SMLOUVA O ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ (DPA)

1. Strany

2. Předmět a doba trvání (čl. 28.3 GDPR)

Správce pověřuje Zpracovatele zpracováním osobních údajů svým jménem prostřednictvím platformy Vezpa. Zpracování trvá po dobu trvání smlouvy o předplatném mezi stranami a končí jejím ukončením, s výhradou ustanovení §14.

3. Povaha, účely a typ zpracovávaných údajů

3.1 Účely

• Správa rezervací, pobytů a check-inu/check-outu
• Plnění právních povinností Správce vůči veřejným orgánům (AlloggiatiWeb, ISTAT, PayTourist, Feratel/Meldeamt, SES.HOSPEDAJES, NTAK, eVisitor, SEF, UbyPort, eTurizem)
• Sdělení údajů o rezervaci OTA kanálům a channel manageru aktivovaným zařízením
• Zasílání sdělení hostům (potvrzení, pre-check-in, platby)
• Zpracování plateb přes Booking Engine nebo odkaz Stripe
• Vytváření reportů a statistik pro Správce

3.2 Kategorie subjektů údajů

• Hosté zařízení a jejich doprovod
• Osoby, které rezervují jménem druhých
• Kontakty v případě nouze případně poskytnuté hostem

3.3 Typ zpracovávaných osobních údajů

• Identifikační údaje (jméno, příjmení, datum a místo narození, státní občanství, pohlaví)
• Doklady totožnosti (typ, číslo, datum vydání, vydávající orgán, naskenovaný nebo vyfotografovaný snímek)
• Textové údaje extrahované z dokladů pomocí automatického OCR
• Kontaktní údaje (e-mail, telefon, adresa)
• Údaje o rezervaci a pobytu
• Platební údaje (spravované společností Stripe, neukládané ve Vezpa)

4. Pokyny Správce (čl. 28.3.a GDPR)

Zpracovatel zpracovává osobní údaje výhradně na základě dokumentovaných pokynů Správce. Obecné pokyny jsou obsaženy v této DPA, v Zásadách ochrany osobních údajů, v informaci GDPR a v Podmínkách služby. Specifické pokyny může Správce udělit přes:

• Konfigurace ve vlastním účtu (aktivace/deaktivace vládních konektorů, OTA, doby uchovávání)
• Připojení externích služeb zvolených Správcem, například hlasové platformy, která přijímá hovory na telefonu ubytování (např. Retell, Vapi, ElevenLabs): Zpracovatel předává službě, pouze když se jej dotazuje klíčem vygenerovaným Správcem, údaje potřebné k odpovědi (dostupnost, ceny, údaje o ubytování a po ověření telefonního čísla a příjmení data a částky rezervace volajícího) a přijímá od ní vzkazy a shrnutí hovorů. Externí službu volí, sjednává a platí Správce: je jeho zpracovatelem, nikoli dalším zpracovatelem Zpracovatele, a Správce za ni odpovídá (smlouva podle čl. 28 GDPR, informování subjektů údajů, případné nahrávání hovorů, předávání mimo EU).
• Písemné sdělení na info@vezpa.it nebo PEC na lavezpa@pec.it

Pokud se Zpracovatel domnívá, že pokyn porušuje GDPR nebo jiné platné předpisy, okamžitě o tom informuje Správce.

5. Povinnosti Zpracovatele (čl. 28.3.b-h GDPR)

Zpracovatel se zavazuje:

1. Důvěrnost: zpracovávat údaje důvěrně a zajistit, že osoby oprávněné ke zpracování jsou vázány povinností mlčenlivosti;
2. Bezpečnost: přijmout technická a organizační opatření uvedená v Příloze B, odpovídající riziku;
3. Další zpracovatelé: dodržovat podmínky §6;
4. Pomoc Správci: pomáhat Správci při plnění jeho povinností, zejména:
   • Odpověď na žádosti subjektů údajů (čl. 15-22 GDPR) v čase umožňujícím Správci odpovědět v 30denní zákonné lhůtě;
   • Oznámení porušení zabezpečení údajů Správci do 48 hodin od zjištění (§7);
   • Podpora pro DPIA (čl. 35) a předchozí konzultace (čl. 36);
   • Prokazování souladu prostřednictvím dokumentace a, pokud je vyžadováno, auditu (§9).
5. Vrácení / výmaz údajů po ukončení, jak je uvedeno v §14;
6. Informace: zpřístupnit Správci všechny informace nezbytné k prokázání souladu s touto DPA.

6. Další zpracovatelé (čl. 28.2 a 28.4 GDPR)

6.1 Obecné povolení

Správce povoluje Zpracovateli jmenovat další zpracovatele uvedené na vezpa.it/subprocessors a ty, kteří budou později doplněni podle zde popsaného postupu.

6.2 Předchozí oznámení o změně

Zpracovatel sděluje Správci záměr přidat nebo nahradit dalšího zpracovatele alespoň 30 dní předem, e-mailem na registrovanou adresu a/nebo oznámením v dashboardu. V této lhůtě může Správce vznést odůvodněnou námitku. V případě neřešitelné námitky může každá strana odstoupit od smlouvy s ukončením dotčeného zpracování.

6.3 Povinnosti vůči dalším zpracovatelům

Zpracovatel ukládá dalším zpracovatelům písemné povinnosti ochrany údajů rovnocenné těm zde stanoveným a odpovídá Správci za jednání dalších zpracovatelů.

7. Porušení zabezpečení osobních údajů (čl. 33 GDPR)

V případě porušení zabezpečení osobních údajů, které se týká údajů zpracovávaných jménem Správce, Zpracovatel:

• Oznámí to Správci bez zbytečného odkladu a v každém případě do 48 hodin od zjištění, s výjimkou doložených případů vyšší moci;
• Poskytne informace podle čl. 33.3 GDPR (povaha, kategorie a přibližný počet subjektů a údajů, pravděpodobné následky, přijatá nebo navržená opatření);
• Spolupracuje se Správcem při komunikaci se subjekty údajů a dozorčím orgánem;
• Dokumentuje incident a podniknuté kroky.

Oznámení Správci probíhá e-mailem na registrovanou adresu a PEC, pokud je k dispozici. Správce zůstává odpovědný za externí oznámení (italský úřad pro ochranu osobních údajů Garante, subjekty údajů) podle čl. 33-34 GDPR.

8. Práva subjektů údajů (čl. 28.3.e GDPR)

Pokud se subjekt údajů obrátí přímo na Zpracovatele za účelem uplatnění práv týkajících se údajů zpracovávaných jménem Správce, Zpracovatel předává žádost Správci bez odkladu a neodpovídá jménem Správce, pokud nedostane jiné pokyny.

Zpracovatel zpřístupňuje Správci v dashboardu a přes API funkce pro:

• Export dat subjektu údajů (přístup a přenositelnost)
• Opravu
• Výmaz nebo anonymizaci
• Omezení zpracování

Pro žádosti vyžadující manuální technický zásah Zpracovatel odpovídá do 10 pracovních dnů od obdržení pokynu Správce.

9. Audit (čl. 28.3.h GDPR)

Zpracovatel poskytuje Správci na žádost informace a dokumentaci prokazující soulad s touto DPA, včetně:

• Souhrnu implementovaných bezpečnostních opatření
• Seznamu dalších zpracovatelů se sídly a právními základy přenosu
• Záznamů o činnostech zpracování (relevantní výtahy)
• Certifikací dalších zpracovatelů (ISO 27001, SOC 2, DPF), pokud jsou k dispozici

9.1 Způsob a meze auditu

• Výchozí způsob — audit dokumentace na dálku: Správce může s písemným předstihem alespoň 30 dnů a nejvýše jednou ročně požádat o poskytnutí bezpečnostní dokumentace, certifikací, záznamů a odpovědí na dotazníky. To je standardní způsob auditu.
• Audit na místě v sídle Vezpa: je přípustný výhradně v případě zjištěného porušení smlouvy nebo potvrzeného porušení zabezpečení údajů přičitatelného Zpracovateli, s písemným předstihem alespoň 30 dnů.
• Doba trvání: žádný audit nesmí přesáhnout 2 pracovní dny, probíhá v pracovní době a bez narušení běžného provozu.
• Externí auditoři: jsou přípustní pouze tehdy, jsou-li vázáni dohodou o mlčenlivosti s Vezpa a nejsou ve střetu zájmů (nejsou přímými konkurenty Zpracovatele).
• Náklady: nese v plném rozsahu Správce (včetně přiměřených interních nákladů Zpracovatele), ledaže audit prokáže porušení přičitatelné Zpracovateli; v takovém případě je nese Zpracovatel.
• Důvěrnost: na informace získané při auditu se vztahuje povinnost mlčenlivosti, která trvá i po skončení smlouvy, a to nejméně 5 let.

10. Přenosy mimo EU (kapitola V GDPR)

Seznam dalších zpracovatelů s uvedením sídla a právního základu přenosu je zveřejněn na vezpa.it/subprocessors. Pro přenosy, na které se nevztahuje rozhodnutí o odpovídající ochraně, Zpracovatel přijímá:

• Standardní smluvní doložky 2021/914 a doplňující opatření tam, kde je to nezbytné (dokumentovaný Transfer Impact Assessment);
• Nebo jiné vhodné záruky stanovené čl. 46 GDPR.

11. Role Správce

Správce prohlašuje a zaručuje, že:

• Poskytl subjektům údajů informace požadované čl. 13-14 GDPR;
• Získal případné právní základy (souhlas, smlouva, právní povinnost) nezbytné pro zpracování;
• Uděluje zákonné pokyny Zpracovateli;
• Zaručuje správné uchovávání a výmaz údajů po odchodu z platformy Vezpa.

12. Důvěrnost

Každá strana přísně zachovává důvěrnost všech informací získaných od druhé strany při plnění této DPA, po celou dobu trvání smlouvy a po následujících 5 let.

13. Odpovědnost

Odpovědnost každé strany podle čl. 82 GDPR vůči subjektům údajů zůstává upravena zákonem. Ve vztazích mezi stranami je režim smluvní odpovědnosti stanoven v Podmínkách služby (§9-10), přičemž zůstává zachováno nedotknutelné rozdělení odpovědnosti stanovené čl. 82 GDPR.

14. Ukončení zpracování

Při ukončení smlouvy z jakéhokoli důvodu Zpracovatel:

1. Zpřístupní Správci nástroje pro export jeho údajů ve strukturovaném formátu (CSV/JSON) po dobu 30 dnů od ukončení;
2. Po uplynutí 30 dnů vymaže nebo anonymizuje údaje zpracovávané jménem Správce z produkčních systémů;
3. Vymaže údaje ze záloh v následujícím rotačním cyklu (typicky do 90 dnů);
4. Uchová údaje, které je Vezpa povinna uchovávat ze zákona (typicky: fakturační údaje a bezpečnostní logy) pouze po dobu uloženou platnými předpisy, přičemž na ně uplatňuje odpovídající bezpečnostní opatření.

15. Změny

Zpracovatel může tuto DPA změnit za účelem promítnutí změn předpisů (např. nové SCC, opatření italského úřadu pro ochranu osobních údajů Garante) nebo organizačních změn. Podstatné změny jsou oznámeny Správci alespoň 30 dní předem. Pokud je Správce nepřijme, může odstoupit bez sankcí za nevyužitou část předplatného.

16. Rozhodné právo

Tato DPA se řídí italským právem. Pro spory platí §16 Podmínek služby.