DATABEHANDLERAVTALE (DPA)

1. Parter

2. Gjenstand og varighet (art. 28.3 GDPR)

Behandlingsansvarlig pålegger Databehandleren å behandle personopplysninger på sine vegne gjennom Vezpa-plattformen. Behandlingen varer like lenge som abonnementsavtalen mellom partene og opphører når denne opphører, med forbehold for det som er fastsatt i §14.

3. Behandlingens art og formål og typer data som behandles

3.1 Formål

• Administrasjon av bestillinger, opphold og innsjekk/utsjekk
• Oppfyllelse av Behandlingsansvarliges rettslige forpliktelser overfor offentlige myndigheter (AlloggiatiWeb, ISTAT, PayTourist, Feratel/Meldeamt, SES.HOSPEDAJES, NTAK, eVisitor, SEF, UbyPort, eTurizem)
• Formidling av bestillingsdata til OTA-kanalene og channel manageren aktivert av innkvarteringsstedet
• Utsending av meldinger til gjesten (bekreftelser, pre-check-in, betalinger)
• Behandling av betalinger via Booking Engine eller Stripe-lenke
• Utarbeidelse av rapporter og statistikk for Behandlingsansvarlig

3.2 Kategorier av registrerte

• Gjester på innkvarteringsstedene og deres reisefølge
• Personer som bestiller på vegne av andre
• Nødkontakter eventuelt oppgitt av gjesten

3.3 Typer personopplysninger som behandles

• Identifikasjons- og personopplysninger (fornavn, etternavn, fødselsdato og -sted, statsborgerskap, kjønn)
• Legitimasjonsdokumenter (type, nummer, utstedelsesdato, utsteder, skannet eller fotografert bilde)
• Tekstdata hentet fra dokumentet via automatisk OCR
• Kontaktopplysninger (e-post, telefon, adresse)
• Bestillings- og oppholdsdata
• Betalingsopplysninger (behandlet av Stripe, ikke lagret hos Vezpa)

4. Behandlingsansvarliges instrukser (art. 28.3.a GDPR)

Databehandler behandler personopplysninger utelukkende på grunnlag av dokumenterte instrukser fra Behandlingsansvarlig. Generelle instrukser finnes i denne DPA-en, i Personvernerklæringen, i GDPR-erklæringen og i Tjenestevilkårene. Spesifikke instrukser kan gis av Behandlingsansvarlig gjennom:

• Konfigurasjoner på egen konto (aktivering/deaktivering av myndighetskonnektorer, OTA, oppbevaringstid)
• Tilkobling av eksterne tjenester valgt av Behandlingsansvarlig, for eksempel taleplattformen som besvarer overnattingsstedets telefon (f.eks. Retell, Vapi, ElevenLabs): Databehandler overfører til tjenesten, bare når den spør med nøkkelen generert av Behandlingsansvarlig, dataene som trengs for svaret (tilgjengelighet, priser, opplysninger om overnattingsstedet og, etter kontroll av telefonnummer og etternavn, datoer og beløp for innringerens bestilling), og mottar meldinger og sammendrag av samtalene fra den. Den eksterne tjenesten velges, avtales og betales av Behandlingsansvarlig: den er dennes databehandler, ikke en underdatabehandler for Databehandler, og Behandlingsansvarlig er ansvarlig for den (avtale etter GDPR art. 28, informasjon til de registrerte, eventuelt opptak av samtalene, overføringer utenfor EU/EØS).
• Skriftlig melding til info@vezpa.it eller via PEC til lavezpa@pec.it

Dersom Databehandler mener at en instruks bryter med GDPR eller andre gjeldende bestemmelser, informerer den Behandlingsansvarlig umiddelbart.

5. Databehandlerens forpliktelser (art. 28.3.b-h GDPR)

Databehandler forplikter seg til å:

1. Fortrolighet: behandle data konfidensielt og sikre at personer som er autorisert til behandlingen er underlagt taushetsplikt;
2. Sikkerhet: iverksette de tekniske og organisatoriske tiltakene i Vedlegg B, egnet i forhold til risikoen;
3. Underdatabehandlere: overholde vilkårene i §6;
4. Bistand til Behandlingsansvarlig: bistå Behandlingsansvarlig i oppfyllelsen av dennes forpliktelser, spesielt:
   • Svar på registrertes henvendelser (art. 15-22 GDPR) innen frister som lar Behandlingsansvarlig svare innen lovens 30 dager;
   • Varsling av brudd på personopplysningssikkerheten til Behandlingsansvarlig innen 48 timer fra oppdagelse (§7);
   • Støtte til DPIA (art. 35) og forhåndskonsultasjoner (art. 36);
   • Påvisning av samsvar gjennom dokumentasjon og, der det kreves, revisjon (§9).
5. Tilbakelevering / sletting av data ved opphør, som fastsatt i §14;
6. Informasjon: stille til rådighet for Behandlingsansvarlig all informasjon som er nødvendig for å påvise samsvar med denne DPA-en.

6. Underdatabehandlere (art. 28.2 og 28.4 GDPR)

6.1 Generell autorisasjon

Behandlingsansvarlig autoriserer Databehandler til å utnevne underdatabehandlerne oppført på vezpa.it/subprocessors og de som senere legges til etter prosedyren beskrevet her.

6.2 Endringsvarsel

Databehandler varsler Behandlingsansvarlig om intensjonen om å legge til eller erstatte en underdatabehandler med minst 30 dagers varsel, via e-post til registrert adresse og/eller melding i dashbordet. Innen denne fristen kan Behandlingsansvarlig fremme en begrunnet innsigelse. Ved en innsigelse som ikke kan løses, kan hver part si opp avtalen, og den berørte behandlingen opphører.

6.3 Forpliktelser overfor underdatabehandlere

Databehandler pålegger skriftlig underdatabehandlerne forpliktelser om databeskyttelse tilsvarende de her fastsatte, og er ansvarlig overfor Behandlingsansvarlig for underdatabehandlernes virksomhet.

7. Brudd på personopplysningssikkerheten (art. 33 GDPR)

Ved brudd på personopplysningssikkerheten som berører data behandlet på vegne av Behandlingsansvarlig, skal Databehandler:

• Varsle Behandlingsansvarlig uten ugrunnet opphold og uansett innen 48 timer fra oppdagelse, med mindre det foreligger dokumentert force majeure;
• Gi informasjonen i art. 33.3 GDPR (bruddets art, kategorier og omtrentlig antall registrerte og data, sannsynlige konsekvenser, iverksatte eller foreslåtte tiltak);
• Samarbeide med Behandlingsansvarlig i kommunikasjonen til de registrerte og til tilsynsmyndigheten;
• Dokumentere hendelsen og de iverksatte tiltakene.

Varsel til Behandlingsansvarlig skjer via e-post til registrert adresse og PEC, hvis tilgjengelig. Behandlingsansvarlig forblir ansvarlig for eksterne varsler (tilsynsmyndigheten, registrerte) i henhold til art. 33-34 GDPR.

8. De registrertes rettigheter (art. 28.3.e GDPR)

Dersom en registrert henvender seg direkte til Databehandler for å utøve rettigheter knyttet til data behandlet på vegne av Behandlingsansvarlig, videresender Databehandler henvendelsen til Behandlingsansvarlig uten forsinkelse og svarer ikke på vegne av Behandlingsansvarlig med mindre annet er instruert.

Databehandler stiller til Behandlingsansvarliges rådighet, i dashbordet og via API, funksjoner for:

• Eksport av en registrerts data (innsyn og portabilitet)
• Retting
• Sletting eller anonymisering
• Begrensning av behandlingen

For henvendelser som krever manuell teknisk behandling, svarer Databehandler innen 10 arbeidsdager fra mottak av Behandlingsansvarliges instruks.

9. Revisjon (art. 28.3.h GDPR)

Databehandler gir Behandlingsansvarlig, på forespørsel, informasjon og dokumentasjon som viser samsvar med denne DPA-en, herunder:

• Sammendrag av iverksatte sikkerhetstiltak
• Liste over underdatabehandlere med forretningssteder og overføringsgrunnlag
• Register over behandlingsaktiviteter (relevante utdrag)
• Underdatabehandlernes sertifiseringer (ISO 27001, SOC 2, DPF) der tilgjengelig

9.1 Former for og grenser for revisjonen

• Standardform — dokumentbasert fjernrevisjon: Behandlingsansvarlig kan, med minst 30 dagers skriftlig varsel og høyst én gang i året, be om deling av sikkerhetsdokumentasjon, sertifiseringer, registre og svar på spørreskjemaer. Dette er standardformen.
• Revisjon på stedet hos Vezpa: tillatt utelukkende ved fastslått kontraktsbrudd eller bekreftet brudd på personopplysningssikkerheten som kan tilskrives Databehandler, med minst 30 dagers skriftlig varsel.
• Varighet: hver revisjon kan ikke overstige 2 arbeidsdager, gjennomført i arbeidstiden og uten å forstyrre den ordinære driften.
• Eksterne revisorer: godtas bare hvis de er bundet av en taushetsavtale (NDA) med Vezpa og ikke har interessekonflikt (ikke direkte konkurrenter av Databehandler).
• Kostnader: dekkes i sin helhet av Behandlingsansvarlig (inkludert Databehandlers rimelige interne kostnader), med mindre revisjonen fastslår et brudd som kan tilskrives Databehandler; i så fall dekkes kostnadene av denne.
• Konfidensialitet: opplysninger som innhentes under revisjonen, er underlagt en taushetsplikt som gjelder i minst 5 år utover avtalens varighet.

10. Overføring utenfor EU (GDPR kapittel V)

Listen over underdatabehandlere med angivelse av forretningssted og rettslig grunnlag for overføringen er publisert på vezpa.it/subprocessors. For overføringer som ikke dekkes av tilstrekkelighetsbeslutning, iverksetter Databehandler:

• Standard personvernbestemmelser 2021/914 og supplerende tiltak der det er nødvendig (dokumentert Transfer Impact Assessment);
• Eller andre egnede garantier fastsatt i art. 46 GDPR.

11. Behandlingsansvarliges rolle

Behandlingsansvarlig erklærer og garanterer å:

• Ha gitt de registrerte informasjonen etter art. 13-14 GDPR;
• Ha innhentet eventuelle rettslige grunnlag (samtykke, avtale, rettslig forpliktelse) som er nødvendige for behandlingen;
• Gi lovlige instrukser til Databehandler;
• Sikre korrekt oppbevaring og sletting av data etter at vedkommende har trukket seg fra Vezpa-plattformen.

12. Konfidensialitet

Hver part opprettholder streng konfidensialitet om all informasjon mottatt fra den andre parten i utførelsen av denne DPA-en, for hele avtalens varighet og de 5 påfølgende årene.

13. Ansvar

Hver parts ansvar etter art. 82 GDPR overfor de registrerte forblir regulert av loven. I forholdet mellom partene er kontraktsrettslig ansvar det som er fastsatt i Tjenestevilkårene (§9-10), med forbehold for den ufravikelige fordelingen fastsatt i art. 82 GDPR.

14. Opphør av behandlingen

Ved opphør av avtalen av enhver grunn skal Databehandler:

1. Stille til Behandlingsansvarliges rådighet verktøy for eksport av egne data i strukturert format (CSV/JSON) i 30 dager fra opphøret;
2. Etter 30 dager slette eller anonymisere data behandlet på vegne av Behandlingsansvarlig fra produksjonssystemene;
3. Slette data fra sikkerhetskopiene innen neste rotasjonssyklus (typisk innen 90 dager);
4. Oppbevare data som Vezpa er forpliktet til å oppbevare ved lov (typisk: faktureringsdata og sikkerhetslogger) kun så lenge det kreves av gjeldende regelverk, og opprettholde egnede sikkerhetstiltak for disse.

15. Endringer

Databehandler kan endre denne DPA-en for å ta høyde for regelverksendringer (f.eks. nye SCC, vedtak fra tilsynsmyndigheten) eller organisatoriske endringer. Vesentlige endringer meddeles Behandlingsansvarlig med minst 30 dagers varsel. Dersom Behandlingsansvarlig ikke aksepterer, kan vedkommende si opp avtalen uten gebyr for den ubrukte delen av abonnementet.

16. Gjeldende lov

Denne DPA-en er regulert av italiensk lov. For tvister gjelder §16 i Tjenestevilkårene.