FULLSTENDIG GDPR-ERKLÆRING

Vezpa - Property Management System

Samsvar med EU-forordning 2016/679

Sist oppdatert: 5. november 2026

📌 Juridisk forrang: dette dokumentet er en uoffisiell oversettelse av den italienske originalen. Ved uoverensstemmelser mellom denne oversettelsen og den italienske versjonen har den italienske versjonen forrang som juridisk bindende referanse. Italiensk original tilgjengelig her: https://vezpa.it/gdpr/.
✅ GDPR-tilnærming: Vezpa iverksetter tekniske og organisatoriske tiltak egnet til å overholde EU-forordning 2016/679. Dette dokumentet beskriver i detalj hvordan vi behandler personopplysninger, hvilke sikkerhetstiltak vi gjennomfører og hvordan vi opptrer som Databehandler på vegne av innkvarteringsstedene.

1. Innledning og virkeområde

Denne erklæringen beskriver hvordan Vezpa di Paolo Vezzola (heretter "Vezpa" eller "Vi") behandler personopplysninger i samsvar med:

1.1 Hvem den gjelder for

Denne erklæringen gjelder for:

1.2 Vezpas doble rolle

Vezpa opptrer i to forskjellige roller:

  • BEHANDLINGSANSVARLIG For data om driftsansvarlige for innkvarteringsstedene (kunder)
  • DATABEHANDLER For data om gjestene (vi behandler data etter instruks fra den driftsansvarlige)

2. Identitet og kontaktopplysninger for Behandlingsansvarlig

Behandlingsansvarlig:

Vezpa di Paolo Vezzola
Forretningsadresse: Desenzano del Garda (BS), 25015, via San Zeno 67
MVA-nr.: 04449070988
Skattekode: VZZPLA84C10D284C
PEC: lavezpa@pec.it
E-post: info@vezpa.it

3. Kategorier av behandlede personopplysninger

3.1 Data om driftsansvarlige (kunder)

Kategori Datatype Obligatorisk
Identifikasjonsdata Fornavn, etternavn, fødselsdato, skattekode ✅ Obligatoriske
Kontaktopplysninger E-post, telefon, adresse ✅ Obligatoriske
Virksomhetsdata Firmanavn, MVA-nr., innkvarteringsstedets data ✅ Obligatoriske
Betalingsopplysninger IBAN, kredittkort (via Stripe) ✅ Obligatoriske for abonnement
Bruksdata Tilgangslogger, IP, aktivitet på plattformen ⚙️ Automatiske
Kommunikasjonsdata E-post, støttechat, støttesaker 📝 Frivillige

3.2 Data om gjestene (som Databehandler)

Kategori Datatype Rettslig grunnlag (til den Behandlingsansvarlige)
Personopplysninger Fornavn, etternavn, fødselsdato og -sted, statsborgerskap, kjønn Rettslig forpliktelse (den italienske TULPS-loven, art. 109 og tilsvarende EU-regelverk)
Legitimasjonsdokument Type, nummer, utstedelsesdato, utsteder, skannet eller fotografert bilde Rettslig forpliktelse
OCR-uttrekk Tekstdata hentet automatisk fra dokumentet (navn, dato, nummer) Oppfyllelse av avtale (art. 6.1.b) — kun for å gjøre det enklere for operatøren å legge inn data, uten formål knyttet til analyse, profilering eller selvstendige beslutninger
Kontaktopplysninger E-post, telefon, adresse Oppfyllelse av avtale
Bestillingsdata Oppholdsdatoer, antall gjester, rom, priser, måltidsordning Oppfyllelse av avtale
Betalingsopplysninger Transaksjoner, kvitteringer (kortdata behandles av Stripe, ikke lagret hos Vezpa) Oppfyllelse av avtale + skatterettslig forpliktelse
⚠️ Særlige kategorier (art. 9 GDPR):

Innhentede legitimasjonsdokumenter kan inneholde elementer som kan kvalifisere som "særlige kategorier" i henhold til art. 9 GDPR, typisk:

  • Fødested (som kan avsløre etnisk opprinnelse)
  • Fotografisk bilde av ansiktet (ikke brukt til automatisert biometrisk gjenkjenning)

Behandlingens lovlighet: art. 9.2.b (oppfyllelse av forpliktelser innen arbeidsrett, sosialsikkerhet og sosial beskyttelse), 9.2.g (viktige samfunnsinteresser - offentlige sikkerhetsregistre) og 9.2.f (fastsettelse av rettskrav). Formålene er begrenset til forpliktelser pålagt av loven overfor offentlige myndigheter.

Ekstra tiltak: tilgang begrenset til kun autoriserte roller (direktør, assistent), ingen profilering basert på slike data, ingen utlevering til andre tredjeparter enn de offentlige myndighetene som er mottakere.

Vezpa samler ikke bevisst inn andre særlige kategorier (politiske/religiøse oppfatninger, helsedata, genetiske data, seksuell orientering). Hvis slike data legges inn ved en feil av brukeren, må de umiddelbart fjernes.

4. Formål og rettslig grunnlag for behandlingen

4.1 For driftsansvarlige (kunder)

Formål Rettslig grunnlag (art. 6 GDPR) Oppbevaring
Levering av PMS-tjenesten Art. 6.1.b - Oppfyllelse av avtale Kontraktens varighet + 10 år
Fakturering og regnskap Art. 6.1.c - Rettslig forpliktelse 10 år (skatterettslig forpliktelse)
Kundestøtte Art. 6.1.b - Oppfyllelse av avtale Kontraktens varighet + 2 år
Sikkerhet og svindelforebygging (applikasjonslogger, avvik) Art. 6.1.f - Berettiget interesse 12 måneder som standard, inntil 24 måneder for aktive, dokumenterte undersøkelser (vedtak 352/2022 fra den italienske datatilsynsmyndigheten)
Tjenesteforbedring Art. 6.1.f - Berettiget interesse 2 år (aggregerte anonyme data)
Direkte markedsføring Art. 6.1.a - Samtykke Inntil samtykket trekkes tilbake
Forsvar av rettigheter i retten Art. 6.1.f - Berettiget interesse 10 år

4.2 For gjester (etter instruks fra den driftsansvarlige)

Formål Rettslig grunnlag Oppbevaring
Gjesteregistrering og kommunikasjon til politiet Art. 6.1.c - Rettslig forpliktelse (den italienske TULPS-loven, art. 109, D.Lgs. 159/2011) Minst 2 år
ISTAT-kommunikasjon Art. 6.1.c - Rettslig forpliktelse I henhold til ISTAT-regelverk
Turistskatt (Paytourist) Art. 6.1.c - Rettslig forpliktelse I henhold til kommunalt regelverk
Administrasjon av bestilling og opphold Art. 6.1.b - Oppfyllelse av avtale 10 år (skattemessige formål)
Innsjekk på nett og kommunikasjon Art. 6.1.b - Oppfyllelse av avtale Oppholdets varighet + innkvarteringsstedets oppbevaringsperiode
📌 Merknad om samtykke:

For mange aktiviteter er samtykke IKKE nødvendig, fordi de baserer seg på:

  • ✅ Oppfyllelse av avtale (De har bedt om tjenesten)
  • ✅ Rettslige forpliktelser (obligatorisk kommunikasjon til myndighetene)
  • ✅ Berettiget interesse (sikkerhet, tjenesteforbedring)

Samtykke kreves KUN for markedsføring og profilering.

5. Behandlingsmåte

5.1 Prinsipper for behandlingen (art. 5 GDPR)

Vezpa behandler personopplysninger i samsvar med følgende prinsipper:

5.2 Behandlingsmidler

Dataene behandles med følgende verktøy:

5.3 Tilgangsmåte

Dataene er tilgjengelige for:

6. Sikkerhetstiltak (art. 32 GDPR)

6.1 Tekniske tiltak

✅ Kryptering under overføring: HTTPS/TLS 1.2+ for alle tilkoblinger, HSTS
✅ Kryptering av lagrede data: spesifikke sensitive data kryptert med django-cryptography; administrerte volumer og snapshots kryptert på infrastruktursiden (DigitalOcean)
✅ Passordhashing: PBKDF2 (Django-standard) med tilfeldig salt
✅ Tokens: JWT access token TTL 15 minutter, refresh med rotasjon og svarteliste, TTL 60 dager
✅ 2FA TOTP tilgjengelig på kontoen (django-otp)
✅ Botblokkering og hastighetsbegrensning: dedikert middleware som blokkerer skannere og kjente angrepsstier
✅ Sikkerhetskopier: snapshots av databasen administrert av infrastrukturleverandøren, plassering i EU
✅ Rollebasert tilgangskontroll (RBAC): direktør, assistent, husholderske, observatør
✅ Applikasjonslogging: sporing av tilganger, kritiske handlinger og avvik
✅ Oppdatering av avhengigheter: overvåkning av sårbarheter i Python- og Flutter-pakker

6.2 Organisatoriske tiltak

✅ Administrative tilganger begrenset til den Behandlingsansvarlige (Vezpa er for tiden enkeltpersonforetak uten ansatte); eventuelle eksterne medarbeidere utnevnes skriftlig som Databehandlere eller Autoriserte personer
✅ Dokumentert prosedyre for hendelseshåndtering (§9 nedenfor)
✅ Innebygd personvern og personvern som standard integrert i utviklingsfasene
✅ Register over behandlingsaktiviteter (art. 30 GDPR) vedlikeholdt og oppdatert
✅ DPA inngått med alle viktige underdatabehandlere
✅ Offentlig og oppdatert liste over underdatabehandlere på vezpa.it/subprocessors

6.3 Referansestandarder

7. Mottakere av data (art. 13.1.e GDPR)

7.1 Kategorier av mottakere

Dataene kan formidles til følgende kategorier av mottakere. Den navngitte listen, som alltid er oppdatert, er publisert på vezpa.it/subprocessors.

Kategori Mottakere Rolle Formål
Offentlige myndigheter i Italia AlloggiatiWeb (politiet), ISTAT, kommuner (PayTourist), skattemyndighetene (Agenzia delle Entrate) Selvstendige behandlingsansvarlige Rettslig forpliktelse
Offentlige myndigheter i EU Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) Selvstendige behandlingsansvarlige Rettslig forpliktelse for den Behandlingsansvarlige (innkvarteringsstedet)
Hosting / Lagring / CDN DigitalOcean LLC (Frankfurt-server, Spaces, Redis) Databehandler IT-infrastruktur
Betalinger Stripe Payments Europe Ltd / Stripe Inc. Databehandler Behandling av betalinger
E-post IONOS SE (DE) Databehandler Utsendelse av transaksjonelle e-poster og PEC
E-post Sendinblue SAS - Brevo (FR) Databehandler Sending av e-post og mottak av gjestenes e-post
KI-assistent Anthropic, PBC (USA) Databehandler Svar på gjesters meldinger (valgfritt)
WhatsApp-meldinger Meta Platforms Ireland Limited (IE) Databehandler WhatsApp-meldinger mellom overnattingssted og gjester (valgfritt)
Taleagent på telefon Taleplattform valgt av overnattingsstedet (f.eks. Retell, Vapi, ElevenLabs) Overnattingsstedets databehandler, ikke Vezpas Besvarelse av anrop på vegne av overnattingsstedet: Vezpa gir bare dataene som trengs for svaret, og mottar meldinger og samtalesammendrag (valgfritt)
Push-varsler mobil Google LLC (Firebase Cloud Messaging) Databehandler Utsendelse av push-varsler til mobile enheter
Automatisk oversettelse Google LLC (Google Cloud Translation API) Databehandler Oversettelse av gjestemeldinger mottatt fra OTA-kanaler og, på vertens forespørsel, av tilleggstjenester
Channel Manager OTA STAAH Limited (New Zealand) Databehandler Synkronisering av bestillinger med OTA
Kjøp i appen — Apple Apple Distribution International Ltd (IE) / Apple Inc. (USA) Selvstendig behandlingsansvarlig (store) Administrasjon av App Store-abonnementer. Apple deltar ikke i DPF: USA-overføringer reguleres av SCC 2021/914
Kjøp i appen — Google / Microsoft Google Ireland Ltd / Google LLC (USA, DPF), Microsoft Ireland / Microsoft Corp. (USA, DPF) Selvstendige behandlingsansvarlige (store) Administrasjon av Play Store / Microsoft Store-abonnementer
OTA Booking.com, Airbnb, Expedia, VRBO, Agoda og ~60 andre kanaler Selvstendige behandlingsansvarlige Bestillingsbehandling overfor den reisende
Smartlåser (valgfritt) Tuya Smart (CN) Databehandler Smart tilgangskontroll, kun hvis aktivert av innkvarteringsstedet
Profesjonelle rådgivere Regnskapsførere, advokater, IT-konsulenter Databehandlere / Selvstendige behandlingsansvarlige Spesialistrådgivning, kun når nødvendig

7.2 Liste over underdatabehandlere (art. 28.4 GDPR)

Den oppdaterte listen er publisert og alltid tilgjengelig på vezpa.it/subprocessors. Eventuelle endringer (nye underdatabehandlere, erstatninger) kommuniseres til de Behandlingsansvarlige (innkvarteringsstedene) med minst 30 dagers varsel for å tillate innsigelse (art. 28.2 GDPR).

7.3 Overføring utenfor EU

Rettslig grunnlag for overføringene (GDPR kapittel V):
  • USA — EU-U.S. Data Privacy Framework (Beslutning (EU) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC — aktive sertifiseringer i DPF (kontrolleres på dataprivacyframework.gov/list (åpnes i en ny fane))
  • USA — Standard personvernbestemmelser (SCC 2021/914): Apple Inc. deltar ikke i DPF; kontraktsforholdet for EU-brukere er med Apple Distribution International Ltd (Irland), og eventuelle interne overføringer i Apple-konsernet til USA reguleres av SCC og interne tilstrekkelighetsmekanismer
  • New Zealand — Tilstrekkelighetsbeslutning (beslutning 2013/65/EU): STAAH Limited
  • Kina (valgfritt): Tuya Smart — Standard personvernbestemmelser (SCC) 2021/914 + supplerende tiltak (minimering og pseudonymisering). Overføringen skjer kun for innkvarteringssteder som aktiverer smartlåsene.

For hver underdatabehandler utenfor EU er den gjeldende overføringsmekanismen dokumentert. SCC-er og eventuelle Transfer Impact Assessments er tilgjengelige for den Behandlingsansvarlige på forespørsel.

8. Den registrertes rettigheter (art. 15-22 GDPR)

8.1 Rettigheter som kan utøves

Rettighet GDPR-artikkel Beskrivelse
Innsyn Art. 15 Få bekreftelse på at Deres data eksisterer og motta kopi
Retting Art. 16 Rette uriktige data eller komplettere dem
Sletting ("retten til å bli glemt") Art. 17 Få slettet data (med unntak for rettslige forpliktelser)
Begrensning Art. 18 Begrense behandlingen på visse vilkår
Dataportabilitet Art. 20 Motta data i strukturert format (CSV, JSON) og overføre dem til annen behandlingsansvarlig
Innsigelse Art. 21 Motsette seg behandling basert på berettiget interesse
Tilbaketrekking av samtykke Art. 7.3 Trekke tilbake samtykke til markedsføring når som helst
Klage Art. 77 Klage til tilsynsmyndigheten
Ingen automatisert profilering Art. 22 Ikke bli underlagt avgjørelser utelukkende basert på automatisert behandling

8.2 Hvordan utøve rettighetene

De kan utøve Deres rettigheter gjennom:

8.3 Svartider

Vezpa svarer på henvendelsene innen 30 dager fra mottak (kan forlenges med ytterligere 60 dager i komplekse tilfeller, med begrunnet melding).

8.4 Begrensninger av rettighetene

Noen rettigheter (sletting, begrensning) kan eventuelt ikke utøves når:

9. Brudd på personopplysningssikkerheten og varslinger (art. 33-34 GDPR)

9.1 Prosedyre ved brudd på personopplysningssikkerheten

Ved brudd på personopplysningssikkerheten skal Vezpa:

  1. 📊 Vurdere hendelsen innen 24 timer fra oppdagelse
  2. 📢 Varsle tilsynsmyndigheten innen 72 timer (dersom det foreligger risiko for de registrertes rettigheter)
  3. 📧 Underrette de registrerte uten ugrunnet opphold (ved høy risiko)
  4. 📝 Dokumentere hendelsen i registeret over brudd
  5. 🔧 Iverksette korrigerende tiltak for å forhindre fremtidige brudd

9.2 Åpenhet

Ved brudd på personopplysningssikkerheten som gjelder Dem, vil De motta en melding som inneholder:

10. Vurdering av personvernkonsekvenser (DPIA)

Vezpa har igangsatt vurdering av personvernkonsekvenser (DPIA) i henhold til art. 35 GDPR, med tanke på systematisk behandling av legitimasjonsdokumenter tilhørende registrerte i flere EU-stater og overføringer til underdatabehandlere utenfor EU.

DPIA-omfang:

DPIA-en og eventuelle ytterligere avbøtende tiltak oppdateres regelmessig. Ved høy restrisiko vil Vezpa gjennomføre forhåndskonsultasjon med tilsynsmyndigheten i henhold til art. 36 GDPR. Den Behandlingsansvarlige (innkvarteringsstedet) kan be om sammendrag av DPIA-en ved å skrive til info@vezpa.it.

11. Databehandler (art. 28 GDPR)

11.1 Avtaler med kunder (for gjestedata)

Når innkvarteringsstedets driftsansvarlige bruker Vezpa til å behandle gjestedata:

11.2 DPA-innhold

Databehandleravtalen inneholder, i henhold til art. 28.3 GDPR:

DPA er en integrert del av Tjenestevilkårene og aksepteres ved registrering av innkvarteringsstedet.

12. Innebygd personvern og personvern som standard (art. 25 GDPR)

12.1 Innebygd personvern

Vezpa integrerer databeskyttelse fra designfasen:

12.2 Personvern som standard

Standardinnstillingene maksimerer personvernet:

13. Register over behandlingsaktiviteter (art. 30 GDPR)

Vezpa fører et fullstendig register over alle behandlingsaktiviteter, som inneholder:

Registeret er tilgjengelig på forespørsel fra tilsynsmyndigheten.

14. Endringer i erklæringen

Denne erklæringen kan endres på grunn av:

Vesentlige endringer vil bli meddelt via e-post med minst 30 dagers varsel.

Dato for siste oppdatering er alltid angitt øverst i dokumentet.

📞 Kontakt for personvern og GDPR

Personvernkontoret:
📧 E-post: info@vezpa.it
📧 PEC: lavezpa@pec.it
📮 Adresse: Desenzano del Garda, via San Zeno 67

Den italienske datatilsynsmyndigheten (Garante per la Protezione dei Dati Personali):
Piazza Venezia, 11 - 00187 Roma
📧 E-post: garante@gpdp.it
📧 PEC: protocollo@pec.gpdp.it
📞 Tlf.: +39 06.696771
🌐 Web: www.garanteprivacy.it (åpnes i en ny fane)

Brukere i Norge kan også henvende seg til Datatilsynet (www.datatilsynet.no (åpnes i en ny fane)).