¿Qué obligaciones de RGPD tiene un restaurante en España?

Un restaurante en España que recoge datos de clientes (reservas, fidelización, wifi, cámaras) está sujeto al RGPD y a la LOPDGDD. Las obligaciones mínimas son: 1) Política de privacidad visible en la web. 2) Consentimiento explícito al recoger datos (no casillas pre-marcadas). 3) Registro de actividades de tratamiento. 4) Cartel informativo si hay cámaras de videovigilancia. 5) Eliminación de datos cuando el cliente lo solicite. Las multas por incumplimiento van de 600€ a 20 millones, según gravedad.

¿Qué es el phishing en reservas y cómo evitarlo?

El phishing en reservas consiste en correos falsos que simulan ser de plataformas conocidas (las plataformas con comisión, las plataformas tradicionales, Google) pidiendo confirmación de cuenta, datos bancarios o cambios de comisión. Para evitarlo: 1) Nunca des contraseñas por email. 2) Verifica que la URL es oficial (busca el candado y el dominio exacto). 3) Si dudas, llama al teléfono oficial de la plataforma. 4) Forma a tu equipo para no caer en mensajes de WhatsApp con enlaces sospechosos.

¿Cómo proteger el TPV de un restaurante de malware?

Para proteger el TPV: 1) Mantén el sistema operativo actualizado. 2) No uses el TPV para navegar por internet ni ver YouTube. 3) Cambia contraseñas por defecto del TPV y del router. 4) Usa USBs solo conocidos (los malware se propagan así). 5) Si el TPV es en la nube, verifica que tiene 2FA (autenticación en dos pasos). 6) Solo instala apps verificadas por el proveedor del TPV.

¿Hay que tener wifi separada para clientes y para el TPV?

Sí, es la práctica más segura. Tener una sola red wifi donde se conectan clientes, TPV y cámaras es peligroso: un cliente con malware en su móvil puede infectar el TPV. La solución es tener dos redes: una wifi para clientes (aislada, con clave que cambias cada mes) y otra wifi privada solo para TPV, cámaras y dispositivos del negocio. La mayoría de routers modernos lo permiten gratis.

¿Las reseñas falsas en Google son ilegales?

Sí. Las reseñas falsas (positivas pagadas o negativas de competidores) violan los términos de Google y, en España, pueden constituir competencia desleal según la Ley de Competencia Desleal. Google detecta cada vez mejor los patrones de bots y penaliza al negocio bajando su posicionamiento. Si recibes reseñas falsas negativas, puedes denunciarlas a Google con el botón 'Marcar como inapropiado' y, en casos graves, denuncia ante la Agencia Española de Protección de Datos.

Ciberseguridad en hostelería

👩‍💻

Por el equipo de Campa&Go Cofundadora de Campa&Go y profesional en activo en ciberseguridad. Esta guía es lo que yo le explico a mis amigos hosteleros cuando me preguntan por dónde empezar.

La hostelería es uno de los sectores más atacados por ciberdelincuentes en España. ¿La razón? Manejáis muchos datos sensibles (reservas con teléfonos, tarjetas de crédito en el TPV, cuentas de Google Maps) y, a la vez, sois pequeños y con poco presupuesto en IT. Una combinación ideal para quien busca víctimas fáciles. Esta guía no es alarmista: son los cinco frentes reales que cualquier autónomo hostelero debería cubrir, ordenados de más urgente a menos.

📑 Índice

RGPD y datos de tus clientes
Phishing en reservas y plataformas
Proteger tu TPV de malware
Wifi seguro: la separación crítica
Reseñas falsas y reputación online
Plan en 5 acciones para esta semana

🛡️ ¿Prefieres comprobarlo tú mismo ahora?

Tenemos herramientas gratis para hacerlo en segundos: analizar un mensaje sospechoso, ver si pueden suplantar tu correo, comprobar una web o un QR antes de fiarte.

Ver las herramientas gratis →

🕵️ ¿Es una estafa? · 📧 ¿Suplantan tu correo? · 🔗 ¿Web de fiar?

1. RGPD y datos de tus clientes

El Reglamento General de Protección de Datos (RGPD) y su versión española (LOPDGDD) no son cosa solo de grandes empresas. Si tienes un restaurante pequeño que recoge teléfonos para reservas, tiene wifi para clientes, cámara de seguridad, programa de fidelización o newsletter, estás obligado a cumplirlo.

La Agencia Española de Protección de Datos (AEPD) sanciona cada año a cientos de bares y restaurantes españoles. Las multas más comunes son por no tener política de privacidad, por consentimiento mal recogido (casillas pre-marcadas, formularios sin checkbox) o por no informar de las cámaras con el cartel visible obligatorio.

⚠️ Caso real (anonimizado)

Un bar de tapas en Sevilla recibió una multa de 6.000€ en 2024 por tener un formulario de reservas en la web sin política de privacidad y sin checkbox de consentimiento. El cliente que les denunció era un letrado en formación. La denuncia fue gratis para él, la multa cara para el bar.

Obligaciones mínimas en hostelería

✅ RGPD para tu restaurante

Política de privacidad visible en la web (enlace en el pie de página)
Aviso legal con datos del titular (CIF, dirección, contacto)
Consentimiento explícito en formularios (checkbox NO pre-marcado)
Cartel de cámaras visible si tienes videovigilancia (modelo oficial AEPD)
Registro de actividades de tratamiento (documento interno, no se publica)
Eliminación de datos cuando el cliente lo pida (derecho al olvido)
Wifi con captive portal si recoge datos del cliente

💡 Si haces 1 reserva al día con teléfono, en 1 año tienes una base de datos de 365 personas. Eso es legalmente "tratamiento de datos personales" y aplica RGPD.

2. Phishing en reservas y plataformas

El phishing es el engaño por correo o WhatsApp que simula ser una empresa conocida para robarte credenciales o dinero. En hostelería, los ataques más comunes son:

Phishing de reservas online: te llega un email que parece de tu plataforma de reservas habitual (con su logo, color y todo) avisando de "actividad sospechosa" o "cambio de comisión". Pide que entres y "verifiques" la cuenta. Si pones tu contraseña en esa página falsa, el atacante entra en tu cuenta real y manipula reservas, cobra a tus clientes o roba el saldo acumulado.

Phishing de Google My Business: te llega un correo "de Google" diciendo que tu ficha será suspendida si no verificas. Te llevan a una URL falsa que parece Google. Si caes, pierdes el control de tu ficha de Google Maps (donde están todas tus reseñas y horarios).

Phishing de proveedores: alguien suplanta a tu proveedor habitual de carne, pescado o bebida y te manda una factura con datos bancarios cambiados. Si pagas sin verificar, el dinero va a una cuenta del atacante.

⚠️ Señal típica de phishing en hostelería

Si el email te crea urgencia falsa ("verifica en 24h o tu cuenta será suspendida"), pide credenciales que ya tienes asociadas, o tiene faltas de ortografía, es phishing en el 95% de los casos. Llama por teléfono a la plataforma usando un número que TÚ busques en Google, no el que viene en el email.

Cómo entrenar a tu equipo en 5 minutos

🛡️ Regla de oro: "Cuelga y llama"

Si alguien te llama o escribe pidiendo datos urgentes → cuelga
Busca tú el teléfono oficial de la plataforma en Google
Llama tú y pregunta: ¿es real esto?
Si era real, no pasa nada. Si era phishing, te has salvado.
Cuesta 3 minutos. Puede ahorrarte 3.000€ y tu reputación.

3. Proteger tu TPV de malware

El TPV de un restaurante es el objetivo más jugoso para un ciberdelincuente: pasa por él el cobro con tarjeta de cientos de clientes al mes. Si un TPV se infecta con malware tipo "RAM scraper", puede capturar números de tarjeta antes de que se encripten, y vender esos datos en la dark web.

Los TPV físicos antiguos (con sistema operativo Windows XP o similar) son especialmente vulnerables. Los TPV modernos en la nube son más seguros, pero solo si están bien configurados.

Riesgos típicos

USB infectados: alguien (incluso un empleado bienintencionado) enchufa su pendrive personal al TPV para imprimir algo. El pendrive trae un virus que se instala silenciosamente.

Navegación en el TPV: el camarero usa el TPV para ver el resultado del partido, mirar el correo personal, o ponerse Spotify. Cada web visitada es una puerta de entrada.

Contraseñas por defecto: muchos TPV vienen con contraseña "admin/admin" o "1234". Si no se cambia, es como dejar la puerta abierta.

Software pirata: instalar "cracks" o software descargado de webs raras es una de las vías principales de infección.

🔐 Protección del TPV en 6 reglas

El TPV solo es para cobrar. Nada de YouTube, Facebook, ni correo personal
Contraseñas únicas por usuario (camarero 1, camarero 2, encargado)
Cierre de sesión obligatorio al cambiar turno
Solo USBs del negocio. Si llega uno externo, no se enchufa
Actualizaciones automáticas activadas (no las pospongas)
2FA (verificación en dos pasos) si el TPV es en la nube

💡 Si tu TPV es Windows XP o Windows 7, dejará de recibir actualizaciones de seguridad en algún momento. Es como conducir un coche sin frenos: funciona hasta que no funciona.

4. Wifi seguro: la separación crítica

La práctica más extendida —y más peligrosa— en hostelería pequeña es usar UNA sola red wifi para todo: clientes, TPV, cámaras, móvil del dueño, smart TV. Esto crea un agujero de seguridad enorme.

Si un cliente se conecta con su móvil infectado, el malware puede "saltar" de su móvil al TPV que está en la misma red. O al revés: si el TPV se infecta, puede atacar los dispositivos de los clientes y crearte un problema legal serio.

La solución: 2 redes wifi

La inmensa mayoría de routers modernos permiten crear 2 redes wifi gratis: una "principal" y una "para invitados". Aprovecha esto.

Wifi principal (privada): solo TPV, cámaras, ordenador del negocio, móviles del equipo. Contraseña larga (mínimo 12 caracteres), que solo conozca el dueño/encargado.

Wifi para invitados (clientes): aislada de la principal (no se pueden ver entre sí). Contraseña que puedes cambiar cada semana o cada mes. Idealmente con un "captive portal" para registrar el uso (legalmente recomendable).

📶 Configuración wifi recomendada

Red privada con WPA3 o WPA2 (NO WEP que es obsoleto)
Red invitados activada en modo "isolated" (los clientes no se ven entre sí)
SSID oculto de la red privada (no aparece en el listado público)
Cambia el SSID por defecto: NO uses "MOVISTAR_XXXX" (revela operador)
Contraseña del router de administración cambiada (NO admin/admin)
Firmware del router actualizado (al menos 1 vez al año)

📖 Guía completa: reseñas falsas y extorsión por reseñas →
5. Reseñas falsas y reputación online

Las reseñas en Google, TripAdvisor y similares pueden hacer o deshacer un restaurante en 2026. Y la guerra de reseñas falsas (positivas pagadas o negativas de competidores) es real.

Lo bueno: Google detecta cada vez mejor los patrones de bots. Lo malo: cuando te detectan haciendo reseñas falsas POSITIVAS, te pueden penalizar bajando tu posicionamiento de forma muy difícil de revertir.

Lo que NUNCA debes hacer

❌ Prácticas que te pueden hundir

Comprar reseñas en webs tipo "compra 50 reseñas 5 estrellas por 99€" (Google las detecta)
Pedir a familiares que te dejen 5 estrellas con cuentas nuevas (patrón sospechoso)
Ofrecer comida gratis a cambio de reseñas (viola los términos de Google)
Poner una tablet en el local con tu propia ficha abierta (Google detecta IPs locales)
Pedir solo reseñas positivas (legalmente cuestionable como práctica desleal)

Lo que SÍ funciona

✅ Construcción honesta de reputación

Pide reseñas a TODOS los clientes contentos (no filtres positivos)
Responde a TODAS las reseñas, especialmente a las negativas, sin perder los nervios
Soluciona el problema real ofrecido en la queja
Si recibes una reseña falsa negativa evidente (de competencia, de cliente que nunca fue), denúnciala a Google con "Marcar como inapropiado"
En casos graves de difamación, conserva pruebas y consulta con abogado

📋 Plan en 5 acciones para esta semana

Si solo tienes 1 hora esta semana para mejorar tu ciberseguridad, haz esto:

🎯 Plan de 1 hora · 5 acciones

Acción 1 (10 min): Cambia las contraseñas por defecto del router y del TPV. Usa una contraseña distinta para cada cosa.
Acción 2 (10 min): Activa la red wifi de invitados en tu router (separada de la principal).
Acción 3 (15 min): Revisa tu política de privacidad. Si no la tienes, hay generadores gratuitos online; lee el resultado antes de copiarlo.
Acción 4 (10 min): Activa 2FA (verificación en dos pasos) en tu cuenta de Google My Business, tu plataforma de reservas, y tu Stripe (si lo usas).
Acción 5 (15 min): Habla 10 minutos con tu equipo sobre phishing y la "regla cuelga y llama". Que sepan que si algo huele raro, te avisen.

Una herramienta más segura desde el día 1

Campa&Go está construida pensando en ciberseguridad: contraseñas con bcrypt, 2FA opcional, sin almacenamiento de tarjetas (Stripe), cumplimiento RGPD por diseño. Si vas a usar software para tu restaurante, asegúrate de que el que elijas se toma esto en serio.

Ver herramientas Campa&Go →