ZMLUVA O SPRACÚVANÍ OSOBNÝCH ÚDAJOV (DPA)

1. Strany

2. Predmet a trvanie (čl. 28.3 GDPR)

Prevádzkovateľ poveruje Sprostredkovateľa spracúvaním osobných údajov v jeho mene prostredníctvom platformy Vezpa. Spracúvanie trvá počas trvania zmluvy o predplatnom medzi stranami a končí jej ukončením, s výnimkou toho, čo stanovuje §14.

3. Povaha, účel a typ spracúvaných údajov

3.1 Účel

• Správa rezervácií, pobytu a check-in/check-out
• Plnenie zákonných povinností Prevádzkovateľa voči verejným orgánom (AlloggiatiWeb, ISTAT, PayTourist, Feratel/Meldeamt, SES.HOSPEDAJES, NTAK, eVisitor, SEF, UbyPort, eTurizem)
• Poskytovanie rezervačných údajov OTA kanálom a channel manageru aktivovaným zariadením
• Zasielanie oznámení hosťom (potvrdenia, pre-check-in, platby)
• Spracúvanie platieb cez Booking Engine alebo odkaz Stripe
• Vytváranie reportov a štatistík pre Prevádzkovateľa

3.2 Kategórie dotknutých osôb

• Hostia zariadení a osoby, ktoré ich sprevádzajú
• Osoby rezervujúce v mene iných
• Núdzové kontakty prípadne poskytnuté hosťom

3.3 Typ spracúvaných osobných údajov

• Identifikačné a osobné údaje (meno, priezvisko, dátum a miesto narodenia, štátna príslušnosť, pohlavie)
• Doklady totožnosti (typ, číslo, dátum vydania, vydávajúci orgán, naskenovaný alebo odfotografovaný obraz)
• Textové údaje extrahované z dokladu automatickým OCR
• Kontaktné údaje (e-mail, telefón, adresa)
• Údaje rezervácie a pobytu
• Platobné údaje (spravované službou Stripe, neukladané vo Vezpa)

4. Pokyny Prevádzkovateľa (čl. 28.3.a GDPR)

Sprostredkovateľ spracúva osobné údaje výhradne na základe dokumentovaných pokynov Prevádzkovateľa. Všeobecné pokyny sú obsiahnuté v tejto DPA, v Zásadách ochrany osobných údajov, v GDPR oznámení a v Podmienkach služby. Špecifické pokyny môže Prevádzkovateľ vydávať prostredníctvom:

• Konfigurácií v jeho účte (aktivácia/deaktivácia vládnych konektorov, OTA, doby uchovávania)
• Pripojenia externých služieb zvolených Prevádzkovateľom, napríklad hlasovej platformy, ktorá prijíma hovory na telefóne ubytovania (napr. Retell, Vapi, ElevenLabs): Sprostredkovateľ poskytuje službe, iba keď sa ho dopytuje kľúčom vygenerovaným Prevádzkovateľom, údaje potrebné na odpoveď (dostupnosť, ceny, údaje o ubytovaní a po overení telefónneho čísla a priezviska dátumy a sumy rezervácie volajúceho) a prijíma od nej odkazy a zhrnutia hovorov. Externú službu volí, zmluvne zabezpečuje a platí Prevádzkovateľ: je jeho sprostredkovateľom, nie ďalším sprostredkovateľom Sprostredkovateľa, a Prevádzkovateľ za ňu zodpovedá (zmluva podľa čl. 28 GDPR, informovanie dotknutých osôb, prípadné nahrávanie hovorov, prenosy mimo EÚ).
• Písomnej komunikácie na info@vezpa.it alebo cez PEC na lavezpa@pec.it

Ak sa Sprostredkovateľ domnieva, že pokyn porušuje GDPR alebo iné platné predpisy, okamžite o tom informuje Prevádzkovateľa.

5. Povinnosti Sprostredkovateľa (čl. 28.3.b-h GDPR)

Sprostredkovateľ sa zaväzuje:

1. Dôvernosť: spracúvať údaje dôverným spôsobom a zabezpečiť, aby osoby autorizované na spracúvanie boli viazané povinnosťou mlčanlivosti;
2. Bezpečnosť: prijať technické a organizačné opatrenia uvedené v Prílohe B, primerané riziku;
3. Ďalší sprostredkovatelia: rešpektovať podmienky §6;
4. Pomoc Prevádzkovateľovi: pomáhať Prevádzkovateľovi pri plnení jeho povinností, najmä:
   • Odpoveď na žiadosti dotknutých osôb (čl. 15-22 GDPR) v lehotách umožňujúcich Prevádzkovateľovi odpovedať v zákonných 30 dňoch;
   • Oznámenie porušenia ochrany údajov (data breach) Prevádzkovateľovi do 48 hodín od objavenia (§7);
   • Podpora pri DPIA (čl. 35) a predchádzajúcich konzultáciách (čl. 36);
   • Preukázanie súladu prostredníctvom dokumentácie a, ak je požadované, auditu (§9).
5. Vrátenie / vymazanie údajov po skončení, ako je stanovené v §14;
6. Informácie: poskytnúť Prevádzkovateľovi všetky potrebné informácie na preukázanie súladu s touto DPA.

6. Ďalší sprostredkovatelia (čl. 28.2 a 28.4 GDPR)

6.1 Všeobecné povolenie

Prevádzkovateľ oprávňuje Sprostredkovateľa vymenovať ďalších sprostredkovateľov uvedených na vezpa.it/subprocessors a tých, ktorí budú následne pridaní podľa tu popísaného postupu.

6.2 Predchádzajúce oznámenie zmien

Sprostredkovateľ oznamuje Prevádzkovateľovi zámer pridať alebo nahradiť ďalšieho sprostredkovateľa s predstihom aspoň 30 dní, prostredníctvom e-mailu na registrovanú adresu a/alebo oznámenia v dashboarde. V tejto lehote môže Prevádzkovateľ odôvodnene namietať. V prípade neriešiteľnej námietky môže každá strana odstúpiť od zmluvy s ukončením dotknutého spracúvania.

6.3 Povinnosti voči ďalším sprostredkovateľom

Sprostredkovateľ uloží ďalším sprostredkovateľom písomne povinnosti ochrany údajov rovnocenné tým, ktoré sú stanovené tu, a zodpovedá voči Prevádzkovateľovi za konanie ďalších sprostredkovateľov.

7. Porušenie ochrany údajov – data breach (čl. 33 GDPR)

V prípade porušenia ochrany osobných údajov, ktoré sa týka údajov spracúvaných v mene Prevádzkovateľa, Sprostredkovateľ:

• Oznamuje Prevádzkovateľovi bez zbytočného odkladu a najneskôr do 48 hodín od objavenia, s výnimkou zdokumentovaných prípadov vyššej moci;
• Poskytuje informácie uvedené v čl. 33.3 GDPR (povaha, kategórie a približný počet dotknutých osôb a údajov, pravdepodobné dôsledky, prijaté alebo navrhnuté opatrenia);
• Spolupracuje s Prevádzkovateľom pri oznámeniach dotknutým osobám a dozornému orgánu;
• Zdokumentuje incident a prijaté kroky.

Oznámenie Prevádzkovateľovi prebieha e-mailom na registrovanú adresu a cez PEC, ak je dostupná. Prevádzkovateľ zostáva zodpovedný za externé oznámenia (Garante, dotknuté osoby) v zmysle čl. 33-34 GDPR.

8. Práva dotknutých osôb (čl. 28.3.e GDPR)

Ak sa dotknutá osoba obráti priamo na Sprostredkovateľa s cieľom uplatniť práva týkajúce sa údajov spracúvaných v mene Prevádzkovateľa, Sprostredkovateľ postúpi žiadosť Prevádzkovateľovi bez odkladu a neodpovedá v mene Prevádzkovateľa, pokiaľ nedostane iné pokyny.

Sprostredkovateľ sprístupňuje Prevádzkovateľovi v dashboarde a cez API funkcie na:

• Export údajov dotknutej osoby (prístup a prenositeľnosť)
• Opravu
• Vymazanie alebo anonymizáciu
• Obmedzenie spracúvania

Pre žiadosti vyžadujúce manuálny technický zásah Sprostredkovateľ odpovedá do 10 pracovných dní od prijatia pokynu Prevádzkovateľa.

9. Audit (čl. 28.3.h GDPR)

Sprostredkovateľ poskytuje Prevádzkovateľovi na požiadanie informácie a dokumentáciu preukazujúcu súlad s touto DPA, vrátane:

• Súhrn implementovaných bezpečnostných opatrení
• Zoznam ďalších sprostredkovateľov so sídlami a základmi prenosu
• Register spracovateľských činností (relevantné výťahy)
• Certifikáty ďalších sprostredkovateľov (ISO 27001, SOC 2, DPF), ak sú dostupné

9.1 Spôsob a obmedzenia auditu

• Predvolený spôsob — vzdialený dokumentárny audit: Prevádzkovateľ môže požadovať, s písomným oznámením aspoň 30 dní vopred a najviac raz ročne, poskytnutie bezpečnostnej dokumentácie, certifikátov, registrov a odpovedí na dotazník. Toto je štandardný spôsob.
• Audit na mieste v sídle Vezpa: prípustný výhradne v prípade preukázaného porušenia zmluvy alebo potvrdeného porušenia ochrany údajov pripísateľného Sprostredkovateľovi, s písomným oznámením aspoň 30 dní vopred.
• Trvanie: žiadny audit nesmie presiahnuť 2 pracovné dni; vykonáva sa počas pracovnej doby a bez zasahovania do bežnej prevádzky.
• Audítori z tretích strán: prípustní, len ak sú viazaní NDA s Vezpa a bez konfliktu záujmov (nie priami konkurenti Sprostredkovateľa).
• Náklady: v plnom rozsahu na ťarchu Prevádzkovateľa (vrátane primeraných interných nákladov Sprostredkovateľa), okrem auditu, ktorý zistí porušenie pripísateľné Sprostredkovateľovi; v takom prípade náklady znáša Sprostredkovateľ.
• Dôvernosť: na informácie získané počas auditu sa vzťahuje povinnosť mlčanlivosti, ktorá trvá aj po skončení zmluvy, a to aspoň 5 rokov.

10. Prenosy mimo EÚ (Kapitola V GDPR)

Zoznam ďalších sprostredkovateľov s označením sídla a právneho základu prenosu je zverejnený na vezpa.it/subprocessors. Pre prenosy nepokryté rozhodnutím o primeranosti Sprostredkovateľ prijíma:

• Štandardné zmluvné doložky 2021/914 a dodatočné opatrenia, ak sú potrebné (zdokumentované posúdenie vplyvu prenosu – Transfer Impact Assessment);
• Alebo iné vhodné záruky predpísané čl. 46 GDPR.

11. Rola Prevádzkovateľa

Prevádzkovateľ vyhlasuje a zaručuje, že:

• Poskytol dotknutým osobám informácie podľa čl. 13-14 GDPR;
• Získal prípadné právne základy (súhlas, zmluva, zákonná povinnosť) potrebné na spracúvanie;
• Vydáva legitímne pokyny Sprostredkovateľovi;
• Zaručuje správne uchovávanie a vymazanie údajov po odchode z platformy Vezpa.

12. Dôvernosť

Každá strana zachováva prísnu dôvernosť všetkých informácií prijatých od druhej strany pri vykonávaní tejto DPA, počas trvania zmluvy a počas 5 nasledujúcich rokov.

13. Zodpovednosť

Zodpovednosť každej strany podľa čl. 82 GDPR voči dotknutým osobám sa naďalej riadi zákonom. Vo vzťahu medzi stranami je režim zmluvnej zodpovednosti ten, ktorý je stanovený v Podmienkach služby (§9-10), bez toho, aby bolo dotknuté kogentné rozdelenie zodpovednosti stanovené v čl. 82 GDPR.

14. Ukončenie spracúvania

Po ukončení zmluvy z akejkoľvek príčiny Sprostredkovateľ:

1. Sprístupňuje Prevádzkovateľovi nástroje na export vlastných údajov v štruktúrovanom formáte (CSV/JSON) na 30 dní od ukončenia;
2. Po uplynutí 30 dní vymaže alebo anonymizuje údaje spracúvané v mene Prevádzkovateľa z produkčných systémov;
3. Vymaže údaje zo záloh v rámci nasledujúceho rotačného cyklu (typicky do 90 dní);
4. Uchováva údaje, ktoré Vezpa je povinná uchovávať zo zákona (typicky: fakturačné údaje a bezpečnostné logy) iba po dobu uloženú platnými predpismi, pri zachovaní primeraných bezpečnostných opatrení.

15. Zmeny

Sprostredkovateľ môže upraviť túto DPA s cieľom premietnuť legislatívne zmeny (napr. nové SCC, opatrenia Garante) alebo organizačné zmeny. Podstatné zmeny sa oznamujú Prevádzkovateľovi s predstihom aspoň 30 dní. Ak ich Prevádzkovateľ neprijme, môže odstúpiť bez sankcií za nevyužitú časť predplatného.

16. Rozhodné právo

Táto DPA sa riadi talianskym právom. Na spory sa uplatňuje §16 Podmienok služby.