TIETOJENKÄSITTELYSOPIMUS (DPA)

1. Osapuolet

2. Kohde ja kesto (GDPR art. 28.3)

Rekisterinpitäjä valtuuttaa henkilötietojen käsittelijän käsittelemään henkilötietoja puolestaan Vezpa-alustan kautta. Käsittelyn kesto on osapuolten välisen tilaussopimuksen kesto ja se päättyy sen irtisanomiseen, lukuun ottamatta §14:n määräyksiä.

3. Käsittelyn luonne, tarkoitukset ja käsiteltävien tietojen tyypit

3.1 Tarkoitukset

• Varausten, oleskelun ja sisään-/uloskirjautumisen hallinta
• Rekisterinpitäjän lakisääteisten velvoitteiden täyttäminen viranomaisia kohtaan (AlloggiatiWeb, ISTAT, PayTourist, Feratel/Meldeamt, SES.HOSPEDAJES, NTAK, eVisitor, SEF, UbyPort, eTurizem)
• Varaustietojen luovutus majoituskohteen aktivoimille OTA-kanaville ja channel managerille
• Viestien lähettäminen vieraalle (vahvistukset, ennakkosisäänkirjautumiset, maksut)
• Maksujen käsittely Booking Enginen tai Stripe-linkkien kautta
• Raporttien ja tilastojen tuottaminen rekisterinpitäjälle

3.2 Rekisteröityjen kategoriat

• Majoituskohteiden vieraat ja heidän mukanaan olevat henkilöt
• Toisten puolesta varaavat henkilöt
• Vieraan mahdollisesti antamat hätäyhteyshenkilöt

3.3 Käsiteltävien henkilötietojen tyypit

• Tunniste- ja henkilötiedot (etunimi, sukunimi, syntymäaika ja -paikka, kansalaisuus, sukupuoli)
• Henkilöllisyystodistukset (tyyppi, numero, myöntämispäivä, myöntävä viranomainen, skannattu tai valokuvattu kuva)
• Asiakirjasta automaattisella OCR:llä poimitut tekstitiedot
• Yhteystiedot (sähköposti, puhelin, osoite)
• Varaus- ja oleskelutiedot
• Maksutiedot (käsittelee Stripe, ei tallenneta Vezpaan)

4. Rekisterinpitäjän ohjeet (GDPR art. 28.3.a)

Henkilötietojen käsittelijä käsittelee henkilötietoja yksinomaan rekisterinpitäjän dokumentoitujen ohjeiden perusteella. Yleiset ohjeet sisältyvät tähän DPA:han, tietosuojaselosteeseen, GDPR-ilmoitukseen ja käyttöehtoihin. Rekisterinpitäjä voi antaa erityisiä ohjeita seuraavin tavoin:

• Määritykset omalla tilillä (viranomaisliittymien, OTA:iden, säilyttämisen aktivointi/deaktivointi)
• Rekisterinpitäjän valitsemien ulkoisten palvelujen liittäminen, kuten majoituspaikan puhelimeen vastaava puhealusta (esim. Retell, Vapi, ElevenLabs): käsittelijä välittää palvelulle, vain kun se tekee kyselyn rekisterinpitäjän luomalla avaimella, vastaamiseen tarvittavat tiedot (saatavuus, hinnat, majoituspaikan tiedot sekä puhelinnumeron ja sukunimen tarkistamisen jälkeen soittajan varauksen päivämäärät ja summat) ja vastaanottaa siltä viestit ja puheluiden yhteenvedot. Ulkoisen palvelun valitsee ja maksaa rekisterinpitäjä, joka myös tekee sitä koskevan sopimuksen: se on rekisterinpitäjän henkilötietojen käsittelijä eikä käsittelijän alikäsittelijä, ja rekisterinpitäjä vastaa siitä (GDPR:n 28 artiklan mukainen sopimus, rekisteröityjen informointi, puheluiden mahdollinen tallentaminen, siirrot EU:n ulkopuolelle).
• Kirjallinen viestintä osoitteeseen info@vezpa.it tai PEC:n kautta osoitteeseen lavezpa@pec.it

Mikäli henkilötietojen käsittelijä katsoo ohjeen rikkovan GDPR:ää tai muita sovellettavia säännöksiä, hänen tulee ilmoittaa siitä välittömästi rekisterinpitäjälle.

5. Henkilötietojen käsittelijän velvoitteet (GDPR art. 28.3.b-h)

Henkilötietojen käsittelijä sitoutuu:

1. Luottamuksellisuuteen: käsittelemään tietoja luottamuksellisesti ja varmistamaan, että käsittelyyn valtuutetut henkilöt ovat sidottuja luottamuksellisuusvelvoitteeseen;
2. Turvallisuuteen: ottamaan käyttöön liitteen B mukaiset tekniset ja organisatoriset toimet, riskiin sopivat;
3. Alikäsittelijät: noudattamaan §6:n ehtoja;
4. Apu rekisterinpitäjälle: auttamaan rekisterinpitäjää täyttämään velvoitteensa, erityisesti:
   • Vastaus rekisteröityjen pyyntöihin (GDPR art. 15-22) aikataulussa, jonka puitteissa rekisterinpitäjä voi vastata 30 päivän lakisääteisessä ajassa;
   • Ilmoitus henkilötietojen tietoturvaloukkauksesta rekisterinpitäjälle 48 tunnin kuluessa havaitsemisesta (§7);
   • Tuki DPIA:lle (art. 35) ja ennakkokuulemisille (art. 36);
   • Osoitus vaatimustenmukaisuudesta dokumentaation ja tarvittaessa auditoinnin kautta (§9).
5. Palauttaminen / poistaminen tietojen osalta sopimuksen päättyessä, kuten §14:ssä on säädetty;
6. Tiedottaminen: antamaan rekisterinpitäjän käyttöön kaikki tiedot, jotka ovat tarpeen tämän DPA:n noudattamisen osoittamiseksi.

6. Alikäsittelijät (GDPR art. 28.2 ja 28.4)

6.1 Yleinen valtuutus

Rekisterinpitäjä valtuuttaa henkilötietojen käsittelijän nimeämään osoitteessa vezpa.it/subprocessors luetellut alikäsittelijät sekä ne, jotka myöhemmin lisätään tämän menettelyn mukaisesti.

6.2 Muutosilmoitus

Henkilötietojen käsittelijä ilmoittaa rekisterinpitäjälle aikomuksesta lisätä tai vaihtaa alikäsittelijä vähintään 30 päivän ennakkoilmoituksella sähköpostitse rekisteröityyn osoitteeseen ja/tai hallintapaneelin ilmoituksella. Tämän määräajan sisällä rekisterinpitäjä voi vastustaa perustellusti. Mikäli vastustuksen ratkaiseminen ei ole mahdollista, kumpi tahansa osapuoli voi irtisanoa sopimuksen kyseessä olevan käsittelyn lopettamiseksi.

6.3 Velvoitteet alikäsittelijöitä kohtaan

Henkilötietojen käsittelijä asettaa alikäsittelijöille kirjallisesti tietosuojavelvoitteita, jotka vastaavat tässä määrättyjä, ja vastaa rekisterinpitäjälle alikäsittelijöiden toiminnasta.

7. Henkilötietojen tietoturvaloukkaus (GDPR art. 33)

Tapauksessa, jossa rekisterinpitäjän puolesta käsiteltyihin tietoihin kohdistuu henkilötietojen tietoturvaloukkaus, henkilötietojen käsittelijä:

• Ilmoittaa rekisterinpitäjälle ilman aiheetonta viivytystä ja joka tapauksessa 48 tunnin kuluessa havaitsemisesta, lukuun ottamatta dokumentoitua ylivoimaista estettä;
• Antaa GDPR art. 33.3 mukaiset tiedot (luonne, kategoriat ja likimääräinen rekisteröityjen ja tietojen määrä, todennäköiset seuraukset, otetut tai ehdotetut toimet);
• Tekee yhteistyötä rekisterinpitäjän kanssa viestinnässä rekisteröidyille ja valvontaviranomaiselle;
• Dokumentoi tapauksen ja toteutetut toimet.

Ilmoitus rekisterinpitäjälle tapahtuu sähköpostitse rekisteröityyn osoitteeseen ja PEC:llä, jos saatavilla. Rekisterinpitäjä on edelleen vastuussa ulkoisista ilmoituksista (Italian tietosuojaviranomainen, rekisteröidyt) GDPR art. 33-34 mukaisesti.

8. Rekisteröityjen oikeudet (GDPR art. 28.3.e)

Jos rekisteröity kääntyy suoraan henkilötietojen käsittelijän puoleen käyttääkseen oikeuksiaan rekisterinpitäjän puolesta käsiteltyihin tietoihin, henkilötietojen käsittelijä välittää pyynnön rekisterinpitäjälle ilman viivytystä eikä vastaa rekisterinpitäjän puolesta, ellei toisin ohjeisteta.

Henkilötietojen käsittelijä antaa rekisterinpitäjän käyttöön hallintapaneelissa ja API:n kautta toiminnot:

• Rekisteröidyn tietojen vienti (pääsy ja siirrettävyys)
• Oikaisu
• Poisto tai anonymisointi
• Käsittelyn rajoittaminen

Pyyntöihin, jotka edellyttävät manuaalista teknistä toimenpidettä, henkilötietojen käsittelijä vastaa 10 työpäivän kuluessa rekisterinpitäjän ohjeistuksen vastaanotosta.

9. Auditointi (GDPR art. 28.3.h)

Henkilötietojen käsittelijä antaa rekisterinpitäjälle pyynnöstä tiedot ja dokumentaation, jotka osoittavat tämän DPA:n noudattamisen, mukaan lukien:

• Yhteenveto toteutetuista turvatoimista
• Luettelo alikäsittelijöistä toimipaikkoineen ja siirtoperusteineen
• Käsittelytoimien luettelo (asiaankuuluvat otteet)
• Alikäsittelijöiden sertifikaatit (ISO 27001, SOC 2, DPF), kun saatavilla

9.1 Auditoinnin tavat ja rajoitukset

• Oletustapa — asiakirjoihin perustuva etäauditointi: rekisterinpitäjä voi vähintään 30 päivän kirjallisella ennakkoilmoituksella ja enintään kerran vuodessa pyytää käyttöönsä turvallisuusdokumentaation, sertifikaatit, rekisterit ja vastaukset kyselylomakkeisiin. Tämä on vakiotapa.
• Auditointi paikan päällä Vezpan toimipaikassa: sallittu yksinomaan, jos kyseessä on todettu sopimusrikkomus tai vahvistettu henkilötietojen käsittelijän syyksi luettava henkilötietojen tietoturvaloukkaus, vähintään 30 päivän kirjallisella ennakkoilmoituksella.
• Kesto: kukin auditointi saa kestää enintään 2 työpäivää, ja se suoritetaan työaikana häiritsemättä tavanomaista toimintaa.
• Kolmansien osapuolten auditoijat: sallittuja vain, jos ne ovat sidottuja salassapitosopimukseen (NDA) Vezpan kanssa eikä niillä ole eturistiriitaa (ne eivät ole henkilötietojen käsittelijän suoria kilpailijoita).
• Kustannukset: kokonaan rekisterinpitäjän vastuulla (mukaan lukien henkilötietojen käsittelijän kohtuulliset sisäiset kustannukset), paitsi jos auditointi osoittaa henkilötietojen käsittelijän syyksi luettavan rikkomuksen, jolloin kustannukset jäävät tämän vastattaviksi.
• Salassapito: auditoinnissa saadut tiedot kuuluvat salassapitovelvollisuuden piiriin, joka jatkuu sopimuksen päättymisen jälkeen vähintään 5 vuotta.

10. Siirrot EU:n ulkopuolelle (GDPR V luku)

Alikäsittelijöiden luettelo, jossa on ilmoitettu toimipaikka ja siirron oikeusperuste, on julkaistu osoitteessa vezpa.it/subprocessors. Riittävyyspäätöksen kattamattomille siirroille henkilötietojen käsittelijä ottaa käyttöön:

• Vakiosopimuslausekkeet 2021/914 ja lisätoimet tarvittaessa (dokumentoitu Transfer Impact Assessment);
• Tai muut GDPR art. 46 mukaiset sopivat suojatoimet.

11. Rekisterinpitäjän rooli

Rekisterinpitäjä ilmoittaa ja takaa, että:

• On antanut rekisteröidyille GDPR art. 13-14 mukaisen ilmoituksen;
• On hankkinut mahdollisesti tarvittavat oikeusperusteet (suostumus, sopimus, lakisääteinen velvoite) käsittelylle;
• Antaa laillisia ohjeita henkilötietojen käsittelijälle;
• Takaa tietojen asianmukaisen säilyttämisen ja poistamisen Vezpa-alustalta vetäytymisen jälkeen.

12. Luottamuksellisuus

Kumpikin osapuoli pitää tiukasti luottamuksellisina kaikki toiselta osapuolelta tämän DPA:n täyttämisessä saadut tiedot koko sopimuksen keston ja 5 vuoden ajan sen jälkeen.

13. Vastuu

Kummankin osapuolen GDPR art. 82 mukaista vastuuta rekisteröidyille säännellään laissa. Osapuolten välisissä suhteissa sopimusvastuun järjestelmä on käyttöehtojen (§9-10) mukainen, sanotun kuitenkaan rajoittamatta GDPR art. 82:ssa säädettyä pakottavaa vastuunjakoa.

14. Käsittelyn päättyminen

Sopimuksen päättyessä mistä tahansa syystä henkilötietojen käsittelijä:

1. Antaa rekisterinpitäjän käyttöön työkalut omien tietojensa vientiin jäsennetyssä muodossa (CSV/JSON) 30 päivän ajaksi päättymisestä lukien;
2. 30 päivän kuluttua poistaa tai anonymisoi rekisterinpitäjän puolesta käsitellyt tiedot tuotantojärjestelmistä;
3. Poistaa tiedot varmuuskopioista seuraavan kiertojakson aikana (tyypillisesti 90 päivän kuluessa);
4. Säilyttää tiedot, jotka Vezpa on velvollinen säilyttämään lain nojalla (tyypillisesti: laskutustiedot ja turvallisuusloki), vain sovellettavan lainsäädännön määräämien aikojen ajan, pitäen niitä asianmukaisten turvatoimien alaisina.

15. Muutokset

Henkilötietojen käsittelijä voi muuttaa tätä DPA:ta ottaakseen huomioon sääntelylliset muutokset (esim. uudet SCC:t, Italian tietosuojaviranomaisen määräykset) tai organisatoriset muutokset. Merkittävät muutokset ilmoitetaan rekisterinpitäjälle vähintään 30 päivän ennakkoilmoituksella. Jos rekisterinpitäjä ei hyväksy, hän voi irtisanoa sopimuksen ilman sanktioita tilauksen käyttämättömältä osalta.

16. Sovellettava laki

Tämä DPA on Italian lain alainen. Riita-asioihin sovelletaan käyttöehtojen 16 §:ää.