KOMPLETNÍ INFORMACE GDPR

Vezpa - Property Management System

Soulad s Nařízením EU 2016/679

Poslední aktualizace: 5. listopadu 2026

📌 Právní přednost: tento dokument je zdvořilostním překladem italského originálu. V případě rozporu mezi tímto překladem a italskou verzí má přednost italská verze jako právně závazný referenční text. Italský originál je k dispozici zde: https://vezpa.it/gdpr/.
✅ Přístup GDPR: Vezpa přijímá technická a organizační opatření přiměřená pro dodržování Nařízení EU 2016/679. Tento dokument podrobně popisuje, jak zpracováváme osobní údaje, jaká bezpečnostní opatření přijímáme a jak působíme jako Zpracovatel jménem zařízení.

1. Úvod a oblast působnosti

Tyto informace popisují, jak Vezpa di Paolo Vezzola (dále jen "Vezpa" nebo "My") zpracovává osobní údaje v souladu s:

1.1 Pro koho platí

Tyto informace se vztahují na:

1.2 Dvojí role Vezpa

Vezpa působí ve dvou odlišných rolích:

  • SPRÁVCE Pro údaje provozovatelů zařízení (zákazníků)
  • ZPRACOVATEL Pro údaje hostů (zpracováváme údaje na pokyn provozovatele zařízení)

2. Identita a kontaktní údaje Správce

Správce údajů:

Vezpa di Paolo Vezzola
Sídlo: Desenzano del Garda (BS), 25015, via San Zeno 67
DIČ: 04449070988
Daňové ID: VZZPLA84C10D284C
PEC: lavezpa@pec.it
E-mail: info@vezpa.it

3. Kategorie zpracovávaných osobních údajů

3.1 Údaje provozovatelů (zákazníků)

Kategorie Typ údajů Povinnost
Identifikační údaje Jméno, příjmení, datum narození, daňové ID ✅ Povinné
Kontaktní údaje E-mail, telefon, adresa ✅ Povinné
Firemní údaje Obchodní název, DIČ, údaje o zařízení ✅ Povinné
Platební údaje IBAN, kreditní karta (přes Stripe) ✅ Povinné pro předplatné
Údaje o použití Logy přístupu, IP, aktivity na platformě ⚙️ Automatické
Komunikační údaje E-maily, chat podpory, tikety 📝 Dobrovolné

3.2 Údaje hostů (jako Zpracovatel)

Kategorie Typ údajů Právní základ (Správce)
Identifikační údaje Jméno, příjmení, datum a místo narození, státní občanství, pohlaví Právní povinnost (italský zákon TULPS, čl. 109 a obdobné předpisy EU)
Doklad totožnosti Typ, číslo, datum vydání, orgán, naskenovaný nebo vyfotografovaný snímek Právní povinnost
Extrakce OCR Textové údaje automaticky extrahované z dokumentu (jméno, datum, číslo) Plnění smlouvy (čl. 6.1.b) — pouze pro usnadnění zadávání údajů obsluhou, bez analytických, profilovacích nebo autonomních rozhodovacích účelů
Kontaktní údaje E-mail, telefon, adresa Plnění smlouvy
Údaje o rezervaci Data pobytu, počet hostů, pokoj, sazby, stravování Plnění smlouvy
Platební údaje Transakce, účtenky (údaje karet spravované společností Stripe, neukládané ve Vezpa) Plnění smlouvy + daňová povinnost
⚠️ Zvláštní kategorie údajů (čl. 9 GDPR):

Získané doklady totožnosti mohou obsahovat prvky, které lze označit jako "zvláštní" podle čl. 9 GDPR, typicky:

  • Místo narození (z nějž lze odvodit etnický původ)
  • Fotografie obličeje (nepoužívaná pro automatizované biometrické rozpoznávání)

Zákonnost zpracování: čl. 9.2.b (plnění povinností v oblasti pracovního práva, bezpečnosti a sociální ochrany), 9.2.g (důležité důvody veřejného zájmu - evidence pro účely veřejné bezpečnosti) a 9.2.f (určení právních nároků). Účely omezeny na plnění uložené zákonem vůči veřejným orgánům.

Dodatečná opatření: přístup omezen pouze na oprávněné role (ředitel, asistent), žádné profilování těchto údajů, žádné sdělení třetím stranám mimo cílové veřejné orgány.

Vezpa záměrně neshromažďuje jiné zvláštní kategorie údajů (politické/náboženské názory, zdravotní údaje, genetické údaje, sexuální orientace). Pokud takové údaje uživatel omylem vloží, musí být okamžitě odstraněny.

4. Účely a právní základ zpracování

4.1 Pro provozovatele (zákazníky)

Účel Právní základ (čl. 6 GDPR) Uchovávání
Poskytování služby PMS čl. 6.1.b - Plnění smlouvy Doba trvání smlouvy + 10 let
Fakturace a účetnictví čl. 6.1.c - Právní povinnost 10 let (daňová povinnost)
Zákaznická podpora čl. 6.1.b - Plnění smlouvy Doba trvání smlouvy + 2 roky
Bezpečnost a prevence podvodů (aplikační logy, anomálie) čl. 6.1.f - Oprávněný zájem Standardně 12 měsíců, až 24 měsíců u doložených probíhajících šetření (opatření Garante č. 352/2022)
Zlepšení služby čl. 6.1.f - Oprávněný zájem 2 roky (agregovaná anonymní data)
Přímý marketing čl. 6.1.a - Souhlas Do odvolání souhlasu
Obhajoba práv v soudním řízení čl. 6.1.f - Oprávněný zájem 10 let

4.2 Pro hosty (na pokyn provozovatele)

Účel Právní základ Uchovávání
Registrace hostů a komunikace s Questurou čl. 6.1.c - Právní povinnost (italský zákon TULPS, čl. 109, D.Lgs. 159/2011) Minimálně 2 roky
Oznámení ISTAT čl. 6.1.c - Právní povinnost Podle předpisů ISTAT
Pobytová daň (Paytourist) čl. 6.1.c - Právní povinnost Podle obecních předpisů
Správa rezervace a pobytu čl. 6.1.b - Plnění smlouvy 10 let (daňové účely)
Online check-in a komunikace čl. 6.1.b - Plnění smlouvy Doba pobytu + doba uchovávání stanovená zařízením
📌 Poznámka k souhlasu:

Pro mnoho činností NENÍ nutný souhlas, protože jsou založeny na:

  • ✅ Plnění smlouvy (Vy jste si službu vyžádali)
  • ✅ Právních povinnostech (povinná komunikace s orgány)
  • ✅ Oprávněném zájmu (bezpečnost, zlepšení služby)

Souhlas je vyžadován POUZE pro marketing a profilování.

5. Způsob zpracování

5.1 Zásady zpracování (čl. 5 GDPR)

Vezpa zpracovává osobní údaje v souladu s následujícími zásadami:

5.2 Prostředky zpracování

Údaje jsou zpracovávány pomocí:

5.3 Způsob přístupu

Údaje jsou přístupné:

6. Bezpečnostní opatření (čl. 32 GDPR)

6.1 Technická opatření

✅ Šifrování při přenosu: HTTPS/TLS 1.2+ pro všechna spojení, HSTS
✅ Šifrování dat v klidu: specifické citlivé údaje šifrované pomocí django-cryptography; spravované svazky a snímky šifrované na straně infrastruktury (DigitalOcean)
✅ Hashování hesel: PBKDF2 (výchozí v Django) s náhodnou solí
✅ Tokeny: JWT access token TTL 15 minut, refresh s rotací a blacklistem, TTL 60 dnů
✅ 2FA TOTP k dispozici na účtu (django-otp)
✅ Bot blocker a rate limiting: specializovaný middleware blokující skenery a známé útočné cesty
✅ Zálohování: snímky databáze spravované poskytovatelem infrastruktury, umístění EU
✅ Řízení přístupu na základě rolí (RBAC): ředitel, asistent, pokojská, pozorovatel
✅ Aplikační logy: sledování přístupů, kritických akcí a anomálií
✅ Aktualizace závislostí: monitorování zranitelností balíčků Python a Flutter

6.2 Organizační opatření

✅ Administrativní přístupy omezené na Správce (Vezpa je v současnosti podnikající fyzická osoba bez zaměstnanců); případní externí spolupracovníci jsou písemně jmenováni jako Zpracovatelé nebo Oprávněné osoby
✅ Dokumentovaný postup reakce na incidenty (§9 dále)
✅ Privacy by Design and by Default integrována do vývojových fází
✅ Záznamy o činnostech zpracování (čl. 30 GDPR) vedené a aktualizované
✅ DPA uzavřené se všemi hlavními dalšími zpracovateli
✅ Veřejný seznam dalších zpracovatelů, aktualizovaný na vezpa.it/subprocessors

6.3 Referenční standardy

7. Příjemci údajů (čl. 13.1.e GDPR)

7.1 Kategorie příjemců

Údaje mohou být sděleny následujícím kategoriím příjemců. Jmenovitý a vždy aktualizovaný seznam je zveřejněn na vezpa.it/subprocessors.

Kategorie Příjemci Role Účel
Veřejné orgány IT AlloggiatiWeb (Questura), ISTAT, obce (PayTourist), Agenzia Entrate Samostatní správci Právní povinnost
Veřejné orgány EU Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) Samostatní správci Právní povinnost Správce (zařízení)
Hosting / Storage / CDN DigitalOcean LLC (server Frankfurt, Spaces, Redis) Zpracovatel IT infrastruktura
Platby Stripe Payments Europe Ltd / Stripe Inc. Zpracovatel Zpracování plateb
E-mail IONOS SE (DE) Zpracovatel Zasílání transakčních e-mailů a PEC
E-mail Sendinblue SAS - Brevo (FR) Zpracovatel Odesílání e-mailů a příjem e-mailů od hostů
AI asistent Anthropic, PBC (USA) Zpracovatel Odpovědi na zprávy hostů (volitelné)
Zprávy WhatsApp Meta Platforms Ireland Limited (IE) Zpracovatel Zprávy WhatsApp mezi ubytováním a hosty (volitelné)
Hlasový agent na telefonu Hlasová platforma zvolená ubytováním (např. Retell, Vapi, ElevenLabs) Zpracovatel ubytování, nikoli Vezpy Přijímání hovorů jménem ubytování: Vezpa předává pouze údaje potřebné k odpovědi a přijímá vzkazy a shrnutí hovorů (volitelné)
Mobilní push notifikace Google LLC (Firebase Cloud Messaging) Zpracovatel Zasílání push notifikací na mobilní zařízení
Automatický překlad Google LLC (Google Cloud Translation API) Zpracovatel Překlad zpráv hostů přijatých z kanálů OTA a, na žádost ubytovatele, doplňkových služeb
Channel Manager OTA STAAH Limited (Nový Zéland) Zpracovatel Synchronizace rezervací s OTA
Nákup v aplikaci — Apple Apple Distribution International Ltd (IE) / Apple Inc. (USA) Samostatný správce (store) Správa předplatných App Store. Apple se neúčastní DPF: přenosy do USA upraveny SCC 2021/914
Nákup v aplikaci — Google / Microsoft Google Ireland Ltd / Google LLC (USA, DPF), Microsoft Ireland / Microsoft Corp. (USA, DPF) Samostatní správci (store) Správa předplatných Play Store / Microsoft Store
OTA Booking.com, Airbnb, Expedia, VRBO, Agoda a ~60 dalších kanálů Samostatní správci Správa rezervací vůči cestujícímu
Chytré zámky (volitelné) Tuya Smart (CN) Zpracovatel Správa přístupů v domácí automatizaci, pouze pokud je aktivuje zařízení
Profesionálové Účetní, právníci, IT konzultanti Zpracovatelé / Samostatní správci Specialistické konzultace, pouze kde je to nezbytné

7.2 Seznam dalších zpracovatelů (čl. 28.4 GDPR)

Aktuální seznam je zveřejněn a vždy dostupný na vezpa.it/subprocessors. Případné změny (noví další zpracovatelé, nahrazení) jsou oznámeny Správcům (zařízením) s předstihem alespoň 30 dnů, aby bylo možné vznést námitku (čl. 28.2 GDPR).

7.3 Přenosy mimo EU

Právní základ přenosu (kapitola V GDPR):
  • USA — EU-U.S. Data Privacy Framework (Rozhodnutí (EU) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC — aktivní certifikace DPF (ověření na dataprivacyframework.gov/list (otevře se na nové kartě))
  • USA — Standardní smluvní doložky (SCC 2021/914): Apple Inc. se neúčastní DPF; smluvní vztah pro uživatele EU je s Apple Distribution International Ltd (Irsko) a případné přenosy v rámci skupiny Apple do USA jsou upraveny SCC a interními mechanismy adekvátnosti
  • Nový Zéland — Rozhodnutí o odpovídající ochraně (Rozhodnutí 2013/65/EU): STAAH Limited
  • Čína (volitelné): Tuya Smart — Standardní smluvní doložky (SCC) 2021/914 + doplňující opatření (minimalizace a pseudonymizace). Přenos prováděný pouze pro zařízení, která aktivují chytré zámky.

Pro každého dalšího zpracovatele mimo EU je dokumentován použitelný mechanismus přenosu. SCC a případné Transfer Impact Assessment jsou k dispozici Správci na vyžádání.

8. Práva subjektů údajů (čl. 15-22 GDPR)

8.1 Uplatnitelná práva

Právo čl. GDPR Popis
Přístup čl. 15 Získat potvrzení o existenci Vašich údajů a obdržet jejich kopii
Oprava čl. 16 Oprava nesprávných údajů nebo jejich doplnění
Výmaz ("zapomnění") čl. 17 Získat výmaz údajů (s výjimkami pro právní povinnosti)
Omezení čl. 18 Omezit zpracování za určitých podmínek
Přenositelnost čl. 20 Obdržet údaje ve strukturovaném formátu (CSV, JSON) a převést je jinému správci
Námitka čl. 21 Vznést námitku proti zpracování založenému na oprávněném zájmu
Odvolání souhlasu čl. 7.3 Kdykoli odvolat souhlas s marketingem
Stížnost čl. 77 Podat stížnost u italského úřadu pro ochranu osobních údajů (Garante)
Bez automatizovaného profilování čl. 22 Nepodléhat rozhodnutím založeným výhradně na automatizovaném zpracování

8.2 Jak uplatnit práva

Svá práva můžete uplatnit prostřednictvím:

8.3 Doba odpovědi

Vezpa odpovídá na žádosti do 30 dnů od obdržení (prodloužitelné o dalších 60 dnů ve složitých případech s odůvodněným sdělením).

8.4 Omezení práv

Některá práva (výmaz, omezení) nemusí být uplatnitelná, když:

9. Porušení zabezpečení údajů a oznámení (čl. 33-34 GDPR)

9.1 Postup v případě porušení zabezpečení údajů

V případě porušení zabezpečení osobních údajů (data breach) Vezpa:

  1. 📊 Vyhodnotí incident do 24 hodin od zjištění
  2. 📢 Oznámí to italskému úřadu pro ochranu osobních údajů (Garante) do 72 hodin (pokud je riziko pro práva subjektů údajů)
  3. 📧 Sdělí to subjektům údajů bez zbytečného odkladu (pokud je vysoké riziko)
  4. 📝 Dokumentuje incident v evidenci porušení
  5. 🔧 Přijme nápravná opatření pro prevenci budoucích porušení

9.2 Transparentnost

V případě porušení zabezpečení údajů, které se Vás týká, obdržíte sdělení obsahující:

10. Data Protection Impact Assessment (DPIA)

Vezpa zahájila Posouzení vlivu na ochranu osobních údajů (DPIA) podle čl. 35 GDPR, s ohledem na systematické zpracování dokladů totožnosti subjektů údajů z více členských států EU a přenosů dalším zpracovatelům mimo EU.

Rozsah DPIA:

DPIA a případná dodatečná zmírňující opatření jsou periodicky aktualizovány. V případě vysokého zbytkového rizika Vezpa přistoupí k předchozí konzultaci s italským úřadem pro ochranu osobních údajů (Garante) podle čl. 36 GDPR. Správce (zařízení) může vyžádat souhrn DPIA napsáním na info@vezpa.it.

11. Zpracovatel (čl. 28 GDPR)

11.1 Smlouvy se zákazníky (pro údaje hostů)

Když provozovatel zařízení používá Vezpa pro zpracování údajů hostů:

11.2 Obsah DPA

Smlouva o zpracování osobních údajů obsahuje, podle čl. 28.3 GDPR:

DPA je nedílnou součástí Podmínek služby a je přijímána při registraci zařízení.

12. Privacy by Design a by Default (čl. 25 GDPR)

12.1 Privacy by Design

Vezpa integruje ochranu údajů již od návrhu:

12.2 Privacy by Default

Výchozí nastavení maximalizují soukromí:

13. Záznamy o činnostech zpracování (čl. 30 GDPR)

Vezpa vede úplné záznamy o všech činnostech zpracování, obsahující:

Záznamy jsou k dispozici na vyžádání italského úřadu pro ochranu osobních údajů (Garante).

14. Změny informací

Tyto informace mohou být změněny z důvodu:

Významné změny budou sděleny e-mailem alespoň 30 dnů předem.

Datum poslední aktualizace je vždy uvedeno v záhlaví dokumentu.

📞 Kontakty pro soukromí a GDPR

Oddělení ochrany soukromí:
📧 E-mail: info@vezpa.it
📧 PEC: lavezpa@pec.it
📮 Adresa: Desenzano del Garda, via San Zeno 67

Italský úřad pro ochranu osobních údajů (Garante):
Piazza Venezia, 11 - 00187 Roma
📧 E-mail: garante@gpdp.it
📧 PEC: protocollo@pec.gpdp.it
📞 Tel: +39 06.696771
🌐 Web: www.garanteprivacy.it (otevře se na nové kartě)

Uživatelé v České republice se mohou obrátit i na ÚOOÚ (www.uoou.cz (otevře se na nové kartě)).