Backup del sito e dei dati delle prenotazioni di un hotel (2026)

Aggiornata: 10 novembre 2026

Un attacco, un ransomware, un guasto del fornitore o un aggiornamento andato male: se quel giorno non c'è un backup funzionante, l'hotel resta senza sito, senza prenotazioni e senza i dati che deve conservare. Questa guida riassume ciò che abbiamo potuto verificare il 10 novembre 2026 nel GDPR, presso INCIBE (l'istituto spagnolo di cybersicurezza), nella Gazzetta ufficiale spagnola e nella documentazione di WordPress, e indica ciò che non abbiamo potuto confermare. Non consigliamo nessun servizio a pagamento. Se il sito è già stato hackerato, leggi la nostra guida /sito-hotel-hackerato-cosa-fare-avviso-google-2026.

La risposta breve

L'essenziale:

Salva il sito (file e database), la posta, le schede degli ospiti, le prenotazioni e i registri che la legge ti chiede di conservare.
INCIBE raccomanda la strategia 3-2-1, basata sulla diversificazione delle copie; la formulazione abituale è tre copie, su due supporti diversi, una fuori sede.
Il GDPR (art. 32.1.c) chiede la capacità di ripristinare tempestivamente la disponibilità e l'accesso ai dati personali dopo un incidente fisico o tecnico, e l'art. 32.1.d di testare regolarmente le misure.
In Spagna i dati del registro dei viaggiatori si conservano 3 anni (Real Decreto 933/2021, art. 5.3). Per l'Italia non abbiamo confermato il periodo di conservazione: chiedi al tuo consulente.
Un backup mai ripristinato è un backup di cui non sai se funziona: prova il ripristino.

Cosa salvare

Elenco pratico per un hotel:

Sito: secondo la documentazione di WordPress servono sia il database sia i file (core, temi, plugin, upload, wp-config.php e .htaccess) per un ripristino completo.
Motore di prenotazione e PMS: chiedi al fornitore quali backup fa, ogni quanto, dove li conserva e come puoi esportare i tuoi dati. Consiglio nostro.
Posta elettronica: le conversazioni con ospiti e fornitori sono spesso la memoria dell'hotel.
Schede degli ospiti, fatture e contratti con agenzie e piattaforme.
Registri dei viaggiatori: in Spagna il RD 933/2021 prevede 3 anni dalla fine del servizio; per l'Italia non confermato.

La regola 3-2-1, spiegata

Come applicarla in un piccolo hotel:

INCIBE raccomanda la strategia 3-2-1, basata sulla diversificazione delle copie, perché resti sempre una copia che il malware non ha cifrato.
Tre copie: i dati originali più due backup.
Due supporti diversi: per esempio il server dell'hosting e un disco esterno. WordPress consiglia almeno tre copie su supporti diversi e in luoghi diversi.
Una copia fuori sede: fuori dall'hotel e, se possibile, scollegata dal computer o dalla rete quando non serve, così un ransomware non la raggiunge. Consiglio nostro.
INCIBE indica tra le misure per proteggere i backup l'ubicazione, il controllo dei supporti, la cifratura, il registro delle copie, le prove di ripristino e la cancellazione sicura.

Frequenza e backup del sito WordPress

Senza plugin o servizi a pagamento specifici:

WordPress raccomanda un backup settimanale per i siti piccoli, giornaliero per quelli con molta attività, e sempre un backup del database prima di un aggiornamento.
Conserva da 3 a 5 backup recenti in luoghi diversi (per esempio hosting, cloud e un computer locale).
Se l'hosting fa backup automatici, fanne ogni tanto uno manuale: WordPress lo consiglia per verificare che il processo funzioni.
Per ripristinare, WordPress indica: prima i file, poi il database, aggiornando wp-config.php se le credenziali sono cambiate.

Provare il ripristino

Cosa chiede il GDPR e cosa consigliamo:

L'art. 32.1.d del GDPR chiede una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure di sicurezza.
INCIBE indica le prove di ripristino tra le misure per proteggere i backup.
Una volta a trimestre, ripristina il sito in un sottodominio di prova o in locale e apri una vecchia prenotazione per verificare che i dati siano completi. Consiglio nostro, non un termine di legge.
Annota la data di ogni prova e cosa non ha funzionato: aiuta a dimostrare la diligenza.

Ransomware e violazioni dei dati

Se succede il peggio:

INCIBE dice che pagare il riscatto non è «in nessun caso» un'opzione consigliata: disinfetta i dispositivi e ripristina i backup.
In Italia CSIRT Italia accetta segnalazioni volontarie; in Spagna c'è la linea 017 di INCIBE. Non abbiamo verificato una guida di ACN sui backup.
Se sono coinvolti dati personali, il GDPR (art. 33) prevede la notifica al Garante entro 72 ore dalla conoscenza. Informazione generale, non consulenza legale.
Se il sito è già hackerato, segui la nostra guida /sito-hotel-hackerato-cosa-fare-avviso-google-2026.

Se hai una struttura: cosa chiedono i viaggiatori all'IA

Perché il sito conta anche per gli assistenti:

I viaggiatori chiedono agli assistenti di IA prezzi, disponibilità, condizioni di cancellazione o se si può prenotare direttamente.
Se il sito va giù o mostra dati vecchi dopo un ripristino incompleto, quelle risposte possono restare senza le tue informazioni o con dati superati.
Dopo un ripristino, controlla prezzi, condizioni e link di prenotazione prima di considerare il sito recuperato. Consiglio nostro.

Come aiuta iQuota

iQuota mette le strutture indipendenti a disposizione degli assistenti di IA con prenotazione diretta, pagamento in struttura e 0% di commissione, con il prezzo e le condizioni che ogni struttura stabilisce. Non possiamo garantire che un assistente di IA ti consigli.

Vuoi che le IA diano i tuoi dati reali, con prenotazione diretta e senza commissioni? I primi 30 hotel entrano gratis fino al 30 giugno 2027.

Scopri il programma Founding Hotels (in inglese)

Domande frequenti

Che cos'è la regola 3-2-1?

INCIBE la raccomanda come strategia basata sulla diversificazione delle copie. Formulazione abituale: tre copie, su due supporti diversi, una fuori sede.

Per quanto tempo si conservano i registri dei viaggiatori?

In Spagna tre anni dalla fine del servizio (Real Decreto 933/2021, art. 5.3). Per l'Italia non l'abbiamo confermato: chiedi al tuo consulente.

Il GDPR obbliga a fare backup?

Non usa questa parola, ma l'art. 32.1.c chiede di poter ripristinare tempestivamente la disponibilità e l'accesso ai dati personali dopo un incidente. Informazione generale, non consulenza legale.

Ogni quanto faccio il backup del sito?

WordPress raccomanda settimanale per i siti piccoli, giornaliero per quelli molto attivi e sempre prima di un aggiornamento.

Pago il riscatto di un ransomware?

INCIBE lo sconsiglia in ogni caso. Ripristina da backup puliti.

Fonti

Altre guide per hotel

Altre guide per hotel →

Español · English · Português · Ελληνικά