DATABEHANDLERAFTALE (DPA)

1. Parter

2. Genstand og varighed (art. 28.3 GDPR)

Den Dataansvarlige giver Databehandleren til opgave at behandle personoplysninger på den Dataansvarliges vegne via Vezpa-platformen. Behandlingen varer, så længe abonnementskontrakten mellem parterne løber, og ophører, når kontrakten ophører, medmindre andet er fastsat i §14.

3. Behandlingens art og formål samt typen af behandlede data

3.1 Formål

• Administration af reservationer, ophold og check-in/check-out
• Opfyldelse af den Dataansvarliges retlige forpligtelser over for offentlige myndigheder (AlloggiatiWeb, ISTAT, PayTourist, Feratel/Meldeamt, SES.HOSPEDAJES, NTAK, eVisitor, SEF, UbyPort, eTurizem)
• Videregivelse af reservationsdata til de OTA-kanaler og den channel manager, som indkvarteringsstedet har aktiveret
• Afsendelse af meddelelser til gæsten (bekræftelser, pre-check-in, betalinger)
• Behandling af betalinger via Booking Engine eller Stripe-link
• Udarbejdelse af rapporter og statistik til den Dataansvarlige

3.2 Kategorier af registrerede

• Gæster på indkvarteringsstederne og deres ledsagere
• Personer, der reserverer på vegne af andre
• Nødkontakter, som gæsten eventuelt oplyser

3.3 Type af behandlede personoplysninger

• Identifikations- og persondata (fornavn, efternavn, fødselsdato og -sted, statsborgerskab, køn)
• Identitetsdokumenter (type, nummer, udstedelsesdato, udstedende myndighed, scannet eller fotograferet billede)
• Tekstdata udtrukket fra dokumentet via automatisk OCR
• Kontaktoplysninger (e-mail, telefon, adresse)
• Reservations- og opholdsdata
• Betalingsoplysninger (håndteret af Stripe, ikke lagret hos Vezpa)

4. Den Dataansvarliges instrukser (art. 28.3.a GDPR)

Databehandleren behandler personoplysninger udelukkende på grundlag af dokumenterede instrukser fra den Dataansvarlige. De generelle instrukser er indeholdt i denne DPA, i Privatlivspolitikken, i GDPR-meddelelsen og i Servicevilkårene. Specifikke instrukser kan gives af den Dataansvarlige via:

• Konfigurationer i egen konto (aktivering/deaktivering af integrationer med myndigheder, OTA, opbevaringsperioder)
• Tilslutning af eksterne tjenester valgt af den Dataansvarlige, f.eks. den stemmeplatform, der besvarer indkvarteringsstedets telefon (f.eks. Retell, Vapi, ElevenLabs): Databehandleren videregiver til tjenesten, kun når den forespørger med den nøgle, som den Dataansvarlige har genereret, de data, der er nødvendige for svaret (tilgængelighed, priser, oplysninger om indkvarteringsstedet og, efter kontrol af telefonnummer og efternavn, datoer og beløb for den opkaldendes booking), og modtager beskeder og resuméer af opkaldene fra den. Den eksterne tjeneste vælges, aftales og betales af den Dataansvarlige: den er dennes databehandler, ikke en underdatabehandler for Databehandleren, og den Dataansvarlige er ansvarlig for den (aftale efter GDPR art. 28, oplysning til de registrerede, eventuel optagelse af opkaldene, overførsler uden for EU).
• Skriftlig kommunikation til info@vezpa.it eller via PEC til lavezpa@pec.it

Hvis Databehandleren finder, at en instruks overtræder GDPR eller andre gældende bestemmelser, underretter Databehandleren straks den Dataansvarlige.

5. Databehandlerens forpligtelser (art. 28.3.b-h GDPR)

Databehandleren forpligter sig til at:

1. Fortrolighed: behandle data fortroligt og sikre, at de personer, der er autoriseret til behandlingen, er underlagt fortrolighedspligt;
2. Sikkerhed: gennemføre de tekniske og organisatoriske foranstaltninger anført i Bilag B, der er passende i forhold til risikoen;
3. Underdatabehandlere: overholde betingelserne i §6;
4. Assistance til den Dataansvarlige: bistå den Dataansvarlige i opfyldelsen af dennes forpligtelser, navnlig:
   • Besvarelse af registreredes anmodninger (art. 15-22 GDPR) inden for frister, der gør det muligt for den Dataansvarlige at svare inden for lovens 30 dage;
   • Meddelelse om brud på persondatasikkerheden til den Dataansvarlige inden for 48 timer efter opdagelsen (§7);
   • Støtte til konsekvensanalyser (DPIA, art. 35) og forudgående høringer (art. 36);
   • Påvisning af overholdelse gennem dokumentation og, hvor det kræves, audit (§9).
5. Tilbagelevering / sletning af data ved ophør, som fastsat i §14;
6. Oplysning: stille alle oplysninger til rådighed for den Dataansvarlige, der er nødvendige for at dokumentere overholdelsen af denne DPA.

6. Underdatabehandlere (art. 28.2 og 28.4 GDPR)

6.1 Generel tilladelse

Den Dataansvarlige autoriserer Databehandleren til at udpege de underdatabehandlere, der er anført på vezpa.it/subprocessors, og dem, der senere vil blive tilføjet efter den her beskrevne procedure.

6.2 Varsel om ændring

Databehandleren meddeler den Dataansvarlige sin hensigt om at tilføje eller udskifte en underdatabehandler med mindst 30 dages varsel via e-mail til den registrerede adresse og/eller meddelelse i dashboardet. Inden for denne frist kan den Dataansvarlige gøre begrundet indsigelse. Hvis indsigelsen ikke kan løses, kan hver part opsige kontrakten, hvorved den pågældende behandling ophører.

6.3 Forpligtelser over for underdatabehandlerne

Databehandleren pålægger underdatabehandlerne skriftligt databeskyttelsesforpligtelser svarende til dem, der er fastsat her, og er ansvarlig over for den Dataansvarlige for underdatabehandlernes handlinger.

7. Brud på persondatasikkerheden (art. 33 GDPR)

I tilfælde af brud på persondatasikkerheden vedrørende data behandlet på vegne af den Dataansvarlige skal Databehandleren:

• Underrette den Dataansvarlige uden unødig forsinkelse og under alle omstændigheder inden for 48 timer efter opdagelsen, medmindre der foreligger dokumenteret force majeure;
• Give oplysningerne i art. 33.3 GDPR (art, kategorier og omtrentligt antal af registrerede og oplysninger, sandsynlige konsekvenser, trufne eller foreslåede foranstaltninger);
• Samarbejde med den Dataansvarlige om meddelelser til de registrerede og til tilsynsmyndigheden;
• Dokumentere hændelsen og de trufne handlinger.

Underretning af den Dataansvarlige sker via e-mail til den registrerede adresse og PEC, hvis tilgængelig. Den Dataansvarlige forbliver ansvarlig for eksterne meddelelser (Garante, registrerede) i henhold til art. 33-34 GDPR.

8. Registreredes rettigheder (art. 28.3.e GDPR)

Hvis en registreret henvender sig direkte til Databehandleren for at udøve rettigheder vedrørende data behandlet på vegne af den Dataansvarlige, videresender Databehandleren anmodningen til den Dataansvarlige uden ophold og svarer ikke på den Dataansvarliges vegne, medmindre der foreligger andre instrukser.

Databehandleren stiller i dashboardet og via API funktionalitet til rådighed for den Dataansvarlige til:

• Eksport af en registrerets data (indsigt og dataportabilitet)
• Berigtigelse
• Sletning eller anonymisering
• Begrænsning af behandlingen

For anmodninger, der kræver manuel teknisk indgriben, svarer Databehandleren inden for 10 arbejdsdage efter modtagelse af den Dataansvarliges instruks.

9. Audit (art. 28.3.h GDPR)

Databehandleren leverer efter anmodning til den Dataansvarlige oplysninger og dokumentation, der påviser overholdelse af denne DPA, herunder:

• Sammendrag af de implementerede sikkerhedsforanstaltninger
• Liste over underdatabehandlere med hjemsteder og overførselsgrundlag
• Fortegnelse over behandlingsaktiviteter (relevante uddrag)
• Certificeringer af underdatabehandlerne (ISO 27001, SOC 2, DPF), hvor tilgængelige

9.1 Metoder og begrænsninger for audit

• Standardmetode — dokumentbaseret fjernaudit: den Dataansvarlige kan med mindst 30 dages skriftligt varsel og højst en gang om året anmode om at få delt sikkerhedsdokumentation, certificeringer, fortegnelser og svar på spørgeskemaer. Dette er standardmetoden.
• Audit på stedet hos Vezpa: kun tilladt ved konstateret kontraktbrud eller bekræftet brud på persondatasikkerheden, der kan tilregnes Databehandleren, med mindst 30 dages skriftligt varsel.
• Varighed: hver audit må ikke overstige 2 arbejdsdage og gennemføres i arbejdstiden og uden at forstyrre den almindelige drift.
• Tredjepartsauditorer: kun tilladt, hvis de er bundet af en fortrolighedsaftale (NDA) med Vezpa og ikke har interessekonflikter (ikke er direkte konkurrenter til Databehandleren).
• Omkostninger: afholdes fuldt ud af den Dataansvarlige (herunder Databehandlerens rimelige interne omkostninger), medmindre auditten fastslår en overtrædelse, der kan tilregnes Databehandleren, i hvilket fald omkostningerne bæres af denne.
• Fortrolighed: oplysninger, der opnås under auditten, er omfattet af en fortrolighedspligt, der gælder i mindst 5 år efter kontraktens ophør.

10. Overførsler uden for EU (GDPR's kapitel V)

Listen over underdatabehandlere med angivelse af hjemsted og retsgrundlag for overførsel er offentliggjort på vezpa.it/subprocessors. For overførsler, der ikke er omfattet af en tilstrækkelighedsafgørelse, anvender Databehandleren:

• Standardkontraktbestemmelser 2021/914 og supplerende foranstaltninger, hvor det er nødvendigt (dokumenteret Transfer Impact Assessment);
• Eller andre passende garantier fastsat i art. 46 GDPR.

11. Den Dataansvarliges rolle

Den Dataansvarlige erklærer og garanterer at:

• Have forsynet de registrerede med oplysningerne fastsat i art. 13-14 GDPR;
• Have sikret sig de eventuelle retsgrundlag (samtykke, kontrakt, retlig forpligtelse), der er nødvendige for behandlingen;
• Give lovlige instrukser til Databehandleren;
• Sikre korrekt opbevaring og sletning af data efter at have forladt Vezpa-platformen.

12. Fortrolighed

Hver part holder strengt fortrolige alle oplysninger modtaget fra den anden part i forbindelse med udførelsen af denne DPA i hele kontraktens varighed og de efterfølgende 5 år.

13. Ansvar

Hver parts ansvar i henhold til art. 82 GDPR over for de registrerede forbliver reguleret af loven. I forholdet mellem parterne er kontraktansvarsregimet det, der er fastsat i Servicevilkårene (§9-10), med forbehold for den ufravigelige fordeling fastsat i art. 82 GDPR.

14. Ophør af behandlingen

Ved kontraktens ophør af enhver årsag skal Databehandleren:

1. Stille værktøjer til rådighed for den Dataansvarlige til eksport af egne data i struktureret format (CSV/JSON) i 30 dage efter ophøret;
2. Efter 30 dage slette eller anonymisere data behandlet på vegne af den Dataansvarlige fra produktionssystemerne;
3. Slette data fra backup inden for den efterfølgende rotationscyklus (typisk inden for 90 dage);
4. Opbevare de data, som Vezpa ved lov er forpligtet til at opbevare (typisk: faktureringsoplysninger og sikkerhedslogs) kun i de perioder, der er pålagt af gældende lovgivning, og med passende sikkerhedsforanstaltninger for disse data.

15. Ændringer

Databehandleren kan ændre denne DPA for at afspejle lovgivningsmæssige ændringer (f.eks. nye SCC, foranstaltninger fra Garante) eller organisatoriske ændringer. Væsentlige ændringer meddeles den Dataansvarlige med mindst 30 dages varsel. Hvis den Dataansvarlige ikke accepterer, kan denne opsige kontrakten uden bod for den ikke-udnyttede del af abonnementet.

16. Gældende lovgivning

Denne DPA er underlagt italiensk ret. For tvister gælder §16 i Servicevilkårene.