Brecha de datos en tu restaurante: las primeras 72 horas

En este artículo

1. Dónde están realmente los datos de tus clientes
2. El reloj de las 72 horas, franja por franja
3. Qué cubre realmente un ciberseguro — y qué no
4. Lo que revisan las aseguradoras antes de darte siquiera un presupuesto
5. Conclusión: el reloj corre igualmente — la pregunta es si ya lo sabías

Una brecha de datos en tu restaurante no es un problema técnico: es un reloj legal que empieza a correr en el momento en que te enteras. En cuanto sabes, o razonablemente deberías saber, que se han robado, borrado o expuesto datos de tus clientes, el RGPD te da 72 horas para notificarlo a la autoridad de control. No 72 horas para arreglarlo — 72 horas para comunicarlo.

Casi nunca empieza con una alarma sonando. Lo más habitual es un cliente que llama porque le han cobrado dos veces con la tarjeta, tu plataforma de reservas que te avisa por correo de una "actividad inusual", o alguien del equipo que se encuentra un martes por la mañana la pantalla del TPV llena de caracteres extraños. En ese momento, la pregunta deja de ser "qué tan grave es esto técnicamente" y pasa a ser "qué hago ahora mismo" — y la mayoría de los dueños no lo saben, porque nadie lo dejó nunca por escrito.

El riesgo es real y no es cosa solo de las grandes cadenas. Los sistemas de TPV y los terminales de punto de venta están entre los objetivos más atacados del mundo en hostelería y comercio, precisamente porque procesan datos de tarjeta y a menudo llevan años funcionando sin actualizar. Un restaurante pequeño no tiene un departamento de IT que absorba el golpe — y por eso mismo un ciberseguro, y un plan escrito para las primeras 72 horas, pesan aquí más que en un negocio con su propio equipo de seguridad.

Esta guía recorre exactamente eso: dónde están realmente los datos de tus clientes, qué hay que hacer en cada una de las cuatro franjas del reloj de 72 horas, qué cubre normalmente un ciberseguro y qué no, y — con una calculadora que usa tus propios números — cuánto podría costarte realmente una brecha de datos.

Dónde están realmente los datos de tus clientes

Una brecha de datos es cualquier incidente en el que datos personales de clientes se pierden, se alteran o quedan accesibles para alguien sin derecho a ellos, de forma accidental o ilícita — así que es mucho más amplio que "que te hackeen". Un portátil olvidado en el coche, una confirmación de reserva enviada a la dirección equivocada o una copia de seguridad del TPV que queda accesible al público por error cuentan tanto como un ataque dirigido.

La mayoría de los dueños subestiman cuántos sistemas manejan en realidad. Cuenta: el TPV con los datos de tarjeta de cada operación, el sistema de reservas y CRM con el nombre, el teléfono y a veces las alergias de cada cliente, el programa de fidelización con correos electrónicos e historial de pedidos, el wifi para clientes con un portal de acceso que suele pedir un correo, la integración con las plataformas de reparto que traslada direcciones, y el listado de tarjetas regalo con códigos que literalmente valen dinero. Seis sistemas, seis puntos por los que puede empezar una fuga — y en la mayoría de los negocios nadie los ha puesto nunca todos juntos sobre la mesa.

Nuestra guía sobre datos de clientes y RGPD explica cómo recoger y usar esos datos de forma legal; nuestra guía sobre ciberseguridad en el restaurante detalla los nueve pasos para evitar un ataque. Esta guía trata del momento posterior: ya ha pasado — ¿y ahora qué?

El reloj de las 72 horas, franja por franja

El artículo 33 del RGPD te obliga a notificar una brecha de datos a la autoridad de protección de datos en un plazo de 72 horas desde que la descubres, salvo que sea improbable que suponga un riesgo para los derechos y libertades de tus clientes. Ese reloj no empieza cuando lo entiendes todo — empieza en el momento en que razonablemente sabes que algo ha pasado. Así son esas 72 horas en la práctica.

Hora 0 a 1: descubrir y contener

Desconecta el dispositivo afectado de la red — desenchufa el cable o apaga el wifi —, pero no apagues nada ni borres nada. Cada rastro que borres ahora es un rastro que tu proveedor de IT o tu aseguradora ya no podrán usar después para averiguar qué ha pasado exactamente.

Cambia de inmediato las contraseñas de todas las cuentas de administrador con acceso al TPV, al sistema de reservas y a tu correo. Anota la hora exacta en que lo descubriste — ese momento es el punto de partida de tus 72 horas, y lo necesitarás en cada formulario que rellenes después.

Hora 1 a 24: evaluar y documentar

Llama a tu proveedor de IT o, si no tienes uno, a un servicio especializado — y llama también a tu aseguradora si tienes póliza: la mayoría de las pólizas ciber tienen una línea de emergencia que puedes activar desde el primer día, y esperar suele costarte justo la cobertura que necesitas.

Deja por escrito qué datos han podido verse afectados: ¿solo nombres y correos, o también datos de tarjeta y alergias? ¿Cuántos clientes hay en ese archivo? Esas dos preguntas — qué y cuántos — deciden casi todo lo que pasa en las siguientes 48 horas, así que anótalas en cuanto las sepas, aunque la respuesta aún sea incompleta.

Hora 24 a 72: notificar a la autoridad

Valora junto con tu aseguradora, tu proveedor de IT o un asesor legal si la brecha es "probable que suponga un riesgo" para tus clientes. Si la respuesta es sí, notificar a la autoridad de protección de datos es obligatorio — no opcional, y no algo que se espera hasta estar seguro.

Presenta la notificación antes de que se cumplan las 72 horas, con lo que sepas en ese momento: la naturaleza de la brecha, una estimación de cuántos clientes están afectados, las consecuencias previsibles y las medidas ya tomadas. La información incompleta se puede ampliar más tarde — no notificar dentro de las 72 horas, no, y una notificación tardía hay que justificarla explícitamente.

Después de 72 horas: avisar a los clientes y recuperarse

Avisa directamente a los clientes solo si el riesgo para ellos es alto — datos de tarjeta o contraseñas robadas, por ejemplo. Con un riesgo menor, basta con la notificación a la autoridad. Escribe ese mensaje en lenguaje llano: qué ha pasado, qué estás haciendo al respecto, y qué puede hacer el propio cliente (bloquear su tarjeta, cambiar su contraseña).

Restaura solo desde una copia de seguridad limpia una vez tengas la certeza de que la brecha está realmente cerrada — de lo contrario, restauras exactamente el mismo problema. Y comunica a tu aseguradora el alcance definitivo del incidente: esa cifra, no tu primera estimación, es la que determina la indemnización final.

Qué cubre realmente un ciberseguro — y qué no

La mayoría de los dueños dan por hecho que su seguro actual ya cubre esto. Casi nunca es así: una póliza clásica de incendios, cese de actividad o responsabilidad civil suele excluir explícitamente las brechas de datos y los incidentes ciber, precisamente porque es un riesgo aparte con su propio precio. Nuestra guía de seguros para restaurantes recoge el panorama completo de lo que necesita un negocio medio; el apartado de abajo se centra específicamente en la póliza ciber.

Una póliza ciber suele cubrir el coste de resolver el problema y avisar a tus clientes. Casi nunca cubre el coste de la confianza perdida, ni un riesgo que no declaraste al contratarla.

Introduce tus propios números y verás enseguida más o menos dónde estás. La calculadora usa cuántos clientes tienes en tus archivos, tu facturación por servicio, y dos preguntas que las propias aseguradoras hacen primero.

Compara esa cifra con el precio de una póliza, y con lo que cuesta corregir hoy mismo las dos señales de alarma de arriba — normalmente esto último sale, con diferencia, mucho más barato. Si también quieres repasar tu cobertura general, usa nuestra guía de seguros para restaurantes.

Lo que revisan las aseguradoras antes de darte siquiera un presupuesto

Esto no es un proyecto de un mes. Tres pasos de media hora cada uno te llevan de "ni idea" a un expediente que una aseguradora se toma en serio:

Hoy — la corrección gratuita:

• Activar la MFA en el TPV, el correo y el sistema de reservas — a menudo el único punto que decide si te dan presupuesto siquiera
• Preguntar a tu proveedor de TPV si los datos de tarjeta se tokenizan o se guardan en local
• Guardar el número de emergencia de tu proveedor de IT o de tu aseguradora en el móvil, no en un cajón

Esta semana — revisar tu cobertura:

• Preguntar explícitamente a tu correduría si el riesgo ciber está incluido o requiere una póliza aparte
• Pedir dos o tres presupuestos y comparar la cobertura, no solo la prima
• Escribir en una sola hoja a quién llamas primero si algo no cuadra

Este mes — cerrar el expediente:

• Configurar copias de seguridad cifradas y probadas de tus datos de clientes y reservas
• Leer las exclusiones de tu póliza antes de necesitarlas
• Colgar el plan de emergencia junto a las instrucciones de incendios — misma seriedad, mismo sitio

Conclusión: el reloj corre igualmente — la pregunta es si ya lo sabías

Una brecha de datos nunca se evita al cien por cien — hasta grandes empresas con su propio equipo de IT las sufren. Lo que sí controlas es si las primeras 72 horas son un caos o una checklist. Un equipo que sabe qué dispositivo desconectar primero, una aseguradora a la que ya tienes al teléfono desde la primera hora, y una notificación presentada a tiempo: esa es la diferencia entre un incidente molesto y una segunda crisis encima de la primera.

Y los negocios que resuelven bien esto casi nunca lo hacen solo por la prima del seguro. Lo hacen porque la confianza de un cliente — saber que sus datos están seguros contigo — forma parte de tu marca tanto como tu cocina. En HappyChef construimos el sistema de reservas pensando en eso: tus datos están con un único proveedor, no repartidos en cinco sistemas que nadie ha auditado nunca. Mira lo que cuesta y da hoy mismo el primer paso, gratis: activa la MFA.