TAYDELLINEN GDPR-ILMOITUS

1. Johdanto ja soveltamisala

Tama ilmoitus kuvaa, miten Vezpa di Paolo Vezzola (jaljempana "Vezpa" tai "Me") kasittelee henkilotietoja seuraavien mukaisesti:

• EU-asetus 2016/679 (GDPR)
• Lakiasetus 196/2003 (Italian tietosuojakoodeksi) muutettuna asetuksella D.Lgs. 101/2018
• Italian tietosuojaviranomaisen (Garante) maaraykset ja ohjeet

1.1 Kenelle sovelletaan

Tama ilmoitus koskee:

• Vezpaa kayttavia majoituskohteiden yllapitajia (suorat asiakkaat)
• Asiakkaita, jotka majoittuvat Vezpaa kayttavissa kohteissa
• Liikekumppaneita ja toimittajia
• Vezpa.it-verkkosivuston kavijoita

1.2 Vezpan kaksoisrooli

2. Rekisterinpitajan henkilollisyys ja yhteystiedot

Rekisterinpitaja:

Vezpa di Paolo Vezzola
Rekisteroity toimipaikka: Desenzano del Garda (BS), 25015, via San Zeno 67
ALV-numero: 04449070988
Verotunnus: VZZPLA84C10D284C
PEC: [email protected]
Sahkoposti: [email protected]

3. Kasiteltavien henkilotietojen kategoriat

3.1 Yllapitajien tiedot (asiakkaat)

3.2 Asiakkaiden tiedot (henkilotietojen kasittelijana)

4. Kasittelyn tarkoitus ja oikeusperuste

4.1 Yllapitajille (asiakkaat)

4.2 Asiakkaille (yllapitajan ohjeistuksella)

5. Kasittelytavat

5.1 Kasittelyn periaatteet (GDPR art. 5)

Vezpa kasittelee henkilotietoja seuraavien periaatteiden mukaisesti:

• Laillisuus, oikeudenmukaisuus, lapinakyvyys: kasittelemme tietoja laillisesti ja ilmoitamme siita selkeasti
• Kayttotarkoitussidonnaisuus: kaytamme tietoja vain ilmoitettuihin tarkoituksiin
• Tietojen minimointi: keraamme vain tiukasti tarvittavat tiedot
• Tarkkuus: pidamme tiedot ajan tasalla ja tarkkoina
• Sailytyksen rajoittaminen: sailytamme tietoja vain tarvittavan ajan
• Eheys ja luottamuksellisuus: suojaamme tiedot riittavin turvatoimin
• Osoitusvelvollisuus (accountability): voimme osoittaa GDPR-noudattamisen

5.2 Kasittelyn valineet

Tietoja kasitellaan:

• IT-valineilla: palvelimet, tietokanta, web-/mobiilisovellukset
• Paperisilla: vain tarvittaville asiakirjoille (sopimukset, laskut)

5.3 Paasytavat

Tiedot ovat saatavilla:

• Vezpan valtuutetulle henkilokunnalle (henkilokohtaisilla tunnuksilla)
• "Need to know" -periaatteeseen perustuva paasy (vahimman oikeuden periaate)
• Paasyloki seurataan ja valvotaan

6. Turvatoimet (GDPR art. 32)

6.1 Tekniset toimet

6.2 Organisatoriset toimet

6.3 Viittausstandardit

• EU-palvelimet: paainfrastruktuuri DigitalOcean Frankfurt-alueella (FRA1)
• PCI-DSS: maksut hallitaan Stripen kautta, PCI-DSS Level 1 -sertifioitu (Vezpa ei tallenna korttitietoja)
• Sertifioidut alitoimittajat: mikali sovellettavissa (ISO 27001, SOC 2, DPF) - katso alihenkilotietojen kasittelijat -sivu

7. Tietojen vastaanottajat (GDPR art. 13.1.e)

7.1 Vastaanottajakategoriat

Tietoja voidaan luovuttaa seuraaville vastaanottajaryhmille. Nimetty luettelo ja aina paivitetty on julkaistu osoitteessa vezpa.it/subprocessors.

7.2 Alihenkilotietojen kasittelijoiden luettelo (GDPR art. 28.4)

Paivitetty luettelo on julkaistu ja aina saatavilla osoitteessa vezpa.it/subprocessors. Mahdolliset muutokset (uudet alihenkilotietojen kasittelijat, vaihdokset) ilmoitetaan rekisterinpitajille (majoituskohteille) vahintaan 30 paivan ennakkoilmoituksella vastustamisen sallimiseksi (GDPR art. 28.2).

7.3 Siirrot EU:n ulkopuolelle

8. Rekisteroidyn oikeudet (GDPR art. 15-22)

8.1 Toteutettavat oikeudet

8.2 Miten kayttaa oikeuksia

Voitte kayttaa oikeuksianne seuraavien kautta:

• Sahkoposti: [email protected]
• PEC: [email protected]
• Kirjattu kirje: Vezpa di Paolo Vezzola, Desenzano del Garda in via San Zeno 67
• Suojattu alue: "Yksityisyys ja tiedot" -osio dashboardilla (joitain oikeuksia varten)

8.3 Vastausajat

Vezpa vastaa pyyntoihin 30 paivan kuluessa vastaanotosta (voidaan pidentaa 60 paivaa monimutkaisissa tapauksissa, perustellulla ilmoituksella).

8.4 Oikeuksien rajoitukset

Jotkut oikeudet (poisto, rajoitus) eivat ehka ole toteutettavissa, kun:

• On olemassa lakisaateisia velvoitteita, jotka vaativat tietojen sailyttamista
• Tiedot ovat tarpeen oikeuksien puolustamiseksi oikeudessa
• Yleisella edulla on etusija

9. Data breach ja ilmoitukset (GDPR art. 33-34)

9.1 Menettely tietojen loukkauksen tapauksessa

Data breach -tapauksessa (henkilotietojen loukkaus) Vezpa:

1. Arvioi tapauksen 24 tunnin kuluessa havaitsemisesta
2. Ilmoittaa Italian tietosuojaviranomaiselle 72 tunnin kuluessa (jos rekisteroidyn oikeuksiin kohdistuu riski)
3. Ilmoittaa rekisteroidyille ilman perusteetonta viivytysta (jos korkea riski)
4. Dokumentoi tapauksen loukkausluetteloon
5. Ottaa kayttoon korjaavat toimet tulevien loukkausten estamiseksi

9.2 Lapinakyvyys

Teita koskevan data breachin tapauksessa saatte viestinnan, joka sisaltaa:

• Loukkauksen luonteen
• Mukana olevat tiedot
• Mahdolliset seuraukset
• Otetut ja suositellut toimet
• Tietosuojatoimiston yhteystiedot

10. Data Protection Impact Assessment (DPIA)

Vezpa on aloittanut Tietosuojaa koskevan vaikutustenarvioinnin (DPIA) GDPR art. 35 mukaisesti, ottaen huomioon usean EU-valtion rekisteroityjen henkilollisyystodistusten systemaattisen kasittelyn ja siirrot EU:n ulkopuolisille alihenkilotietojen kasittelijoille.

DPIA:n soveltamisala:

• Asiakkaiden henkilotietojen ja henkilollisyystodistusten kasittely useiden viranomaisliittymien kautta
• Virrat channel manager OTA:lle ja siirrot EU:n ulkopuolelle
• Automaattinen OCR asiakirjojen kuvissa
• Integraatio laitteen puolella olevien biometristen todennuspalveluiden kanssa

DPIA ja mahdolliset lisalieventavat toimet paivitetaan saannollisesti. Mikali jaannosriski on korkea, Vezpa kaantyy GDPR art. 36 mukaiseen ennakkokuulemiseen Italian tietosuojaviranomaisen kanssa. Rekisterinpitaja (majoituskohde) voi pyytaa DPIA:n yhteenvetoa kirjoittamalla osoitteeseen [email protected].

11. Henkilotietojen kasittelija (GDPR art. 28)

11.1 Sopimukset asiakkaiden kanssa (asiakkaiden tietojen osalta)

Kun majoituskohteen yllapitaja kayttaa Vezpaa asiakkaiden tietojen kasittelyyn:

• Yllapitaja on rekisterinpitaja
• Vezpa on henkilotietojen kasittelija
• Laaditaan Tietojenkasittelysopimus (DPA) GDPR art. 28 mukaisesti

11.2 DPA:n sisalto

Tietojenkasittelysopimus sisaltaa GDPR art. 28.3 mukaisesti:

• Kasittelyn kohde ja kesto
• Kasittelyn luonne ja tarkoitus
• Henkilotietojen tyypit ja rekisteroityjen kategoriat
• Rekisterinpitajan velvoitteet ja oikeudet
• Dokumentoidut ohjeet kasittelysta
• Toteutetut turvatoimet
• Valtuutetut alihenkilotietojen kasittelijat vaihtoilmoituksella
• Tuki rekisterinpitajalle rekisteroityjen oikeuksien, DPIA:n ja data breachin osalta
• Poistamis- tai palauttamisvelvoitteet paattymisessa

DPA on olennainen osa kayttoehtoja ja se hyvaksytaan majoituskohteen rekisteroinnin yhteydessa.

12. Privacy by Design ja by Default (GDPR art. 25)

12.1 Privacy by Design

Vezpa integroi tietosuojan suunnittelun alusta lahtien:

• Natiivi salaus kaikessa viestinnassa
• Pseudonymisointi mahdollisuuksien mukaan
• Kerattavien tietojen minimointi
• Hienorakeiset paasynhallinnat
• Kattava audit trail kaikille toiminnoille

12.2 Privacy by Default

Oletusasetukset maksimoivat yksityisyyden:

• Vain tiukasti tarvittavat tiedot ovat pakollisia
• Automaattinen sailyttaminen vahimman laillisen ajan
• Markkinointi opt-in (ei opt-out)
• Tietojen nakyvyys rajoitettu tarvittavaan vahimmaan

13. Kasittelytoimien luettelo (GDPR art. 30)

Vezpa yllapitaa taydellista luetteloa kaikista kasittelytoimista, joka sisaltaa:

• Rekisterinpitajan ja tietosuojavastaavan nimen ja yhteystiedot
• Kasittelyn tarkoitukset
• Rekisteroityjen ja tietojen kategorioiden kuvaus
• Vastaanottajakategoriat
• Siirrot kolmansiin maihin
• Suunnitellut sailytysajat
• Turvatoimien kuvaus

Luettelo on saatavilla Italian tietosuojaviranomaisen pyynnosta.

14. Muutokset ilmoitukseen

Tama ilmoitus voi muuttua:

• Saannosten muutoksien vuoksi
• Palvelun uusien toiminnallisuuksien vuoksi
• Organisatoristen muutosten vuoksi

Merkittavat muutokset ilmoitetaan sahkopostitse vahintaan 30 paivan ennakkoilmoituksella.

Viimeisen paivityksen paivamaara on aina merkitty asiakirjan ylaosaan.