INFORMATION RGPD COMPLÈTE

Vezpa - Property Management System

Conformité au Règlement UE 2016/679

Dernière mise à jour : 5 novembre 2026

📌 Prééminence juridique : ce document est une traduction de courtoisie de l'original italien. En cas de divergence entre cette traduction et la version italienne, la version italienne prévaut en tant que référence juridiquement contraignante. Original italien disponible ici : https://vezpa.it/gdpr/.
✅ Approche RGPD : Vezpa adopte des mesures techniques et organisationnelles adéquates pour assurer le respect du Règlement UE 2016/679. Ce document décrit en détail comment nous traitons les données personnelles, quelles mesures de sécurité nous adoptons et comment nous opérons en tant que Sous-traitant pour le compte des établissements.

1. Introduction et Champ d'Application

La présente information décrit comment Vezpa di Paolo Vezzola (ci-après "Vezpa" ou "Nous") traite les données personnelles conformément au :

1.1 À qui elle s'applique

Cette information s'applique à :

1.2 Double Rôle de Vezpa

Vezpa opère avec deux rôles distincts :

  • RESPONSABLE DU TRAITEMENT Pour les données des gestionnaires des établissements (clients)
  • SOUS-TRAITANT Pour les données des clients (nous traitons les données sur instruction du gestionnaire de l'établissement)

2. Identité et Données de Contact du Responsable du traitement

Responsable du traitement :

Vezpa di Paolo Vezzola
Siège social : Desenzano del Garda (BS), 25015, via San Zeno 67
N° TVA : 04449070988
Code Fiscal : VZZPLA84C10D284C
PEC : lavezpa@pec.it
Email : info@vezpa.it

3. Catégories de Données Personnelles Traitées

3.1 Données des Gestionnaires (Clients)

Catégorie Type de Données Obligatoire
Données d'identification Nom, prénom, date de naissance, code fiscal ✅ Obligatoires
Données de contact Email, téléphone, adresse ✅ Obligatoires
Données d'entreprise Raison sociale, N° TVA, données de l'établissement ✅ Obligatoires
Données de paiement IBAN, carte de crédit (via Stripe) ✅ Obligatoires pour l'abonnement
Données d'utilisation Journaux d'accès, IP, activité sur la plateforme ⚙️ Automatiques
Données de communications Email, chat d'assistance, tickets 📝 Volontaires

3.2 Données des Clients (en tant que Sous-traitant)

Catégorie Type de Données Base Juridique (du Responsable du traitement)
Données d'identification Nom, prénom, date et lieu de naissance, nationalité, genre Obligation légale (loi italienne TULPS, art. 109 et réglementations équivalentes UE)
Pièce d'identité Type, numéro, date de délivrance, autorité, image scannée ou photographique Obligation légale
Extraction OCR Données textuelles extraites automatiquement du document (nom, date, numéro) Exécution du contrat (art. 6.1.b) - uniquement pour faciliter la saisie des données par l'opérateur, sans finalité analytique, de profilage ni décisionnelle autonome
Données de contact Email, téléphone, adresse Exécution du contrat
Données de réservation Dates de séjour, nombre de clients, chambre, tarifs, formule Exécution du contrat
Données de paiement Transactions, reçus (données de carte gérées par Stripe, non stockées sur Vezpa) Exécution du contrat + obligation fiscale
⚠️ Données Particulières (Art. 9 RGPD) :

Les pièces d'identité acquises peuvent contenir des éléments qualifiables de "particuliers" au sens de l'art. 9 RGPD, généralement :

  • Lieu de naissance (pouvant révéler l'origine ethnique)
  • Image photographique du visage (non utilisée pour reconnaissance biométrique automatisée)

Licéité du traitement : art. 9.2.b (accomplissement d'obligations en matière de droit du travail, sécurité et protection sociale), 9.2.g (motifs d'intérêt public important - enregistrements de sécurité publique) et 9.2.f (constatation de droits). Finalités limitées aux obligations imposées par la loi envers les autorités publiques.

Mesures supplémentaires : accès limité aux seuls rôles autorisés (directeur, assistant), aucun profilage sur ces données, aucune communication à des tiers en dehors des autorités publiques destinataires.

Vezpa ne collecte pas délibérément d'autres données particulières (opinions politiques/religieuses, données de santé, données génétiques, orientation sexuelle). Si de telles données sont saisies par erreur par l'utilisateur, elles doivent être immédiatement supprimées.

4. Finalités et Base Juridique du Traitement

4.1 Pour les Gestionnaires (Clients)

Finalité Base Juridique (Art. 6 RGPD) Conservation
Fourniture du service PMS Art. 6.1.b - Exécution du contrat Durée du contrat + 10 ans
Facturation et comptabilité Art. 6.1.c - Obligation légale 10 ans (obligation fiscale)
Assistance clients Art. 6.1.b - Exécution du contrat Durée du contrat + 2 ans
Sécurité et prévention de la fraude (journaux applicatifs, anomalies) Art. 6.1.f - Intérêt légitime 12 mois en standard, jusqu'à 24 mois pour des enquêtes actives documentées (Mesure du Garante 352/2022)
Amélioration du service Art. 6.1.f - Intérêt légitime 2 ans (données agrégées anonymes)
Marketing direct Art. 6.1.a - Consentement Jusqu'à retrait du consentement
Défense de droits en justice Art. 6.1.f - Intérêt légitime 10 ans

4.2 Pour les Clients (sur instruction du Gestionnaire)

Finalité Base Juridique Conservation
Enregistrement des clients et communication à la Questura Art. 6.1.c - Obligation légale (loi italienne TULPS, art. 109, D.Lgs. 159/2011) Minimum 2 ans
Communications ISTAT Art. 6.1.c - Obligation légale Selon la réglementation ISTAT
Taxe de séjour (Paytourist) Art. 6.1.c - Obligation légale Selon la réglementation communale
Gestion de la réservation et du séjour Art. 6.1.b - Exécution du contrat 10 ans (finalités fiscales)
Check-in en ligne et communications Art. 6.1.b - Exécution du contrat Durée du séjour + période de conservation de l'établissement
📌 Note sur le Consentement :

Pour de nombreuses activités, le consentement N'est PAS nécessaire car elles se fondent sur :

  • ✅ Exécution du contrat (c'est vous qui avez demandé le service)
  • ✅ Obligations légales (communications obligatoires aux autorités)
  • ✅ Intérêt légitime (sécurité, amélioration du service)

Le consentement est requis UNIQUEMENT pour le marketing et le profilage.

5. Modalités du Traitement

5.1 Principes du Traitement (Art. 5 RGPD)

Vezpa traite les données personnelles dans le respect des principes suivants :

5.2 Moyens de Traitement

Les données sont traitées avec des outils :

5.3 Modalités d'Accès

Les données sont accessibles à :

6. Mesures de Sécurité (Art. 32 RGPD)

6.1 Mesures Techniques

✅ Chiffrement en transit : HTTPS/TLS 1.2+ pour toutes les connexions, HSTS
✅ Chiffrement au repos : données sensibles spécifiques chiffrées via django-cryptography ; volumes gérés et snapshots chiffrés côté infrastructure (DigitalOcean)
✅ Hachage des mots de passe : PBKDF2 (par défaut sous Django) avec sel aléatoire
✅ Jetons : JWT access token TTL 15 minutes, refresh avec rotation et liste de blocage, TTL 60 jours
✅ 2FA TOTP disponible sur compte (django-otp)
✅ Blocage des bots et limitation du débit : middleware dédié qui bloque les scanners et les chemins d'attaque connus
✅ Sauvegardes : snapshots de la base de données gérés par le fournisseur d'infrastructure, localisation UE
✅ Contrôle d'accès basé sur les rôles (RBAC) : directeur, assistant, gouvernante, observateur
✅ Journalisation applicative : traçage des accès, des actions critiques et des anomalies
✅ Mise à jour des dépendances : surveillance des vulnérabilités sur les paquets Python et Flutter

6.2 Mesures Organisationnelles

✅ Accès administratifs limités au Responsable du traitement (Vezpa est actuellement une entreprise individuelle sans employés) ; les éventuels collaborateurs externes sont désignés par écrit comme Sous-traitants ou Personnes autorisées
✅ Procédure de réponse aux incidents documentée (§9 ci-dessous)
✅ Privacy by Design and by Default intégrée dans les phases de développement
✅ Registre des traitements (art. 30 RGPD) maintenu et mis à jour
✅ DPA signé avec tous les sous-traitants ultérieurs principaux
✅ Liste des sous-traitants ultérieurs publique et mise à jour sur vezpa.it/subprocessors

6.3 Standards de référence

7. Destinataires des Données (Art. 13.1.e RGPD)

7.1 Catégories de Destinataires

Les données peuvent être communiquées aux catégories de destinataires suivantes. La liste nominative et toujours à jour est publiée sur vezpa.it/subprocessors.

Catégorie Destinataires Rôle Finalité
Autorités publiques IT AlloggiatiWeb (Questura), ISTAT, Communes (PayTourist), Agenzia delle Entrate Responsables autonomes Obligation légale
Autorités publiques UE Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) Responsables autonomes Obligation légale du Responsable du traitement (établissement)
Hébergement / Stockage / CDN DigitalOcean LLC (serveurs Francfort, Spaces, Redis) Sous-traitant Infrastructure IT
Paiements Stripe Payments Europe Ltd / Stripe Inc. Sous-traitant Traitement des paiements
Email IONOS SE (DE) Sous-traitant Envoi d'emails transactionnels et PEC
Email Sendinblue SAS - Brevo (FR) Sous-traitant Envoi des e-mails et réception des e-mails des clients
Assistant IA Anthropic, PBC (États-Unis) Sous-traitant Réponses aux messages des voyageurs (facultatif)
Messages WhatsApp Meta Platforms Ireland Limited (IE) Sous-traitant Messages WhatsApp entre l'établissement et les voyageurs (facultatif)
Agent vocal au téléphone Plateforme vocale choisie par l'établissement (par ex. Retell, Vapi, ElevenLabs) Sous-traitant de l'établissement, et non de Vezpa Réponse aux appels pour le compte de l'établissement : Vezpa transmet uniquement les données nécessaires à la réponse et reçoit messages et résumés des appels (facultatif)
Notifications push mobile Google LLC (Firebase Cloud Messaging) Sous-traitant Envoi de notifications push aux appareils mobiles
Traduction automatique Google LLC (Google Cloud Translation API) Sous-traitant Traduction des messages des clients reçus des canaux OTA et, à la demande de l'hôte, des extras
Channel Manager OTA STAAH Limited (Nouvelle-Zélande) Sous-traitant Synchronisation des réservations avec les OTA
Achats in-app — Apple Apple Distribution International Ltd (IE) / Apple Inc. (USA) Responsable autonome (store) Gestion des abonnements App Store. Apple n'adhère pas au DPF : les transferts USA sont régis par les CCT 2021/914
Achats in-app — Google / Microsoft Google Ireland Ltd / Google LLC (USA, DPF), Microsoft Ireland / Microsoft Corp. (USA, DPF) Responsables autonomes (stores) Gestion des abonnements Play Store / Microsoft Store
OTA Booking.com, Airbnb, Expedia, VRBO, Agoda et ~60 autres canaux Responsables autonomes Gestion des réservations envers le voyageur
Serrures connectées (facultatif) Tuya Smart (CN) Sous-traitant Gestion des accès domotiques, uniquement si activé par l'établissement
Professionnels Experts-comptables, avocats, consultants IT Sous-traitants / Responsables autonomes Consultations spécialisées, uniquement lorsque nécessaires

7.2 Liste des Sous-traitants ultérieurs (art. 28.4 RGPD)

La liste mise à jour est publiée et toujours consultable sur vezpa.it/subprocessors. Les éventuelles variations (nouveaux sous-traitants ultérieurs, remplacements) sont communiquées aux Responsables du traitement (établissements) avec un préavis d'au moins 30 jours pour permettre l'opposition (art. 28.2 RGPD).

7.3 Transferts Hors UE

Base juridique des transferts (Chapitre V RGPD) :
  • USA — EU-U.S. Data Privacy Framework (Décision (UE) 2023/1795) : Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC — certifications actives au DPF (vérification sur dataprivacyframework.gov/list (s'ouvre dans un nouvel onglet))
  • USA — Clauses Contractuelles Types (CCT) 2021/914 : Apple Inc. n'adhère pas au DPF ; la relation contractuelle pour les utilisateurs UE est avec Apple Distribution International Ltd (Irlande) et les éventuels transferts internes au groupe Apple vers les USA sont régis par les CCT et les mécanismes d'adéquation internes
  • Nouvelle-Zélande — Décision d'adéquation (Décision 2013/65/UE) : STAAH Limited
  • Chine (facultatif) : Tuya Smart — Clauses Contractuelles Types (CCT) 2021/914 + mesures supplémentaires (minimisation et pseudonymisation). Transfert effectué uniquement pour les établissements qui activent les serrures connectées.

Pour chaque sous-traitant ultérieur hors UE, le mécanisme de transfert applicable est documenté. Les CCT et les éventuels Transfer Impact Assessment sont disponibles pour le Responsable du traitement sur demande.

8. Droits de la personne concernée (Art. 15-22 RGPD)

8.1 Droits Exerçables

Droit Art. RGPD Description
Accès Art. 15 Obtenir confirmation de l'existence de vos données et en recevoir une copie
Rectification Art. 16 Corriger les données inexactes ou les compléter
Effacement ("oubli") Art. 17 Obtenir l'effacement des données (avec exceptions pour obligations légales)
Limitation Art. 18 Limiter le traitement dans certaines conditions
Portabilité Art. 20 Recevoir les données dans un format structuré (CSV, JSON) et les transférer à un autre responsable
Opposition Art. 21 S'opposer au traitement fondé sur l'intérêt légitime
Retrait du consentement Art. 7.3 Retirer le consentement au marketing à tout moment
Réclamation Art. 77 Introduire une réclamation auprès de l'autorité italienne de protection des données (Garante)
Absence de profilage automatisé Art. 22 Ne pas être soumis à des décisions fondées uniquement sur un traitement automatisé

8.2 Comment Exercer les Droits

Vous pouvez exercer vos droits via :

8.3 Délais de Réponse

Vezpa répond aux demandes sous 30 jours à compter de la réception (prolongeables de 60 jours supplémentaires dans les cas complexes, avec communication motivée).

8.4 Limitations aux Droits

Certains droits (effacement, limitation) pourraient ne pas être exerçables lorsque :

9. Violation de données et notifications (Art. 33-34 RGPD)

9.1 Procédure en Cas de Violation de Données

En cas de violation de données personnelles (data breach), Vezpa :

  1. 📊 Évalue l'incident sous 24 heures à compter de la découverte
  2. 📢 Notifie l'autorité italienne de protection des données (Garante) sous 72 heures (en cas de risque pour les droits des personnes concernées)
  3. 📧 Communique aux personnes concernées sans retard injustifié (en cas de risque élevé)
  4. 📝 Documente l'incident dans le registre des violations
  5. 🔧 Adopte des mesures correctives pour prévenir de futures violations

9.2 Transparence

En cas de violation de données vous concernant, vous recevrez une communication contenant :

10. Analyse d'impact relative à la protection des données (AIPD)

Vezpa a engagé l'Analyse d'Impact relative à la Protection des Données (AIPD) au sens de l'art. 35 RGPD, compte tenu du traitement systématique de pièces d'identité de personnes concernées de plusieurs États UE et des transferts vers des sous-traitants ultérieurs hors UE.

Champ de l'AIPD :

L'AIPD et les éventuelles mesures d'atténuation supplémentaires sont mises à jour périodiquement. En cas de risque résiduel élevé, Vezpa procédera à la consultation préalable de l'autorité italienne de protection des données (Garante) au sens de l'art. 36 RGPD. Le Responsable du traitement (établissement) peut demander une synthèse de l'AIPD en écrivant à info@vezpa.it.

11. Sous-traitant (Art. 28 RGPD)

11.1 Accords avec les Clients (pour les données des clients finaux)

Lorsque le gestionnaire de l'établissement utilise Vezpa pour traiter les données des clients :

11.2 Contenu du DPA

L'Accord de traitement des données contient, au sens de l'art. 28.3 RGPD :

Le DPA fait partie intégrante des Conditions de Service et est accepté lors de l'enregistrement de l'établissement.

12. Privacy by Design et by Default (Art. 25 RGPD)

12.1 Privacy by Design

Vezpa intègre la protection des données dès la conception :

12.2 Privacy by Default

Les paramètres par défaut maximisent la confidentialité :

13. Registre des Activités de Traitement (Art. 30 RGPD)

Vezpa maintient un registre complet de toutes les activités de traitement, contenant :

Le registre est disponible sur demande de l'autorité italienne de protection des données (Garante).

14. Modifications de l'Information

Cette information peut être modifiée pour :

Les modifications substantielles seront communiquées par email avec au moins 30 jours de préavis.

La date de dernière mise à jour est toujours indiquée en haut du document.

📞 Contacts pour la confidentialité et le RGPD

Bureau de la protection des données :
📧 Email : info@vezpa.it
📧 PEC : lavezpa@pec.it
📮 Adresse : Desenzano del Garda, via San Zeno 67

Autorité italienne de protection des données (Garante) :
Piazza Venezia, 11 - 00187 Rome
📧 Email : garante@gpdp.it
📧 PEC : protocollo@pec.gpdp.it
📞 Tel : +39 06.696771
🌐 Web : www.garanteprivacy.it (s'ouvre dans un nouvel onglet)

Les utilisateurs en France peuvent également saisir la CNIL (www.cnil.fr (s'ouvre dans un nouvel onglet)).