ACCORD DE TRAITEMENT DES DONNÉES (DPA)

1. Parties

2. Objet et durée (art. 28.3 RGPD)

Le Responsable charge le Sous-traitant de traiter des données à caractère personnel pour son compte au moyen de la plateforme Vezpa. Le traitement a la durée du contrat d'abonnement entre les parties et cesse avec sa résiliation, sous réserve des dispositions du §14.

3. Nature, finalités et type de données traitées

3.1 Finalités

• Gestion des réservations, du séjour et du check-in/check-out
• Exécution des obligations légales du Responsable envers les autorités publiques (AlloggiatiWeb, ISTAT, PayTourist, Feratel/Meldeamt, SES.HOSPEDAJES, NTAK, eVisitor, SEF, UbyPort, eTurizem)
• Communication des données de réservation aux canaux OTA et au channel manager activés par l'établissement
• Émission de communications au client hébergé (confirmations, pré-check-in, paiements)
• Traitement des paiements via Booking Engine ou lien Stripe
• Production de rapports et statistiques pour le Responsable

3.2 Catégories de personnes concernées

• Clients hébergés des établissements et leurs accompagnants
• Personnes qui réservent pour le compte d'autrui
• Contacts d'urgence éventuellement fournis par le client hébergé

3.3 Type de données à caractère personnel traitées

• Données d'identification et d'identité (nom, prénom, date et lieu de naissance, nationalité, genre)
• Documents d'identité (type, numéro, date de délivrance, autorité émettrice, image scannée ou photographiée)
• Données textuelles extraites du document par OCR automatique
• Données de contact (email, téléphone, adresse)
• Données de réservation et de séjour
• Données de paiement (gérées par Stripe, non conservées sur Vezpa)

4. Instructions du Responsable (art. 28.3.a RGPD)

Le Sous-traitant traite les données à caractère personnel exclusivement sur la base d'instructions documentées du Responsable. Les instructions générales sont contenues dans le présent DPA, dans la Politique de confidentialité, dans l'Information RGPD et dans les Conditions de service. Des instructions spécifiques peuvent être données par le Responsable par :

• Configurations dans son compte (activation/désactivation des connecteurs gouvernementaux, OTA, conservation)
• Connexion de services externes choisis par le Responsable, comme la plateforme vocale qui répond au téléphone de l'établissement (ex. Retell, Vapi, ElevenLabs) : le Sous-traitant transmet au service, uniquement lorsque celui-ci l'interroge avec la clé générée par le Responsable, les données nécessaires à la réponse (disponibilités, prix, données de l'établissement et, après vérification du numéro et du nom de famille, dates et montants de la réservation de l'appelant) et en reçoit les messages et les résumés des appels. Le service externe est choisi, contracté et payé par le Responsable : il est son sous-traitant, et non un sous-traitant ultérieur du Sous-traitant, et le Responsable en répond (contrat au sens de l'art. 28 RGPD, information des personnes concernées, éventuel enregistrement des appels, transferts hors de l'UE).
• Communication écrite à info@vezpa.it ou par PEC à lavezpa@pec.it

Si le Sous-traitant estime qu'une instruction viole le RGPD ou d'autres dispositions applicables, il en informe immédiatement le Responsable.

5. Obligations du Sous-traitant (art. 28.3.b-h RGPD)

Le Sous-traitant s'engage à :

1. Confidentialité : traiter les données de manière confidentielle et s'assurer que les personnes autorisées au traitement sont tenues à une obligation de confidentialité ;
2. Sécurité : adopter les mesures techniques et organisationnelles visées à l'Annexe B, adaptées au risque ;
3. Sous-traitants ultérieurs : respecter les conditions du §6 ;
4. Assistance au Responsable : assister le Responsable dans l'exécution de ses obligations, notamment :
   • Réponse aux demandes des personnes concernées (art. 15-22 RGPD) dans des délais permettant au Responsable de répondre dans les 30 jours légaux ;
   • Notification des violations de données au Responsable dans les 48 heures suivant la découverte (§7) ;
   • Soutien à l'AIPD (art. 35) et aux consultations préalables (art. 36) ;
   • Démonstration de conformité via documentation et, sur demande, audit (§9).
5. Restitution / effacement des données à la fin, comme prévu au §14 ;
6. Information : mettre à la disposition du Responsable toutes les informations nécessaires pour démontrer la conformité au présent DPA.

6. Sous-traitants ultérieurs (art. 28.2 et 28.4 RGPD)

6.1 Autorisation générale

Le Responsable autorise le Sous-traitant à désigner les sous-traitants ultérieurs énumérés sur vezpa.it/subprocessors et ceux qui seront ultérieurement ajoutés selon la procédure décrite ici.

6.2 Préavis de modification

Le Sous-traitant communique au Responsable son intention d'ajouter ou de remplacer un sous-traitant ultérieur avec un préavis d'au moins 30 jours, par email à l'adresse enregistrée et/ou avis dans le tableau de bord. Dans ce délai, le Responsable peut s'y opposer de manière motivée. En cas d'opposition non résoluble, chaque partie peut résilier le contrat avec cessation du traitement concerné.

6.3 Obligations envers les sous-traitants ultérieurs

Le Sous-traitant impose par écrit aux sous-traitants ultérieurs des obligations de protection des données équivalentes à celles prévues ici, et répond envers le Responsable des actes des sous-traitants ultérieurs.

7. Violation de données (art. 33 RGPD)

En cas de violation de données à caractère personnel concernant des données traitées pour le compte du Responsable, le Sous-traitant :

• Notifie le Responsable sans retard injustifié et en tout état de cause dans les 48 heures suivant la découverte, sauf cas de force majeure documentés ;
• Fournit les informations de l'art. 33.3 RGPD (nature, catégories et nombre approximatif des personnes concernées et des données, conséquences probables, mesures adoptées ou proposées) ;
• Collabore avec le Responsable pour les communications aux personnes concernées et à l'Autorité de contrôle ;
• Documente l'incident et les actions entreprises.

La notification au Responsable a lieu par email à l'adresse enregistrée et PEC, si disponible. Le Responsable demeure responsable des notifications externes (Garante, personnes concernées) au sens des art. 33-34 RGPD.

8. Droits des personnes concernées (art. 28.3.e RGPD)

Si une personne concernée s'adresse directement au Sous-traitant pour exercer des droits relatifs à des données traitées pour le compte du Responsable, le Sous-traitant transmet la demande au Responsable sans délai et ne répond pas pour le compte du Responsable, sauf instructions contraires.

Le Sous-traitant met à la disposition du Responsable, dans le tableau de bord et via API, des fonctionnalités pour :

• Exportation des données d'une personne concernée (accès et portabilité)
• Rectification
• Effacement ou anonymisation
• Limitation du traitement

Pour les demandes nécessitant une intervention technique manuelle, le Sous-traitant répond dans les 10 jours ouvrés suivant la réception de l'instruction du Responsable.

9. Audit (art. 28.3.h RGPD)

Le Sous-traitant fournit au Responsable, sur demande, des informations et de la documentation démontrant la conformité au présent DPA, notamment :

• Synthèse des mesures de sécurité mises en œuvre
• Liste des sous-traitants ultérieurs avec sièges et bases de transfert
• Registre des activités de traitement (extraits pertinents)
• Certifications des sous-traitants ultérieurs (ISO 27001, SOC 2, DPF) le cas échéant

9.1 Modalités et limites de l'audit

• Modalité par défaut — audit documentaire à distance : le Responsable peut demander, avec un préavis écrit d'au moins 30 jours et une fréquence maximale d'une fois par an, la communication de la documentation de sécurité, des certifications, des registres et des réponses à des questionnaires. C'est la modalité standard.
• Audit sur site au siège de Vezpa : admis exclusivement en cas de violation contractuelle constatée ou de violation de données confirmée imputable au Sous-traitant, avec un préavis écrit d'au moins 30 jours.
• Durée : chaque audit ne peut excéder 2 jours ouvrés, effectués pendant les heures ouvrées et sans interférer avec les opérations ordinaires.
• Auditeurs tiers : admis uniquement s'ils sont liés à Vezpa par un accord de confidentialité et n'ont aucun conflit d'intérêts (ils ne peuvent pas être des concurrents directs du Sous-traitant).
• Coûts : intégralement à la charge du Responsable (y compris les coûts internes raisonnables du Sous-traitant), sauf si l'audit constate une violation imputable au Sous-traitant, auquel cas ils restent à la charge de ce dernier.
• Confidentialité : les informations obtenues lors de l'audit sont couvertes par une obligation de confidentialité qui s'étend au-delà de la durée du contrat pendant au moins 5 ans.

10. Transferts hors UE (Chapitre V RGPD)

La liste des sous-traitants ultérieurs avec indication du siège et de la base juridique du transfert est publiée sur vezpa.it/subprocessors. Pour les transferts non couverts par une décision d'adéquation, le Sous-traitant adopte :

• Clauses Contractuelles Types 2021/914 et mesures supplémentaires le cas échéant (Transfer Impact Assessment documenté) ;
• Ou d'autres garanties appropriées prévues par l'art. 46 RGPD.

11. Rôle du Responsable

Le Responsable déclare et garantit :

• Avoir fourni aux personnes concernées l'information prévue par les art. 13-14 RGPD ;
• Avoir acquis les éventuelles bases juridiques (consentement, contrat, obligation légale) nécessaires au traitement ;
• Donner des instructions licites au Sous-traitant ;
• Garantir la conservation et l'effacement corrects des données après le retrait de la plateforme Vezpa.

12. Confidentialité

Chaque partie maintient strictement confidentielles toutes les informations reçues de l'autre partie en exécution du présent DPA, pour toute la durée du contrat et pour les 5 années suivantes.

13. Responsabilité

La responsabilité de chaque partie au sens de l'art. 82 RGPD envers les personnes concernées reste régie par la loi. Dans les rapports entre les parties, le régime de responsabilité contractuelle est celui établi dans les Conditions de service (§9-10), sans préjudice de la répartition impérative prévue par l'art. 82 RGPD.

14. Cessation du traitement

À la cessation du contrat pour quelque cause que ce soit, le Sous-traitant :

1. Met à la disposition du Responsable les outils pour exporter ses données dans un format structuré (CSV/JSON) pendant 30 jours après la cessation ;
2. Après 30 jours, efface ou rend anonymes les données traitées pour le compte du Responsable dans les systèmes de production ;
3. Efface les données des sauvegardes dans le cycle de rotation suivant (généralement dans un délai de 90 jours) ;
4. Conserve les données que Vezpa est tenue de conserver par la loi (typiquement : données de facturation et journaux de sécurité) uniquement pour les délais imposés par la réglementation applicable, en maintenant sur celles-ci des mesures de sécurité adéquates.

15. Modifications

Le Sous-traitant peut modifier le présent DPA pour tenir compte d'évolutions réglementaires (ex. nouvelles CCT, mesures du Garante) ou de variations organisationnelles. Les modifications substantielles sont communiquées au Responsable avec un préavis d'au moins 30 jours. Si le Responsable n'accepte pas, il peut résilier sans pénalité pour la partie non utilisée de l'abonnement.

16. Droit applicable

Le présent DPA est régi par la loi italienne. Pour les litiges, le §16 des Conditions de service s'applique.