacto de la transferencia (TIA).
- Servidores en otros terceros países sin adecuación: régimen estricto del art. 46 RGPD —Cláusulas Contractuales Tipo, normas corporativas vinculantes— y, en su defecto, supuestos excepcionales del art. 49 RGPD.
En la política de privacidad del hotel debe constar si existen transferencias internacionales y qué garantía las ampara. Esa información se obtiene del proveedor por contrato; si no la facilita, hay un problema.
Seguridad y perfiles de acceso: un rol por área del hotel
El art. 32 RGPD exige medidas técnicas y organizativas apropiadas al riesgo. En un PMS bien configurado eso se traduce, mínimamente, en:
- Cifrado de los datos en tránsito (HTTPS/TLS) y, cuando sea proporcionado, en reposo.
- Autenticación robusta: contraseñas con políticas exigentes y, preferentemente, segundo factor para las cuentas de administración.
- Perfiles de acceso por rol (ver tabla siguiente): cada área del hotel ve solo lo necesario.
- Logs de acceso y de operaciones sensibles, con plazo razonable de conservación y consulta por dirección/responsable.
- Copias de seguridad y pruebas de restauración documentadas.
- Plan de continuidad y de gestión de incidentes.
- Cumplimiento de estándares reconocidos (ISO/IEC 27001, SOC 2, Esquema Nacional de Seguridad cuando aplique).
- Notificación de brechas al responsable sin demora indebida, con margen para que el hotel pueda cumplir el art. 33 RGPD frente a la AEPD (72 horas orientativas desde el conocimiento).
- PCI-DSS si el PMS o sus integraciones tratan datos de tarjeta.
| Perfil | A qué accede | A qué no |
|---|---|---|
| Recepción | Ficha del huésped, reserva, check-in, cargos en cuenta, comunicación SES.HOSPEDAJES | Nóminas, reporting global, configuración del sistema |
| Gobernanta / Pisos | Estado y ocupación de habitaciones, incidencias de limpieza | Datos de pago, fichas completas de huésped, fidelización |
| F&B (restaurante / bar) | Cargos por consumo a habitación, reservas de mesa | Datos de pago completos, datos de RRHH |
| Mantenimiento | Partes de incidencias técnicas por habitación o zona | Datos personales del huésped, datos financieros |
| Dirección / Administración | Reporting global, configuración, gestión de usuarios, logs | Restricciones según política interna y principio de mínimo privilegio |
Un PMS que solo ofrezca un usuario genérico compartido no cumple razonablemente con el art. 32 RGPD ni permite trazabilidad de accesos. Cada persona del hotel debe tener su propio usuario con permisos ajustados a su rol.
Al terminar el contrato: devolver o exportar, no destruir sin más
Este es uno de los errores más caros en el sector hotelero: cambiar de PMS y descubrir, semanas después, que el histórico de huéspedes, reservas, facturación y registro de viajeros se ha quedado en un sistema al que ya no se accede.
El art. 28.3.g RGPD obliga al encargado, una vez finalizada la prestación, a suprimir o devolver al responsable los datos personales, a elección del responsable, y a suprimir las copias existentes, salvo conservación obligada por ley. La práctica correcta es:
- Pedir la exportación de los datos en un formato útil (CSV, JSON, base de datos estructurada). Esa exportación debe incluir fichas de huéspedes, histórico de reservas, facturación, registro de viajeros, fidelización y comunicaciones relevantes.
- Verificar la integridad de lo exportado antes de dar por cerrada la migración. Comprobar que se ha exportado todo lo necesario para los plazos legales del hotel (fiscal, laboral, RD 933/2021).
- Solicitar por escrito la supresión en los sistemas del proveedor saliente, incluyendo copias de seguridad, en los plazos que el proveedor pueda documentar.
- Conservar evidencia de la exportación y de la solicitud de supresión.
Un proveedor que solo ofrezca destruir sin permitir exportación previa no cumple con el art. 28.3.g RGPD. Uno serio facilita la salida en formato estructurado y útil. La normativa autonómica y sectorial puede afectar a los plazos de conservación que el hotel deba aplicar tras recibir los datos.
Auditorías y derechos de inspección
El art. 28.3.h RGPD reconoce al responsable el derecho a obtener del encargado toda la información necesaria para demostrar cumplimiento, y a realizar auditorías, incluidas inspecciones, por sí mismo o por un auditor autorizado. Cómo se ejerce esto sin colapsar a un proveedor con cientos de hoteles-cliente:
- Certificaciones reconocidas (ISO/IEC 27001, SOC 2, ENS cuando aplique): el proveedor las pone a disposición del responsable.
- Informes de auditoría independientes (SOC 2 tipo II, por ejemplo) sobre los controles relevantes.
- Cuestionarios de seguridad y privacidad respondidos por el proveedor.
- Auditoría in situ, reservada para situaciones con causa justificada y con preaviso razonable.
El contrato debe explicitar el cauce y la frecuencia. Negarse en bloque a cualquier mecanismo de auditoría es incompatible con el art. 28 RGPD.
Cómo elegir un proveedor responsable: checklist
| # | Qué verificar antes de firmar |
|---|---|
| □ | Tiene contrato de encargado (DPA) que cumple el art. 28.3 RGPD para PMS y módulos integrados. |
| □ | Identifica al responsable interno de protección de datos (nombre o función + correo de contacto). |
| □ | Publica la lista de subencargados (AWS / Azure / Google Cloud y otros) con país y finalidad, y notifica cambios. |
| □ | Indica la ubicación de los servidores y, si hay transferencias internacionales, la base jurídica (decisión de adecuación, DPF, CCT). |
| □ | Adhesión activa al DPF verificable en el listado oficial, si trata datos en EE. UU. |
| □ | Permite crear perfiles de acceso por rol (recepción, gobernanta, F&B, mantenimiento, dirección) con logs de acceso. |
| □ | Autenticación robusta con políticas de contraseña y segundo factor disponible para administración. |
| □ | Cifrado en tránsito y, cuando proceda, en reposo. |
| □ | Cuenta con certificaciones reconocidas (ISO/IEC 27001, SOC 2) o informes equivalentes. |
| □ | Notifica brechas al responsable sin demora indebida. |
| □ | Permite exportar la base de datos completa al final del contrato y solo después la suprime. |
| □ | No reutiliza los datos del hotel para finalidades propias sin base jurídica adecuada e independiente. |
| □ | Habilita un cauce de auditoría proporcionado y documentado. |
El PMS es la herramienta más crítica para la operativa diaria del hotel, pero también el repositorio de información más sensible: huéspedes, registro de viajeros, datos de pago, fidelización, plantilla. Elegir bien al proveedor, firmar el contrato adecuado y tener clara la salida es lo que convierte la protección de datos en parte del oficio hotelero, y no en una preocupación añadida.
"El día que cambias de PMS descubres si firmaste un buen contrato. Si tu proveedor solo sabe borrar, no es un encargado serio; un encargado serio te devuelve la base de huéspedes antes."
Mario P. Talamillo · Socio director, Certix®
Si gestionas un hotel, hostal o cadena de alojamientos y quieres revisar tu documentación de protección de datos, en Certix trabajamos específicamente con hoteles y alojamientos. Sin comerciales: desde el primer contacto, hablarás con un especialista.
Guía de protección de datos para hoteles
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La normativa autonómica sectorial puede ampliar o modificar los plazos y requisitos de la norma estatal. La aplicación de la normativa a cada caso concreto requiere análisis individualizado.