Φόρμα επικοινωνίας και κρατήσεων στον ιστότοπο του ξενοδοχείου: απόρρητο, spam και ρομπότ (2026)

Ενημερώθηκε: 10 Νοεμβρίου 2026

Για ένα μικρό ξενοδοχείο, η φόρμα επικοινωνίας είναι συχνά η πρώτη απευθείας κράτηση. Είναι επίσης η πόρτα από την οποία μπαίνει το spam και το σημείο του ιστότοπου όπου ζητούνται τα περισσότερα προσωπικά δεδομένα. Ο οδηγός συνοψίζει όσα μπορέσαμε να ελέγξουμε στις 10 Νοεμβρίου 2026 στο κείμενο του ΓΚΠΔ, στην ισπανική αρχή (AEPD), στο Δικαστήριο της ΕΕ (υπόθεση C-673/17), στη γαλλική CNIL και στο PCI Security Standards Council, και επισημαίνει ό,τι δεν μπορέσαμε να επιβεβαιώσουμε. Είναι γενική πληροφόρηση, όχι νομική συμβουλή.

Η σύντομη απάντηση

Τα βασικά:

Δίπλα στο κουμπί αποστολής, βάλτε ένα σύντομο πρώτο επίπεδο ενημέρωσης (ποιος είστε, για ποιο σκοπό χρησιμοποιείτε τα δεδομένα, τα δικαιώματα του επισκέπτη) με σύνδεσμο προς την πλήρη πολιτική: είναι το μοντέλο ενημέρωσης σε επίπεδα που προτείνει η AEPD.
Δεν χρειάζεται κουτάκι «αποδέχομαι την πολιτική απορρήτου»: η AEPD απαντά ότι ο χρήστης δεν χρειάζεται να συναινέσει στο ενημερωτικό κείμενο.
Αν θέλετε να στέλνετε προσφορές, χρησιμοποιήστε ξεχωριστό, μη τσεκαρισμένο κουτάκι: το ΔΕΕ (C-673/17, Planet49, 1 Οκτωβρίου 2019) έκρινε ότι ένα προεπιλεγμένο κουτάκι δεν είναι έγκυρη συγκατάθεση.
Ζητάτε μόνο ό,τι χρειάζεται (άρθρο 5 παρ. 1 στοιχ. γ ΓΚΠΔ) και ποτέ αριθμό κάρτας σε φόρμα ή με email.
Κατά των ρομπότ, η CNIL (29 Απριλίου 2026) προτείνει εναλλακτικές λύσεις στα CAPTCHA που επαναχρησιμοποιούν δεδομένα, με παράδειγμα το reCAPTCHA της Google.

Τι να μπει δίπλα στη φόρμα: ενημέρωση σε επίπεδα

ΓΚΠΔ άρθρο 13 και AEPD:

Το άρθρο 13 του ΓΚΠΔ απαιτεί, όταν συλλέγετε δεδομένα από τον ίδιο τον επισκέπτη, να αναφέρετε: ταυτότητα και στοιχεία επικοινωνίας του υπευθύνου, τον υπεύθυνο προστασίας δεδομένων αν υπάρχει, σκοπούς και νομική βάση, αποδέκτες, διαβιβάσεις εκτός Ευρωπαϊκού Οικονομικού Χώρου, χρόνο αποθήκευσης, δικαιώματα, δικαίωμα καταγγελίας στην αρχή και αν το στοιχείο είναι υποχρεωτικό.
Η AEPD προτείνει ενημέρωση σε επίπεδα: ένα πρώτο επίπεδο δίπλα στη φόρμα, «δομημένο και πολύ συμπυκνωμένο», και ένα δεύτερο με τις λεπτομέρειες (την πολιτική απορρήτου), με σύνδεσμο από το πρώτο.
Παράδειγμα πρώτου επιπέδου (δική μας πρόταση, ελέγξτε τη με τον σύμβουλό σας): «Υπεύθυνος: [επωνυμία εταιρείας]. Σκοπός: απάντηση στο αίτημα πληροφοριών ή κράτησης. Δικαιώματα: πρόσβαση, διόρθωση, διαγραφή και άλλα, όπως εξηγεί η πολιτική απορρήτου [σύνδεσμος]».
Αν χρησιμοποιείτε μηχανή κρατήσεων, CRM ή υπηρεσία φορμών τρίτου, αναφέρετέ τα στο δεύτερο επίπεδο ως αποδέκτες και πείτε αν υπάρχουν διαβιβάσεις εκτός ΕΟΧ.
Τα ακριβή στοιχεία που ζητά η AEPD στο πρώτο επίπεδο: δεν επιβεβαιώθηκαν σε όσα διαβάσαμε. Οι οδηγίες της ελληνικής Αρχής Προστασίας Δεδομένων για το θέμα: δεν ελέγχθηκαν.

Το κουτάκι συγκατάθεσης: μόνο για μάρκετινγκ

Τι είπε το Δικαστήριο της ΕΕ:

Στην υπόθεση C-673/17 (Planet49), την 1η Οκτωβρίου 2019 το ΔΕΕ έκρινε ότι η συγκατάθεση δεν είναι έγκυρη αν δίνεται με προεπιλεγμένο κουτάκι που ο χρήστης πρέπει να αποεπιλέξει για να αρνηθεί.
Έκρινε επίσης ότι το πάτημα του κουμπιού συμμετοχής (εκεί, σε κλήρωση) δεν αποτελεί συγκατάθεση για κάτι άλλο: η συγκατάθεση πρέπει να είναι συγκεκριμένη.
Στον ιστότοπό σας (δική μας πρόταση): η απάντηση σε ένα αίτημα δεν χρειάζεται κουτάκι· η αποστολή newsletter ή προσφορών χρειάζεται. Βάλτε το ξεχωριστό, μη τσεκαρισμένο και με σαφές κείμενο: «Θέλω να λαμβάνω προσφορές από το ξενοδοχείο».
Αν ο επισκέπτης συναινέσει, το άρθρο 13 απαιτεί να του πείτε ότι μπορεί να ανακαλέσει τη συγκατάθεση ανά πάσα στιγμή.

Ποια δεδομένα να ζητάτε: ελαχιστοποίηση

ΓΚΠΔ άρθρο 5 παρ. 1 στοιχ. γ:

Ο ΓΚΠΔ απαιτεί τα δεδομένα να είναι «κατάλληλα, συναφή και να περιορίζονται στο αναγκαίο» για τον σκοπό (ελαχιστοποίηση των δεδομένων).
Για αίτημα πληροφοριών ή κράτησης συνήθως αρκούν: όνομα, ένα στοιχείο επικοινωνίας (τηλέφωνο ή email), ημερομηνίες, αριθμός ατόμων και ένα μήνυμα. Δική μας πρόταση.
Μη ζητάτε στη φόρμα ημερομηνία γέννησης, ταυτότητα, ταχυδρομική διεύθυνση ή δεδομένα υγείας: αν τα χρειαστείτε αργότερα (π.χ. για την καταγραφή επισκεπτών), ζητήστε τα τότε και από το προβλεπόμενο κανάλι.
Κάντε υποχρεωτικά μόνο τα απαραίτητα πεδία: το άρθρο 13 ζητά να αναφέρετε αν ένα στοιχείο είναι υποχρεωτικό και τι συμβαίνει αν δεν δοθεί.

Ποτέ στοιχεία κάρτας σε φόρμα

PCI Security Standards Council (10 Οκτωβρίου 2016):

Το PCI SSC λέει ότι «ο καλύτερος τρόπος προστασίας από παραβιάσεις δεδομένων είναι να μην αποθηκεύετε καθόλου δεδομένα καρτών».
Συστήνει να μη δέχεστε στοιχεία κάρτας με email και να αναθέτετε την επεξεργασία σε πάροχο συμμορφωμένο με το PCI DSS.
Μια φόρμα επικοινωνίας συνήθως καταλήγει σε θυρίδα email ή σε βάση δεδομένων του ιστότοπου· γι' αυτό δεν πρέπει να έχει πεδία κάρτας. Αυτό είναι δική μας συμβουλή· το άρθρο του PCI SSC δεν αναφέρεται σε φόρμες.
Αν χρειάζεστε εγγύηση, χρησιμοποιήστε την πύλη πληρωμών της μηχανής κρατήσεων ή της τράπεζας, ή εισπράξτε στο κατάλυμα.

Spam και ρομπότ: reCAPTCHA και εναλλακτικές χωρίς cookies

Τι μπορέσαμε να ελέγξουμε:

Η CNIL (ερωτήσεις και απαντήσεις της 29ης Απριλίου 2026) λέει ότι ένα CAPTCHA που χρησιμοποιείται μόνο για την ασφάλεια του ιστότοπου δεν χρειάζεται συγκατάθεση, αλλά χρειάζεται αν εξυπηρετεί και άλλους σκοπούς που δεν είναι απολύτως αναγκαίοι.
Η CNIL αναφέρει το reCAPTCHA της Google ως παράδειγμα παρόχου που επαναχρησιμοποιεί δεδομένα για δικό του λογαριασμό, ζητά να ελέγχονται οι όροι του και προτείνει εναλλακτικές λύσεις.
Τι λένε η ελληνική Αρχή Προστασίας Δεδομένων, η AEPD ή το ιταλικό Garante για το reCAPTCHA, και αν συνεπάγεται διεθνείς διαβιβάσεις: δεν επιβεβαιώθηκε.
Εναλλακτικές χωρίς cookies (πρακτική δική μας συμβουλή, όχι θέση κάποιας αρχής): ένα κρυφό πεδίο-παγίδα που οι άνθρωποι αφήνουν κενό, μια απλή ερώτηση («Πόσες νύχτες;»), όριο υποβολών ανά λεπτό και απόρριψη μηνυμάτων που στέλνονται μέσα σε λίγα δευτερόλεπτα.
Ό,τι κι αν επιλέξετε, αναφέρετέ το στην πολιτική απορρήτου ή cookies.

Προθεσμίες: απάντηση και διατήρηση

ΓΚΠΔ άρθρα 12 παρ. 3 και 5 παρ. 1 στοιχ. ε:

Αν κάποιος ζητήσει πρόσβαση, διαγραφή ή άλλο δικαίωμα, το άρθρο 12 παρ. 3 απαιτεί απάντηση χωρίς καθυστέρηση και το αργότερο εντός ενός μηνός· παρατείνεται κατά δύο ακόμη μήνες αν χρειάζεται, με ενημέρωση εντός του πρώτου μήνα.
Δεν βρήκαμε νόμιμη προθεσμία για την απάντηση σε αίτημα πληροφοριών ή κράτησης: δεν επιβεβαιώθηκε. Η απάντηση την ίδια μέρα είναι καλή επαγγελματική πρακτική.
Τα μηνύματα της φόρμας δεν πρέπει να διατηρούνται «για διάστημα μεγαλύτερο από όσο απαιτείται» (άρθρο 5 παρ. 1 στοιχ. ε). Ορίστε διάστημα, αναφέρετέ το στην πολιτική απορρήτου και διαγράψτε τα μηνύματα που δεν κατέληξαν σε κράτηση.
Συγκεκριμένος αριθμός ημερών ή μηνών διατήρησης: δεν επιβεβαιώθηκε.

Αν έχετε κατάλυμα: τι ρωτούν οι ταξιδιώτες την ΤΝ

Ερωτήσεις που ο ιστότοπός σας πρέπει να απαντά καθαρά:

«Μπορώ να κλείσω απευθείας με το ξενοδοχείο χωρίς να δώσω κάρτα;»
«Πώς επικοινωνώ με το ξενοδοχείο για επιπλέον κρεβάτι ή αργή άφιξη;»
«Απαντά γρήγορα το ξενοδοχείο στα αιτήματα;»
Δημοσιεύστε στον ιστότοπο τηλέφωνο, τρόπο πληρωμής και όρους ακύρωσης ως κείμενο, όχι μόνο μέσα στη φόρμα. Δεν μπορούμε να εγγυηθούμε ότι ένας βοηθός ΤΝ θα χρησιμοποιήσει αυτές τις πληροφορίες.

Πώς βοηθά η iQuota

Η iQuota φέρνει ανεξάρτητα καταλύματα στους βοηθούς ΤΝ με απευθείας κράτηση, πληρωμή στο κατάλυμα και 0% προμήθεια, με την τιμή και τους όρους που ορίζει κάθε κατάλυμα. Δεν μπορούμε να εγγυηθούμε ότι ένας βοηθός ΤΝ θα σας προτείνει.

Θέλετε οι ΤΝ να δίνουν τα πραγματικά σας στοιχεία, με απευθείας κράτηση και χωρίς προμήθεια; Τα πρώτα 30 ξενοδοχεία μπαίνουν δωρεάν έως τις 30 Ιουνίου 2027.

Δείτε το πρόγραμμα Founding Hotels (στα αγγλικά)

Συχνές ερωτήσεις

Χρειάζομαι κουτάκι «αποδέχομαι την πολιτική απορρήτου»;

Όχι για να απαντήσετε σε αίτημα: η AEPD απαντά ότι ο χρήστης δεν χρειάζεται να συναινέσει στο ενημερωτικό κείμενο. Πρέπει όμως να τον ενημερώσετε (άρθρο 13 ΓΚΠΔ), π.χ. με ένα πρώτο επίπεδο δίπλα στη φόρμα.

Μπορεί το κουτάκι των προσφορών να είναι ήδη τσεκαρισμένο;

Όχι. Το ΔΕΕ (C-673/17, Planet49, 2019) έκρινε ότι ένα προεπιλεγμένο κουτάκι δεν είναι έγκυρη συγκατάθεση.

Μπορώ να ζητήσω κάρτα στη φόρμα ως εγγύηση κράτησης;

Δεν είναι καλή ιδέα. Το PCI SSC λέει ότι το καλύτερο είναι να μην αποθηκεύετε δεδομένα καρτών και να αναθέτετε την επεξεργασία σε πάροχο συμμορφωμένο με το PCI DSS.

Είναι παράνομο το reCAPTCHA;

Δεν μπορούμε να το πούμε. Η CNIL (2026) λέει ότι απαιτεί συγκατάθεση αν εξυπηρετεί μη απολύτως αναγκαίους σκοπούς και προτείνει εναλλακτικές· η θέση της ελληνικής Αρχής δεν επιβεβαιώθηκε.

Σε πόσο χρόνο απαντώ σε αίτημα διαγραφής;

Χωρίς καθυστέρηση και το αργότερο εντός ενός μηνός, με δυνατότητα παράτασης κατά δύο μήνες (άρθρο 12 παρ. 3 ΓΚΠΔ).

Πηγές

Περισσότεροι οδηγοί για ξενοδοχεία

Περισσότεροι οδηγοί για ξενοδοχεία →

Español · English · Italiano · Português