ADATFELDOLGOZÁSI SZERZŐDÉS (DPA)

1. Felek

2. Tárgy és időtartam (GDPR 28. cikk (3) bekezdés)

Az Adatkezelő megbízza az Adatfeldolgozót, hogy a Vezpa platformon keresztül a nevében kezeljen személyes adatokat. Az adatkezelés a felek közötti előfizetési szerződés időtartamára szól, és annak megszűnésével megszűnik, a 14. pontban foglaltak kivételével.

3. Az adatkezelés jellege, célja és a kezelt adatok típusa

3.1 Cél

• Foglalások, tartózkodás és be-/kijelentkezés kezelése
• Az Adatkezelőnek a hatóságok felé fennálló jogi kötelezettségeinek teljesítése (AlloggiatiWeb, ISTAT, PayTourist, Feratel/Meldeamt, SES.HOSPEDAJES, NTAK, eVisitor, SEF, UbyPort, eTurizem)
• Foglalási adatok közlése a szálláshely által aktivált OTA-csatornáknak és channel managernek
• Üzenetek küldése a vendégnek (visszaigazolások, pre-check-in, fizetések)
• Fizetések feldolgozása a Booking Engine-en vagy Stripe-linken keresztül
• Jelentések és statisztikák készítése az Adatkezelő számára

3.2 Érintettek kategóriái

• Szálláshelyek vendégei és azok kísérői
• Más nevében foglaló személyek
• A vendég által esetlegesen megadott vészhelyzeti kapcsolattartók

3.3 A kezelt személyes adatok típusa

• Személyazonosító és személyes adatok (keresztnév, vezetéknév, születési dátum és hely, állampolgárság, nem)
• Személyazonosító okmányok (típus, szám, kiállítás időpontja, kibocsátó szerv, beszkennelt vagy lefényképezett kép)
• Az okmányból automatikus OCR-rel kinyert szöveges adatok
• Kapcsolattartási adatok (e-mail, telefon, cím)
• Foglalási és tartózkodási adatok
• Fizetési adatok (a Stripe által kezelve, a Vezpánál nem kerülnek tárolásra)

4. Az Adatkezelő utasításai (GDPR 28. cikk (3) bekezdés a) pont)

Az Adatfeldolgozó a személyes adatokat kizárólag az Adatkezelő dokumentált utasításai alapján kezeli. Az általános utasításokat jelen DPA, az Adatvédelmi tájékoztató, a GDPR tájékoztató és a Szolgáltatási feltételek tartalmazzák. Specifikus utasításokat az Adatkezelő a következő csatornákon adhat:

• Saját fiókjának beállításai (kormányzati csatlakozók, OTA-k, adatmegőrzés be- és kikapcsolása)
• Az Adatkezelő által választott külső szolgáltatások csatlakoztatása, például a szálláshely telefonját fogadó hangplatformé (pl. Retell, Vapi, ElevenLabs): az Adatfeldolgozó csak akkor adja át a szolgáltatásnak a válaszhoz szükséges adatokat (rendelkezésre állás, árak, a szálláshely adatai, valamint a telefonszám és a vezetéknév ellenőrzése után a hívó foglalásának dátumai és összegei), amikor az az Adatkezelő által generált kulccsal lekérdezi, és tőle üzeneteket és hívásösszefoglalókat fogad. A külső szolgáltatást az Adatkezelő választja ki, szerződteti és fizeti: az Adatkezelő adatfeldolgozója, nem az Adatfeldolgozó további adatfeldolgozója, és érte az Adatkezelő felel (a GDPR 28. cikke szerinti szerződés, az érintettek tájékoztatása, a hívások esetleges rögzítése, EU-n kívüli adattovábbítás).
• Írásbeli értesítés az info@vezpa.it címre vagy PEC-en a lavezpa@pec.it címre

Ha az Adatfeldolgozó úgy ítéli meg, hogy egy utasítás sérti a GDPR-t vagy más alkalmazandó rendelkezéseket, erről haladéktalanul értesíti az Adatkezelőt.

5. Az Adatfeldolgozó kötelezettségei (GDPR 28. cikk (3) bekezdés b)–h) pont)

Az Adatfeldolgozó vállalja, hogy:

1. Titoktartás: az adatokat bizalmasan kezeli, és biztosítja, hogy az adatkezelésre jogosult személyeket titoktartási kötelezettség terhelje;
2. Biztonság: a B mellékletben szereplő technikai és szervezési intézkedéseket foganatosítja, amelyek arányban állnak a kockázattal;
3. További adatfeldolgozók: betartja a 6. pontban foglalt feltételeket;
4. Segítségnyújtás az Adatkezelőnek: segíti az Adatkezelőt kötelezettségeinek teljesítésében, különösen:
   • Válasz az érintettek kéréseire (GDPR 15-22. cikk) olyan határidővel, amely lehetővé teszi az Adatkezelő számára a törvény által előírt 30 napon belüli válaszadást;
   • Az Adatkezelő értesítése az adatvédelmi incidensről a felfedezéstől számított 48 órán belül (7. pont);
   • Támogatás a DPIA-hoz (35. cikk) és az előzetes konzultációkhoz (36. cikk);
   • A megfelelés igazolása dokumentációval és – kérés esetén – audittal (9. pont).
5. Visszaadás / törlés: az adatok visszaadása vagy törlése a szerződés végén, a 14. pont szerint;
6. Tájékoztatás: az Adatkezelő rendelkezésére bocsátja mindazon információt, amely a jelen DPA-nak való megfelelés bizonyításához szükséges.

6. További adatfeldolgozók (GDPR 28. cikk (2) és (4) bekezdés)

6.1 Általános felhatalmazás

Az Adatkezelő felhatalmazza az Adatfeldolgozót, hogy igénybe vegye a vezpa.it/subprocessors oldalon felsorolt további adatfeldolgozókat, valamint azokat, amelyeket az itt leírt eljárás szerint később vesz fel a listára.

6.2 Előzetes értesítés változtatásról

Az Adatfeldolgozó legalább 30 nappal előre értesíti az Adatkezelőt új további adatfeldolgozó felvételének vagy cseréjének szándékáról, a regisztrált e-mail-címre küldött üzenetben és/vagy az irányítópulton megjelenő értesítésben. Ezen a határidőn belül az Adatkezelő indokoltan tiltakozhat. Fel nem oldható tiltakozás esetén bármelyik fél felmondhatja a szerződést, az érintett adatkezelés megszűnésével.

6.3 Kötelezettségek a további adatfeldolgozók felé

Az Adatfeldolgozó írásban a jelen DPA-ban foglaltakkal egyenértékű adatvédelmi kötelezettségeket ír elő a további adatfeldolgozóknak, és felel az Adatkezelő felé a további adatfeldolgozók tevékenységéért.

7. Adatvédelmi incidens (GDPR 33. cikk)

Az Adatkezelő nevében kezelt adatokat érintő adatvédelmi incidens esetén az Adatfeldolgozó:

• Értesíti az Adatkezelőt indokolatlan késedelem nélkül, de legkésőbb a felfedezéstől számított 48 órán belül, a dokumentált vis maior esetek kivételével;
• Megadja a GDPR 33. cikkének (3) bekezdése szerinti információkat (jelleg, az érintettek és az adatok kategóriái és hozzávetőleges száma, valószínű következmények, megtett vagy javasolt intézkedések);
• Együttműködik az Adatkezelővel az érintetteknek és a felügyeleti hatóságnak szóló közlésekben;
• Dokumentálja az eseményt és a megtett intézkedéseket.

Az Adatkezelő értesítése a regisztrált e-mail-címre és – ha rendelkezésre áll – PEC-en keresztül történik. A külső értesítésekért (Garante, érintettek) a GDPR 33–34. cikke alapján továbbra is az Adatkezelő felel.

8. Az érintettek jogai (GDPR 28. cikk (3) bekezdés e) pont)

Ha egy érintett közvetlenül az Adatfeldolgozóhoz fordul az Adatkezelő nevében kezelt adatokkal kapcsolatos jogok gyakorlása érdekében, az Adatfeldolgozó a kérést haladéktalanul továbbítja az Adatkezelőnek, és – eltérő utasítás hiányában – nem válaszol az Adatkezelő nevében.

Az Adatfeldolgozó az irányítópulton és API-n keresztül az Adatkezelő rendelkezésére bocsát funkciókat az alábbi célokra:

• Egy érintett adatainak exportálása (hozzáférés és adathordozhatóság)
• Helyesbítés
• Törlés vagy anonimizálás
• Az adatkezelés korlátozása

A kézi technikai beavatkozást igénylő kérésekre az Adatfeldolgozó az Adatkezelő utasításának kézhezvételét követő 10 munkanapon belül válaszol.

9. Audit (GDPR 28. cikk (3) bekezdés h) pont)

Az Adatfeldolgozó kérésre az Adatkezelő rendelkezésére bocsátja a jelen DPA-nak való megfelelést igazoló információkat és dokumentációt, többek között:

• A megvalósított biztonsági intézkedések összefoglalását
• A további adatfeldolgozók listáját székhellyel és a továbbítás jogalapjával
• Az adatkezelési nyilvántartást (a vonatkozó kivonatokat)
• A további adatfeldolgozók tanúsítványait (ISO 27001, SOC 2, DPF), amennyiben rendelkezésre állnak

9.1 Az audit módja és korlátai

• Alapértelmezett mód — távoli, dokumentumalapú audit: az Adatkezelő legalább 30 napos írásbeli előzetes értesítéssel, legfeljebb évente egyszer kérheti a biztonsági dokumentáció, a tanúsítványok, a nyilvántartások és a kérdőívekre adott válaszok megosztását. Ez a szokásos mód.
• Helyszíni audit a Vezpa székhelyén: kizárólag megállapított szerződésszegés vagy az Adatfeldolgozónak betudható, megerősített adatvédelmi incidens esetén megengedett, legalább 30 napos írásbeli előzetes értesítéssel.
• Időtartam: egy audit nem haladhatja meg a 2 munkanapot, munkaidőben és a szokásos műveletek zavarása nélkül zajlik.
• Harmadik fél auditorok: csak akkor engedélyezettek, ha a Vezpával kötött titoktartási megállapodás (NDA) köti őket, és nincs összeférhetetlenségük (nem az Adatfeldolgozó közvetlen versenytársai).
• Költségek: teljes egészében az Adatkezelőt terhelik (beleértve az Adatfeldolgozó észszerű belső költségeit), kivéve, ha az audit az Adatfeldolgozónak betudható jogsértést állapít meg; ebben az esetben a költségek az utóbbit terhelik.
• Titoktartás: az audit során szerzett információkra titoktartási kötelezettség vonatkozik, amely a szerződés időtartamán túl legalább 5 évig fennáll.

10. EU-n kívüli adattovábbítások (GDPR V. fejezet)

A további adatfeldolgozók listája székhellyel és a továbbítás jogalapjával a vezpa.it/subprocessors oldalon van közzétéve. Azoknál a továbbításoknál, amelyekre nem terjed ki megfelelőségi határozat, az Adatfeldolgozó a következőket alkalmazza:

• A 2021/914 szerinti általános szerződési feltételek és – szükség esetén – kiegészítő intézkedések (dokumentált Transfer Impact Assessment);
• Vagy a GDPR 46. cikkében előírt más megfelelő garanciák.

11. Az Adatkezelő szerepe

Az Adatkezelő kijelenti és garantálja, hogy:

• Megadta az érintetteknek a GDPR 13-14. cikke szerinti tájékoztatást;
• Megszerezte az adatkezeléshez szükséges esetleges jogalapokat (hozzájárulás, szerződés, jogi kötelezettség);
• Jogszerű utasításokat ad az Adatfeldolgozónak;
• Biztosítja az adatok megfelelő megőrzését és törlését a Vezpa platform használatának megszüntetése után.

12. Titoktartás

Mindegyik fél szigorúan bizalmasan kezeli a másik féltől jelen DPA végrehajtása során kapott valamennyi információt, a szerződés teljes időtartamára és az azt követő 5 évre.

13. Felelősség

A felek érintettekkel szembeni, a GDPR 82. cikke szerinti felelősségét továbbra is a jogszabályok rendezik. A felek közötti viszonyban a szerződéses felelősségi rendszert a Szolgáltatási feltételek (9–10. pont) állapítják meg, a GDPR 82. cikkében előírt kötelező felelősségmegosztás érintetlenül hagyásával.

14. Az adatkezelés megszűnése

A szerződés bármely okból történő megszűnésekor az Adatfeldolgozó:

1. Az Adatkezelő rendelkezésére bocsátja a saját adatai exportálására szolgáló eszközöket strukturált formátumban (CSV/JSON) a megszűnéstől számított 30 napig;
2. A 30 nap elteltével törli vagy anonimizálja az Adatkezelő nevében kezelt adatokat az éles rendszerekből;
3. A biztonsági mentésekből a következő rotációs ciklus alatt törli az adatokat (jellemzően 90 napon belül);
4. Megőrzi azokat az adatokat, amelyeket a Vezpa törvényileg köteles megőrizni (jellemzően: számlázási adatok és biztonsági naplók) kizárólag az alkalmazandó jogszabályok által előírt ideig, azokon megfelelő biztonsági intézkedéseket tartva fenn.

15. Módosítások

Az Adatfeldolgozó módosíthatja a jelen DPA-t a szabályozási változások (pl. új SCC-k, a Garante határozatai) vagy szervezeti változások átvétele érdekében. Az érdemi módosításokról az Adatkezelőt legalább 30 nappal előre értesítjük. Ha az Adatkezelő nem fogadja el őket, az előfizetés igénybe nem vett részére vonatkozóan kötbér nélkül felmondhatja a szerződést.

16. Alkalmazandó jog

A jelen DPA-ra az olasz jog az irányadó. A jogvitákra a Szolgáltatási feltételek 16. pontja alkalmazandó.