UGOVOR O OBRADI OSOBNIH PODATAKA (DPA)

1. Strane

2. Predmet i trajanje (čl. 28.3 GDPR-a)

Voditelj obrade ovlašćuje Izvršitelja da obrađuje osobne podatke u njegovo ime putem platforme Vezpa. Obrada traje za vrijeme trajanja ugovora o pretplati između strana i prestaje njegovim raskidom, osim kako je predviđeno u §14.

3. Priroda, svrhe i vrsta obrađenih podataka

3.1 Svrhe

• Upravljanje rezervacijama, boravkom i prijavom/odjavom
• Ispunjavanje zakonskih obveza Voditelja obrade prema javnim tijelima (AlloggiatiWeb, ISTAT, PayTourist, Feratel/Meldeamt, SES.HOSPEDAJES, NTAK, eVisitor, SEF, UbyPort, eTurizem)
• Priopćavanje podataka o rezervaciji OTA kanalima i channel manageru koje je objekt aktivirao
• Slanje obavijesti gostu (potvrde, pre-check-in, plaćanja)
• Obrada plaćanja putem Booking Enginea ili Stripe linka
• Izrada izvještaja i statistika za Voditelja obrade

3.2 Kategorije ispitanika

• Gosti objekata i njihovi pratitelji
• Osobe koje rezerviraju u ime drugih
• Kontakti za hitne slučajeve koje gost eventualno dostavi

3.3 Vrsta obrađenih osobnih podataka

• Identifikacijski i osobni podaci (ime, prezime, datum i mjesto rođenja, državljanstvo, spol)
• Identifikacijske isprave (vrsta, broj, datum izdavanja, tijelo koje je ispravu izdalo, skenirana ili fotografirana slika)
• Tekstualni podaci izvučeni iz isprave automatskim OCR-om
• Podaci za kontakt (e-pošta, telefon, adresa)
• Podaci o rezervaciji i boravku
• Podaci o plaćanju (upravlja Stripe, ne pohranjuju se na Vezpi)

4. Upute Voditelja obrade (čl. 28.3.a GDPR-a)

Izvršitelj osobne podatke obrađuje isključivo na temelju dokumentiranih uputa Voditelja obrade. Opće upute sadržane su u ovom DPA-u, u Pravilima privatnosti, u GDPR obavijesti i u Uvjetima usluge. Specifične upute Voditelj obrade može izdati putem:

• Konfiguracija na vlastitom računu (aktivacija/deaktivacija konektora prema državnim tijelima, OTA, rokova čuvanja)
• Povezivanja vanjskih usluga koje odabere Voditelj obrade, poput glasovne platforme koja odgovara na telefon smještaja (npr. Retell, Vapi, ElevenLabs): Izvršitelj usluzi, samo kada ga ona upita ključem koji je generirao Voditelj obrade, prenosi podatke potrebne za odgovor (raspoloživost, cijene, podaci o smještaju te, nakon provjere broja telefona i prezimena, datumi i iznosi rezervacije pozivatelja) i od nje prima poruke i sažetke poziva. Vanjsku uslugu odabire, ugovara i plaća Voditelj obrade: ona je njegov izvršitelj obrade, a ne podizvršitelj Izvršitelja, i Voditelj obrade za nju odgovara (ugovor u skladu s čl. 28. GDPR-a, informiranje ispitanika, eventualno snimanje poziva, prijenosi izvan EU-a).
• Pisanog priopćenja na info@vezpa.it ili putem PEC-a na lavezpa@pec.it

Ako Izvršitelj smatra da neka uputa krši GDPR ili druge primjenjive propise, odmah o tome obavještava Voditelja obrade.

5. Obveze Izvršitelja (čl. 28.3.b-h GDPR-a)

Izvršitelj se obvezuje:

1. Povjerljivost: obraditi podatke povjerljivo i osigurati da su osobe ovlaštene za obradu vezane obvezom povjerljivosti;
2. Sigurnost: primijeniti tehničke i organizacijske mjere iz Priloga B, prilagođene riziku;
3. Podizvršitelji: poštovati uvjete iz §6;
4. Pomoć Voditelju obrade: pomagati Voditelju obrade u ispunjavanju njegovih obveza, posebno:
   • Odgovor na zahtjeve ispitanika (čl. 15.-22. GDPR-a) u rokovima koji omogućuju Voditelju obrade odgovor u zakonskih 30 dana;
   • Obavijest Voditelju obrade o povredi osobnih podataka u roku od 48 sati od otkrića (§7);
   • Podrška za DPIA (čl. 35.) i prethodne konzultacije (čl. 36.);
   • Dokazivanje usklađenosti putem dokumentacije i, gdje je zatraženo, audita (§9).
5. Povrat / brisanje podataka po završetku, kako je predviđeno u §14;
6. Informiranje: staviti na raspolaganje Voditelju obrade sve informacije potrebne za dokazivanje usklađenosti s ovim DPA-om.

6. Podizvršitelji (čl. 28.2 i 28.4 GDPR-a)

6.1 Opće ovlaštenje

Voditelj obrade ovlašćuje Izvršitelja da imenuje podizvršitelje navedene na vezpa.it/subprocessors i one koji će naknadno biti dodani postupkom ovdje opisanim.

6.2 Najava izmjene

Izvršitelj obavještava Voditelja obrade o namjeri dodavanja ili zamjene podizvršitelja najmanje 30 dana unaprijed, e-poštom na registriranu adresu i/ili obaviješću na nadzornoj ploči. Unutar tog roka Voditelj obrade može obrazloženo uložiti prigovor. U slučaju prigovora koji se ne može riješiti, svaka strana može raskinuti ugovor uz prestanak dotične obrade.

6.3 Obveze prema podizvršiteljima

Izvršitelj pisanim putem nameće podizvršiteljima obveze zaštite podataka ekvivalentne ovdje predviđenima, i odgovara Voditelju obrade za postupanje podizvršitelja.

7. Povreda osobnih podataka (čl. 33. GDPR-a)

U slučaju povrede osobnih podataka koja se tiče podataka obrađenih u ime Voditelja obrade, Izvršitelj:

• Obavještava Voditelja obrade bez neopravdanog kašnjenja i u svakom slučaju u roku od 48 sati od otkrića, osim u slučaju dokumentirane više sile;
• Pruža informacije iz čl. 33.3 GDPR-a (priroda, kategorije i približan broj ispitanika i podataka, vjerojatne posljedice, poduzete ili predložene mjere);
• Surađuje s Voditeljem obrade u komunikacijama prema ispitanicima i nadzornom tijelu;
• Dokumentira incident i poduzete radnje.

Obavijest Voditelju obrade šalje se e-poštom na registriranu adresu i putem PEC-a, ako je dostupan. Voditelj obrade ostaje odgovoran za vanjske obavijesti (talijansko tijelo za zaštitu podataka - Garante, ispitanici) sukladno čl. 33.-34. GDPR-a.

8. Prava ispitanika (čl. 28.3.e GDPR-a)

Ako se ispitanik obrati izravno Izvršitelju radi ostvarivanja prava vezanih uz podatke obrađene u ime Voditelja obrade, Izvršitelj bez kašnjenja prosljeđuje zahtjev Voditelju obrade i ne odgovara u ime Voditelja obrade, osim ako je drukčije naloženo.

Izvršitelj stavlja Voditelju obrade na raspolaganje, na nadzornoj ploči i putem API-ja, funkcionalnosti za:

• Izvoz podataka ispitanika (pristup i prenosivost)
• Ispravak
• Brisanje ili anonimizacija
• Ograničenje obrade

Za zahtjeve koji zahtijevaju ručnu tehničku intervenciju, Izvršitelj odgovara u roku od 10 radnih dana od primitka upute Voditelja obrade.

9. Audit (čl. 28.3.h GDPR-a)

Izvršitelj na zahtjev Voditelja obrade pruža informacije i dokumentaciju koja dokazuje usklađenost s ovim DPA-om, među kojima:

• Sažetak primijenjenih sigurnosnih mjera
• Popis podizvršitelja sa sjedištima i osnovama prijenosa
• Evidencija aktivnosti obrade (relevantni izvatci)
• Certifikati podizvršitelja (ISO 27001, SOC 2, DPF) gdje su dostupni

9.1 Način i ograničenja audita

• Zadani način — dokumentacijski audit na daljinu: Voditelj obrade može, uz prethodnu pisanu najavu od najmanje 30 dana i najviše jednom godišnje, zatražiti dokumentaciju o sigurnosti, certifikate, evidencije i odgovore na upitnike. To je standardni način.
• Audit na licu mjesta u sjedištu Vezpe: dopušten isključivo u slučaju utvrđene povrede ugovora ili potvrđene povrede osobnih podataka koja se može pripisati Izvršitelju, uz prethodnu pisanu najavu od najmanje 30 dana.
• Trajanje: pojedini audit ne smije trajati dulje od 2 radna dana, a provodi se tijekom radnog vremena i bez ometanja redovitog poslovanja.
• Treći revizori: dopušteni su samo ako su s Vezpom vezani ugovorom o povjerljivosti (NDA) i nisu u sukobu interesa (nisu izravni konkurenti Izvršitelja).
• Troškovi: u cijelosti ih snosi Voditelj obrade (uključujući razumne interne troškove Izvršitelja), osim ako audit utvrdi povredu koja se može pripisati Izvršitelju, u kojem slučaju troškove snosi Izvršitelj.
• Povjerljivost: informacije dobivene tijekom audita obuhvaćene su obvezom povjerljivosti koja traje najmanje 5 godina nakon prestanka ugovora.

10. Prijenosi izvan EU-a (Poglavlje V. GDPR-a)

Popis podizvršitelja s naznakom sjedišta i pravne osnove prijenosa objavljen je na vezpa.it/subprocessors. Za prijenose koji nisu pokriveni odlukom o primjerenosti, Izvršitelj primjenjuje:

• Standardne ugovorne klauzule 2021/914 i dopunske mjere gdje je potrebno (dokumentirani Transfer Impact Assessment);
• Ili druga odgovarajuća jamstva predviđena čl. 46. GDPR-a.

11. Uloga Voditelja obrade

Voditelj obrade izjavljuje i jamči da:

• Je ispitanicima pružio obavijest predviđenu čl. 13.-14. GDPR-a;
• Je pribavio eventualne pravne osnove (privola, ugovor, zakonska obveza) potrebne za obradu;
• Izdaje zakonite upute Izvršitelju;
• Osigurava ispravno čuvanje i brisanje podataka nakon napuštanja platforme Vezpa.

12. Povjerljivost

Svaka strana održava strogo povjerljivima sve informacije primljene od druge strane u izvršavanju ovog DPA-a, za cijelo trajanje ugovora i 5 godina nakon toga.

13. Odgovornost

Odgovornost svake strane iz čl. 82. GDPR-a prema ispitanicima ostaje uređena zakonom. U odnosima između strana, režim ugovorne odgovornosti je onaj utvrđen u Uvjetima usluge (§9-10), pri čemu ostaje na snazi obvezna podjela odgovornosti predviđena čl. 82. GDPR-a.

14. Prestanak obrade

Po prestanku ugovora iz bilo kojeg razloga, Izvršitelj:

1. Stavlja Voditelju obrade na raspolaganje alate za izvoz vlastitih podataka u strukturiranom obliku (CSV/JSON) tijekom 30 dana od prestanka;
2. Po isteku 30 dana, briše ili anonimizira podatke obrađene u ime Voditelja obrade iz produkcijskih sustava;
3. Briše podatke iz sigurnosnih kopija u sljedećem ciklusu rotacije (tipično u roku od 90 dana);
4. Čuva podatke koje je Vezpa zakonom obvezna čuvati (tipično: podaci o fakturiranju i sigurnosni dnevnici) samo u rokovima nametnutim primjenjivim propisima, održavajući na njima odgovarajuće sigurnosne mjere.

15. Izmjene

Izvršitelj može izmijeniti ovaj DPA radi usklađivanja s promjenama propisa (npr. nove SCC, odluke talijanskog tijela za zaštitu podataka) ili zbog organizacijskih promjena. Bitne izmjene priopćuju se Voditelju obrade najmanje 30 dana unaprijed. Ako Voditelj obrade ne prihvati, može raskinuti ugovor bez penala za neiskorišteni dio pretplate.

16. Mjerodavno pravo

Ovaj DPA uređen je talijanskim pravom. Za sporove se primjenjuje §16 Uvjeta usluge.