ACORD DE PRELUCRARE A DATELOR (DPA)

1. Părțile

2. Obiect și durată (art. 28.3 GDPR)

Operatorul îl însărcinează pe Împuternicit să prelucreze date cu caracter personal în numele Operatorului prin intermediul platformei Vezpa. Prelucrarea are durata contractului de abonament dintre părți și încetează odată cu rezilierea acestuia, cu excepția celor prevăzute la §14.

3. Natura, scopul și tipul datelor prelucrate

3.1 Scop

• Gestionarea rezervărilor, a șederii și a check-in-ului/check-out-ului
• Îndeplinirea obligațiilor legale ale Operatorului față de autoritățile publice (AlloggiatiWeb, ISTAT, PayTourist, Feratel/Meldeamt, SES.HOSPEDAJES, NTAK, eVisitor, SEF, UbyPort, eTurizem)
• Comunicarea datelor de rezervare către canalele OTA și channel managerul activate de structură
• Transmiterea de comunicări către oaspete (confirmări, pre-check-in, plăți)
• Procesarea plăților prin Booking Engine sau link Stripe
• Producerea de rapoarte și statistici pentru Operator

3.2 Categorii de persoane vizate

• Oaspeții structurilor și însoțitorii acestora
• Persoane care rezervă în numele altora
• Contacte de urgență eventual furnizate de oaspete

3.3 Tipul de date cu caracter personal prelucrate

• Date de identificare și anagrafice (nume, prenume, data și locul nașterii, cetățenie, gen)
• Documente de identitate (tip, număr, data eliberării, autoritate emitentă, imagine scanată sau fotografică)
• Date textuale extrase din document prin OCR automat
• Date de contact (email, telefon, adresă)
• Date de rezervare și ședere
• Date de plată (gestionate de Stripe, nememorate pe Vezpa)

4. Instrucțiunile Operatorului (art. 28.3.a GDPR)

Împuternicitul prelucrează datele cu caracter personal exclusiv pe baza instrucțiunilor documentate ale Operatorului. Instrucțiunile generale sunt conținute în prezentul DPA, în Politica de confidențialitate, în Informarea GDPR și în Termenii și condițiile. Instrucțiuni specifice pot fi date de Operator prin:

• Configurări în propriul cont (activarea/dezactivarea conectorilor guvernamentali și a OTA, perioada de păstrare a datelor)
• Conectarea unor servicii externe alese de Operator, precum platforma vocală care răspunde la telefonul unității (de ex. Retell, Vapi, ElevenLabs): Împuternicitul transmite serviciului, numai atunci când acesta îl interoghează cu cheia generată de Operator, datele necesare răspunsului (disponibilitate, prețuri, datele unității și, după verificarea numărului de telefon și a numelui de familie, datele și sumele rezervării apelantului) și primește de la acesta mesaje și rezumate ale apelurilor. Serviciul extern este ales, contractat și plătit de Operator: este persoana sa împuternicită, nu un subîmputernicit al Împuternicitului, iar Operatorul răspunde pentru acesta (contract în temeiul art. 28 GDPR, informarea persoanelor vizate, eventuala înregistrare a apelurilor, transferuri în afara UE).
• Comunicare scrisă la info@vezpa.it sau prin PEC la lavezpa@pec.it

Dacă Împuternicitul consideră că o instrucțiune încalcă GDPR sau alte dispoziții aplicabile, îl informează imediat pe Operator.

5. Obligațiile Împuternicitului (art. 28.3.b-h GDPR)

Împuternicitul se angajează să:

1. Confidențialitate: să prelucreze datele în mod confidențial și să se asigure că persoanele autorizate să prelucreze sunt obligate să respecte confidențialitatea;
2. Securitate: să adopte măsurile tehnice și organizatorice din Anexa B, adecvate riscului;
3. Subîmputerniciți: să respecte condițiile de la §6;
4. Asistența Operatorului: să asiste Operatorul în îndeplinirea obligațiilor sale, în special:
   • Răspunsul la cererile persoanelor vizate (art. 15-22 GDPR) în termene care să permită Operatorului să răspundă în cele 30 de zile legale;
   • Notificarea încălcării securității datelor către Operator în termen de 48 de ore de la descoperire (§7);
   • Sprijin pentru DPIA (art. 35) și consultarea prealabilă (art. 36);
   • Demonstrarea conformității prin documentație și, acolo unde se solicită, audit (§9).
5. Restituirea / ștergerea datelor la încheiere, conform §14;
6. Informare: să pună la dispoziția Operatorului toate informațiile necesare pentru a demonstra conformitatea cu prezentul DPA.

6. Subîmputerniciți (art. 28.2 și 28.4 GDPR)

6.1 Autorizare generală

Operatorul autorizează Împuternicitul să numească subîmputerniciții enumerați la vezpa.it/subprocessors și pe cei care vor fi adăugați ulterior conform procedurii descrise aici.

6.2 Preaviz de modificare

Împuternicitul îi comunică Operatorului intenția de a adăuga sau substitui un subîmputernicit cu un preaviz de cel puțin 30 de zile, prin email la adresa înregistrată și/sau anunț în panoul de control. În acest termen, Operatorul se poate opune motivat. În caz de opoziție nesoluționabilă, fiecare parte poate rezilia contractul cu încetarea prelucrării în cauză.

6.3 Obligații față de subîmputerniciți

Împuternicitul impune subîmputerniciților în scris obligații de protecție a datelor echivalente cu cele prevăzute aici și răspunde față de Operator pentru activitatea subîmputerniciților.

7. Încălcarea securității datelor (art. 33 GDPR)

În caz de încălcare a datelor cu caracter personal care afectează datele prelucrate în numele Operatorului, Împuternicitul:

• Notifică Operatorul fără întârziere nejustificată și în orice caz în termen de 48 de ore de la descoperire, cu excepția cazurilor de forță majoră documentate;
• Furnizează informațiile de la art. 33.3 GDPR (natura, categoriile și numărul aproximativ al persoanelor vizate și datelor, consecințe probabile, măsuri adoptate sau propuse);
• Colaborează cu Operatorul în comunicările către persoanele vizate și Autoritatea de supraveghere;
• Documentează incidentul și acțiunile întreprinse.

Notificarea către Operator are loc prin email la adresa înregistrată și PEC, dacă este disponibilă. Operatorul rămâne responsabil pentru notificările externe (Garante, persoane vizate) conform art. 33-34 GDPR.

8. Drepturile persoanelor vizate (art. 28.3.e GDPR)

Dacă o persoană vizată se adresează direct Împuternicitului pentru a-și exercita drepturile privind datele prelucrate în numele Operatorului, Împuternicitul transmite cererea Operatorului fără întârziere și nu răspunde în numele Operatorului cu excepția unor instrucțiuni diferite.

Împuternicitul pune la dispoziția Operatorului, în panoul de control și prin API, funcționalități pentru:

• Exportul datelor unei persoane vizate (acces și portabilitate)
• Rectificare
• Ștergere sau anonimizare
• Restricționarea prelucrării

Pentru cererile care necesită intervenție tehnică manuală, Împuternicitul răspunde în 10 zile lucrătoare de la primirea instrucțiunii Operatorului.

9. Audit (art. 28.3.h GDPR)

Împuternicitul furnizează Operatorului, la cerere, informații și documentație care să demonstreze conformitatea cu prezentul DPA, inclusiv:

• Rezumat al măsurilor de securitate implementate
• Lista subîmputerniciților cu sedii și temei de transfer
• Registrul prelucrărilor (extrase relevante)
• Certificări ale subîmputerniciților (ISO 27001, SOC 2, DPF) când sunt disponibile

9.1 Modalitățile și limitele auditului

• Modalitatea implicită — audit documentar la distanță: Operatorul poate solicita, cu un preaviz scris de cel puțin 30 de zile și cel mult o dată pe an, punerea la dispoziție a documentației de securitate, a certificărilor, a registrelor și a răspunsurilor la chestionare. Aceasta este modalitatea standard.
• Audit la fața locului, la sediul Vezpa: admis exclusiv în caz de încălcare contractuală constatată sau de încălcare confirmată a securității datelor imputabilă Împuternicitului, cu un preaviz scris de cel puțin 30 de zile.
• Durată: fiecare audit nu poate depăși 2 zile lucrătoare, desfășurate în timpul programului de lucru și fără interferențe cu operațiunile obișnuite.
• Auditori terți: admiși numai dacă sunt ținuți de un acord de confidențialitate (NDA) cu Vezpa și nu se află în conflict de interese (nu sunt concurenți direcți ai Împuternicitului).
• Costuri: suportate integral de Operator (inclusiv costurile interne rezonabile ale Împuternicitului), cu excepția unui audit care constată o încălcare imputabilă Împuternicitului, caz în care costurile rămân în sarcina acestuia.
• Confidențialitate: informațiile obținute în cadrul auditului sunt acoperite de o obligație de confidențialitate care se extinde dincolo de durata contractului, cel puțin 5 ani.

10. Transferuri în afara UE (Capitolul V GDPR)

Lista subîmputerniciților cu indicarea sediului și temeiul juridic al transferului este publicată la vezpa.it/subprocessors. Pentru transferurile neacoperite de o decizie de adecvare, Împuternicitul adoptă:

• Clauze Contractuale Standard 2021/914 și măsuri suplimentare acolo unde este necesar (Transfer Impact Assessment documentat);
• Sau alte garanții adecvate prevăzute de art. 46 GDPR.

11. Rolul Operatorului

Operatorul declară și garantează că:

• A furnizat persoanelor vizate informarea prevăzută de art. 13-14 GDPR;
• A dobândit temeiurile juridice necesare pentru prelucrare (consimțământ, contract, obligație legală);
• Va da instrucțiuni legale Împuternicitului;
• Garantează păstrarea și ștergerea corectă a datelor după retragerea de pe platforma Vezpa.

12. Confidențialitate

Fiecare parte păstrează strict confidențiale toate informațiile primite de la cealaltă parte în executarea prezentului DPA, pe toată durata contractului și pentru cei 5 ani următori.

13. Răspundere

Răspunderea fiecărei părți conform art. 82 GDPR față de persoanele vizate rămâne reglementată de lege. În raporturile dintre părți, regimul răspunderii contractuale este cel stabilit în Termenii și condițiile (§9-10), cu menținerea repartizării inderogabile prevăzute de art. 82 GDPR.

14. Încetarea prelucrării

La încetarea contractului din orice motiv, Împuternicitul:

1. Pune la dispoziția Operatorului instrumentele pentru a-și exporta datele în format structurat (CSV/JSON) pentru 30 de zile de la încetare;
2. După cele 30 de zile, șterge sau anonimizează datele prelucrate în numele Operatorului din sistemele de producție;
3. Șterge datele din backup-uri în cadrul ciclului de rotație următor (tipic în 90 de zile);
4. Păstrează datele pe care Vezpa este obligată să le păstreze prin lege (tipic: date de facturare și log-uri de securitate) doar pe termenele impuse de reglementarea aplicabilă, menținând asupra acestora măsuri de securitate adecvate.

15. Modificări

Împuternicitul poate modifica prezentul DPA pentru a prelua evoluțiile legislative (ex. noi SCC, decizii ale autorității italiene Garante) sau modificări organizatorice. Modificările substanțiale sunt comunicate Operatorului cu un preaviz de cel puțin 30 de zile. Dacă Operatorul nu acceptă, poate rezilia fără penalizări pentru partea neutilizată a abonamentului.

16. Legea aplicabilă

Prezentul DPA este reglementat de legea italiană. Pentru litigii se aplică §16 din Termenii și condițiile.