FULDSTÆNDIG GDPR-MEDDELELSE

1. Indledning og anvendelsesomrade

Denne meddelelse beskriver, hvordan Vezpa di Paolo Vezzola (herefter "Vezpa" eller "Vi") behandler personoplysninger i overensstemmelse med:

• EU-forordning 2016/679 (GDPR)
• Lovdekret 196/2003 (italiensk privatlivskodeks) som ændret ved lovdekret 101/2018
• Foranstaltninger og retningslinjer fra den italienske databeskyttelsesmyndighed (Garante)

1.1 Hvem den gælder for

Denne meddelelse gælder for:

• 👤 Forvaltere af indkvarteringssteder, der anvender Vezpa (direkte kunder)
• 🏨 Gæster, der bor pa indkvarteringssteder, der anvender Vezpa
• 👔 Forretningspartnere og leverandorer
• 🌐 Besogende pa webstedet vezpa.it

1.2 Vezpas dobbelte rolle

2. Dataansvarliges identitet og kontaktoplysninger

Dataansvarlig:

Vezpa di Paolo Vezzola
Hjemsted: Desenzano del Garda (BS), 25015, via San Zeno 67
Moms-nr.: 04449070988
Skattekode: VZZPLA84C10D284C
PEC: [email protected]
E-mail: [email protected]

3. Kategorier af personoplysninger, der behandles

3.1 Data om forvaltere (kunder)

3.2 Gæsternes data (som Databehandler)

4. Formal og retsgrundlag for behandlingen

4.1 For forvaltere (kunder)

4.2 For gæster (efter instruks fra forvalteren)

5. Behandlingsmade

5.1 Behandlingsprincipper (art. 5 GDPR)

Vezpa behandler personoplysninger under overholdelse af folgende principper:

• ✅ Lovlighed, rimelighed og gennemsigtighed: vi behandler data lovligt og informerer Dem tydeligt
• ✅ Formalsbegrænsning: vi bruger data kun til de angivne formal
• ✅ Dataminimering: vi indsamler kun strengt nodvendige data
• ✅ Nojagtighed: vi holder data opdaterede og nojagtige
• ✅ Opbevaringsbegrænsning: vi opbevarer data kun sa længe, det er nodvendigt
• ✅ Integritet og fortrolighed: vi beskytter data med passende sikkerhedsforanstaltninger
• ✅ Ansvarlighed (accountability): vi kan dokumentere overholdelse af GDPR

5.2 Behandlingsmidler

Data behandles med værktojer:

• 💻 Edb-baseret: servere, databaser, web-/mobilapplikationer
• 📄 Pa papir: kun for nodvendige dokumenter (kontrakter, fakturaer)

5.3 Adgangsmade

Data er tilgængelige for:

• 👥 Autoriseret Vezpa-personale (med personlige loginoplysninger)
• 🔐 Adgang baseret pa "need to know"-princippet (mindste privilegium)
• 📝 Adgangslogs sporet og overvaget

6. Sikkerhedsforanstaltninger (art. 32 GDPR)

6.1 Tekniske foranstaltninger

6.2 Organisatoriske foranstaltninger

6.3 Referencestandarder

• 🏆 EU-servere: primær infrastruktur DigitalOcean Frankfurt-region (FRA1)
• 🏆 PCI-DSS: betalinger handteret via Stripe, PCI-DSS Level 1-certificeret (Vezpa lagrer ikke kortdata)
• 🏆 Certificerede underleverandorer: hvor det er relevant (ISO 27001, SOC 2, DPF) — se side om underdatabehandlere

7. Modtagere af data (art. 13.1.e GDPR)

7.1 Kategorier af modtagere

Data kan videregives til folgende kategorier af modtagere. Den navneliste, der altid er opdateret, er offentliggjort pa vezpa.it/subprocessors.

7.2 Liste over underdatabehandlere (art. 28.4 GDPR)

Den opdaterede liste er offentliggjort og altid tilgængelig pa vezpa.it/subprocessors. Eventuelle ændringer (nye underdatabehandlere, udskiftninger) meddeles de Dataansvarlige (indkvarteringssteder) med mindst 30 dages varsel for at muliggore indsigelse (art. 28.2 GDPR).

7.3 Overforsler uden for EU

8. Den registreredes rettigheder (art. 15-22 GDPR)

8.1 Rettigheder der kan udoves

8.2 Sadan udover De rettighederne

De kan udove Deres rettigheder gennem:

• 📧 E-mail: [email protected]
• 📧 PEC: [email protected]
• 📮 Anbefalet brev: Vezpa di Paolo Vezzola, Desenzano del Garda, via San Zeno 67
• 💻 Privat omrade: Sektionen "Privatliv og Data" i dashboardet (for nogle rettigheder)

8.3 Svartider

Vezpa svarer pa anmodninger inden for 30 dage fra modtagelsen (kan forlænges med yderligere 60 dage i komplekse tilfælde, med begrundet meddelelse).

8.4 Begrænsninger af rettighederne

Visse rettigheder (sletning, begrænsning) kan muligvis ikke udoves, nar:

• ⚖️ Der findes retlige forpligtelser, der palægger os at opbevare data
• ⚖️ Data er nodvendige for at forsvare rettigheder ved domstolene
• ⚖️ En offentlig interesse har forrang

9. Data breach og meddelelser (art. 33-34 GDPR)

9.1 Procedure i tilfælde af brud pa datasikkerheden

I tilfælde af data breach (brud pa persondatasikkerheden):

1. 📊 Vurderer hændelsen inden for 24 timer efter opdagelsen
2. 📢 Underretter Garante inden for 72 timer (hvis der er risiko for de registreredes rettigheder)
3. 📧 Kommunikerer til de registrerede uden ugrundet ophold (hvis der er hoj risiko)
4. 📝 Dokumenterer hændelsen i fortegnelsen over brud
5. 🔧 Vedtager afhjælpende foranstaltninger for at forebygge fremtidige brud

9.2 Gennemsigtighed

I tilfælde af data breach der vedrorer Dem, modtager De en meddelelse indeholdende:

• Bruddets art
• Involverede data
• Mulige konsekvenser
• Vedtagne og anbefalede foranstaltninger
• Privatlivskontorets kontaktoplysninger

10. Data Protection Impact Assessment (DPIA)

Vezpa har indledt Konsekvensanalysen vedrorende Databeskyttelse (DPIA) i henhold til art. 35 GDPR under hensyn til systematisk behandling af identitetsdokumenter for registrerede fra flere EU-lande og overforslerne til underdatabehandlere uden for EU.

DPIA'ens omrade:

• Behandling af identifikationsoplysninger og identitetsdokumenter for gæster gennem flere regeringskonnektorer
• Stromme til OTA channel manager og overforsler uden for EU
• Automatisk OCR pa dokumentbilleder
• Integration med biometriske autentifikationstjenester pa enhedsniveau

DPIA'en og eventuelle yderligere afhjælpningsforanstaltninger opdateres periodisk. I tilfælde af hoj resterende risiko vil Vezpa forhandsvis konsultere Garante i henhold til art. 36 GDPR. Den Dataansvarlige (indkvarteringssted) kan anmode om en sammendrag af DPIA'en ved at skrive til [email protected].

11. Databehandler (art. 28 GDPR)

11.1 Aftaler med kunder (for gæsternes data)

Nar indkvarteringsstedets forvalter bruger Vezpa til at behandle gæsternes data:

• Forvalteren er den Dataansvarlige
• Vezpa er Databehandleren
• Der indgas en Databehandleraftale (DPA) i henhold til art. 28 GDPR

11.2 DPA'ens indhold

Databehandleraftalen indeholder i henhold til art. 28.3 GDPR:

• 📋 Behandlingens genstand og varighed
• 📋 Behandlingens art og formal
• 📋 Typen af personoplysninger og kategorier af registrerede
• 📋 Den Dataansvarliges forpligtelser og rettigheder
• 📋 Dokumenterede instrukser om behandlingen
• 📋 Implementerede sikkerhedsforanstaltninger
• 📋 Autoriserede underdatabehandlere med varsel om udskiftning
• 📋 Assistance til den Dataansvarlige med de registreredes rettigheder, DPIA og data breach
• 📋 Forpligtelser til sletning eller tilbagelevering ved ophor

DPA'en er en integrerende del af Servicevilkarene og accepteres ved registrering af indkvarteringsstedet.

12. Privacy by Design og by Default (art. 25 GDPR)

12.1 Privacy by Design

Vezpa integrerer databeskyttelse lige fra designfasen:

• 🔒 Native kryptering i al kommunikation
• 🔒 Pseudonymisering hvor muligt
• 🔒 Minimering af indsamlede data
• 🔒 Granulære adgangskontroller
• 🔒 Fuldstændig audit trail af alle operationer

12.2 Privacy by Default

Standardindstillingerne maksimerer privatliv:

• ✅ Kun strengt nodvendige data er obligatoriske
• ✅ Automatisk opbevaring i den minimale lovlige periode
• ✅ Marketing opt-in (ikke opt-out)
• ✅ Datasynlighed begrænset til det minimalt nodvendige

13. Fortegnelse over behandlingsaktiviteter (art. 30 GDPR)

Vezpa forer en fuldstændig fortegnelse over alle behandlingsaktiviteter, indeholdende:

• Navn og kontaktoplysninger for den dataansvarlige og DPO
• Behandlingens formal
• Beskrivelse af kategorier af registrerede og data
• Kategorier af modtagere
• Overforsler til tredjelande
• Forventede opbevaringsperioder
• Beskrivelse af sikkerhedsforanstaltninger

Fortegnelsen er tilgængelig efter anmodning fra Garante.

14. Ændringer af meddelelsen

Denne meddelelse kan ændres pa grund af:

• Lovgivningsmæssige ændringer
• Nye funktioner i tjenesten
• Organisatoriske ændringer

Væsentlige ændringer meddeles via e-mail med mindst 30 dages varsel.

Datoen for seneste opdatering er altid angivet overst i dokumentet.