Formulário de contacto e de reserva no site do hotel: privacidade, spam e robôs (2026)

Atualizada: 10 de novembro de 2026

Para um hotel pequeno, o formulário de contacto é muitas vezes a primeira reserva direta. É também a porta por onde entra o spam e a parte do site onde se pedem mais dados pessoais. Este guia resume o que conseguimos verificar a 10 de novembro de 2026 no texto do RGPD, na autoridade espanhola (AEPD), no Tribunal de Justiça da UE (processo C-673/17), na CNIL francesa e no PCI Security Standards Council, e assinala o que não conseguimos confirmar. É informação geral, não aconselhamento jurídico.

A resposta curta

O essencial:

Junto ao botão de enviar, ponha uma primeira camada breve de privacidade (quem é, para que usa os dados, os direitos do hóspede) com uma ligação para a política completa: é o modelo por camadas que a AEPD recomenda.
Não precisa de uma caixa «aceito a política de privacidade»: a AEPD responde que o utilizador não tem de dar consentimento à cláusula informativa.
Se quiser enviar promoções, use uma caixa à parte, não assinalada: o TJUE (C-673/17, Planet49, 1 de outubro de 2019) decidiu que uma caixa pré-assinalada não é um consentimento válido.
Peça só o necessário (art. 5.º, n.º 1, alínea c), do RGPD) e nunca o número do cartão num formulário ou por email.
Contra robôs, a CNIL (29 de abril de 2026) recomenda alternativas aos CAPTCHA que reutilizam dados, citando o reCAPTCHA da Google como exemplo.

O que pôr junto ao formulário: informação por camadas

RGPD art. 13 e AEPD:

O art. 13.º do RGPD obriga a informar, quando recolhe dados do próprio hóspede, de: identidade e contactos do responsável, encarregado da proteção de dados se existir, finalidades e fundamento jurídico, destinatários, transferências para fora do Espaço Económico Europeu, prazo de conservação, direitos, direito de reclamar à autoridade e se o dado é obrigatório.
A AEPD recomenda informar por camadas: uma primeira camada junto ao formulário, «estruturada e muito concentrada», e uma segunda camada com o detalhe (a política de privacidade), ligada a partir da primeira.
Exemplo de primeira camada (sugestão nossa, confirme com o seu consultor): «Responsável: [nome da empresa]. Finalidade: responder ao seu pedido de informação ou de reserva. Direitos: acesso, retificação, apagamento e outros, conforme a política de privacidade [ligação]».
Se usa um motor de reservas, um CRM ou um serviço de formulários de terceiros, indique-o na segunda camada como destinatário e diga se há transferências para fora do EEE.
As rubricas exatas que a AEPD pede na primeira camada: não confirmadas no que lemos. As orientações da CNPD portuguesa sobre este ponto: não verificadas.

A caixa de consentimento: só para marketing

O que disse o Tribunal de Justiça da UE:

No processo C-673/17 (Planet49), a 1 de outubro de 2019 o TJUE decidiu que o consentimento não é válido se for recolhido com uma caixa pré-assinalada que o utilizador tem de desmarcar para recusar.
Decidiu também que carregar no botão para participar (ali, num sorteio) não vale como consentimento para outra coisa: o consentimento tem de ser específico.
No seu site (sugestão nossa): responder a um pedido não exige caixa; enviar newsletters ou ofertas, sim. Ponha essa caixa à parte, não assinalada e com texto claro: «Quero receber ofertas do hotel».
Se o hóspede consentir, o art. 13.º exige dizer-lhe que pode retirar o consentimento a qualquer momento.

Que dados pedir: minimização

RGPD art. 5.º, n.º 1, alínea c):

O RGPD exige que os dados sejam «adequados, pertinentes e limitados ao que é necessário» para a finalidade (minimização dos dados).
Para um pedido de informação ou de reserva bastam normalmente: nome, um contacto (telefone ou email), datas, número de pessoas e uma mensagem. Sugestão nossa.
Não peça no formulário data de nascimento, documento de identificação, morada ou dados de saúde: se precisar deles mais tarde (por exemplo, para o registo de hóspedes), peça-os nesse momento e pelo canal previsto.
Torne obrigatórios só os campos indispensáveis: o art. 13.º pede que informe se um dado é obrigatório e o que acontece se não for fornecido.

Nunca peça o cartão num formulário

PCI Security Standards Council (10 de outubro de 2016):

O PCI SSC diz que «a melhor forma de se proteger contra violações de dados é não guardar dados de cartões de todo».
Desaconselha aceitar dados de cartão por email e sugere externalizar o processamento a um fornecedor que cumpra a norma PCI DSS.
Um formulário de contacto acaba normalmente numa caixa de correio ou numa base de dados do site: por isso não deve ter campos de cartão. Este último ponto é conselho nosso; o artigo do PCI SSC não fala de formulários.
Se precisar de uma garantia, use o gateway de pagamento do motor de reservas ou do banco, ou cobre no alojamento.

Spam e robôs: reCAPTCHA e alternativas sem cookies

O que conseguimos verificar:

A CNIL (perguntas e respostas de 29 de abril de 2026) diz que um CAPTCHA usado apenas para a segurança do site não precisa de consentimento, mas precisa se servir também outros fins não estritamente necessários.
A CNIL cita o reCAPTCHA da Google como exemplo de fornecedor que reutiliza dados por conta própria, pede que se verifiquem as suas condições e recomenda soluções alternativas.
O que dizem a CNPD, a AEPD ou o Garante italiano sobre o reCAPTCHA, e se implica transferências internacionais: não confirmado.
Alternativas sem cookies (conselho prático nosso, não posição de nenhuma autoridade): um campo armadilha oculto que as pessoas deixam vazio, uma pergunta simples («Quantas noites?»), um limite de envios por minuto e rejeitar mensagens enviadas em poucos segundos.
Seja qual for a solução, mencione-a na política de privacidade ou de cookies.

Prazos: responder e conservar

RGPD arts. 12.º, n.º 3, e 5.º, n.º 1, alínea e):

Se alguém pedir acesso, apagamento ou outro direito, o art. 12.º, n.º 3, obriga a responder sem demora injustificada e no prazo máximo de um mês; prorrogável por mais dois meses se necessário, informando dentro do primeiro mês.
Não encontrámos um prazo legal para responder a um pedido de informação ou de reserva: não confirmado. Responder no próprio dia é uma boa prática comercial.
As mensagens do formulário não devem ser guardadas «durante mais tempo do que o necessário» (art. 5.º, n.º 1, alínea e)). Fixe um prazo, indique-o na política de privacidade e apague as mensagens que não deram origem a reserva.
Um número concreto de dias ou meses de conservação: não confirmado.

Se tem um alojamento: o que os viajantes perguntam à IA

Perguntas a que o seu site deve responder com clareza:

«Posso reservar diretamente com o hotel sem dar o meu cartão?»
«Como contacto o hotel para pedir uma cama extra ou uma chegada tardia?»
«O hotel responde depressa aos pedidos?»
Publique no site o telefone, a forma de pagamento e as condições de cancelamento em texto, não só dentro do formulário. Não podemos garantir que um assistente de IA use essa informação.

Como ajuda a iQuota

A iQuota coloca alojamentos independentes à disposição dos assistentes de IA com reserva direta, pagamento no alojamento e 0 % de comissão, com o preço e as condições que cada alojamento define. Não podemos garantir que um assistente de IA o recomende.

Quer que as IA deem os seus dados reais, com reserva direta e sem comissão? Os primeiros 30 hotéis entram grátis até 30 de junho de 2027.

Ver o programa Founding Hotels (em inglês)

Perguntas frequentes

Preciso de uma caixa «aceito a política de privacidade»?

Não para responder a um pedido: a AEPD responde que o utilizador não tem de dar consentimento à cláusula informativa. Tem, sim, de o informar (art. 13.º do RGPD), por exemplo com uma primeira camada junto ao formulário.

A caixa das ofertas pode vir já assinalada?

Não. O TJUE (C-673/17, Planet49, 2019) decidiu que uma caixa pré-assinalada não é um consentimento válido.

Posso pedir o cartão no formulário para garantir a reserva?

Não é boa ideia. O PCI SSC diz que o melhor é não guardar dados de cartões e externalizar o processamento a um fornecedor que cumpra a PCI DSS.

Usar o reCAPTCHA é ilegal?

Não o podemos afirmar. A CNIL (2026) diz que exige consentimento se servir fins não estritamente necessários e recomenda alternativas; a posição da CNPD não está confirmada.

Em quanto tempo devo responder a um pedido de apagamento?

Sem demora injustificada e no prazo máximo de um mês, prorrogável por mais dois meses (art. 12.º, n.º 3, do RGPD).

Fontes

Mais guias para hotéis

Mais guias para hotéis →

Español · English · Italiano · Ελληνικά