INFORMATION RGPD COMPLÈTE

Vezpa - Property Management System

Conformité au Règlement UE 2016/679

Dernière mise à jour : 5 novembre 2026

📌 Prééminence juridique : ce document est une traduction de courtoisie de l'original italien. En cas de divergence entre cette traduction et la version italienne, la version italienne prévaut en tant que référence juridiquement contraignante. Original italien disponible ici : https://vezpa.it/gdpr/.
✅ Approche RGPD : Vezpa adopte des mesures techniques et organisationnelles adéquates pour assurer le respect du Règlement UE 2016/679. Ce document décrit en détail comment nous traitons les données à caractère personnel, quelles mesures de sécurité nous adoptons et comment nous opérons en tant que Sous-traitant pour le compte des établissements.

1. Introduction et champ d'application

La présente information décrit comment Vezpa di Paolo Vezzola (ci-après "Vezpa" ou "Nous") traite les données à caractère personnel en conformité avec :

1.1 À qui s'applique-t-elle

Cette information s'applique à :

1.2 Double rôle de Vezpa

Vezpa opère avec deux rôles distincts :

  • RESPONSABLE Pour les données des gestionnaires d'établissements (clients)
  • SOUS-TRAITANT Pour les données des clients hébergés (nous traitons les données sur instruction du gestionnaire de l'établissement)

2. Identité et coordonnées du Responsable du traitement

Responsable du traitement :

Vezpa di Paolo Vezzola
Siège social : Desenzano del Garda (BS), 25015, via San Zeno 67
TVA : 04449070988
Code fiscal : VZZPLA84C10D284C
PEC : lavezpa@pec.it
Email : info@vezpa.it

3. Catégories de données à caractère personnel traitées

3.1 Données des gestionnaires (clients)

Catégorie Type de données Caractère obligatoire
Données d'identification Nom, prénom, date de naissance, code fiscal ✅ Obligatoires
Données de contact Email, téléphone, adresse ✅ Obligatoires
Données d'entreprise Raison sociale, TVA, données de l'établissement ✅ Obligatoires
Données de paiement IBAN, carte de crédit (via Stripe) ✅ Obligatoires pour l'abonnement
Données d'utilisation Journaux d'accès, IP, activité sur la plateforme ⚙️ Automatiques
Données de communications Email, chat d'assistance, tickets 📝 Volontaires

3.2 Données des clients hébergés (en qualité de Sous-traitant)

Catégorie Type de données Base juridique (du Responsable)
Données d'identité Nom, prénom, date et lieu de naissance, nationalité, genre Obligation légale (loi italienne TULPS, art. 109 et réglementations équivalentes UE)
Document d'identité Type, numéro, date de délivrance, autorité, image scannée ou photographique Obligation légale
Extraction OCR Données textuelles extraites automatiquement du document (nom, date, numéro) Exécution du contrat (art. 6.1.b) - uniquement pour faciliter la saisie des données par l'opérateur, sans finalité analytique, de profilage ni décisionnelle autonome
Données de contact Email, téléphone, adresse Exécution du contrat
Données de réservation Dates de séjour, nombre de personnes, chambre, tarifs, formule Exécution du contrat
Données de paiement Transactions, reçus (données de carte gérées par Stripe, non conservées sur Vezpa) Exécution du contrat + obligation fiscale
⚠️ Données particulières (art. 9 RGPD) :

Les documents d'identité acquis peuvent contenir des éléments qualifiables de "particuliers" au sens de l'art. 9 RGPD, typiquement :

  • Lieu de naissance (dont peut être déduite l'origine ethnique)
  • Image photographique du visage (non utilisée pour la reconnaissance biométrique automatisée)

Licéité du traitement : art. 9.2.b (exécution d'obligations en matière de droit du travail, sécurité et protection sociale), 9.2.g (motifs d'intérêt public important - enregistrements de sécurité publique) et 9.2.f (constatation de droits). Finalités limitées aux obligations imposées par la loi envers les autorités publiques.

Mesures supplémentaires : accès limité aux seuls rôles autorisés (directeur, assistant), aucun profilage sur ces données, aucune communication à des tiers en dehors des autorités publiques destinataires.

Vezpa ne collecte pas délibérément d'autres données particulières (opinions politiques/religieuses, données de santé, données génétiques, orientation sexuelle). Si de telles données sont saisies par erreur par l'utilisateur, elles doivent être immédiatement supprimées.

4. Finalités et base juridique du traitement

4.1 Pour les gestionnaires (clients)

Finalité Base juridique (art. 6 RGPD) Conservation
Fourniture du service PMS Art. 6.1.b - Exécution du contrat Durée du contrat + 10 ans
Facturation et comptabilité Art. 6.1.c - Obligation légale 10 ans (obligation fiscale)
Assistance clientèle Art. 6.1.b - Exécution du contrat Durée du contrat + 2 ans
Sécurité et prévention des fraudes (journaux applicatifs, anomalies) Art. 6.1.f - Intérêt légitime 12 mois en standard, jusqu'à 24 mois pour des enquêtes actives documentées (Mesure du Garante 352/2022)
Amélioration du service Art. 6.1.f - Intérêt légitime 2 ans (données agrégées anonymes)
Marketing direct Art. 6.1.a - Consentement Jusqu'à retrait du consentement
Défense des droits en justice Art. 6.1.f - Intérêt légitime 10 ans

4.2 Pour les clients hébergés (sur instruction du gestionnaire)

Finalité Base juridique Conservation
Enregistrement des clients et communication Questura Art. 6.1.c - Obligation légale (loi italienne TULPS, art. 109, D.Lgs. 159/2011) Minimum 2 ans
Communications ISTAT Art. 6.1.c - Obligation légale Selon réglementation ISTAT
Taxe de séjour (Paytourist) Art. 6.1.c - Obligation légale Selon réglementation communale
Gestion de la réservation et du séjour Art. 6.1.b - Exécution du contrat 10 ans (finalités fiscales)
Check-in en ligne et communications Art. 6.1.b - Exécution du contrat Durée du séjour + période de conservation de l'établissement
📌 Note sur le consentement :

Pour de nombreuses activités, le consentement N'EST PAS nécessaire car elles reposent sur :

  • ✅ Exécution du contrat (c'est vous qui avez demandé le service)
  • ✅ Obligations légales (communications obligatoires aux autorités)
  • ✅ Intérêt légitime (sécurité, amélioration du service)

Le consentement n'est requis QUE pour le marketing et le profilage.

5. Modalités du traitement

5.1 Principes du traitement (art. 5 RGPD)

Vezpa traite les données à caractère personnel dans le respect des principes suivants :

5.2 Moyens de traitement

Les données sont traitées avec des outils :

5.3 Modalités d'accès

Les données sont accessibles à :

6. Mesures de sécurité (art. 32 RGPD)

6.1 Mesures techniques

✅ Chiffrement en transit : HTTPS/TLS 1.2+ pour toutes les connexions, HSTS
✅ Chiffrement au repos : données sensibles spécifiques chiffrées via django-cryptography ; volumes et snapshots chiffrés côté infrastructure (DigitalOcean)
✅ Hachage des mots de passe : PBKDF2 (par défaut sous Django) avec sel aléatoire
✅ Jetons : JWT access token TTL 15 minutes, refresh avec rotation et liste de blocage, TTL 60 jours
✅ 2FA TOTP disponible sur le compte (django-otp)
✅ Blocage des bots et limitation du débit : middleware dédié qui bloque les scanners et les chemins d'attaque connus
✅ Sauvegardes : snapshots de la base de données gérés par le fournisseur d'infrastructure, localisation UE
✅ Contrôle d'accès basé sur les rôles (RBAC) : directeur, assistant, gouvernante, observateur
✅ Journalisation applicative : traçage des accès, des actions critiques et des anomalies
✅ Mise à jour des dépendances : surveillance des vulnérabilités sur les paquets Python et Flutter

6.2 Mesures organisationnelles

✅ Accès administratifs limités au Responsable du traitement (Vezpa est actuellement une entreprise individuelle sans salariés) ; les éventuels collaborateurs externes sont désignés par écrit comme Sous-traitants ou Personnes autorisées
✅ Procédure de réponse aux incidents documentée (§9 ci-dessous)
✅ Privacy by Design and by Default intégrée dans les phases de développement
✅ Registre des activités de traitement (art. 30 RGPD) tenu et mis à jour
✅ DPA signé avec tous les sous-traitants ultérieurs principaux
✅ Liste des sous-traitants ultérieurs publique et mise à jour sur vezpa.it/subprocessors

6.3 Normes de référence

7. Destinataires des données (art. 13.1.e RGPD)

7.1 Catégories de destinataires

Les données peuvent être communiquées aux catégories de destinataires suivantes. La liste nominative et toujours à jour est publiée sur vezpa.it/subprocessors.

Catégorie Destinataires Rôle Finalité
Autorités publiques IT AlloggiatiWeb (Questura), ISTAT, Communes (PayTourist), Agenzia delle Entrate Responsables autonomes Obligation légale
Autorités publiques UE Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) Responsables autonomes Obligation légale du Responsable (établissement)
Hébergement / Stockage / CDN DigitalOcean LLC (serveurs Francfort, Spaces, Redis) Sous-traitant Infrastructure IT
Paiements Stripe Payments Europe Ltd / Stripe Inc. Sous-traitant Traitement des paiements
Email IONOS SE (DE) Sous-traitant Envoi d'emails transactionnels et PEC
Email Sendinblue SAS - Brevo (FR) Sous-traitant Envoi des e-mails et réception des e-mails des clients
Assistant IA Anthropic, PBC (États-Unis) Sous-traitant Réponses aux messages des voyageurs (facultatif)
Messages WhatsApp Meta Platforms Ireland Limited (IE) Sous-traitant Messages WhatsApp entre l'établissement et les voyageurs (facultatif)
Agent vocal au téléphone Plateforme vocale choisie par l'établissement (par ex. Retell, Vapi, ElevenLabs) Sous-traitant de l'établissement, et non de Vezpa Réponse aux appels pour le compte de l'établissement : Vezpa transmet uniquement les données nécessaires à la réponse et reçoit messages et résumés des appels (facultatif)
Notifications push mobiles Google LLC (Firebase Cloud Messaging) Sous-traitant Envoi de notifications push aux appareils mobiles
Traduction automatique Google LLC (Google Cloud Translation API) Sous-traitant Traduction des messages des clients reçus des canaux OTA et, à la demande de l'hôte, des extras
Channel Manager OTA STAAH Limited (Nouvelle-Zélande) Sous-traitant Synchronisation des réservations avec les OTA
Achats in-app — Apple Apple Distribution International Ltd (IE) / Apple Inc. (USA) Responsable autonome (store) Gestion des abonnements App Store. Apple n'adhère pas au DPF : les transferts USA sont régis par les CCT 2021/914
Achats in-app — Google / Microsoft Google Ireland Ltd / Google LLC (USA, DPF), Microsoft Ireland / Microsoft Corp. (USA, DPF) Responsables autonomes (stores) Gestion des abonnements Play Store / Microsoft Store
OTA Booking.com, Airbnb, Expedia, VRBO, Agoda et ~60 autres canaux Responsables autonomes Gestion des réservations envers le voyageur
Serrures connectées (optionnel) Tuya Smart (CN) Sous-traitant Gestion des accès domotiques, uniquement si activé par l'établissement
Professionnels Experts-comptables, avocats, consultants IT Sous-traitants / Responsables autonomes Conseils spécialisés, uniquement si nécessaires

7.2 Liste des Sous-traitants ultérieurs (art. 28.4 RGPD)

La liste mise à jour est publiée et toujours consultable sur vezpa.it/subprocessors. Les éventuelles variations (nouveaux sous-traitants ultérieurs, remplacements) sont communiquées aux Responsables (établissements) avec un préavis d'au moins 30 jours permettant l'opposition (art. 28.2 RGPD).

7.3 Transferts hors UE

Base juridique des transferts (Chapitre V RGPD) :
  • USA — EU-U.S. Data Privacy Framework (Décision (UE) 2023/1795) : Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC — certifications actives au DPF (vérification sur dataprivacyframework.gov/list (s'ouvre dans un nouvel onglet))
  • USA — Clauses Contractuelles Types (CCT) 2021/914 : Apple Inc. n'adhère pas au DPF ; la relation contractuelle pour les utilisateurs UE est avec Apple Distribution International Ltd (Irlande) et les éventuels transferts internes au groupe Apple vers les USA sont régis par les CCT et les mécanismes d'adéquation internes
  • Nouvelle-Zélande — Décision d'adéquation (Décision 2013/65/UE) : STAAH Limited
  • Chine (optionnel) : Tuya Smart — Clauses Contractuelles Types (CCT) 2021/914 + mesures supplémentaires (minimisation et pseudonymisation). Transfert effectué uniquement pour les établissements activant les serrures connectées.

Pour chaque sous-traitant ultérieur hors UE, le mécanisme de transfert applicable est documenté. Les CCT et les éventuels Transfer Impact Assessments sont disponibles pour le Responsable sur demande.

8. Droits de la personne concernée (art. 15-22 RGPD)

8.1 Droits exerçables

Droit Art. RGPD Description
Accès Art. 15 Obtenir confirmation de l'existence de vos données et en recevoir une copie
Rectification Art. 16 Corriger des données inexactes ou les compléter
Effacement ("oubli") Art. 17 Obtenir l'effacement des données (avec exceptions pour obligations légales)
Limitation Art. 18 Limiter le traitement dans certaines conditions
Portabilité Art. 20 Recevoir les données dans un format structuré (CSV, JSON) et les transférer à un autre responsable
Opposition Art. 21 S'opposer au traitement fondé sur l'intérêt légitime
Retrait du consentement Art. 7.3 Retirer à tout moment le consentement au marketing
Réclamation Art. 77 Introduire une réclamation auprès du Garante
Pas de profilage automatisé Art. 22 Ne pas faire l'objet de décisions fondées exclusivement sur un traitement automatisé

8.2 Comment exercer vos droits

Vous pouvez exercer vos droits par :

8.3 Délais de réponse

Vezpa répond aux demandes dans un délai de 30 jours à compter de la réception (prolongeable de 60 jours supplémentaires dans les cas complexes, avec communication motivée).

8.4 Limitations des droits

Certains droits (effacement, limitation) pourraient ne pas être exercés lorsque :

9. Violation de données et notifications (art. 33-34 RGPD)

9.1 Procédure en cas de violation de données

En cas de violation de données à caractère personnel (data breach), Vezpa :

  1. 📊 Évalue l'incident dans les 24 heures suivant la découverte
  2. 📢 Notifie le Garante dans les 72 heures (s'il y a un risque pour les droits des personnes concernées)
  3. 📧 Communique aux personnes concernées sans retard injustifié (s'il y a un risque élevé)
  4. 📝 Documente l'incident dans le registre des violations
  5. 🔧 Adopte des mesures correctives pour prévenir de futures violations

9.2 Transparence

En cas de violation de données vous concernant, vous recevrez une communication contenant :

10. Analyse d'impact relative à la protection des données (AIPD)

Vezpa a engagé l'Analyse d'Impact relative à la Protection des Données (AIPD) au sens de l'art. 35 RGPD, compte tenu du traitement systématique de documents d'identité de personnes concernées de plusieurs États membres UE et des transferts vers des sous-traitants ultérieurs hors UE.

Périmètre de l'AIPD :

L'AIPD et les éventuelles mesures d'atténuation supplémentaires sont mises à jour périodiquement. En cas de risque résiduel élevé, Vezpa procédera à la consultation préalable auprès du Garante au sens de l'art. 36 RGPD. Le Responsable (établissement) peut demander un résumé de l'AIPD en écrivant à info@vezpa.it.

11. Sous-traitant (art. 28 RGPD)

11.1 Accords avec les clients (pour les données des clients hébergés)

Lorsque le gestionnaire de l'établissement utilise Vezpa pour traiter les données des clients hébergés :

11.2 Contenu du DPA

L'Accord de traitement des données contient, au sens de l'art. 28.3 RGPD :

Le DPA fait partie intégrante des Conditions de service et est accepté lors de l'inscription de l'établissement.

12. Privacy by Design et by Default (art. 25 RGPD)

12.1 Privacy by Design

Vezpa intègre la protection des données dès la conception :

12.2 Privacy by Default

Les paramètres par défaut maximisent la protection de la vie privée :

13. Registre des activités de traitement (art. 30 RGPD)

Vezpa tient un registre complet de toutes les activités de traitement, contenant :

Le registre est disponible sur demande du Garante.

14. Modifications de l'information

Cette information peut être modifiée pour :

Les modifications substantielles seront communiquées par email avec un préavis d'au moins 30 jours.

La date de dernière mise à jour est toujours indiquée en haut du document.

📞 Contacts pour la confidentialité et le RGPD

Bureau de la protection des données :
📧 Email : info@vezpa.it
📧 PEC : lavezpa@pec.it
📮 Adresse : Desenzano del Garda, via San Zeno 67

Autorité italienne de protection des données (Garante) :
Piazza Venezia, 11 - 00187 Rome
📧 Email : garante@gpdp.it
📧 PEC : protocollo@pec.gpdp.it
📞 Tel : +39 06.696771
🌐 Web : www.garanteprivacy.it (s'ouvre dans un nouvel onglet)

Autorité de protection des données en Belgique (APD/GBA) :
Rue de la Presse 35 - 1000 Bruxelles
🌐 Web : www.dataprotectionauthority.be (s'ouvre dans un nouvel onglet)