Todo dia a sua hospedagem coleta dados pessoais: nome completo, CPF, RG, endereço, telefone, e-mail, data de nascimento, às vezes foto do documento e dados de cartão. Um hotel pequeno com 12 quartos e 70% de ocupação passa perto de 3.000 hóspedes por ano — e cada um deixa um rastro de informação em algum lugar: planilha do Excel, grupo de WhatsApp da recepção, caderno na portaria, e-mail, print no celular do gerente.
A Lei Geral de Proteção de Dados (Lei 13.709/2018) vale para qualquer empresa que trate dados pessoais no Brasil, independentemente do tamanho. Não existe isenção para pousada de 6 quartos ou anfitrião com dois apartamentos no Airbnb. O que existe é um regime simplificado para empresas de pequeno porte, previsto na Resolução CD/ANPD nº 2/2022, que dispensa algumas formalidades — mas não dispensa cuidado com o dado.
Este guia mostra, na prática, o que a sua propriedade precisa fazer. Não é consultoria jurídica: para casos específicos, vale conversar com um advogado. Mas é o roteiro que resolve 90% do que uma hospedagem pequena precisa organizar.
Que dados a sua hospedagem trata (e por quê)
Antes de proteger, é preciso saber o que existe. Faça uma lista simples de tudo que você coleta e o motivo:
- Dados de identificação do hóspede — nome, CPF, RG ou passaporte, data de nascimento, endereço. Obrigatórios pela Lei 11.771/2008 (Lei do Turismo), que exige o registro dos hóspedes na Ficha Nacional de Registro de Hóspedes.
- Dados de contato — telefone, e-mail, WhatsApp. Usados para confirmar a reserva e comunicar durante a estadia.
- Dados de pagamento — cartão, chave Pix, comprovante. Necessários para executar o contrato de hospedagem.
- Dados de acompanhantes e crianças — dados de menores exigem cuidado redobrado, com consentimento de pelo menos um dos pais ou responsável.
- Imagens de câmeras — se você tem CFTV em áreas comuns, isso é tratamento de dado pessoal.
- Preferências e histórico — quarto preferido, alergias, restrições alimentares. Restrição alimentar por motivo de saúde é dado sensível e exige base legal mais rígida.
Anote onde cada um desses dados fica hoje. Se a resposta for "em três lugares diferentes e ninguém sabe direito", esse é exatamente o problema.
As bases legais que se aplicam a hospedagem
Um erro comum é achar que tudo depende de consentimento do hóspede. Não depende. A LGPD prevê dez bases legais, e três resolvem quase toda a operação de um hotel, pousada ou aluguel de temporada:
- Execução de contrato (art. 7º, V) — nome, CPF, contato e dados de pagamento para processar a reserva e a estadia. Você não precisa pedir autorização para isso; é o que viabiliza o serviço contratado.
- Cumprimento de obrigação legal (art. 7º, II) — a FNRH e o envio ao SNRHos. A lei manda registrar, então você registra.
- Consentimento (art. 7º, I) — necessário para o que não é essencial ao contrato: enviar promoções, newsletter, mensagens de aniversário, usar foto do hóspede nas redes sociais.
A separação prática: para hospedar, você não precisa de consentimento; para vender depois, precisa. É por isso que a caixinha de "aceito receber ofertas" tem que ser separada, desmarcada por padrão, e nunca condição para concluir a reserva.
Passo a passo para adequar sua propriedade
1. Mapeie e centralize
Liste todos os lugares onde há dado de hóspede: planilhas, e-mails, WhatsApp, agenda de papel, extranet do Booking, painel do Airbnb, sistema de PDV do restaurante. Depois, reduza. Quanto menos cópias espalhadas, menor o risco e menor o trabalho.
Meta realista: um único sistema como fonte oficial, com os demais canais alimentando ele.
2. Aplique a minimização
A LGPD determina que você colete apenas o necessário. Duas perguntas para cada campo do seu formulário:
- Preciso disso para hospedar ou para cumprir a lei?
- Se vazar amanhã, que estrago causa?
Cópia de documento é o caso clássico. Muita pousada guarda foto do RG por anos "por segurança". Se a função é conferir a identidade no check-in, confira e não armazene — ou armazene pelo prazo estritamente necessário e defina uma data de descarte.
3. Defina prazos de retenção
Dado não pode ficar guardado para sempre. Um critério que funciona bem para hospedagem:
| Tipo de dado | Prazo sugerido |
|---|---|
| Registro de hóspede (FNRH) | Conforme exigência da legislação turística e fiscal |
| Notas fiscais e financeiro | 5 anos (prazo fiscal) |
| Mensagens e histórico de atendimento | 12 a 24 meses |
| Cópias de documento | Descartar após a conferência, quando possível |
| Imagens de CFTV | 30 dias |
Escreva esses prazos num documento de uma página. Isso já é sua política de retenção.
4. Controle quem acessa o quê
Este é o ponto que mais falha na prática. Numa pousada média, a camareira, o recepcionista, o caseiro e o contador acabam todos com acesso à mesma planilha no Google Drive — que contém CPF, telefone e dados de pagamento de todo mundo.
A camareira precisa saber que a Suíte 203 tem check-out às 11h. Ela não precisa do CPF do hóspede. O contador precisa dos valores. Ele não precisa do telefone. Acesso por função reduz risco sem atrapalhar o trabalho.
5. Publique um aviso de privacidade
Um texto simples no seu site e no formulário de reserva, dizendo: quais dados você coleta, para quê, com quem compartilha (OTAs, meio de pagamento, contador, órgão de turismo), por quanto tempo guarda e como o hóspede pede acesso ou exclusão. Uma página basta. Linguagem clara vale mais que juridiquês.
6. Nomeie um responsável
Empresas de pequeno porte não são obrigadas a ter um Encarregado (DPO) formal, mas precisam de um canal de comunicação com o titular. Na prática: um e-mail do tipo privacidade@seudominio.com.br divulgado no aviso, e uma pessoa definida para responder. Prazo de resposta a pedidos do titular: 15 dias.
7. Tenha um plano para incidentes
Notebook roubado, planilha enviada para o e-mail errado, conta invadida. Se houver risco relevante aos titulares, a ANPD e os hóspedes afetados precisam ser comunicados — o prazo recomendado é de 3 dias úteis. Deixe combinado quem avisa quem antes de acontecer.
Fazer isso na planilha vs. com um sistema
A adequação inteira é possível na planilha. Só é muito mais trabalhosa, e o ponto fraco é sempre o mesmo: cópia espalhada e acesso indiscriminado.
Um arquivo compartilhado por link não distingue camareira de gerente. Não registra quem abriu o quê. Não expira. Não tem prazo de retenção — a aba de 2023 continua ali, com CPF e telefone de gente que se hospedou uma vez.
Um sistema de gestão resolve boa parte disso por estrutura. No HospDay, a gestão de equipe permite convidar recepção, limpeza e financeiro com permissões específicas — cada pessoa vê apenas o que o trabalho dela exige, o que é exatamente o princípio da minimização de acesso aplicado no dia a dia. As reservas de Airbnb, Booking, Expedia e VRBO chegam sincronizadas por iCal para um painel único, e as conversas de todos os canais ficam em uma caixa de entrada só. Resultado: uma fonte oficial de dados em vez de seis cópias, e nada de dado de hóspede circulando em print de WhatsApp.
Some a isso o financeiro calculado dentro do sistema e o histórico de estadias no mesmo lugar, e você elimina a maior parte das planilhas paralelas — que são, na prática, o principal ponto de vazamento de uma hospedagem pequena.
Erros comuns
- Pedir consentimento para tudo. Além de desnecessário, cria a impressão de que o hóspede pode revogar o registro obrigatório da FNRH — o que não é verdade.
- Guardar foto de documento indefinidamente numa pasta do celular ou do Drive. É o dado de maior risco e o de menor necessidade de retenção.
- Usar a base de hóspedes para disparo em massa sem opt-in. Ter o telefone porque a pessoa se hospedou não autoriza mandar promoção. Precisa de consentimento específico e de forma fácil de sair.
- Compartilhar login. "A senha do painel é a mesma pra todo mundo" inviabiliza qualquer rastreabilidade de acesso.
- Ignorar terceiros. Contador, empresa de limpeza terceirizada e agência de marketing que recebem sua base também são responsáveis. Vale ter um contrato prevendo isso.
- Manter a planilha antiga "só por garantia". Dado que não deveria mais existir só gera risco.
Perguntas frequentes
Sou anfitrião de Airbnb, com dois apartamentos. A LGPD se aplica a mim?
Sim, quando há atividade econômica. A locação por temporada com fins de lucro é tratamento de dados no contexto de uma atividade empresarial. O regime é simplificado para agente de pequeno porte, mas os princípios — finalidade, minimização, segurança — valem igual.
Preciso apagar os dados se o hóspede pedir?
Nem sempre. O titular pode pedir eliminação de dados tratados com base em consentimento (marketing, por exemplo). Mas dados necessários ao cumprimento de obrigação legal ou fiscal — registro de hóspede, nota fiscal — podem e devem ser mantidos pelo prazo previsto em lei. Explique isso ao hóspede em vez de simplesmente negar.
Qual a multa por descumprir?
Até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração, além de advertência, bloqueio e eliminação dos dados. Para hospedagem pequena, o risco prático maior costuma ser reputacional: um vazamento de lista de hóspedes com CPF vira problema sério de confiança.
Próximo passo
Reserve 40 minutos esta semana e faça só a etapa 1: liste todos os lugares onde existe dado de hóspede na sua operação hoje. A lista costuma ser mais longa do que a expectativa, e é ela que mostra onde está o risco real.
Depois, ataque a maior fonte de cópias espalhadas — quase sempre a planilha compartilhada. Centralizar reservas, mensagens e financeiro em um sistema com permissões por função resolve, de uma vez, o problema operacional e boa parte da exposição de dados.
Você pode testar o HospDay gratuitamente por 14 dias, sem cartão de crédito, e ver como fica a sua operação com cada pessoa da equipe acessando apenas o que precisa.