UMOWA POWIERZENIA PRZETWARZANIA DANYCH (DPA)

1. Strony

2. Przedmiot i okres (art. 28 ust. 3 RODO)

Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych w imieniu Administratora za pośrednictwem platformy Vezpa. Przetwarzanie trwa przez okres obowiązywania umowy subskrypcji między stronami i kończy się wraz z jej rozwiązaniem, z zastrzeżeniem §14.

3. Charakter, cele i rodzaj przetwarzanych danych

3.1 Cele

• Zarządzanie rezerwacjami, pobytem i zameldowaniem/wymeldowaniem
• Wypełnianie obowiązków prawnych Administratora wobec organów publicznych (AlloggiatiWeb, ISTAT, PayTourist, Feratel/Meldeamt, SES.HOSPEDAJES, NTAK, eVisitor, SEF, UbyPort, eTurizem)
• Przekazywanie danych rezerwacji do kanałów OTA i channel managera aktywowanych przez obiekt
• Wysyłanie komunikatów do gości (potwierdzenia, pre-check-in, płatności)
• Przetwarzanie płatności przez silnik rezerwacji lub link Stripe
• Generowanie raportów i statystyk dla Administratora

3.2 Kategorie osób, których dane dotyczą

• Goście obiektów i ich towarzysze
• Osoby rezerwujące w imieniu innych
• Kontakty awaryjne ewentualnie podane przez gościa

3.3 Rodzaj przetwarzanych danych osobowych

• Dane identyfikacyjne i osobowe (imię, nazwisko, data i miejsce urodzenia, obywatelstwo, płeć)
• Dokumenty tożsamości (rodzaj, numer, data wydania, organ wydający, obraz zeskanowany lub sfotografowany)
• Dane tekstowe wyodrębnione z dokumentu poprzez automatyczny OCR
• Dane kontaktowe (e-mail, telefon, adres)
• Dane rezerwacji i pobytu
• Dane płatnicze (obsługiwane przez Stripe, nieprzechowywane przez Vezpę)

4. Polecenia Administratora (art. 28 ust. 3 lit. a RODO)

Podmiot przetwarzający przetwarza dane osobowe wyłącznie na podstawie udokumentowanych poleceń Administratora. Ogólne polecenia zawarte są w niniejszej DPA, w Polityce prywatności, w Informacji RODO oraz w Regulaminie. Szczegółowe polecenia mogą być wydawane przez Administratora poprzez:

• Konfigurację na własnym koncie (włączanie/wyłączanie łączników rządowych, OTA, okresy przechowywania)
• Podłączenie usług zewnętrznych wybranych przez Administratora, takich jak platforma głosowa odbierająca telefon obiektu (np. Retell, Vapi, ElevenLabs): Podmiot przetwarzający przekazuje usłudze, wyłącznie gdy odpytuje go ona kluczem wygenerowanym przez Administratora, dane niezbędne do odpowiedzi (dostępność, ceny, dane obiektu oraz, po weryfikacji numeru telefonu i nazwiska, daty i kwoty rezerwacji osoby dzwoniącej) i otrzymuje od niej wiadomości oraz podsumowania rozmów. Usługę zewnętrzną wybiera, zamawia i opłaca Administrator: jest ona jego podmiotem przetwarzającym, a nie dalszym podmiotem przetwarzającym Podmiotu przetwarzającego, i Administrator za nią odpowiada (umowa zgodnie z art. 28 RODO, informacja dla osób, których dane dotyczą, ewentualne nagrywanie rozmów, przekazywanie danych poza UE).
• Pisemną wiadomość na adres info@vezpa.it lub przez PEC na adres lavezpa@pec.it

Jeśli Podmiot przetwarzający uzna, że polecenie narusza RODO lub inne obowiązujące przepisy, niezwłocznie informuje o tym Administratora.

5. Obowiązki Podmiotu przetwarzającego (art. 28 ust. 3 lit. b-h RODO)

Podmiot przetwarzający zobowiązuje się:

1. Poufność: przetwarzać dane w sposób poufny i zapewnić, że osoby upoważnione do przetwarzania są zobowiązane do zachowania poufności;
2. Bezpieczeństwo: przyjąć środki techniczne i organizacyjne wymienione w Załączniku B, adekwatne do ryzyka;
3. Dalsze podmioty przetwarzające: przestrzegać warunków §6;
4. Pomoc Administratorowi: pomagać Administratorowi w wypełnianiu jego obowiązków, w szczególności:
   • Odpowiedź na wnioski osób, których dane dotyczą (art. 15-22 RODO), w czasie umożliwiającym Administratorowi odpowiedź w ustawowym terminie 30 dni;
   • Powiadomienie Administratora o naruszeniu ochrony danych w ciągu 48 godzin od wykrycia (§7);
   • Wsparcie przy DPIA (art. 35) i uprzednich konsultacjach (art. 36);
   • Wykazanie zgodności poprzez dokumentację i, gdy jest to wymagane, audyt (§9).
5. Zwrot / usunięcie danych po zakończeniu, zgodnie z §14;
6. Informacja: udostępnić Administratorowi wszystkie informacje niezbędne do wykazania zgodności z niniejszą DPA.

6. Dalsze podmioty przetwarzające (art. 28 ust. 2 i 4 RODO)

6.1 Ogólne upoważnienie

Administrator upoważnia Podmiot przetwarzający do powołania dalszych podmiotów przetwarzających wymienionych na vezpa.it/subprocessors oraz tych, które zostaną następnie dodane zgodnie z opisaną tu procedurą.

6.2 Zawiadomienie o zmianie

Podmiot przetwarzający komunikuje Administratorowi zamiar dodania lub zastąpienia dalszego podmiotu przetwarzającego z co najmniej 30-dniowym wyprzedzeniem, e-mailem na zarejestrowany adres i/lub komunikatem w panelu. W tym terminie Administrator może zgłosić uzasadniony sprzeciw. W przypadku sprzeciwu, którego nie da się rozstrzygnąć, każda ze stron może wypowiedzieć umowę, co kończy przetwarzanie objęte sprzeciwem.

6.3 Obowiązki wobec dalszych podmiotów przetwarzających

Podmiot przetwarzający nakłada na dalsze podmioty przetwarzające na piśmie obowiązki ochrony danych równoważne przewidzianym w niniejszej DPA i odpowiada wobec Administratora za działania dalszych podmiotów przetwarzających.

7. Naruszenie ochrony danych (art. 33 RODO)

W przypadku naruszenia ochrony danych osobowych dotyczącego danych przetwarzanych w imieniu Administratora, Podmiot przetwarzający:

• Powiadamia Administratora bez nieuzasadnionej zwłoki, a w każdym razie w ciągu 48 godzin od wykrycia, z wyjątkiem udokumentowanych przypadków siły wyższej;
• Dostarcza informacje z art. 33 ust. 3 RODO (charakter, kategorie i przybliżona liczba osób, których dane dotyczą, oraz danych, prawdopodobne konsekwencje, środki podjęte lub proponowane);
• Współpracuje z Administratorem przy zawiadomieniach kierowanych do osób, których dane dotyczą, i do organu nadzorczego;
• Dokumentuje incydent i podjęte działania.

Powiadomienie Administratora następuje e-mailem na zarejestrowany adres i przez PEC, jeśli jest dostępny. Administrator pozostaje odpowiedzialny za powiadomienia zewnętrzne (organ ochrony danych, osoby, których dane dotyczą) zgodnie z art. 33-34 RODO.

8. Prawa osób, których dane dotyczą (art. 28 ust. 3 lit. e RODO)

Jeśli osoba, której dane dotyczą, zwraca się bezpośrednio do Podmiotu przetwarzającego w celu wykonania praw dotyczących danych przetwarzanych w imieniu Administratora, Podmiot przetwarzający przekazuje wniosek Administratorowi bez zwłoki i nie odpowiada w imieniu Administratora, chyba że wydano inne polecenia.

Podmiot przetwarzający udostępnia Administratorowi w panelu i przez API funkcje do:

• Eksportu danych osoby, której dane dotyczą (dostęp i przenoszenie)
• Sprostowania
• Usunięcia lub anonimizacji
• Ograniczenia przetwarzania

Dla wniosków wymagających ręcznej interwencji technicznej Podmiot przetwarzający odpowiada w ciągu 10 dni roboczych od otrzymania polecenia Administratora.

9. Audyt (art. 28 ust. 3 lit. h RODO)

Podmiot przetwarzający dostarcza Administratorowi na żądanie informacje i dokumentację potwierdzającą zgodność z niniejszą DPA, w tym:

• Podsumowanie wdrożonych środków bezpieczeństwa
• Lista dalszych podmiotów przetwarzających z siedzibami i podstawami przekazywania
• Rejestr czynności przetwarzania (istotne wyciągi)
• Certyfikaty dalszych podmiotów przetwarzających (ISO 27001, SOC 2, DPF), o ile są dostępne

9.1 Sposób i granice audytu

• Tryb domyślny — zdalny audyt dokumentacji: Administrator może zażądać, z pisemnym wyprzedzeniem co najmniej 30 dni i nie częściej niż raz w roku, udostępnienia dokumentacji bezpieczeństwa, certyfikatów, rejestrów i odpowiedzi na kwestionariusze. Jest to tryb standardowy.
• Audyt na miejscu w siedzibie Vezpy: dopuszczalny wyłącznie w przypadku stwierdzonego naruszenia umowy lub potwierdzonego naruszenia ochrony danych, za które odpowiada Podmiot przetwarzający, z pisemnym wyprzedzeniem co najmniej 30 dni.
• Czas trwania: każdy audyt nie może przekroczyć 2 dni roboczych, odbywa się w godzinach pracy i bez zakłócania zwykłej działalności.
• Audytorzy zewnętrzni: dopuszczeni wyłącznie, jeśli są związani z Vezpą umową o zachowaniu poufności (NDA) i nie pozostają w konflikcie interesów (nie są bezpośrednimi konkurentami Podmiotu przetwarzającego).
• Koszty: w całości ponosi Administrator (w tym uzasadnione koszty wewnętrzne Podmiotu przetwarzającego), chyba że audyt stwierdzi naruszenie, za które odpowiada Podmiot przetwarzający: w takim przypadku koszty ponosi ten ostatni.
• Poufność: informacje uzyskane podczas audytu są objęte obowiązkiem zachowania poufności obowiązującym także po zakończeniu umowy, przez co najmniej 5 lat.

10. Przekazywanie poza UE (Rozdział V RODO)

Lista dalszych podmiotów przetwarzających ze wskazaniem siedziby i podstawy prawnej przekazywania jest publikowana na vezpa.it/subprocessors. W przypadku przekazywania nieobjętego decyzją o adekwatności, Podmiot przetwarzający stosuje:

• Standardowe klauzule umowne 2021/914 i środki uzupełniające, gdy są konieczne (udokumentowany Transfer Impact Assessment);
• Lub inne odpowiednie zabezpieczenia przewidziane w art. 46 RODO.

11. Rola Administratora

Administrator oświadcza i zapewnia, że:

• Dostarczył osobom, których dane dotyczą, informację przewidzianą w art. 13-14 RODO;
• Zapewnił ewentualne podstawy prawne (zgoda, umowa, obowiązek prawny) niezbędne do przetwarzania;
• Wydaje Podmiotowi przetwarzającemu polecenia zgodne z prawem;
• Zapewnia prawidłowe przechowywanie i usuwanie danych po wycofaniu z platformy Vezpa.

12. Poufność

Każda ze stron utrzymuje w ścisłej tajemnicy wszystkie informacje otrzymane od drugiej strony w wykonaniu niniejszej DPA, przez cały okres obowiązywania umowy i przez kolejne 5 lat.

13. Odpowiedzialność

Odpowiedzialność każdej strony zgodnie z art. 82 RODO wobec osób, których dane dotyczą, pozostaje regulowana przez prawo. W relacjach między stronami system odpowiedzialności umownej jest ustalony w Regulaminie (§9-10), przy zachowaniu bezwzględnie obowiązującego podziału przewidzianego w art. 82 RODO.

14. Zakończenie przetwarzania

Z chwilą zakończenia umowy z jakiejkolwiek przyczyny Podmiot przetwarzający:

1. Udostępnia Administratorowi narzędzia do eksportu własnych danych w ustrukturyzowanym formacie (CSV/JSON) przez 30 dni od zakończenia;
2. Po upływie 30 dni usuwa lub anonimizuje dane przetwarzane w imieniu Administratora z systemów produkcyjnych;
3. Usuwa dane z kopii zapasowych w następnym cyklu rotacji (zazwyczaj w ciągu 90 dni);
4. Przechowuje dane, które Vezpa jest zobowiązana przechowywać na mocy prawa (zazwyczaj: dane do fakturowania i logi bezpieczeństwa) wyłącznie przez okresy narzucone obowiązującymi przepisami, stosując wobec nich odpowiednie środki bezpieczeństwa.

15. Zmiany

Podmiot przetwarzający może modyfikować niniejszą DPA w celu uwzględnienia zmian prawnych (np. nowych SCC, decyzji organu ochrony danych) lub zmian organizacyjnych. Istotne zmiany są komunikowane Administratorowi z co najmniej 30-dniowym wyprzedzeniem. Jeśli Administrator ich nie akceptuje, może wypowiedzieć umowę bez kar za niewykorzystany okres subskrypcji.

16. Prawo właściwe

Niniejsza DPA podlega prawu włoskiemu. W sprawach spornych stosuje się §16 Regulaminu.