HEILDAR GDPR UPPLYSING

1. Inngangur og gildissvid

Thessi upplysing lysir hvernig Vezpa di Paolo Vezzola (hereftir "Vezpa" eda "Vid") vinnur personuupplysingar i samraemi vid:

• Reglugerd ESB 2016/679 (GDPR)
• Italsk tilskipun 196/2003 (italskar personuverndarreglur) med breytingum skv. tilskipun 101/2018
• Fyrirmaeli og leidbeiningar italsku personuverndarstofnunarinnar (Garante)

1.1 Hverjum gildir thetta

Thessi upplysing gildir um:

• Rekendur gistiadstadna sem nota Vezpa (beinum vidskiptavinum)
• Gestum sem gista a gististodum sem nota Vezpa
• Vidskiptaadilum og birgjum
• Gestum vefsidunnar vezpa.it

1.2 Tvofalt hlutverk Vezpa

2. Audkenni og tengiupplysingar Abyrgdaradila

Abyrgdaradili vinnslu:

Vezpa di Paolo Vezzola
Starfsstod: Desenzano del Garda (BS), 25015, via San Zeno 67
P.IVA: 04449070988
Kennitala: VZZPLA84C10D284C
PEC: [email protected]
Tolvupostur: [email protected]

3. Flokkar personuupplysinga sem unnid er med

3.1 Gogn rekenda (vidskiptavina)

3.2 Gogn gesta (sem Vinnsluadili)

4. Tilgangur og lagalegur grundvollur vinnslunnar

4.1 Fyrir rekendur (vidskiptavini)

4.2 Fyrir gesti (eftir fyrirmaelum rekandans)

5. Vinnsluadferd

5.1 Vinnslureglur (5. gr. GDPR)

Vezpa vinnur personuupplysingar i samraemi vid eftirfarandi reglur:

• Logmaetni, sanngirni, gagnsaei: vid vinnum gogn logmaetum hatt og upplysum thig skyrt
• Takmorkun tilgangs: vid notum gogn eingongu i tilgreindum tilgangi
• Lagmorkun gagna: vid sofnum adeins naudsynlegustu gognum
• Nakvaemni: vid holdum gognunum uppfaerdum og rettum
• Takmorkun varoveislu: vid geymum gognin adeins svo lengi sem naudsynlegt er
• Heildstaedi og trunadur: vid verndum gognin med vidaeigandi oryggisadgerdum
• Abyrgdarskylda (accountability): vid getum synt fram a samraemi vid GDPR

5.2 Vinnsluverkfaeri

Gognin eru unnin med:

• Toluvuverkfaerum: servarar, gagnagrunnar, vef/mobilforrit
• Pappir: adeins fyrir naudsynleg skjol (samningar, reikningar)

5.3 Adgangstakmarkanir

Gognin eru adgengileg:

• Heimildu starfsfolki Vezpa (med personulegu adgangskerfi)
• Adgangur byggdur a "need to know" reglu (lagmarksrettur)
• Adgangsfaerslur skradar og eftirlit haft med theim

6. Oryggisadgerdir (32. gr. GDPR)

6.1 Taeknilegar adgerdir

6.2 Skipulagslegar adgerdir

6.3 Vidmidunarstadlar

• ESB-servarar: adalinnvidir DigitalOcean svaedi Frankfurt (FRA1)
• PCI-DSS: greidslur unnar i gegnum Stripe, PCI-DSS Level 1 vottad (Vezpa geymir ekki kortagogn)
• Vottadir undirbirgjar: thar sem vid a (ISO 27001, SOC 2, DPF) — sja sidu undirvinnsluadila

7. Motttakendur gagna (13.1.e gr. GDPR)

7.1 Flokkar motttakenda

Gogn kunna ad vera send eftirfarandi flokkum motttakenda. Nafnlisti og uppfaerdur listi er birtur a vezpa.it/subprocessors.

7.2 Listi undirvinnsluadila (28.4 gr. GDPR)

Uppfaerdur listi er birtur og avallt adgengilegur a vezpa.it/subprocessors. Hugsanlegar breytingar (nyir undirvinnsluadilar, skipti) eru tilkynntar Abyrgdaradilum (gististodum) med ad minnsta kosti 30 daga fyrirvara til ad leyfa andmaeli (28.2 gr. GDPR).

7.3 Gagnaflutningar utan ESB

8. Rettindi skrada einstaklings (15-22 gr. GDPR)

8.1 Rettindi sem haegt er ad nyta

8.2 Hvernig a ad nyta rettindin

Thu getur nytt rettindi thin i gegnum:

• Tolvupost: [email protected]
• PEC: [email protected]
• Abyrgdarpostur: Vezpa di Paolo Vezzola, Desenzano del Garda i via San Zeno 67
• Afmarkadur adgangur: Hluti "Privacy og Gogn" a maelabordinu (fyrir sum rettindi)

8.3 Svartimar

Vezpa svarar beidnum innan 30 daga fra mottoku (framlengjanlegt um 60 daga i flokinna tilvikum med rokstuddri tilkynningu).

8.4 Takmarkanir a rettindum

Sum rettindi (eyding, takmorkun) gaetu ekki verid nyt ef:

• Til eru lagaskyldur sem kvaoa a um ad vid verdum ad varoveita gognin
• Gognin eru naudsynleg til varnar rettinda fyrir domstoli
• Almannhagsmunir vega thyngra

9. Data Breach og tilkynningar (33-34 gr. GDPR)

9.1 Ferli vid gagnaloka

I tilfelli data breach (gagnaloka), Vezpa:

1. Metur atvikid innan 24 klst fra upptokum
2. Tilkynnir personuverndarstofnun innan 72 klst (ef ahaetta er fyrir rettindi skradra einstaklinga)
3. Upplysir skrada einstaklinga an ostaefdrar tafar (ef ahaetta er mikil)
4. Skjalfestir atvikid i skra um gagnaloka
5. Grypur til leidrettingaradgerda til ad koma i veg fyrir framtidarbrot

9.2 Gagnsaei

Ef data breach snertir thig muntu fa tilkynningu sem inniheldur:

• Edli brotsins
• Onnur gogn sem um raedir
• Mogulegar afleidingar
• Adgerdir sem gripid var til og radlagdar
• Samband vid personuverndarskrifstofu

10. Data Protection Impact Assessment (DPIA)

Vezpa hefur hafid Mat a ahrifum personuverndar (DPIA) samkvaemt 35. gr. GDPR, med tilliti til kerfisbundins vinnslu skilrikja skradra einstaklinga fra morgum ESB-rikjum og flutninga til undirvinnsluadila utan ESB.

Gildissvid DPIA:

• Vinnsla personugagna og skilrikja gesta i gegnum marga opinbera tengla
• Streymi til OTA channel manager og flutningar utan ESB
• Sjalfvirk OCR a myndum skilrikja
• Samthaetting vid lifmerkjathjonustu a taekinu

DPIA og hvers kyns vidbotaradgerdir til mildunar eru reglulega uppfaerdar. I tilfelli verulegrar eftirstandandi ahaettu mun Vezpa radgast vid personuverndarstofnunina fyrirfram samkvaemt 36. gr. GDPR. Abyrgdaradilinn (gististadur) getur bedid um sumstofu DPIA med tolvuposti til [email protected].

11. Vinnsluadili (28. gr. GDPR)

11.1 Samningar vid vidskiptavini (fyrir gogn gesta)

Thegar rekandi gististadarins notar Vezpa til ad vinna gogn gesta:

• Rekandinn er Abyrgdaradili vinnslunnar
• Vezpa er Vinnsluadili vinnslunnar
• Data Processing Agreement (DPA) er gerdur samkvaemt 28. gr. GDPR

11.2 Innihald DPA

Data Processing Agreement inniheldur, samkvaemt 28.3 gr. GDPR:

• Vidfangsefni og gildistimi vinnslunnar
• Edli og tilgangur vinnslunnar
• Gerd personuupplysinga og flokkar skradra einstaklinga
• Skyldur og rettindi Abyrgdaradilans
• Skjalfest fyrirmaeli um vinnsluna
• Oryggisadgerdir sem voru innleiddar
• Heimilir undirvinnsluadilar med fyrirvara um skipti
• Adstod Abyrgdaradila vardandi rettindi skradra einstaklinga, DPIA og data breach
• Skyldur um eydingu eda skil vid lok

DPA er oadskiljanlegur hluti af Skilmalum thjonustu og er samthykktur vid skraningu gististadarins.

12. Privacy by Design og by Default (25. gr. GDPR)

12.1 Privacy by Design

Vezpa samthaettir gagnavernd fra upphafi honnunar:

• Innbyggd dulkodun i ollum samskiptum
• Dulnefnisgjof thar sem haegt er
• Lagmorkun safnadra gagna
• Fingerded adgangsstyring
• Heill audit trail fyrir allar adgerdir

12.2 Privacy by Default

Sjalfgefnar stillingar hamarka fridhelgi:

• Adeins naudsynlegustu gogn eru skyldubundinn
• Sjalfvirk varoveisla i lagmarkstima samkvaemt logum
• Markadssetning opt-in (ekki opt-out)
• Gagnasynileiki takmarkadur vid naudsynlegasta lagmark

13. Skra um vinnsluadgerdir (30. gr. GDPR)

Vezpa heldur heillar skraar yfir allar vinnsluadgerdir, sem inniheldur:

• Nafn og tengiupplysingar abyrgdaradila og Personuverndarfulltrua
• Tilgangur vinnslunnar
• Lysing a flokkum skradra einstaklinga og gagna
• Flokkar motttakenda
• Flutningar til thridja landa
• Fyrirhugadir varoveislutimir
• Lysing a oryggisadgerdum

Skraingin er adgengileg eftir beidni personuverndarstofnunarinnar.

14. Breytingar a upplysingunni

Thessi upplysing getur verid breytt vegna:

• Lagabreytinga
• Nyrrar virkni i thjonustunni
• Skipulagsbreytinga

Verulegar breytingar verda tilkynntar i tolvupost med ad minnsta kosti 30 daga fyrirvara.

Dagsetning sidustu uppfaerslu er avallt tilgreind efst i skjalinu.