INFORMAÇÃO RGPD COMPLETA

Vezpa - Property Management System

Conformidade com o Regulamento UE 2016/679

Última atualização: 5 de novembro de 2026

📌 Precedência jurídica: este documento é uma tradução de cortesia do original italiano. Em caso de divergência entre esta tradução e a versão italiana, prevalecerá a versão italiana como referência juridicamente vinculativa. Original italiano disponível aqui: https://vezpa.it/gdpr/.
✅ Abordagem RGPD: a Vezpa adota medidas técnicas e organizativas adequadas ao cumprimento do Regulamento UE 2016/679. Este documento descreve em detalhe como tratamos os dados pessoais, que medidas de segurança adotamos e como operamos como Subcontratante por conta das unidades.

1. Introdução e Âmbito de Aplicação

A presente informação descreve como a Vezpa di Paolo Vezzola (adiante "Vezpa" ou "Nós") trata os dados pessoais em conformidade com:

1.1 A Quem se Aplica

Esta informação aplica-se a:

1.2 Duplo Papel da Vezpa

A Vezpa opera em dois papéis distintos:

  • RESPONSÁVEL Para os dados dos gestores das unidades (clientes)
  • SUBCONTRATANTE Para os dados dos hóspedes (tratamos dados com base em instruções do gestor da unidade)

2. Identidade e Dados de Contacto do Responsável

Responsável pelo Tratamento:

Vezpa di Paolo Vezzola
Sede: Desenzano del Garda (BS), 25015, via San Zeno 67
NIF (P.IVA): 04449070988
Codice Fiscale: VZZPLA84C10D284C
PEC: lavezpa@pec.it
Email: info@vezpa.it

3. Categorias de Dados Pessoais Tratados

3.1 Dados dos Gestores (Clientes)

Categoria Tipo de Dados Obrigatoriedade
Dados identificativos Nome, apelido, data de nascimento, número fiscal ✅ Obrigatórios
Dados de contacto Email, telefone, morada ✅ Obrigatórios
Dados empresariais Razão social, NIF, dados da unidade ✅ Obrigatórios
Dados de pagamento IBAN, cartão de crédito (através da Stripe) ✅ Obrigatórios para subscrição
Dados de utilização Registos de acesso, IP, atividade na plataforma ⚙️ Automáticos
Dados de comunicações Email, chat de suporte, ticket 📝 Voluntários

3.2 Dados dos Hóspedes (como Subcontratante)

Categoria Tipo de Dados Fundamento Jurídico (do Responsável)
Dados identificativos Nome, apelido, data e local de nascimento, nacionalidade, género Obrigação legal (lei italiana TULPS, art. 109 e legislação UE equivalente)
Documento de identificação Tipo, número, data de emissão, entidade, imagem digitalizada ou fotográfica Obrigação legal
Extração OCR Dados textuais extraídos automaticamente do documento (nome, data, número) Execução do contrato (art. 6.º, n.º 1, al. b)) - apenas para facilitar a inserção de dados pelo operador, sem finalidades analíticas, de definição de perfis ou decisórias autónomas
Dados de contacto Email, telefone, morada Execução do contrato
Dados de reserva Datas de estadia, número de hóspedes, quarto, tarifas, regime Execução do contrato
Dados de pagamento Transações, recibos (dados de cartão geridos pela Stripe, não armazenados na Vezpa) Execução do contrato + obrigação fiscal
⚠️ Categorias Especiais de Dados (Art. 9.º RGPD):

Os documentos de identificação recolhidos podem conter elementos qualificáveis como "especiais" nos termos do art. 9.º RGPD, tipicamente:

  • Local de nascimento (do qual se pode inferir origem étnica)
  • Imagem fotográfica do rosto (não utilizada para reconhecimento biométrico automatizado)

Licitude do tratamento: art. 9.º, n.º 2, al. b) (cumprimento de obrigações em matéria de direito do trabalho, segurança e proteção social), al. g) (motivos de interesse público importante - registos de segurança pública) e al. f) (declaração, exercício ou defesa de direitos). Finalidades limitadas ao cumprimento de obrigações impostas pela lei perante as autoridades públicas.

Medidas adicionais: acesso limitado apenas aos papéis autorizados (diretor, assistente), nenhuma definição de perfis sobre esses dados, nenhuma comunicação a terceiros fora das autoridades públicas destinatárias.

A Vezpa não recolhe deliberadamente outros dados especiais (opiniões políticas/religiosas, dados de saúde, dados genéticos, orientação sexual). Caso tais dados sejam inseridos por engano pelo utilizador, devem ser imediatamente removidos.

4. Finalidades e Fundamento Jurídico do Tratamento

4.1 Para os Gestores (Clientes)

Finalidade Fundamento Jurídico (Art. 6.º RGPD) Conservação
Prestação do serviço PMS Art. 6.º, n.º 1, al. b) - Execução do contrato Duração do contrato + 10 anos
Faturação e contabilidade Art. 6.º, n.º 1, al. c) - Obrigação legal 10 anos (obrigação fiscal)
Assistência a clientes Art. 6.º, n.º 1, al. b) - Execução do contrato Duração do contrato + 2 anos
Segurança e prevenção de fraudes (registos aplicacionais, anomalias) Art. 6.º, n.º 1, al. f) - Interesse legítimo 12 meses como norma, até 24 meses para investigações ativas documentadas (Deliberação 352/2022 da autoridade italiana de proteção de dados - Garante)
Melhoria do serviço Art. 6.º, n.º 1, al. f) - Interesse legítimo 2 anos (dados agregados anónimos)
Marketing direto Art. 6.º, n.º 1, al. a) - Consentimento Até revogação do consentimento
Defesa de direitos em juízo Art. 6.º, n.º 1, al. f) - Interesse legítimo 10 anos

4.2 Para os Hóspedes (com base em instruções do Gestor)

Finalidade Fundamento Jurídico Conservação
Registo de hóspedes e comunicação à Polícia Art. 6.º, n.º 1, al. c) - Obrigação legal (lei italiana TULPS, art. 109, D.Lgs. 159/2011) Mínimo 2 anos
Comunicações ISTAT Art. 6.º, n.º 1, al. c) - Obrigação legal Segundo a legislação ISTAT
Taxa municipal turística (Paytourist) Art. 6.º, n.º 1, al. c) - Obrigação legal Segundo a legislação municipal
Gestão da reserva e estadia Art. 6.º, n.º 1, al. b) - Execução do contrato 10 anos (fins fiscais)
Check-in online e comunicações Art. 6.º, n.º 1, al. b) - Execução do contrato Duração da estadia + período de conservação da unidade
📌 Nota sobre o Consentimento:

Para muitas atividades NÃO é necessário o consentimento porque se baseiam em:

  • ✅ Execução do contrato (o serviço foi solicitado pelo próprio Utilizador)
  • ✅ Obrigações legais (comunicações obrigatórias às autoridades)
  • ✅ Interesse legítimo (segurança, melhoria do serviço)

O consentimento é exigido APENAS para marketing e definição de perfis.

5. Modalidades do Tratamento

5.1 Princípios do Tratamento (Art. 5.º RGPD)

A Vezpa trata os dados pessoais no respeito dos seguintes princípios:

5.2 Meios de Tratamento

Os dados são tratados com instrumentos:

5.3 Modalidades de Acesso

Os dados são acessíveis a:

6. Medidas de Segurança (Art. 32.º RGPD)

6.1 Medidas Técnicas

✅ Encriptação em trânsito: HTTPS/TLS 1.2+ para todas as ligações, HSTS
✅ Cifragem em repouso: dados sensíveis específicos cifrados através de django-cryptography; volumes geridos e snapshots cifrados ao nível da infraestrutura (DigitalOcean)
✅ Hashing de palavras-passe: PBKDF2 (predefinição Django) com salt aleatório
✅ Tokens: JWT access token TTL 15 minutos, refresh com rotação e blacklist, TTL 60 dias
✅ 2FA TOTP disponível na conta (django-otp)
✅ Bloqueio de bots e limitação de pedidos: middleware dedicado que bloqueia scanners e caminhos de ataque conhecidos
✅ Cópias de segurança: snapshots da base de dados geridos pelo prestador de infraestrutura, localização UE
✅ Controlo de acessos baseado em papéis (RBAC): diretor, assistente, governanta, observador
✅ Registo aplicacional: rastreio de acessos, ações críticas e anomalias
✅ Atualização de dependências: monitorização de vulnerabilidades em pacotes Python e Flutter

6.2 Medidas Organizativas

✅ Acessos administrativos limitados ao Responsável (a Vezpa é atualmente uma empresa em nome individual sem trabalhadores); eventuais colaboradores externos são designados por escrito como Subcontratantes ou Pessoas autorizadas
✅ Procedimento de resposta a incidentes documentado (§9 infra)
✅ Proteção de dados desde a conceção e por defeito integrada nas fases de desenvolvimento
✅ Registo das atividades de tratamento (art. 30.º RGPD) mantido e atualizado
✅ DPA celebrado com todos os subcontratantes ulteriores principais
✅ Lista pública de subcontratantes ulteriores atualizada em vezpa.it/subprocessors

6.3 Normas de referência

7. Destinatários dos Dados (Art. 13.º, n.º 1, al. e) RGPD)

7.1 Categorias de Destinatários

Os dados podem ser comunicados às seguintes categorias de destinatários. A lista nominativa e sempre atualizada está publicada em vezpa.it/subprocessors.

Categoria Destinatários Papel Finalidade
Autoridades públicas IT AlloggiatiWeb (Questura), ISTAT, Municípios (PayTourist), Agenzia Entrate Responsáveis autónomos Obrigação legal
Autoridades públicas UE Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) Responsáveis autónomos Obrigação legal do Responsável (unidade)
Hosting / Storage / CDN DigitalOcean LLC (servidores Frankfurt, Spaces, Redis) Subcontratante ulterior Infraestrutura TI
Pagamentos Stripe Payments Europe Ltd / Stripe Inc. Subcontratante ulterior Processamento de pagamentos
Email IONOS SE (DE) Subcontratante ulterior Envio de emails transacionais e PEC
Email Sendinblue SAS - Brevo (FR) Subcontratante ulterior Envio de e-mails e receção dos e-mails dos hóspedes
Assistente de IA Anthropic, PBC (EUA) Subcontratante ulterior Respostas às mensagens dos hóspedes (opcional)
Mensagens de WhatsApp Meta Platforms Ireland Limited (IE) Subcontratante ulterior Mensagens de WhatsApp entre o alojamento e os hóspedes (opcional)
Agente de voz ao telefone Plataforma de voz escolhida pelo alojamento (ex. Retell, Vapi, ElevenLabs) Subcontratante do alojamento, não da Vezpa Atendimento de chamadas em nome do alojamento: a Vezpa transmite apenas os dados necessários à resposta e recebe mensagens e resumos das chamadas (opcional)
Notificações push em dispositivos móveis Google LLC (Firebase Cloud Messaging) Subcontratante ulterior Envio de notificações push para dispositivos móveis
Tradução automática Google LLC (Google Cloud Translation API) Subcontratante ulterior Tradução das mensagens dos hóspedes recebidas dos canais OTA e, a pedido do anfitrião, dos extras
Channel Manager OTA STAAH Limited (Nova Zelândia) Subcontratante ulterior Sincronização de reservas com OTA
Compras in-app - Apple Apple Distribution International Ltd (IE) / Apple Inc. (EUA) Responsável autónomo (loja) Gestão de subscrições App Store. A Apple não adere ao DPF: transferências para os EUA regidas pelas CCT 2021/914
Compras in-app - Google / Microsoft Google Ireland Ltd / Google LLC (EUA, DPF), Microsoft Ireland / Microsoft Corp. (EUA, DPF) Responsáveis autónomos (lojas) Gestão de subscrições Play Store / Microsoft Store
OTA Booking.com, Airbnb, Expedia, VRBO, Agoda e ~60 outros canais Responsáveis autónomos Gestão de reservas junto do viajante
Fechaduras inteligentes (opcional) Tuya Smart (CN) Subcontratante ulterior Gestão de acessos domóticos, apenas se ativada pela unidade
Profissionais Contabilistas, advogados, consultores TI Subcontratantes ulteriores / Responsáveis autónomos Consultorias especializadas, apenas quando necessárias

7.2 Lista de Subcontratantes Ulteriores (art. 28.º, n.º 4 RGPD)

A lista atualizada está publicada e sempre consultável em vezpa.it/subprocessors. Eventuais variações (novos subcontratantes ulteriores, substituições) são comunicadas aos Responsáveis (unidades) com aviso prévio de pelo menos 30 dias para permitir oposição (art. 28.º, n.º 2 RGPD).

7.3 Transferências Fora da UE

Fundamento jurídico das transferências (Capítulo V do RGPD):
  • EUA - EU-U.S. Data Privacy Framework (Decisão (UE) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC - certificações ativas no DPF (verificação em dataprivacyframework.gov/list (abre num novo separador))
  • EUA - Cláusulas Contratuais-Tipo (CCT 2021/914): Apple Inc. não adere ao DPF; a relação contratual para os utilizadores UE é com a Apple Distribution International Ltd (Irlanda) e eventuais transferências dentro do grupo Apple para os EUA são regidas por CCT e mecanismos de adequação internos
  • Nova Zelândia - Decisão de adequação (Decisão 2013/65/UE): STAAH Limited
  • China (opcional): Tuya Smart - Cláusulas Contratuais-Tipo (CCT) 2021/914 + medidas suplementares (minimização e pseudonimização). Transferência efetuada apenas para as unidades que ativam as fechaduras inteligentes.

Para cada subcontratante ulterior fora da UE está documentado o mecanismo de transferência aplicável. As CCT e as eventuais avaliações de impacto das transferências estão à disposição do Responsável, a pedido.

8. Direitos do Titular dos Dados (Arts. 15.º a 22.º RGPD)

8.1 Direitos Exercíveis

Direito Art. RGPD Descrição
Acesso Art. 15.º Obter confirmação da existência dos seus dados e receber cópia
Retificação Art. 16.º Corrigir dados inexatos ou completá-los
Apagamento ("esquecimento") Art. 17.º Obter o apagamento dos dados (com exceções para obrigações legais)
Limitação Art. 18.º Limitar o tratamento em determinadas condições
Portabilidade Art. 20.º Receber os dados em formato estruturado (CSV, JSON) e transferi-los a outro responsável
Oposição Art. 21.º Opor-se ao tratamento baseado em interesse legítimo
Revogação do consentimento Art. 7.º, n.º 3 Revogar o consentimento para marketing a qualquer momento
Reclamação Art. 77.º Apresentar reclamação à autoridade italiana de proteção de dados (Garante)
Não sujeição a definição de perfis automatizada Art. 22.º Não ficar sujeito a decisões baseadas unicamente em tratamento automatizado

8.2 Como Exercer os Direitos

Pode exercer os seus direitos através de:

8.3 Prazos de Resposta

A Vezpa responde aos pedidos no prazo de 30 dias a contar da receção (prorrogáveis por mais 60 dias em casos complexos, com comunicação fundamentada).

8.4 Limitações aos Direitos

Alguns direitos (apagamento, limitação) poderão não ser exercíveis quando:

9. Violações de Dados e Notificações (Arts. 33.º-34.º RGPD)

9.1 Procedimento em Caso de Violação de Dados

Em caso de violação de dados pessoais, a Vezpa:

  1. 📊 Avalia o incidente no prazo de 24 horas a contar da descoberta
  2. 📢 Notifica a autoridade italiana de proteção de dados (Garante) no prazo de 72 horas (se houver risco para os direitos dos titulares)
  3. 📧 Comunica aos titulares sem atraso injustificado (se houver risco elevado)
  4. 📝 Documenta o incidente no registo de violações
  5. 🔧 Adota medidas corretivas para prevenir futuras violações

9.2 Transparência

Em caso de violação de dados que lhe diga respeito, receberá uma comunicação contendo:

10. Avaliação de Impacto sobre a Proteção de Dados (AIPD / DPIA)

A Vezpa iniciou a Avaliação de Impacto sobre a Proteção de Dados (AIPD) nos termos do art. 35.º RGPD, tendo em conta o tratamento sistemático de documentos de identificação de titulares de vários Estados-Membros da UE e as transferências para subcontratantes ulteriores fora da UE.

Âmbito da AIPD:

A AIPD e as eventuais medidas de mitigação adicionais são atualizadas periodicamente. Em caso de risco residual elevado, a Vezpa procederá à consulta prévia junto da autoridade italiana de proteção de dados (Garante) nos termos do art. 36.º RGPD. O Responsável (unidade) pode solicitar um resumo da AIPD escrevendo para info@vezpa.it.

11. Subcontratante (Art. 28.º RGPD)

11.1 Acordos com os Clientes (para dados dos hóspedes)

Quando o gestor da unidade utiliza a Vezpa para tratar dados dos hóspedes:

11.2 Conteúdo do DPA

O Acordo de tratamento de dados contém, nos termos do art. 28.º, n.º 3 RGPD:

O DPA é parte integrante dos Termos de Serviço e é aceite no momento do registo da unidade.

12. Proteção de Dados desde a Conceção e por Defeito (Art. 25.º RGPD)

12.1 Proteção de dados desde a conceção

A Vezpa integra a proteção dos dados desde a conceção:

12.2 Proteção de dados por defeito

As definições predefinidas maximizam a privacidade:

13. Registo das Atividades de Tratamento (Art. 30.º RGPD)

A Vezpa mantém um registo completo de todas as atividades de tratamento, contendo:

O registo está disponível a pedido da autoridade italiana de proteção de dados (Garante).

14. Alterações à Informação

Esta informação pode ser alterada por:

As alterações substanciais serão comunicadas por email com pelo menos 30 dias de aviso prévio.

A data da última atualização está sempre indicada no topo do documento.

📞 Contactos para Privacidade e RGPD

Gabinete de Privacidade:
📧 Email: info@vezpa.it
📧 PEC: lavezpa@pec.it
📮 Morada: Desenzano del Garda, via San Zeno 67

Garante per la Protezione dei Dati Personali (autoridade italiana de proteção de dados):
Piazza Venezia, 11 - 00187 Roma
📧 Email: garante@gpdp.it
📧 PEC: protocollo@pec.gpdp.it
📞 Tel: +39 06.696771
🌐 Web: www.garanteprivacy.it (abre num novo separador)

Os utilizadores em Portugal podem também contactar a Comissão Nacional de Proteção de Dados - CNPD (www.cnpd.pt (abre num novo separador)).