ПЪЛНА ИНФОРМАЦИЯ ПО ОРЗД

Vezpa - Property Management System

Съответствие с Регламент (ЕС) 2016/679

Последна актуализация: 5 ноември 2026 г.

📌 Правен приоритет: настоящият документ е любезен превод от италианския оригинал. В случай на несъответствие между този превод и италианската версия, италианската версия има предимство като правно обвързваща референция. Италианският оригинал е достъпен тук: https://vezpa.it/gdpr/.
✅ Подход към ОРЗД: Vezpa прилага технически и организационни мерки, съобразени със спазването на Регламент (ЕС) 2016/679. Настоящият документ описва подробно как обработваме личните данни, какви мерки за сигурност прилагаме и как действаме като Обработващ лични данни от името на обектите.

1. Въведение и обхват на приложение

Настоящата информация описва как Vezpa di Paolo Vezzola (наричан по-долу „Vezpa“ или „Ние“) обработва лични данни в съответствие с:

1.1 За кого се прилага

Настоящата информация се прилага за:

1.2 Двойна роля на Vezpa

Vezpa действа в две различни роли:

  • АДМИНИСТРАТОР За данните на управителите на обектите (клиенти)
  • ОБРАБОТВАЩ За данните на гостите (обработваме данни по инструкции на управителя на обекта)

2. Самоличност и данни за контакт на Администратора

Администратор на лични данни:

Vezpa di Paolo Vezzola
Седалище: Desenzano del Garda (BS), 25015, via San Zeno 67
ДДС №: 04449070988
Данъчен код: VZZPLA84C10D284C
PEC: lavezpa@pec.it
Имейл: info@vezpa.it

3. Категории обработвани лични данни

3.1 Данни на управителите (клиенти)

Категория Вид данни Задължителност
Идентификационни данни Име, фамилия, дата на раждане, данъчен код ✅ Задължителни
Данни за контакт Имейл, телефон, адрес ✅ Задължителни
Фирмени данни Наименование, ДДС №, данни за обекта ✅ Задължителни
Платежни данни IBAN, кредитна карта (чрез Stripe) ✅ Задължителни за абонамент
Данни за употреба Логове за достъп, IP, дейност в платформата ⚙️ Автоматични
Данни от комуникации Имейл, чат поддръжка, тикети 📝 Доброволни

3.2 Данни на гостите (като Обработващ лични данни)

Категория Вид данни Правно основание (на Администратора)
Идентификационни данни Име, фамилия, дата и място на раждане, гражданство, пол Законово задължение (италиански закон TULPS, чл. 109 и еквивалентна нормативна уредба в ЕС)
Документ за самоличност Вид, номер, дата на издаване, орган, сканирано или фотографско изображение Законово задължение
OCR извличане Текстови данни, автоматично извлечени от документа (име, дата, номер) Изпълнение на договора (чл. 6.1.б) — само за улесняване на въвеждането на данни от оператора, без аналитични цели, цели за профилиране или самостоятелно вземане на решения
Данни за контакт Имейл, телефон, адрес Изпълнение на договора
Данни за резервацията Дати на престоя, брой гости, стая, тарифи, режим на хранене Изпълнение на договора
Платежни данни Транзакции, разписки (данните за картата се обработват от Stripe, не се съхраняват в Vezpa) Изпълнение на договора + данъчно задължение
⚠️ Специални категории данни (чл. 9 ОРЗД):

Придобитите документи за самоличност могат да съдържат елементи, определени като „специални“ съгласно чл. 9 ОРЗД, обикновено:

  • Място на раждане (от което може да се изведе етнически произход)
  • Фотографско изображение на лицето (не се използва за автоматизирано биометрично разпознаване)

Законосъобразност на обработването: чл. 9.2.б (изпълнение на задължения в областта на трудовото право, сигурността и социалната закрила), 9.2.ж (причини от значителен обществен интерес - регистрации за целите на обществената сигурност) и 9.2.е (установяване на права). Цели, ограничени до задълженията, наложени от закона, към публичните органи.

Допълнителни мерки: достъп, ограничен само до разрешените роли (директор, асистент), никакво профилиране въз основа на такива данни, никакво съобщаване на трети страни извън публичните органи-получатели.

Vezpa не събира умишлено други специални категории данни (политически/религиозни мнения, здравни данни, генетични данни, сексуална ориентация). Ако такива данни бъдат въведени по грешка от потребителя, те трябва да бъдат незабавно премахнати.

4. Цели и правно основание на обработването

4.1 За управителите (клиенти)

Цел Правно основание (чл. 6 ОРЗД) Съхранение
Предоставяне на услугата PMS Чл. 6.1.б - Изпълнение на договора Срок на договора + 10 години
Фактуриране и счетоводство Чл. 6.1.в - Законово задължение 10 години (данъчно задължение)
Клиентска поддръжка Чл. 6.1.б - Изпълнение на договора Срок на договора + 2 години
Сигурност и предотвратяване на измами (логове на приложението, аномалии) Чл. 6.1.е - Легитимен интерес 12 месеца стандартно, до 24 месеца за документирани текущи разследвания (Решение 352/2022 на италианския орган за защита на данните Garante)
Подобряване на услугата Чл. 6.1.е - Легитимен интерес 2 години (анонимни обобщени данни)
Директен маркетинг Чл. 6.1.а - Съгласие До оттегляне на съгласието
Защита на права в съдебен процес Чл. 6.1.е - Легитимен интерес 10 години

4.2 За гостите (по инструкция на Управителя)

Цел Правно основание Съхранение
Регистрация на гости и съобщение до Questura Чл. 6.1.в - Законово задължение (италиански закон TULPS, чл. 109, Законодателен декрет 159/2011) Минимум 2 години
Съобщения до ISTAT Чл. 6.1.в - Законово задължение Съгласно нормативната уредба на ISTAT
Туристически данък (Paytourist) Чл. 6.1.в - Законово задължение Съгласно общинската нормативна уредба
Управление на резервацията и престоя Чл. 6.1.б - Изпълнение на договора 10 години (данъчни цели)
Онлайн настаняване (check-in) и съобщения Чл. 6.1.б - Изпълнение на договора Срок на престоя + период на съхранение на обекта
📌 Забележка относно съгласието:

За много дейности НЕ е необходимо съгласие, защото те се основават на:

  • ✅ Изпълнение на договора (Вие сте поискали услугата)
  • ✅ Законови задължения (задължителни съобщения към властите)
  • ✅ Легитимен интерес (сигурност, подобряване на услугата)

Съгласие се изисква САМО за маркетинг и профилиране.

5. Начин на обработване

5.1 Принципи на обработване (чл. 5 ОРЗД)

Vezpa обработва личните данни при спазване на следните принципи:

5.2 Средства за обработване

Данните се обработват със следните инструменти:

5.3 Начин на достъп

Данните са достъпни за:

6. Мерки за сигурност (чл. 32 ОРЗД)

6.1 Технически мерки

✅ Криптиране при пренос: HTTPS/TLS 1.2+ за всички връзки, HSTS
✅ Криптиране при съхранение: специфични чувствителни данни, криптирани чрез django-cryptography; управлявани томове и моментни снимки, криптирани от страна на инфраструктурата (DigitalOcean)
✅ Хеширане на пароли: PBKDF2 (по подразбиране на Django) със случайна сол
✅ Токени: JWT access token TTL 15 минути, refresh с ротация и черен списък, TTL 60 дни
✅ 2FA TOTP налично в акаунта (django-otp)
✅ Блокиране на ботове и ограничаване на честотата на заявките: специален междинен софтуер, който блокира скенери и известни пътища на атака
✅ Резервни копия: моментни снимки на базата данни, управлявани от доставчика на инфраструктурата, местоположение ЕС
✅ Контрол на достъпа на базата на роли (RBAC): директор, асистент, камериерка, наблюдател
✅ Логове на приложението: проследяване на достъпа, критичните действия и аномалиите
✅ Актуализация на зависимостите: мониторинг на уязвимостите на Python и Flutter пакетите

6.2 Организационни мерки

✅ Административен достъп, ограничен до Администратора (Vezpa понастоящем е едноличен търговец без служители); евентуални външни сътрудници се определят писмено като Обработващи или Оправомощени лица
✅ Документирана процедура за реагиране при инциденти (§9 по-долу)
✅ Защита на данните на етапа на проектирането и по подразбиране (Privacy by Design and by Default), интегрирана в етапите на разработка
✅ Регистър на обработванията (чл. 30 ОРЗД), поддържан и актуализиран
✅ DPA, подписан с всички основни подобработващи
✅ Публичен списък на подобработващите, актуализиран на vezpa.it/subprocessors

6.3 Референтни стандарти

7. Получатели на данните (чл. 13.1.д ОРЗД)

7.1 Категории получатели

Данните могат да бъдат съобщавани на следните категории получатели. Поименният и винаги актуализиран списък е публикуван на vezpa.it/subprocessors.

Категория Получатели Роля Цел
Публични органи IT AlloggiatiWeb (Questura), ISTAT, Общини (PayTourist), Агенция по приходите Самостоятелни администратори Законово задължение
Публични органи ЕС Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) Самостоятелни администратори Законово задължение на Администратора (обекта)
Хостинг / Съхранение / CDN DigitalOcean LLC (сървъри Франкфурт, Spaces, Redis) Обработващ IT инфраструктура
Плащания Stripe Payments Europe Ltd / Stripe Inc. Обработващ Обработване на плащания
Имейл IONOS SE (DE) Обработващ Изпращане на транзакционни имейли и PEC
Имейл Sendinblue SAS - Brevo (FR) Обработващ Изпращане на имейли и получаване на имейли от гостите
Асистент с ИИ Anthropic, PBC (САЩ) Обработващ Отговори на съобщенията на гостите (по избор)
Съобщения в WhatsApp Meta Platforms Ireland Limited (IE) Обработващ Съобщения в WhatsApp между обекта и гостите (по избор)
Гласов агент на телефона Гласова платформа, избрана от обекта (напр. Retell, Vapi, ElevenLabs) Обработващ на обекта, не на Vezpa Отговаряне на обаждания от името на обекта: Vezpa предава само данните, необходими за отговора, и получава съобщения и резюмета на обажданията (по избор)
Push известия на мобилни устройства Google LLC (Firebase Cloud Messaging) Обработващ Изпращане на push известия към мобилни устройства
Автоматичен превод Google LLC (Google Cloud Translation API) Обработващ Превод на съобщенията от гости, получени от OTA каналите, и по искане на управителя — на допълнителните услуги
Channel Manager OTA STAAH Limited (Нова Зеландия) Обработващ Синхронизация на резервации с OTA
Покупки в приложението — Apple Apple Distribution International Ltd (IE) / Apple Inc. (САЩ) Самостоятелен администратор (магазин) Управление на абонаменти в App Store. Apple не участва в DPF: предаването към САЩ се урежда от СДК 2021/914
Покупки в приложението — Google / Microsoft Google Ireland Ltd / Google LLC (САЩ, DPF), Microsoft Ireland / Microsoft Corp. (САЩ, DPF) Самостоятелни администратори (магазини) Управление на абонаменти Play Store / Microsoft Store
OTA Booking.com, Airbnb, Expedia, VRBO, Agoda и около 60 други канала Самостоятелни администратори Управление на резервациите към пътуващия
Интелигентни брави (по избор) Tuya Smart (CN) Обработващ Управление на достъпа чрез домашна автоматизация, само ако е активирано от обекта
Професионалисти Счетоводители, адвокати, IT консултанти Обработващи / Самостоятелни администратори Специализирани консултации, само където е необходимо

7.2 Списък на подобработващите лични данни (чл. 28.4 ОРЗД)

Актуализираният списък е публикуван и винаги достъпен на vezpa.it/subprocessors. Всякакви промени (нови подобработващи, замени) се съобщават на Администраторите (обектите) с предизвестие от поне 30 дни, за да се позволи възражение (чл. 28.2 ОРЗД).

7.3 Предаване извън ЕС

Правно основание на предаването (Глава V ОРЗД):
  • САЩ — EU-U.S. Data Privacy Framework (Решение (ЕС) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC — активни сертификации по DPF (проверка на dataprivacyframework.gov/list (отваря се в нов раздел))
  • САЩ — Стандартни договорни клаузи (СДК 2021/914): Apple Inc. не участва в DPF; договорното отношение за потребителите от ЕС е с Apple Distribution International Ltd (Ирландия), а евентуалното предаване в рамките на групата Apple към САЩ се урежда от СДК и вътрешни механизми за адекватност
  • Нова Зеландия — Решение за адекватност (Решение 2013/65/ЕС): STAAH Limited
  • Китай (по избор): Tuya Smart — Стандартни договорни клаузи (СДК) 2021/914 + допълнителни мерки (свеждане до минимум и псевдонимизация). Предаването се извършва само за обекти, които активират интелигентните брави.

За всеки подобработващ извън ЕС е документиран приложимият механизъм за предаване. СДК и евентуалните оценки на въздействието на предаването (Transfer Impact Assessment) са достъпни за Администратора при поискване.

8. Права на субекта на данни (чл. 15-22 ОРЗД)

8.1 Права, които могат да бъдат упражнени

Право Чл. ОРЗД Описание
Достъп Чл. 15 Получаване на потвърждение за съществуването на Вашите данни и получаване на копие
Коригиране Чл. 16 Коригиране на неточни данни или допълването им
Заличаване („право да бъдеш забравен“) Чл. 17 Получаване на заличаване на данните (с изключения за законови задължения)
Ограничаване Чл. 18 Ограничаване на обработването при определени условия
Преносимост Чл. 20 Получаване на данните в структуриран формат (CSV, JSON) и предаването им на друг администратор
Възражение Чл. 21 Възражение срещу обработването, основано на легитимен интерес
Оттегляне на съгласие Чл. 7.3 Оттегляне на съгласието за маркетинг по всяко време
Жалба Чл. 77 Подаване на жалба до италианския орган за защита на данните (Garante)
Без автоматизирано профилиране Чл. 22 Да не бъдете обект на решения, основани единствено на автоматизирано обработване

8.2 Как да упражните правата си

Можете да упражните правата си чрез:

8.3 Срокове за отговор

Vezpa отговаря на исканията в рамките на 30 дни от получаването (с възможност за удължаване с още 60 дни в сложни случаи, с мотивирано съобщение).

8.4 Ограничения на правата

Някои права (заличаване, ограничаване) може да не могат да бъдат упражнени, когато:

9. Нарушение на сигурността на личните данни и уведомявания (чл. 33-34 ОРЗД)

9.1 Процедура в случай на нарушение на сигурността на личните данни

В случай на нарушение на сигурността на личните данни Vezpa:

  1. 📊 Оценява инцидента в рамките на 24 часа от откриването
  2. 📢 Уведомява италианския орган за защита на данните (Garante) в рамките на 72 часа (ако има риск за правата на субектите)
  3. 📧 Съобщава на субектите без ненужно забавяне (ако има висок риск)
  4. 📝 Документира инцидента в регистъра на нарушенията
  5. 🔧 Приема коригиращи мерки за предотвратяване на бъдещи нарушения

9.2 Прозрачност

В случай на нарушение на сигурността на личните данни, което Ви засяга, ще получите съобщение, съдържащо:

10. Оценка на въздействието върху защитата на данните (DPIA)

Vezpa е започнала Оценка на въздействието върху защитата на данните (DPIA) съгласно чл. 35 ОРЗД, предвид систематичното обработване на документи за самоличност на субекти от няколко държави от ЕС и предаването към подобработващи извън ЕС.

Обхват на DPIA:

DPIA и евентуалните допълнителни мерки за смекчаване на риска се актуализират периодично. В случай на висок остатъчен риск Vezpa ще пристъпи към предварителна консултация с италианския орган за защита на данните (Garante) съгласно чл. 36 ОРЗД. Администраторът (обектът) може да поиска резюме на DPIA, като пише на info@vezpa.it.

11. Обработващ лични данни (чл. 28 ОРЗД)

11.1 Споразумения с клиентите (за данни на гостите)

Когато управителят на обекта използва Vezpa за обработване на данни на гостите:

11.2 Съдържание на DPA

Договорът за обработване на лични данни съдържа, съгласно чл. 28.3 ОРЗД:

DPA е неразделна част от Общите условия за услугата и се приема при регистрация на обекта.

12. Privacy by Design и by Default (чл. 25 ОРЗД)

12.1 Privacy by Design

Vezpa интегрира защитата на данните още от проектирането:

12.2 Privacy by Default

Настройките по подразбиране максимизират поверителността:

13. Регистър на дейностите по обработване (чл. 30 ОРЗД)

Vezpa поддържа пълен регистър на всички дейности по обработване, съдържащ:

Регистърът е достъпен при поискване от италианския орган за защита на данните (Garante).

14. Промени в информацията

Настоящата информация може да бъде изменена поради:

Съществените промени ще бъдат съобщавани по имейл с поне 30 дни предизвестие.

Датата на последната актуализация винаги е посочена в началото на документа.

📞 Контакти за поверителност и ОРЗД

Офис за поверителност:
📧 Имейл: info@vezpa.it
📧 PEC: lavezpa@pec.it
📮 Адрес: Desenzano del Garda, via San Zeno 67

Италиански орган за защита на данните (Garante per la Protezione dei Dati Personali):
Piazza Venezia, 11 - 00187 Рим
📧 Имейл: garante@gpdp.it
📧 PEC: protocollo@pec.gpdp.it
📞 Тел.: +39 06.696771
🌐 Уеб: www.garanteprivacy.it (отваря се в нов раздел)

Потребителите в България могат да се обърнат и към Комисията за защита на личните данни - КЗЛД (www.cpdp.bg (отваря се в нов раздел)).