¿Es seguro un TPV en la nube? RGPD, PIN por camarero y PCI

La seguridad del TPV es uno de esos temas en los que el folleto siempre promete lo mejor y lo que cuentan los hosteleros es más variado. La verdad está en medio: un TPV moderno bien configurado es bastante más seguro que el ordenador viejo de la barra, pero hay riesgos reales que te conviene entender.

Esto es lo que necesitas saber.

#Qué datos hay en juego

Por un TPV pasan dos tipos de datos.

#Datos de pago de los clientes

Cuando un cliente paga con tarjeta, alguien autoriza ese pago. En un montaje moderno, el número completo de la tarjeta nunca toca el TPV: lo cifra el datáfono, y el TPV como mucho ve una referencia. Lo que sí queda guardado es el importe, la hora y la forma de pago.

En muchos bares y restaurantes de España, además, el cobro se hace en el datáfono del banco y el TPV solo apunta que la mesa 7 pagó 46,50 € con tarjeta. En ese caso el TPV no ve ningún dato de la tarjeta.

Una fuga de datos de pago puede:

• Hacer que tus clientes dejen de fiarse de ti.
• Traer sanciones de las marcas de tarjetas a través de tu banco (PCI DSS).
• Traer sanciones de la AEPD si se exponen datos personales.

#Datos de tu negocio

El TPV guarda tu historial de ventas, tu carta y precios, los datos de tu personal y, a veces, el correo de los clientes a los que envías el ticket.

Una fuga de estos datos puede:

• Enseñar tus cifras a la competencia.
• Dejar expuesta la lista de correos de tus clientes (que luego se usa para estafas).
• Permitir que alguien manipule tus ventas o tu carta.

Las dos cosas importan. La primera está regulada; la segunda te afecta en la reputación y en el bolsillo.

#Qué hace un TPV moderno para protegerlos

Un TPV en la nube bien hecho incluye:

• Cifrado en las conexiones (TLS). Todo lo que viaja entre los dispositivos del local y la nube va cifrado. Alguien conectado a tu WiFi no puede leerlo. Es lo mínimo.
• Cifrado de los datos guardados. Lo que se guarda en los servidores va cifrado, de modo que el acceso físico a los discos no basta para leerlo.
• Nada de números de tarjeta guardados. Ni en la nube ni en el dispositivo.
• Control de acceso. PIN por persona, PIN de encargado para lo delicado, permisos por puesto y verificación en dos pasos para entrar a la oficina (el back office).
• Registro de actividad. Cada acción sensible queda apuntada con quién, cuándo y qué. Sirve para detectar fraude y para cumplir.
• Registros de facturación inalterables. En España, la Ley Antifraude y el RD 1007/2023 exigen que los tickets no se puedan borrar ni modificar sin dejar rastro. Es una medida fiscal, pero también es seguridad: nadie puede hacer desaparecer una venta. Lo explicamos en la normativa del TPV.
• Pruebas de seguridad. Un proveedor serio revisa su sistema y corrige lo que encuentra. Tú no lo ves, pero puedes preguntarlo.

#Qué significa PCI DSS para tu bar

PCI DSS es la norma de seguridad de las marcas de tarjetas (Visa, Mastercard) para cualquier negocio que acepta tarjetas. Se organiza por niveles según el volumen de transacciones anuales:

• Nivel 4: menos de 20.000 transacciones de comercio electrónico al año, o hasta un millón de transacciones en total. Basta un cuestionario de autoevaluación.
• Nivel 3: de 20.000 a un millón de transacciones de comercio electrónico. Cuestionario de autoevaluación.
• Nivel 2: de uno a seis millones de transacciones. Cuestionario y, a menudo, revisión adicional.
• Nivel 1: más de seis millones. Auditoría anual in situ.

Casi cualquier bar, cafetería o restaurante es nivel 4, y el cuestionario lo gestionas con tu banco.

Lo que importa: quien procese los datos de la tarjeta tiene que cumplir PCI DSS. Si es tu datáfono bancario, lo cubre el banco. Si el TPV procesa la tarjeta, pide al proveedor que te enseñe su certificación. Si no puede, busca otro.

YoTPV no procesa tarjetas: el cliente paga en el datáfono de tu banco y el TPV registra el cobro, así que los datos de la tarjeta nunca pasan por YoTPV.

#Qué significa el RGPD para tu TPV

El RGPD y la Ley Orgánica de Protección de Datos (LOPDGDD) se aplican a cualquier dato personal que guardes. En un TPV de hostelería suelen ser:

• El correo del cliente al que envías el ticket.
• El nombre y el teléfono de una reserva.
• Los datos de tu personal.

Lo que te exige:

• Base legal para cada dato (normalmente el interés legítimo o el contrato para enviar un ticket; el consentimiento para mandar publicidad).
• Minimización: no guardes lo que no necesitas. Un bar no necesita la fecha de nacimiento de nadie.
• Derecho de acceso: si alguien te pregunta qué datos tienes suyos, contestas en un mes.
• Derecho de supresión: si te pide que los borres, los borras en un mes, salvo lo que la ley te obliga a conservar (los registros fiscales se quedan).
• Brechas: una brecha grave se notifica a la AEPD en 72 horas.
• Contrato de encargado del tratamiento con tu proveedor de TPV, porque es él quien guarda los datos.

Un TPV que te facilita esto te quita trabajo. Uno que no, te convierte a ti en el responsable de cumplimiento. Pregunta también dónde se guardan los datos y si salen de la Unión Europea.

#El PIN por camarero: la medida que más protege

En un bar el riesgo más habitual no es un pirata informático. Es no saber quién ha hecho qué.

Un buen TPV usa el PIN para dos cosas distintas:

1. Identificar. Todo el personal tiene su PIN y lo usa para entrar. Así cada comanda, cobro, anulación o invitación lleva nombre.
2. Autorizar. Las acciones delicadas (anular un ticket, invitar a una ronda, aplicar un descuento, abrir el cajón sin venta) piden además el PIN de un encargado.

Así trabaja YoTPV: cada miembro del equipo tiene su PIN para identificarse, y el PIN de supervisor autoriza las acciones que lo requieren. Para entrar a la oficina desde el navegador puedes activar la verificación en dos pasos, y el local puede exigirla a todo el que entre.

#Errores de seguridad más comunes en hostelería

Por orden de cuánto los vemos:

#Compartir el PIN

La forma más rápida de tirar a la basura todo el registro de actividad. Si cuatro camareros usan el mismo PIN, ya no sabes quién anuló qué. Cada PIN es personal, y el del encargado no se le deja "un momento" al camarero.

#No cambiar las contraseñas por defecto

Algunos equipos llegan con contraseñas tipo "admin" o "1234". Se cambian antes de abrir.

#Dejar la oficina abierta en un dispositivo compartido

El encargado mira un informe en la tablet de la barra y se va. Otro la coge y tiene acceso a todo. Pasa más de lo que parece.

#Una WiFi débil y compartida con los clientes

Tu TPV está en tu red. Si la clave de la WiFi es "Bar2024" y es la misma que das a los clientes, cualquiera está dentro de tu red. Usa una clave fuerte y separa la red del TPV de la WiFi de clientes. Esto importa todavía más si tu TPV sigue trabajando por la red local cuando se cae internet.

#Saltarse las actualizaciones

El proveedor publica una actualización de seguridad y el equipo la pospone porque "hay lío". Las vulnerabilidades se acumulan. Actualiza en un momento tranquilo, pero no lo dejes indefinidamente.

#Conectar cualquier cosa por USB

Un USB desconocido en el ordenador del TPV puede instalar programas maliciosos. Al ordenador del TPV solo se conectan la impresora, el cajón y lo que sea del propio TPV. Nada de cargar el móvil ahí.

#Dar demasiados permisos

Un camarero no necesita ver los informes de la oficina. Un ayudante de barra no necesita los datos del personal. Ajusta los permisos al puesto.

#Qué preguntarle a tu proveedor de TPV

1. "¿Pasan los datos de la tarjeta por vuestro TPV? Si es así, enseñadme la certificación PCI DSS."
2. "¿Dónde se guardan los datos? ¿Salen alguna vez de la Unión Europea?"
3. "¿Firmáis contrato de encargado del tratamiento?"
4. "¿Cómo atiendo una solicitud de acceso o supresión de un cliente?"
5. "¿Cuándo fue vuestra última revisión de seguridad y qué hacéis si encontráis un fallo?"
6. "¿Cómo me avisáis si hay una brecha?"
7. "¿Cuánto tiempo se guarda el registro de actividad y se puede manipular?"
8. "¿La oficina admite verificación en dos pasos? ¿Puedo exigirla a todos?"

Un proveedor que contesta todo con detalle se toma la seguridad en serio. Uno que no, la usa como argumento de venta.

#Lo que de verdad debería preocuparte

No todos los riesgos pesan igual. Por probabilidad e impacto, en un bar o restaurante típico:

1. Un correo fraudulento consigue la contraseña de la oficina. Probabilidad alta, impacto alto. Se mitiga con verificación en dos pasos y avisando al equipo.
2. Roban o se pierde una tablet o un móvil con el TPV abierto. Probabilidad media, impacto medio. Se mitiga con PIN, cierre de sesión automático y la posibilidad de desvincular el dispositivo desde la oficina.
3. Alguien ve lo que no debe por permisos mal puestos. Probabilidad media, impacto medio. Se mitiga revisando los permisos de vez en cuando.
4. Un ransomware en tu red. Probabilidad media, impacto alto. Se mitiga separando redes, con copias de seguridad fuera del local y actualizando los equipos.
5. Una fuga de datos de tarjeta a través del TPV. Probabilidad baja si el TPV no guarda tarjetas, impacto alto. Se mitiga con un TPV que no vea los datos de la tarjeta o que acredite PCI DSS.

Dedica el esfuerzo en ese orden. Los dos primeros son los que más rinden.

#En resumen

Un TPV en la nube moderno y bien configurado es más seguro que casi cualquier alternativa antigua. El proveedor se encarga de la seguridad técnica; tú te encargas de la disciplina del día a día.

Los riesgos que importan son sobre todo humanos: PIN compartidos, correos fraudulentos y dispositivos perdidos. Resuelve eso y la parte técnica está prácticamente cubierta.

#Relacionados

• Normativa del TPV en España: VeriFactu y Ley Antifraude - RGPD, PCI y lo que te toca a ti.
• ¿Qué pasa cuando se cae tu TPV? - la otra cara de la fiabilidad.
• Preguntas antes de contratar un TPV - la lista completa para la demo.