POGODBA O OBDELAVI OSEBNIH PODATKOV (DPA)

1. Stranki

2. Predmet in trajanje (čl. 28.3 GDPR)

Upravljavec pooblasti Obdelovalca za obdelavo osebnih podatkov v svojem imenu prek platforme Vezpa. Obdelava traja toliko časa, kolikor traja pogodba o naročnini med strankama, in se zaključi z njenim prenehanjem, razen določb iz §14.

3. Narava, nameni in vrsta obdelanih podatkov

3.1 Nameni

• Upravljanje rezervacij, bivanja in prijav/odjav
• Izpolnjevanje zakonskih obveznosti Upravljavca do javnih organov (AlloggiatiWeb, ISTAT, PayTourist, Feratel/Meldeamt, SES.HOSPEDAJES, NTAK, eVisitor, SEF, UbyPort, eTurizem)
• Sporočanje podatkov o rezervaciji OTA kanalom in channel managerju, ki jih je aktiviral objekt
• Pošiljanje sporočil gostu (potrditve, predprijava, plačila)
• Obdelava plačil prek rezervacijskega motorja ali povezav Stripe
• Izdelava poročil in statistik za Upravljavca

3.2 Kategorije posameznikov

• Gosti objektov in njihovi spremljevalci
• Osebe, ki rezervirajo v imenu drugih
• Kontaktne osebe za nujne primere, ki jih je morebiti posredoval gost

3.3 Vrste obdelanih osebnih podatkov

• Identifikacijski in osnovni osebni podatki (ime, priimek, datum in kraj rojstva, državljanstvo, spol)
• Osebni dokumenti (vrsta, številka, datum izdaje, izdajatelj, skenirana ali fotografirana slika)
• Tekstovni podatki, izluščeni iz dokumenta s samodejnim OCR
• Kontaktni podatki (e-pošta, telefon, naslov)
• Podatki o rezervaciji in bivanju
• Podatki o plačilu (upravlja Stripe, niso shranjeni pri Vezpi)

4. Navodila Upravljavca (čl. 28.3.a GDPR)

Obdelovalec osebne podatke obdeluje izključno na podlagi dokumentiranih navodil Upravljavca. Splošna navodila so vsebovana v tej DPA, v Politiki zasebnosti, v GDPR obvestilu in v Pogojih storitve. Posebna navodila lahko Upravljavec izda prek:

• Konfiguracij v svojem računu (aktivacija/deaktivacija vladnih konektorjev, OTA, obdobja hrambe)
• Povezave zunanjih storitev, ki jih izbere Upravljavec, kot je glasovna platforma, ki odgovarja na telefon nastanitve (npr. Retell, Vapi, ElevenLabs): Obdelovalec storitvi, samo kadar ta pri njem poizveduje s ključem, ki ga je ustvaril Upravljavec, posreduje podatke, potrebne za odgovor (razpoložljivost, cene, podatki o nastanitvi in po preverjanju številke in priimka datumi in zneski rezervacije klicatelja), in od nje prejema sporočila in povzetke klicev. Zunanjo storitev izbere, pogodbeno uredi in plača Upravljavec: je njegov obdelovalec, ne dodatni obdelovalec Obdelovalca, in Upravljavec zanjo odgovarja (pogodba po 28. členu GDPR, obveščanje posameznikov, morebitno snemanje klicev, prenosi zunaj EU).
• Pisnega sporočila na info@vezpa.it ali prek PEC na lavezpa@pec.it

Če Obdelovalec meni, da neko navodilo krši GDPR ali druge veljavne predpise, o tem takoj obvesti Upravljavca.

5. Obveznosti Obdelovalca (čl. 28.3.b-h GDPR)

Obdelovalec se zavezuje:

1. Zaupnost: podatke obdelovati zaupno in zagotoviti, da so osebe, pooblaščene za obdelavo, zavezane k zaupnosti;
2. Varnost: sprejemati tehnične in organizacijske ukrepe iz Priloge B, ki so sorazmerni tveganju;
3. Dodatni obdelovalci: upoštevati pogoje iz §6;
4. Pomoč Upravljavcu: pomagati Upravljavcu pri izpolnjevanju njegovih obveznosti, zlasti:
   • Odziv na zahtevke posameznikov (čl. 15-22 GDPR) v rokih, ki omogočajo Upravljavcu odgovor v zakonskih 30 dneh;
   • Obveščanje Upravljavca o kršitvi varstva osebnih podatkov v 48 urah od odkritja (§7);
   • Podpora pri DPIA (35. člen) in predhodnih posvetovanjih (36. člen);
   • Dokazovanje skladnosti z dokumentacijo in, kjer je zahtevano, revizijami (§9).
5. Vračilo / izbris podatkov ob zaključku, kot je določeno v §14;
6. Obveščanje: Upravljavcu dati na voljo vse informacije, potrebne za dokazovanje skladnosti s to DPA.

6. Dodatni obdelovalci (čl. 28.2 in 28.4 GDPR)

6.1 Splošno pooblastilo

Upravljavec pooblašča Obdelovalca, da imenuje dodatne obdelovalce, navedene na vezpa.it/subprocessors, in tiste, ki bodo naknadno dodani po postopku, ki je tukaj opisan.

6.2 Predhodno obvestilo o spremembi

Obdelovalec Upravljavca obvesti o nameri dodati ali zamenjati dodatnega obdelovalca najmanj 30 dni vnaprej, po e-pošti na registrirani naslov in/ali z obvestilom v nadzorni plošči. V tem roku lahko Upravljavec obrazloženo ugovarja. V primeru ugovora, ki ga ni mogoče razrešiti, lahko vsaka stranka odstopi od pogodbe s prenehanjem zadevne obdelave.

6.3 Obveznosti do dodatnih obdelovalcev

Obdelovalec dodatnim obdelovalcem pisno naloži obveznosti varstva podatkov, ki so enakovredne tukaj določenim, in Upravljavcu odgovarja za delovanje dodatnih obdelovalcev.

7. Kršitev varstva osebnih podatkov (33. člen GDPR)

V primeru kršitve varstva osebnih podatkov, ki zadeva podatke, obdelane v imenu Upravljavca, Obdelovalec:

• Obvesti Upravljavca brez nepotrebnega odlašanja in v vsakem primeru v 48 urah od odkritja, razen v primeru dokumentirane višje sile;
• Posreduje informacije iz čl. 33.3 GDPR (naravo, kategorije in približno število posameznikov in podatkov, verjetne posledice, sprejete ali predlagane ukrepe);
• Sodeluje z Upravljavcem pri sporočilih posameznikom in Nadzornemu organu;
• Dokumentira incident in sprejete ukrepe.

Obvestilo Upravljavcu poteka po e-pošti na registrirani naslov in PEC, če je na voljo. Upravljavec ostaja odgovoren za zunanja obvestila (italijanski organ za varstvo podatkov (Garante), posamezniki) v skladu s čl. 33-34 GDPR.

8. Pravice posameznikov (čl. 28.3.e GDPR)

Če se posameznik obrne neposredno na Obdelovalca za uveljavljanje pravic v zvezi s podatki, obdelanimi v imenu Upravljavca, Obdelovalec zahtevek brez odlašanja posreduje Upravljavcu in ne odgovarja v imenu Upravljavca, razen če obstajajo drugačna navodila.

Obdelovalec daje Upravljavcu v nadzorni plošči in prek API na voljo funkcionalnosti za:

• Izvoz podatkov posameznika (dostop in prenosljivost)
• Popravek
• Izbris ali anonimizacijo
• Omejitev obdelave

Za zahtevke, ki zahtevajo ročni tehnični poseg, Obdelovalec odgovori v 10 delovnih dneh od prejema navodila Upravljavca.

9. Revizija (čl. 28.3.h GDPR)

Obdelovalec Upravljavcu na zahtevo zagotovi informacije in dokumentacijo, ki dokazujejo skladnost s to DPA, med drugim:

• Povzetek izvedenih varnostnih ukrepov
• Seznam dodatnih obdelovalcev s sedeži in podlagami prenosa
• Evidence obdelave (ustrezni izvlečki)
• Certifikati dodatnih obdelovalcev (ISO 27001, SOC 2, DPF), kjer so na voljo

9.1 Način izvedbe in omejitve revizije

• Privzeti način – dokumentarna revizija na daljavo: Upravljavec lahko s pisnim obvestilom vsaj 30 dni vnaprej in največ enkrat letno zahteva posredovanje varnostne dokumentacije, certifikatov, evidenc in odgovorov na vprašalnike. To je standardni način.
• Revizija na kraju samem na sedežu Vezpe: dovoljena izključno v primeru ugotovljene kršitve pogodbe ali potrjene kršitve varstva osebnih podatkov, ki jo je mogoče pripisati Obdelovalcu, s pisnim obvestilom vsaj 30 dni vnaprej.
• Trajanje: posamezna revizija ne sme presegati 2 delovnih dni, izvaja se v delovnem času in brez poseganja v redno poslovanje.
• Zunanji revizorji: dovoljeni le, če so z Vezpo vezani s pogodbo o nerazkrivanju podatkov (NDA) in niso v nasprotju interesov (niso neposredni konkurenti Obdelovalca).
• Stroški: v celoti jih krije Upravljavec (vključno z razumnimi notranjimi stroški Obdelovalca), razen če revizija ugotovi kršitev, ki jo je mogoče pripisati Obdelovalcu; v tem primeru stroški ostanejo v breme Obdelovalca.
• Zaupnost: za informacije, pridobljene pri reviziji, velja obveznost zaupnosti, ki traja še najmanj 5 let po prenehanju pogodbe.

10. Prenosi izven EU (Pogl. V GDPR)

Seznam dodatnih obdelovalcev z navedbo sedeža in pravne podlage prenosa je objavljen na vezpa.it/subprocessors. Za prenose, ki niso pokriti s sklepom o ustreznosti, Obdelovalec sprejme:

• Standardne pogodbene klavzule 2021/914 in dopolnilne ukrepe, kjer je potrebno (dokumentirana ocena učinka prenosa);
• Ali druga ustrezna jamstva, predvidena v 46. členu GDPR.

11. Vloga Upravljavca

Upravljavec izjavlja in jamči, da:

• Je posameznikom posredoval obvestilo v skladu s čl. 13-14 GDPR;
• Je pridobil morebitne pravne podlage (privolitev, pogodba, zakonska obveznost), potrebne za obdelavo;
• Obdelovalcu daje zakonita navodila;
• Zagotavlja pravilno hrambo in izbris podatkov po umiku s platforme Vezpa.

12. Zaupnost

Vsaka stranka strogo zaupno hrani vse informacije, prejete od druge stranke pri izvrševanju te DPA, v celotnem trajanju pogodbe in še 5 let po tem.

13. Odgovornost

Odgovornost vsake stranke po 82. členu GDPR do posameznikov ostaja urejena z zakonom. V razmerju med strankami je režim pogodbene odgovornosti določen v Pogojih storitve (§9-10), pri čemer kogentna porazdelitev iz 82. člena GDPR ostaja v veljavi.

14. Prenehanje obdelave

Ob prenehanju pogodbe iz katerega koli razloga Obdelovalec:

1. Upravljavcu da na voljo orodja za izvoz lastnih podatkov v strukturirani obliki (CSV/JSON) za 30 dni od prenehanja;
2. Po 30 dneh izbriše ali anonimizira podatke, obdelane v imenu Upravljavca, iz produkcijskih sistemov;
3. Izbriše podatke iz varnostnih kopij v naslednjem ciklu rotacije (običajno v 90 dneh);
4. Hrani podatke, ki jih je Vezpa dolžna hraniti po zakonu (običajno: podatki za izdajo računov in varnostni dnevniki), samo za obdobja, ki jih določa veljavna zakonodaja, pri čemer zanje ohranja ustrezne varnostne ukrepe.

15. Spremembe

Obdelovalec lahko to DPA spremeni zaradi razvoja zakonodaje (npr. novi SCC, odločbe italijanskega organa za varstvo podatkov (Garante)) ali organizacijskih sprememb. Bistvene spremembe se Upravljavcu sporočijo najmanj 30 dni vnaprej. Če Upravljavec sprememb ne sprejme, lahko odstopi brez kazni za neizkoriščeni del naročnine.

16. Veljavno pravo

Za ta DPA velja italijansko pravo. Za spore velja §16 Pogojev storitve.