PUI Hoteles 2026: Guía Cumplimiento Plataforma Única México

¿Qué es la PUI y por qué obliga a los hoteles?

La Plataforma Única de Identidad (PUI) es la infraestructura tecnológica del Gobierno de México operada por RENAPO con apoyo de la Agencia de Transformación Digital y Telecomunicaciones (ATDT). Su objetivo es localizar en tiempo real a más de 115,000 personas desaparecidas en México cruzando datos de huéspedes hoteleros con la base nacional de búsqueda.

La PUI hoteles aplica porque cada establecimiento de hospedaje registra la identidad de sus huéspedes al check-in. Ese registro contiene datos personales (CURP, nombre, fecha de nacimiento, INE o pasaporte) que son directamente relevantes para la búsqueda de personas desaparecidas. Si un huésped reportado como desaparecido se hospeda en cualquier hotel del país, la PUI debe poder detectarlo en tiempo real y alertar a las autoridades.

La base legal de la obligación PUI hoteles es el Artículo 12 Bis fracción V de la Ley General en Materia de Desaparición Forzada de Personas (LGMDFP), reformado el 16 de julio de 2025. Define como "Instituciones Diversas" obligadas a interconectarse a las empresas privadas cuyas bases de datos son útiles para la investigación y búsqueda.

¿Qué establecimientos de hospedaje están obligados a la PUI?

La obligación PUI hoteles alcanza a todo establecimiento que registre datos de identidad de huéspedes como parte de su operación. La ley no distingue por tamaño, categoría ni modelo de negocio. Si tu establecimiento registra al menos una habitación para hospedaje remunerado, estás obligado.

Conforme al Art. 12 Bis fr. V de la LGMDFP, la obligación PUI hoteles aplica a cualquier "Institución Diversa" cuya base de datos sea útil para la búsqueda de personas desaparecidas. Un hotel boutique de 8 habitaciones tiene la misma responsabilidad legal que una cadena con 500 propiedades.

El modelo invertido aplicado al check-in del hotel

La PUI hoteles funciona bajo un modelo invertido respecto a las consultas tradicionales: el gobierno le pregunta a tu hotel, no al revés. Cuando la Comisión Nacional de Búsqueda activa un reporte de una persona desaparecida, la PUI envía consultas automáticas al endpoint que tu hotel expone, preguntando si esa CURP aparece en tus registros de huéspedes.

Esto significa que tu hotel debe tener infraestructura disponible 24/7. Una caída a las 3am durante un check-in nocturno compromete la integración. Las consecuencias operativas concretas para hospedaje son:

• Endpoint siempre activo: tu sistema responde consultas del gobierno aunque tu recepción esté cerrada o en horario nocturno.
• Búsqueda histórica de huéspedes: hasta 12 años de registros de huéspedes pasados deben ser consultables por CURP.
• Monitoreo continuo en tiempo real: cada nuevo check-in con CURP en tu hotel debe disparar la validación contra reportes activos.
• Sin posibilidad de "ignorar": el flujo está automatizado y auditado. No depende de que un recepcionista revise manualmente.

La PUI hoteles convierte cada check-in en una potencial coincidencia con la base nacional de búsqueda. La diferencia entre un hotel que cumple y uno que no, no es la intención: es la tecnología que opera.

Problema central: ningún PMS captura la CURP de forma nativa

El problema operativo número uno de la PUI hoteles es que ningún Property Management System (PMS) del mercado mexicano captura ni transmite la CURP de forma nativa. La obligación es nueva en 2026; los sistemas hoteleros existentes fueron diseñados antes de esta normativa.

Los PMS más usados en México y su estado de integración con la PUI hoteles:

La solución para la PUI hoteles sin cambiar de PMS es instalar un middleware como capa intermedia que lea los eventos de check-in del PMS actual y los traduzca al formato exigido por la PUI. KYC PUI cuenta con conectores validados para Oracle Opera Cloud, Oracle Opera 5, Cloudbeds y SisHotel, lo que permite a cualquier hotel cumplir sin reemplazar su sistema existente.

¿Cómo capturar la CURP del huésped al check-in?

El flujo operativo PUI hoteles exige capturar la CURP de cada huésped al momento del check-in y transmitirla a la Plataforma Única de Identidad. Las tres modalidades aceptadas son:

1. Captura manual de CURP: el recepcionista pregunta y registra la CURP. El huésped la lleva en su INE (al reverso o en el código QR PDF417) o en su acta de nacimiento. Toma menos de 3 segundos.
2. Lectura del INE con OCR: un escáner o app móvil lee la credencial de elector. El sistema extrae automáticamente la CURP y los datos relacionados.
3. Importación por CSV o exportación PMS: para hoteles con sistemas legacy, carga periódica de huéspedes desde el PMS o desde Excel.

Una vez capturada la CURP, el middleware PUI hoteles la transmite al endpoint de la Plataforma Única de Identidad en tiempo real. Los datos que se envían se limitan a CURP, nombre completo, fecha de nacimiento, fecha de check-in y clave del establecimiento. El gobierno no accede a la base completa de huéspedes: solo recibe las coincidencias relevantes para la búsqueda.

Las 3 fases de búsqueda aplicadas a hoteles

El Manual Técnico de la PUI define un proceso de búsqueda en tres fases que cada hotel debe implementar conforme al Artículo 22 de los Lineamientos:

La Fase 3 (continua) es la más exigente. Implica que cada vez que tu hotel recibe un huésped nuevo, el middleware PUI hoteles compara automáticamente esa CURP contra todos los reportes activos de la Comisión Nacional de Búsqueda. Si hay coincidencia, dispara la alerta en tiempo real sin intervención humana.

Cadenas hoteleras vs hoteles independientes: dos rutas distintas

El cumplimiento PUI hoteles se ve diferente según el tamaño y la estructura del operador. Las cadenas hoteleras tienen ventajas técnicas que un hotel independiente debe resolver de otra forma.

Para cadenas con 10 o más propiedades, el ahorro de un solo middleware centralizado vs múltiples integraciones independientes es significativo. Para hoteles boutique e independientes, contratar un proveedor SaaS especializado evita el costo de desarrollo propio.

Airbnb, Vrbo y plataformas de renta temporal: ¿quién es el obligado?

Las plataformas de renta vacacional generan una pregunta legítima: ¿está obligado el anfitrión individual o la plataforma? El criterio rector del Art. 12 Bis fr. V de la LGMDFP es claro: la obligación recae sobre quien administra el registro de huéspedes.

• Plataforma centralizada (Airbnb, Vrbo, Booking): si la plataforma recopila y almacena datos de identidad de los huéspedes (nombre, identificación oficial) en una base centralizada, es probable que la plataforma esté obligada como administradora de esa base.
• Anfitrión individual sin registro propio: el anfitrión que no mantiene un registro propio y solo recibe huéspedes vía plataforma podría no tener obligación directa.
• Anfitrión profesional con múltiples propiedades: si administra varias propiedades y mantiene un registro propio de huéspedes, opera como un establecimiento de hospedaje y se le aplica la obligación PUI hoteles.
• Hoteles que también usan Airbnb: el hotel sigue siendo el obligado primario por sus propios registros, independientemente de los canales por los que recibe reservas.

Cada caso particular requiere análisis legal específico. La regla general es que si administras una base de identidad de huéspedes, estás obligado a la PUI hoteles, sin importar si captas reservas directamente o vía intermediarios.

5 pasos para cumplir con la PUI en tu hotel

Una implementación ordenada PUI hoteles sigue cinco pasos secuenciales. Cada uno tiene dependencias con el anterior; saltarlos genera rechazos en la validación final con RENAPO.

1. Tramita la Llave MX con perfil de persona moral. El representante legal de tu hotel necesita e.firma vigente del SAT y crea cuenta en llave.gob.mx. Sin este paso administrativo no puedes inscribirte. El tiempo varía entre 1 y 10 semanas según el estado de los trámites fiscales.
2. Define cómo capturar la CURP en recepción. Elige entre captura manual, escaneo OCR del INE o importación periódica desde tu PMS. Capacita al personal de recepción para incorporar el campo CURP en el flujo de check-in.
3. Contrata o desarrolla el middleware PUI. Conecta tu PMS (Opera, Cloudbeds, SisHotel, Hotelogix, MEWS) con la PUI vía API REST. La opción gestionada tipo KYC PUI evita desarrollo propio y entrega en días.
4. Ejecuta evidencias SAST y DAST. Antes de quedar operativo, RENAPO exige reportes de seguridad del software. Detalles completos en nuestra guía de evidencias SAST y DAST para PUI. Si usas un proveedor multitenant, su entrega cubre a tu hotel sin que tengas que armar pipeline propio.
5. Inscríbete y activa el monitoreo continuo. Carga tu padrón inicial de huéspedes en CSV o Excel; el sistema lo normaliza y empieza la transmisión 24/7. RENAPO emite dictamen y queda operativa la API.

Hoteles que ya hayan recibido notificaciones de la Secretaría de Gobernación pueden acelerar la implementación documentando "buena fe" en el inicio del proceso, lo que reduce riesgo ante eventuales inspecciones.

¿Cuál es el estado actual de los plazos PUI para hoteles?

El cómputo formal de plazos PUI hoteles depende de la publicación de los tres manuales previstos en los Lineamientos. Al 9 de junio de 2026, el Manual de Operación de la PUI para el SNIP sigue sin publicarse, por lo que el plazo de 45 días hábiles del Transitorio Tercero no ha iniciado formalmente. La obligación de interconexión sí está vigente desde julio de 2025; lo que está parcialmente suspendido es el procedimiento operativo de inscripción.

Esto no significa que los hoteles puedan posponer indefinidamente la preparación. Hay tres consideraciones prácticas:

• La obligación legal ya existe: el Art. 12 Bis fr. V de la LGMDFP entró en vigor el 16 de julio de 2025. La falta del tercer manual afecta el procedimiento de inscripción, no la obligación en sí.
• Las inspecciones pueden iniciarse: aunque el plazo formal está sujeto a interpretación, las inspecciones de la Secretaría de Gobernación pueden ocurrir en cualquier momento. Tener evidencia documentada del inicio del proceso protege ante riesgos.
• Adelantarse reduce riesgo: una vez publicado el Manual de Operación SNIP, el plazo de 45 días corre y la demanda de proveedores se va a saturar. Los hoteles que preparen integración técnica antes tienen ventaja operativa.

Lo que NO funciona es esperar pasivamente. La estrategia recomendada es iniciar ya el proceso administrativo (Llave MX, designación de representante legal, evaluación de PMS) para estar listos cuando el plazo formal arranque.

Sanciones del Artículo 43 Bis para hoteles

El Artículo 43 Bis de la LGMDFP establece multas significativas por incumplimiento PUI hoteles. Las multas se calculan en Unidades de Medida y Actualización (UMA 2026: $117.31 diarios):

Las infracciones se acumulan: por cada falla detectada en una inspección, el hotel puede recibir una multa independiente. Para un hotel boutique mediano, una sola multa máxima representa varias semanas de ingresos perdidos. Para una cadena con múltiples propiedades, el riesgo se multiplica por cada establecimiento.

Más allá del costo económico, el riesgo reputacional es significativo: la PUI hoteles se vincula a la búsqueda de personas desaparecidas, un tema de altísima sensibilidad social. Un hotel sancionado por obstaculizar la búsqueda enfrenta un problema de imagen difícil de reparar.

Datos que el hotel comparte con la PUI (y los que NO comparte)

Es importante entender que la PUI hoteles tiene un alcance limitado: el gobierno no accede a la base completa de huéspedes. El intercambio de datos se rige por el Manual Técnico oficial y se limita a lo necesario para la búsqueda.

Tu base comercial de clientes permanece intacta en tu PMS. La PUI hoteles solo recibe la información mínima necesaria para validar si un huésped reportado como desaparecido se hospedó o se está hospedando en tu establecimiento. La privacidad comercial está protegida por diseño técnico, no por confianza.

Preguntas frecuentes sobre PUI hoteles

¿Mi hotel pequeño está obligado a conectarse a la PUI?

Sí. La obligación PUI hoteles del Art. 12 Bis fr. V de la LGMDFP no distingue por tamaño, categoría ni número de habitaciones. Si tu hotel, motel, posada, hostal o casa de huéspedes registra datos de identidad de huéspedes al check-in (nombre, CURP, INE), administras un registro de personas físicas y estás comprendido en la obligación. Un B&B de 5 habitaciones tiene la misma responsabilidad legal que una cadena con 500 propiedades.

¿Qué pasa si mi hotel no tiene área de sistemas?

No es indispensable contar con equipo de TI interno. Soluciones SaaS gestionadas como KYC PUI operan toda la infraestructura técnica por ti. Solo necesitas el representante legal con Llave MX y un proceso definido para capturar la CURP en el check-in. La parte técnica (endpoints, SAST/DAST, monitoreo 24/7) la absorbe el proveedor.

¿Necesito cambiar mi PMS (Oracle Opera, Cloudbeds) para cumplir con la PUI?

No. La integración PUI hoteles se hace mediante middleware que lee los eventos de tu PMS actual y los traduce al formato de la PUI. Existen conectores validados para Oracle Opera Cloud, Oracle Opera 5, Cloudbeds, SisHotel, Hotelogix y MEWS. En la mayoría de los casos no se requiere reemplazar el sistema existente.

¿Cómo capturo la CURP del huésped al check-in?

Tres opciones aceptadas: captura manual del campo CURP en el formulario de check-in (el huésped la lleva en su INE), escaneo OCR del INE con app móvil o lector, o importación periódica desde tu PMS si ya capturas datos similares. Cualquiera de las tres cumple con la obligación PUI hoteles.

¿Cuándo arranca el plazo formal para inscribirse a la PUI?

El Transitorio Tercero de los Lineamientos establece que los sujetos obligados tendrán 45 días hábiles para solicitar acceso tras la expedición de los tres manuales previstos en el Transitorio Segundo. Al 9 de junio de 2026, solo se han publicado dos manuales (Manual Técnico para Instituciones Diversas y para Instituciones Públicas); falta el Manual de Operación del SNIP. Por eso el plazo formal aún no inicia. La obligación de interconexión, sin embargo, sí está vigente desde el 16 de julio de 2025.

¿Cuánto tiempo toma integrar mi hotel a la PUI?

Para un hotel independiente con un PMS estándar, la implementación toma entre 5 y 10 días hábiles. Para cadenas con múltiples propiedades varía según el número de PMS distintos. Hoteles con sistemas legacy o registros en papel requieren un paso adicional de digitalización, pero un proveedor especializado maneja todo el proceso técnico.

¿El gobierno puede ver el historial completo de mis huéspedes?

No. La PUI hoteles solo recibe los campos definidos en el Manual Técnico: CURP, nombre completo (en coincidencias), fecha de nacimiento, fecha de check-in y clave del establecimiento. La transmisión de datos financieros, de consumo o de preferencias está prohibida por diseño. Tu base de datos comercial permanece en tu PMS y no es accesible por el gobierno.

¿Qué pasa si el huésped no tiene CURP (extranjero)?

Los huéspedes extranjeros se registran con pasaporte o forma migratoria. La PUI hoteles considera estos documentos como identificación válida para huéspedes no mexicanos. La obligación de búsqueda se enfoca en mexicanos con CURP, pero el registro de identidad de cualquier huésped sigue siendo parte del cumplimiento.

¿Cuánto cuesta el cumplimiento PUI para mi hotel?

El costo varía según el modelo. Una solución SaaS gestionada para hoteles independientes oscila entre $5,000 y $20,000 MXN al año dependiendo del proveedor y volumen. Para cadenas grandes, los costos escalan por número de propiedades. En todos los casos, el costo es una fracción de la multa mínima ($1,173,100 MXN) por incumplimiento.

¿Las plataformas como Airbnb y Vrbo están obligadas a la PUI?

Si una plataforma de renta vacacional recopila y almacena datos de identidad de los huéspedes en una base centralizada, es probable que la plataforma misma esté obligada como administradora de esa base. Los anfitriones individuales sin registro propio podrían no tener la obligación directa. Cada caso particular requiere análisis legal específico.

¿Qué riesgo reputacional implica no cumplir con la PUI hoteles?

La PUI hoteles está vinculada directamente a la búsqueda de personas desaparecidas, un tema de muy alta sensibilidad social y mediática en México. Un hotel sancionado por obstaculizar el sistema enfrenta no solo la multa económica sino un problema de imagen pública difícil de reparar. En la era de las redes sociales, una sola noticia puede afectar reservas durante meses.