Hoteles · LFPDPPP · PCI DSS · Booking y Expedia
Su hotel guarda datos de huéspedes y de tarjetas. ¿Quién sostiene las medidas de seguridad que pide la ley?
Transformation Trends forma y prepara para la certificación a la persona que va a sostener cada obligación. La certificación es de la persona y se la lleva a donde vaya.
El contexto
La ley aplica igual a un hotel de diez cuartos
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares aplica a todo hotel, sin importar su tamaño. Pide medidas de seguridad administrativas, técnicas y físicas (art. 18), una persona o un departamento de datos personales (art. 29) y avisar de forma inmediata al huésped cuando una vulneración lo afecte de forma significativa (art. 19). Vulnerar la seguridad de una base de datos por causa imputable al hotel se sanciona con multa de 200 a 320,000 UMA: de 23,462 a 37,539,200 pesos con la UMA de 2026.
Lo demás viene del mercado. Todo hotel que acepta tarjeta entra en PCI DSS, y la parte que le toca depende de cómo cobra. Quien guarda números de tarjeta en el sistema, en una hoja de cálculo o en el correo tiene que llenar el cuestionario completo. Booking.com hace obligatoria la verificación en dos pasos al registrarse y pide que se le reporte en 24 horas si alguien entregó sus datos de acceso.
El riesgo ya está medido: en nuestro estudio de 713 hoteles independientes, el 88.5% no tiene una política DMARC que bloquee la suplantación de su correo.
La oferta organizada por obligación
Qué se pide y quién lo puede sostener
Cada bloque es una obligación y la persona a la que le toca. Elija los bloques que aplican a su equipo: no hace falta llevarlos todos.
Para demostrar que el hotel tiene medidas de seguridad
LFPDPPP arts. 18, 58 fr. XI y 59
Qué se pide
Medidas administrativas, técnicas y físicas contra daño, pérdida, alteración o acceso no autorizado, que consideren el riesgo, la sensibilidad de los datos y el desarrollo tecnológico. No pueden ser menores a las que el hotel usa para su propia información.
A quién le toca
Gerencia general o administración, con quien lleve los sistemas, interno o proveedor.
Para ser la persona de datos personales del hotel
LFPDPPP arts. 7, 8, 10, 15, 16, 20 y 29
Qué se pide
Designar a una persona o un departamento que atienda las solicitudes de los huéspedes; aviso de privacidad completo y simplificado; consentimiento expreso para datos financieros, salvo las excepciones de la ley, y expreso y por escrito para datos sensibles; confidencialidad de todo el personal, y suprimir lo que ya no se necesita.
A quién le toca
La persona designada. En un hotel independiente suele ser administración o gerencia de recepción.
Nota: GDPR Certified Data Protection Officer forma el rol de oficial de datos con el reglamento europeo como base. El método se aplica a la ley mexicana; el criterio legal lo da el abogado del hotel.
Para que recepción y reservas detecten la suplantación antes de dar clic
Booking.com y Expedia, centro de socios · PCI DSS: concientización del personal
Qué se pide
Booking.com pide la verificación en dos pasos, aclara que nunca pide datos de acceso y pide reportarle en 24 horas si alguien los entregó. Expedia aclara que sus agentes nunca piden códigos de verificación ni números de su tarjeta virtual. PCI DSS pide un programa de concientización para todo el personal y, según el cuestionario que le toque al hotel, capacitación en phishing e ingeniería social.
A quién le toca
Toda persona con acceso a la extranet, al correo o al sistema del hotel.
Nota: Las certificaciones de EC-Council tienen material y examen en inglés. Para grupos de al menos seis personas, la clase en vivo se imparte en español.
Para saber qué parte de PCI DSS le toca al hotel y sostenerla cada año
PCI DSS v4.0.1 · cuestionarios de autoevaluación (SAQ)
Qué se pide
El cuestionario depende de cómo cobra el hotel: terminal, terminal virtual, motor de reservas o sistema propio. Todos piden un plan de respuesta a incidentes, y el código de seguridad de la tarjeta (CVV) no se conserva después de la autorización. Según el caso, se suman escaneos externos cada tres meses y autenticación de varios factores.
A quién le toca
Administración o contraloría, que lleva la relación con el banco, y quien lleve los sistemas.
Nota: Estas certificaciones forman a quien arma y sostiene la evidencia de PCI DSS. La validación ante el banco la define el banco adquirente.
Para saber qué hacer cuando ya pasó
LFPDPPP art. 19 · PCI DSS: plan de respuesta a incidentes · Booking.com
Qué se pide
Avisar de inmediato al huésped afectado, activar el plan de respuesta a incidentes, reportar a Booking.com en 24 horas y cambiar primero la contraseña del correo y después la de la extranet. Si cae el sistema, seguir operando reservas y llegadas.
A quién le toca
Gerencia general, que decide y comunica, y quien lleve los sistemas.
Lo que se dice y lo que dice el texto
Antes de invertir, cinco aclaraciones
- «Mi hotel es chico, la ley de datos no me aplica»
- La LFPDPPP no tiene excepción por tamaño. El tamaño solo cuenta al graduar la multa.
- «Hay que avisar a la autoridad en 72 horas»
- La ley pide avisar al huésped afectado de forma inmediata. No menciona a la autoridad ni fija horas.
- «Con la terminal del banco, PCI no me toca»
- La terminal reduce la parte que le toca al hotel, pero sigue habiendo requisitos, como el plan de respuesta a incidentes.
- «Gmail ya exige DMARC, así que estoy protegido»
- Google lo exige solo a quien envía más de 5,000 correos al día a Gmail, y acepta la política p=none, que no bloquea la suplantación.
- «El INAI me puede multar»
- El INAI se extinguió. Hoy la autoridad es la Secretaría Anticorrupción y Buen Gobierno.
Cómo se entrega
Las modalidades, explicadas una vez
Autoestudio con examen
Material oficial; el participante avanza a su ritmo y presenta el examen en línea. Disponible para todo el catálogo.
eLearning con video
Video grabado por instructor certificado, en la plataforma oficial de PECB. El video en español está disponible en ISO/IEC 27001 Lead Implementer y Lead Auditor. En el resto del catálogo el video es en inglés, aunque el material y el examen sean en español.
En línea en vivo con instructor
Sesiones por videoconferencia impartidas por Transformation Trends, EC-Council Accredited Training Center (ATC) y PECB Authorized Partner. En EC-Council, la clase en vivo es en español para grupos de al menos seis personas.
Presencial en sus instalaciones
Grupo cerrado en su organización. Es la modalidad natural cuando hay que capacitar a varias áreas al mismo tiempo.
Lo que recibe su organización
Qué entrega Transformation Trends
- ✓Constancia con fecha y nombre del participante
- ✓Lista de asistencia
- ✓Temario oficial
- ✓Resultado de examen
- ✓Credencial del organismo certificador cuando el participante aprueba
Sirven como registro de la capacitación ante auditores, clientes y autoridades.
Límites claros
Lo que una certificación de personas no sustituye
- ·La configuración de SPF, DKIM y DMARC del dominio del hotel, que es un ajuste técnico. Nuestra guía explica cómo hacerla.
- ·Los escaneos externos de PCI DSS, que hace un proveedor aprobado por PCI SSC (ASV).
- ·La validación de PCI DSS ante el banco, que define el adquirente.
- ·La certificación ISO/IEC 27001 del hotel, que otorga un organismo de certificación.
- ·El aviso de privacidad y el criterio legal, que corresponden al abogado del hotel.
Siguiente paso
Formamos a quien va a sostener cada obligación.
Cuéntenos cuántas personas son y qué áreas tiene su equipo. Le decimos qué aplica y cómo se entrega.
EC-Council Accredited Training Center (ATC) · PECB Authorized Partner
¿Prefiere escribir por correo?
contacto@transformationtrends.mx