CONTRATO DE ENCARGO DEL TRATAMIENTO (DPA)

1. Partes

2. Objeto y duración (art. 28.3 RGPD)

El Responsable encarga al Encargado tratar datos personales por su cuenta mediante la plataforma Vezpa. El tratamiento tiene la duración del contrato de suscripción entre las partes y cesa con su resolución, salvo lo previsto en la sección 14.

3. Naturaleza, finalidad y tipología de los datos tratados

3.1 Finalidades

• Gestión de reservaciones, estancia y check-in/check-out
• Cumplimiento de las obligaciones legales del Responsable frente a las autoridades públicas (AlloggiatiWeb, ISTAT, PayTourist, Feratel/Meldeamt, SES.HOSPEDAJES, NTAK, eVisitor, SEF, UbyPort, eTurizem)
• Comunicación de los datos de reservación a los canales OTA y al channel manager activados por el establecimiento
• Emisión de comunicaciones al huésped (confirmaciones, pre-check-in, pagos)
• Procesamiento de pagos mediante Booking Engine o enlace Stripe
• Producción de reportes y estadísticas para el Responsable

3.2 Categorías de titulares de los datos

• Huéspedes de los establecimientos y sus acompañantes
• Personas que reservan por cuenta de otros
• Contactos de emergencia eventualmente proporcionados por el huésped

3.3 Tipología de datos personales tratados

• Datos identificativos y personales (nombre, apellidos, fecha y lugar de nacimiento, nacionalidad, género)
• Documentos de identidad (tipo, número, fecha de expedición, entidad expedidora, imagen escaneada o fotografiada)
• Datos textuales extraídos del documento mediante OCR automático
• Datos de contacto (email, teléfono, dirección)
• Datos de reservación y estancia
• Datos de pago (gestionados por Stripe, no almacenados en Vezpa)

4. Instrucciones del Responsable (art. 28.3.a RGPD)

El Encargado trata los datos personales exclusivamente sobre la base de instrucciones documentadas del Responsable. Las instrucciones generales están contenidas en el presente DPA, en el Aviso de Privacidad (RGPD), en el Aviso de Privacidad (LFPDPPP) y en los Términos del Servicio. El Responsable puede impartir instrucciones específicas mediante:

• Configuraciones en su cuenta (activación/desactivación de conectores gubernamentales, OTA, conservación)
• Conexión de servicios externos elegidos por el Responsable, como la plataforma de voz que atiende el teléfono del alojamiento (p. ej., Retell, Vapi, ElevenLabs): el Encargado transmite al servicio, solo cuando este lo consulta con la clave generada por el Responsable, los datos necesarios para la respuesta (disponibilidad, precios, datos del alojamiento y, tras verificar el número y el apellido, fechas e importes de la reserva de quien llama) y recibe de él mensajes y resúmenes de las llamadas. El servicio externo es elegido, contratado y pagado por el Responsable: es un encargado del tratamiento del Responsable, no un subencargado del Encargado, y el Responsable responde de él (contrato conforme al art. 28 RGPD y a la normativa aplicable, aviso de privacidad a los titulares, eventual grabación de las llamadas, transferencias internacionales).
• Comunicación escrita a info@vezpa.it o vía PEC a lavezpa@pec.it

Si el Encargado considera que una instrucción viola el RGPD u otras disposiciones aplicables, informa inmediatamente al Responsable.

5. Obligaciones del Encargado (art. 28.3.b-h RGPD)

El Encargado se compromete a:

1. Confidencialidad: tratar los datos de modo confidencial y asegurar que las personas autorizadas al tratamiento estén sujetas a una obligación de confidencialidad;
2. Seguridad: adoptar las medidas técnicas y organizativas del Anexo B, adecuadas al riesgo;
3. Subencargados: respetar las condiciones de la sección 6;
4. Asistencia al Responsable: asistir al Responsable en el cumplimiento de sus obligaciones, en particular:
   • Respuesta a las solicitudes de los titulares (arts. 15-22 RGPD) dentro de plazos que permitan al Responsable responder en los 30 días legales;
   • Notificación de violaciones de la seguridad de los datos al Responsable en un plazo de 48 horas desde el descubrimiento (sección 7);
   • Apoyo en evaluaciones de impacto (art. 35) y consultas previas (art. 36);
   • Demostración de conformidad mediante documentación y, cuando se requiera, auditoría (sección 9).
5. Devolución / supresión de los datos al término, según lo previsto en la sección 14;
6. Información: poner a disposición del Responsable toda la información necesaria para demostrar la conformidad con el presente DPA.

6. Subencargados (art. 28.2 y 28.4 RGPD)

6.1 Autorización general

El Responsable autoriza al Encargado a designar a los subencargados listados en vezpa.it/subprocessors y los que sean agregados posteriormente según el procedimiento aquí descrito.

6.2 Preaviso de modificación

El Encargado comunica al Responsable la intención de agregar o sustituir un subencargado con al menos 30 días de preaviso, mediante email a la dirección registrada y/o aviso en el panel de control. Dentro de dicho plazo el Responsable puede oponerse motivadamente. En caso de oposición que no pueda resolverse, cualquiera de las partes puede rescindir el contrato con cesación del tratamiento afectado.

6.3 Obligaciones hacia los subencargados

El Encargado impone a los subencargados por escrito obligaciones de protección de datos equivalentes a las aquí previstas, y responde ante el Responsable de la actuación de los subencargados.

7. Violaciones de la seguridad de los datos (art. 33 RGPD)

En caso de violación de datos personales que afecte a datos tratados por cuenta del Responsable, el Encargado:

• Notifica al Responsable sin demora injustificada y en todo caso en un plazo de 48 horas desde el descubrimiento, salvo causas de fuerza mayor documentadas;
• Proporciona la información del art. 33.3 RGPD (naturaleza, categorías y número aproximado de titulares y datos, consecuencias probables, medidas adoptadas o propuestas);
• Colabora con el Responsable en las comunicaciones a los titulares y a la Autoridad de control;
• Documenta el incidente y las acciones emprendidas.

La notificación al Responsable se realiza vía email a la dirección registrada y PEC, si está disponible. El Responsable sigue siendo responsable de las notificaciones externas (Garante / Secretaría Anticorrupción y Buen Gobierno, titulares) conforme a los arts. 33-34 RGPD.

8. Derechos de los titulares (art. 28.3.e RGPD)

Si un titular se dirige directamente al Encargado para ejercer derechos relativos a datos tratados por cuenta del Responsable, el Encargado reenvía la solicitud al Responsable sin demora y no responde por cuenta del Responsable salvo instrucciones distintas.

El Encargado pone a disposición del Responsable, en el panel de control y vía API, funcionalidades para:

• Exportación de los datos de un titular (acceso y portabilidad)
• Rectificación
• Supresión o anonimización
• Limitación del tratamiento

Para solicitudes que requieren intervención técnica manual, el Encargado responde en un plazo de 10 días hábiles desde la recepción de la instrucción del Responsable.

9. Auditoría (art. 28.3.h RGPD)

El Encargado proporciona al Responsable, previa solicitud, información y documentación que demuestren la conformidad con el presente DPA, entre ellas:

• Resumen de las medidas de seguridad implementadas
• Lista de los subencargados con sedes y bases de transferencia
• Registro de los tratamientos (extractos relevantes)
• Certificaciones de los subencargados (ISO 27001, SOC 2, DPF) cuando estén disponibles

9.1 Modalidades y límites de la auditoría

• Modalidad por defecto — auditoría documental a distancia: el Responsable puede solicitar, con preaviso escrito de al menos 30 días y una frecuencia máxima de una vez al año, que se le facilite documentación de seguridad, certificaciones, registros y respuestas a cuestionarios. Esta es la modalidad estándar.
• Auditoría in situ en la sede de Vezpa: se admite exclusivamente en caso de incumplimiento contractual comprobado o de violación de la seguridad de los datos confirmada e imputable al Encargado, con preaviso escrito de al menos 30 días.
• Duración: cada auditoría no podrá superar los 2 días hábiles, realizados durante el horario laboral y sin interferir en las operaciones ordinarias.
• Auditores externos: se admiten solo si están vinculados con Vezpa por un acuerdo de confidencialidad y no tienen conflicto de intereses (no pueden ser competidores directos del Encargado).
• Costos: íntegramente a cargo del Responsable (incluidos los costos internos razonables del Encargado), salvo que la auditoría constate una infracción imputable al Encargado, en cuyo caso los costos corren a cargo de este último.
• Confidencialidad: la información obtenida en la auditoría está sujeta a una obligación de confidencialidad que se prolonga al menos 5 años más allá de la duración del contrato.

10. Transferencias fuera de la UE (Capítulo V RGPD)

La lista de los subencargados con indicación de la sede y de la base jurídica de la transferencia está publicada en vezpa.it/subprocessors. Para las transferencias no cubiertas por decisión de adecuación, el Encargado adopta:

• Cláusulas Contractuales Tipo (CCT) 2021/914 y medidas suplementarias cuando sea necesario (evaluación de impacto de las transferencias documentada);
• O bien otras garantías adecuadas previstas por el art. 46 RGPD.

11. Rol del Responsable

El Responsable declara y garantiza:

• Haber proporcionado a los titulares el aviso previsto por los arts. 13-14 RGPD;
• Haber obtenido las eventuales bases jurídicas (consentimiento, contrato, obligación legal) necesarias para el tratamiento;
• Impartir instrucciones lícitas al Encargado;
• Garantizar la correcta conservación y supresión de los datos tras el retiro de la plataforma Vezpa.

12. Confidencialidad

Cada parte mantiene estrictamente confidencial toda la información recibida de la otra parte en ejecución del presente DPA, durante toda la duración del contrato y durante los 5 años siguientes.

13. Responsabilidad

La responsabilidad de cada parte conforme al art. 82 RGPD frente a los titulares sigue regulada por la ley. En las relaciones entre las partes, el régimen de responsabilidad contractual es el establecido en los Términos del Servicio (secciones 9-10), sin perjuicio de la distribución inderogable prevista por el art. 82 RGPD.

14. Cesación del tratamiento

A la cesación del contrato por cualquier causa, el Encargado:

1. Pone a disposición del Responsable las herramientas para exportar sus datos en formato estructurado (CSV/JSON) por 30 días desde la cesación;
2. Transcurridos los 30 días, suprime o anonimiza los datos tratados por cuenta del Responsable de los sistemas de producción;
3. Suprime los datos de las copias de seguridad dentro del siguiente ciclo de rotación (típicamente en un plazo de 90 días);
4. Conserva los datos que Vezpa está obligada a conservar por ley (típicamente: datos de facturación y registros de seguridad) solo durante los plazos impuestos por la normativa aplicable, manteniendo sobre ellos medidas de seguridad adecuadas.

15. Modificaciones

El Encargado puede modificar el presente DPA para incorporar evoluciones normativas (p. ej., nuevas CCT, resoluciones del Garante) o variaciones organizativas. Las modificaciones sustanciales se comunican al Responsable con al menos 30 días de preaviso. Si el Responsable no acepta, puede rescindir sin penalización por la parte no disfrutada de la suscripción.

16. Ley aplicable

El presente DPA se rige por la ley italiana. Para las controversias se aplica la sección 16 de los Términos del Servicio. Para usuarios en México, las disposiciones imperativas de la Ley Federal de Protección al Consumidor (LFPC) permanecen aplicables.