TÄYDELLINEN GDPR-ILMOITUS

Vezpa - Property Management System

EU:n asetuksen 2016/679 mukaisuus

Viimeksi päivitetty: 5. marraskuuta 2026

📌 Oikeudellinen ensisijaisuus: tämä asiakirja on kohteliaisuuskäännös italiankielisestä alkuperäisestä. Ristiriidan sattuessa tämän käännöksen ja italiankielisen version välillä italiankielinen versio on määräävä oikeudellisesti sitovana viitteenä. Italiankielinen alkuperäinen on saatavilla täältä: https://vezpa.it/gdpr/.
GDPR-lähestymistapa: Vezpa toteuttaa teknisiä ja organisatorisia toimenpiteitä, jotka ovat riittäviä EU:n asetuksen 2016/679 noudattamiseksi. Tämä asiakirja kuvaa yksityiskohtaisesti, miten käsittelemme henkilötietoja, mitä turvatoimia otamme käyttöön ja miten toimimme henkilötietojen käsittelijänä majoituskohteiden puolesta.

1. Johdanto ja soveltamisala

Tämä ilmoitus kuvaa, miten Vezpa di Paolo Vezzola (jäljempänä "Vezpa" tai "Me") käsittelee henkilötietoja seuraavien mukaisesti:

1.1 Kenelle sovelletaan

Tämä ilmoitus koskee:

1.2 Vezpan kaksoisrooli

Vezpa toimii kahdella eri roolilla:

  • REKISTERINPITÄJÄ majoituskohteiden ylläpitäjien (asiakkaiden) tietojen osalta
  • HENKILÖTIETOJEN KÄSITTELIJÄ vieraiden tietojen osalta (käsittelemme tietoja majoituskohteen ylläpitäjän ohjeistuksen mukaan)

2. Rekisterinpitäjän henkilöllisyys ja yhteystiedot

Rekisterinpitäjä:

Vezpa di Paolo Vezzola
Rekisteröity toimipaikka: Desenzano del Garda (BS), 25015, via San Zeno 67
ALV-numero: 04449070988
Verotunnus: VZZPLA84C10D284C
PEC: lavezpa@pec.it
Sähköposti: info@vezpa.it

3. Käsiteltävien henkilötietojen kategoriat

3.1 Ylläpitäjien tiedot (asiakkaat)

Kategoria Tietotyypit Pakollisuus
Tunnistetiedot Etunimi, sukunimi, syntymäaika, verotunnus Pakollisia
Yhteystiedot Sähköposti, puhelin, osoite Pakollisia
Yritystiedot Yrityksen nimi, ALV, majoituskohteen tiedot Pakollisia
Maksutiedot IBAN, luottokortti (Stripen kautta) Pakollisia tilausta varten
Käyttötiedot Pääsyloki, IP, toiminta alustalla Automaattisia
Viestintätiedot Sähköposti, tukichat, tiketit Vapaaehtoisia

3.2 Vieraiden tiedot (henkilötietojen käsittelijänä)

Kategoria Tietotyypit Oikeusperuste (rekisterinpitäjän)
Henkilötiedot Etunimi, sukunimi, syntymäaika ja -paikka, kansalaisuus, sukupuoli Lakisääteinen velvoite (Italian TULPS-lain 109 artikla ja vastaavat EU-säädökset)
Henkilöllisyystodistus Tyyppi, numero, myöntämispäivä, myöntävä viranomainen, skannattu tai valokuvattu kuva Lakisääteinen velvoite
OCR-poiminta Asiakirjasta automaattisesti poimitut tekstitiedot (nimi, päivämäärä, numero) Sopimuksen täyttäminen (art. 6.1.b) - vain tietojen syötön helpottamiseksi käyttäjälle, ilman analyyttisiä, profilointi- tai itsenäisiä päätöksentekotarkoituksia
Yhteystiedot Sähköposti, puhelin, osoite Sopimuksen täyttäminen
Varaustiedot Oleskelupäivät, vieraiden lukumäärä, huone, hinnat, ateriasuunnitelma Sopimuksen täyttäminen
Maksutiedot Maksutapahtumat, kuitit (korttitiedot käsittelee Stripe, ei tallenneta Vezpaan) Sopimuksen täyttäminen + verovelvoite
Erityiset henkilötietoryhmät (GDPR art. 9):

Kerätyt henkilöllisyystodistukset voivat sisältää GDPR art. 9 mukaisesti "erityisiksi" luokiteltavia elementtejä, tyypillisesti:

  • Syntymäpaikka (josta voidaan päätellä etninen alkuperä)
  • Kasvojen valokuva (ei käytetä automatisoituun biometriseen tunnistukseen)

Käsittelyn lainmukaisuus: art. 9.2.b (työelämään, sosiaaliturvaan ja sosiaaliseen suojeluun liittyvien velvoitteiden täyttäminen), 9.2.g (merkittävä yleinen etu - yleisen turvallisuuden rekisteröinti) ja 9.2.f (oikeusvaateiden toteuttaminen). Tarkoitukset rajoitettu lakisääteisten velvoitteiden täyttämiseen viranomaisia kohtaan.

Lisätoimet: pääsy rajoitettu vain valtuutettuihin rooleihin (johtaja, avustaja), ei profilointia näiden tietojen perusteella, ei luovutuksia kolmansille osapuolille vastaanottavia viranomaisia lukuun ottamatta.

Vezpa ei tietoisesti kerää muita erityisiä henkilötietoja (poliittiset/uskonnolliset mielipiteet, terveystiedot, geneettiset tiedot, seksuaalinen suuntautuminen). Jos käyttäjä syöttää tällaisia tietoja vahingossa, ne on poistettava välittömästi.

4. Käsittelyn tarkoitus ja oikeusperuste

4.1 Ylläpitäjille (asiakkaat)

Tarkoitus Oikeusperuste (GDPR art. 6) Säilyttäminen
PMS-palvelun toimittaminen Art. 6.1.b - Sopimuksen täyttäminen Sopimuksen kesto + 10 vuotta
Laskutus ja kirjanpito Art. 6.1.c - Lakisääteinen velvoite 10 vuotta (verovelvoite)
Asiakaspalvelu Art. 6.1.b - Sopimuksen täyttäminen Sopimuksen kesto + 2 vuotta
Turvallisuus ja petosten torjunta (sovelluslokit, poikkeavuudet) Art. 6.1.f - Oikeutettu etu 12 kuukautta vakiona, enintään 24 kuukautta dokumentoiduissa käynnissä olevissa tutkinnoissa (Italian tietosuojaviranomaisen päätös 352/2022)
Palvelun parantaminen Art. 6.1.f - Oikeutettu etu 2 vuotta (anonyymit koostetiedot)
Suoramarkkinointi Art. 6.1.a - Suostumus Suostumuksen peruuttamiseen asti
Oikeuksien puolustaminen oikeudessa Art. 6.1.f - Oikeutettu etu 10 vuotta

4.2 Vieraille (ylläpitäjän ohjeistuksella)

Tarkoitus Oikeusperuste Säilyttäminen
Vieraiden rekisteröinti ja ilmoitus poliisille Art. 6.1.c - Lakisääteinen velvoite (Italian TULPS-lain 109 artikla, asetus 159/2011) Vähintään 2 vuotta
ISTAT-ilmoitukset Art. 6.1.c - Lakisääteinen velvoite ISTAT-säädösten mukaisesti
Matkailuvero (Paytourist) Art. 6.1.c - Lakisääteinen velvoite Kunnallisen säädöksen mukaisesti
Varauksen ja oleskelun hallinta Art. 6.1.b - Sopimuksen täyttäminen 10 vuotta (verotuksellisia tarkoituksia varten)
Online-sisäänkirjautuminen ja viestintä Art. 6.1.b - Sopimuksen täyttäminen Oleskelun kesto + majoituskohteen säilytysaika
Huomio suostumuksesta:

Monissa toiminnoissa suostumusta EI tarvita, koska ne perustuvat:

  • Sopimuksen täyttämiseen (te olette pyytäneet palvelua)
  • Lakisääteisiin velvoitteisiin (pakolliset ilmoitukset viranomaisille)
  • Oikeutettuun etuun (turvallisuus, palvelun parantaminen)

Suostumus vaaditaan VAIN markkinoinnissa ja profiloinnissa.

5. Käsittelytavat

5.1 Käsittelyn periaatteet (GDPR art. 5)

Vezpa käsittelee henkilötietoja seuraavien periaatteiden mukaisesti:

5.2 Käsittelyn välineet

Tietoja käsitellään:

5.3 Pääsytavat

Tiedot ovat saatavilla:

6. Turvatoimet (GDPR art. 32)

6.1 Tekniset toimet

Salaus siirron aikana: HTTPS/TLS 1.2+ kaikille yhteyksille, HSTS
Salaus lepotilassa: tietyt arkaluonteiset tiedot salataan django-cryptography:lla; hallitut levyt ja snapshotit salataan infrastruktuurin puolella (DigitalOcean)
Salasanan tiivistys: PBKDF2 (Djangon oletus) satunnaisella suolalla
Tokenit: JWT access token TTL 15 minuuttia, refresh kierrolla ja mustalla listalla, TTL 60 päivää
2FA TOTP saatavilla tileille (django-otp)
Bottien esto ja pyyntöjen määrän rajoitus: erillinen väliohjelmisto, joka estää skannerit ja tunnetut hyökkäyspolut
Varmuuskopiot: tietokannan snapshoteja hallinnoi infrastruktuurin tarjoaja, sijainti EU
Rooliin perustuva pääsynhallinta (RBAC): johtaja, avustaja, siivooja, tarkkailija
Sovellusloki: pääsyn, kriittisten toimien ja poikkeavuuksien seuranta
Riippuvuuksien päivittäminen: Python- ja Flutter-pakettien haavoittuvuuksien valvonta

6.2 Organisatoriset toimet

Hallinnollinen pääsy rajoitettu rekisterinpitäjään (Vezpa on tällä hetkellä yksityinen elinkeinonharjoittaja ilman työntekijöitä); mahdolliset ulkoiset yhteistyökumppanit nimetään kirjallisesti henkilötietojen käsittelijöiksi tai valtuutetuiksi henkilöiksi
Dokumentoitu häiriötilanteiden hallintamenettely (incident response) (§9)
Privacy by Design and by Default integroitu kehitysvaiheisiin
Käsittelytoimien luettelo (GDPR art. 30) ylläpidetty ja päivitetty
DPA allekirjoitettu kaikkien tärkeimpien alikäsittelijöiden kanssa
Alikäsittelijöiden luettelo on julkinen ja ajan tasalla osoitteessa vezpa.it/subprocessors

6.3 Viitestandardit

7. Tietojen vastaanottajat (GDPR art. 13.1.e)

7.1 Vastaanottajakategoriat

Tietoja voidaan luovuttaa seuraaville vastaanottajaryhmille. Nimetty luettelo, joka on aina ajan tasalla, on julkaistu osoitteessa vezpa.it/subprocessors.

Kategoria Vastaanottajat Rooli Tarkoitus
Italian viranomaiset AlloggiatiWeb (poliisi), ISTAT, kunnat (PayTourist), Verohallinto Itsenäiset rekisterinpitäjät Lakisääteinen velvoite
EU-viranomaiset Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) Itsenäiset rekisterinpitäjät Rekisterinpitäjän (majoituskohteen) lakisääteinen velvoite
Hosting / Storage / CDN DigitalOcean LLC (Frankfurt-palvelimet, Spaces, Redis) Henkilötietojen käsittelijä IT-infrastruktuuri
Maksut Stripe Payments Europe Ltd / Stripe Inc. Henkilötietojen käsittelijä Maksujen käsittely
Sähköposti IONOS SE (DE) Henkilötietojen käsittelijä Transaktionaalisten sähköpostien ja PEC:n lähettäminen
Sähköposti Sendinblue SAS - Brevo (FR) Henkilötietojen käsittelijä Sähköpostien lähetys ja vieraiden sähköpostien vastaanotto
Tekoälyavustaja Anthropic, PBC (Yhdysvallat) Henkilötietojen käsittelijä Vastaukset vieraiden viesteihin (valinnainen)
WhatsApp-viestit Meta Platforms Ireland Limited (IE) Henkilötietojen käsittelijä WhatsApp-viestit majoituspaikan ja vieraiden välillä (valinnainen)
Puhelimen ääniagentti Majoituspaikan valitsema puhealusta (esim. Retell, Vapi, ElevenLabs) Majoituspaikan henkilötietojen käsittelijä, ei Vezpan Puheluihin vastaaminen majoituspaikan puolesta: Vezpa välittää vain vastaamiseen tarvittavat tiedot ja vastaanottaa viestit ja puheluiden yhteenvedot (valinnainen)
Mobiilipush-ilmoitukset Google LLC (Firebase Cloud Messaging) Henkilötietojen käsittelijä Push-ilmoitusten lähetys mobiililaitteisiin
Automaattinen kääntäminen Google LLC (Google Cloud Translation API) Henkilötietojen käsittelijä OTA-kanavista vastaanotettujen vieraiden viestien ja, majoittajan pyynnöstä, lisäpalveluiden kääntäminen
Channel Manager OTA STAAH Limited (Uusi-Seelanti) Henkilötietojen käsittelijä Varausten synkronointi OTA:iden kanssa
Sovelluksensisäiset ostot - Apple Apple Distribution International Ltd (IE) / Apple Inc. (USA) Itsenäinen rekisterinpitäjä (sovelluskauppa) App Store -tilausten hallinta. Apple ei kuulu DPF-järjestelmään: USA-siirtoja säännellään SCC 2021/914 -lausekkeilla
Sovelluksensisäiset ostot - Google / Microsoft Google Ireland Ltd / Google LLC (USA, DPF), Microsoft Ireland / Microsoft Corp. (USA, DPF) Itsenäiset rekisterinpitäjät (sovelluskaupat) Play Store / Microsoft Store -tilausten hallinta
OTA Booking.com, Airbnb, Expedia, VRBO, Agoda ja noin 60 muuta kanavaa Itsenäiset rekisterinpitäjät Varausten hallinta suhteessa matkustajaan
Älylukot (valinnainen) Tuya Smart (CN) Henkilötietojen käsittelijä Kodinautomaation pääsynhallinta, vain jos majoituskohde aktivoi
Ammattilaiset Kirjanpitäjät, asianajajat, IT-konsultit Henkilötietojen käsittelijät / itsenäiset rekisterinpitäjät Erityiskonsultointi, vain tarpeen mukaan

7.2 Alikäsittelijöiden luettelo (GDPR art. 28.4)

Päivitetty luettelo on julkaistu ja aina saatavilla osoitteessa vezpa.it/subprocessors. Mahdolliset muutokset (uudet alikäsittelijät, vaihdokset) ilmoitetaan rekisterinpitäjille (majoituskohteille) vähintään 30 päivän ennakkoilmoituksella vastustamisen sallimiseksi (GDPR art. 28.2).

7.3 Siirrot EU:n ulkopuolelle

Siirtojen oikeusperuste (GDPR V luku):
  • USA - EU-U.S. Data Privacy Framework (päätös (EU) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC - aktiiviset DPF-sertifioinnit (tarkista osoitteessa dataprivacyframework.gov/list (avautuu uuteen välilehteen))
  • USA - vakiosopimuslausekkeet (SCC) 2021/914: Apple Inc. ei kuulu DPF-järjestelmään; sopimussuhde EU-käyttäjien osalta on Apple Distribution International Ltd:n (Irlanti) kanssa ja mahdollisia siirtoja Apple-konsernin sisällä USA:han säännellään SCC:llä ja sisäisillä riittävyysmekanismeilla
  • Uusi-Seelanti - riittävyyspäätös (päätös 2013/65/EU): STAAH Limited
  • Kiina (valinnainen): Tuya Smart - EU:n vakiosopimuslausekkeet (SCC) 2021/914 + lisätoimet (minimointi ja pseudonymisointi). Siirto suoritetaan vain älylukot aktivoiville majoituskohteille.

Jokaiselle EU:n ulkopuoliselle alikäsittelijälle on dokumentoitu sovellettava siirtomekanismi. SCC:t ja mahdolliset Transfer Impact Assessmentit ovat rekisterinpitäjän saatavilla pyynnöstä.

8. Rekisteröidyn oikeudet (GDPR art. 15-22)

8.1 Käytettävissä olevat oikeudet

Oikeus GDPR-artikla Kuvaus
Pääsy Art. 15 Saada vahvistus tietojen olemassaolosta ja kopio niistä
Oikaisu Art. 16 Korjata virheelliset tiedot tai täydentää niitä
Poisto ("unohtaminen") Art. 17 Saada tiedot poistetuksi (lakisääteisiä velvoitteita lukuun ottamatta)
Rajoitus Art. 18 Rajoittaa käsittelyä tietyissä olosuhteissa
Siirrettävyys Art. 20 Saada tiedot jäsennetyssä muodossa (CSV, JSON) ja siirtää ne toiselle rekisterinpitäjälle
Vastustaminen Art. 21 Vastustaa oikeutettuun etuun perustuvaa käsittelyä
Suostumuksen peruuttaminen Art. 7.3 Peruuttaa markkinointisuostumus milloin tahansa
Valitus Art. 77 Tehdä valitus Italian tietosuojaviranomaiselle
Ei automatisoitua profilointia Art. 22 Olla joutumatta yksinomaan automatisoituun käsittelyyn perustuvien päätösten kohteeksi

8.2 Miten käyttää oikeuksia

Voitte käyttää oikeuksianne seuraavien kautta:

8.3 Vastausajat

Vezpa vastaa pyyntöihin 30 päivän kuluessa vastaanotosta (määräaikaa voidaan pidentää 60 lisäpäivällä monimutkaisissa tapauksissa, perustellulla ilmoituksella).

8.4 Oikeuksien rajoitukset

Jotkut oikeudet (poisto, rajoitus) eivät ehkä ole toteutettavissa, kun:

9. Henkilötietojen tietoturvaloukkaus ja ilmoitukset (GDPR art. 33-34)

9.1 Menettely tietoturvaloukkauksen tapauksessa

Henkilötietojen tietoturvaloukkauksen (data breach) tapauksessa Vezpa:

  1. Arvioi tapauksen 24 tunnin kuluessa havaitsemisesta
  2. Ilmoittaa Italian tietosuojaviranomaiselle 72 tunnin kuluessa (jos rekisteröityjen oikeuksiin kohdistuu riski)
  3. Ilmoittaa rekisteröidyille ilman aiheetonta viivytystä (jos korkea riski)
  4. Dokumentoi tapauksen tietoturvaloukkausten rekisteriin
  5. Ottaa käyttöön korjaavat toimet tulevien loukkausten estämiseksi

9.2 Läpinäkyvyys

Teitä koskevan tietoturvaloukkauksen tapauksessa saatte ilmoituksen, joka sisältää:

10. Data Protection Impact Assessment (DPIA)

Vezpa on aloittanut tietosuojaa koskevan vaikutustenarvioinnin (DPIA) GDPR art. 35 mukaisesti, ottaen huomioon usean EU-valtion rekisteröityjen henkilöllisyystodistusten systemaattisen käsittelyn ja siirrot EU:n ulkopuolisille alikäsittelijöille.

DPIA:n soveltamisala:

DPIA ja mahdolliset lieventävät lisätoimet päivitetään säännöllisesti. Mikäli jäännösriski on korkea, Vezpa pyytää Italian tietosuojaviranomaiselta GDPR art. 36 mukaista ennakkokuulemista. Rekisterinpitäjä (majoituskohde) voi pyytää DPIA:n yhteenvetoa kirjoittamalla osoitteeseen info@vezpa.it.

11. Henkilötietojen käsittelijä (GDPR art. 28)

11.1 Sopimukset asiakkaiden kanssa (vieraiden tietojen osalta)

Kun majoituskohteen ylläpitäjä käyttää Vezpaa vieraiden tietojen käsittelyyn:

11.2 DPA:n sisältö

Tietojenkäsittelysopimus sisältää GDPR art. 28.3 mukaisesti:

DPA on olennainen osa käyttöehtoja ja se hyväksytään majoituskohteen rekisteröinnin yhteydessä.

12. Privacy by Design ja by Default (GDPR art. 25)

12.1 Privacy by Design

Vezpa integroi tietosuojan suunnittelun alusta lähtien:

12.2 Privacy by Default

Oletusasetukset maksimoivat yksityisyyden:

13. Käsittelytoimien luettelo (GDPR art. 30)

Vezpa ylläpitää täydellistä luetteloa kaikista käsittelytoimista, joka sisältää:

Luettelo on saatavilla Italian tietosuojaviranomaisen pyynnöstä.

14. Muutokset ilmoitukseen

Tämä ilmoitus voi muuttua:

Merkittävät muutokset ilmoitetaan sähköpostitse vähintään 30 päivän ennakkoilmoituksella.

Viimeisen päivityksen päivämäärä on aina merkitty asiakirjan yläosaan.

Yhteystiedot yksityisyyttä ja GDPR:ää varten

Tietosuojatoimisto:
Sähköposti: info@vezpa.it
PEC: lavezpa@pec.it
Osoite: Desenzano del Garda, via San Zeno 67

Italian tietosuojaviranomainen (Garante):
Piazza Venezia, 11 - 00187 Roma
Sähköposti: garante@gpdp.it
PEC: protocollo@pec.gpdp.it
Puh: +39 06.696771
Web: www.garanteprivacy.it (avautuu uuteen välilehteen)

Suomessa käyttäjät voivat kääntyä myös Tietosuojavaltuutetun toimiston puoleen: www.tietosuoja.fi (avautuu uuteen välilehteen)