TI do hotel: o que fica sob o controle do hotel e o que pode ser dos fornecedores
Quanto mais fornecedores de tecnologia um hotel acumula, mais fácil é perder de vista quem responde pelo quê. Veja o que a direção do hotel nunca deve terceirizar por completo, e o que pode, com segurança, ficar por conta dos fornecedores.
Por que essa linha fica borrada
Um hotel raramente contrata um único fornecedor de tecnologia: contrata vários, um para o PMS, outro para a rede, outro para o suporte técnico, outro para a segurança. Cada um pode resolver bem a sua parte, mas muitas vezes ninguém é responsável por garantir que a soma dessas partes sirva ao hotel, e não ao interesse comercial de cada fornecedor. Sem uma linha clara sobre quem decide o quê, decisões técnicas acabam tomadas por quem executa, não por quem responde pelo resultado.
O que o hotel deve manter sob seu controle
- Controle dos dados: em muitos fluxos, o hotel atua como controlador dos dados de hóspedes, reservas e histórico de consumo, e deve manter acesso a eles e o direito de exportá-los. O fornecedor de PMS ou POS pode atuar como operador quando trata esses dados em nome do hotel e conforme suas instruções; se usar os dados para finalidades próprias, passa a ser controlador nesse tratamento, como explica o guia da ANPD sobre agentes de tratamento.
- Credenciais administrativas: as contas de administrador dos sistemas críticos devem ficar sob controle do hotel, guardadas em um gerenciador de credenciais, e não apenas na conta pessoal de um técnico do fornecedor.
- Decisão final sobre fornecedores: contratar, renovar ou trocar de fornecedor é decisão da direção do hotel, apoiada por recomendação técnica, não decidida unilateralmente por quem já presta o serviço.
- Política de segurança e conformidade: definir as regras de acesso, retenção de dados e resposta a incidentes exigidas pela LGPD e pelo PCI DSS, e acompanhar os controles que cabem a ele, continua sendo responsabilidade do hotel, mesmo quando parte da execução é terceirizada. No PCI DSS, alguns requisitos são compartilhados com os prestadores de serviço, e essa divisão precisa estar documentada.
- Orçamento e priorização: o que investir primeiro em tecnologia é uma decisão de negócio, não deve ser ditada pelo catálogo de produtos de um único fornecedor.
O que normalmente fica com os fornecedores
- Execução técnica em campo: instalação, cabeamento e configuração física de equipamentos
- Suporte de primeiro nível: atendimento a chamados do dia a dia
- Manutenção de hardware: substituição de peças e equipamentos
- Gestão técnica das licenças contratadas, como instalação e ativação, com o hotel acompanhando quantidade, uso real e renovações
- Aplicação de atualizações e patches de segurança nos sistemas contratados
Várias áreas são, na prática, compartilhadas: o hotel define e acompanha, o fornecedor executa uma parte. A tabela abaixo mostra o que cabe a cada lado, e o importante é que essa divisão esteja escrita no contrato.
| Área | Hotel | Fornecedor |
|---|---|---|
| Dados de hóspedes | Em muitos fluxos, controlador (LGPD): define finalidade e regras | Pode ser operador, quando trata os dados em nome do hotel e conforme suas instruções |
| Credenciais de administrador | Sob controle do hotel | Utiliza sob permissão, não retém sozinho |
| Escolha de fornecedores | Decisão final | Apresenta proposta |
| Política de segurança e LGPD | Define e aprova | Implementa tecnicamente |
| Suporte técnico diário | Aciona e acompanha SLA | Executa e resolve |
| Manutenção de hardware | Aprova o investimento | Executa a manutenção |
| Patches e atualizações (compartilhada) | Define prazos e aprova as janelas de manutenção | Aplica nos sistemas contratados e informa exceções |
| Backups (compartilhada) | Define o que copiar, por quanto tempo, e acompanha os testes de restauração | Executa e monitora as cópias |
| Resposta a incidentes (compartilhada) | Coordena, decide e faz as comunicações exigidas pela LGPD | Investiga e contém no próprio sistema, e avisa o hotel sem demora |
| Controles PCI DSS (compartilhada) | Documenta quem cuida de cada requisito e valida o conjunto | Cumpre os requisitos que assumiu por contrato |
O que acontece quando essa divisão não está clara
Um cenário frequente é o hotel descobrir, no pior momento, que não tem acesso próprio à própria infraestrutura: senhas, configurações e documentação que só o fornecedor conhece. Em uma fiscalização da ANPD ou em uma avaliação PCI DSS, a falta de clareza sobre quem responde por qual controle vira, ela mesma, um risco de conformidade. O próprio PCI DSS (requisito 12.8.5) exige que o hotel mantenha registro de quais requisitos ficam com cada prestador de serviço que trata dados de cartão ou pode afetar sua segurança, quais ficam com o hotel e quais são compartilhados. E quando a relação com um fornecedor se deteriora, a troca se torna muito mais cara e demorada do que precisaria ser.
O papel de uma consultoria de TI nessa divisão
Uma consultoria de TI independente ajuda a definir e documentar, junto com a direção do hotel, o que fica sob controle interno e o que pode ser delegado com segurança a fornecedores, garantindo que essa divisão esteja explícita nos contratos, não combinada verbalmente. Isso inclui confirmar que as contas administrativas e os dados estejam sob controle do hotel, independentemente de quem executa o trabalho técnico do dia a dia.
Próximos passos
Se o seu hotel não tem clareza sobre quem controla o quê na sua própria infraestrutura de TI, esse é geralmente o primeiro ponto a resolver, antes mesmo de discutir novos investimentos. Fale com a nossa equipe.
Fontes
- PCI Security Standards Council, PCI DSS v4.0.1, requisito 12.8.5, pcisecuritystandards.org
- ANPD, Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado (versão 2.0, 2022), gov.br/anpd
Gestão de TI Hoteleira
Definição clara de responsabilidades entre o hotel e seus fornecedores de tecnologia, com governança documentada.
Ver serviço- Mapeamento de responsabilidades
- Contas administrativas sob controle do hotel
- Políticas de segurança e LGPD documentadas
- Governança independente de fornecedores
Artigos relacionados
Quais responsabilidades de TI o hotel nunca deve terceirizar por completo?
O controle dos dados de hóspedes, as contas administrativas dos sistemas críticos, a decisão final sobre contratar ou trocar de fornecedor, a definição de políticas de segurança e conformidade com a LGPD, e a priorização do orçamento de tecnologia. Esses pontos podem ser apoiados por um consultor externo, mas a decisão e o controle devem permanecer com o hotel.
O que pode ficar por conta dos fornecedores de TI?
Execução técnica em campo, suporte de primeiro nível, manutenção de hardware, aplicação de atualizações e patches, e o monitoramento operacional do dia a dia. São tarefas que exigem presença técnica constante, mas não decisão estratégica sobre o rumo da TI do hotel.
O que acontece quando essa divisão de responsabilidades não está clara?
O hotel fica exposto a ficar refém do fornecedor: credenciais, configurações e documentação que só ele conhece, decisões de segurança tomadas sem supervisão da direção, e dificuldade real de trocar de fornecedor se a relação se deteriorar. Em uma fiscalização da ANPD ou avaliação PCI DSS, a falta de clareza sobre quem é responsável por qual controle também vira um risco de conformidade.
Qual o papel de uma consultoria de TI nessa divisão de responsabilidades?
Definir e documentar, junto com a direção do hotel, o que fica sob controle interno e o que pode ser delegado a fornecedores, além de garantir que essa divisão esteja explícita nos contratos, não combinada verbalmente. Isso inclui verificar que as contas administrativas e os dados estejam sob controle do hotel, independentemente de quem executa o trabalho técnico do dia a dia.
Não tem clareza sobre quem controla o quê na TI do seu hotel?
Fale com a nossa equipe e organize as responsabilidades entre o hotel e seus fornecedores.