VERWERKERSOVEREENKOMST (DPA)

1. Partijen

2. Onderwerp en duur (art. 28.3 AVG)

De Verwerkingsverantwoordelijke belast de Verwerker met de verwerking van persoonsgegevens namens hem via het Vezpa-platform. De verwerking heeft de duur van het abonnementscontract tussen de partijen en eindigt bij de ontbinding daarvan, onverminderd het bepaalde in §14.

3. Aard, doeleinden en soort verwerkte gegevens

3.1 Doeleinden

• Beheer van boekingen, verblijf en check-in/check-out
• Nakoming van de wettelijke verplichtingen van de Verwerkingsverantwoordelijke jegens overheidsinstanties (AlloggiatiWeb, ISTAT, PayTourist, Feratel/Meldeamt, SES.HOSPEDAJES, NTAK, eVisitor, SEF, UbyPort, eTurizem)
• Mededeling van boekingsgegevens aan OTA-kanalen en de door de accommodatie geactiveerde channel manager
• Verzending van mededelingen aan de gast (bevestigingen, pre-check-in, betalingen)
• Verwerking van betalingen via Booking Engine of Stripe-link
• Opstellen van rapporten en statistieken voor de Verwerkingsverantwoordelijke

3.2 Categorieën van betrokkenen

• Gasten van accommodaties en hun begeleiders
• Personen die boeken namens anderen
• Noodcontacten die eventueel door de gast worden verstrekt

3.3 Soort verwerkte persoonsgegevens

• Identificatie- en persoonsgegevens (voornaam, achternaam, geboortedatum en -plaats, nationaliteit, geslacht)
• Identiteitsdocumenten (type, nummer, afgiftedatum, uitgevende instantie, gescande of gefotografeerde afbeelding)
• Tekstgegevens die door automatische OCR uit het document zijn geëxtraheerd
• Contactgegevens (e-mail, telefoon, adres)
• Boekings- en verblijfsgegevens
• Betaalgegevens (beheerd door Stripe, niet opgeslagen bij Vezpa)

4. Instructies van de Verwerkingsverantwoordelijke (art. 28.3.a AVG)

De Verwerker verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke. Algemene instructies zijn opgenomen in deze DPA, in het Privacybeleid, in de AVG-informatie en in de Servicevoorwaarden. Specifieke instructies kunnen door de Verwerkingsverantwoordelijke worden gegeven via:

• Configuraties in zijn account (activering/deactivering van overheidsconnectors, OTA, bewaartermijnen)
• Koppeling van externe diensten die de Verwerkingsverantwoordelijke kiest, zoals het spraakplatform dat de telefoon van de accommodatie beantwoordt (bv. Retell, Vapi, ElevenLabs): de Verwerker verstrekt aan de dienst, alleen wanneer deze hem raadpleegt met de door de Verwerkingsverantwoordelijke aangemaakte sleutel, de gegevens die nodig zijn voor het antwoord (beschikbaarheid, prijzen, gegevens van de accommodatie en, na controle van nummer en achternaam, data en bedragen van de boeking van de beller) en ontvangt van de dienst berichten en samenvattingen van de gesprekken. De externe dienst wordt door de Verwerkingsverantwoordelijke gekozen, gecontracteerd en betaald: het is diens verwerker, geen subverwerker van de Verwerker, en de Verwerkingsverantwoordelijke is ervoor verantwoordelijk (overeenkomst op grond van art. 28 AVG, informatie aan de betrokkenen, eventuele opname van de gesprekken, doorgiften buiten de EU).
• Schriftelijke mededeling aan info@vezpa.it of via PEC naar lavezpa@pec.it

Indien de Verwerker van mening is dat een instructie in strijd is met de AVG of andere toepasselijke bepalingen, stelt hij de Verwerkingsverantwoordelijke daarvan onmiddellijk in kennis.

5. Verplichtingen van de Verwerker (art. 28.3.b-h AVG)

De Verwerker verbindt zich ertoe om:

1. Vertrouwelijkheid: de gegevens vertrouwelijk te verwerken en ervoor te zorgen dat de tot verwerking geautoriseerde personen gebonden zijn aan een geheimhoudingsplicht;
2. Beveiliging: de technische en organisatorische maatregelen van Bijlage B te nemen, die passend zijn voor het risico;
3. Subverwerkers: de voorwaarden van §6 na te leven;
4. Bijstand aan de Verwerkingsverantwoordelijke: de Verwerkingsverantwoordelijke bij te staan bij de nakoming van zijn verplichtingen, met name:
   • Antwoord op verzoeken van betrokkenen (art. 15-22 AVG) binnen termijnen die de Verwerkingsverantwoordelijke in staat stellen te antwoorden binnen de wettelijke 30 dagen;
   • Melding van datalekken aan de Verwerkingsverantwoordelijke binnen 48 uur na ontdekking (§7);
   • Ondersteuning bij DPIA (art. 35) en voorafgaande raadplegingen (art. 36);
   • Aantonen van naleving via documentatie en, indien verzocht, audits (§9).
5. Teruggave / wissing van de gegevens aan het einde, zoals bepaald in §14;
6. Informatie: de Verwerkingsverantwoordelijke alle informatie ter beschikking te stellen die nodig is om de naleving van deze DPA aan te tonen.

6. Subverwerkers (art. 28.2 en 28.4 AVG)

6.1 Algemene toestemming

De Verwerkingsverantwoordelijke machtigt de Verwerker om de subverwerkers aan te stellen die zijn vermeld op vezpa.it/subprocessors en degenen die vervolgens zullen worden toegevoegd volgens de hier beschreven procedure.

6.2 Vooraankondiging van wijziging

De Verwerker deelt de Verwerkingsverantwoordelijke het voornemen om een subverwerker toe te voegen of te vervangen ten minste 30 dagen vooraf mee, via e-mail naar het geregistreerde adres en/of mededeling in het dashboard. Binnen deze termijn kan de Verwerkingsverantwoordelijke gemotiveerd bezwaar maken. Als het bezwaar niet kan worden opgelost, kan elke partij de overeenkomst opzeggen, waarbij de betrokken verwerking wordt beëindigd.

6.3 Verplichtingen jegens de subverwerkers

De Verwerker legt de subverwerkers schriftelijk verplichtingen inzake gegevensbescherming op die gelijkwaardig zijn aan de hier bepaalde verplichtingen, en is jegens de Verwerkingsverantwoordelijke aansprakelijk voor het handelen van de subverwerkers.

7. Datalek (art. 33 AVG)

In geval van een inbreuk op persoonsgegevens die gegevens betreft die namens de Verwerkingsverantwoordelijke worden verwerkt, zal de Verwerker:

• De Verwerkingsverantwoordelijke zonder onnodige vertraging en in elk geval binnen 48 uur na ontdekking op de hoogte stellen, behoudens gedocumenteerde gevallen van overmacht;
• De informatie van art. 33.3 AVG verstrekken (aard, categorieën en bij benadering aantal betrokkenen en gegevens, waarschijnlijke gevolgen, genomen of voorgestelde maatregelen);
• Samenwerken met de Verwerkingsverantwoordelijke bij mededelingen aan betrokkenen en de toezichthoudende autoriteit;
• Het incident en de genomen acties documenteren.

De melding aan de Verwerkingsverantwoordelijke vindt plaats via e-mail naar het geregistreerde adres en PEC, indien beschikbaar. De Verwerkingsverantwoordelijke blijft verantwoordelijk voor externe meldingen (toezichthouder, betrokkenen) krachtens art. 33-34 AVG.

8. Rechten van de betrokkenen (art. 28.3.e AVG)

Indien een betrokkene zich rechtstreeks tot de Verwerker wendt om rechten uit te oefenen met betrekking tot gegevens die namens de Verwerkingsverantwoordelijke worden verwerkt, leidt de Verwerker het verzoek zonder vertraging door naar de Verwerkingsverantwoordelijke en reageert hij niet namens de Verwerkingsverantwoordelijke, behoudens andersluidende instructies.

De Verwerker stelt de Verwerkingsverantwoordelijke in het dashboard en via API functionaliteiten ter beschikking voor:

• Export van de gegevens van een betrokkene (inzage en overdraagbaarheid)
• Rectificatie
• Wissing of anonimisering
• Beperking van de verwerking

Voor verzoeken die handmatige technische tussenkomst vereisen, reageert de Verwerker binnen 10 werkdagen na ontvangst van de instructie van de Verwerkingsverantwoordelijke.

9. Audit (art. 28.3.h AVG)

De Verwerker verstrekt de Verwerkingsverantwoordelijke op verzoek informatie en documentatie die de naleving van deze DPA aantonen, waaronder:

• Samenvatting van de geïmplementeerde beveiligingsmaatregelen
• Lijst van subverwerkers met vestigingen en grondslagen voor doorgifte
• Register van verwerkingsactiviteiten (relevante uittreksels)
• Certificeringen van subverwerkers (ISO 27001, SOC 2, DPF) indien beschikbaar

9.1 Wijze en grenzen van de audit

• Standaardwijze — documentaudit op afstand: de Verwerkingsverantwoordelijke kan, met een schriftelijke vooraankondiging van minstens 30 dagen en maximaal eenmaal per jaar, verzoeken om beveiligingsdocumentatie, certificeringen, registers en antwoorden op vragenlijsten te delen. Dit is de standaardwijze.
• Audit ter plaatse op de vestiging van Vezpa: uitsluitend toegestaan bij een vastgestelde contractuele schending of een bevestigd datalek dat aan de Verwerker is toe te rekenen, met een schriftelijke vooraankondiging van minstens 30 dagen.
• Duur: een audit mag niet langer duren dan 2 werkdagen, uitgevoerd tijdens werkuren en zonder de normale werkzaamheden te verstoren.
• Externe auditors: alleen toegestaan als zij met Vezpa een geheimhoudingsovereenkomst (NDA) hebben gesloten en geen belangenconflict hebben (geen directe concurrenten van de Verwerker).
• Kosten: volledig voor rekening van de Verwerkingsverantwoordelijke (inclusief redelijke interne kosten van de Verwerker), tenzij de audit een aan de Verwerker toe te rekenen schending vaststelt; in dat geval blijven de kosten voor rekening van de Verwerker.
• Vertrouwelijkheid: de bij de audit verkregen informatie valt onder een geheimhoudingsplicht die na afloop van de overeenkomst nog ten minste 5 jaar doorloopt.

10. Doorgiften buiten de EU (Hoofdstuk V AVG)

De lijst van subverwerkers met vermelding van de vestiging en de rechtsgrond van de doorgifte is gepubliceerd op vezpa.it/subprocessors. Voor doorgiften die niet worden gedekt door een adequaatheidsbesluit, past de Verwerker toe:

• Standaardcontractbepalingen 2021/914 en aanvullende maatregelen waar nodig (gedocumenteerde Transfer Impact Assessment);
• Of andere passende waarborgen zoals bepaald in art. 46 AVG.

11. Rol van de Verwerkingsverantwoordelijke

De Verwerkingsverantwoordelijke verklaart en garandeert:

• De betrokkenen de in art. 13-14 AVG bedoelde informatie te hebben verstrekt;
• De eventuele rechtsgronden (toestemming, overeenkomst, wettelijke verplichting) die nodig zijn voor de verwerking te hebben verkregen;
• Rechtmatige instructies aan de Verwerker te geven;
• De correcte bewaring en wissing van de gegevens na terugtrekking uit het Vezpa-platform te waarborgen.

12. Vertrouwelijkheid

Elke partij houdt alle informatie die zij van de andere partij ter uitvoering van deze DPA ontvangt strikt vertrouwelijk, gedurende de volledige duur van de overeenkomst en de daaropvolgende 5 jaar.

13. Aansprakelijkheid

De aansprakelijkheid van elke partij krachtens art. 82 AVG jegens de betrokkenen blijft bij wet geregeld. In de verhouding tussen de partijen geldt het contractuele aansprakelijkheidsregime dat is vastgelegd in de Servicevoorwaarden (§9-10), onverminderd de dwingende verdeling van art. 82 AVG.

14. Beëindiging van de verwerking

Bij beëindiging van de overeenkomst om welke reden dan ook zal de Verwerker:

1. De Verwerkingsverantwoordelijke de instrumenten ter beschikking stellen om zijn gegevens te exporteren in een gestructureerd formaat (CSV/JSON) gedurende 30 dagen na de beëindiging;
2. Na de 30 dagen, de namens de Verwerkingsverantwoordelijke verwerkte gegevens uit de productiesystemen wissen of anonimiseren;
3. De gegevens uit de back-ups wissen binnen de volgende rotatiecyclus (doorgaans binnen 90 dagen);
4. De gegevens die Vezpa wettelijk verplicht is te bewaren (doorgaans: factureringsgegevens en beveiligingslogs) uitsluitend bewaren gedurende de door de toepasselijke wetgeving opgelegde termijn, met behoud van passende beveiligingsmaatregelen.

15. Wijzigingen

De Verwerker kan deze DPA wijzigen om wetswijzigingen (bv. nieuwe SCC's, maatregelen van de Italiaanse toezichthoudende autoriteit) of organisatorische wijzigingen te verwerken. Wezenlijke wijzigingen worden aan de Verwerkingsverantwoordelijke meegedeeld met een vooraankondiging van minstens 30 dagen. Indien de Verwerkingsverantwoordelijke niet akkoord gaat, kan hij zonder boete opzeggen voor het niet-gebruikte deel van het abonnement.

16. Toepasselijk recht

Deze DPA wordt beheerst door het Italiaanse recht. Voor geschillen is §16 van de Servicevoorwaarden van toepassing.