FULDSTÆNDIG GDPR-MEDDELELSE

1. Indledning og anvendelsesområde

Denne meddelelse beskriver, hvordan Vezpa di Paolo Vezzola (herefter "Vezpa" eller "Vi") behandler personoplysninger i overensstemmelse med:

• EU-forordning 2016/679 (GDPR)
• Lovdekret 196/2003 (italiensk privatlivskodeks) som ændret ved lovdekret 101/2018
• Foranstaltninger og retningslinjer fra den italienske databeskyttelsesmyndighed (Garante)

1.1 Hvem den gælder for

Denne meddelelse gælder for:

• 👤 Forvaltere af indkvarteringssteder, der anvender Vezpa (direkte kunder)
• 🏨 Gæster, der bor på indkvarteringssteder, der anvender Vezpa
• 👔 Forretningspartnere og leverandører
• 🌐 Besøgende på webstedet vezpa.it

1.2 Vezpas dobbelte rolle

2. Den dataansvarliges identitet og kontaktoplysninger

Dataansvarlig:

Vezpa di Paolo Vezzola
Hjemsted: Desenzano del Garda (BS), 25015, via San Zeno 67
Moms-nr.: 04449070988
Skattenummer (codice fiscale): VZZPLA84C10D284C
PEC: lavezpa@pec.it
E-mail: info@vezpa.it

3. Kategorier af personoplysninger, der behandles

3.1 Data om forvaltere (kunder)

3.2 Gæsternes data (som Databehandler)

4. Formål og retsgrundlag for behandlingen

4.1 For forvaltere (kunder)

4.2 For gæster (efter instruks fra forvalteren)

5. Behandlingsmåde

5.1 Behandlingsprincipper (art. 5 GDPR)

Vezpa behandler personoplysninger under overholdelse af følgende principper:

• ✅ Lovlighed, rimelighed og gennemsigtighed: vi behandler data lovligt og informerer Dem tydeligt
• ✅ Formålsbegrænsning: vi bruger data kun til de angivne formål
• ✅ Dataminimering: vi indsamler kun strengt nødvendige data
• ✅ Nøjagtighed: vi holder data opdaterede og nøjagtige
• ✅ Opbevaringsbegrænsning: vi opbevarer data kun så længe, det er nødvendigt
• ✅ Integritet og fortrolighed: vi beskytter data med passende sikkerhedsforanstaltninger
• ✅ Ansvarlighed (accountability): vi kan dokumentere overholdelse af GDPR

5.2 Behandlingsmidler

Data behandles med følgende værktøjer:

• 💻 Edb-baserede: servere, databaser, web-/mobilapplikationer
• 📄 På papir: kun for nødvendige dokumenter (kontrakter, fakturaer)

5.3 Adgangsmåde

Data er tilgængelige for:

• 👥 Autoriseret Vezpa-personale (med personlige loginoplysninger)
• 🔐 Adgang baseret på "need to know"-princippet (mindste privilegium)
• 📝 Adgangslogs, der registreres og overvåges

6. Sikkerhedsforanstaltninger (art. 32 GDPR)

6.1 Tekniske foranstaltninger

6.2 Organisatoriske foranstaltninger

6.3 Referencestandarder

• 🏆 EU-servere: primær infrastruktur hos DigitalOcean, Frankfurt-regionen (FRA1)
• 🏆 PCI-DSS: betalinger håndteret via Stripe, PCI-DSS Level 1-certificeret (Vezpa lagrer ikke kortdata)
• 🏆 Certificerede underleverandører: hvor det er relevant (ISO 27001, SOC 2, DPF) — se siden om underdatabehandlere

7. Modtagere af data (art. 13.1.e GDPR)

7.1 Kategorier af modtagere

Data kan videregives til følgende kategorier af modtagere. Den navngivne liste, der altid er opdateret, er offentliggjort på vezpa.it/subprocessors.

7.2 Liste over underdatabehandlere (art. 28.4 GDPR)

Den opdaterede liste er offentliggjort og altid tilgængelig på vezpa.it/subprocessors. Eventuelle ændringer (nye underdatabehandlere, udskiftninger) meddeles de Dataansvarlige (indkvarteringssteder) med mindst 30 dages varsel for at muliggøre indsigelse (art. 28.2 GDPR).

7.3 Overførsler uden for EU

8. Den registreredes rettigheder (art. 15-22 GDPR)

8.1 Rettigheder, der kan udøves

8.2 Sådan udøver De rettighederne

De kan udøve Deres rettigheder gennem:

• 📧 E-mail: info@vezpa.it
• 📧 PEC: lavezpa@pec.it
• 📮 Anbefalet brev med modtagelsesbevis: Vezpa di Paolo Vezzola, Desenzano del Garda, via San Zeno 67
• 💻 Privat område: Sektionen "Privatliv og Data" i dashboardet (for nogle rettigheder)

8.3 Svartider

Vezpa svarer på anmodninger inden for 30 dage fra modtagelsen (kan forlænges med yderligere 60 dage i komplekse tilfælde, med begrundet meddelelse).

8.4 Begrænsninger af rettighederne

Visse rettigheder (sletning, begrænsning) kan muligvis ikke udøves, når:

• ⚖️ Der findes retlige forpligtelser, der pålægger os at opbevare data
• ⚖️ Data er nødvendige for at forsvare rettigheder ved domstolene
• ⚖️ En offentlig interesse har forrang

9. Brud på persondatasikkerheden og underretninger (art. 33-34 GDPR)

9.1 Procedure i tilfælde af brud på persondatasikkerheden

I tilfælde af brud på persondatasikkerheden (data breach) gør Vezpa følgende:

1. 📊 Vurderer hændelsen inden for 24 timer efter opdagelsen
2. 📢 Underretter Garante inden for 72 timer (hvis der er risiko for de registreredes rettigheder)
3. 📧 Underretter de registrerede uden unødig forsinkelse (hvis der er høj risiko)
4. 📝 Dokumenterer hændelsen i fortegnelsen over brud
5. 🔧 Træffer afhjælpende foranstaltninger for at forebygge fremtidige brud

9.2 Gennemsigtighed

I tilfælde af et brud på persondatasikkerheden, der vedrører Dem, modtager De en meddelelse indeholdende:

• Bruddets art
• Involverede data
• Mulige konsekvenser
• Trufne og anbefalede foranstaltninger
• Privatlivskontorets kontaktoplysninger

10. Konsekvensanalyse vedrørende databeskyttelse (DPIA)

Vezpa har indledt konsekvensanalysen vedrørende databeskyttelse (DPIA) i henhold til art. 35 GDPR under hensyn til den systematiske behandling af identitetsdokumenter for registrerede fra flere EU-lande og overførslerne til underdatabehandlere uden for EU.

DPIA'ens område:

• Behandling af identifikationsoplysninger og identitetsdokumenter for gæster via flere integrationer med myndigheder
• Datastrømme til OTA-channel manageren og overførsler uden for EU
• Automatisk OCR på dokumentbilleder
• Integration med biometriske autentifikationstjenester på enhedsniveau

DPIA'en og eventuelle yderligere afhjælpende foranstaltninger opdateres periodisk. I tilfælde af høj restrisiko vil Vezpa foretage forudgående høring af Garante i henhold til art. 36 GDPR. Den Dataansvarlige (indkvarteringsstedet) kan anmode om et sammendrag af DPIA'en ved at skrive til info@vezpa.it.

11. Databehandler (art. 28 GDPR)

11.1 Aftaler med kunder (for gæsternes data)

Når indkvarteringsstedets forvalter bruger Vezpa til at behandle gæsternes data:

• Forvalteren er den Dataansvarlige
• Vezpa er Databehandleren
• Der indgås en Databehandleraftale (DPA) i henhold til art. 28 GDPR

11.2 DPA'ens indhold

Databehandleraftalen indeholder i henhold til art. 28.3 GDPR:

• 📋 Behandlingens genstand og varighed
• 📋 Behandlingens art og formål
• 📋 Typen af personoplysninger og kategorier af registrerede
• 📋 Den Dataansvarliges forpligtelser og rettigheder
• 📋 Dokumenterede instrukser om behandlingen
• 📋 Implementerede sikkerhedsforanstaltninger
• 📋 Autoriserede underdatabehandlere med varsel om udskiftning
• 📋 Assistance til den Dataansvarlige med de registreredes rettigheder, DPIA og brud på persondatasikkerheden
• 📋 Forpligtelser til sletning eller tilbagelevering ved ophør

DPA'en er en integrerende del af Servicevilkårene og accepteres ved registrering af indkvarteringsstedet.

12. Privacy by Design og by Default (art. 25 GDPR)

12.1 Privacy by Design

Vezpa integrerer databeskyttelse lige fra designfasen:

• 🔒 Native kryptering i al kommunikation
• 🔒 Pseudonymisering hvor muligt
• 🔒 Minimering af indsamlede data
• 🔒 Granulære adgangskontroller
• 🔒 Fuldstændigt revisionsspor af alle handlinger

12.2 Privacy by Default

Standardindstillingerne maksimerer privatliv:

• ✅ Kun strengt nødvendige data er obligatoriske
• ✅ Automatisk opbevaring i den minimale lovlige periode
• ✅ Marketing opt-in (ikke opt-out)
• ✅ Datasynlighed begrænset til det minimalt nødvendige

13. Fortegnelse over behandlingsaktiviteter (art. 30 GDPR)

Vezpa fører en fuldstændig fortegnelse over alle behandlingsaktiviteter, indeholdende:

• Navn og kontaktoplysninger for den dataansvarlige og DPO
• Behandlingens formål
• Beskrivelse af kategorier af registrerede og data
• Kategorier af modtagere
• Overførsler til tredjelande
• Forventede opbevaringsperioder
• Beskrivelse af sikkerhedsforanstaltninger

Fortegnelsen er tilgængelig efter anmodning fra Garante.

14. Ændringer af meddelelsen

Denne meddelelse kan ændres på grund af:

• Lovgivningsmæssige ændringer
• Nye funktioner i tjenesten
• Organisatoriske ændringer

Væsentlige ændringer meddeles via e-mail med mindst 30 dages varsel.

Datoen for seneste opdatering er altid angivet øverst i dokumentet.