GDPR-UPPLÝSINGAR Í HEILD

1. Inngangur og gildissvið

Þessar upplýsingar lýsa því hvernig Vezpa di Paolo Vezzola (hér eftir "Vezpa" eða "Við") vinnur persónuupplýsingar í samræmi við:

• Reglugerð (ESB) 2016/679 (GDPR)
• Ítölsk lagatilskipun 196/2003 (ítölsku persónuverndarlögin) með breytingum samkvæmt lagatilskipun 101/2018
• Fyrirmæli og leiðbeiningar ítölsku persónuverndarstofnunarinnar (Garante)

1.1 Um hverja þetta gildir

Þessar upplýsingar gilda um:

• Rekstraraðila gististaða sem nota Vezpa (beina viðskiptavini)
• Gesti sem gista á gististöðum sem nota Vezpa
• Viðskiptaaðila og birgja
• Heimsækjendur vefsíðunnar vezpa.it

1.2 Tvöfalt hlutverk Vezpa

2. Auðkenni og samskiptaupplýsingar Ábyrgðaraðila

Ábyrgðaraðili vinnslu:

Vezpa di Paolo Vezzola
Lögheimili: Desenzano del Garda (BS), 25015, via San Zeno 67
VSK-númer: 04449070988
Skattnúmer: VZZPLA84C10D284C
PEC: lavezpa@pec.it
Tölvupóstur: info@vezpa.it

3. Flokkar persónuupplýsinga sem unnið er með

3.1 Gögn rekstraraðila (viðskiptavina)

3.2 Gögn gesta (sem Vinnsluaðili)

4. Tilgangur og lagagrundvöllur vinnslunnar

4.1 Fyrir rekstraraðila (viðskiptavini)

4.2 Fyrir gesti (samkvæmt fyrirmælum rekstraraðila)

5. Vinnsluaðferðir

5.1 Meginreglur vinnslu (5. gr. GDPR)

Vezpa vinnur persónuupplýsingar í samræmi við eftirfarandi meginreglur:

• Lögmæti, sanngirni, gagnsæi: við vinnum gögn á lögmætan hátt og upplýsum þig skýrt
• Takmörkun tilgangs: við notum gögn eingöngu í tilgreindum tilgangi
• Lágmörkun gagna: við söfnum aðeins þeim gögnum sem eru bráðnauðsynleg
• Nákvæmni: við höldum gögnunum uppfærðum og réttum
• Takmörkun varðveislu: við geymum gögnin aðeins svo lengi sem nauðsynlegt er
• Heilleiki og trúnaður: við verndum gögnin með viðeigandi öryggisráðstöfunum
• Ábyrgðarskylda (accountability): við getum sýnt fram á samræmi við GDPR

5.2 Vinnsluleiðir

Gögnin eru unnin með:

• Tölvuverkfærum: netþjónum, gagnagrunnum, vef- og farsímaforritum
• Pappír: aðeins fyrir nauðsynleg skjöl (samninga, reikninga)

5.3 Aðgangur

Gögnin eru aðgengileg:

• Heimiluðu starfsfólki Vezpa (með persónulegum aðgangsupplýsingum)
• Aðgangur byggður á reglunni um "need to know" (lágmarksheimildir)
• Aðgangur skráður og vaktaður

6. Öryggisráðstafanir (32. gr. GDPR)

6.1 Tæknilegar ráðstafanir

6.2 Skipulagslegar ráðstafanir

6.3 Viðmiðunarstaðlar

• ESB-netþjónar: aðalinnviðir hjá DigitalOcean, svæði Frankfurt (FRA1)
• PCI-DSS: greiðslur meðhöndlaðar í gegnum Stripe, PCI-DSS Level 1-vottað (Vezpa geymir ekki kortagögn)
• Vottaðir undirbirgjar: þar sem við á (ISO 27001, SOC 2, DPF) — sjá síðu undirvinnsluaðila

7. Viðtakendur gagna (13.1.e gr. GDPR)

7.1 Flokkar viðtakenda

Gögnum kann að vera miðlað til eftirfarandi flokka viðtakenda. Nafnalisti, ávallt uppfærður, er birtur á vezpa.it/subprocessors.

7.2 Listi undirvinnsluaðila (28.4 gr. GDPR)

Uppfærður listi er birtur og ávallt aðgengilegur á vezpa.it/subprocessors. Hugsanlegar breytingar (nýir undirvinnsluaðilar, skipti) eru tilkynntar Ábyrgðaraðilum (gististöðum) með að minnsta kosti 30 daga fyrirvara til að leyfa andmæli (28.2 gr. GDPR).

7.3 Gagnaflutningar utan ESB

8. Réttindi skráðs einstaklings (15-22 gr. GDPR)

8.1 Réttindi sem hægt er að neyta

8.2 Hvernig á að neyta réttindanna

Þú getur neytt réttinda þinna í gegnum:

• Tölvupóst: info@vezpa.it
• PEC: lavezpa@pec.it
• Ábyrgðarpóst með móttökukvittun: Vezpa di Paolo Vezzola, Desenzano del Garda í via San Zeno 67
• Einkasvæði: Hlutann "Privacy og gögn" á mælaborðinu (fyrir sum réttindi)

8.3 Svartímar

Vezpa svarar beiðnum innan 30 daga frá móttöku (framlengjanlegt um 60 daga í flóknum tilvikum, með rökstuddri tilkynningu).

8.4 Takmarkanir á réttindum

Hugsanlega er ekki hægt að neyta sumra réttinda (eyðingar, takmörkunar) ef:

• Lagaskyldur kveða á um að við verðum að varðveita gögnin
• Gögnin eru nauðsynleg til að verja réttindi fyrir dómi
• Almannahagsmunir vega þyngra

9. Öryggisbrestur og tilkynningar (33-34 gr. GDPR)

9.1 Ferli við öryggisbrest

Komi til öryggisbrests (brots á öryggi persónuupplýsinga) skal Vezpa:

1. Meta atvikið innan 24 klst. frá því að það uppgötvast
2. Tilkynna persónuverndarstofnuninni (Garante) innan 72 klst. (ef áhætta er fyrir réttindi skráðra einstaklinga)
3. Upplýsa skráða einstaklinga án ótilhlýðilegrar tafar (ef áhætta er mikil)
4. Skjalfesta atvikið í skrá um öryggisbresti
5. Grípa til úrbóta til að koma í veg fyrir frekari brot

9.2 Gagnsæi

Ef öryggisbrestur snertir þig færð þú tilkynningu sem inniheldur:

• Eðli brotsins
• Gögn sem um ræðir
• Mögulegar afleiðingar
• Ráðstafanir sem gripið var til og sem ráðlagðar eru
• Samskiptaupplýsingar persónuverndarskrifstofu

10. Mat á áhrifum á persónuvernd (Data Protection Impact Assessment, DPIA)

Vezpa hefur hafið mat á áhrifum á persónuvernd (DPIA) samkvæmt 35. gr. GDPR, með tilliti til kerfisbundinnar vinnslu skilríkja skráðra einstaklinga frá mörgum ESB-ríkjum og flutninga til undirvinnsluaðila utan ESB.

Gildissvið DPIA:

• Vinnsla auðkennisupplýsinga og skilríkja gesta í gegnum margar tengingar við stjórnvöld
• Gagnastreymi til rásastjóra OTA og flutningar utan ESB
• Sjálfvirk OCR-greining á myndum skilríkja
• Samþætting við lífkennaauðkenningu á tækinu

DPIA og hugsanlegar viðbótarráðstafanir til mildunar eru uppfærðar reglulega. Komi til mikillar eftirstandandi áhættu mun Vezpa hafa fyrirframsamráð við persónuverndarstofnunina samkvæmt 36. gr. GDPR. Ábyrgðaraðilinn (gististaður) getur beðið um samantekt á DPIA með tölvupósti á info@vezpa.it.

11. Vinnsluaðili (28. gr. GDPR)

11.1 Samningar við viðskiptavini (fyrir gögn gesta)

Þegar rekstraraðili gististaðarins notar Vezpa til að vinna gögn gesta:

• Rekstraraðilinn er Ábyrgðaraðili vinnslunnar
• Vezpa er Vinnsluaðili
• Vinnslusamningur (Data Processing Agreement, DPA) er gerður samkvæmt 28. gr. GDPR

11.2 Innihald DPA

Vinnslusamningurinn (Data Processing Agreement) inniheldur, samkvæmt 28.3 gr. GDPR:

• Viðfangsefni og gildistími vinnslunnar
• Eðli og tilgangur vinnslunnar
• Gerð persónuupplýsinga og flokkar skráðra einstaklinga
• Skyldur og réttindi Ábyrgðaraðilans
• Skjalfest fyrirmæli um vinnsluna
• Innleiddar öryggisráðstafanir
• Heimilaðir undirvinnsluaðilar með fyrirvara um skipti
• Aðstoð við Ábyrgðaraðila varðandi réttindi skráðra einstaklinga, DPIA og öryggisbresti
• Skyldur um eyðingu eða skil við lok

DPA er óaðskiljanlegur hluti af Þjónustuskilmálum og er samþykktur við skráningu gististaðarins.

12. Innbyggð og sjálfgefin persónuvernd (25. gr. GDPR)

12.1 Innbyggð persónuvernd (Privacy by Design)

Vezpa samþættir gagnavernd frá upphafi hönnunar:

• Innbyggð dulkóðun í öllum samskiptum
• Gerviauðkenning þar sem hægt er
• Lágmörkun safnaðra gagna
• Nákvæm aðgangsstýring
• Heildarendurskoðunarslóð (audit trail) fyrir allar aðgerðir

12.2 Sjálfgefin persónuvernd (Privacy by Default)

Sjálfgefnar stillingar hámarka friðhelgi:

• Aðeins bráðnauðsynleg gögn eru skyldubundin
• Sjálfvirk varðveisla í lágmarkstíma samkvæmt lögum
• Markaðssetning með opt-in (ekki opt-out)
• Sýnileiki gagna takmarkaður við nauðsynlegt lágmark

13. Skrá um vinnsluaðgerðir (30. gr. GDPR)

Vezpa heldur heildarskrá yfir allar vinnsluaðgerðir, sem inniheldur:

• Nafn og samskiptaupplýsingar ábyrgðaraðila og persónuverndarfulltrúa
• Tilgangur vinnslunnar
• Lýsing á flokkum skráðra einstaklinga og gagna
• Flokkar viðtakenda
• Flutningar til þriðju landa
• Fyrirhugaður varðveislutími
• Lýsing á öryggisráðstöfunum

Skráin er aðgengileg að beiðni persónuverndarstofnunarinnar.

14. Breytingar á upplýsingunum

Þessum upplýsingum kann að verða breytt vegna:

• Lagabreytinga
• Nýrrar virkni í þjónustunni
• Skipulagsbreytinga

Verulegar breytingar verða tilkynntar í tölvupósti með að minnsta kosti 30 daga fyrirvara.

Dagsetning síðustu uppfærslu er ávallt tilgreind efst í skjalinu.