CONTRATO DE ENCARGO DEL TRATAMIENTO (DPA)

1. Partes

2. Objeto y duración (art. 28.3 RGPD)

El Responsable encarga al Encargado que trate datos personales por cuenta de aquel mediante la plataforma Vezpa. El tratamiento tiene la duración del contrato de suscripción entre las partes y cesa con su resolución, sin perjuicio de lo previsto en el §14.

3. Naturaleza, finalidad y tipología de los datos tratados

3.1 Finalidad

• Gestión de las reservas, de la estancia y del check-in/check-out
• Cumplimiento de las obligaciones legales del Responsable frente a las autoridades públicas (AlloggiatiWeb, ISTAT, PayTourist, Feratel/Meldeamt, SES.HOSPEDAJES, NTAK, eVisitor, SEF, UbyPort, eTurizem)
• Comunicación de los datos de reserva a los canales OTA y al channel manager activados por el establecimiento
• Emisión de comunicaciones al huésped (confirmaciones, pre-check-in, pagos)
• Procesamiento de pagos mediante Booking Engine o enlace Stripe
• Producción de informes y estadísticas para el Responsable

3.2 Categorías de interesados

• Huéspedes de los establecimientos y sus acompañantes
• Personas que reservan por cuenta de terceros
• Contactos de emergencia eventualmente proporcionados por el huésped

3.3 Tipología de datos personales tratados

• Datos identificativos y personales (nombre, apellidos, fecha y lugar de nacimiento, nacionalidad, género)
• Documentos de identidad (tipo, número, fecha de expedición, organismo emisor, imagen escaneada o fotografiada)
• Datos de texto extraídos del documento mediante OCR automático
• Datos de contacto (email, teléfono, dirección)
• Datos de reserva y estancia
• Datos de pago (gestionados por Stripe, no almacenados en Vezpa)

4. Instrucciones del Responsable (art. 28.3.a RGPD)

El Encargado trata los datos personales exclusivamente sobre la base de instrucciones documentadas del Responsable. Las instrucciones generales están contenidas en el presente DPA, en la Política de Privacidad, en la Información RGPD y en los Términos del Servicio. El Responsable puede impartir instrucciones específicas a través de:

• Configuraciones en su cuenta (activación/desactivación de conectores gubernamentales, OTA, conservación)
• Conexión de servicios externos elegidos por el Responsable, como la plataforma de voz que atiende el teléfono del alojamiento (p. ej., Retell, Vapi, ElevenLabs): el Encargado transmite al servicio, solo cuando este lo consulta con la clave generada por el Responsable, los datos necesarios para la respuesta (disponibilidad, precios, datos del alojamiento y, tras verificar el número y el apellido, fechas e importes de la reserva de quien llama) y recibe de él mensajes y resúmenes de las llamadas. El servicio externo es elegido, contratado y pagado por el Responsable: es un encargado del tratamiento del Responsable, no un subencargado del Encargado, y el Responsable responde de él (contrato conforme al art. 28 RGPD, información a los interesados, eventual grabación de las llamadas, transferencias fuera de la UE).
• Comunicación escrita a info@vezpa.it o vía PEC a lavezpa@pec.it

Si el Encargado considera que una instrucción infringe el RGPD u otras disposiciones aplicables, informa inmediatamente al Responsable.

5. Obligaciones del Encargado (art. 28.3.b-h RGPD)

El Encargado se compromete a:

1. Confidencialidad: tratar los datos de forma confidencial y garantizar que las personas autorizadas al tratamiento están sujetas a una obligación de confidencialidad;
2. Seguridad: adoptar las medidas técnicas y organizativas del Anexo B, adecuadas al riesgo;
3. Subencargados: respetar las condiciones del §6;
4. Asistencia al Responsable: asistir al Responsable en el cumplimiento de sus obligaciones, en particular:
   • Respuesta a las solicitudes de los interesados (arts. 15-22 RGPD) en plazos que permitan al Responsable responder en los 30 días legales;
   • Notificación de violaciones de la seguridad de los datos al Responsable en un plazo de 48 horas desde el descubrimiento (§7);
   • Apoyo en evaluaciones de impacto (art. 35) y consultas previas (art. 36);
   • Demostración de cumplimiento mediante documentación y, cuando sea requerido, auditorías (§9).
5. Devolución / supresión de los datos al final, según lo previsto en el §14;
6. Información: poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento del presente DPA.

6. Subencargados (art. 28.2 y 28.4 RGPD)

6.1 Autorización general

El Responsable autoriza al Encargado a designar los subencargados enumerados en vezpa.it/subprocessors y aquellos que se añadirán posteriormente según el procedimiento aquí descrito.

6.2 Preaviso de modificación

El Encargado comunica al Responsable la intención de añadir o sustituir a un subencargado con al menos 30 días de preaviso, mediante email a la dirección registrada y/o aviso en el panel de control. Dentro de dicho plazo, el Responsable puede oponerse motivadamente. En caso de oposición que no pueda resolverse, cualquiera de las partes puede rescindir el contrato con cese del tratamiento afectado.

6.3 Obligaciones frente a los subencargados

El Encargado impone por escrito a los subencargados obligaciones de protección de datos equivalentes a las aquí previstas, y responde frente al Responsable de la actuación de los subencargados.

7. Violaciones de la seguridad de los datos (art. 33 RGPD)

En caso de violación de datos personales que afecte a los datos tratados por cuenta del Responsable, el Encargado:

• Notifica al Responsable sin demora injustificada y en cualquier caso en un plazo de 48 horas desde el descubrimiento, salvo causas de fuerza mayor documentadas;
• Proporciona la información del art. 33.3 RGPD (naturaleza, categorías y número aproximado de interesados y de datos, consecuencias probables, medidas adoptadas o propuestas);
• Colabora con el Responsable en las comunicaciones a los interesados y a la Autoridad de control;
• Documenta el incidente y las acciones emprendidas.

La notificación al Responsable se realiza vía email a la dirección registrada y PEC, si está disponible. El Responsable sigue siendo responsable de las notificaciones externas (autoridad de control, interesados) en virtud de los arts. 33-34 RGPD.

8. Derechos de los interesados (art. 28.3.e RGPD)

Si un interesado se dirige directamente al Encargado para ejercer derechos relativos a datos tratados por cuenta del Responsable, el Encargado traslada la solicitud al Responsable sin demora y no responde por cuenta del Responsable salvo instrucción en contrario.

El Encargado pone a disposición del Responsable, en el panel de control y vía API, funcionalidades para:

• Exportación de los datos de un interesado (acceso y portabilidad)
• Rectificación
• Supresión o anonimización
• Limitación del tratamiento

Para las solicitudes que requieran intervención técnica manual, el Encargado responde en un plazo de 10 días laborables desde la recepción de la instrucción del Responsable.

9. Auditorías (art. 28.3.h RGPD)

El Encargado proporciona al Responsable, a petición, información y documentación que demuestre el cumplimiento del presente DPA, entre ellas:

• Resumen de las medidas de seguridad aplicadas
• Lista de los subencargados con domicilio y bases de transferencia
• Registro de las actividades de tratamiento (extractos relevantes)
• Certificaciones de los subencargados (ISO 27001, SOC 2, DPF) cuando estén disponibles

9.1 Modalidades y límites de la auditoría

• Modalidad por defecto — auditoría documental a distancia: el Responsable puede solicitar, con preaviso escrito de al menos 30 días y una frecuencia máxima de una vez al año, que se le facilite documentación de seguridad, certificaciones, registros y respuestas a cuestionarios. Esta es la modalidad estándar.
• Auditoría in situ en la sede de Vezpa: se admite exclusivamente en caso de incumplimiento contractual comprobado o de violación de la seguridad de los datos confirmada e imputable al Encargado, con preaviso escrito de al menos 30 días.
• Duración: cada auditoría no podrá superar los 2 días laborables, realizados durante el horario laboral y sin interferir en las operaciones ordinarias.
• Auditores externos: se admiten solo si están vinculados con Vezpa por un acuerdo de confidencialidad y no tienen conflicto de intereses (no pueden ser competidores directos del Encargado).
• Costes: íntegramente a cargo del Responsable (incluidos los costes internos razonables del Encargado), salvo que la auditoría constate una infracción imputable al Encargado, en cuyo caso los costes corren a cargo de este último.
• Confidencialidad: la información obtenida en la auditoría está sujeta a una obligación de confidencialidad que se prolonga al menos 5 años más allá de la duración del contrato.

10. Transferencias fuera de la UE (Capítulo V RGPD)

La lista de los subencargados con indicación del domicilio y de la base jurídica de la transferencia se publica en vezpa.it/subprocessors. Para las transferencias no cubiertas por decisión de adecuación, el Encargado adopta:

• Cláusulas Contractuales Tipo 2021/914 y medidas suplementarias cuando sean necesarias (evaluación de impacto de las transferencias documentada);
• O bien otras garantías adecuadas previstas por el art. 46 RGPD.

11. Rol del Responsable

El Responsable declara y garantiza:

• Haber proporcionado a los interesados la información prevista en los arts. 13-14 RGPD;
• Haber obtenido las eventuales bases jurídicas (consentimiento, contrato, obligación legal) necesarias para el tratamiento;
• Impartir instrucciones lícitas al Encargado;
• Garantizar la correcta conservación y supresión de los datos tras la baja de la plataforma Vezpa.

12. Confidencialidad

Cada parte mantiene estrictamente confidencial toda la información recibida de la otra parte en ejecución del presente DPA, durante toda la duración del contrato y durante los 5 años siguientes.

13. Responsabilidad

La responsabilidad de cada parte conforme al art. 82 RGPD frente a los interesados sigue estando regulada por la ley. En las relaciones entre las partes, el régimen de responsabilidad contractual es el establecido en los Términos del Servicio (§9-10), sin perjuicio del reparto inderogable previsto en el art. 82 RGPD.

14. Cese del tratamiento

Al cesar el contrato por cualquier causa, el Encargado:

1. Pone a disposición del Responsable las herramientas para exportar sus datos en formato estructurado (CSV/JSON) durante 30 días desde el cese;
2. Transcurridos los 30 días, suprime o anonimiza los datos tratados por cuenta del Responsable de los sistemas de producción;
3. Suprime los datos de las copias de seguridad en el siguiente ciclo de rotación (típicamente en un plazo de 90 días);
4. Conserva los datos que Vezpa está obligada a conservar por ley (típicamente: datos de facturación y registros de seguridad) solo durante los plazos impuestos por la normativa aplicable, manteniendo sobre ellos medidas de seguridad adecuadas.

15. Modificaciones

El Encargado puede modificar el presente DPA para adaptarlo a evoluciones normativas (p. ej. nuevas CCT, resoluciones de la autoridad de control) o variaciones organizativas. Las modificaciones sustanciales se comunican al Responsable con al menos 30 días de preaviso. Si el Responsable no las acepta, puede rescindir sin penalización por la parte no disfrutada de la suscripción.

16. Ley aplicable

El presente DPA está regulado por la ley italiana. Para las controversias se aplica el §16 de los Términos del Servicio.