ACORDO DE TRATAMENTO DE DADOS (DPA)

1. Partes

2. Objeto e duração (art. 28.º, n.º 3 RGPD)

O Responsável encarrega o Subcontratante de tratar dados pessoais por sua conta através da plataforma Vezpa. O tratamento tem a duração do contrato de subscrição entre as partes e cessa com a sua resolução, sem prejuízo do disposto no §14.

3. Natureza, finalidade e tipo de dados tratados

3.1 Finalidades

• Gestão das reservas, da estadia e do check-in/check-out
• Cumprimento das obrigações legais do Responsável perante as autoridades públicas (AlloggiatiWeb, ISTAT, PayTourist, Feratel/Meldeamt, SES.HOSPEDAJES, NTAK, eVisitor, SEF, UbyPort, eTurizem)
• Comunicação dos dados de reserva aos canais OTA e ao channel manager ativados pela unidade
• Emissão de comunicações ao hóspede (confirmações, pré-check-in, pagamentos)
• Processamento de pagamentos através do Booking Engine ou de link Stripe
• Produção de relatórios e estatísticas para o Responsável

3.2 Categorias de titulares

• Hóspedes das unidades e seus acompanhantes
• Pessoas que reservam por conta de outras
• Contactos de emergência eventualmente fornecidos pelo hóspede

3.3 Tipo de dados pessoais tratados

• Dados identificativos e biográficos (nome, apelido, data e local de nascimento, nacionalidade, género)
• Documentos de identificação (tipo, número, data de emissão, entidade emissora, imagem digitalizada ou fotografada)
• Dados textuais extraídos do documento através de OCR automático
• Dados de contacto (email, telefone, morada)
• Dados de reserva e estadia
• Dados de pagamento (geridos pela Stripe, não armazenados na Vezpa)

4. Instruções do Responsável (art. 28.º, n.º 3, al. a) RGPD)

O Subcontratante trata os dados pessoais exclusivamente com base em instruções documentadas do Responsável. As instruções gerais estão contidas no presente DPA, na Política de Privacidade, na Informação RGPD e nos Termos de Serviço. Instruções específicas podem ser transmitidas pelo Responsável através de:

• Configurações na própria conta (ativação/desativação de conectores governamentais, OTA, conservação de dados)
• Ligação de serviços externos escolhidos pelo Responsável, como a plataforma de voz que atende o telefone do alojamento (ex. Retell, Vapi, ElevenLabs): o Subcontratante transmite ao serviço, apenas quando este o consulta com a chave gerada pelo Responsável, os dados necessários à resposta (disponibilidade, preços, dados do alojamento e, após verificação do número e do apelido, datas e montantes da reserva de quem liga) e recebe dele mensagens e resumos das chamadas. O serviço externo é escolhido, contratado e pago pelo Responsável: é um subcontratante deste, não um subcontratante ulterior do Subcontratante, e o Responsável responde por ele (contrato nos termos do art. 28.º do RGPD, informação aos titulares dos dados, eventual gravação das chamadas, transferências para fora da UE).
• Comunicação escrita para info@vezpa.it ou por PEC para lavezpa@pec.it

Caso o Subcontratante considere que uma instrução viola o RGPD ou outra disposição aplicável, informa imediatamente o Responsável.

5. Obrigações do Subcontratante (art. 28.º, n.º 3, al. b) a h) RGPD)

O Subcontratante compromete-se a:

1. Confidencialidade: tratar os dados de modo confidencial e garantir que as pessoas autorizadas ao tratamento estejam vinculadas a dever de sigilo;
2. Segurança: adotar as medidas técnicas e organizativas indicadas no Anexo B, adequadas ao risco;
3. Subcontratantes ulteriores: respeitar as condições do §6;
4. Assistência ao Responsável: assistir o Responsável no cumprimento das suas obrigações, em particular:
   • Resposta aos pedidos dos titulares (arts. 15.º a 22.º RGPD) em prazos que permitam ao Responsável responder nos 30 dias legais;
   • Notificação de violação de dados ao Responsável no prazo de 48 horas a contar da descoberta (§7);
   • Apoio à AIPD (art. 35.º) e às consultas prévias (art. 36.º);
   • Demonstração de conformidade através de documentação e, quando solicitado, auditoria (§9).
5. Devolução / apagamento dos dados no termo, conforme previsto no §14;
6. Informação: colocar à disposição do Responsável todas as informações necessárias para demonstrar a conformidade com o presente DPA.

6. Subcontratantes ulteriores (art. 28.º, n.ºs 2 e 4 RGPD)

6.1 Autorização geral

O Responsável autoriza o Subcontratante a nomear os subcontratantes ulteriores listados em vezpa.it/subprocessors e os que venham a ser posteriormente adicionados segundo o procedimento aqui descrito.

6.2 Aviso prévio de alteração

O Subcontratante comunica ao Responsável a intenção de adicionar ou substituir um subcontratante ulterior com pelo menos 30 dias de aviso prévio, através de email para o endereço registado e/ou aviso no painel de controlo. Dentro desse prazo, o Responsável pode opor-se de forma fundamentada. Em caso de oposição não sanável, cada parte pode resolver o contrato com cessação do tratamento em causa.

6.3 Obrigações para com os subcontratantes ulteriores

O Subcontratante impõe aos subcontratantes ulteriores, por escrito, obrigações de proteção de dados equivalentes às aqui previstas, e responde perante o Responsável pela atuação dos subcontratantes ulteriores.

7. Violação de dados pessoais (art. 33.º RGPD)

Em caso de violação de dados pessoais que afete dados tratados por conta do Responsável, o Subcontratante:

• Notifica o Responsável sem atraso injustificado e, em qualquer caso, no prazo de 48 horas a contar da descoberta, salvo casos de força maior documentados;
• Fornece as informações do art. 33.º, n.º 3 RGPD (natureza, categorias e número aproximado de titulares e de dados, consequências prováveis, medidas adotadas ou propostas);
• Colabora com o Responsável nas comunicações aos titulares e à Autoridade de controlo;
• Documenta o incidente e as ações empreendidas.

A notificação ao Responsável efetua-se por email para o endereço registado e por PEC, se disponível. O Responsável permanece responsável pelas notificações externas (autoridade italiana de proteção de dados (Garante), titulares) nos termos dos arts. 33.º e 34.º RGPD.

8. Direitos dos titulares (art. 28.º, n.º 3, al. e) RGPD)

Se um titular se dirigir diretamente ao Subcontratante para exercer direitos relativos a dados tratados por conta do Responsável, o Subcontratante encaminha o pedido ao Responsável sem demora e não responde por conta do Responsável, salvo instruções em contrário.

O Subcontratante disponibiliza ao Responsável, no painel de controlo e através de API, funcionalidades para:

• Exportação dos dados de um titular (acesso e portabilidade)
• Retificação
• Apagamento ou anonimização
• Limitação do tratamento

Para pedidos que exijam intervenção técnica manual, o Subcontratante responde no prazo de 10 dias úteis a contar da receção da instrução do Responsável.

9. Auditoria (art. 28.º, n.º 3, al. h) RGPD)

O Subcontratante fornece ao Responsável, a pedido, informações e documentação que demonstrem a conformidade com o presente DPA, incluindo:

• Resumo das medidas de segurança implementadas
• Lista dos subcontratantes ulteriores com sedes e fundamentos de transferência
• Registo das atividades de tratamento (extratos relevantes)
• Certificações dos subcontratantes ulteriores (ISO 27001, SOC 2, DPF) quando disponíveis

9.1 Modalidades e limites da auditoria

• Modalidade predefinida - auditoria documental remota: o Responsável pode solicitar, com aviso prévio escrito de pelo menos 30 dias e com uma frequência máxima de uma vez por ano, a partilha de documentação de segurança, certificações, registos e respostas a questionários. Esta é a modalidade normal.
• Auditoria presencial na sede da Vezpa: admitida exclusivamente em caso de violação contratual comprovada ou de violação de dados confirmada imputável ao Subcontratante, com aviso prévio escrito de pelo menos 30 dias.
• Duração: cada auditoria não pode exceder 2 dias úteis, realizados durante o horário de trabalho e sem interferir com as operações normais.
• Auditores terceiros: admitidos apenas se estiverem vinculados por um acordo de confidencialidade com a Vezpa e não tiverem conflitos de interesses (não sendo concorrentes diretos do Subcontratante).
• Custos: integralmente a cargo do Responsável (incluindo os custos internos razoáveis do Subcontratante), salvo se a auditoria apurar uma violação imputável ao Subcontratante, caso em que os custos ficam a cargo deste último.
• Confidencialidade: as informações obtidas na auditoria estão abrangidas por um dever de confidencialidade que se prolonga para além da duração do contrato por pelo menos 5 anos.

10. Transferências fora da UE (Capítulo V do RGPD)

A lista dos subcontratantes ulteriores com indicação da sede e do fundamento jurídico da transferência está publicada em vezpa.it/subprocessors. Para as transferências não abrangidas por decisão de adequação, o Subcontratante adota:

• Cláusulas Contratuais-Tipo 2021/914 e medidas suplementares sempre que necessárias (avaliação documentada do impacto da transferência);
• Ou outras garantias adequadas previstas no art. 46.º RGPD.

11. Papel do Responsável

O Responsável declara e garante que:

• Forneceu aos titulares a informação prevista nos arts. 13.º e 14.º RGPD;
• Obteve os eventuais fundamentos jurídicos (consentimento, contrato, obrigação legal) necessários ao tratamento;
• Transmite instruções lícitas ao Subcontratante;
• Garante a correta conservação e apagamento dos dados após a saída da plataforma Vezpa.

12. Confidencialidade

Cada parte mantém estritamente confidenciais todas as informações recebidas da outra parte em execução do presente DPA, durante toda a duração do contrato e nos 5 anos subsequentes.

13. Responsabilidade

A responsabilidade de cada parte nos termos do art. 82.º RGPD perante os titulares permanece regulada pela lei. Nas relações entre as partes, o regime de responsabilidade contratual é o estabelecido nos Termos de Serviço (§§9-10), sem prejuízo da repartição inderrogável prevista no art. 82.º RGPD.

14. Cessação do tratamento

Na cessação do contrato por qualquer causa, o Subcontratante:

1. Disponibiliza ao Responsável os instrumentos para exportar os seus dados em formato estruturado (CSV/JSON) durante 30 dias a contar da cessação;
2. Decorridos os 30 dias, apaga ou anonimiza os dados tratados por conta do Responsável nos sistemas de produção;
3. Apaga os dados das cópias de segurança dentro do ciclo de rotação seguinte (tipicamente, no prazo de 90 dias);
4. Conserva os dados que a Vezpa está obrigada a conservar por lei (tipicamente: dados de faturação e registos de segurança) apenas pelos prazos impostos pela legislação aplicável, mantendo sobre os mesmos medidas de segurança adequadas.

15. Alterações

O Subcontratante pode alterar o presente DPA para acolher evoluções regulamentares (ex. novas CCT, deliberações da autoridade italiana de proteção de dados (Garante)) ou variações organizativas. As alterações substanciais são comunicadas ao Responsável com pelo menos 30 dias de aviso prévio. Caso o Responsável não aceite, pode resolver o contrato sem penalidade pela parte não fruída da subscrição.

16. Lei aplicável

O presente DPA é regulado pela lei italiana. Para os litígios aplica-se o §16 dos Termos de Serviço.