INFORMACIÓN RGPD COMPLETA
Vezpa - Property Management System
Cumplimiento del Reglamento UE 2016/679
Última actualización: 5 de noviembre de 2026
1. Introducción y ámbito de aplicación
La presente información describe cómo Vezpa di Paolo Vezzola (en adelante "Vezpa" o "Nosotros") trata los datos personales de conformidad con:
- Reglamento UE 2016/679 (RGPD)
- Decreto Legislativo 196/2003 (Código de Privacidad italiano) modificado por el D.Lgs. 101/2018
- Resoluciones y directrices de la autoridad italiana de protección de datos (Garante)
1.1 A quién se aplica
Esta información se aplica a:
- Gestores de establecimientos de alojamiento que utilizan Vezpa (clientes directos)
- Huéspedes que se alojan en establecimientos que utilizan Vezpa
- Socios comerciales y proveedores
- Visitantes del sitio web vezpa.it
1.2 Doble rol de Vezpa
Vezpa opera con dos roles distintos:
- RESPONSABLE Para los datos de los gestores de los establecimientos (clientes)
- ENCARGADO Para los datos de los huéspedes (tratamos los datos siguiendo las instrucciones del gestor del establecimiento)
2. Identidad y datos de contacto del Responsable del tratamiento
Responsable del tratamiento:
Vezpa di Paolo Vezzola
Domicilio social: Desenzano del Garda (BS), 25015, via San Zeno 67
NIF italiano (P.IVA): 04449070988
Código fiscal: VZZPLA84C10D284C
PEC: lavezpa@pec.it
Email: info@vezpa.it
3. Categorías de datos personales tratados
3.1 Datos de los gestores (clientes)
| Categoría | Tipología de datos | Carácter |
|---|---|---|
| Datos identificativos | Nombre, apellidos, fecha de nacimiento, código fiscal | Obligatorios |
| Datos de contacto | Email, teléfono, dirección | Obligatorios |
| Datos empresariales | Razón social, NIF, datos del establecimiento | Obligatorios |
| Datos de pago | IBAN, tarjeta de crédito (a través de Stripe) | Obligatorios para suscripción |
| Datos de uso | Registros de acceso, IP, actividad en la plataforma | Automáticos |
| Datos de comunicaciones | Email, chat de soporte, tickets | Voluntarios |
3.2 Datos de los huéspedes (como Encargado del tratamiento)
| Categoría | Tipología de datos | Base jurídica (del Responsable) |
|---|---|---|
| Datos personales | Nombre, apellidos, fecha y lugar de nacimiento, nacionalidad, género | Obligación legal (ley italiana TULPS, art. 109 y normativas equivalentes UE) |
| Documento de identidad | Tipo, número, fecha de expedición, organismo, imagen escaneada o fotografiada | Obligación legal |
| Extracción OCR | Datos de texto extraídos automáticamente del documento (nombre, fecha, número) | Ejecución del contrato (art. 6.1.b) - solo para facilitar la introducción de datos por parte del operador, sin finalidades analíticas, de elaboración de perfiles ni de decisión autónoma |
| Datos de contacto | Email, teléfono, dirección | Ejecución del contrato |
| Datos de reserva | Fechas de estancia, número de huéspedes, habitación, tarifas, régimen | Ejecución del contrato |
| Datos de pago | Transacciones, recibos (datos de tarjeta gestionados por Stripe, no almacenados en Vezpa) | Ejecución del contrato + obligación fiscal |
Los documentos de identidad recogidos pueden contener elementos calificables como "categorías especiales" en virtud del art. 9 RGPD, típicamente:
- Lugar de nacimiento (del que se puede deducir el origen étnico)
- Imagen fotográfica del rostro (no utilizada para reconocimiento biométrico automatizado)
Licitud del tratamiento: art. 9.2.b (cumplimiento de obligaciones en materia de derecho laboral, seguridad y protección social), 9.2.g (motivos de interés público esencial - registros de seguridad pública) y 9.2.f (formulación, ejercicio o defensa de reclamaciones). Finalidades limitadas a los cumplimientos impuestos por la ley frente a las autoridades públicas.
Medidas adicionales: acceso limitado a los roles autorizados (director, asistente), ninguna elaboración de perfiles sobre dichos datos, ninguna comunicación a terceros fuera de las autoridades públicas destinatarias.
Vezpa no recoge deliberadamente otras categorías especiales de datos (opiniones políticas/religiosas, datos de salud, datos genéticos, orientación sexual). Si tales datos fueran introducidos por error por el usuario, deben eliminarse inmediatamente.
4. Finalidad y base jurídica del tratamiento
4.1 Para los gestores (clientes)
| Finalidad | Base jurídica (Art. 6 RGPD) | Conservación |
|---|---|---|
| Prestación del servicio PMS | Art. 6.1.b - Ejecución del contrato | Duración del contrato + 10 años |
| Facturación y contabilidad | Art. 6.1.c - Obligación legal | 10 años (obligación fiscal) |
| Asistencia al cliente | Art. 6.1.b - Ejecución del contrato | Duración del contrato + 2 años |
| Seguridad y prevención del fraude (registros de aplicación, anomalías) | Art. 6.1.f - Interés legítimo | 12 meses estándar, hasta 24 meses para investigaciones activas documentadas (Resolución 352/2022 de la autoridad italiana de protección de datos) |
| Mejora del servicio | Art. 6.1.f - Interés legítimo | 2 años (datos agregados anónimos) |
| Marketing directo | Art. 6.1.a - Consentimiento | Hasta la revocación del consentimiento |
| Defensa de derechos en juicio | Art. 6.1.f - Interés legítimo | 10 años |
4.2 Para los huéspedes (por instrucción del Gestor)
| Finalidad | Base jurídica | Conservación |
|---|---|---|
| Registro de huéspedes y comunicación a la Questura | Art. 6.1.c - Obligación legal (ley italiana TULPS, art. 109, D.Lgs. 159/2011) | Mínimo 2 años |
| Comunicaciones ISTAT | Art. 6.1.c - Obligación legal | Según normativa ISTAT |
| Impuesto de estancia (Paytourist) | Art. 6.1.c - Obligación legal | Según normativa municipal |
| Gestión de reserva y estancia | Art. 6.1.b - Ejecución del contrato | 10 años (finalidades fiscales) |
| Check-in online y comunicaciones | Art. 6.1.b - Ejecución del contrato | Duración de la estancia + periodo de conservación del establecimiento |
Para muchas actividades NO es necesario el consentimiento porque se basan en:
- Ejecución del contrato (es usted quien ha solicitado el servicio)
- Obligaciones legales (comunicaciones obligatorias a las autoridades)
- Interés legítimo (seguridad, mejora del servicio)
El consentimiento se solicita SOLO para marketing y elaboración de perfiles.
5. Modalidades del tratamiento
5.1 Principios del tratamiento (Art. 5 RGPD)
Vezpa trata los datos personales de conformidad con los siguientes principios:
- Licitud, lealtad, transparencia: tratamos los datos de forma lícita y le informamos con claridad
- Limitación de la finalidad: usamos los datos solo para los fines declarados
- Minimización de datos: recogemos únicamente los datos estrictamente necesarios
- Exactitud: mantenemos los datos actualizados y precisos
- Limitación del plazo de conservación: conservamos los datos solo el tiempo necesario
- Integridad y confidencialidad: protegemos los datos con medidas de seguridad adecuadas
- Responsabilidad proactiva (accountability): podemos demostrar el cumplimiento del RGPD
5.2 Medios de tratamiento
Los datos se tratan con herramientas:
- Informáticas: servidores, bases de datos, aplicaciones web/móvil
- En papel: solo para documentos necesarios (contratos, facturas)
5.3 Modalidades de acceso
Los datos son accesibles a:
- Personal autorizado de Vezpa (con credenciales personales)
- Acceso basado en el principio de "necesidad de conocer" (privilegio mínimo)
- Registros de acceso trazados y monitorizados
6. Medidas de seguridad (Art. 32 RGPD)
6.1 Medidas técnicas
6.2 Medidas organizativas
6.3 Estándares de referencia
- Servidor UE: infraestructura principal DigitalOcean región Fráncfort (FRA1)
- PCI-DSS: pagos gestionados a través de Stripe, certificado PCI-DSS Nivel 1 (Vezpa no almacena datos de tarjeta)
- Subproveedores certificados: cuando sea aplicable (ISO 27001, SOC 2, DPF) - véase la página de subencargados
7. Destinatarios de los datos (Art. 13.1.e RGPD)
7.1 Categorías de destinatarios
Los datos pueden comunicarse a las siguientes categorías de destinatarios. La lista nominativa y siempre actualizada se publica en vezpa.it/subprocessors.
| Categoría | Destinatarios | Rol | Finalidad |
|---|---|---|---|
| Autoridades públicas IT | AlloggiatiWeb (Questura), ISTAT, Ayuntamientos (PayTourist), Agenzia delle Entrate | Responsables autónomos | Obligación legal |
| Autoridades públicas UE | Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) | Responsables autónomos | Obligación legal del Responsable (establecimiento) |
| Alojamiento / Almacenamiento / CDN | DigitalOcean LLC (servidor Fráncfort, Spaces, Redis) | Encargado | Infraestructura informática |
| Pagos | Stripe Payments Europe Ltd / Stripe Inc. | Encargado | Procesamiento de pagos |
| IONOS SE (DE) | Encargado | Envío de emails transaccionales y PEC | |
| Sendinblue SAS - Brevo (FR) | Encargado | Envío de correos y recepción de los correos de los huéspedes | |
| Asistente de IA | Anthropic, PBC (EE. UU.) | Encargado | Respuestas a los mensajes de los huéspedes (opcional) |
| Mensajes de WhatsApp | Meta Platforms Ireland Limited (IE) | Encargado | Mensajes de WhatsApp entre el alojamiento y los huéspedes (opcional) |
| Agente de voz telefónico | Plataforma de voz elegida por el alojamiento (p. ej., Retell, Vapi, ElevenLabs) | Encargado del alojamiento, no de Vezpa | Atención de llamadas en nombre del alojamiento: Vezpa transmite solo los datos necesarios para responder y recibe mensajes y resúmenes de las llamadas (opcional) |
| Notificaciones push móviles | Google LLC (Firebase Cloud Messaging) | Encargado | Envío de notificaciones push a dispositivos móviles |
| Traducción automática | Google LLC (Google Cloud Translation API) | Encargado | Traducción de los mensajes de los huéspedes recibidos de los canales OTA y, a petición del gestor, de los extras |
| Channel Manager OTA | STAAH Limited (Nueva Zelanda) | Encargado | Sincronización de reservas con OTA |
| Compras dentro de la app - Apple | Apple Distribution International Ltd (IE) / Apple Inc. (EE. UU.) | Responsable autónomo (tienda) | Gestión de suscripciones App Store. Apple no se adhiere al DPF: las transferencias a EE. UU. se rigen por CCT 2021/914 |
| Compras dentro de la app - Google / Microsoft | Google Ireland Ltd / Google LLC (EE. UU., DPF), Microsoft Ireland / Microsoft Corp. (EE. UU., DPF) | Responsables autónomos (tiendas) | Gestión de suscripciones Play Store / Microsoft Store |
| OTA | Booking.com, Airbnb, Expedia, VRBO, Agoda y ~60 canales más | Responsables autónomos | Gestión de reservas con el viajero |
| Cerraduras inteligentes (opcional) | Tuya Smart (CN) | Encargado | Gestión de accesos domóticos, solo si la activa el establecimiento |
| Profesionales | Asesores fiscales, abogados, consultores informáticos | Encargados / Responsables autónomos | Consultoría especializada, solo cuando sea necesaria |
7.2 Lista de Subencargados del tratamiento (art. 28.4 RGPD)
La lista actualizada se publica y está siempre disponible en vezpa.it/subprocessors. Cualquier variación (nuevos subencargados, sustituciones) se comunica a los Responsables (establecimientos) con un preaviso de al menos 30 días para permitir la oposición (art. 28.2 RGPD).
7.3 Transferencias fuera de la UE
- EE. UU. - EU-U.S. Data Privacy Framework (Decisión (UE) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC - certificaciones activas en el DPF (verificación en dataprivacyframework.gov/list (se abre en una pestaña nueva))
- EE. UU. - Cláusulas Contractuales Tipo (CCT 2021/914): Apple Inc. no se adhiere al DPF; la relación contractual para los usuarios UE es con Apple Distribution International Ltd (Irlanda) y las eventuales transferencias internas del grupo Apple hacia EE. UU. se rigen por CCT y mecanismos de adecuación internos
- Nueva Zelanda - Decisión de adecuación (Decisión 2013/65/UE): STAAH Limited
- China (opcional): Tuya Smart - Cláusulas Contractuales Tipo (CCT) 2021/914 + medidas suplementarias (minimización y seudonimización). Transferencia efectuada solo para los establecimientos que activan las cerraduras inteligentes.
Para cada subencargado de fuera de la UE se documenta el mecanismo de transferencia aplicable. Las CCT y las eventuales evaluaciones de impacto de las transferencias están disponibles para el Responsable a petición.
8. Derechos del interesado (Arts. 15-22 RGPD)
8.1 Derechos ejercitables
| Derecho | Art. RGPD | Descripción |
|---|---|---|
| Acceso | Art. 15 | Obtener confirmación de la existencia de sus datos y recibir copia |
| Rectificación | Art. 16 | Corregir datos inexactos o completarlos |
| Supresión ("derecho al olvido") | Art. 17 | Obtener la supresión de los datos (con excepciones por obligaciones legales) |
| Limitación | Art. 18 | Limitar el tratamiento en determinadas condiciones |
| Portabilidad | Art. 20 | Recibir los datos en formato estructurado (CSV, JSON) y transferirlos a otro responsable |
| Oposición | Art. 21 | Oponerse al tratamiento basado en interés legítimo |
| Revocación del consentimiento | Art. 7.3 | Revocar el consentimiento al marketing en cualquier momento |
| Reclamación | Art. 77 | Presentar reclamación ante la autoridad de protección de datos |
| No elaboración de perfiles automatizada | Art. 22 | No ser objeto de decisiones basadas únicamente en el tratamiento automatizado |
8.2 Cómo ejercer los derechos
Puede ejercer sus derechos a través de:
- Email: info@vezpa.it
- PEC: lavezpa@pec.it
- Correo certificado con acuse de recibo: Vezpa di Paolo Vezzola, Desenzano del Garda, via San Zeno 67
- Área privada: Sección "Privacidad y Datos" en el panel de control (para algunos derechos)
8.3 Plazos de respuesta
Vezpa responde a las solicitudes en un plazo de 30 días desde la recepción (prorrogables por 60 días adicionales en casos complejos, con comunicación motivada).
8.4 Limitaciones a los derechos
Algunos derechos (supresión, limitación) podrían no ser ejercitables cuando:
- Existen obligaciones legales que nos imponen conservar los datos
- Los datos son necesarios para defender derechos en juicio
- Prevalece un interés público
9. Violaciones de la seguridad de los datos y notificaciones (Arts. 33-34 RGPD)
9.1 Procedimiento en caso de violación de datos
En caso de violación de la seguridad de los datos personales, Vezpa:
- Evalúa el incidente en un plazo de 24 horas desde el descubrimiento
- Notifica a la autoridad de control en un plazo de 72 horas (si existe riesgo para los derechos de los interesados)
- Comunica a los interesados sin demora injustificada (si existe alto riesgo)
- Documenta el incidente en el registro de violaciones
- Adopta medidas correctivas para prevenir futuras violaciones
9.2 Transparencia
En caso de una violación de la seguridad de los datos que le afecte, recibirá una comunicación que contendrá:
- Naturaleza de la violación
- Datos afectados
- Posibles consecuencias
- Medidas adoptadas y recomendadas
- Contactos de la Oficina de Privacidad
10. Evaluación de Impacto sobre la Protección de Datos (EIPD)
Vezpa ha iniciado la Evaluación de Impacto sobre la Protección de Datos (EIPD) en virtud del art. 35 RGPD, en consideración del tratamiento sistemático de documentos de identidad de interesados de varios Estados UE y de las transferencias a subencargados de fuera de la UE.
Ámbito de la EIPD:
- Tratamiento de datos personales y documentos de identidad de huéspedes a través de varios conectores gubernamentales
- Flujos hacia el channel manager OTA y transferencias fuera de la UE
- OCR automático sobre imágenes de documentos
- Integración con servicios de autenticación biométrica a nivel de dispositivo
La EIPD y las eventuales medidas de mitigación adicionales se actualizan periódicamente. En caso de riesgo residual elevado, Vezpa procederá a la consulta previa a la autoridad de control en virtud del art. 36 RGPD. El Responsable (establecimiento) puede solicitar un resumen de la EIPD escribiendo a info@vezpa.it.
11. Encargado del tratamiento (Art. 28 RGPD)
11.1 Acuerdos con los clientes (para datos de huéspedes)
Cuando el gestor del establecimiento utiliza Vezpa para tratar datos de los huéspedes:
- El gestor es el Responsable del tratamiento
- Vezpa es el Encargado del tratamiento
- Se celebra un Contrato de encargo del tratamiento (DPA) en virtud del art. 28 RGPD
11.2 Contenido del DPA
El Contrato de encargo del tratamiento contiene, en virtud del art. 28.3 RGPD:
- Objeto y duración del tratamiento
- Naturaleza y finalidad del tratamiento
- Tipo de datos personales y categorías de interesados
- Obligaciones y derechos del Responsable
- Instrucciones documentadas sobre el tratamiento
- Medidas de seguridad aplicadas
- Subencargados autorizados con preaviso de sustitución
- Asistencia al Responsable para derechos de los interesados, EIPD y violaciones de la seguridad de los datos
- Obligaciones de supresión o devolución al final
El DPA forma parte integrante de los Términos del Servicio y se acepta en el momento del registro del establecimiento.
12. Protección de datos desde el diseño y por defecto (Art. 25 RGPD)
12.1 Protección de datos desde el diseño
Vezpa integra la protección de datos desde el diseño:
- Cifrado nativo en todas las comunicaciones
- Seudonimización cuando sea posible
- Minimización de los datos recogidos
- Controles de acceso granulares
- Registro de auditoría completo de todas las operaciones
12.2 Protección de datos por defecto
Los ajustes predeterminados maximizan la privacidad:
- Solo los datos estrictamente necesarios son obligatorios
- Conservación automática durante el periodo mínimo legal
- Marketing opt-in (no opt-out)
- Visibilidad de los datos limitada al mínimo necesario
13. Registro de actividades de tratamiento (Art. 30 RGPD)
Vezpa mantiene un registro completo de todas las actividades de tratamiento, que contiene:
- Nombre y datos de contacto del responsable y del DPD
- Finalidad del tratamiento
- Descripción de las categorías de interesados y datos
- Categorías de destinatarios
- Transferencias a países terceros
- Plazos de conservación previstos
- Descripción de las medidas de seguridad
El registro está disponible a petición de la autoridad de control.
14. Modificaciones de la información
Esta información puede modificarse por:
- Evoluciones normativas
- Nuevas funcionalidades del servicio
- Cambios organizativos
Las modificaciones sustanciales serán comunicadas por email con al menos 30 días de preaviso.
La fecha de la última actualización se indica siempre al inicio del documento.
Contactos para Privacidad y RGPD
Oficina de Privacidad:
Email: info@vezpa.it
PEC: lavezpa@pec.it
Dirección: Desenzano del Garda, via San Zeno 67
Autoridad italiana de protección de datos (Garante per la Protezione dei Dati Personali):
Piazza Venezia, 11 - 00187 Roma
Email: garante@gpdp.it
PEC: protocollo@pec.gpdp.it
Tel: +39 06.696771
Web: www.garanteprivacy.it (se abre en una pestaña nueva)
Los usuarios en España pueden también dirigirse a la Agencia Española de Protección de Datos - AEPD (www.aepd.es (se abre en una pestaña nueva)).