ApprofondimentiGuide
Motore di prenotazione per hotel: gli obblighi legali che il confronto fra fornitori non nomina
Chi confronta motori di prenotazione, booking engine o IBE nella sigla inglese, guarda quasi sempre due cose: quanto costa e cosa fa. Prezzo e funzioni sono la domanda giusta, ma arrivano un passo troppo avanti. Prima di mettere a confronto due fornitori ci sono tre punti che non sono funzioni del prodotto: sono obblighi che riguardano te, la struttura che firma il contratto, qualunque motore tu scelga. Nessuno dei confronti fra prodotti che si trovano in giro li nomina per nome.
I pagamenti con carta ti mettono comunque nel perimetro PCI DSS
Il motore raccoglie il pagamento con carta sul tuo sito, anche quando lo fa attraverso una pagina ospitata dal fornitore o un iframe che tu non gestisci direttamente. Questo ti mette comunque nel perimetro del PCI DSS (Payment Card Industry Data Security Standard), lo standard di sicurezza a cui i circuiti vincolano chiunque accetti pagamenti con carta. Il PCI Security Standards Council lo scrive senza ambiguità: lo standard riguarda tutte le entità coinvolte nell'elaborazione dei pagamenti, indipendentemente dalle loro dimensioni o dal volume delle transazioni (fonte: pcisecuritystandards.org/merchants, consultato il 27 luglio 2026).
Non significa dover fare tutto da soli. Se il pagamento avviene per intero su una pagina del fornitore, con un redirect, o tramite un iframe che tu non tocchi mai direttamente, l'autovalutazione che ti spetta è la più leggera, il questionario SAQ A (Self-Assessment Questionnaire A): poche decine di requisiti, non un audit a pagamento. Se invece il motore interviene più a fondo nel flusso, ad esempio con uno script che manipola il modulo di pagamento prima dell'invio, il questionario sale a SAQ A-EP, molto più esteso. Un chiarimento del Council del 28 febbraio 2025 (FAQ 1588) ha aggiunto un dettaglio che vale la pena conoscere: chi usa un iframe deve anche dimostrare, direttamente o tramite conferma scritta del fornitore, di essere protetto da script malevoli sulla pagina di pagamento. Senza quella conferma, l'idoneità al questionario più leggero salta.
La domanda da fare in demo, prima ancora di guardare il prezzo: il pagamento avviene su una vostra pagina ospitata o con un iframe, e mi fornite la conferma scritta di conformità che serve alla mia autovalutazione? Chi risponde con un generico «siamo conformi al PCI DSS» senza specificare come è integrato il pagamento sta rispondendo a una domanda diversa da quella che gli hai fatto.
Il fornitore tratta i dati dei tuoi ospiti per tuo conto: serve un accordo scritto
Nome, contatti e a volte i dati di pagamento degli ospiti passano dal tuo sito al motore di prenotazione prima di arrivare a te. In questo passaggio non è il fornitore a decidere perché e come trattare quei dati: lo decidi tu. Per il GDPR (Regolamento UE 2016/679) questo lo rende «responsabile del trattamento» e te «titolare». L'articolo 28 del regolamento non lascia margini: fra titolare e responsabile deve esserci un contratto scritto, anche in formato elettronico, che stabilisca almeno oggetto, durata, natura e finalità del trattamento, il tipo di dati trattati, e una serie di garanzie che comprendono le istruzioni documentate che il fornitore deve seguire, la riservatezza, le misure di sicurezza, l'uso di eventuali subfornitori, l'assistenza in caso di violazione dei dati, e cosa succede ai dati quando il contratto finisce.
Non è un dettaglio da grande azienda. Il Garante per la protezione dei dati personali, in una nota di chiarimento del 29 aprile 2026 sul trattamento dei documenti d'identità degli ospiti nelle strutture ricettive, richiama esplicitamente l'opportuna regolazione, ai sensi dell'articolo 28 del GDPR, dei rapporti con i fornitori dei servizi di gestione delle prenotazioni alberghiere, specificando l'importanza di definire le modalità di trattamento e cosa succede in caso di violazione dei dati.
Questo accordo, spesso chiamato DPA (Data Processing Agreement), è quasi sempre un modulo standard che il fornitore mette a disposizione: i principali lo pubblicano nella propria area legale, e firmarlo costa un momento. Il punto non è la fatica di firmarlo, è verificare che esista davvero e che il fornitore non si limiti a una riga generica dentro le condizioni di vendita.
Il tuo ospite non ha 14 giorni per ripensarci, e non decidi tu
Chi vende online conosce il diritto di recesso di 14 giorni che il Codice del Consumo riconosce a chi acquista a distanza. Per la prenotazione di una camera d'albergo quel diritto non esiste, ed è la legge stessa a escluderlo, non una tua clausola. L'articolo 59, comma 1, lettera n) del Codice del Consumo (D.Lgs. 206/2005) elenca fra le eccezioni al recesso la fornitura di alloggi per fini non residenziali quando il contratto prevede una data o un periodo di esecuzione specifici: è esattamente il caso di un soggiorno con arrivo e partenza fissati.
Vale la pena scriverlo da qualche parte visibile sul tuo motore di prenotazione, non perché tu debba temere una contestazione, ma per il motivo opposto: è un punto a tuo favore che quasi nessuna struttura comunica, e comunicarlo bene evita l'equivoco frequente di un ospite che si aspetta di poter annullare gratis entro due settimane, come farebbe con un ordine su un e-commerce qualunque.
Attenzione a non confondere questo con la tua politica di cancellazione: quella resta una scelta commerciale tua, libera e slegata dalla legge. Puoi offrire cancellazione gratuita fino al giorno prima, oppure una tariffa non rimborsabile: è una condizione contrattuale che decidi tu. Il diritto di recesso di legge, invece, semplicemente non si applica al tuo settore, e le condizioni di prenotazione sul tuo sito lo dovrebbero dire in chiaro, non lasciarlo intuire.
I tre punti, in tabella
| Obbligo | Dove è scritto | Cosa succede se manca |
|---|---|---|
| Conformità PCI DSS sui pagamenti con carta | Standard PCI DSS, PCI Security Standards Council | Il tuo acquirer, la banca convenzionata che ti fa accettare le carte, può sospendere l'accettazione o applicare penali contrattuali |
| Accordo scritto con il fornitore, ex art. 28 GDPR | Regolamento UE 2016/679, articolo 28 | Trattamento dei dati degli ospiti senza una base contrattuale adeguata, responsabilità del titolare in caso di controllo o di violazione |
| Diritto di recesso di 14 giorni | Escluso dall'articolo 59, comma 1, lettera n), Codice del Consumo | Nessuno: è un'esclusione a tuo favore, non un rischio da gestire |
Il resto è confronto fra prodotti, non obbligo
Integrazione con il PMS e con il channel manager, aspetto e velocità della pagina di prenotazione, gestione di caparre e no-show, upselling, multilingua: su questo i motori si differenziano davvero, ed è lì che vale la pena confrontare i fornitori. I modelli di prezzo, i quattro fornitori che pubblicano un listino pubblico e quelli che invece lo definiscono in preventivo, e le domande da fare prima di firmare, li ho già messi in fila in quanto costa il sito di un hotel: qui mi interessava la parte che quell'articolo non copriva.
Da dove partire
Se stai per firmare un contratto con un fornitore di motore di prenotazione, prima ancora di guardare il canone chiedi tre cose: come è integrato il pagamento con carta e quale autovalutazione PCI DSS ti spetta di conseguenza, se ti propongono loro un accordo ex art. 28 GDPR da firmare o se tocca a te chiederlo, e verifica che le condizioni di prenotazione sul tuo sito dicano con chiarezza che il recesso di 14 giorni non si applica. Sono tre domande che si fanno in cinque minuti, e valgono più di un confronto fra due listini.
Se vuoi che qualcuno guardi il tuo motore di prenotazione insieme al resto, sito, gestionale, canali, con questo metodo, c'è il check-up digitale. Altrimenti scrivimi: bastano il nome del fornitore che stai valutando e due righe su come incassa, per dirti in fretta cosa manca.