PERSONUPPGIFTSBITRÄDESAVTAL (DPA)

1. Parter

2. Föremål och varaktighet (art. 28.3 GDPR)

Den personuppgiftsansvarige ger personuppgiftsbiträdet i uppdrag att behandla personuppgifter för sin räkning via Vezpa-plattformen. Behandlingen har samma varaktighet som abonnemangsavtalet mellan parterna och upphör när avtalet upphör, med förbehåll för §14.

3. Behandlingens art, ändamål och typ av data

3.1 Ändamål

• Hantering av bokningar, vistelse och in-/utcheckning
• Fullgörande av personuppgiftsansvariges rättsliga skyldigheter gentemot offentliga myndigheter (AlloggiatiWeb, ISTAT, PayTourist, Feratel/Meldeamt, SES.HOSPEDAJES, NTAK, eVisitor, SEF, UbyPort, eTurizem)
• Överföring av bokningsuppgifter till de OTA-kanaler och den channel manager som aktiverats av anläggningen
• Utskick av meddelanden till gästen (bekräftelser, pre-check-in, betalningar)
• Betalningshantering via bokningsmotor eller Stripe-länk
• Framställning av rapporter och statistik för personuppgiftsansvarige

3.2 Kategorier av registrerade

• Anläggningarnas gäster och deras medresenärer
• Personer som bokar för andras räkning
• Nödkontakter som gästen eventuellt har lämnat

3.3 Typ av behandlade personuppgifter

• Identifierings- och personuppgifter (förnamn, efternamn, födelsedatum och -ort, medborgarskap, kön)
• Identitetshandlingar (typ, nummer, utfärdandedatum, utfärdande myndighet, skannad eller fotograferad bild)
• Textuppgifter extraherade från handlingen via automatisk OCR
• Kontaktuppgifter (e-post, telefon, adress)
• Boknings- och vistelseuppgifter
• Betalningsuppgifter (hanteras av Stripe, lagras inte hos Vezpa)

4. Personuppgiftsansvariges instruktioner (art. 28.3.a GDPR)

Personuppgiftsbiträdet behandlar personuppgifter uteslutande på grundval av dokumenterade instruktioner från den personuppgiftsansvarige. De allmänna instruktionerna finns i detta DPA, i Integritetspolicyn, i GDPR-informationen och i Användarvillkoren. Specifika instruktioner kan ges av den personuppgiftsansvarige via:

• Konfigurationer i sitt konto (aktivering/inaktivering av anslutningar till myndigheter och OTA, lagringstider)
• Anslutning av externa tjänster som den personuppgiftsansvarige väljer, till exempel den röstplattform som svarar i boendets telefon (t.ex. Retell, Vapi, ElevenLabs): personuppgiftsbiträdet lämnar till tjänsten, endast när den gör förfrågningar med den nyckel som den personuppgiftsansvarige har skapat, de uppgifter som behövs för svaret (tillgänglighet, priser, uppgifter om boendet och, efter kontroll av nummer och efternamn, datum och belopp för den uppringandes bokning) och tar emot meddelanden och sammanfattningar av samtalen från den. Den externa tjänsten väljs, avtalas och betalas av den personuppgiftsansvarige: den är dennes personuppgiftsbiträde, inte ett underbiträde till personuppgiftsbiträdet, och den personuppgiftsansvarige ansvarar för den (avtal enligt artikel 28 i GDPR, information till de registrerade, eventuell inspelning av samtalen, överföringar utanför EU).
• Skriftlig kommunikation till info@vezpa.it eller via PEC till lavezpa@pec.it

Om personuppgiftsbiträdet anser att en instruktion strider mot GDPR eller andra tillämpliga bestämmelser ska det omedelbart informera personuppgiftsansvarige.

5. Personuppgiftsbiträdets skyldigheter (art. 28.3.b-h GDPR)

Personuppgiftsbiträdet förbinder sig att:

1. Konfidentialitet: behandla uppgifterna konfidentiellt och säkerställa att personer som är behöriga att behandla uppgifterna är bundna av tystnadsplikt;
2. Säkerhet: vidta de tekniska och organisatoriska åtgärder som anges i Bilaga B, lämpliga i förhållande till risken;
3. Underbiträden: respektera villkoren i §6;
4. Bistånd till personuppgiftsansvarige: bistå personuppgiftsansvarige i fullgörandet av dennes skyldigheter, särskilt:
   • Svar på registrerades förfrågningar (art. 15-22 GDPR) inom tider som tillåter personuppgiftsansvarige att svara inom de lagstadgade 30 dagarna;
   • Underrättelse om personuppgiftsincident till personuppgiftsansvarige inom 48 timmar från upptäckten (§7);
   • Stöd vid konsekvensbedömningar (DPIA, art. 35) och förhandssamråd (art. 36);
   • Påvisande av efterlevnad genom dokumentation och, där det krävs, granskning (§9).
5. Återlämning / radering av uppgifter vid upphörande, enligt §14;
6. Information: tillhandahålla personuppgiftsansvarige all nödvändig information för att visa efterlevnad av detta DPA.

6. Underbiträden (art. 28.2 och 28.4 GDPR)

6.1 Allmänt tillstånd

Personuppgiftsansvarige godkänner att personuppgiftsbiträdet utser de underbiträden som anges på vezpa.it/subprocessors och de som senare tillkommer enligt den här beskrivna proceduren.

6.2 Ändringsvarsel

Personuppgiftsbiträdet meddelar personuppgiftsansvarige om sin avsikt att lägga till eller ersätta ett underbiträde med minst 30 dagars varsel, via e-post till den registrerade adressen och/eller meddelande i instrumentpanelen. Inom denna period kan personuppgiftsansvarige invända med motivering. Om invändningen inte kan lösas kan vardera parten säga upp avtalet, varvid den berörda behandlingen upphör.

6.3 Skyldigheter gentemot underbiträden

Personuppgiftsbiträdet ålägger skriftligen underbiträdena dataskyddsskyldigheter motsvarande de här angivna, och är ansvarigt gentemot personuppgiftsansvarige för underbiträdenas handlingar.

7. Personuppgiftsincidenter (art. 33 GDPR)

Vid en personuppgiftsincident som berör data som behandlas för personuppgiftsansvariges räkning ska personuppgiftsbiträdet:

• Underrätta personuppgiftsansvarige utan onödigt dröjsmål och i varje fall inom 48 timmar från upptäckten, utom vid dokumenterad force majeure;
• Lämna information enligt art. 33.3 GDPR (art, kategorier och ungefärligt antal registrerade och uppgifter, sannolika konsekvenser, vidtagna eller föreslagna åtgärder);
• Samarbeta med personuppgiftsansvarige i meddelanden till registrerade och till tillsynsmyndigheten;
• Dokumentera incidenten och vidtagna åtgärder.

Underrättelsen till personuppgiftsansvarige sker via e-post till den registrerade adressen och PEC, om sådan finns. Personuppgiftsansvarige är fortsatt ansvarig för externa underrättelser (tillsynsmyndigheten, registrerade) enligt art. 33-34 GDPR.

8. Registrerades rättigheter (art. 28.3.e GDPR)

Om en registrerad vänder sig direkt till personuppgiftsbiträdet för att utöva rättigheter rörande uppgifter som behandlas för personuppgiftsansvariges räkning vidarebefordrar personuppgiftsbiträdet begäran till personuppgiftsansvarige utan dröjsmål och svarar inte för personuppgiftsansvariges räkning om inte andra instruktioner ges.

Personuppgiftsbiträdet tillhandahåller personuppgiftsansvarige i instrumentpanelen och via API funktioner för:

• Export av en registrerads uppgifter (tillgång och dataportabilitet)
• Rättelse
• Radering eller anonymisering
• Begränsning av behandlingen

För förfrågningar som kräver manuellt tekniskt ingripande svarar personuppgiftsbiträdet inom 10 arbetsdagar från mottagandet av personuppgiftsansvariges instruktion.

9. Granskning (art. 28.3.h GDPR)

Personuppgiftsbiträdet tillhandahåller personuppgiftsansvarige, på begäran, information och dokumentation som visar efterlevnad av detta DPA, däribland:

• Sammanfattning av implementerade säkerhetsåtgärder
• Lista över underbiträden med säte och överföringsgrund
• Behandlingsregister (relevanta utdrag)
• Certifieringar av underbiträden (ISO 27001, SOC 2, DPF) där tillgängliga

9.1 Former och begränsningar för granskningen

• Standardform — dokumentgranskning på distans: personuppgiftsansvarige kan, med minst 30 dagars skriftligt varsel och högst en gång per år, begära att få ta del av säkerhetsdokumentation, certifieringar, register och svar på frågeformulär. Detta är standardformen.
• Granskning på plats hos Vezpa: tillåts endast vid fastställt avtalsbrott eller bekräftad personuppgiftsincident som kan tillskrivas personuppgiftsbiträdet, med minst 30 dagars skriftligt varsel.
• Varaktighet: en granskning får inte överstiga 2 arbetsdagar, ska genomföras under arbetstid och får inte störa den ordinarie verksamheten.
• Tredjepartsgranskare: tillåts endast om de är bundna av ett sekretessavtal (NDA) med Vezpa och saknar intressekonflikt (inte direkta konkurrenter till personuppgiftsbiträdet).
• Kostnader: bärs i sin helhet av personuppgiftsansvarige (inklusive personuppgiftsbiträdets skäliga interna kostnader), utom när granskningen fastställer en överträdelse som kan tillskrivas personuppgiftsbiträdet; då bärs kostnaderna av denne.
• Konfidentialitet: den information som erhålls vid granskningen omfattas av en tystnadsplikt som gäller även efter avtalets upphörande, i minst 5 år.

10. Överföringar utanför EU (kapitel V GDPR)

Listan över underbiträden med angivelse av säte och rättslig grund för överföringen publiceras på vezpa.it/subprocessors. För överföringar som inte omfattas av ett beslut om adekvat skyddsnivå vidtar personuppgiftsbiträdet:

• Standardavtalsklausuler 2021/914 och kompletterande åtgärder där det är nödvändigt (dokumenterad Transfer Impact Assessment);
• Eller andra lämpliga skyddsåtgärder enligt art. 46 GDPR.

11. Personuppgiftsansvariges roll

Personuppgiftsansvarige förklarar och garanterar att denne:

• Har tillhandahållit de registrerade den information som föreskrivs i art. 13-14 GDPR;
• Har inhämtat de eventuella rättsliga grunderna (samtycke, avtal, rättslig förpliktelse) som krävs för behandlingen;
• Ger lagliga instruktioner till personuppgiftsbiträdet;
• Säkerställer korrekt lagring och radering av uppgifter efter att ha lämnat Vezpa-plattformen.

12. Konfidentialitet

Varje part ska hålla all information som mottas från den andra parten vid utförandet av detta DPA strikt konfidentiell, under hela avtalstiden och de följande 5 åren.

13. Ansvar

Varje parts ansvar enligt art. 82 GDPR gentemot de registrerade regleras av lagen. I förhållandet mellan parterna gäller den avtalsrättsliga ansvarsordning som anges i användarvillkoren (§9-10), med förbehåll för den tvingande fördelning som föreskrivs av art. 82 GDPR.

14. Upphörande av behandlingen

Vid avtalets upphörande av någon orsak ska personuppgiftsbiträdet:

1. Tillhandahålla personuppgiftsansvarige verktyg för att exportera sina data i strukturerat format (CSV/JSON) i 30 dagar från upphörandet;
2. Efter 30 dagar, radera eller anonymisera de data som behandlats för personuppgiftsansvariges räkning från produktionssystemen;
3. Radera uppgifter från säkerhetskopior inom nästa rotationscykel (vanligtvis inom 90 dagar);
4. Lagra de uppgifter som Vezpa är skyldigt att lagra enligt lag (vanligtvis: faktureringsdata och säkerhetsloggar) endast under de tider som krävs enligt tillämplig lagstiftning, och upprätthålla lämpliga säkerhetsåtgärder för dessa.

15. Ändringar

Personuppgiftsbiträdet kan ändra detta DPA för att införliva ändringar i regelverket (t.ex. nya SCC, beslut från dataskyddsmyndigheten) eller organisatoriska förändringar. Väsentliga ändringar meddelas personuppgiftsansvarige med minst 30 dagars varsel. Om personuppgiftsansvarige inte accepterar kan denne säga upp avtalet utan påföljd för den outnyttjade delen av abonnemanget.

16. Tillämplig lag

Detta DPA regleras av italiensk lag. För tvister gäller §16 i Användarvillkoren.