POTPUNA GDPR OBAVIJEST

1. Uvod i područje primjene

Ova obavijest opisuje kako Vezpa di Paolo Vezzola (u nastavku "Vezpa" ili "Mi") obrađuje osobne podatke u skladu s:

• Uredbom EU 2016/679 (GDPR)
• Talijanskom Zakonskom uredbom 196/2003 (Kodeksom privatnosti) kako je izmijenjena Zakonskom uredbom 101/2018
• Odlukama i smjernicama talijanskog tijela za zaštitu podataka (Garante)

1.1 Na koga se primjenjuje

Ova obavijest primjenjuje se na:

• Upravitelje smještajnih objekata koji koriste Vezpu (izravni klijenti)
• Goste koji borave u objektima koji koriste Vezpu
• Poslovne partnere i dobavljače
• Posjetitelje web-mjesta vezpa.it

1.2 Dvostruka uloga Vezpe

2. Identitet i podaci za kontakt Voditelja obrade

Voditelj obrade:

Vezpa di Paolo Vezzola
Sjedište: Desenzano del Garda (BS), 25015, via San Zeno 67
PDV broj: 04449070988
Talijanski porezni broj (C.F.): VZZPLA84C10D284C
PEC: lavezpa@pec.it
E-pošta: info@vezpa.it

3. Kategorije obrađenih osobnih podataka

3.1 Podaci upravitelja (klijenata)

3.2 Podaci gostiju (kao Izvršitelj obrade)

4. Svrhe i pravna osnova obrade

4.1 Za upravitelje (klijente)

4.2 Za goste (na uputu upravitelja)

5. Način obrade

5.1 Načela obrade (čl. 5. GDPR-a)

Vezpa obrađuje osobne podatke poštujući sljedeća načela:

• Zakonitost, poštenost, transparentnost: obrađujemo podatke zakonito i jasno Vas obavještavamo
• Ograničenje svrhe: koristimo podatke samo za navedene svrhe
• Smanjenje količine podataka: prikupljamo samo strogo nužne podatke
• Točnost: održavamo podatke ažurnima i točnima
• Ograničenje pohrane: podatke čuvamo samo onoliko dugo koliko je potrebno
• Cjelovitost i povjerljivost: štitimo podatke odgovarajućim sigurnosnim mjerama
• Odgovornost (accountability): možemo dokazati usklađenost s GDPR-om

5.2 Sredstva obrade

Podaci se obrađuju alatima:

• Informatičkim: poslužitelji, baze podataka, web/mobilne aplikacije
• Papirnatim: samo za potrebne dokumente (ugovori, računi)

5.3 Način pristupa

Podacima pristupaju:

• Ovlašteno osoblje Vezpe (s osobnim vjerodajnicama)
• Pristup temeljen na načelu "need to know" (minimalna ovlast)
• Dnevnici pristupa koji se bilježe i nadziru

6. Sigurnosne mjere (čl. 32. GDPR-a)

6.1 Tehničke mjere

6.2 Organizacijske mjere

6.3 Referentni standardi

• EU poslužitelji: primarna infrastruktura DigitalOcean regija Frankfurt (FRA1)
• PCI-DSS: plaćanjima se upravlja putem Stripea, koji ima certifikat PCI-DSS Level 1 (Vezpa ne pohranjuje podatke o kartici)
• Certificirani poddobavljači: gdje je primjenjivo (ISO 27001, SOC 2, DPF) - vidi stranicu podizvršitelja

7. Primatelji podataka (čl. 13.1.e GDPR-a)

7.1 Kategorije primatelja

Podaci se mogu priopćiti sljedećim kategorijama primatelja. Poimenični i uvijek ažuran popis objavljen je na vezpa.it/subprocessors.

7.2 Popis Podizvršitelja obrade (čl. 28.4 GDPR-a)

Ažurirani popis objavljen je i uvijek dostupan na vezpa.it/subprocessors. Eventualne izmjene (novi podizvršitelji, zamjene) priopćavaju se Voditeljima obrade (objektima) uz najavu od najmanje 30 dana kako bi se omogućio prigovor (čl. 28.2 GDPR-a).

7.3 Prijenosi izvan EU-a

8. Prava ispitanika (čl. 15.-22. GDPR-a)

8.1 Prava koja se mogu ostvariti

8.2 Kako ostvariti prava

Svoja prava možete ostvariti putem:

• E-pošte: info@vezpa.it
• PEC-a: lavezpa@pec.it
• Preporučene pošte s povratnicom: Vezpa di Paolo Vezzola, Desenzano del Garda u via San Zeno 67
• Korisničkog područja: Odjeljak "Privatnost i podaci" na nadzornoj ploči (za neka prava)

8.3 Rokovi odgovora

Vezpa odgovara na zahtjeve u roku od 30 dana od primitka (rok se može produljiti za dodatnih 60 dana u složenim slučajevima, uz obrazloženo priopćenje).

8.4 Ograničenja prava

Neka se prava (brisanje, ograničenje) možda neće moći ostvariti kada:

• Postoje zakonske obveze koje nam nameću čuvanje podataka
• Podaci su potrebni za obranu prava u sudskom postupku
• Prevladava javni interes

9. Povreda osobnih podataka i obavijesti (čl. 33.-34. GDPR-a)

9.1 Postupak u slučaju povrede podataka

U slučaju povrede osobnih podataka (data breach), Vezpa:

1. Procjenjuje incident u roku od 24 sata od otkrića
2. Obavještava tijelo za zaštitu podataka u roku od 72 sata (ako postoji rizik za prava ispitanika)
3. Obavještava ispitanike bez neopravdanog kašnjenja (ako postoji visok rizik)
4. Dokumentira incident u registru povreda
5. Provodi korektivne mjere za sprječavanje budućih povreda

9.2 Transparentnost

U slučaju povrede osobnih podataka koja se odnosi na Vas, primit ćete priopćenje koje sadrži:

• Prirodu povrede
• Uključene podatke
• Moguće posljedice
• Poduzete i preporučene mjere
• Kontakte Ureda za privatnost

10. Data Protection Impact Assessment (DPIA)

Vezpa je započela Procjenu učinka na zaštitu podataka (DPIA) sukladno čl. 35. GDPR-a, uzimajući u obzir sustavnu obradu identifikacijskih isprava ispitanika iz više država EU-a i prijenose prema podizvršiteljima izvan EU-a.

Područje DPIA-e:

• Obrada osobnih podataka i identifikacijskih isprava gostiju putem više konektora prema državnim tijelima
• Tokovi prema channel managerima OTA i prijenosi izvan EU-a
• Automatski OCR na slikama isprava
• Integracija s uslugama biometrijske autentifikacije na uređaju

DPIA i eventualne dodatne mjere ublažavanja ažuriraju se povremeno. U slučaju visokog preostalog rizika, Vezpa će provesti prethodnu konzultaciju s talijanskim tijelom za zaštitu podataka (Garante) sukladno čl. 36. GDPR-a. Voditelj obrade (objekt) može zatražiti sažetak DPIA-e pišući na info@vezpa.it.

11. Izvršitelj obrade (čl. 28. GDPR-a)

11.1 Sporazumi s klijentima (za podatke gostiju)

Kada upravitelj objekta koristi Vezpu za obradu podataka gostiju:

• Upravitelj je Voditelj obrade
• Vezpa je Izvršitelj obrade
• Sklapa se Ugovor o obradi osobnih podataka (DPA) sukladno čl. 28. GDPR-a

11.2 Sadržaj DPA-a

Ugovor o obradi osobnih podataka sadrži, sukladno čl. 28.3 GDPR-a:

• Predmet i trajanje obrade
• Prirodu i svrhu obrade
• Vrstu osobnih podataka i kategorije ispitanika
• Obveze i prava Voditelja obrade
• Dokumentirane upute o obradi
• Primijenjene sigurnosne mjere
• Ovlaštene podizvršitelje uz najavu zamjene
• Pomoć Voditelju obrade za prava ispitanika, DPIA i povrede osobnih podataka
• Obveze brisanja ili povrata po završetku

DPA je sastavni dio Uvjeta usluge i prihvaća se pri registraciji objekta.

12. Privacy by Design i by Default (čl. 25. GDPR-a)

12.1 Privacy by Design

Vezpa integrira zaštitu podataka već od projektiranja:

• Nativna enkripcija u svim komunikacijama
• Pseudonimizacija gdje je moguće
• Minimizacija prikupljenih podataka
• Granularne kontrole pristupa
• Potpun revizijski trag svih operacija

12.2 Privacy by Default

Zadane postavke maksimiziraju privatnost:

• Samo strogo nužni podaci su obvezni
• Automatsko čuvanje za minimalno zakonsko razdoblje
• Marketing opt-in (ne opt-out)
• Vidljivost podataka ograničena na nužni minimum

13. Evidencija aktivnosti obrade (čl. 30. GDPR-a)

Vezpa vodi potpunu evidenciju svih aktivnosti obrade, koja sadrži:

• Naziv i kontakt podatke voditelja obrade i DPO-a
• Svrhe obrade
• Opis kategorija ispitanika i podataka
• Kategorije primatelja
• Prijenose prema trećim zemljama
• Predviđene rokove čuvanja
• Opis sigurnosnih mjera

Evidencija je dostupna na zahtjev talijanskog tijela za zaštitu podataka (Garante).

14. Izmjene obavijesti

Ova obavijest može se izmijeniti zbog:

• Razvoja propisa
• Novih funkcionalnosti usluge
• Organizacijskih promjena

Bitne izmjene bit će priopćene e-poštom najmanje 30 dana unaprijed.

Datum posljednjeg ažuriranja uvijek je naznačen na vrhu dokumenta.