TELJES GDPR TÁJÉKOZTATÓ

1. Bevezetés és alkalmazási kör

Jelen tájékoztató leírja, hogyan kezeli a Vezpa di Paolo Vezzola (a továbbiakban „Vezpa” vagy „Mi”) a személyes adatokat a következő jogszabályok alapján:

• (EU) 2016/679 rendelet (GDPR)
• 196/2003 törvényerejű rendelet (olasz adatvédelmi törvény), a 101/2018 törvényerejű rendelettel módosított formában
• Az olasz adatvédelmi hatóság (Garante) intézkedései és iránymutatásai

1.1 Kire vonatkozik

Jelen tájékoztató a következőkre vonatkozik:

• Szálláshely-üzemeltetők, akik a Vezpát használják (közvetlen ügyfelek)
• Vendégek, akik a Vezpát használó szálláshelyeken tartózkodnak
• Üzleti partnerek és beszállítók
• Látogatók, akik a vezpa.it honlapot látogatják

1.2 A Vezpa kettős szerepe

2. Az Adatkezelő azonosítása és kapcsolati adatai

Adatkezelő:

Vezpa di Paolo Vezzola
Székhely: Desenzano del Garda (BS), 25015, via San Zeno 67
Adószám: 04449070988
Adóazonosító: VZZPLA84C10D284C
PEC: lavezpa@pec.it
E-mail: info@vezpa.it

3. Kezelt személyes adatok kategóriái

3.1 Üzemeltetők adatai (ügyfelek)

3.2 Vendégek adatai (Adatfeldolgozóként)

4. Az adatkezelés célja és jogalapja

4.1 Üzemeltetők tekintetében (ügyfelek)

4.2 Vendégek tekintetében (az Üzemeltető utasítására)

5. Az adatkezelés módja

5.1 Az adatkezelés elvei (GDPR 5. cikk)

A Vezpa az alábbi elvek betartásával kezel személyes adatokat:

• Jogszerűség, tisztességes eljárás, átláthatóság: jogszerűen kezeljük az adatokat, és világosan tájékoztatjuk Önt
• Célhoz kötöttség: az adatokat csak a bejelentett célokra használjuk
• Adattakarékosság: csak a feltétlenül szükséges adatokat gyűjtjük
• Pontosság: naprakészen és pontosan tartjuk az adatokat
• Korlátozott tárolhatóság: az adatokat csak a szükséges ideig tároljuk
• Integritás és bizalmasság: megfelelő biztonsági intézkedésekkel védjük az adatokat
• Elszámoltathatóság (accountability): bizonyítani tudjuk a GDPR-nak való megfelelést

5.2 Adatkezelési eszközök

Az adatokat a következő eszközökkel kezeljük:

• Informatikai: szerverek, adatbázisok, web/mobil alkalmazások
• Papír alapú: csak a szükséges dokumentumokhoz (szerződések, számlák)

5.3 Hozzáférés módja

Az adatok a következők számára érhetők el:

• A Vezpa arra jogosult személyzete (személyes belépési adatokkal)
• A "need to know" (minimális jogosultság) elven alapuló hozzáférés
• A hozzáférési naplókat nyomon követjük és felügyeljük

6. Biztonsági intézkedések (GDPR 32. cikk)

6.1 Technikai intézkedések

6.2 Szervezeti intézkedések

6.3 Referencia szabványok

• EU-beli szerverek: elsődleges infrastruktúra a DigitalOcean frankfurti régiójában (FRA1)
• PCI-DSS: fizetések a Stripe-on keresztül, amely PCI-DSS Level 1 tanúsítvánnyal rendelkezik (a Vezpa nem tárolja a kártyaadatokat)
• Tanúsított alvállalkozók: ahol alkalmazható (ISO 27001, SOC 2, DPF) — lásd a további adatfeldolgozók oldalát

7. Az adatok címzettjei (GDPR 13. cikk (1) e))

7.1 Címzettek kategóriái

Az adatok az alábbi címzettkategóriáknak közölhetők. A név szerinti és mindig naprakész lista a vezpa.it/subprocessors oldalon van közzétéve.

7.2 További adatfeldolgozók listája (GDPR 28. cikk (4))

A naprakész lista a vezpa.it/subprocessors oldalon van közzétéve, és mindig elérhető. A változásokat (új további adatfeldolgozók, cserék) legalább 30 napos előzetes értesítéssel közöljük az Adatkezelőkkel (szálláshelyekkel), hogy tiltakozhassanak (GDPR 28. cikk (2) bekezdés).

7.3 EU-n kívüli adattovábbítás

8. Az érintett jogai (GDPR 15-22. cikk)

8.1 Gyakorolható jogok

8.2 Hogyan gyakorolhatja jogait

Jogait a következő módokon gyakorolhatja:

• E-mail: info@vezpa.it
• PEC: lavezpa@pec.it
• Tértivevényes ajánlott levél: Vezpa di Paolo Vezzola, Desenzano del Garda via San Zeno 67
• Ügyfélzóna: „Adatvédelem és adatok” szakasz az irányítópulton (bizonyos jogokhoz)

8.3 Válaszidők

A Vezpa a kérésekre a beérkezéstől számított 30 napon belül válaszol (összetett esetekben további 60 nappal meghosszabbítható, indokolt közléssel).

8.4 Jogok korlátozásai

Egyes jogok (törlés, korlátozás) nem gyakorolhatók, ha:

• Jogi kötelezettségek vannak, amelyek megkövetelik az adatok megőrzését
• Az adatok szükségesek a jogok bírósági védelméhez
• Közérdek áll fenn

9. Adatvédelmi incidensek és értesítések (GDPR 33-34. cikk)

9.1 Eljárás adatvédelmi incidens esetén

Adatvédelmi incidens (személyes adatok megsértése) esetén a Vezpa:

1. Értékeli az incidenst a felfedezéstől számított 24 órán belül
2. Értesíti az olasz adatvédelmi hatóságot (Garante) 72 órán belül (ha kockázat áll fenn az érintettek jogaira)
3. Közli az érintettekkel indokolatlan késedelem nélkül (ha magas kockázat áll fenn)
4. Dokumentálja az incidenst az adatvédelmi incidensek nyilvántartásában
5. Javító intézkedéseket tesz a jövőbeli incidensek megelőzésére

9.2 Átláthatóság

Az Önt érintő adatvédelmi incidens esetén a következőket tartalmazó értesítést kap:

• Az incidens jellege
• Érintett adatok
• Lehetséges következmények
• Megtett és ajánlott intézkedések
• Az adatvédelmi iroda elérhetőségei

10. Adatvédelmi hatásvizsgálat (DPIA)

A Vezpa elindította az Adatvédelmi hatásvizsgálatot (DPIA) a GDPR 35. cikke szerint, tekintettel több EU-tagállam érintettjeinek személyazonosító okmányainak rendszerszerű kezelésére és az EU-n kívüli További adatfeldolgozók felé történő adattovábbításokra.

A DPIA hatóköre:

• Vendégek személyes adatainak és személyazonosító okmányainak kezelése több kormányzati csatlakozón keresztül
• Az OTA channel manager felé irányuló adatfolyamok és EU-n kívüli adattovábbítások
• Automatikus OCR okmányképeken
• Integráció eszközoldali biometrikus hitelesítési szolgáltatásokkal

A DPIA-t és az esetleges további kockázatcsökkentő intézkedéseket rendszeresen frissítjük. Magas maradványkockázat esetén a Vezpa a GDPR 36. cikke szerint előzetes konzultációt folytat az olasz adatvédelmi hatósággal (Garante). Az Adatkezelő (szálláshely) a DPIA összefoglalóját az info@vezpa.it címre írva kérheti.

11. Adatfeldolgozó (GDPR 28. cikk)

11.1 Megállapodások ügyfelekkel (vendégadatokhoz)

Amikor a szálláshely-üzemeltető a Vezpát vendégadatok kezelésére használja:

• Az üzemeltető az Adatkezelő
• A Vezpa az Adatfeldolgozó
• Adatfeldolgozási szerződés (DPA) kerül megkötésre a GDPR 28. cikke szerint

11.2 A DPA tartalma

Az Adatfeldolgozási szerződés a GDPR 28. cikkének (3) bekezdése szerint tartalmazza:

• Az adatkezelés tárgya és időtartama
• Az adatkezelés jellege és célja
• A személyes adatok típusa és az érintettek kategóriái
• Az Adatkezelő kötelezettségei és jogai
• Dokumentált utasítások az adatkezelésre vonatkozóan
• Alkalmazott biztonsági intézkedések
• További adatfeldolgozók bevonása és cseréje előzetes értesítéssel
• Segítségnyújtás az Adatkezelőnek az érintettek jogaihoz, DPIA-hoz és adatvédelmi incidensekhez
• Törlési vagy visszaszolgáltatási kötelezettségek a szerződés végén

A DPA a Szolgáltatási feltételek elválaszthatatlan részét képezi, és a szálláshely regisztrációjakor kerül elfogadásra.

12. Beépített és alapértelmezett adatvédelem – Privacy by Design és by Default (GDPR 25. cikk)

12.1 Beépített adatvédelem (Privacy by Design)

A Vezpa a tervezéstől kezdve beépíti az adatvédelmet:

• Natív titkosítás minden kommunikációban
• Álnevesítés ahol lehetséges
• A gyűjtött adatok minimalizálása
• Részletes hozzáférés-szabályozás
• Az összes művelet teljes naplózása (audit trail)

12.2 Alapértelmezett adatvédelem (Privacy by Default)

Az alapértelmezett beállítások maximalizálják az adatvédelmet:

• Csak a feltétlenül szükséges adatok kötelezőek
• Automatikus megőrzés a törvényes minimális időtartamra
• Marketing opt-in (nem opt-out)
• Az adatok láthatósága a minimálisra korlátozva

13. Adatkezelési tevékenységek nyilvántartása (GDPR 30. cikk)

A Vezpa teljes nyilvántartást tart az összes adatkezelési tevékenységről, amely tartalmazza:

• Az Adatkezelő és az adatvédelmi tisztviselő neve és kapcsolati adatai
• Az adatkezelés célja
• Az érintettek és adatok kategóriáinak leírása
• Címzettek kategóriái
• Harmadik országokba történő adattovábbítások
• Tervezett megőrzési idők
• Biztonsági intézkedések leírása

A nyilvántartás az olasz adatvédelmi hatóság (Garante) kérésére rendelkezésre áll.

14. A tájékoztató módosításai

Ez a tájékoztató a következők miatt módosulhat:

• A szabályozás változásai
• A szolgáltatás új funkciói
• Szervezeti változások

A lényeges módosításokról legalább 30 nappal korábban e-mailben tájékoztatjuk.

Az utolsó frissítés dátuma mindig a dokumentum tetején van feltüntetve.