VINNSLUSAMNINGUR (DATA PROCESSING AGREEMENT, DPA)

1. Aðilar

2. Viðfangsefni og gildistími (28.3 gr. GDPR)

Ábyrgðaraðilinn felur Vinnsluaðilanum að vinna persónuupplýsingar fyrir sína hönd í gegnum Vezpa-vettvanginn. Vinnslan varir jafnlengi og áskriftarsamningurinn milli aðilanna og lýkur þegar honum lýkur, með fyrirvara um ákvæði §14.

3. Eðli, tilgangur og gerðir gagna sem unnið er með

3.1 Tilgangur

• Umsjón með bókunum, dvöl og innritun/útskráningu
• Uppfylling lagaskyldna Ábyrgðaraðilans gagnvart opinberum yfirvöldum (AlloggiatiWeb, ISTAT, PayTourist, Feratel/Meldeamt, SES.HOSPEDAJES, NTAK, eVisitor, SEF, UbyPort, eTurizem)
• Sending bókanagagna til OTA-rása og rásastjóra (channel manager) sem gististaðurinn virkjar
• Sending tilkynninga til gesta (staðfestingar, forinnritun, greiðslur)
• Vinnsla greiðslna í gegnum bókunarvél (Booking Engine) eða Stripe-hlekki
• Skýrslugerð og tölfræði fyrir Ábyrgðaraðilann

3.2 Flokkar skráðra einstaklinga

• Gestir gististaða og fylgdarmenn þeirra
• Einstaklingar sem bóka fyrir aðra
• Neyðartengiliðir sem gestur kann að gefa upp

3.3 Gerðir persónuupplýsinga sem unnið er með

• Auðkennisupplýsingar (nafn, eftirnafn, fæðingardagur og -staður, ríkisfang, kyn)
• Skilríki (gerð, númer, útgáfudagur, útgefandi, skönnuð eða ljósmynduð mynd)
• Textagögn dregin úr skilríki með sjálfvirkri OCR-greiningu
• Samskiptaupplýsingar (netfang, sími, heimilisfang)
• Bókanagögn og dvalargögn
• Greiðslugögn (meðhöndluð af Stripe, ekki geymd hjá Vezpa)

4. Fyrirmæli Ábyrgðaraðila (28.3.a gr. GDPR)

Vinnsluaðilinn vinnur persónuupplýsingar eingöngu á grundvelli skjalfestra fyrirmæla Ábyrgðaraðilans. Almenn fyrirmæli eru í þessum DPA, í persónuverndarstefnunni, í GDPR-upplýsingunum og í Þjónustuskilmálunum. Sértæk fyrirmæli getur Ábyrgðaraðilinn gefið í gegnum:

• Stillingar á eigin reikningi (virkja/afvirkja tengingar við stjórnvöld, OTA, varðveislu)
• Tengingu ytri þjónustu sem Ábyrgðaraðilinn velur, svo sem raddkerfisins sem svarar síma gististaðarins (t.d. Retell, Vapi, ElevenLabs): Vinnsluaðilinn sendir þjónustunni, aðeins þegar hún spyr með lyklinum sem Ábyrgðaraðilinn bjó til, þau gögn sem þarf til að svara (framboð, verð, upplýsingar um gististaðinn og, eftir staðfestingu númers og eftirnafns, dagsetningar og upphæðir bókunar þess sem hringir) og tekur við skilaboðum og samantektum símtala frá henni. Ábyrgðaraðilinn velur ytri þjónustuna, semur um hana og greiðir fyrir hana: hún er vinnsluaðili hans, ekki undirvinnsluaðili Vinnsluaðilans, og Ábyrgðaraðilinn ber ábyrgð á henni (samningur skv. 28. gr. GDPR, upplýsingar til skráðra einstaklinga, hugsanleg upptaka símtala, flutningur út fyrir ESB).
• Skrifleg skilaboð á info@vezpa.it eða með PEC á lavezpa@pec.it

Ef Vinnsluaðilinn telur að fyrirmæli brjóti í bága við GDPR eða aðrar gildandi reglur upplýsir hann Ábyrgðaraðilann tafarlaust.

5. Skyldur Vinnsluaðilans (28.3.b-h gr. GDPR)

Vinnsluaðilinn skuldbindur sig til að:

1. Trúnaður: vinna gögn í trúnaði og tryggja að þeir sem hafa heimild til vinnslu séu bundnir trúnaðarskyldu;
2. Öryggi: grípa til tæknilegra og skipulagslegra ráðstafana samkvæmt Viðauka B, í samræmi við áhættu;
3. Undirvinnsluaðilar: virða skilyrði §6;
4. Aðstoð við Ábyrgðaraðilann: aðstoða Ábyrgðaraðilann við að uppfylla skyldur hans, einkum:
   • Svör við beiðnum skráðra einstaklinga (15-22 gr. GDPR) innan frests sem gerir Ábyrgðaraðilanum kleift að svara innan lögbundinna 30 daga;
   • Tilkynning um öryggisbrest til Ábyrgðaraðila innan 48 klst. frá því að hann uppgötvast (§7);
   • Stuðningur við mat á áhrifum á persónuvernd (DPIA, 35. gr.) og fyrirframsamráð (36. gr.);
   • Sönnun á samræmi með skjölum og, þegar þess er krafist, úttekt (§9).
5. Skil / eyðing gagna við lok, eins og kveðið er á um í §14;
6. Upplýsingar: veita Ábyrgðaraðilanum allar nauðsynlegar upplýsingar til að sýna fram á samræmi við þennan DPA.

6. Undirvinnsluaðilar (28.2 og 28.4 gr. GDPR)

6.1 Almenn heimild

Ábyrgðaraðilinn heimilar Vinnsluaðilanum að skipa undirvinnsluaðila sem taldir eru upp á vezpa.it/subprocessors og þá sem bætt verður við síðar samkvæmt ferlinu sem hér er lýst.

6.2 Fyrirvari um breytingu

Vinnsluaðilinn tilkynnir Ábyrgðaraðilanum um áform um að bæta við eða skipta um undirvinnsluaðila með a.m.k. 30 daga fyrirvara, með tölvupósti á skráð netfang og/eða tilkynningu á mælaborðinu. Innan þess frests getur Ábyrgðaraðilinn andmælt með rökstuðningi. Ef ekki tekst að leysa úr andmælum getur hvor aðili sagt samningnum upp og viðkomandi vinnslu lýkur.

6.3 Skyldur gagnvart undirvinnsluaðilum

Vinnsluaðilinn leggur skriflega á undirvinnsluaðilana gagnaverndarskyldur sem jafngilda þeim sem hér er kveðið á um og ber ábyrgð gagnvart Ábyrgðaraðilanum á störfum undirvinnsluaðilanna.

7. Öryggisbrestur (33. gr. GDPR)

Komi til öryggisbrests sem varðar gögn sem unnin eru fyrir hönd Ábyrgðaraðilans skal Vinnsluaðilinn:

• Tilkynna Ábyrgðaraðilanum án ótilhlýðilegrar tafar og í síðasta lagi innan 48 klst. frá því að brestur uppgötvast, nema í tilvikum skjalfestrar óviðráðanlegrar atburðarásar (force majeure);
• Veita upplýsingar skv. 33.3 gr. GDPR (eðli, flokkar og áætlaður fjöldi hlutaðeigandi skráðra einstaklinga og gagna, líklegar afleiðingar, ráðstafanir sem gripið hefur verið til eða lagðar eru til);
• Eiga samstarf við Ábyrgðaraðilann um tilkynningar til skráðra einstaklinga og eftirlitsyfirvalds;
• Skjalfesta atvikið og aðgerðirnar sem gripið var til.

Tilkynning til Ábyrgðaraðilans fer fram með tölvupósti á skráð netfang og með PEC, ef það er tiltækt. Ábyrgðaraðilinn ber áfram ábyrgð á ytri tilkynningum (Garante, skráðir einstaklingar) samkvæmt 33-34 gr. GDPR.

8. Réttindi skráðra einstaklinga (28.3.e gr. GDPR)

Ef skráður einstaklingur snýr sér beint til Vinnsluaðilans til að neyta réttinda varðandi gögn sem unnin eru fyrir hönd Ábyrgðaraðilans framsendir Vinnsluaðilinn beiðnina til Ábyrgðaraðilans án tafar og svarar ekki fyrir hönd Ábyrgðaraðilans nema fyrirmæli séu um annað.

Vinnsluaðilinn veitir Ábyrgðaraðilanum, á mælaborðinu og í gegnum API, virkni til:

• Útflutnings gagna skráðs einstaklings (aðgangur og flytjanleiki)
• Leiðréttingar
• Eyðingar eða nafnleysingar
• Takmörkunar vinnslu

Fyrir beiðnir sem krefjast handvirkrar tæknilegrar aðgerðar svarar Vinnsluaðilinn innan 10 virkra daga frá móttöku fyrirmæla Ábyrgðaraðilans.

9. Úttekt (28.3.h gr. GDPR)

Vinnsluaðilinn veitir Ábyrgðaraðilanum, eftir beiðni, upplýsingar og skjöl sem sýna fram á samræmi við þennan DPA, þar á meðal:

• Samantekt um innleiddar öryggisráðstafanir
• Lista yfir undirvinnsluaðila með starfsstöðum og flutningsgrunni
• Vinnsluskrá (viðeigandi útdrættir)
• Vottanir undirvinnsluaðila (ISO 27001, SOC 2, DPF) þar sem þær eru tiltækar

9.1 Tilhögun og takmörk úttektar

• Sjálfgefin tilhögun — úttekt á skjölum í fjarvinnslu: Ábyrgðaraðilinn getur með a.m.k. 30 daga skriflegum fyrirvara og ekki oftar en einu sinni á ári óskað eftir öryggisskjölum, vottunum, skrám og svörum við spurningalistum. Þetta er venjuleg tilhögun.
• Úttekt á staðnum í starfsstöð Vezpa: aðeins heimil ef fyrir liggur staðfest samningsbrot eða staðfestur öryggisbrestur sem rekja má til Vinnsluaðilans, með a.m.k. 30 daga skriflegum fyrirvara.
• Tímalengd: hver úttekt má ekki standa lengur en 2 virka daga, á vinnutíma og án þess að trufla venjulegan rekstur.
• Þriðju aðilar sem framkvæma úttekt: aðeins heimilir ef þeir eru bundnir trúnaðarsamningi (NDA) við Vezpa og lausir við hagsmunaárekstra (mega ekki vera beinir keppinautar Vinnsluaðilans).
• Kostnaður: Ábyrgðaraðilinn ber allan kostnað (þ.m.t. hæfilegan innri kostnað Vinnsluaðilans), nema úttektin staðfesti brot sem rekja má til Vinnsluaðilans, en þá ber Vinnsluaðilinn kostnaðinn.
• Trúnaður: upplýsingar sem fást við úttekt eru háðar trúnaðarskyldu sem gildir í a.m.k. 5 ár eftir að samningnum lýkur.

10. Gagnaflutningar utan ESB (V. kafli GDPR)

Listi yfir undirvinnsluaðila með upplýsingum um starfsstöð og lagagrundvöll flutningsins er birtur á vezpa.it/subprocessors. Við flutninga sem ekki falla undir ákvörðun um fullnægjandi vernd beitir Vinnsluaðilinn:

• Stöðluðum samningsákvæðum 2021/914 og viðbótarráðstöfunum þar sem þörf krefur (skjalfest mat á áhrifum flutnings, Transfer Impact Assessment);
• Eða öðrum viðeigandi verndarráðstöfunum samkvæmt 46. gr. GDPR.

11. Hlutverk Ábyrgðaraðila

Ábyrgðaraðilinn lýsir yfir og ábyrgist að:

• Hafa veitt skráðum einstaklingum upplýsingar skv. 13-14 gr. GDPR;
• Hafa aflað þess lagagrundvallar (samþykki, samningur, lagaskylda) sem nauðsynlegur er fyrir vinnsluna;
• Gefa lögmæt fyrirmæli til Vinnsluaðilans;
• Tryggja rétta varðveislu og eyðingu gagna eftir að notkun Vezpa-vettvangsins lýkur.

12. Trúnaður

Hvor aðili heldur stranglega trúnaði um allar upplýsingar sem fengnar eru frá hinum aðilanum við framkvæmd þessa DPA, allan samningstímann og næstu 5 ár á eftir.

13. Ábyrgð

Ábyrgð hvors aðila skv. 82. gr. GDPR gagnvart skráðum einstaklingum fer áfram eftir lögum. Í samskiptum aðilanna gildir það ábyrgðarfyrirkomulag sem sett er í Þjónustuskilmálunum (§9-10), með fyrirvara um ófrávíkjanlega skiptingu samkvæmt 82. gr. GDPR.

14. Lok vinnslu

Við lok samningsins, af hvaða ástæðu sem er, skal Vinnsluaðilinn:

1. Veita Ábyrgðaraðilanum verkfæri til að flytja út gögn sín á skipulögðu sniði (CSV/JSON) í 30 daga frá lokum samningsins;
2. Að 30 dögum liðnum eyða eða gera nafnlaus gögn sem unnin eru fyrir hönd Ábyrgðaraðilans í framleiðslukerfum;
3. Eyða gögnum úr afritum í næstu afritunarlotu (venjulega innan 90 daga);
4. Varðveita gögn sem Vezpa er skylt að varðveita samkvæmt lögum (venjulega: reikningsgögn og öryggisskrár) aðeins í þann tíma sem gildandi lög kveða á um og viðhalda viðeigandi öryggisráðstöfunum um þau.

15. Breytingar

Vinnsluaðilinn getur breytt þessum DPA til að taka mið af lagabreytingum (t.d. nýjum SCC, ákvörðunum Garante) eða skipulagsbreytingum. Verulegar breytingar eru tilkynntar Ábyrgðaraðilanum með a.m.k. 30 daga fyrirvara. Ef Ábyrgðaraðilinn samþykkir þær ekki getur hann sagt upp án viðurlaga vegna ónotaðs hluta áskriftarinnar.

16. Gildandi lög

Um þennan DPA gilda ítölsk lög. Um ágreiningsmál gildir §16 í Þjónustuskilmálum.