СОГЛАШЕНИЕ ОБ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ (DPA)

1. Стороны

2. Предмет и срок (ст. 28.3 GDPR)

Контролёр поручает Обработчику обрабатывать персональные данные от его имени через платформу Vezpa. Срок обработки равен сроку действия договора подписки между сторонами; обработка прекращается с его расторжением, за исключением положений §14.

3. Характер, цели и виды обрабатываемых данных

3.1 Цели

• Управление бронированиями, проживанием и заездом/выездом
• Выполнение правовых обязательств Контролёра перед государственными органами (AlloggiatiWeb, ISTAT, PayTourist, Feratel/Meldeamt, SES.HOSPEDAJES, NTAK, eVisitor, SEF, UbyPort, eTurizem)
• Передача данных бронирования каналам OTA и менеджеру каналов, активированным объектом размещения
• Отправка сообщений гостю (подтверждения, предварительная регистрация заезда, платежи)
• Обработка платежей через Booking Engine или ссылку Stripe
• Подготовка отчётов и статистики для Контролёра

3.2 Категории субъектов данных

• Гости объектов размещения и их сопровождающие
• Лица, бронирующие от имени других
• Контактные лица для экстренных случаев, при необходимости предоставленные гостем

3.3 Виды обрабатываемых персональных данных

• Идентификационные и личные данные (имя, фамилия, дата и место рождения, гражданство, пол)
• Документы, удостоверяющие личность (тип, номер, дата выдачи, выдающий орган, отсканированное или сфотографированное изображение)
• Текстовые данные, извлечённые из документа автоматическим OCR
• Контактные данные (электронная почта, телефон, адрес)
• Данные о бронировании и проживании
• Платёжные данные (обрабатываются Stripe, не хранятся в Vezpa)

4. Инструкции Контролёра (ст. 28.3.a GDPR)

Обработчик обрабатывает персональные данные исключительно на основании задокументированных инструкций Контролёра. Общие инструкции содержатся в настоящем DPA, в Политике конфиденциальности, в Информации согласно GDPR и в Условиях использования. Специальные инструкции могут быть даны Контролёром посредством:

• Настроек в собственной учётной записи (активация/деактивация государственных коннекторов, OTA, сроки хранения)
• Подключения внешних сервисов, выбранных Контролёром, например голосовой платформы, которая отвечает на телефон объекта (например, Retell, Vapi, ElevenLabs): Обработчик передаёт сервису, только когда тот обращается к нему с ключом, созданным Контролёром, данные, необходимые для ответа (наличие мест, цены, данные объекта и, после проверки номера и фамилии, даты и суммы бронирования звонящего), и получает от него сообщения и сводки звонков. Внешний сервис выбирает, заключает с ним договор и оплачивает Контролёр: это его обработчик, а не субобработчик Обработчика, и Контролёр несёт за него ответственность (договор согласно ст. 28 GDPR, информирование субъектов данных, возможная запись звонков, передача за пределы ЕС).
• Письменного сообщения на info@vezpa.it или по PEC на адрес lavezpa@pec.it

Если Обработчик считает, что какая-либо инструкция нарушает GDPR или иные применимые нормы, он незамедлительно информирует Контролёра.

5. Обязанности Обработчика (ст. 28.3.b-h GDPR)

Обработчик обязуется:

1. Конфиденциальность: обрабатывать данные конфиденциально и обеспечивать, чтобы лица, уполномоченные на обработку, были связаны обязательством о конфиденциальности;
2. Безопасность: принимать технические и организационные меры согласно Приложению Б, соразмерные риску;
3. Субобработчики: соблюдать условия §6;
4. Содействие Контролёру: оказывать Контролёру содействие в выполнении его обязанностей, в частности:
   • Ответ на запросы субъектов данных (ст. 15-22 GDPR) в сроки, позволяющие Контролёру ответить в установленные законом 30 дней;
   • Уведомление Контролёра о нарушении безопасности данных в течение 48 часов с момента обнаружения (§7);
   • Содействие в DPIA (ст. 35) и предварительных консультациях (ст. 36);
   • Подтверждение соответствия посредством документации и, по запросу, аудита (§9).
5. Возврат / удаление данных по окончании, как предусмотрено в §14;
6. Информирование: предоставлять Контролёру всю информацию, необходимую для подтверждения соответствия настоящему DPA.

6. Субобработчики (ст. 28.2 и 28.4 GDPR)

6.1 Общее разрешение

Контролёр разрешает Обработчику привлекать субобработчиков, перечисленных на vezpa.it/subprocessors, и тех, которые будут добавлены впоследствии в соответствии с описанной здесь процедурой.

6.2 Предварительное уведомление об изменениях

Обработчик сообщает Контролёру о намерении добавить или заменить субобработчика не менее чем за 30 дней, по электронной почте на зарегистрированный адрес и/или сообщением в панели управления. В течение этого срока Контролёр может мотивированно возразить. Если возражение урегулировать не удаётся, каждая сторона может отказаться от договора с прекращением затронутой обработки.

6.3 Обязательства в отношении субобработчиков

Обработчик возлагает на субобработчиков письменные обязательства по защите данных, эквивалентные предусмотренным здесь, и несёт ответственность перед Контролёром за действия субобработчиков.

7. Нарушение безопасности данных (ст. 33 GDPR)

В случае нарушения безопасности персональных данных, затрагивающего данные, обрабатываемые от имени Контролёра, Обработчик:

• Уведомляет Контролёра без неоправданной задержки и в любом случае в течение 48 часов с момента обнаружения, за исключением документально подтверждённых обстоятельств непреодолимой силы;
• Предоставляет информацию, предусмотренную ст. 33.3 GDPR (характер, категории и приблизительное количество затронутых субъектов и данных, вероятные последствия, принятые или предложенные меры);
• Сотрудничает с Контролёром при уведомлении субъектов и надзорного органа;
• Документирует инцидент и принятые меры.

Уведомление Контролёра осуществляется по электронной почте на зарегистрированный адрес и PEC, при его наличии. Контролёр остаётся ответственным за внешние уведомления (Garante, субъекты данных) в соответствии со ст. 33-34 GDPR.

8. Права субъектов данных (ст. 28.3.e GDPR)

Если субъект данных обращается непосредственно к Обработчику для реализации прав, связанных с данными, обрабатываемыми от имени Контролёра, Обработчик без задержки перенаправляет запрос Контролёру и не отвечает от имени Контролёра, если иное не предусмотрено инструкциями.

Обработчик предоставляет Контролёру в панели управления и через API функции для:

• Экспорта данных субъекта (доступ и переносимость)
• Исправления
• Удаления или анонимизации
• Ограничения обработки

Для запросов, требующих ручного технического вмешательства, Обработчик отвечает в течение 10 рабочих дней с момента получения инструкции Контролёра.

9. Аудит (ст. 28.3.h GDPR)

По запросу Обработчик предоставляет Контролёру информацию и документацию, подтверждающие соответствие настоящему DPA, в том числе:

• Краткое описание применённых мер безопасности
• Список субобработчиков с указанием юридических адресов и оснований передачи
• Реестр операций обработки (соответствующие выписки)
• Сертификаты субобработчиков (ISO 27001, SOC 2, DPF), где они имеются

9.1 Порядок и пределы проведения аудита

• Порядок по умолчанию — удалённый документальный аудит: Контролёр может запросить, с письменным уведомлением не менее чем за 30 дней и не чаще одного раза в год, предоставление документации по безопасности, сертификатов, реестров и ответов на опросники. Это стандартный порядок.
• Аудит на месте, в помещениях Vezpa: допускается исключительно при наличии установленного нарушения договора или подтверждённого нарушения безопасности данных, вменяемого Обработчику, с письменным уведомлением не менее чем за 30 дней.
• Продолжительность: каждый аудит не может превышать 2 рабочих дней, проводится в рабочее время и без вмешательства в обычную деятельность.
• Сторонние аудиторы: допускаются, только если они связаны с Vezpa соглашением о неразглашении (NDA) и не имеют конфликта интересов (не являются прямыми конкурентами Обработчика).
• Расходы: полностью несёт Контролёр (включая разумные внутренние расходы Обработчика), за исключением аудита, установившего нарушение, вменяемое Обработчику: в этом случае расходы несёт Обработчик.
• Конфиденциальность: на информацию, полученную в ходе аудита, распространяется обязательство о конфиденциальности, действующее не менее 5 лет после окончания срока действия договора.

10. Трансграничные передачи за пределы ЕС (Глава V GDPR)

Список субобработчиков с указанием юридических адресов и правового основания передачи опубликован на vezpa.it/subprocessors. Для международных передач данных, не охваченных решением об адекватности, Обработчик применяет:

• Стандартные договорные условия 2021/914 и дополнительные меры, где это необходимо (задокументированная оценка последствий передачи — Transfer Impact Assessment);
• Или иные надлежащие гарантии, предусмотренные ст. 46 GDPR.

11. Роль Контролёра

Контролёр заявляет и гарантирует, что:

• Предоставил субъектам информацию, предусмотренную ст. 13-14 GDPR;
• Получил необходимые правовые основания (согласие, договор, правовое обязательство), требуемые для обработки;
• Даёт законные инструкции Обработчику;
• Гарантирует надлежащее хранение и удаление данных после отказа от платформы Vezpa.

12. Конфиденциальность

Каждая сторона сохраняет строгую конфиденциальность всей информации, полученной от другой стороны при исполнении настоящего DPA, в течение всего срока действия договора и в течение 5 лет после его окончания.

13. Ответственность

Ответственность каждой стороны в соответствии со ст. 82 GDPR перед субъектами данных продолжает регулироваться законом. В отношениях между сторонами режим договорной ответственности установлен в Условиях использования (§9-10), при сохранении императивного распределения, предусмотренного ст. 82 GDPR.

14. Прекращение обработки

При расторжении договора по любой причине Обработчик:

1. Предоставляет Контролёру инструменты для экспорта его данных в структурированном формате (CSV/JSON) в течение 30 дней с момента расторжения;
2. По истечении 30 дней удаляет или анонимизирует данные, обрабатываемые от имени Контролёра, из рабочих систем;
3. Удаляет данные из резервных копий в рамках следующего цикла ротации (обычно в течение 90 дней);
4. Сохраняет данные, которые Vezpa обязана хранить в силу закона (обычно: данные о выставлении счетов и журналы безопасности), только в течение сроков, предписанных применимым законодательством, поддерживая в отношении них надлежащие меры безопасности.

15. Изменения

Обработчик может изменять настоящее DPA для отражения нормативных изменений (например, новые SCC, решения Garante) или организационных изменений. О существенных изменениях сообщается Контролёру не менее чем за 30 дней. Если Контролёр не принимает изменения, он может отказаться от договора без штрафов в отношении неиспользованной части подписки.

16. Применимое право

Настоящее DPA регулируется итальянским правом. К спорам применяется §16 Условий использования.