INFORMARE GDPR COMPLETĂ

Vezpa - Property Management System

Conformitate cu Regulamentul UE 2016/679

Ultima actualizare: 5 noiembrie 2026

📌 Preeminență juridică: acest document este o traducere de curtoazie a originalului italian. În caz de divergență între această traducere și versiunea italiană, versiunea italiană prevalează ca referință obligatorie din punct de vedere juridic. Original italian disponibil aici: https://vezpa.it/gdpr/.
Abordarea GDPR: Vezpa adoptă măsuri tehnice și organizatorice adecvate respectării Regulamentului UE 2016/679. Acest document descrie în detaliu modul în care prelucrăm datele cu caracter personal, ce măsuri de securitate adoptăm și cum operăm în calitate de Împuternicit al operatorului în numele structurilor.

1. Introducere și domeniu de aplicare

Prezenta informare descrie modul în care Vezpa di Paolo Vezzola (denumită în continuare "Vezpa" sau "Noi") prelucrează datele cu caracter personal în conformitate cu:

1.1 Cui se aplică

Această informare se aplică pentru:

1.2 Dublul rol al Vezpa

Vezpa operează cu două roluri distincte:

  • OPERATOR Pentru datele administratorilor structurilor (clienți)
  • ÎMPUTERNICIT Pentru datele oaspeților (prelucrăm datele pe baza instrucțiunilor administratorului structurii)

2. Identitatea și datele de contact ale Operatorului

Operatorul de date:

Vezpa di Paolo Vezzola
Sediu social: Desenzano del Garda (BS), 25015, via San Zeno 67
Cod TVA: 04449070988
Cod fiscal: VZZPLA84C10D284C
PEC: lavezpa@pec.it
Email: info@vezpa.it

3. Categorii de date cu caracter personal prelucrate

3.1 Datele administratorilor (clienți)

Categorie Tip de date Obligativitate
Date de identificare Nume, prenume, data nașterii, cod fiscal Obligatorii
Date de contact Email, telefon, adresă Obligatorii
Date comerciale Denumire socială, cod TVA, datele structurii Obligatorii
Date de plată IBAN, card de credit (prin Stripe) Obligatorii pentru abonament
Date de utilizare Log-uri de acces, IP, activitatea pe platformă Automate
Date privind comunicările Email, chat de asistență, tichete Voluntare

3.2 Datele oaspeților (în calitate de Împuternicit al operatorului)

Categorie Tip de date Temei juridic (al Operatorului)
Date de identificare Nume, prenume, data și locul nașterii, cetățenie, gen Obligație legală (legea italiană TULPS, art. 109 și reglementări echivalente UE)
Document de identitate Tip, număr, data eliberării, autoritate, imagine scanată sau fotografică Obligație legală
Extragere OCR Date textuale extrase automat din document (nume, dată, număr) Executarea contractului (art. 6.1.b) — doar pentru a facilita introducerea datelor de către operator, fără scopuri analitice, de profilare sau decizionale autonome
Date de contact Email, telefon, adresă Executarea contractului
Datele rezervării Datele șederii, numărul de oaspeți, camera, tarifele, regimul de masă Executarea contractului
Date de plată Tranzacții, chitanțe (date card gestionate de Stripe, nememorate pe Vezpa) Executarea contractului + obligație fiscală
Date speciale (Art. 9 GDPR):

Documentele de identitate colectate pot conține elemente calificabile drept "speciale" conform art. 9 GDPR, tipic:

  • Locul nașterii (din care se poate deduce originea etnică)
  • Imaginea fotografică a feței (neutilizată pentru recunoaștere biometrică automatizată)

Legalitatea prelucrării: art. 9.2.b (îndeplinirea obligațiilor în materie de drept al muncii, securitate și protecție socială), 9.2.g (motive de interes public important - înregistrări de siguranță publică) și 9.2.f (constatarea de drepturi). Scopuri limitate la obligațiile impuse de lege față de autoritățile publice.

Măsuri suplimentare: acces limitat doar rolurilor autorizate (director, asistent), nicio profilare pe aceste date, nicio comunicare către terți în afara autorităților publice destinatare.

Vezpa nu colectează în mod deliberat alte date speciale (opinii politice/religioase, date de sănătate, date genetice, orientare sexuală). Dacă astfel de date sunt introduse din greșeală de utilizator, trebuie îndepărtate imediat.

4. Scopul și temeiul juridic al prelucrării

4.1 Pentru administratori (clienți)

Scop Temei juridic (Art. 6 GDPR) Păstrare
Furnizarea serviciului PMS Art. 6.1.b - Executarea contractului Durata contractului + 10 ani
Facturare și contabilitate Art. 6.1.c - Obligație legală 10 ani (obligație fiscală)
Asistență clienți Art. 6.1.b - Executarea contractului Durata contractului + 2 ani
Securitate și prevenirea fraudelor (log-uri aplicative, anomalii) Art. 6.1.f - Interes legitim 12 luni standard, până la 24 de luni pentru investigații active documentate (Decizia Garante 352/2022)
Îmbunătățirea serviciului Art. 6.1.f - Interes legitim 2 ani (date agregate anonime)
Marketing direct Art. 6.1.a - Consimțământ Până la revocarea consimțământului
Apărarea drepturilor în instanță Art. 6.1.f - Interes legitim 10 ani

4.2 Pentru oaspeți (pe baza instrucțiunilor Administratorului)

Scop Temei juridic Păstrare
Înregistrarea oaspeților și comunicarea către Poliție Art. 6.1.c - Obligație legală (legea italiană TULPS, art. 109, D.Lgs. 159/2011) Minim 2 ani
Comunicări ISTAT Art. 6.1.c - Obligație legală Conform reglementării ISTAT
Taxa turistică (Paytourist) Art. 6.1.c - Obligație legală Conform reglementării comunale
Gestionarea rezervării și a șederii Art. 6.1.b - Executarea contractului 10 ani (scopuri fiscale)
Check-in online și comunicări Art. 6.1.b - Executarea contractului Durata șederii + perioada de păstrare stabilită de structură
Notă privind consimțământul:

Pentru multe activități NU este necesar consimțământul deoarece se bazează pe:

  • Executarea contractului (dumneavoastră ați solicitat serviciul)
  • Obligații legale (comunicări obligatorii către autorități)
  • Interes legitim (securitate, îmbunătățirea serviciului)

Consimțământul este solicitat DOAR pentru marketing și profilare.

5. Modalitățile prelucrării

5.1 Principiile prelucrării (Art. 5 GDPR)

Vezpa prelucrează datele cu caracter personal cu respectarea următoarelor principii:

5.2 Mijloace de prelucrare

Datele sunt prelucrate cu instrumente:

5.3 Modalități de acces

Datele sunt accesibile:

6. Măsuri de securitate (Art. 32 GDPR)

6.1 Măsuri tehnice

Criptare în tranzit: HTTPS/TLS 1.2+ pentru toate conexiunile, HSTS
Criptare în repaus: date sensibile specifice cifrate prin django-cryptography; volume gestionate și snapshot-uri cifrate la nivel de infrastructură (DigitalOcean)
Hashing parole: PBKDF2 (implicit în Django) cu salt aleatoriu
Token: JWT access token TTL 15 minute, refresh cu rotație și blacklist, TTL 60 de zile
2FA TOTP disponibil pe cont (django-otp)
Bot blocker și rate limiting: middleware dedicat care blochează scanerele și căile de atac cunoscute
Backup: snapshot-uri ale bazei de date gestionate de furnizorul de infrastructură, localizate în UE
Controlul accesului bazat pe roluri (RBAC): director, asistent, menajeră, observator
Jurnalizare aplicativă: urmărirea acceselor, acțiunilor critice și anomaliilor
Actualizare dependențe: monitorizarea vulnerabilităților pe pachete Python și Flutter

6.2 Măsuri organizatorice

Accese administrative limitate la Operator (Vezpa este în prezent o întreprindere individuală fără angajați); eventualii colaboratori externi sunt desemnați în scris ca Împuterniciți sau Persoane autorizate
Procedura de răspuns la incidente documentată (§9 de mai jos)
Privacy by Design and by Default integrată în fazele de dezvoltare
Registrul prelucrărilor (art. 30 GDPR) menținut și actualizat
DPA semnat cu toți subîmputerniciții principali
Lista subîmputerniciților publică și actualizată la vezpa.it/subprocessors

6.3 Standarde de referință

7. Destinatarii datelor (Art. 13.1.e GDPR)

7.1 Categorii de destinatari

Datele pot fi comunicate următoarelor categorii de destinatari. Lista nominală și mereu actualizată este publicată la vezpa.it/subprocessors.

Categorie Destinatari Rol Scop
Autorități publice IT AlloggiatiWeb (Poliție), ISTAT, Comune (PayTourist), Agenția Veniturilor Operatori autonomi Obligație legală
Autorități publice UE Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) Operatori autonomi Obligația legală a Operatorului (structura)
Hosting / Storage / CDN DigitalOcean LLC (servere Frankfurt, Spaces, Redis) Împuternicit Infrastructură IT
Plăți Stripe Payments Europe Ltd / Stripe Inc. Împuternicit Procesarea plăților
Email IONOS SE (DE) Împuternicit Trimiterea emailurilor tranzacționale și PEC
Email Sendinblue SAS - Brevo (FR) Împuternicit Trimiterea e-mailurilor și primirea e-mailurilor oaspeților
Asistent IA Anthropic, PBC (SUA) Împuternicit Răspunsuri la mesajele oaspeților (opțional)
Mesaje WhatsApp Meta Platforms Ireland Limited (IE) Împuternicit Mesaje WhatsApp între unitate și oaspeți (opțional)
Agent vocal la telefon Platformă vocală aleasă de unitate (de ex. Retell, Vapi, ElevenLabs) Împuternicit al unității, nu al Vezpa Răspunsul la apeluri în numele unității: Vezpa transmite doar datele necesare răspunsului și primește mesaje și rezumate ale apelurilor (opțional)
Notificări push pe mobil Google LLC (Firebase Cloud Messaging) Împuternicit Trimiterea notificărilor push către dispozitive mobile
Traducere automată Google LLC (Google Cloud Translation API) Împuternicit Traducerea mesajelor oaspeților primite de pe canalele OTA și, la cererea gazdei, a serviciilor suplimentare
Channel Manager OTA STAAH Limited (Noua Zeelandă) Împuternicit Sincronizarea rezervărilor cu OTA
Achiziții în aplicație — Apple Apple Distribution International Ltd (IE) / Apple Inc. (SUA) Operator autonom (store) Gestionarea abonamentelor App Store. Apple nu aderă la DPF: transferurile către SUA sunt guvernate de SCC 2021/914
Achiziții în aplicație — Google / Microsoft Google Ireland Ltd / Google LLC (SUA, DPF), Microsoft Ireland / Microsoft Corp. (SUA, DPF) Operatori autonomi (store) Gestionarea abonamentelor Play Store / Microsoft Store
OTA Booking.com, Airbnb, Expedia, VRBO, Agoda și ~60 de alte canale Operatori autonomi Gestionarea rezervărilor față de călător
Încuietori inteligente (opțional) Tuya Smart (CN) Împuternicit Gestionarea accesului domotic, numai dacă este activată de structură
Profesioniști Contabili, avocați, consultanți IT Împuterniciți / Operatori autonomi Consultanță specializată, numai acolo unde este necesar

7.2 Lista subîmputerniciților (art. 28.4 GDPR)

Lista actualizată este publicată și mereu consultabilă la vezpa.it/subprocessors. Eventualele modificări (noi subîmputerniciți, substituiri) sunt comunicate Operatorilor (structurilor) cu preaviz de cel puțin 30 de zile pentru a permite opoziția (art. 28.2 GDPR).

7.3 Transferuri în afara UE

Temeiul juridic al transferurilor (Capitolul V GDPR):
  • SUA — EU-U.S. Data Privacy Framework (Decizia (UE) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC — cu certificări DPF active (verificare pe dataprivacyframework.gov/list (se deschide într-o filă nouă))
  • SUA — Clauze Contractuale Standard (SCC) 2021/914: Apple Inc. nu aderă la DPF; raportul contractual pentru utilizatorii UE este cu Apple Distribution International Ltd (Irlanda), iar eventualele transferuri interne grupului Apple către SUA sunt guvernate de SCC și mecanisme de adecvare interne
  • Noua Zeelandă — Decizie de adecvare (Decizia 2013/65/UE): STAAH Limited
  • China (opțional): Tuya Smart — Clauze Contractuale Standard (SCC) 2021/914 + măsuri suplimentare (minimizare și pseudonimizare). Transfer efectuat numai pentru structurile care activează încuietorile inteligente.

Pentru fiecare subîmputernicit în afara UE este documentat mecanismul de transfer aplicabil. SCC și eventualele Transfer Impact Assessment sunt disponibile Operatorului la cerere.

8. Drepturile persoanei vizate (Art. 15-22 GDPR)

8.1 Drepturi ce pot fi exercitate

Drept Art. GDPR Descriere
Acces Art. 15 Obținerea confirmării existenței datelor dumneavoastră și primirea unei copii
Rectificare Art. 16 Corectarea datelor inexacte sau completarea lor
Ștergere ("uitare") Art. 17 Obținerea ștergerii datelor (cu excepții pentru obligații legale)
Restricționare Art. 18 Restricționarea prelucrării în anumite condiții
Portabilitate Art. 20 Primirea datelor în format structurat (CSV, JSON) și transferul lor către alt operator
Opoziție Art. 21 Opoziția la prelucrarea bazată pe interes legitim
Revocarea consimțământului Art. 7.3 Revocarea consimțământului pentru marketing în orice moment
Plângere Art. 77 Depunerea unei plângeri la autoritatea de supraveghere
Nesupunere profilării automatizate Art. 22 A nu fi supus unor decizii bazate exclusiv pe prelucrare automatizată

8.2 Cum vă exercitați drepturile

Vă puteți exercita drepturile prin:

8.3 Timpi de răspuns

Vezpa răspunde la cereri în termen de 30 de zile de la primire (termen care poate fi prelungit cu încă 60 de zile în cazuri complexe, cu comunicare motivată).

8.4 Limitări ale drepturilor

Unele drepturi (ștergere, restricționare) ar putea să nu fie exercitabile când:

9. Încălcarea securității datelor și notificări (Art. 33-34 GDPR)

9.1 Procedura în caz de încălcare a securității datelor

În caz de încălcare a securității datelor cu caracter personal (data breach), Vezpa:

  1. Evaluează incidentul în 24 de ore de la descoperire
  2. Notifică autoritatea (Garante) în 72 de ore (dacă există risc pentru drepturile persoanelor vizate)
  3. Comunică persoanelor vizate fără întârziere nejustificată (dacă există risc ridicat)
  4. Documentează incidentul în registrul încălcărilor
  5. Adoptă măsuri corective pentru a preveni viitoare încălcări

9.2 Transparență

În cazul unei încălcări a securității datelor care vă privește, veți primi o comunicare care conține:

10. Data Protection Impact Assessment (DPIA)

Vezpa a demarat Evaluarea de impact asupra protecției datelor (DPIA) conform art. 35 GDPR, având în vedere prelucrarea sistematică a documentelor de identitate ale persoanelor vizate din mai multe state UE și transferurile către subîmputerniciți în afara UE.

Domeniul DPIA:

DPIA și eventualele măsuri de atenuare suplimentare sunt actualizate periodic. În caz de risc rezidual ridicat, Vezpa va proceda la consultarea prealabilă a autorității (Garante) conform art. 36 GDPR. Operatorul (structura) poate solicita un rezumat al DPIA scriind la info@vezpa.it.

11. Împuternicit al operatorului (Art. 28 GDPR)

11.1 Acorduri cu clienții (pentru datele oaspeților)

Când administratorul structurii utilizează Vezpa pentru a prelucra datele oaspeților:

11.2 Conținutul DPA

Acordul de prelucrare a datelor conține, conform art. 28.3 GDPR:

DPA este parte integrantă a Termenilor și condițiilor și este acceptat la înregistrarea structurii.

12. Privacy by Design și by Default (Art. 25 GDPR)

12.1 Privacy by Design

Vezpa integrează protecția datelor încă din faza de proiectare:

12.2 Privacy by Default

Setările implicite maximizează confidențialitatea:

13. Registrul activităților de prelucrare (Art. 30 GDPR)

Vezpa menține un registru complet al tuturor activităților de prelucrare, care conține:

Registrul este disponibil la cererea autorității (Garante).

14. Modificări ale informării

Această informare poate fi modificată pentru:

Modificările substanțiale vor fi comunicate prin email cu un preaviz de cel puțin 30 de zile.

Data ultimei actualizări este întotdeauna indicată în partea de sus a documentului.

Contacte pentru confidențialitate și GDPR

Biroul de confidențialitate:
Email: info@vezpa.it
PEC: lavezpa@pec.it
Adresă: Desenzano del Garda, via San Zeno 67

Autoritatea italiană pentru protecția datelor (Garante):
Piazza Venezia, 11 - 00187 Roma
Email: garante@gpdp.it
PEC: protocollo@pec.gpdp.it
Tel: +39 06.696771
Web: www.garanteprivacy.it (se deschide într-o filă nouă)

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal - ANSPDCP (România):
Web: www.dataprotection.ro (se deschide într-o filă nouă)