ACCORD DE TRAITEMENT DES DONNÉES (DPA)

1. Parties

2. Objet et durée (art. 28.3 RGPD)

Le Responsable charge le Sous-traitant de traiter des données personnelles pour son compte au moyen de la plateforme Vezpa. Le traitement a la durée du contrat d'abonnement entre les parties et cesse à sa résiliation, sous réserve de ce qui est prévu au §14.

3. Nature, finalité et type des données traitées

3.1 Finalités

• Gestion des réservations, du séjour et du check-in/check-out
• Accomplissement des obligations légales du Responsable envers les autorités publiques (AlloggiatiWeb, ISTAT, PayTourist, Feratel/Meldeamt, SES.HOSPEDAJES, NTAK, eVisitor, SEF, UbyPort, eTurizem)
• Communication des données de réservation aux canaux OTA et au channel manager activés par l'établissement
• Émission de communications au client hébergé (confirmations, pré-check-in, paiements)
• Traitement des paiements via Booking Engine ou lien Stripe
• Production de rapports et statistiques pour le Responsable

3.2 Catégories de personnes concernées

• Clients hébergés des établissements et leurs accompagnateurs
• Personnes qui réservent pour le compte d'autres
• Contacts d'urgence éventuellement fournis par le client hébergé

3.3 Type de données personnelles traitées

• Données d'identification et d'état civil (nom, prénom, date et lieu de naissance, nationalité, genre)
• Documents d'identité (type, numéro, date de délivrance, organisme émetteur, image scannée ou photographiée)
• Données textuelles extraites du document via OCR automatique
• Données de contact (email, téléphone, adresse)
• Données de réservation et de séjour
• Données de paiement (gérées par Stripe, non stockées sur Vezpa)

4. Instructions du Responsable (art. 28.3.a RGPD)

Le Sous-traitant traite les données personnelles exclusivement sur la base d'instructions documentées du Responsable. Les instructions générales sont contenues dans le présent DPA, dans la Politique de Confidentialité, dans l'Information RGPD et dans les Conditions de Service. Des instructions spécifiques peuvent être données par le Responsable via :

• Configurations dans son compte (activation/désactivation des connecteurs gouvernementaux, OTA, conservation)
• Connexion de services externes choisis par le Responsable, comme la plateforme vocale qui répond au téléphone de l'établissement (ex. Retell, Vapi, ElevenLabs) : le Sous-traitant transmet au service, uniquement lorsque celui-ci l'interroge avec la clé générée par le Responsable, les données nécessaires à la réponse (disponibilités, prix, données de l'établissement et, après vérification du numéro et du nom de famille, dates et montants de la réservation de l'appelant) et en reçoit les messages et les résumés des appels. Le service externe est choisi, contracté et payé par le Responsable : il est son sous-traitant, et non un sous-traitant ultérieur du Sous-traitant, et le Responsable en répond (contrat au sens de l'art. 28 RGPD, information des personnes concernées, éventuel enregistrement des appels, transferts hors de l'UE).
• Communication écrite à info@vezpa.it ou par PEC à lavezpa@pec.it

Si le Sous-traitant estime qu'une instruction viole le RGPD ou d'autres dispositions applicables, il en informe immédiatement le Responsable.

5. Obligations du Sous-traitant (art. 28.3.b-h RGPD)

Le Sous-traitant s'engage à :

1. Confidentialité : traiter les données de manière confidentielle et s'assurer que les personnes autorisées au traitement sont tenues à une obligation de confidentialité ;
2. Sécurité : adopter les mesures techniques et organisationnelles visées à l'Annexe B, adaptées au risque ;
3. Sous-traitants ultérieurs : respecter les conditions du §6 ;
4. Assistance au Responsable : assister le Responsable dans l'accomplissement de ses obligations, en particulier :
   • Réponse aux demandes des personnes concernées (art. 15-22 RGPD) dans des délais permettant au Responsable de répondre dans les 30 jours légaux ;
   • Notification de violation de données au Responsable dans un délai de 48 heures à compter de la découverte (§7) ;
   • Soutien à l'AIPD (art. 35) et consultations préalables (art. 36) ;
   • Démonstration de conformité via documentation et, le cas échéant, audit (§9).
5. Restitution / effacement des données au terme, comme prévu au §14 ;
6. Information : mettre à disposition du Responsable toutes les informations nécessaires pour démontrer la conformité au présent DPA.

6. Sous-traitants ultérieurs (art. 28.2 et 28.4 RGPD)

6.1 Autorisation générale

Le Responsable autorise le Sous-traitant à nommer les sous-traitants ultérieurs énumérés sur vezpa.it/subprocessors et ceux qui seront ajoutés par la suite selon la procédure décrite ici.

6.2 Préavis de modification

Le Sous-traitant communique au Responsable son intention d'ajouter ou de remplacer un sous-traitant ultérieur avec un préavis d'au moins 30 jours, par email à l'adresse enregistrée et/ou avis dans le tableau de bord. Dans ce délai, le Responsable peut s'y opposer de manière motivée. En cas d'opposition non résoluble, chaque partie peut résilier le contrat avec cessation du traitement concerné.

6.3 Obligations envers les sous-traitants ultérieurs

Le Sous-traitant impose aux sous-traitants ultérieurs par écrit des obligations de protection des données équivalentes à celles prévues ici, et répond envers le Responsable des opérations des sous-traitants ultérieurs.

7. Violation de données (art. 33 RGPD)

En cas de violation des données personnelles concernant des données traitées pour le compte du Responsable, le Sous-traitant :

• Notifie le Responsable sans retard injustifié et au plus tard dans les 48 heures à compter de la découverte, sauf cas de force majeure documentés ;
• Fournit les informations de l'art. 33.3 RGPD (nature, catégories et nombre approximatif de personnes concernées et de données, conséquences probables, mesures adoptées ou proposées) ;
• Collabore avec le Responsable dans les communications aux personnes concernées et à l'autorité de contrôle ;
• Documente l'incident et les actions entreprises.

La notification au Responsable a lieu par email à l'adresse enregistrée et PEC, si disponible. Le Responsable reste chargé des notifications externes (autorité italienne de protection des données (Garante), personnes concernées) au sens des art. 33-34 RGPD.

8. Droits des personnes concernées (art. 28.3.e RGPD)

Si une personne concernée s'adresse directement au Sous-traitant pour exercer des droits relatifs à des données traitées pour le compte du Responsable, le Sous-traitant transmet la demande au Responsable sans retard et ne répond pas pour le compte du Responsable, sauf instructions contraires.

Le Sous-traitant met à disposition du Responsable, dans le tableau de bord et via API, des fonctionnalités pour :

• Exportation des données d'une personne concernée (accès et portabilité)
• Rectification
• Effacement ou anonymisation
• Limitation du traitement

Pour les demandes qui nécessitent une intervention technique manuelle, le Sous-traitant répond dans un délai de 10 jours ouvrables à compter de la réception de l'instruction du Responsable.

9. Audit (art. 28.3.h RGPD)

Le Sous-traitant fournit au Responsable, sur demande, des informations et documentation démontrant la conformité au présent DPA, notamment :

• Synthèse des mesures de sécurité mises en œuvre
• Liste des sous-traitants ultérieurs avec sièges et bases de transfert
• Registre des activités de traitement (extraits pertinents)
• Certifications des sous-traitants ultérieurs (ISO 27001, SOC 2, DPF) lorsque disponibles

9.1 Modalités et limites de l'audit

• Modalité par défaut — audit documentaire à distance : le Responsable peut demander, avec un préavis écrit d'au moins 30 jours et une fréquence maximale d'une fois par an, la communication de la documentation de sécurité, des certifications, des registres et des réponses à des questionnaires. C'est la modalité standard.
• Audit sur site au siège de Vezpa : admis exclusivement en cas de violation contractuelle constatée ou de violation de données confirmée imputable au Sous-traitant, avec un préavis écrit d'au moins 30 jours.
• Durée : chaque audit ne peut excéder 2 jours ouvrables, effectués pendant les heures de travail et sans interférer avec les opérations ordinaires.
• Auditeurs tiers : admis uniquement s'ils sont liés à Vezpa par un accord de confidentialité et n'ont aucun conflit d'intérêts (ils ne peuvent pas être des concurrents directs du Sous-traitant).
• Coûts : intégralement à la charge du Responsable (y compris les coûts internes raisonnables du Sous-traitant), sauf si l'audit constate une violation imputable au Sous-traitant, auquel cas ils restent à la charge de ce dernier.
• Confidentialité : les informations obtenues lors de l'audit sont couvertes par une obligation de confidentialité qui s'étend au-delà de la durée du contrat pendant au moins 5 ans.

10. Transferts hors UE (Chapitre V RGPD)

La liste des sous-traitants ultérieurs avec indication du siège et de la base juridique du transfert est publiée sur vezpa.it/subprocessors. Pour les transferts non couverts par une décision d'adéquation, le Sous-traitant adopte :

• Clauses Contractuelles Types 2021/914 et mesures supplémentaires si nécessaire (Transfer Impact Assessment documenté) ;
• Ou d'autres garanties appropriées prévues par l'art. 46 RGPD.

11. Rôle du Responsable

Le Responsable déclare et garantit :

• Avoir fourni aux personnes concernées l'information prévue par les art. 13-14 RGPD ;
• Avoir acquis les éventuelles bases juridiques (consentement, contrat, obligation légale) nécessaires au traitement ;
• Donner des instructions licites au Sous-traitant ;
• Garantir la conservation et l'effacement corrects des données après le retrait de la plateforme Vezpa.

12. Confidentialité

Chaque partie conserve strictement confidentielles toutes les informations reçues de l'autre partie en exécution du présent DPA, pour toute la durée du contrat et pendant les 5 années suivantes.

13. Responsabilité

La responsabilité de chaque partie au sens de l'art. 82 RGPD envers les personnes concernées demeure régie par la loi. Dans les rapports entre les parties, le régime de responsabilité contractuelle est celui établi dans les Conditions de Service (§9-10), sous réserve de la répartition impérative prévue par l'art. 82 RGPD.

14. Cessation du traitement

À la cessation du contrat pour quelque cause que ce soit, le Sous-traitant :

1. Met à disposition du Responsable les outils pour exporter ses données dans un format structuré (CSV/JSON) pendant 30 jours à compter de la cessation ;
2. Une fois les 30 jours écoulés, efface ou rend anonymes les données traitées pour le compte du Responsable depuis les systèmes de production ;
3. Efface les données des sauvegardes dans le cycle de rotation suivant (typiquement dans les 90 jours) ;
4. Conserve les données que Vezpa est tenue de conserver par la loi (typiquement : données de facturation et logs de sécurité) pour les seuls délais imposés par la réglementation applicable, en maintenant sur elles des mesures de sécurité adéquates.

15. Modifications

Le Sous-traitant peut modifier le présent DPA pour intégrer des évolutions réglementaires (par ex. nouvelles CCT, mesures de l'autorité italienne de protection des données) ou des variations organisationnelles. Les modifications substantielles sont communiquées au Responsable avec un préavis d'au moins 30 jours. Si le Responsable n'accepte pas, il peut résilier sans pénalités pour la partie non consommée de l'abonnement.

16. Loi applicable

Le présent DPA est régi par la loi italienne. Pour les litiges, le §16 des Conditions de Service s'applique.