ПОЛНОЕ УВЕДОМЛЕНИЕ СОГЛАСНО GDPR

Vezpa - Property Management System

Соответствие Регламенту (ЕС) 2016/679

Последнее обновление: 5 ноября 2026 г.

Уведомление: Это перевод итальянского оригинала, предоставленный для удобства. В случае противоречия или неоднозначности приоритет имеет итальянская версия. Итальянский оригинал доступен по адресу: https://vezpa.it/gdpr/
✅ Подход к GDPR: Vezpa применяет технические и организационные меры, соответствующие Регламенту (ЕС) 2016/679. Настоящий документ подробно описывает, как мы обрабатываем персональные данные, какие меры безопасности применяем и как действуем в качестве Обработчика персональных данных от имени объектов размещения.

1. Введение и сфера применения

Настоящее уведомление описывает, как Vezpa di Paolo Vezzola (далее «Vezpa» или «Мы») обрабатывает персональные данные в соответствии с:

1.1 К кому применяется

Настоящее уведомление применяется к:

1.2 Двойная роль Vezpa

Vezpa действует в двух разных ролях:

  • КОНТРОЛЁР ДАННЫХ Для данных управляющих объектами (клиентов)
  • ОБРАБОТЧИК Для данных гостей (мы обрабатываем данные по инструкциям управляющего объектом)

2. Сведения о личности и контактные данные Контролёра

Контролёр персональных данных:

Vezpa di Paolo Vezzola
Юридический адрес: Desenzano del Garda (BS), 25015, via San Zeno 67
НДС №: 04449070988
Налоговый код: VZZPLA84C10D284C
PEC: lavezpa@pec.it
Электронная почта: info@vezpa.it

3. Категории обрабатываемых персональных данных

3.1 Данные управляющих (клиентов)

Категория Вид данных Обязательность
Идентификационные данные Имя, фамилия, дата рождения, налоговый код ✅ Обязательно
Контактные данные Электронная почта, телефон, адрес ✅ Обязательно
Данные компании Наименование, НДС №, данные объекта ✅ Обязательно
Платёжные данные IBAN, кредитная карта (через Stripe) ✅ Обязательно для подписки
Данные об использовании Журналы доступа, IP, действия на платформе ⚙️ Автоматические
Данные коммуникаций Электронная почта, чат поддержки, обращения в поддержку 📝 Добровольные

3.2 Данные гостей (как Обработчик персональных данных)

Категория Вид данных Правовое основание (Контролёра)
Идентификационные данные Имя, фамилия, дата и место рождения, гражданство, пол Юридическое обязательство (итальянский закон TULPS, ст. 109, и эквивалентные нормативные акты ЕС)
Удостоверение личности Вид, номер, дата выдачи, орган, отсканированное или фотографическое изображение Юридическое обязательство
OCR-извлечение Текстовые данные, автоматически извлечённые из документа (имя, дата, номер) Исполнение договора (ст. 6.1.b) — только для упрощения ввода данных оператором, без аналитических целей, профилирования и самостоятельного принятия решений
Контактные данные Электронная почта, телефон, адрес Исполнение договора
Данные бронирования Даты проживания, количество гостей, номер, тарифы, тип питания Исполнение договора
Платёжные данные Транзакции, квитанции (данные карты обрабатываются Stripe, не хранятся в Vezpa) Исполнение договора + налоговое обязательство
⚠️ Особые категории данных (ст. 9 GDPR):

Получаемые удостоверения личности могут содержать элементы, относимые к «особым» согласно ст. 9 GDPR, как правило:

  • Место рождения (из которого может быть выведено этническое происхождение)
  • Фотографическое изображение лица (не используется для автоматизированного биометрического распознавания)

Правомерность обработки: ст. 9.2.b (исполнение обязательств в области трудового права, безопасности и социальной защиты), 9.2.g (причины существенного общественного интереса — регистрация в целях общественной безопасности) и 9.2.f (установление прав). Цели ограничены выполнением требований закона перед государственными органами.

Дополнительные меры: доступ ограничен только уполномоченными ролями (директор, ассистент), никакого профилирования по таким данным, никакого раскрытия третьим лицам, кроме государственных органов-получателей.

Vezpa не собирает намеренно другие особые категории данных (политические/религиозные взгляды, медицинские данные, генетические данные, сексуальную ориентацию). Если такие данные были введены пользователем по ошибке, они должны быть немедленно удалены.

4. Цели и правовое основание обработки

4.1 Для управляющих (клиентов)

Цель Правовое основание (ст. 6 GDPR) Срок хранения
Предоставление услуги PMS Ст. 6.1.b — Исполнение договора Срок действия договора + 10 лет
Выставление счетов и бухгалтерия Ст. 6.1.c — Юридическое обязательство 10 лет (налоговое обязательство)
Клиентская поддержка Ст. 6.1.b — Исполнение договора Срок действия договора + 2 года
Безопасность и предотвращение мошенничества (журналы приложения, аномалии) Ст. 6.1.f — Законный интерес 12 месяцев стандартно, до 24 месяцев для документально подтверждённых текущих расследований (Постановление Garante 352/2022)
Улучшение услуги Ст. 6.1.f — Законный интерес 2 года (анонимные агрегированные данные)
Прямой маркетинг Ст. 6.1.a — Согласие До отзыва согласия
Защита прав в суде Ст. 6.1.f — Законный интерес 10 лет

4.2 Для гостей (по инструкциям управляющего)

Цель Правовое основание Срок хранения
Регистрация гостей и уведомление Questura Ст. 6.1.c — Юридическое обязательство (итальянский закон TULPS, ст. 109, Законодательный декрет 159/2011) Минимум 2 года
Уведомления ISTAT Ст. 6.1.c — Юридическое обязательство Согласно нормативным актам ISTAT
Туристический налог (Paytourist) Ст. 6.1.c — Юридическое обязательство Согласно муниципальным нормативным актам
Управление бронированием и проживанием Ст. 6.1.b — Исполнение договора 10 лет (налоговые цели)
Онлайн-заезд и коммуникации Ст. 6.1.b — Исполнение договора Срок проживания + срок хранения объектом
📌 Примечание о согласии:

Для многих видов деятельности согласие НЕ требуется, поскольку они основаны на:

  • ✅ Исполнении договора (Вы запросили услугу)
  • ✅ Юридических обязательствах (обязательные уведомления государственным органам)
  • ✅ Законном интересе (безопасность, улучшение услуги)

Согласие требуется ТОЛЬКО для маркетинга и профилирования.

5. Способы обработки

5.1 Принципы обработки (ст. 5 GDPR)

Vezpa обрабатывает персональные данные с соблюдением следующих принципов:

5.2 Средства обработки

Данные обрабатываются следующими средствами:

5.3 Способ доступа

Доступ к данным имеют:

6. Меры безопасности (ст. 32 GDPR)

6.1 Технические меры

✅ Шифрование при передаче: HTTPS/TLS 1.2+ для всех соединений, HSTS
✅ Шифрование при хранении: отдельные чувствительные данные шифруются с помощью django-cryptography; управляемые тома и снимки зашифрованы на уровне инфраструктуры (DigitalOcean)
✅ Хеширование паролей: PBKDF2 (по умолчанию в Django) со случайной солью
✅ Токены: токен доступа JWT со сроком действия 15 минут, токен обновления с ротацией и чёрным списком, срок действия 60 дней
✅ Двухфакторная аутентификация TOTP доступна в учётной записи (django-otp)
✅ Блокировка ботов и ограничение частоты запросов: специальный промежуточный модуль, блокирующий сканеры и известные пути атак
✅ Резервные копии: снимки базы данных, управляемые поставщиком инфраструктуры, расположение в ЕС
✅ Контроль доступа на основе ролей (RBAC): директор, ассистент, горничная, наблюдатель
✅ Журналирование в приложении: отслеживание доступа, критических действий и аномалий
✅ Обновление зависимостей: мониторинг уязвимостей пакетов Python и Flutter

6.2 Организационные меры

✅ Административный доступ есть только у Контролёра (Vezpa в настоящее время является индивидуальным предпринимателем без сотрудников); возможные внешние сотрудники назначаются письменно как Обработчики или Уполномоченные лица
✅ Документированная процедура реагирования на инциденты (§9 ниже)
✅ Защита данных при проектировании и по умолчанию (Privacy by Design and by Default), встроенная в этапы разработки
✅ Реестр операций обработки (ст. 30 GDPR) ведётся и обновляется
✅ DPA, подписанный со всеми основными субобработчиками
✅ Публичный список субобработчиков, обновляемый на vezpa.it/subprocessors

6.3 Применяемые стандарты

7. Получатели данных (ст. 13.1.e GDPR)

7.1 Категории получателей

Данные могут раскрываться следующим категориям получателей. Поимённый и всегда актуальный список опубликован на vezpa.it/subprocessors.

Категория Получатели Роль Цель
Государственные органы Италии AlloggiatiWeb (Questura), ISTAT, Муниципалитеты (PayTourist), Налоговое агентство (Agenzia delle Entrate) Самостоятельные контролёры Юридическое обязательство
Государственные органы ЕС Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) Самостоятельные контролёры Юридическое обязательство Контролёра (объекта)
Хостинг / Хранилище / CDN DigitalOcean LLC (серверы Франкфурт, Spaces, Redis) Обработчик IT-инфраструктура
Платежи Stripe Payments Europe Ltd / Stripe Inc. Обработчик Обработка платежей
Электронная почта IONOS SE (DE) Обработчик Отправка транзакционных писем и PEC
Электронная почта Sendinblue SAS - Brevo (FR) Обработчик Отправка писем и получение писем гостей
ИИ-ассистент Anthropic, PBC (США) Обработчик Ответы на сообщения гостей (по выбору)
Сообщения WhatsApp Meta Platforms Ireland Limited (IE) Обработчик Сообщения WhatsApp между объектом и гостями (по выбору)
Голосовой агент на телефоне Голосовая платформа, выбранная объектом (например, Retell, Vapi, ElevenLabs) Обработчик объекта, а не Vezpa Ответы на звонки от имени объекта: Vezpa передаёт только данные, необходимые для ответа, и получает сообщения и сводки звонков (по выбору)
Push-уведомления для мобильных Google LLC (Firebase Cloud Messaging) Обработчик Отправка push-уведомлений на мобильные устройства
Автоматический перевод Google LLC (Google Cloud Translation API) Обработчик Перевод сообщений гостей, полученных из каналов OTA, и, по запросу управляющего, дополнительных услуг
Менеджер каналов OTA STAAH Limited (Новая Зеландия) Обработчик Синхронизация бронирований с OTA
Покупки в приложении — Apple Apple Distribution International Ltd (IE) / Apple Inc. (США) Самостоятельный контролёр (магазин) Управление подписками в App Store. Apple не участвует в DPF: передачи в США регулируются SCC 2021/914
Покупки в приложении — Google / Microsoft Google Ireland Ltd / Google LLC (США, DPF), Microsoft Ireland / Microsoft Corp. (США, DPF) Самостоятельные контролёры (магазины) Управление подписками Play Store / Microsoft Store
OTA Booking.com, Airbnb, Expedia, VRBO, Agoda и ~60 других каналов Самостоятельные контролёры Управление бронированиями для путешественника
Умные замки (опционально) Tuya Smart (CN) Обработчик Управление доступом через домашнюю автоматизацию, только если активировано объектом
Специалисты Бухгалтеры, адвокаты, IT-консультанты Обработчики / Самостоятельные контролёры Специализированные консультации, только где необходимо

7.2 Список субобработчиков персональных данных (ст. 28.4 GDPR)

Актуальный список опубликован и всегда доступен на vezpa.it/subprocessors. Любые изменения (новые субобработчики, замены) сообщаются Контролёрам (объектам) не менее чем за 30 дней, чтобы обеспечить возможность возражения (ст. 28.2 GDPR).

7.3 Передачи за пределы ЕС

Правовое основание передач (Глава V GDPR):
  • США — EU-U.S. Data Privacy Framework (Решение (ЕС) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC — с действующей сертификацией DPF (проверка на dataprivacyframework.gov/list (открывается в новой вкладке))
  • США — Стандартные договорные условия (SCC 2021/914): Apple Inc. не участвует в DPF; для пользователей из ЕС договорные отношения установлены с Apple Distribution International Ltd (Ирландия), а возможные передачи внутри группы Apple в США регулируются SCC и внутренними механизмами адекватности
  • Новая Зеландия — Решение об адекватности (Решение 2013/65/ЕС): STAAH Limited
  • Китай (опционально): Tuya Smart — Стандартные договорные условия (SCC) 2021/914 + дополнительные меры (минимизация и псевдонимизация). Передача осуществляется только для объектов, активирующих умные замки.

Для каждого субобработчика за пределами ЕС задокументирован применимый механизм передачи. SCC и возможные оценки последствий передачи (Transfer Impact Assessment) доступны Контролёру по запросу.

8. Права субъекта данных (ст. 15-22 GDPR)

8.1 Реализуемые права

Право Ст. GDPR Описание
Право на доступ к данным Ст. 15 Получение подтверждения наличия Ваших данных и их копии
Право на исправление Ст. 16 Исправление неточных данных или их дополнение
Право на удаление («право быть забытым») Ст. 17 Удаление данных (с исключениями для юридических обязательств)
Право на ограничение Ст. 18 Ограничение обработки при определённых условиях
Право на переносимость данных Ст. 20 Получение данных в структурированном формате (CSV, JSON) и их передача другому контролёру
Право на возражение Ст. 21 Возражение против обработки, основанной на законном интересе
Отзыв согласия Ст. 7.3 Отзыв согласия на маркетинг в любое время
Жалоба Ст. 77 Подача жалобы в Garante (итальянский орган по защите персональных данных)
Право не подвергаться автоматизированному профилированию Ст. 22 Не быть объектом решений, основанных исключительно на автоматизированной обработке

8.2 Как реализовать свои права

Вы можете реализовать свои права через:

8.3 Сроки ответа

Vezpa отвечает на запросы в течение 30 дней с момента получения (в сложных случаях срок может быть продлён ещё на 60 дней, с мотивированным уведомлением).

8.4 Ограничения прав

Некоторые права (удаление, ограничение) могут быть нереализуемы, когда:

9. Нарушение безопасности данных и уведомления (ст. 33-34 GDPR)

9.1 Процедура в случае нарушения безопасности данных

В случае нарушения безопасности персональных данных (data breach) Vezpa:

  1. 📊 Оценивает инцидент в течение 24 часов с момента обнаружения
  2. 📢 Уведомляет Garante в течение 72 часов (если есть риск для прав субъектов)
  3. 📧 Информирует субъектов без неоправданной задержки (если есть высокий риск)
  4. 📝 Документирует инцидент в реестре нарушений
  5. 🔧 Принимает корректирующие меры для предотвращения будущих нарушений

9.2 Прозрачность

В случае нарушения безопасности данных, которое Вас затрагивает, Вы получите уведомление, содержащее:

10. Оценка воздействия на защиту данных (DPIA)

Vezpa начала проведение Оценки воздействия на защиту данных (DPIA) согласно ст. 35 GDPR, учитывая систематическую обработку удостоверений личности субъектов из нескольких государств ЕС и передачи субобработчикам за пределами ЕС.

Сфера DPIA:

DPIA и возможные дополнительные меры по снижению рисков периодически обновляются. В случае высокого остаточного риска Vezpa проведёт предварительную консультацию с итальянским органом по защите данных (Garante) согласно ст. 36 GDPR. Контролёр (объект) может запросить краткое изложение DPIA, написав на info@vezpa.it.

11. Обработчик персональных данных (ст. 28 GDPR)

11.1 Соглашения с клиентами (для данных гостей)

Когда управляющий объектом использует Vezpa для обработки данных гостей:

11.2 Содержание DPA

Договор об обработке персональных данных содержит, согласно ст. 28.3 GDPR:

DPA является неотъемлемой частью Условий использования и принимается при регистрации объекта.

12. Защита данных при проектировании и по умолчанию (ст. 25 GDPR)

12.1 Защита данных при проектировании (Privacy by Design)

Vezpa интегрирует защиту данных уже на этапе проектирования:

12.2 Защита данных по умолчанию (Privacy by Default)

Настройки по умолчанию максимизируют конфиденциальность:

13. Реестр операций обработки (ст. 30 GDPR)

Vezpa ведёт полный реестр всех операций обработки, содержащий:

Реестр доступен по запросу Garante.

14. Изменения настоящего уведомления

Настоящее уведомление может быть изменено в связи с:

О существенных изменениях будет сообщаться по электронной почте не менее чем за 30 дней.

Дата последнего обновления всегда указана в начале документа.

📞 Контакты по конфиденциальности и GDPR

Отдел по вопросам конфиденциальности:
📧 Электронная почта: info@vezpa.it
📧 PEC: lavezpa@pec.it
📮 Адрес: Desenzano del Garda, via San Zeno 67

Garante per la Protezione dei Dati Personali (итальянский надзорный орган по защите данных):
Piazza Venezia, 11 - 00187 Рим
📧 Электронная почта: garante@gpdp.it
📧 PEC: protocollo@pec.gpdp.it
📞 Тел.: +39 06.696771
🌐 Веб: www.garanteprivacy.it (открывается в новой вкладке)

Русскоязычные пользователи, проживающие в государствах-членах ЕС, также могут обратиться в национальный надзорный орган по защите данных своей страны проживания.