IA y privacidad en la hostelería: ¿Cumple HorecaHub con el RGPD?

Todo empresario de hostelería que utiliza IA para reservas, preguntas o seguimientos acaba enfrentándose tarde o temprano a la misma cuestión: ¿qué pasa exactamente con la privacidad y el RGPD? Es una pregunta legítima, porque los datos de los clientes son sensibles. Aparecen nombres, números de teléfono, preferencias alimentarias y a veces incluso información médica como alérgenos. En este artículo explicamos cómo HorecaHub gestiona la privacidad de la IA en hostelería, qué decisiones tomamos para cumplir con el RGPD europeo y qué significa esto en la práctica para ti como empresario.

Nos basamos en directrices de la Autoriteit Persoonsgegevens, el texto oficial de la Ley Europea de IA y la orientación práctica del EDPB.

Qué entra dentro de la privacidad de la IA en hostelería

En la práctica, la privacidad de la IA en hostelería abarca cuatro tipos de datos: datos de contacto (nombre, teléfono, correo electrónico), datos de reserva (fecha, hora, número de personas), contenido de conversaciones (lo que dice un cliente en un chat o llamada telefónica) y notas sensibles (alérgenos, movilidad, preferencias alimentarias). No todos estos datos son por definición datos personales según el RGPD, pero combinados sí lo son.

Nuestra regla es sencilla: solo procesamos lo necesario para ayudar al cliente en ese momento, nada más. Este principio se llama minimización de datos y aparece literalmente en el artículo 5 del RGPD.

Cuánto tiempo conserva la IA los datos de los clientes

El periodo de conservación estándar para el contenido de conversaciones es de 30 días. Después de ese plazo, las conversaciones se eliminan automáticamente o se anonimizan. Los datos de reserva en sí se rigen por los plazos de conservación del sistema de reservas del empresario, no por nuestros sistemas. Categorías especiales como la información sobre alérgenos solo las conservamos mientras la reserva esté activa y posteriormente un máximo de siete días para la gestión de posibles reclamaciones.

Los empresarios pueden acortar estos plazos de común acuerdo si su propia política de privacidad así lo exige. También pueden ampliarse, pero solo con una base legal explícita y una motivación en el registro de actividades de tratamiento.

Dónde se almacenan físicamente los datos

Todos los datos de clientes se almacenan cifrados en servidores dentro de la Unión Europea. No utilizamos centros de datos fuera de la UE para almacenar datos personales. Al utilizar modelos de IA operamos, siempre que es posible, en instancias europeas; cuando técnicamente aún no está disponible, utilizamos acuerdos de procesamiento de datos estándar y garantías adicionales conforme a las directrices del EDPB.

Cómo saben los clientes que están hablando con una IA

La Ley Europea de IA exige que los clientes sepan cuándo están comunicándose con una IA. Nosotros lo incorporamos por defecto en las primeras frases de una conversación, en el idioma del cliente, de forma natural para que no se convierta en un aviso legal rígido. En el chat esto aparece visible en el widget de chat. En voz, el cliente escucha en el saludo que un asistente digital está escuchando y ayudando.

Quién es responsable del tratamiento y quién es encargado

En el modelo estándar, el empresario de hostelería es el responsable del tratamiento y HorecaHub actúa como encargado del tratamiento. Esto significa que el empresario decide para qué se recopilan los datos y nosotros realizamos el procesamiento en su nombre. Firmamos un contrato de encargo de tratamiento de forma estándar al inicio de la colaboración. La firma lleva menos de cinco minutos y el contenido se basa en el contrato modelo de la Autoriteit Persoonsgegevens.

Cuáles son los derechos de un cliente

Según el RGPD, un cliente tiene derecho de acceso, rectificación, supresión, limitación y portabilidad de los datos. En la práctica, gestionamos las solicitudes a través del empresario de hostelería: si un cliente solicita la eliminación de sus datos, el empresario puede enviarlo con un solo clic desde el panel de administración. Ejecutamos la solicitud en un plazo de cinco días laborables y confirmamos por escrito. En solicitudes sensibles también podemos comunicarnos directamente con el cliente, siempre que el empresario lo apruebe.

Cómo gestionamos las quejas y las brechas de datos

Ante una sospecha de brecha de datos seguimos un protocolo de incidentes fijo: notificación interna en 24 horas, análisis de impacto en 48 horas y notificación a la Autoriteit Persoonsgegevens en 72 horas si es necesario. El empresario participa desde el primer momento y recibe un informe escrito de lo ocurrido, qué datos se han visto afectados y qué medidas se han tomado. Hemos diseñado este protocolo de forma deliberadamente breve porque la rapidez es decisiva en incidentes de privacidad.

Qué debo organizar yo como empresario de hostelería

Tres cosas. Una: una declaración de privacidad y cookies actualizada en la web en la que se mencione explícitamente el procesamiento mediante IA. Proporcionamos textos estándar que puedes copiar o validar con tu propio abogado. Dos: un contrato de encargo de tratamiento interno con HorecaHub, que incluimos de forma estándar. Tres: acuerdos internos breves sobre quién del equipo puede ver los resultados de la IA y qué debe hacer el equipo ante una solicitud de un cliente sobre sus datos.

Cómo encaja esto con otras normativas

Además del RGPD y la Ley Europea de IA, en hostelería también influyen normas sectoriales específicas. Por ejemplo, las obligaciones de información sobre alérgenos bajo el Reglamento europeo de información alimentaria. Puedes encontrar un marco práctico actualizado a través de KHN, la asociación sectorial que ofrece a sus miembros traducciones de la normativa europea al trabajo diario en el establecimiento. Una IA bien configurada ayuda a comunicar este tipo de información de forma consistente y uniforme, independientemente de quién esté detrás de la barra esa noche.

Qué significa esto para los desarrollos futuros

La Ley Europea de IA se introducirá gradualmente en los próximos años, con requisitos más estrictos para aplicaciones de alto riesgo. La IA de atención al cliente se sitúa en gran medida en un régimen más ligero, pero la transparencia sigue siendo la piedra angular. Seguimos activamente los desarrollos y adaptamos la plataforma antes de que entren en vigor nuevas normas, para que los empresarios nunca se encuentren con sorpresas.

Checklist práctico para empresarios

Revisa estos cinco puntos una vez por trimestre: ¿sigue actualizada la política de privacidad en la web?, ¿el contrato de encargo de tratamiento está a nombre correcto?, ¿el equipo sabe dónde deben dirigirse las solicitudes de los clientes?, ¿los plazos de conservación coinciden con tu forma de trabajar actual?, ¿y el aviso de IA en chat y telefonía sigue siendo visible? Quince minutos de trabajo por trimestre, pero evita la gran mayoría de problemas de cumplimiento.

Pregunta de seguimiento frecuente de los empresarios

Casi todos los empresarios preguntan: ¿puede la Autoriteit Persoonsgegevens multarme si utilizo IA y algo sale mal? La respuesta corta es que las multas suelen derivarse de la ausencia de medidas básicas: sin contrato de encargo de tratamiento, sin política de privacidad, sin procedimiento de notificación. Si esa base está en orden y trabajas con un encargado que cumple demostrablemente el RGPD, el riesgo de multa es bajo. Apoyamos activamente a los empresarios para organizar bien esta base, porque una buena cultura de privacidad también aumenta la confianza de los clientes.