ÚPLNÉ OZNÁMENIE GDPR

1. Úvod a rozsah pôsobnosti

Toto oznámenie popisuje, ako Vezpa di Paolo Vezzola (ďalej „Vezpa“ alebo „My“) spracúva osobné údaje v súlade s:

• Nariadením EÚ 2016/679 (GDPR)
• Legislatívnym dekrétom 196/2003 (talianskym zákonníkom o ochrane súkromia) v znení D.Lgs. 101/2018
• Opatreniami a usmerneniami talianskeho úradu na ochranu osobných údajov (Garante)

1.1 Na koho sa vzťahuje

Toto oznámenie sa vzťahuje na:

• 👤 Prevádzkovateľov ubytovacích zariadení, ktorí používajú Vezpa (priami klienti)
• 🏨 Hostí, ktorí sa ubytovávajú v zariadeniach používajúcich Vezpa
• 👔 Obchodných partnerov a dodávateľov
• 🌐 Návštevníkov webovej stránky vezpa.it

1.2 Dvojitá rola Vezpa

2. Identita a kontaktné údaje Prevádzkovateľa

Prevádzkovateľ spracúvania:

Vezpa di Paolo Vezzola
Sídlo: Desenzano del Garda (BS), 25015, via San Zeno 67
IČ DPH: 04449070988
Daňové identifikačné číslo: VZZPLA84C10D284C
PEC: lavezpa@pec.it
E-mail: info@vezpa.it

3. Kategórie spracúvaných osobných údajov

3.1 Údaje prevádzkovateľov (klientov)

3.2 Údaje hostí (ako Sprostredkovateľ spracúvania)

4. Účel a právny základ spracúvania

4.1 Pre prevádzkovateľov (klientov)

4.2 Pre hostí (na pokyn prevádzkovateľa)

5. Spôsob spracúvania

5.1 Zásady spracúvania (čl. 5 GDPR)

Vezpa spracúva osobné údaje v súlade s nasledujúcimi zásadami:

• ✅ Zákonnosť, spravodlivosť, transparentnosť: spracúvame údaje zákonne a jasne Vás informujeme
• ✅ Obmedzenie účelu: používame údaje iba na uvedené účely
• ✅ Minimalizácia údajov: zhromažďujeme iba nevyhnutne potrebné údaje
• ✅ Presnosť: údaje udržiavame aktuálne a presné
• ✅ Obmedzenie uchovávania: údaje uchovávame iba po potrebnú dobu
• ✅ Integrita a dôvernosť: chránime údaje primeranými bezpečnostnými opatreniami
• ✅ Zodpovednosť (accountability): môžeme preukázať súlad s GDPR

5.2 Prostriedky spracúvania

Údaje sú spracúvané prostriedkami:

• 💻 Informatickými: servery, databázy, web/mobilné aplikácie
• 📄 Papierovými: iba pre potrebné dokumenty (zmluvy, faktúry)

5.3 Spôsob prístupu

Údaje sú prístupné:

• 👥 Autorizovanému personálu Vezpa (s osobnými prihlasovacími údajmi)
• 🔐 Prístup založený na princípe „need to know“ (minimálne oprávnenie)
• 📝 Prístupové logy sledované a monitorované

6. Bezpečnostné opatrenia (čl. 32 GDPR)

6.1 Technické opatrenia

6.2 Organizačné opatrenia

6.3 Referenčné normy

• 🏆 EÚ servery: primárna infraštruktúra DigitalOcean región Frankfurt (FRA1)
• 🏆 PCI-DSS: platby spravované cez Stripe, certifikát PCI-DSS Level 1 (Vezpa neukladá údaje karty)
• 🏆 Certifikovaní subdodávatelia: tam, kde je to relevantné (ISO 27001, SOC 2, DPF) — pozri stránku ďalších sprostredkovateľov

7. Príjemcovia údajov (čl. 13.1.e GDPR)

7.1 Kategórie príjemcov

Údaje môžu byť oznámené nasledujúcim kategóriám príjemcov. Menovitý zoznam a vždy aktuálny je zverejnený na vezpa.it/subprocessors.

7.2 Zoznam ďalších sprostredkovateľov spracúvania (čl. 28.4 GDPR)

Aktuálny zoznam je zverejnený a vždy k dispozícii na vezpa.it/subprocessors. Prípadné zmeny (noví ďalší sprostredkovatelia, náhrady) sa oznamujú Prevádzkovateľom (zariadeniam) s predstihom aspoň 30 dní, aby mohli vzniesť námietku (čl. 28.2 GDPR).

7.3 Prenosy mimo EÚ

8. Práva dotknutej osoby (čl. 15-22 GDPR)

8.1 Uplatniteľné práva

8.2 Ako uplatniť práva

Vaše práva môžete uplatniť prostredníctvom:

• 📧 E-mail: info@vezpa.it
• 📧 PEC: lavezpa@pec.it
• 📮 Doporučený list s doručenkou: Vezpa di Paolo Vezzola, Desenzano del Garda in via San Zeno 67
• 💻 Vyhradená oblasť: Sekcia „Privacy a Údaje“ v dashboarde (pre niektoré práva)

8.3 Lehota na odpoveď

Vezpa odpovedá na žiadosti do 30 dní od prijatia (predĺžiteľných o ďalších 60 dní v zložitých prípadoch, s odôvodneným oznámením).

8.4 Obmedzenia práv

Niektoré práva (vymazanie, obmedzenie) nemusia byť uplatniteľné, ak:

• ⚖️ Existujú zákonné povinnosti, ktoré nám ukladajú uchovávať údaje
• ⚖️ Údaje sú potrebné na obranu práv pred súdom
• ⚖️ Prevláda verejný záujem

9. Porušenie ochrany údajov (data breach) a oznámenia (čl. 33-34 GDPR)

9.1 Postup v prípade porušenia ochrany údajov

V prípade porušenia ochrany osobných údajov (data breach) Vezpa:

1. 📊 Vyhodnotí incident do 24 hodín od objavenia
2. 📢 Oznámi Garante do 72 hodín (ak existuje riziko pre práva dotknutých osôb)
3. 📧 Oznámi dotknutým osobám bez zbytočného odkladu (ak existuje vysoké riziko)
4. 📝 Zdokumentuje incident v registri porušení
5. 🔧 Prijme nápravné opatrenia na prevenciu budúcich porušení

9.2 Transparentnosť

V prípade porušenia ochrany údajov, ktoré sa Vás týka, dostanete oznámenie obsahujúce:

• Povahu porušenia
• Dotknuté údaje
• Možné dôsledky
• Prijaté a odporúčané opatrenia
• Kontakty na oddelenie ochrany súkromia

10. Data Protection Impact Assessment (DPIA)

Vezpa začala Posúdenie vplyvu na ochranu údajov (DPIA) v zmysle čl. 35 GDPR, s ohľadom na systematické spracúvanie dokladov totožnosti dotknutých osôb z viacerých štátov EÚ a na prenosy k ďalším sprostredkovateľom mimo EÚ.

Rozsah DPIA:

• Spracúvanie identifikačných údajov a dokladov totožnosti hostí cez viaceré vládne konektory
• Toky k channel managerom OTA a prenosy mimo EÚ
• Automatické OCR na obrazoch dokladov
• Integrácia so službami biometrickej autentifikácie na zariadení

DPIA a prípadné dodatočné zmierňujúce opatrenia sa pravidelne aktualizujú. V prípade vysokého zvyškového rizika Vezpa pristúpi k predchádzajúcej konzultácii s Garante v zmysle čl. 36 GDPR. Prevádzkovateľ (zariadenie) môže požiadať o súhrn DPIA napísaním na info@vezpa.it.

11. Sprostredkovateľ spracúvania (čl. 28 GDPR)

11.1 Dohody s klientmi (pre údaje hostí)

Keď prevádzkovateľ zariadenia používa Vezpa na spracúvanie údajov hostí:

• Prevádzkovateľ zariadenia je Prevádzkovateľom spracúvania
• Vezpa je Sprostredkovateľ spracúvania
• Uzatvára sa Zmluva o spracúvaní osobných údajov (DPA) v zmysle čl. 28 GDPR

11.2 Obsah DPA

Zmluva o spracúvaní osobných údajov obsahuje v zmysle čl. 28.3 GDPR:

• 📋 Predmet a trvanie spracúvania
• 📋 Povahu a účel spracúvania
• 📋 Typ osobných údajov a kategórie dotknutých osôb
• 📋 Povinnosti a práva Prevádzkovateľa
• 📋 Dokumentované pokyny na spracúvanie
• 📋 Implementované bezpečnostné opatrenia
• 📋 Autorizovaných ďalších sprostredkovateľov s predchádzajúcim oznámením o ich nahradení
• 📋 Pomoc Prevádzkovateľovi pri právach dotknutých osôb, DPIA a porušeniach ochrany údajov
• 📋 Povinnosti vymazania alebo vrátenia po skončení

DPA je neoddeliteľnou súčasťou Podmienok služby a prijíma sa pri registrácii zariadenia.

12. Privacy by Design a by Default (čl. 25 GDPR)

12.1 Privacy by Design

Vezpa integruje ochranu údajov už od návrhu:

• 🔒 Natívne šifrovanie všetkej komunikácie
• 🔒 Pseudonymizácia, kde je to možné
• 🔒 Minimalizácia zhromažďovaných údajov
• 🔒 Granulárne kontroly prístupu
• 🔒 Úplný auditný záznam všetkých operácií

12.2 Privacy by Default

Predvolené nastavenia maximalizujú súkromie:

• ✅ Povinné sú iba nevyhnutne potrebné údaje
• ✅ Automatické uchovávanie po minimálnu zákonnú dobu
• ✅ Marketing opt-in (nie opt-out)
• ✅ Viditeľnosť údajov obmedzená na minimum potrebné

13. Register spracovateľských činností (čl. 30 GDPR)

Vezpa udržiava úplný register všetkých spracovateľských činností, obsahujúci:

• Meno a kontaktné údaje prevádzkovateľa a zodpovednej osoby
• Účel spracúvania
• Popis kategórií dotknutých osôb a údajov
• Kategórie príjemcov
• Prenosy do tretích krajín
• Plánované doby uchovávania
• Popis bezpečnostných opatrení

Register je dostupný na požiadanie Garante.

14. Zmeny oznámenia

Toto oznámenie môže byť upravené z dôvodu:

• Legislatívnych zmien
• Nových funkcií služby
• Organizačných zmien

Významné zmeny budú oznámené e-mailom s predstihom aspoň 30 dní.

Dátum poslednej aktualizácie je vždy uvedený v záhlaví dokumentu.