CELOTNO GDPR OBVESTILO

1. Uvod in podrocje uporabe

To obvestilo opisuje, kako Vezpa di Paolo Vezzola (v nadaljevanju "Vezpa" ali "Mi") obdeluje osebne podatke v skladu z:

• Uredba EU 2016/679 (GDPR)
• Zakonska uredba 196/2003 (italijanski zakonik o zasebnosti), kot je bila spremenjena z D.Lgs. 101/2018
• Odlocbami in smernicami italijanskega organa za varstvo podatkov (Garante)

1.1 Za koga velja

To obvestilo velja za:

• Upravljavce nastanitvenih objektov, ki uporabljajo Vezpo (neposredne stranke)
• Goste, ki bivajo v objektih, ki uporabljajo Vezpo
• Poslovne partnerje in dobavitelje
• Obiskovalce spletnega mesta vezpa.it

1.2 Dvojna vloga Vezpe

2. Identiteta in kontaktni podatki Upravljavca

Upravljavec obdelave:

Vezpa di Paolo Vezzola
Sedez: Desenzano del Garda (BS), 25015, via San Zeno 67
P.IVA: 04449070988
C.F.: VZZPLA84C10D284C
PEC: [email protected]
E-posta: [email protected]

3. Kategorije obdelanih osebnih podatkov

3.1 Podatki upravljavcev (strank)

3.2 Podatki gostov (kot Obdelovalec)

4. Nameni in pravna podlaga obdelave

4.1 Za upravljavce (stranke)

4.2 Za goste (po navodilih Upravljavca)

5. Nacin obdelave

5.1 Nacela obdelave (5. clen GDPR)

Vezpa obdeluje osebne podatke v skladu z naslednjimi naceli:

• Zakonitost, postenost, transparentnost: podatke obdelujemo zakonito in vas jasno obvescamo
• Omejitev namena: podatke uporabljamo samo za navedene namene
• Minimizacija podatkov: zbiramo samo nujno potrebne podatke
• Tocnost: podatke vzdrzujemo posodobljene in tocne
• Omejitev hrambe: podatke hranimo samo toliko casa, kolikor je potrebno
• Celovitost in zaupnost: podatke varujemo z ustreznimi varnostnimi ukrepi
• Odgovornost: lahko izkazemo skladnost z GDPR

5.2 Sredstva obdelave

Podatki se obdelujejo z orodji:

• Informacijskimi: strezniki, zbirke podatkov, spletne/mobilne aplikacije
• Papirnatimi: samo za potrebne dokumente (pogodbe, racuni)

5.3 Nacin dostopa

Podatki so dostopni:

• Pooblascenemu osebju Vezpe (z osebnimi poverilnicami)
• Dostop na podlagi nacela "need to know" (najmanjsi privilegij)
• Dnevniki dostopa so sledljivi in spremljani

6. Varnostni ukrepi (32. clen GDPR)

6.1 Tehnicni ukrepi

6.2 Organizacijski ukrepi

6.3 Referencni standardi

• Strezniki EU: primarna infrastruktura DigitalOcean regija Frankfurt (FRA1)
• PCI-DSS: placila upravljana prek Stripe, certificirana PCI-DSS Level 1 (Vezpa ne shranjuje podatkov o karticah)
• Certificirani dodatni ponudniki: kjer je primerno (ISO 27001, SOC 2, DPF) - glej stran dodatnih obdelovalcev

7. Prejemniki podatkov (cl. 13.1.e GDPR)

7.1 Kategorije prejemnikov

Podatki se lahko sporocajo naslednjim kategorijam prejemnikov. Imenski seznam in vedno posodobljen je objavljen na vezpa.it/subprocessors.

7.2 Seznam dodatnih obdelovalcev (cl. 28.4 GDPR)

Posodobljen seznam je objavljen in vedno na voljo na vezpa.it/subprocessors. Morebitne spremembe (novi dodatni obdelovalci, zamenjave) se sporocajo Upravljavcem (objektom) s predhodnim obvestilom vsaj 30 dni za omogocanje ugovarjanja (cl. 28.2 GDPR).

7.3 Prenosi izven EU

8. Pravice posameznika (cl. 15-22 GDPR)

8.1 Uveljavljive pravice

8.2 Kako uveljaviti pravice

Svoje pravice lahko uveljavite prek:

• E-posta: [email protected]
• PEC: [email protected]
• Priporoceno pismo s povratnico: Vezpa di Paolo Vezzola, Desenzano del Garda, via San Zeno 67
• Zasebno obmocje: razdelek "Zasebnost in podatki" v nadzorni plosci (za nekatere pravice)

8.3 Casi odziva

Vezpa odgovori na zahtevke v 30 dneh od prejema (podaljsljivo za dodatnih 60 dni v kompleksnih primerih, z obrazlozenim sporocilom).

8.4 Omejitve pravic

Nekatere pravice (izbris, omejitev) morda niso uveljavljive, ko:

• Obstajajo zakonske obveznosti, ki nam narekujejo hrambo podatkov
• Podatki so potrebni za obrambo pravic na sodiscu
• Prevladuje javni interes

9. Krsitev podatkov in obvestila (cl. 33-34 GDPR)

9.1 Postopek v primeru krsitve podatkov

V primeru krsitve osebnih podatkov (data breach) Vezpa:

1. Oceni incident v 24 urah od odkritja
2. Obvesti italijanski organ za varstvo podatkov (Garante) v 72 urah (ce obstaja tveganje za pravice posameznikov)
3. Obvesti posameznike brez nepotrebnega odlasanja (ce obstaja veliko tveganje)
4. Dokumentira incident v evidenci krsitev
5. Sprejme korektivne ukrepe za preprecitev prihodnjih krsitev

9.2 Transparentnost

V primeru krsitve podatkov, ki vas zadeva, boste prejeli sporocilo, ki vsebuje:

• Naravo krsitve
• Vkljucene podatke
• Moznih posledic
• Sprejetih in priporocanih ukrepov
• Kontaktov urada za zasebnost

10. Data Protection Impact Assessment (DPIA)

Vezpa je zacela Oceno ucinka na varstvo podatkov (DPIA) v skladu s 35. clenom GDPR, glede na sistematicno obdelavo osebnih dokumentov posameznikov iz razlicnih drzav EU in prenosa podatkov k dodatnim obdelovalcem izven EU.

Obseg DPIA:

• Obdelava osnovnih osebnih podatkov in osebnih dokumentov gostov prek razlicnih vladnih konektorjev
• Tokovi do channel managerjev OTA in prenosi izven EU
• Samodejni OCR na slikah dokumentov
• Integracija s storitvami biometricne avtentikacije na strani naprave

DPIA in morebitni dodatni blazilni ukrepi se obcasno posodabljajo. V primeru visokega preostalega tveganja se bo Vezpa posvetovala z italijanskim organom za varstvo podatkov (Garante) v skladu s 36. clenom GDPR. Upravljavec (objekt) lahko zahteva povzetek DPIA, tako da pise na [email protected].

11. Obdelovalec (28. clen GDPR)

11.1 Sporazumi s strankami (za podatke gostov)

Ko upravljavec objekta uporablja Vezpo za obdelavo podatkov gostov:

• Upravljavec je Upravljavec obdelave
• Vezpa je Obdelovalec
• Sklene se Pogodba o obdelavi osebnih podatkov (DPA) v skladu s 28. clenom GDPR

11.2 Vsebina DPA

Pogodba o obdelavi osebnih podatkov (DPA) vsebuje v skladu s clenom 28.3 GDPR:

• Predmet in trajanje obdelave
• Naravo in namene obdelave
• Vrsto osebnih podatkov in kategorije posameznikov
• Obveznosti in pravice Upravljavca
• Dokumentirana navodila o obdelavi
• Izvedene varnostne ukrepe
• Pooblascene dodatne obdelovalce s predhodnim obvestilom o zamenjavi
• Pomoc Upravljavcu pri pravicah posameznikov, DPIA in krsitvah podatkov
• Obveznosti izbrisa ali vracila ob koncu

DPA je sestavni del Pogojev storitve in se sprejme ob registraciji objekta.

12. Privacy by Design and by Default (25. clen GDPR)

12.1 Privacy by Design

Vezpa vgrajuje varstvo podatkov ze od zasnove:

• Vgrajeno sifriranje v vseh komunikacijah
• Psevdonimizacija, kjer je mogoce
• Minimizacija zbranih podatkov
• Granularne kontrole dostopa
• Popolna revizijska sled vseh operacij

12.2 Privacy by Default

Privzete nastavitve maksimizirajo zasebnost:

• Samo nujno potrebni podatki so obvezni
• Samodejna hramba za minimalno zakonsko obdobje
• Marketing opt-in (ne opt-out)
• Vidnost podatkov omejena na minimum

13. Evidenca obdelave (30. clen GDPR)

Vezpa vzdrzuje popolno evidenco vseh aktivnosti obdelave, ki vsebuje:

• Ime in kontaktne podatke upravljavca in DPO
• Namene obdelave
• Opis kategorij posameznikov in podatkov
• Kategorije prejemnikov
• Prenose v tretje drzave
• Predvidene case hrambe
• Opis varnostnih ukrepov

Evidenca je na voljo na zahtevo italijanskega organa za varstvo podatkov (Garante).

14. Spremembe obvestila

To obvestilo se lahko spremeni zaradi:

• Razvoja zakonodaje
• Novih funkcionalnosti storitve
• Organizacijskih sprememb

Bistvene spremembe bodo sporocene po e-posti vsaj 30 dni vnaprej.

Datum zadnje posodobitve je vedno naveden na vrhu dokumenta.