VOLLEDIGE AVG-INFORMATIE

Vezpa - Property Management System

Naleving van Verordening (EU) 2016/679

Laatst bijgewerkt: 5 november 2026

📌 Juridische voorrang: dit document is een vertaling ter informatie van het Italiaanse origineel. Bij verschillen tussen deze vertaling en de Italiaanse versie prevaleert de Italiaanse versie, die juridisch bindend is. Het Italiaanse origineel is hier beschikbaar: https://vezpa.it/gdpr/.
✅ AVG-benadering: Vezpa neemt technische en organisatorische maatregelen die passend zijn voor de naleving van Verordening (EU) 2016/679. Dit document beschrijft in detail hoe wij persoonsgegevens verwerken, welke beveiligingsmaatregelen wij nemen en hoe wij optreden als Verwerker namens de accommodaties.

1. Inleiding en Toepassingsgebied

Deze informatie beschrijft hoe Vezpa di Paolo Vezzola (hierna "Vezpa" of "Wij") persoonsgegevens verwerkt in overeenstemming met:

1.1 Op wie het van toepassing is

Deze informatie is van toepassing op:

1.2 Dubbele rol van Vezpa

Vezpa handelt in twee verschillende rollen:

  • VERWERKINGSVERANTWOORDELIJKE Voor de gegevens van de beheerders van accommodaties (klanten)
  • VERWERKER Voor de gegevens van gasten (wij verwerken gegevens in opdracht van de beheerder van de accommodatie)

2. Identiteit en Contactgegevens van de Verwerkingsverantwoordelijke

Verwerkingsverantwoordelijke:

Vezpa di Paolo Vezzola
Statutaire zetel: Desenzano del Garda (BS), 25015, via San Zeno 67
Btw-nummer: 04449070988
Fiscaal nummer: VZZPLA84C10D284C
PEC: lavezpa@pec.it
E-mail: info@vezpa.it

3. Categorieën van Verwerkte Persoonsgegevens

3.1 Gegevens van Beheerders (Klanten)

Categorie Type Gegevens Verplichting
Identificatiegegevens Voornaam, achternaam, geboortedatum, fiscaal nummer ✅ Verplicht
Contactgegevens E-mail, telefoon, adres ✅ Verplicht
Bedrijfsgegevens Bedrijfsnaam, btw-nummer, gegevens accommodatie ✅ Verplicht
Betaalgegevens IBAN, creditcard (via Stripe) ✅ Verplicht voor abonnement
Gebruiksgegevens Toegangslogs, IP, activiteit op het platform ⚙️ Automatisch
Communicatiegegevens E-mail, supportchat, tickets 📝 Vrijwillig

3.2 Gegevens van Gasten (als Verwerker)

Categorie Type Gegevens Rechtsgrond (van de Verwerkingsverantwoordelijke)
Persoonsgegevens Voornaam, achternaam, geboortedatum en -plaats, nationaliteit, geslacht Wettelijke verplichting (Italiaanse TULPS-wet, art. 109 en gelijkwaardige EU-regelgeving)
Identiteitsdocument Type, nummer, afgiftedatum, uitgevende instantie, gescande of gefotografeerde afbeelding Wettelijke verplichting
OCR-extractie Automatisch uit het document geëxtraheerde tekstgegevens (naam, datum, nummer) Uitvoering van de overeenkomst (art. 6.1.b) — alleen om de gegevensinvoer door de medewerker te vergemakkelijken, zonder analytische, profilerings- of autonome besluitvormingsdoeleinden
Contactgegevens E-mail, telefoon, adres Uitvoering van de overeenkomst
Boekingsgegevens Verblijfsdata, aantal gasten, kamer, tarieven, maaltijdregeling Uitvoering van de overeenkomst
Betaalgegevens Transacties, ontvangstbewijzen (kaartgegevens beheerd door Stripe, niet opgeslagen bij Vezpa) Uitvoering van de overeenkomst + fiscale verplichting
⚠️ Bijzondere persoonsgegevens (art. 9 AVG):

De verkregen identiteitsdocumenten kunnen elementen bevatten die kunnen worden aangemerkt als "bijzonder" in de zin van art. 9 AVG, doorgaans:

  • Geboorteplaats (waaruit etnische afkomst kan worden afgeleid)
  • Fotografische afbeelding van het gezicht (niet gebruikt voor geautomatiseerde biometrische herkenning)

Rechtmatigheid van de verwerking: art. 9.2.b (nakoming van verplichtingen op het gebied van het arbeidsrecht en het socialezekerheids- en socialebeschermingsrecht), 9.2.g (zwaarwegend algemeen belang - registraties voor de openbare veiligheid) en 9.2.f (vaststelling van rechten). Doeleinden beperkt tot de door de wet opgelegde verplichtingen jegens overheidsinstanties.

Aanvullende maatregelen: toegang beperkt tot alleen geautoriseerde rollen (directeur, assistent), geen profilering op deze gegevens, geen mededeling aan derden buiten de ontvangende overheidsinstanties.

Vezpa verzamelt niet opzettelijk andere bijzondere persoonsgegevens (politieke/religieuze overtuigingen, gezondheidsgegevens, genetische gegevens, seksuele geaardheid). Als dergelijke gegevens per ongeluk door de gebruiker worden ingevoerd, moeten zij onmiddellijk worden verwijderd.

4. Doeleinden en Rechtsgrond van de Verwerking

4.1 Voor Beheerders (Klanten)

Doel Rechtsgrond (art. 6 AVG) Bewaartermijn
Levering van de PMS-dienst Art. 6.1.b - Uitvoering van de overeenkomst Duur van de overeenkomst + 10 jaar
Facturering en boekhouding Art. 6.1.c - Wettelijke verplichting 10 jaar (fiscale verplichting)
Klantenservice Art. 6.1.b - Uitvoering van de overeenkomst Duur van de overeenkomst + 2 jaar
Beveiliging en fraudepreventie (applicatielogs, anomalieën) Art. 6.1.f - Gerechtvaardigd belang 12 maanden standaard, tot 24 maanden voor gedocumenteerde lopende onderzoeken (besluit 352/2022 van de Garante)
Verbetering van de dienst Art. 6.1.f - Gerechtvaardigd belang 2 jaar (geaggregeerde anonieme gegevens)
Direct marketing Art. 6.1.a - Toestemming Tot intrekking van de toestemming
Verdediging van rechten in rechte Art. 6.1.f - Gerechtvaardigd belang 10 jaar

4.2 Voor Gasten (op instructie van de Beheerder)

Doel Rechtsgrond Bewaartermijn
Gastregistratie en mededeling aan Politie (Questura) Art. 6.1.c - Wettelijke verplichting (Italiaanse TULPS-wet, art. 109, D.Lgs. 159/2011) Minimaal 2 jaar
Mededelingen aan ISTAT Art. 6.1.c - Wettelijke verplichting Volgens ISTAT-regelgeving
Toeristenbelasting (Paytourist) Art. 6.1.c - Wettelijke verplichting Volgens gemeentelijke regelgeving
Beheer van boeking en verblijf Art. 6.1.b - Uitvoering van de overeenkomst 10 jaar (fiscale doeleinden)
Online check-in en communicatie Art. 6.1.b - Uitvoering van de overeenkomst Duur van het verblijf + bewaartermijn accommodatie
📌 Opmerking over toestemming:

Voor veel activiteiten is GEEN toestemming nodig omdat zij gebaseerd zijn op:

  • ✅ Uitvoering van de overeenkomst (u hebt de dienst aangevraagd)
  • ✅ Wettelijke verplichtingen (verplichte mededelingen aan de autoriteiten)
  • ✅ Gerechtvaardigd belang (beveiliging, verbetering van de dienst)

Toestemming is ALLEEN vereist voor marketing en profilering.

5. Wijze van Verwerking

5.1 Beginselen van de Verwerking (art. 5 AVG)

Vezpa verwerkt persoonsgegevens met inachtneming van de volgende beginselen:

5.2 Verwerkingsmiddelen

De gegevens worden verwerkt met de volgende middelen:

5.3 Toegangswijze

De gegevens zijn toegankelijk voor:

6. Beveiligingsmaatregelen (art. 32 AVG)

6.1 Technische Maatregelen

✅ Versleuteling tijdens transport: HTTPS/TLS 1.2+ voor alle verbindingen, HSTS
✅ Versleuteling van opgeslagen gegevens: specifieke gevoelige gegevens versleuteld met django-cryptography; volumes en snapshots versleuteld aan infrastructuurzijde (DigitalOcean)
✅ Hashing van wachtwoorden: PBKDF2 (standaard Django) met willekeurige salt
✅ Tokens: JWT access token TTL 15 minuten, refresh met rotatie en blacklist, TTL 60 dagen
✅ 2FA TOTP beschikbaar op account (django-otp)
✅ Botblokkering en rate limiting: speciale middleware die scanners en bekende aanvalspaden blokkeert
✅ Back-up: database-snapshots beheerd door de infrastructuurprovider, EU-locatie
✅ Op rollen gebaseerde toegangscontrole (RBAC): directeur, assistent, huishoudster, waarnemer
✅ Applicatielogging: registratie van toegang, kritieke acties en anomalieën
✅ Update van afhankelijkheden: monitoring van kwetsbaarheden in Python- en Flutter-pakketten

6.2 Organisatorische Maatregelen

✅ Administratieve toegang beperkt tot de Verwerkingsverantwoordelijke (Vezpa is momenteel een eenmanszaak zonder werknemers); eventuele externe medewerkers worden schriftelijk aangewezen als Verwerkers of Geautoriseerde Personen
✅ Gedocumenteerde incidentresponsprocedure (§9 hieronder)
✅ Privacy by Design and by Default geïntegreerd in de ontwikkelingsfasen
✅ Register van verwerkingsactiviteiten (art. 30 AVG) bijgehouden en geactualiseerd
✅ DPA ondertekend met alle belangrijkste subverwerkers
✅ Openbare lijst van subverwerkers, bijgewerkt op vezpa.it/subprocessors

6.3 Referentienormen

7. Ontvangers van de Gegevens (art. 13.1.e AVG)

7.1 Categorieën Ontvangers

De gegevens kunnen worden meegedeeld aan de volgende categorieën ontvangers. De lijst met namen, die altijd actueel is, is gepubliceerd op vezpa.it/subprocessors.

Categorie Ontvangers Rol Doel
Italiaanse overheidsinstanties AlloggiatiWeb (Politie/Questura), ISTAT, Italiaanse Gemeenten (PayTourist), Italiaanse belastingdienst (Agenzia Entrate) Zelfstandige verwerkingsverantwoordelijken Wettelijke verplichting
EU-overheidsinstanties Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) Zelfstandige verwerkingsverantwoordelijken Wettelijke verplichting van de Verwerkingsverantwoordelijke (accommodatie)
Hosting / Opslag / CDN DigitalOcean LLC (servers Frankfurt, Spaces, Redis) Verwerker IT-infrastructuur
Betalingen Stripe Payments Europe Ltd / Stripe Inc. Verwerker Verwerking van betalingen
E-mail IONOS SE (DE) Verwerker Verzending van transactionele e-mails en PEC
E-mail Sendinblue SAS - Brevo (FR) Verwerker Verzending van e-mails en ontvangst van e-mails van gasten
AI-assistent Anthropic, PBC (VS) Verwerker Antwoorden op berichten van gasten (optioneel)
WhatsApp-berichten Meta Platforms Ireland Limited (IE) Verwerker WhatsApp-berichten tussen accommodatie en gasten (optioneel)
Spraakagent aan de telefoon Spraakplatform gekozen door de accommodatie (bv. Retell, Vapi, ElevenLabs) Verwerker van de accommodatie, niet van Vezpa Beantwoorden van oproepen namens de accommodatie: Vezpa geeft alleen de gegevens door die nodig zijn voor het antwoord en ontvangt berichten en gesprekssamenvattingen (optioneel)
Mobiele pushmeldingen Google LLC (Firebase Cloud Messaging) Verwerker Verzending van pushmeldingen naar mobiele apparaten
Automatische vertaling Google LLC (Google Cloud Translation API) Verwerker Vertaling van gastberichten ontvangen via OTA-kanalen en, op verzoek van de host, van extra's
Channel Manager OTA STAAH Limited (Nieuw-Zeeland) Verwerker Synchronisatie van boekingen met OTA's
In-app-aankopen — Apple Apple Distribution International Ltd (IE) / Apple Inc. (VS) Zelfstandige verwerkingsverantwoordelijke (store) Beheer van App Store-abonnementen. Apple neemt niet deel aan het DPF: doorgiften naar de VS worden beheerst door SCC 2021/914
In-app-aankopen — Google / Microsoft Google Ireland Ltd / Google LLC (VS, DPF), Microsoft Ireland / Microsoft Corp. (VS, DPF) Zelfstandige verwerkingsverantwoordelijken (stores) Beheer van Play Store- en Microsoft Store-abonnementen
OTA Booking.com, Airbnb, Expedia, VRBO, Agoda en ~60 andere kanalen Zelfstandige verwerkingsverantwoordelijken Beheer van boekingen jegens de reiziger
Slimme sloten (optioneel) Tuya Smart (CN) Verwerker Beheer van toegang via domotica, alleen indien geactiveerd door de accommodatie
Professionele adviseurs Accountants, advocaten, IT-consultants Verwerkers / Zelfstandige verwerkingsverantwoordelijken Gespecialiseerd advies, alleen waar nodig

7.2 Lijst van Subverwerkers (art. 28.4 AVG)

De bijgewerkte lijst is gepubliceerd en altijd raadpleegbaar op vezpa.it/subprocessors. Eventuele wijzigingen (nieuwe subverwerkers, vervangingen) worden aan de Verwerkingsverantwoordelijken (accommodaties) meegedeeld met een vooraankondiging van minstens 30 dagen om bezwaar mogelijk te maken (art. 28.2 AVG).

7.3 Doorgiften buiten de EU

Rechtsgrond van de doorgiften (Hoofdstuk V AVG):
  • VS — EU-U.S. Data Privacy Framework (Besluit (EU) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC — met actieve DPF-certificeringen (te verifiëren op dataprivacyframework.gov/list (opent in een nieuw tabblad))
  • VS — Standaardcontractbepalingen (SCC 2021/914): Apple Inc. neemt niet deel aan het DPF; de contractuele relatie voor EU-gebruikers loopt via Apple Distribution International Ltd (Ierland) en eventuele doorgiften binnen het Apple-concern naar de VS worden beheerst door SCC en interne adequaatheidsmechanismen
  • Nieuw-Zeeland — Adequaatheidsbesluit (Besluit 2013/65/EU): STAAH Limited
  • China (optioneel): Tuya Smart — Standaardcontractbepalingen (SCC) 2021/914 + aanvullende maatregelen (minimalisatie en pseudonimisering). Doorgifte alleen uitgevoerd voor accommodaties die slimme sloten activeren.

Voor elke subverwerker buiten de EU is het toepasselijke doorgiftemechanisme gedocumenteerd. De SCC's en eventuele Transfer Impact Assessments zijn op verzoek beschikbaar voor de Verwerkingsverantwoordelijke.

8. Rechten van de Betrokkene (art. 15-22 AVG)

8.1 Uitoefenbare Rechten

Recht Art. AVG Beschrijving
Inzage Art. 15 Bevestiging van het bestaan van uw gegevens verkrijgen en daar een kopie van ontvangen
Rectificatie Art. 16 Onjuiste gegevens corrigeren of aanvullen
Wissing ("vergetelheid") Art. 17 Wissing van de gegevens verkrijgen (met uitzonderingen voor wettelijke verplichtingen)
Beperking Art. 18 De verwerking onder bepaalde omstandigheden beperken
Overdraagbaarheid Art. 20 Gegevens ontvangen in een gestructureerd formaat (CSV, JSON) en overdragen aan een andere verwerkingsverantwoordelijke
Bezwaar Art. 21 Bezwaar maken tegen verwerking op basis van gerechtvaardigd belang
Intrekking toestemming Art. 7.3 Toestemming voor marketing op elk moment intrekken
Klacht Art. 77 Klacht indienen bij de toezichthoudende autoriteit
Geen geautomatiseerde profilering Art. 22 Niet onderworpen worden aan beslissingen die uitsluitend op geautomatiseerde verwerking zijn gebaseerd

8.2 Hoe u uw Rechten Uitoefent

U kunt uw rechten uitoefenen via:

8.3 Reactietijden

Vezpa reageert op verzoeken binnen 30 dagen na ontvangst (verlengbaar met nog eens 60 dagen in complexe gevallen, met gemotiveerde mededeling).

8.4 Beperkingen van de Rechten

Bepaalde rechten (wissing, beperking) zijn mogelijk niet uitoefenbaar wanneer:

9. Datalekken en Meldingen (art. 33-34 AVG)

9.1 Procedure in geval van Datalek

In geval van een datalek (inbreuk op persoonsgegevens) zal Vezpa:

  1. 📊 Het incident beoordelen binnen 24 uur na ontdekking
  2. 📢 De toezichthoudende autoriteit (Garante) op de hoogte stellen binnen 72 uur (als er een risico is voor de rechten van de betrokkenen)
  3. 📧 De betrokkenen informeren zonder onnodige vertraging (als er een hoog risico is)
  4. 📝 Het incident documenteren in het register van inbreuken
  5. 🔧 Corrigerende maatregelen nemen om toekomstige inbreuken te voorkomen

9.2 Transparantie

In geval van een datalek dat u betreft, ontvangt u een mededeling met:

10. Data Protection Impact Assessment (DPIA)

Vezpa heeft de Gegevensbeschermingseffectbeoordeling (DPIA) opgestart krachtens art. 35 AVG, gelet op de systematische verwerking van identiteitsdocumenten van betrokkenen uit meerdere EU-lidstaten en de doorgiften naar subverwerkers buiten de EU.

Toepassingsgebied van de DPIA:

De DPIA en eventuele aanvullende beperkende maatregelen worden regelmatig bijgewerkt. In geval van hoog restrisico zal Vezpa overgaan tot voorafgaande raadpleging van de Italiaanse toezichthoudende autoriteit (Garante) krachtens art. 36 AVG. De Verwerkingsverantwoordelijke (accommodatie) kan een samenvatting van de DPIA aanvragen door te schrijven naar info@vezpa.it.

11. Verwerker (art. 28 AVG)

11.1 Overeenkomsten met Klanten (voor gastgegevens)

Wanneer de beheerder van de accommodatie Vezpa gebruikt om gastgegevens te verwerken:

11.2 Inhoud van de DPA

De Verwerkersovereenkomst bevat, krachtens art. 28.3 AVG:

De DPA maakt integraal deel uit van de Servicevoorwaarden en wordt aanvaard bij de registratie van de accommodatie.

12. Privacy by Design en by Default (art. 25 AVG)

12.1 Privacy by Design

Vezpa integreert de gegevensbescherming vanaf het ontwerp:

12.2 Privacy by Default

De standaardinstellingen maximaliseren de privacy:

13. Register van Verwerkingsactiviteiten (art. 30 AVG)

Vezpa houdt een volledig register van alle verwerkingsactiviteiten bij, met:

Het register is op verzoek van de toezichthoudende autoriteit beschikbaar.

14. Wijzigingen van de Informatie

Deze informatie kan worden gewijzigd vanwege:

Wezenlijke wijzigingen worden via e-mail meegedeeld met een vooraankondiging van minstens 30 dagen.

De datum van laatste update wordt altijd bovenaan het document vermeld.

📞 Contact voor Privacy en AVG

Privacyafdeling:
📧 E-mail: info@vezpa.it
📧 PEC: lavezpa@pec.it
📮 Adres: Desenzano del Garda, via San Zeno 67

Italiaanse toezichthoudende autoriteit (Garante):
Piazza Venezia, 11 - 00187 Rome
📧 E-mail: garante@gpdp.it
📧 PEC: protocollo@pec.gpdp.it
📞 Tel: +39 06.696771
🌐 Web: www.garanteprivacy.it (opent in een nieuw tabblad)

Gebruikers in Nederland kunnen ook terecht bij de Autoriteit Persoonsgegevens (www.autoriteitpersoonsgegevens.nl (opent in een nieuw tabblad)).