CELOTNO OBVESTILO GDPR
Vezpa - Property Management System
Skladnost z Uredbo EU 2016/679
Zadnja posodobitev: 5. november 2026
1. Uvod in področje uporabe
To obvestilo opisuje, kako Vezpa di Paolo Vezzola (v nadaljevanju "Vezpa" ali "Mi") obdeluje osebne podatke v skladu z:
- Uredbo EU 2016/679 (GDPR)
- Zakonsko uredbo 196/2003 (italijanski zakonik o zasebnosti), kot je bila spremenjena z D.Lgs. 101/2018
- Odločbami in smernicami italijanskega organa za varstvo podatkov (Garante)
1.1 Za koga velja
To obvestilo velja za:
- Upravljavce nastanitvenih objektov, ki uporabljajo Vezpo (neposredne stranke)
- Goste, ki bivajo v objektih, ki uporabljajo Vezpo
- Poslovne partnerje in dobavitelje
- Obiskovalce spletnega mesta vezpa.it
1.2 Dvojna vloga Vezpe
Vezpa deluje v dveh različnih vlogah:
- UPRAVLJAVEC Za podatke upravljavcev objektov (stranke)
- OBDELOVALEC Za podatke gostov (obdelujemo podatke po navodilih upravljavca objekta)
2. Identiteta in kontaktni podatki Upravljavca
Upravljavec obdelave:
Vezpa di Paolo Vezzola
Sedež: Desenzano del Garda (BS), 25015, via San Zeno 67
ID za DDV: 04449070988
Davčna številka: VZZPLA84C10D284C
PEC: lavezpa@pec.it
E-pošta: info@vezpa.it
3. Kategorije obdelanih osebnih podatkov
3.1 Podatki upravljavcev (strank)
| Kategorija | Vrsta podatkov | Obvezno |
|---|---|---|
| Identifikacijski podatki | Ime, priimek, datum rojstva, davčna številka | Obvezno |
| Kontaktni podatki | E-pošta, telefon, naslov | Obvezno |
| Podjetniški podatki | Firma, ID za DDV, podatki o objektu | Obvezno |
| Podatki o plačilu | IBAN, kreditna kartica (prek Stripe) | Obvezno za naročnino |
| Podatki o uporabi | Dnevniki dostopa, IP, aktivnost na platformi | Samodejno |
| Podatki o sporočilih | E-pošta, podporni klepet, zahtevki | Prostovoljno |
3.2 Podatki gostov (kot Obdelovalec)
| Kategorija | Vrsta podatkov | Pravna podlaga (Upravljavca) |
|---|---|---|
| Osnovni osebni podatki | Ime, priimek, datum in kraj rojstva, državljanstvo, spol | Zakonska obveznost (italijanski zakon TULPS, 109. člen in enakovredni predpisi EU) |
| Osebni dokument | Vrsta, številka, datum izdaje, izdajatelj, skenirana ali fotografirana slika | Zakonska obveznost |
| Izluščanje z OCR | Tekstovni podatki, samodejno izluščeni iz dokumenta (ime, datum, številka) | Izvajanje pogodbe (čl. 6.1.b) - samo za lažji vnos podatkov s strani operaterja, brez analitičnih namenov, profiliranja ali samostojnega odločanja |
| Kontaktni podatki | E-pošta, telefon, naslov | Izvajanje pogodbe |
| Podatki o rezervaciji | Datumi bivanja, število gostov, soba, cene, vrsta oskrbe | Izvajanje pogodbe |
| Podatki o plačilu | Transakcije, potrdila (podatke o karticah upravlja Stripe, niso shranjeni pri Vezpi) | Izvajanje pogodbe + davčna obveznost |
Pridobljeni osebni dokumenti lahko vsebujejo elemente, ki se štejejo za "posebne" v skladu z 9. členom GDPR, običajno:
- Kraj rojstva (iz katerega je mogoče sklepati na etnično poreklo)
- Fotografija obraza (ne uporablja se za samodejno biometrično prepoznavanje)
Zakonitost obdelave: čl. 9.2.b (izpolnjevanje obveznosti na področju delovnega prava, varnosti in socialne zaščite), 9.2.g (razlogi bistvenega javnega interesa - evidence javne varnosti) in 9.2.f (uveljavljanje pravic). Nameni so omejeni na obveznosti, ki jih zakon nalaga do javnih organov.
Dodatni ukrepi: dostop omejen le na pooblaščene vloge (vodja, pomočnik), brez profiliranja na teh podatkih, brez sporočanja tretjim osebam, razen javnim organom, ki so prejemniki.
Vezpa namerno ne zbira drugih posebnih vrst podatkov (politična/verska prepričanja, zdravstveni podatki, genetski podatki, spolna usmerjenost). Če jih uporabnik po pomoti vnese, jih je treba takoj odstraniti.
4. Nameni in pravna podlaga obdelave
4.1 Za upravljavce (stranke)
| Namen | Pravna podlaga (čl. 6 GDPR) | Hramba |
|---|---|---|
| Zagotavljanje storitve PMS | Čl. 6.1.b - Izvajanje pogodbe | Trajanje pogodbe + 10 let |
| Izdaja računov in računovodstvo | Čl. 6.1.c - Zakonska obveznost | 10 let (davčna obveznost) |
| Podpora strankam | Čl. 6.1.b - Izvajanje pogodbe | Trajanje pogodbe + 2 leti |
| Varnost in preprečevanje goljufij (aplikacijski dnevniki, nepravilnosti) | Čl. 6.1.f - Zakoniti interes | Standardno 12 mesecev, do 24 mesecev za dokumentirane aktivne preiskave (ukrep italijanskega organa za varstvo podatkov (Garante) št. 352/2022) |
| Izboljšanje storitve | Čl. 6.1.f - Zakoniti interes | 2 leti (združeni anonimni podatki) |
| Neposredno trženje | Čl. 6.1.a - Privolitev | Do preklica privolitve |
| Obramba pravic na sodišču | Čl. 6.1.f - Zakoniti interes | 10 let |
4.2 Za goste (po navodilih Upravljavca)
| Namen | Pravna podlaga | Hramba |
|---|---|---|
| Prijava gostov in sporočilo Policiji | Čl. 6.1.c - Zakonska obveznost (italijanski zakon TULPS, 109. člen, D.Lgs. 159/2011) | Najmanj 2 leti |
| Sporočila ISTAT | Čl. 6.1.c - Zakonska obveznost | Skladno s predpisi ISTAT |
| Turistična taksa (Paytourist) | Čl. 6.1.c - Zakonska obveznost | Skladno z občinskimi predpisi |
| Upravljanje rezervacije in bivanja | Čl. 6.1.b - Izvajanje pogodbe | 10 let (davčni nameni) |
| Spletna prijava in sporočila | Čl. 6.1.b - Izvajanje pogodbe | Trajanje bivanja + obdobje hrambe objekta |
Za veliko dejavnosti NI potrebna privolitev, ker temeljijo na:
- Izvajanju pogodbe (vi ste zahtevali storitev)
- Zakonskih obveznostih (obvezna sporočila organom)
- Zakonitem interesu (varnost, izboljšanje storitve)
Privolitev je potrebna SAMO za trženje in profiliranje.
5. Način obdelave
5.1 Načela obdelave (5. člen GDPR)
Vezpa obdeluje osebne podatke v skladu z naslednjimi načeli:
- Zakonitost, poštenost, transparentnost: podatke obdelujemo zakonito in vas jasno obveščamo
- Omejitev namena: podatke uporabljamo samo za navedene namene
- Minimizacija podatkov: zbiramo samo nujno potrebne podatke
- Točnost: podatke vzdržujemo posodobljene in točne
- Omejitev hrambe: podatke hranimo samo toliko časa, kolikor je potrebno
- Celovitost in zaupnost: podatke varujemo z ustreznimi varnostnimi ukrepi
- Odgovornost: lahko izkažemo skladnost z GDPR
5.2 Sredstva obdelave
Podatki se obdelujejo z orodji:
- Informacijskimi: strežniki, zbirke podatkov, spletne/mobilne aplikacije
- Papirnatimi: samo za potrebne dokumente (pogodbe, računi)
5.3 Način dostopa
Podatki so dostopni:
- Pooblaščenemu osebju Vezpe (z osebnimi poverilnicami)
- Dostop na podlagi načela "need to know" (najmanjši privilegij)
- Dnevniki dostopa so sledljivi in spremljani
6. Varnostni ukrepi (32. člen GDPR)
6.1 Tehnični ukrepi
6.2 Organizacijski ukrepi
6.3 Referenčni standardi
- Strežniki EU: primarna infrastruktura DigitalOcean regija Frankfurt (FRA1)
- PCI-DSS: plačila upravljana prek družbe Stripe, ki ima certifikat PCI-DSS Level 1 (Vezpa ne shranjuje podatkov o karticah)
- Certificirani dodatni ponudniki: kjer je primerno (ISO 27001, SOC 2, DPF) - glej stran dodatnih obdelovalcev
7. Prejemniki podatkov (čl. 13.1.e GDPR)
7.1 Kategorije prejemnikov
Podatki se lahko sporočajo naslednjim kategorijam prejemnikov. Imenski seznam, vedno posodobljen, je objavljen na vezpa.it/subprocessors.
| Kategorija | Prejemniki | Vloga | Namen |
|---|---|---|---|
| Javni organi IT | AlloggiatiWeb (Policija), ISTAT, občine (PayTourist), Davčna agencija | Samostojni upravljavci | Zakonska obveznost |
| Javni organi EU | Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) | Samostojni upravljavci | Zakonska obveznost Upravljavca (objekt) |
| Gostovanje / Shramba / CDN | DigitalOcean LLC (strežniki Frankfurt, Spaces, Redis) | Obdelovalec | IT infrastruktura |
| Plačila | Stripe Payments Europe Ltd / Stripe Inc. | Obdelovalec | Obdelava plačil |
| E-pošta | IONOS SE (DE) | Obdelovalec | Pošiljanje transakcijske e-pošte in PEC |
| E-pošta | Sendinblue SAS - Brevo (FR) | Obdelovalec | Pošiljanje e-pošte in prejemanje e-pošte gostov |
| Asistent UI | Anthropic, PBC (ZDA) | Obdelovalec | Odgovori na sporočila gostov (neobvezno) |
| Sporočila WhatsApp | Meta Platforms Ireland Limited (IE) | Obdelovalec | Sporočila WhatsApp med nastanitvijo in gosti (neobvezno) |
| Glasovni agent na telefonu | Glasovna platforma, ki jo izbere nastanitev (npr. Retell, Vapi, ElevenLabs) | Obdelovalec nastanitve, ne Vezpe | Odgovarjanje na klice v imenu nastanitve: Vezpa posreduje samo podatke, potrebne za odgovor, in prejema sporočila in povzetke klicev (neobvezno) |
| Mobilna push obvestila | Google LLC (Firebase Cloud Messaging) | Obdelovalec | Pošiljanje push obvestil mobilnim napravam |
| Samodejni prevod | Google LLC (Google Cloud Translation API) | Obdelovalec | Prevod sporočil gostov, prejetih prek kanalov OTA, in na zahtevo gostitelja dodatnih storitev |
| Channel Manager OTA | STAAH Limited (Nova Zelandija) | Obdelovalec | Sinhronizacija rezervacij z OTA |
| Nakupi v aplikaciji - Apple | Apple Distribution International Ltd (IE) / Apple Inc. (ZDA) | Samostojni upravljavec (trgovina) | Upravljanje naročnin App Store. Apple ne sodeluje pri DPF: prenosi v ZDA urejeni s SCC 2021/914 |
| Nakupi v aplikaciji - Google / Microsoft | Google Ireland Ltd / Google LLC (ZDA, DPF), Microsoft Ireland / Microsoft Corp. (ZDA, DPF) | Samostojna upravljavca (trgovini) | Upravljanje naročnin Play Store / Microsoft Store |
| OTA | Booking.com, Airbnb, Expedia, VRBO, Agoda in ~60 drugih kanalov | Samostojni upravljavci | Upravljanje rezervacij v razmerju do potnika |
| Pametne ključavnice (neobvezno) | Tuya Smart (CN) | Obdelovalec | Upravljanje dostopov prek pametnega doma, samo če ga aktivira objekt |
| Strokovnjaki | Davčni svetovalci, odvetniki, IT svetovalci | Obdelovalci / Samostojni upravljavci | Specializirano svetovanje, samo kjer je potrebno |
7.2 Seznam dodatnih obdelovalcev (čl. 28.4 GDPR)
Posodobljen seznam je objavljen in vedno na voljo na vezpa.it/subprocessors. Morebitne spremembe (novi dodatni obdelovalci, zamenjave) se sporočajo Upravljavcem (objektom) s predhodnim obvestilom vsaj 30 dni za omogočanje ugovarjanja (čl. 28.2 GDPR).
7.3 Prenosi izven EU
- ZDA - EU-U.S. Data Privacy Framework (Sklep (EU) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC - aktivne certifikacije pri DPF (preverite na dataprivacyframework.gov/list (odpre se v novem zavihku))
- ZDA - Standardne pogodbene klavzule (SCC) 2021/914: Apple Inc. ne sodeluje pri DPF; pogodbeno razmerje za uporabnike EU je sklenjeno z Apple Distribution International Ltd (Irska), morebitni notranji prenosi v skupini Apple v ZDA pa potekajo prek SCC in notranjih mehanizmov ustreznosti
- Nova Zelandija - Sklep o ustreznosti (Sklep 2013/65/EU): STAAH Limited
- Kitajska (neobvezno): Tuya Smart - Standardne pogodbene klavzule (SCC) 2021/914 + dopolnilni ukrepi (minimizacija in psevdonimizacija). Prenos se izvede samo za objekte, ki aktivirajo pametne ključavnice.
Za vsakega dodatnega obdelovalca izven EU je dokumentiran veljavni mehanizem prenosa. SCC in morebitne ocene učinka prenosa (Transfer Impact Assessment) so Upravljavcu na voljo na zahtevo.
8. Pravice posameznika (čl. 15-22 GDPR)
8.1 Pravice, ki jih je mogoče uveljavljati
| Pravica | Čl. GDPR | Opis |
|---|---|---|
| Dostop | Čl. 15 | Pridobiti potrdilo o obstoju vaših podatkov in prejeti kopijo |
| Popravek | Čl. 16 | Popraviti netočne podatke ali jih dopolniti |
| Izbris ("pozaba") | Čl. 17 | Doseči izbris podatkov (z izjemami zaradi zakonskih obveznosti) |
| Omejitev | Čl. 18 | Omejiti obdelavo pod določenimi pogoji |
| Prenosljivost | Čl. 20 | Prejeti podatke v strukturirani obliki (CSV, JSON) in jih prenesti drugemu upravljavcu |
| Ugovor | Čl. 21 | Ugovarjati obdelavi, ki temelji na zakonitem interesu |
| Preklic privolitve | Čl. 7.3 | Kadar koli preklicati privolitev za trženje |
| Pritožba | Čl. 77 | Vložiti pritožbo pri italijanskem organu za varstvo podatkov (Garante) |
| Brez avtomatiziranega profiliranja | Čl. 22 | Ne biti predmet odločitev, ki temeljijo izključno na avtomatizirani obdelavi |
8.2 Kako uveljaviti pravice
Svoje pravice lahko uveljavite prek:
- E-pošta: info@vezpa.it
- PEC: lavezpa@pec.it
- Priporočeno pismo s povratnico: Vezpa di Paolo Vezzola, Desenzano del Garda, via San Zeno 67
- Zasebno območje: razdelek "Zasebnost in podatki" v nadzorni plošči (za nekatere pravice)
8.3 Časi odziva
Vezpa odgovori na zahtevke v 30 dneh od prejema (podaljšljivo za dodatnih 60 dni v kompleksnih primerih, z obrazloženim sporočilom).
8.4 Omejitve pravic
Nekaterih pravic (izbris, omejitev) morda ni mogoče uveljavljati, kadar:
- Obstajajo zakonske obveznosti, ki nam narekujejo hrambo podatkov
- Podatki so potrebni za obrambo pravic na sodišču
- Prevladuje javni interes
9. Kršitev varstva osebnih podatkov in obvestila (čl. 33-34 GDPR)
9.1 Postopek v primeru kršitve varstva osebnih podatkov
V primeru kršitve varstva osebnih podatkov (data breach) Vezpa:
- Oceni incident v 24 urah od odkritja
- Obvesti italijanski organ za varstvo podatkov (Garante) v 72 urah (če obstaja tveganje za pravice posameznikov)
- Obvesti posameznike brez nepotrebnega odlašanja (če obstaja veliko tveganje)
- Dokumentira incident v evidenci kršitev
- Sprejme korektivne ukrepe za preprečitev prihodnjih kršitev
9.2 Transparentnost
V primeru kršitve varstva osebnih podatkov, ki vas zadeva, boste prejeli sporočilo, ki vsebuje:
- Naravo kršitve
- Vključene podatke
- Možne posledice
- Sprejete in priporočene ukrepe
- Kontakte urada za zasebnost
10. Ocena učinka na varstvo podatkov (DPIA)
Vezpa je začela Oceno učinka na varstvo podatkov (DPIA) v skladu s 35. členom GDPR, glede na sistematično obdelavo osebnih dokumentov posameznikov iz različnih držav EU in prenose podatkov k dodatnim obdelovalcem izven EU.
Obseg DPIA:
- Obdelava osnovnih osebnih podatkov in osebnih dokumentov gostov prek različnih vladnih konektorjev
- Tokovi do channel managerjev OTA in prenosi izven EU
- Samodejni OCR na slikah dokumentov
- Integracija s storitvami biometrične avtentikacije na strani naprave
DPIA in morebitni dodatni blažilni ukrepi se občasno posodabljajo. V primeru visokega preostalega tveganja se bo Vezpa posvetovala z italijanskim organom za varstvo podatkov (Garante) v skladu s 36. členom GDPR. Upravljavec (objekt) lahko zahteva povzetek DPIA, tako da piše na info@vezpa.it.
11. Obdelovalec (28. člen GDPR)
11.1 Sporazumi s strankami (za podatke gostov)
Ko upravljavec objekta uporablja Vezpo za obdelavo podatkov gostov:
- Upravljavec objekta je Upravljavec obdelave
- Vezpa je Obdelovalec
- Sklene se Pogodba o obdelavi osebnih podatkov (DPA) v skladu s 28. členom GDPR
11.2 Vsebina DPA
Pogodba o obdelavi osebnih podatkov (DPA) vsebuje v skladu s členom 28.3 GDPR:
- Predmet in trajanje obdelave
- Naravo in namene obdelave
- Vrsto osebnih podatkov in kategorije posameznikov
- Obveznosti in pravice Upravljavca
- Dokumentirana navodila o obdelavi
- Izvedene varnostne ukrepe
- Pooblaščene dodatne obdelovalce s predhodnim obvestilom o zamenjavi
- Pomoč Upravljavcu pri pravicah posameznikov, DPIA in kršitvah varstva osebnih podatkov
- Obveznosti izbrisa ali vračila ob koncu
DPA je sestavni del Pogojev storitve in se sprejme ob registraciji objekta.
12. Privacy by Design and by Default (25. člen GDPR)
12.1 Privacy by Design
Vezpa vgrajuje varstvo podatkov že od zasnove:
- Vgrajeno šifriranje v vseh komunikacijah
- Psevdonimizacija, kjer je mogoče
- Minimizacija zbranih podatkov
- Granularne kontrole dostopa
- Popolna revizijska sled vseh operacij
12.2 Privacy by Default
Privzete nastavitve maksimizirajo zasebnost:
- Samo nujno potrebni podatki so obvezni
- Samodejna hramba za minimalno zakonsko obdobje
- Trženje na podlagi privolitve (opt-in, ne opt-out)
- Vidnost podatkov omejena na minimum
13. Evidenca obdelave (30. člen GDPR)
Vezpa vzdržuje popolno evidenco vseh aktivnosti obdelave, ki vsebuje:
- Ime in kontaktne podatke upravljavca in pooblaščene osebe za varstvo podatkov (DPO)
- Namene obdelave
- Opis kategorij posameznikov in podatkov
- Kategorije prejemnikov
- Prenose v tretje države
- Predvidene čase hrambe
- Opis varnostnih ukrepov
Evidenca je na voljo na zahtevo italijanskega organa za varstvo podatkov (Garante).
14. Spremembe obvestila
To obvestilo se lahko spremeni zaradi:
- Razvoja zakonodaje
- Novih funkcionalnosti storitve
- Organizacijskih sprememb
Bistvene spremembe bodo sporočene po e-pošti vsaj 30 dni vnaprej.
Datum zadnje posodobitve je vedno naveden na vrhu dokumenta.
Kontakti za zasebnost in GDPR
Urad za zasebnost:
E-pošta: info@vezpa.it
PEC: lavezpa@pec.it
Naslov: Desenzano del Garda, via San Zeno 67
Italijanski organ za varstvo podatkov (Garante):
Piazza Venezia, 11 - 00187 Roma
E-pošta: garante@gpdp.it
PEC: protocollo@pec.gpdp.it
Tel: +39 06.696771
Splet: www.garanteprivacy.it (odpre se v novem zavihku)
Uporabniki v Sloveniji se lahko obrnejo tudi na Informacijskega pooblaščenca (www.ip-rs.si (odpre se v novem zavihku)).