ΣΥΜΒΑΣΗ ΕΠΕΞΕΡΓΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ (DPA)

1. Μέρη

2. Αντικείμενο και διάρκεια (άρθρο 28.3 ΓΚΠΔ)

Ο Υπεύθυνος αναθέτει στον Εκτελούντα την επεξεργασία δεδομένων προσωπικού χαρακτήρα για λογαριασμό του μέσω της πλατφόρμας Vezpa. Η επεξεργασία έχει τη διάρκεια της σύμβασης συνδρομής μεταξύ των μερών και παύει με τη λύση της, με την επιφύλαξη όσων προβλέπονται στο §14.

3. Φύση, σκοποί και τύπος επεξεργαζόμενων δεδομένων

3.1 Σκοποί

• Διαχείριση κρατήσεων, διαμονής και check-in/check-out
• Εκπλήρωση των νομικών υποχρεώσεων του Υπευθύνου προς τις δημόσιες αρχές (AlloggiatiWeb, ISTAT, PayTourist, Feratel/Meldeamt, SES.HOSPEDAJES, NTAK, eVisitor, SEF, UbyPort, eTurizem)
• Κοινοποίηση δεδομένων κράτησης στα κανάλια OTA και στον channel manager που έχει ενεργοποιήσει το κατάλυμα
• Αποστολή επικοινωνιών στον επισκέπτη (επιβεβαιώσεις, pre-check-in, πληρωμές)
• Επεξεργασία πληρωμών μέσω Booking Engine ή συνδέσμου Stripe
• Παραγωγή αναφορών και στατιστικών για τον Υπεύθυνο

3.2 Κατηγορίες υποκειμένων των δεδομένων

• Επισκέπτες των καταλυμάτων και οι συνοδοί τους
• Πρόσωπα που κάνουν κράτηση για λογαριασμό άλλων
• Επαφές έκτακτης ανάγκης που τυχόν παρέχονται από τον επισκέπτη

3.3 Τύπος επεξεργαζόμενων δεδομένων προσωπικού χαρακτήρα

• Δεδομένα ταυτοποίησης και ταυτότητας (όνομα, επώνυμο, ημερομηνία και τόπος γέννησης, υπηκοότητα, φύλο)
• Έγγραφα ταυτότητας (τύπος, αριθμός, ημερομηνία έκδοσης, εκδούσα αρχή, σαρωμένη ή φωτογραφημένη εικόνα)
• Κειμενικά δεδομένα που εξάγονται από το έγγραφο μέσω αυτόματου OCR
• Δεδομένα επικοινωνίας (email, τηλέφωνο, διεύθυνση)
• Δεδομένα κράτησης και διαμονής
• Δεδομένα πληρωμής (που διαχειρίζεται η Stripe, δεν αποθηκεύονται στη Vezpa)

4. Οδηγίες του Υπευθύνου (άρθρο 28.3.α ΓΚΠΔ)

Ο Εκτελών επεξεργάζεται δεδομένα προσωπικού χαρακτήρα αποκλειστικά βάσει τεκμηριωμένων οδηγιών του Υπευθύνου. Οι γενικές οδηγίες περιέχονται στο παρόν DPA, στην Πολιτική Απορρήτου, στην Ενημέρωση ΓΚΠΔ και στους Όρους Υπηρεσίας. Ειδικές οδηγίες μπορούν να δοθούν από τον Υπεύθυνο μέσω:

• Ρυθμίσεων στον λογαριασμό του (ενεργοποίηση/απενεργοποίηση κρατικών συνδετών, OTA, διατήρηση δεδομένων)
• Σύνδεσης εξωτερικών υπηρεσιών που επιλέγει ο Υπεύθυνος, όπως η φωνητική πλατφόρμα που απαντά στο τηλέφωνο του καταλύματος (π.χ. Retell, Vapi, ElevenLabs): ο Εκτελών διαβιβάζει στην υπηρεσία, μόνο όταν αυτή τον ερωτά με το κλειδί που δημιούργησε ο Υπεύθυνος, τα δεδομένα που απαιτούνται για την απάντηση (διαθεσιμότητα, τιμές, στοιχεία του καταλύματος και, μετά από επαλήθευση αριθμού τηλεφώνου και επωνύμου, ημερομηνίες και ποσά της κράτησης του καλούντος) και λαμβάνει από αυτήν μηνύματα και περιλήψεις των κλήσεων. Ο Υπεύθυνος επιλέγει την εξωτερική υπηρεσία, συνάπτει σύμβαση μαζί της και την πληρώνει: είναι εκτελών την επεξεργασία του Υπευθύνου, όχι υποεκτελών του Εκτελούντος, και ο Υπεύθυνος ευθύνεται γι' αυτήν (σύμβαση κατά το άρθρο 28 ΓΚΠΔ, ενημέρωση των υποκειμένων, ενδεχόμενη καταγραφή των κλήσεων, διαβιβάσεις εκτός ΕΕ).
• Γραπτής επικοινωνίας στο info@vezpa.it ή μέσω PEC στο lavezpa@pec.it

Εάν ο Εκτελών θεωρήσει ότι μια οδηγία παραβιάζει τον ΓΚΠΔ ή άλλες εφαρμοστέες διατάξεις, ενημερώνει αμέσως τον Υπεύθυνο.

5. Υποχρεώσεις του Εκτελούντος (άρθρο 28.3.β-η ΓΚΠΔ)

Ο Εκτελών δεσμεύεται:

1. Εμπιστευτικότητα: να επεξεργάζεται τα δεδομένα με εμπιστευτικότητα και να διασφαλίζει ότι τα εξουσιοδοτημένα πρόσωπα για την επεξεργασία δεσμεύονται με υποχρέωση εμπιστευτικότητας·
2. Ασφάλεια: να εφαρμόζει τα τεχνικά και οργανωτικά μέτρα του Παραρτήματος Β, κατάλληλα για τον κίνδυνο·
3. Υποεκτελούντες την επεξεργασία: να τηρεί τους όρους του §6·
4. Συνδρομή προς τον Υπεύθυνο: να συνδράμει τον Υπεύθυνο στην εκπλήρωση των υποχρεώσεών του, ιδίως:
   • Απάντηση σε αιτήματα υποκειμένων των δεδομένων (άρθρα 15-22 ΓΚΠΔ) εντός χρόνου που επιτρέπει στον Υπεύθυνο να απαντήσει εντός των νόμιμων 30 ημερών·
   • Κοινοποίηση παραβιάσεων δεδομένων στον Υπεύθυνο εντός 48 ωρών από την ανακάλυψη (§7)·
   • Υποστήριξη για DPIA (άρθρο 35) και προηγούμενες διαβουλεύσεις (άρθρο 36)·
   • Απόδειξη συμμόρφωσης μέσω τεκμηρίωσης και, εφόσον ζητηθεί, ελέγχων (§9).
5. Επιστροφή / διαγραφή των δεδομένων στο τέλος, όπως προβλέπεται στο §14·
6. Ενημέρωση: να θέτει στη διάθεση του Υπευθύνου όλες τις πληροφορίες που είναι απαραίτητες για την απόδειξη της συμμόρφωσης με το παρόν DPA.

6. Υποεκτελούντες την επεξεργασία (άρθρα 28.2 και 28.4 ΓΚΠΔ)

6.1 Γενική εξουσιοδότηση

Ο Υπεύθυνος εξουσιοδοτεί τον Εκτελούντα να ορίζει τους υποεκτελούντες την επεξεργασία που αναφέρονται στο vezpa.it/subprocessors και όσους θα προστεθούν στη συνέχεια σύμφωνα με τη διαδικασία που περιγράφεται εδώ.

6.2 Προειδοποίηση τροποποίησης

Ο Εκτελών κοινοποιεί στον Υπεύθυνο την πρόθεση προσθήκης ή αντικατάστασης υποεκτελούντος την επεξεργασία με προειδοποίηση τουλάχιστον 30 ημερών, μέσω email στην καταχωρημένη διεύθυνση ή/και ειδοποίηση στον πίνακα ελέγχου. Εντός αυτής της προθεσμίας ο Υπεύθυνος μπορεί να εναντιωθεί αιτιολογημένα. Σε περίπτωση μη επιλύσιμης εναντίωσης, κάθε μέρος μπορεί να λύσει τη σύμβαση με παύση της σχετικής επεξεργασίας.

6.3 Υποχρεώσεις προς τους υποεκτελούντες την επεξεργασία

Ο Εκτελών επιβάλλει εγγράφως στους υποεκτελούντες την επεξεργασία υποχρεώσεις προστασίας δεδομένων ισοδύναμες με αυτές που προβλέπονται εδώ, και ευθύνεται έναντι του Υπευθύνου για τις πράξεις των υποεκτελούντων.

7. Παραβίαση δεδομένων (άρθρο 33 ΓΚΠΔ)

Σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα που αφορά δεδομένα επεξεργαζόμενα για λογαριασμό του Υπευθύνου, ο Εκτελών:

• Ενημερώνει τον Υπεύθυνο χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός 48 ωρών από την ανακάλυψη, με την επιφύλαξη τεκμηριωμένης ανωτέρας βίας·
• Παρέχει τις πληροφορίες του άρθρου 33.3 ΓΚΠΔ (φύση, κατηγορίες και κατά προσέγγιση αριθμός υποκειμένων και δεδομένων, πιθανές συνέπειες, ληφθέντα ή προτεινόμενα μέτρα)·
• Συνεργάζεται με τον Υπεύθυνο στις κοινοποιήσεις προς τα υποκείμενα και την εποπτική αρχή·
• Τεκμηριώνει το περιστατικό και τις ενέργειες που έχουν αναληφθεί.

Η κοινοποίηση στον Υπεύθυνο γίνεται μέσω email στην καταχωρημένη διεύθυνση και PEC, εάν είναι διαθέσιμο. Ο Υπεύθυνος παραμένει υπεύθυνος για τις εξωτερικές κοινοποιήσεις (ιταλική αρχή προστασίας δεδομένων (Garante), υποκείμενα των δεδομένων) σύμφωνα με τα άρθρα 33-34 ΓΚΠΔ.

8. Δικαιώματα των υποκειμένων των δεδομένων (άρθρο 28.3.ε ΓΚΠΔ)

Εάν ένα υποκείμενο των δεδομένων απευθυνθεί άμεσα στον Εκτελούντα για άσκηση δικαιωμάτων σχετικών με δεδομένα επεξεργαζόμενα για λογαριασμό του Υπευθύνου, ο Εκτελών διαβιβάζει το αίτημα στον Υπεύθυνο χωρίς καθυστέρηση και δεν απαντά για λογαριασμό του Υπευθύνου εκτός αν υπάρχουν διαφορετικές οδηγίες.

Ο Εκτελών θέτει στη διάθεση του Υπευθύνου, στον πίνακα ελέγχου και μέσω API, λειτουργίες για:

• Εξαγωγή δεδομένων υποκειμένου (πρόσβαση και φορητότητα)
• Διόρθωση
• Διαγραφή ή ανωνυμοποίηση
• Περιορισμός της επεξεργασίας

Για αιτήματα που απαιτούν χειροκίνητη τεχνική παρέμβαση, ο Εκτελών απαντά εντός 10 εργάσιμων ημερών από τη λήψη της οδηγίας του Υπευθύνου.

9. Έλεγχος (άρθρο 28.3.η ΓΚΠΔ)

Ο Εκτελών παρέχει στον Υπεύθυνο, κατόπιν αιτήματος, πληροφορίες και τεκμηρίωση που αποδεικνύουν τη συμμόρφωση με το παρόν DPA, μεταξύ των οποίων:

• Σύνοψη των εφαρμοζόμενων μέτρων ασφαλείας
• Κατάλογος των υποεκτελούντων την επεξεργασία με έδρες και βάσεις διαβίβασης
• Μητρώο δραστηριοτήτων επεξεργασίας (σχετικά αποσπάσματα)
• Πιστοποιήσεις των υποεκτελούντων την επεξεργασία (ISO 27001, SOC 2, DPF) εφόσον είναι διαθέσιμες

9.1 Τρόπος και όρια του ελέγχου

• Προεπιλεγμένος τρόπος — απομακρυσμένος έλεγχος εγγράφων: ο Υπεύθυνος μπορεί να ζητήσει, με γραπτή προειδοποίηση τουλάχιστον 30 ημερών και μέγιστη συχνότητα μία φορά ετησίως, την κοινοποίηση τεκμηρίωσης ασφαλείας, πιστοποιήσεων, μητρώων και απαντήσεων σε ερωτηματολόγια. Αυτός είναι ο τυπικός τρόπος.
• Έλεγχος επιτόπου στην έδρα της Vezpa: επιτρέπεται αποκλειστικά παρουσία διαπιστωμένης συμβατικής παραβίασης ή επιβεβαιωμένης παραβίασης δεδομένων καταλογιστέας στον Εκτελούντα, με γραπτή προειδοποίηση τουλάχιστον 30 ημερών.
• Διάρκεια: κάθε έλεγχος δεν μπορεί να υπερβαίνει τις 2 εργάσιμες ημέρες, διεξάγεται κατά τις εργάσιμες ώρες και χωρίς παρεμβολές στις τακτικές εργασίες.
• Τρίτοι ελεγκτές: επιτρέπονται μόνο εάν δεσμεύονται με NDA με τη Vezpa και χωρίς σύγκρουση συμφερόντων (όχι άμεσοι ανταγωνιστές του Εκτελούντος).
• Έξοδα: πλήρως σε βάρος του Υπευθύνου (συμπεριλαμβανομένων των εύλογων εσωτερικών εξόδων του Εκτελούντος), εκτός από έλεγχο που διαπιστώνει παραβίαση καταλογιστέα στον Εκτελούντα, οπότε τα έξοδα παραμένουν σε βάρος του τελευταίου.
• Εμπιστευτικότητα: οι πληροφορίες που λαμβάνονται κατά τον έλεγχο καλύπτονται από υποχρέωση εμπιστευτικότητας που εκτείνεται πέραν της διάρκειας της σύμβασης για τουλάχιστον 5 έτη.

10. Διαβιβάσεις εκτός ΕΕ (Κεφάλαιο V ΓΚΠΔ)

Ο κατάλογος των υποεκτελούντων την επεξεργασία με ένδειξη της έδρας και της νομικής βάσης της διαβίβασης δημοσιεύεται στο vezpa.it/subprocessors. Για διαβιβάσεις που δεν καλύπτονται από απόφαση επάρκειας, ο Εκτελών εφαρμόζει:

• Τυποποιημένες Συμβατικές Ρήτρες 2021/914 και συμπληρωματικά μέτρα εφόσον απαιτούνται (τεκμηριωμένη Αξιολόγηση Επιπτώσεων Διαβίβασης)·
• Ή άλλες κατάλληλες εγγυήσεις που προβλέπονται στο άρθρο 46 ΓΚΠΔ.

11. Ρόλος του Υπευθύνου

Ο Υπεύθυνος δηλώνει και εγγυάται ότι:

• Έχει παράσχει στα υποκείμενα την ενημέρωση που προβλέπεται στα άρθρα 13-14 ΓΚΠΔ·
• Έχει αποκτήσει τις τυχόν αναγκαίες νομικές βάσεις (συγκατάθεση, σύμβαση, νομική υποχρέωση) για την επεξεργασία·
• Παρέχει νόμιμες οδηγίες στον Εκτελούντα·
• Εγγυάται τη σωστή διατήρηση και διαγραφή των δεδομένων μετά την αποχώρηση από την πλατφόρμα Vezpa.

12. Εμπιστευτικότητα

Κάθε μέρος διατηρεί αυστηρώς εμπιστευτικές όλες τις πληροφορίες που λαμβάνει από το άλλο μέρος κατά την εκτέλεση του παρόντος DPA, για όλη τη διάρκεια της σύμβασης και για τα επόμενα 5 έτη.

13. Ευθύνη

Η ευθύνη κάθε μέρους σύμφωνα με το άρθρο 82 ΓΚΠΔ έναντι των υποκειμένων των δεδομένων παραμένει ρυθμισμένη από τον νόμο. Στις σχέσεις μεταξύ των μερών, το καθεστώς συμβατικής ευθύνης είναι αυτό που καθορίζεται στους Όρους Υπηρεσίας (§9-10), με την επιφύλαξη της κατανομής που προβλέπεται στο άρθρο 82 ΓΚΠΔ, από την οποία δεν επιτρέπεται παρέκκλιση.

14. Παύση της επεξεργασίας

Κατά τη λύση της σύμβασης για οποιονδήποτε λόγο, ο Εκτελών:

1. Θέτει στη διάθεση του Υπευθύνου τα εργαλεία για εξαγωγή των δεδομένων του σε δομημένη μορφή (CSV/JSON) για 30 ημέρες από τη λύση·
2. Μετά τις 30 ημέρες, διαγράφει ή ανωνυμοποιεί τα δεδομένα που επεξεργάστηκε για λογαριασμό του Υπευθύνου από τα συστήματα παραγωγής·
3. Διαγράφει τα δεδομένα από τα αντίγραφα ασφαλείας εντός του επόμενου κύκλου εναλλαγής (τυπικά εντός 90 ημερών)·
4. Διατηρεί τα δεδομένα που η Vezpa υποχρεούται να διατηρήσει εκ του νόμου (τυπικά: δεδομένα τιμολόγησης και αρχεία ασφαλείας) μόνο για τους χρόνους που επιβάλλει η εφαρμοστέα νομοθεσία, διατηρώντας επ' αυτών επαρκή μέτρα ασφαλείας.

15. Τροποποιήσεις

Ο Εκτελών μπορεί να τροποποιήσει το παρόν DPA για να ενσωματώσει κανονιστικές εξελίξεις (π.χ. νέες SCC, αποφάσεις της ιταλικής αρχής προστασίας δεδομένων (Garante)) ή οργανωτικές μεταβολές. Οι ουσιώδεις τροποποιήσεις κοινοποιούνται στον Υπεύθυνο με προειδοποίηση τουλάχιστον 30 ημερών. Εάν ο Υπεύθυνος δεν αποδεχθεί, μπορεί να λύσει τη σύμβαση χωρίς ποινές για το μη χρησιμοποιηθέν μέρος της συνδρομής.

16. Εφαρμοστέο δίκαιο

Το παρόν DPA διέπεται από το ιταλικό δίκαιο. Για τις διαφορές εφαρμόζεται το §16 των Όρων Υπηρεσίας.