Formulario de contacto y de reservas en la web del hotel: privacidad, spam y robots (2026)

Actualizada: 10 de noviembre de 2026

El formulario de contacto es, muchas veces, la primera reserva directa de un hotel pequeño. También es la puerta por la que entra el spam y la parte de la web donde más datos personales se piden. Esta guía resume lo que pudimos comprobar el 10 de noviembre de 2026 en el texto del RGPD, en la AEPD, en el Tribunal de Justicia de la UE (asunto C-673/17), en la CNIL y en el PCI Security Standards Council, y marca lo que no pudimos confirmar. Es información general, no asesoramiento jurídico.

La respuesta corta

Lo esencial:

Junto al botón de enviar, pon una primera capa breve de privacidad (quién eres, para qué usas los datos, tus derechos) con un enlace a la política completa: es el modelo por capas que recomienda la AEPD.
No hace falta una casilla de «acepto la política de privacidad»: la AEPD responde que el usuario no tiene que dar su consentimiento a la cláusula informativa.
Si quieres enviar promociones, usa una casilla aparte, sin marcar: el TJUE (C-673/17, Planet49, 1 de octubre de 2019) dijo que una casilla premarcada no es un consentimiento válido.
Pide solo lo necesario (art. 5.1.c del RGPD) y nunca el número de tarjeta en un formulario o por correo.
Para frenar robots, la CNIL (29 de abril de 2026) recomienda alternativas a los CAPTCHA que reutilizan datos, y cita reCAPTCHA de Google como ejemplo.

Qué poner junto al formulario: información por capas

RGPD art. 13 y AEPD:

El art. 13 del RGPD obliga a informar, cuando recoges datos del propio cliente, de: identidad y contacto del responsable (tu empresa), delegado de protección de datos si lo tienes, finalidad y base jurídica, destinatarios, transferencias fuera del Espacio Económico Europeo, plazo de conservación, derechos, derecho a reclamar ante la autoridad y si el dato es obligatorio.
La AEPD recomienda informar por capas: una primera capa «de forma estructurada y muy concentrada» junto al formulario, y una segunda capa con el detalle (tu política de privacidad), enlazada desde la primera.
Ejemplo de primera capa (consejo nuestro, adáptalo con tu asesor): «Responsable: [nombre de la empresa]. Finalidad: contestar tu consulta o solicitud de reserva. Derechos: acceso, rectificación, supresión y otros, como se explica en la política de privacidad [enlace]».
Si usas un motor de reservas, un CRM o un servicio de formularios de terceros, cuéntalo en la segunda capa como destinatario y di si hay transferencias fuera del EEE.
Los epígrafes exactos que la AEPD pide en la primera capa no los pudimos confirmar en lo que leímos: no confirmado.

La casilla de consentimiento: solo para marketing

Lo que dijo el Tribunal de Justicia de la UE:

En el asunto C-673/17 (Planet49), el TJUE dijo el 1 de octubre de 2019 que el consentimiento no es válido si se recoge con una casilla premarcada que el usuario tiene que desmarcar para negarse.
También dijo que pulsar el botón de participar (allí, en un sorteo) no basta como consentimiento para otra cosa: el consentimiento debe ser específico.
Aplicado a tu web (consejo nuestro): responder a una consulta no exige casilla; enviar boletines u ofertas, sí. Pon esa casilla separada, sin marcar y con un texto claro: «Quiero recibir ofertas del hotel».
Si el cliente da su consentimiento, el art. 13 exige decirle que puede retirarlo en cualquier momento.

Qué datos pedir: minimización

RGPD art. 5.1.c:

El RGPD exige que los datos sean «adecuados, pertinentes y limitados a lo necesario» para la finalidad (principio de minimización).
Para una consulta o una solicitud de reserva suele bastar con: nombre, un medio de contacto (teléfono o correo), fechas, número de personas y un mensaje. Consejo nuestro.
No pidas fecha de nacimiento, documento de identidad, dirección postal ni datos de salud en el formulario: si los necesitas más adelante (por ejemplo, para el registro de viajeros), pídelos en ese momento y por el cauce previsto.
Marca como obligatorios solo los campos imprescindibles: el art. 13 pide informar de si un dato es obligatorio y qué pasa si no se da.

Nunca pidas la tarjeta por formulario

PCI Security Standards Council (10 de octubre de 2016):

El PCI SSC dice que «la mejor manera de protegerse contra las brechas de datos es no almacenar datos de tarjeta en absoluto».
Desaconseja aceptar datos de tarjeta por correo electrónico y propone externalizar el cobro a un proveedor que cumpla la norma PCI DSS.
Un formulario de contacto acaba normalmente en un buzón de correo o en una base de datos de la web: por eso no debe incluir campos de tarjeta. Esto último es consejo nuestro; el artículo del PCI SSC no habla de formularios.
Si necesitas una garantía, usa la pasarela de pago de tu motor de reservas o de tu banco, o cobra en el alojamiento.

Spam y robots: reCAPTCHA y alternativas sin cookies

Lo que pudimos comprobar:

La CNIL (preguntas y respuestas del 29 de abril de 2026) dice que un CAPTCHA que solo sirve para la seguridad del sitio no necesita consentimiento, pero sí si sirve también para otros fines no estrictamente necesarios.
La CNIL cita reCAPTCHA de Google como ejemplo de proveedor que reutiliza datos por cuenta propia, pide revisar sus condiciones y recomienda soluciones alternativas.
Qué dicen la AEPD, el Garante italiano o la CNPD portuguesa sobre reCAPTCHA, y si implica transferencias internacionales: no confirmado.
Alternativas sin cookies (consejo práctico nuestro, no criterio de ninguna autoridad): un campo trampa oculto que los humanos no rellenan, una pregunta sencilla («¿Cuántas noches?»), limitar los envíos por minuto y rechazar mensajes enviados en menos de unos segundos.
Sea cual sea la solución, menciónala en tu política de privacidad o de cookies.

Plazos: responder y conservar

RGPD arts. 12.3 y 5.1.e:

Si alguien pide acceso, supresión u otro derecho, el art. 12.3 fija responder sin dilación indebida y, como máximo, en un mes; prorrogable dos meses más si hace falta, avisando dentro del primer mes.
Para contestar una consulta o una petición de reserva no encontramos un plazo legal: no confirmado. Responder el mismo día es una buena práctica comercial.
Los mensajes del formulario no deben guardarse «más tiempo del necesario» (art. 5.1.e). Fija un plazo, ponlo en la política de privacidad y borra los mensajes que no acabaron en reserva.
Un número concreto de días o meses para conservar estos mensajes: no confirmado.

Si tienes un alojamiento: qué preguntan los viajeros a la IA

Preguntas que conviene que tu web conteste con claridad:

«¿Puedo reservar directamente con el hotel sin dar mi tarjeta?»
«¿Cómo contacto con el hotel para pedir una cama supletoria o una llegada tarde?»
«¿El hotel contesta rápido a las consultas?»
Publica en tu web el teléfono, la forma de pago y las condiciones de cancelación en texto, no solo dentro del formulario. No podemos garantizar que un asistente de IA use esa información.

Cómo ayuda iQuota

iQuota pone alojamientos independientes a disposición de los asistentes de IA con reserva directa, pago en el alojamiento y 0 % de comisión, con el precio y las condiciones que fija cada alojamiento. No podemos garantizar que un asistente de IA te recomiende.

¿Quieres que las IA den tus datos reales, con reserva directa y sin comisión? Los primeros 30 hoteles entran gratis hasta el 30 de junio de 2027.

Ver el programa Hoteles Fundadores

Preguntas frecuentes

¿Tengo que poner una casilla de «acepto la política de privacidad»?

No para responder a una consulta: la AEPD responde que el usuario no tiene que dar su consentimiento a la cláusula informativa. Sí debes informarle (art. 13 del RGPD), por ejemplo con una primera capa junto al formulario.

¿Puedo dejar marcada la casilla de recibir ofertas?

No. El TJUE (C-673/17, Planet49, 2019) dijo que una casilla premarcada no es un consentimiento válido.

¿Puedo pedir la tarjeta en el formulario para garantizar la reserva?

No es buena idea. El PCI SSC dice que lo mejor es no almacenar datos de tarjeta y externalizar el cobro a un proveedor que cumpla PCI DSS.

¿Es ilegal usar reCAPTCHA?

No lo podemos afirmar. La CNIL (2026) dice que necesita consentimiento si sirve para fines no estrictamente necesarios y recomienda alternativas; el criterio de la AEPD no está confirmado.

¿En cuánto tiempo debo contestar una solicitud de supresión?

Sin dilación indebida y como máximo en un mes, prorrogable dos meses más (art. 12.3 del RGPD).

Fuentes

Más guías para hoteles

Más guías para hoteles →

English · Italiano · Português · Ελληνικά