Due diligence de TI na compra de um hotel: o que avaliar antes de assinar

Por que a TI entra na due diligence de um hotel

Na compra de um hotel, a due diligence costuma olhar as contas, os contratos, os imóveis, as licenças e o trabalhista. A tecnologia pode receber menos atenção, e é nela que o comprador descobre, depois de assinar, que o domínio do site está no CPF de um ex-gerente, que o contrato do PMS renova por mais três anos com multa, ou que os servidores rodam um Windows sem atualizações de segurança.

Alguns desses achados mudam o preço, as garantias pedidas ao vendedor e o orçamento dos primeiros meses. Outros precisam ser resolvidos, ou cobertos no contrato, antes do fechamento. Um levantamento feito antes da assinatura dá ao comprador três coisas: a lista do que precisa ser transferido na troca de dono, o investimento que ficou represado e os riscos que pedem uma cláusula no contrato de compra.

Comece por confirmar o que está sendo comprado. O dono do imóvel nem sempre é quem opera o hotel ou contrata os sistemas. Em um hotel administrado por uma operadora ou rede, o PMS, os contratos de TI e parte dos dados podem estar com a operadora. Se a compra for só do imóvel, esses contratos, acessos e sistemas podem continuar com ela, e é o contrato de administração que diz o que muda.

A forma da operação muda o trabalho. Na compra de quotas ou ações, a empresa que opera o hotel em geral mantém o CNPJ, os contratos e os cadastros, sujeitos às cláusulas de mudança de controle e às aprovações que se apliquem. Na compra dos ativos, o comprador em geral opera pelo próprio CNPJ, que pode ser de uma empresa já existente, e precisa saber quais contratos, licenças, cadastros e contas de pagamento podem ser transferidos, quais dependem de consentimento da outra parte e quais precisam ser refeitos antes da troca da operação. Isso inclui o Cadastur, obrigatório para meios de hospedagem pela Lei Geral do Turismo (Lei nº 11.771/2008, art. 22), e a FNRH Digital, ligada a ele. Se o hotel tem bandeira, verifique também quais sistemas a rede exige e o que acontece com eles se a bandeira mudar.

O que pedir ao vendedor no data room

Uma lista curta, pedida cedo, evita semanas de idas e vindas. Para a parte de tecnologia, peça:

• Inventário de sistemas: PMS, POS, motor de reservas, channel manager, sistema de fechaduras, ERP ou financeiro, e-mail, telefonia, CFTV e Wi-Fi.
• Todos os contratos de tecnologia vigentes, com aditivos, e as faturas dos últimos 12 meses.
• A lista de quem administra cada conta: domínio, e-mail, PMS, extranets das OTAs, perfil do Google, adquirentes e bancos.
• Diagrama de rede, ou o que existir dele, e a lista de equipamentos com idade aproximada.
• Relatórios de incidentes de segurança e de vazamentos de dados dos últimos anos, e eventuais comunicações à ANPD.
• Os comprovantes da última validação PCI DSS, se houver: o questionário de autoavaliação (SAQ) ou o relatório de avaliação (ROC), o atestado (AOC) e os relatórios de varredura exigidos, conforme o adquirente ou as bandeiras de cartão pedirem.
• A política de privacidade, o registro das operações de tratamento de dados, se existir, e os contratos com quem trata dados em nome do hotel.
• Os serviços compartilhados: sistemas, licenças, contas de administração e integrações fornecidos pelo grupo do vendedor, pela operadora ou pela bandeira (por exemplo, o Microsoft 365, o backup, o monitoramento de segurança e contratos geridos pela sede), e como serão separados ou mantidos depois da venda.
• Os projetos de tecnologia em andamento, os investimentos já aprovados, os pedidos em aberto com fornecedores e as atualizações exigidas pela bandeira nos próximos 12 a 24 meses.

As lacunas no que o vendedor entrega também são informação. Um hotel sem inventário nem lista de acessos vai exigir mais trabalho depois da compra.

Nesta fase, evite pedir cópias dos cadastros de hóspedes e de funcionários. Inventários, contratos, relatórios agregados e demonstrações acompanhadas cobrem boa parte do trabalho; dados pessoais detalhados só devem circular quando forem necessários, com acesso restrito e revisão do advogado.

Contratos e licenças

Leia cada contrato procurando quatro coisas: prazo e renovação automática, multa de rescisão, o que acontece com uma mudança de controle ou cessão, e quem é o dono dos dados e dos equipamentos.

Peça também a lista de software instalado nos computadores. Licenças irregulares podem gerar custo de regularização e passivo, conforme a forma da operação; identifique-as antes de negociar o preço e as garantias.

Confirme também se o comprador consegue receber uma cópia completa, em formato que possa ser usado, das reservas, inclusive as futuras, dos cadastros de hóspedes, das configurações e dos dados financeiros, sem depender por tempo indeterminado dos sistemas do vendedor. Isso pesa quando o PMS está em uma conta do grupo vendedor, compartilhada com outros hotéis. O contrato com o fornecedor pode permitir a exportação, e a LGPD continua valendo para o uso desses dados.

Concilie também as reservas futuras com o dinheiro. Liste as reservas individuais, de grupos e de eventos, os depósitos e pagamentos antecipados, os reembolsos e contestações (chargebacks) em aberto, as comissões devidas às OTAs e os vales ou créditos de fidelidade, e verifique quem recebeu cada valor e quem vai prestar o serviço depois do fechamento. O hóspede que pagou ao vendedor vai chegar a um hotel que já é do comprador, e o acerto desses valores entra no contrato de compra. Se o adquirente ou o gateway mudar, confirme se os tokens de cartão guardados continuam funcionando ou se será preciso pedir os dados de pagamento de novo.

Quando o comprador ainda depender de sistemas ou equipes do vendedor depois do fechamento (e-mail, PMS, backup, financeiro), combine um acordo de serviços de transição (TSA). Ele define quais serviços continuam, por quanto tempo, a que custo, com que suporte e com que regras de acesso aos dados, e tem data para terminar.

Contas, domínio e acessos

Esta é a parte que mais gera problemas no primeiro dia, porque muitas contas estão no nome de pessoas, e não do hotel. Monte uma tabela com cada conta, o titular, quem administra hoje e como será a transferência:

• Domínio do site e do e-mail no Registro.br: titular (CPF ou CNPJ) e contato administrativo.
• Administração do e-mail (Microsoft 365, Google Workspace ou outro) e as contas de quem já saiu.
• Usuários administradores do PMS e dos demais sistemas.
• Extranets das OTAs, perfil do Google e redes sociais. Quem acaba de ser incluído no perfil do Google precisa esperar 7 dias para se tornar proprietário principal, então comece essa transferência antes do fechamento.
• Contas no adquirente, no PSP e nos bancos, incluindo as chaves Pix publicadas nos canais do hotel. Uma chave Pix trocada sem confirmação é uma porta para fraude em reservas.
• Chave de acesso da FNRH Digital e o responsável indicado no Cadastur.
• Certificado digital (e-CNPJ) usado para notas fiscais e para acessar sistemas do governo: CNPJ titular, validade, responsável e se será preciso emitir outro. Não trate a entrega da chave privada e da senha como uma transferência de acesso.
• Acessos ao firewall, aos switches, ao Wi-Fi, ao CFTV e à administração das fechaduras, e quem de fora tem acesso remoto.

Infraestrutura e equipamentos

O objetivo aqui é estimar o investimento represado, aquele que o vendedor adiou e o comprador vai herdar. Os pontos que mais pesam são:

• Computadores e servidores com sistemas sem suporte. O suporte padrão do Windows 10 terminou em 14 de outubro de 2025. Antes de orçar a troca, confirme a edição de cada máquina: as edições LTSC têm datas de suporte próprias, e o programa pago de atualizações estendidas (ESU) tem requisitos técnicos e é uma medida temporária, que cobre só atualizações de segurança. Veja sistemas legados.
• Rede: se existe documentação, se a rede dos hóspedes está separada da administrativa e da de pagamentos, e se switches e access points ainda recebem atualização do fabricante.
• Energia: nobreaks no rack e nos equipamentos da recepção, e há quanto tempo as baterias foram trocadas.
• Backup: o que tem cópia, onde fica, e quando foi feito o último teste de restauração.
• Fechaduras e interface com o PMS: versão, suporte do fabricante e custo de uma atualização.

Para cada item que precise de troca, peça orçamento a fornecedores antes da assinatura. Um número cotado vale mais na negociação do que uma estimativa.

Cibersegurança e incidentes

Pergunte ao vendedor, por escrito, se houve incidentes de segurança, ransomware, fraudes com pagamento ou vazamento de dados, e o que foi feito. Uma declaração do vendedor no contrato de compra pode dar base para indenização se a resposta não for verdadeira, conforme os termos negociados pelo advogado.

Do lado técnico, verifique se existe autenticação multifator no e-mail e nos acessos remotos, quem tem acesso de administrador, se há antivírus gerenciado e se alguém olha os alertas. Uma varredura externa dos endereços do hotel mostra serviços expostos à internet, mas só deve ser feita com autorização por escrito do vendedor.

LGPD e PCI DSS

A forma da operação define quem responde pelos dados. Na compra de quotas, a empresa que opera o hotel pode continuar sendo a controladora. Na compra dos ativos, os cadastros de hóspedes, funcionários e reservas podem passar para outro controlador, e essa transferência precisa de base legal e de uma revisão do aviso de privacidade, dos acessos, da retenção e das finalidades para as quais os dados podem continuar sendo usados. Um consentimento para marketing dado ao vendedor não deve ser tomado como autorização para o marketing de outra empresa. Essas perguntas são para o advogado da operação.

Para cada incidente passado, verifique se ele se enquadrava nos critérios de comunicação, quando o controlador soube dele, se a comunicação à ANPD e aos titulares foi feita e se ficou algum risco ou obrigação pendente. Para os incidentes que possam causar risco ou dano relevante aos titulares, a Resolução CD/ANPD nº 15/2024 dá 3 dias úteis para a comunicação à ANPD e aos titulares, contados de quando o controlador soube que o incidente afetou dados pessoais. Se um incidente anterior aparecer depois da compra, o advogado da operação define qual empresa responde pela investigação e pelas comunicações. Veja o guia de LGPD para hotéis.

No PCI DSS, peça esses comprovantes e confirme se o hotel guarda números completos de cartão ou códigos de segurança (CVV) em planilhas, e-mails ou fichas. O CVV não pode ser guardado depois da autorização, nem criptografado. Se encontrar, não espere o fechamento: o acesso deve ser restrito logo, e a remediação, combinada com o vendedor. Se a operação passar para outro CNPJ, o hotel terá novos contratos com o adquirente, e a validação PCI DSS precisa ser confirmada com ele para o novo cadastro. Veja PCI DSS para hotéis.

Do achado ao registro de riscos

O resultado do levantamento é um registro de riscos que o assessor da transação e o advogado conseguem usar. Cada linha liga um achado a uma consequência, a uma decisão e ao momento de agir: antes da assinatura, antes do fechamento ou depois da compra. Anote também a evidência (cláusula do contrato, registro no Registro.br, inspeção), o responsável e o custo cotado, ou registre que o custo ainda não é conhecido. O exemplo abaixo é ilustrativo e não descreve um hotel real.

Do fechamento aos primeiros 100 dias

Antes do fechamento: confirme que as condições combinadas foram cumpridas, deixe prontos os contratos com o adquirente, o domicílio bancário e a emissão de notas fiscais se a operação mudar de CNPJ, e prepare com o vendedor e os fornecedores o roteiro de transferência de senhas, contas e acessos. Registre nesse roteiro o que depende de cada senha, token e chave de integração, para que a troca não derrube o PMS, os pagamentos, os canais de reserva ou a FNRH Digital.

No dia da troca de dono: execute esse roteiro, assuma as contas de administrador e ative nelas a autenticação multifator, troque senhas, tokens e chaves na ordem combinada, desative as contas de quem sai com o vendedor, confirme os dados de pagamento e as chaves Pix publicadas nos canais e revise quem de fora tem acesso remoto. Antes de encerrar o dia, confirme que o PMS, os pagamentos, as reservas, a emissão de notas e as fechaduras estão funcionando.

Até o dia 30: transfira as contas que ainda estão no nome de pessoas, estenda a autenticação multifator ao e-mail e aos demais sistemas críticos e repita o teste de restauração do backup, agora sob controle do comprador.

Até o dia 100: cada achado relevante do registro de riscos tem um responsável e um plano aprovado, os urgentes estão resolvidos e os controles essenciais foram verificados. O que leva mais tempo, como uma migração de PMS, uma troca de bandeira ou uma rede nova, tem prazo e orçamento combinados. Ajuste a política de privacidade se o controlador mudou e decida se cada contrato continua, é renegociado ou termina, com base no prazo e na multa levantados na due diligence. A gestão de fornecedores entra aqui.

Próximos passos

Se você vai comprar ou assumir um hotel, a HotelTI revisa os contratos de tecnologia, os sistemas críticos, as dependências operacionais e o investimento represado e entrega o registro de riscos para o comprador, o assessor da transação e o advogado. As conclusões jurídicas são do advogado. Nosso diagnóstico de TI pode seguir os prazos da negociação: trabalhamos com os documentos que o vendedor compartilha e só verificamos os sistemas onde o vendedor libera o acesso; veja um exemplo de relatório. Não revendemos software nem mantemos acordos com fornecedores específicos. Fale com a nossa equipe.

Fontes

• Presidência da República, Lei nº 11.771/2008, Lei Geral do Turismo, planalto.gov.br
• Presidência da República, Lei nº 13.709/2018, Lei Geral de Proteção de Dados, planalto.gov.br
• ANPD, Resolução CD/ANPD nº 15, Regulamento de Comunicação de Incidente de Segurança (abril de 2024), in.gov.br
• Microsoft, Extended Security Updates (ESU) program for Windows 10, learn.microsoft.com
• Google, Manage your Business Profile owners & managers, support.google.com
• PCI Security Standards Council, PCI DSS v4.0.1 e Self-Assessment Questionnaires, pcisecuritystandards.org