ДОГОВОР ЗА ОБРАБОТВАНЕ НА ЛИЧНИ ДАННИ (DPA)

1. Страни

2. Предмет и срок (чл. 28.3 ОРЗД)

Администраторът възлага на Обработващия да обработва лични данни от негово име чрез платформата Vezpa. Обработването продължава за срока на абонаментния договор между страните и приключва с неговото прекратяване, без да се засяга предвиденото в §14.

3. Естество, цели и вид на обработваните данни

3.1 Цели

• Управление на резервациите, престоя и настаняването/напускането (check-in/check-out)
• Изпълнение на законовите задължения на Администратора към публичните органи (AlloggiatiWeb, ISTAT, PayTourist, Feratel/Meldeamt, SES.HOSPEDAJES, NTAK, eVisitor, SEF, UbyPort, eTurizem)
• Съобщаване на резервационни данни на OTA каналите и channel manager, активирани от обекта
• Изпращане на съобщения до госта (потвърждения, предварителна регистрация за настаняване, плащания)
• Обработване на плащания чрез Booking Engine или връзка на Stripe
• Изготвяне на отчети и статистики за Администратора

3.2 Категории субекти на данни

• Гости на обектите и техните придружители
• Лица, резервиращи от името на други
• Аварийни контакти, евентуално предоставени от госта

3.3 Вид обработвани лични данни

• Идентификационни и лични данни (име, фамилия, дата и място на раждане, гражданство, пол)
• Документи за самоличност (вид, номер, дата на издаване, издаващ орган, сканирано или фотографирано изображение)
• Текстови данни, извлечени от документа чрез автоматичен OCR
• Данни за контакт (имейл, телефон, адрес)
• Данни за резервация и престой
• Платежни данни (обработвани от Stripe, не се съхраняват в Vezpa)

4. Инструкции на Администратора (чл. 28.3.а ОРЗД)

Обработващият обработва личните данни изключително въз основа на документирани инструкции на Администратора. Общите инструкции се съдържат в настоящия DPA, в Политиката за поверителност, в Информацията по ОРЗД и в Общите условия за услугата. Специфични инструкции могат да бъдат дадени от Администратора чрез:

• Конфигурации в собствения си акаунт (активиране/деактивиране на държавни конектори, OTA, срокове на съхранение)
• Свързване на външни услуги, избрани от Администратора, като гласовата платформа, която отговаря на телефона на обекта (напр. Retell, Vapi, ElevenLabs): Обработващият предава на услугата, само когато тя го запитва с ключа, генериран от Администратора, данните, необходими за отговора (наличност, цени, данни за обекта и след проверка на телефонния номер и фамилията — дати и суми на резервацията на обаждащия се), и получава от нея съобщения и резюмета на обажданията. Външната услуга се избира, договаря и заплаща от Администратора: тя е негов обработващ, а не подобработващ на Обработващия, и Администраторът отговаря за нея (договор по чл. 28 ОРЗД, информиране на субектите на данни, евентуален запис на обажданията, предаване извън ЕС).
• Писмено съобщение до info@vezpa.it или чрез PEC до lavezpa@pec.it

Ако Обработващият счита, че дадена инструкция нарушава ОРЗД или други приложими разпоредби, информира незабавно Администратора.

5. Задължения на Обработващия (чл. 28.3.б-з ОРЗД)

Обработващият се задължава да:

1. Поверителност: да обработва данните поверително и да гарантира, че лицата, оправомощени да обработват данните, са обвързани със задължение за поверителност;
2. Сигурност: да приеме техническите и организационните мерки по Приложение Б, съобразени с риска;
3. Подобработващи: да спазва условията на §6;
4. Съдействие на Администратора: да подпомага Администратора при изпълнение на неговите задължения, по-специално:
   • Отговор на исканията на субектите на данни (чл. 15-22 ОРЗД) в срокове, които позволяват на Администратора да отговори в законовите 30 дни;
   • Уведомяване на Администратора за нарушение на сигурността на личните данни в рамките на 48 часа от откриването (§7);
   • Съдействие при оценки на въздействието върху защитата на данните (чл. 35) и предварителни консултации (чл. 36);
   • Доказване на съответствие чрез документация и, при поискване, одит (§9).
5. Връщане / заличаване на данните при приключване, както е предвидено в §14;
6. Информация: да предоставя на Администратора цялата информация, необходима за доказване на съответствието с настоящия DPA.

6. Подобработващи (чл. 28.2 и 28.4 ОРЗД)

6.1 Общо разрешение

Администраторът разрешава на Обработващия да назначава подобработващите, изброени на vezpa.it/subprocessors, и тези, които ще бъдат добавени впоследствие съгласно описаната тук процедура.

6.2 Предизвестие за промяна

Обработващият съобщава на Администратора намерението си да добави или замени подобработващ с предизвестие от поне 30 дни, чрез имейл до регистрирания адрес и/или съобщение в таблото. В рамките на този срок Администраторът може мотивирано да възрази. В случай на неразрешимо възражение всяка страна може да прекрати договора с прекратяване на засегнатото обработване.

6.3 Задължения към подобработващите

Обработващият налага на подобработващите писмено задължения за защита на данните, еквивалентни на предвидените тук, и отговаря пред Администратора за действията на подобработващите.

7. Нарушение на сигурността на личните данни (чл. 33 ОРЗД)

В случай на нарушение на сигурността на личните данни, което засяга данни, обработвани от името на Администратора, Обработващият:

• Уведомява Администратора без ненужно забавяне и във всички случаи в рамките на 48 часа от откриването, освен при документирана непреодолима сила;
• Предоставя информацията по чл. 33.3 ОРЗД (естество, категории и приблизителен брой на засегнатите субекти и данни, вероятни последствия, приети или предложени мерки);
• Сътрудничи на Администратора при съобщенията до субектите и надзорния орган;
• Документира инцидента и предприетите действия.

Уведомяването на Администратора се извършва по имейл до регистрирания адрес и по PEC, ако е наличен. Администраторът остава отговорен за външните уведомявания (италианския орган за защита на данните Garante, субектите на данни) съгласно чл. 33-34 ОРЗД.

8. Права на субектите на данни (чл. 28.3.д ОРЗД)

Ако субект се обърне директно към Обработващия, за да упражни права, свързани с данни, обработвани от името на Администратора, Обработващият препраща искането към Администратора без забавяне и не отговаря от името на Администратора, освен при различни инструкции.

Обработващият предоставя на Администратора в таблото и чрез API функционалности за:

• Експорт на данните на субект (достъп и преносимост)
• Коригиране
• Заличаване или анонимизация
• Ограничаване на обработването

За искания, изискващи ръчна техническа намеса, Обработващият отговаря в рамките на 10 работни дни от получаване на инструкцията на Администратора.

9. Одит (чл. 28.3.з ОРЗД)

Обработващият предоставя на Администратора при поискване информация и документация, доказващи съответствието с настоящия DPA, включително:

• Резюме на приложените мерки за сигурност
• Списък на подобработващите със седалища и основания за предаване
• Регистър на обработванията (релевантни извлечения)
• Сертификации на подобработващите (ISO 27001, SOC 2, DPF), където са налични

9.1 Начин и граници на одита

• Начин по подразбиране — документален одит от разстояние: Администраторът може да поиска, с писмено предизвестие от поне 30 дни и с честота най-много веднъж годишно, предоставяне на документация за сигурността, сертификати, регистри и отговори на въпросници. Това е стандартният начин.
• Одит на място в седалището на Vezpa: допуска се единствено при установено нарушение на договора или потвърдено нарушение на сигурността на личните данни, което се дължи на Обработващия, с писмено предизвестие от поне 30 дни.
• Продължителност: всеки одит не може да надвишава 2 работни дни, провежда се през работно време и без да пречи на обичайните дейности.
• Външни одитори: допускат се само ако са обвързани със споразумение за поверителност (NDA) с Vezpa и нямат конфликт на интереси (не са преки конкуренти на Обработващия).
• Разходи: изцяло за сметка на Администратора (включително разумните вътрешни разходи на Обработващия), освен при одит, който установи нарушение, дължащо се на Обработващия, като в този случай разходите остават за негова сметка.
• Поверителност: информацията, получена при одита, е обхваната от задължение за поверителност, което продължава след срока на договора за поне 5 години.

10. Предаване извън ЕС (Глава V ОРЗД)

Списъкът на подобработващите с посочване на седалището и правното основание на предаването е публикуван на vezpa.it/subprocessors. За предаване, което не е обхванато от решение за адекватност, Обработващият приема:

• Стандартни договорни клаузи 2021/914 и допълнителни мерки, където са необходими (документирана оценка на въздействието на предаването);
• Или други подходящи гаранции, предвидени в чл. 46 ОРЗД.

11. Роля на Администратора

Администраторът декларира и гарантира, че:

• Е предоставил на субектите информацията, предвидена в чл. 13-14 ОРЗД;
• Е получил евентуалните правни основания (съгласие, договор, законово задължение), необходими за обработването;
• Дава законосъобразни инструкции на Обработващия;
• Гарантира правилното съхранение и заличаване на данните след оттегляне от платформата Vezpa.

12. Поверителност

Всяка страна запазва строго поверителна цялата информация, получена от другата страна при изпълнение на настоящия DPA, за целия срок на договора и за 5 години след това.

13. Отговорност

Отговорността на всяка страна по чл. 82 ОРЗД към субектите остава регулирана от закона. В отношенията между страните режимът на договорна отговорност е установен в Общите условия за услугата (§9-10), при запазване на неотменимото разпределение, предвидено в чл. 82 ОРЗД.

14. Прекратяване на обработването

При прекратяване на договора по каквато и да е причина, Обработващият:

1. Предоставя на Администратора инструментите за експорт на неговите данни в структуриран формат (CSV/JSON) за 30 дни от прекратяването;
2. След изтичане на 30 дни заличава или анонимизира данните, обработвани от името на Администратора, от производствените системи;
3. Заличава данните от резервните копия в рамките на следващия ротационен цикъл (обикновено в рамките на 90 дни);
4. Запазва данните, които Vezpa е задължена да съхранява по закон (обикновено: данни за фактуриране и логове за сигурност), само за сроковете, наложени от приложимата нормативна уредба, като поддържа върху тях подходящи мерки за сигурност.

15. Промени

Обработващият може да променя настоящия DPA, за да отразява нормативни промени (напр. нови СДК, мерки на италианския орган за защита на данните Garante) или организационни изменения. Съществените промени се съобщават на Администратора с предизвестие от поне 30 дни. Ако Администраторът не ги приеме, той може да се оттегли от договора без неустойки за неизползваната част от абонамента.

16. Приложимо право

Настоящият DPA се регулира от италианското право. За споровете се прилага §16 от Общите условия за услугата.