FULLSTÄNDIG GDPR-INFORMATION

Vezpa - Property Management System

Efterlevnad av EU-förordning 2016/679

Senast uppdaterad: 5 november 2026

📌 Juridiskt företräde: detta dokument är en översättning i informationssyfte av det italienska originalet. Vid avvikelser mellan denna översättning och den italienska versionen gäller den italienska versionen som juridiskt bindande referens. Italienskt original tillgängligt här: https://vezpa.it/gdpr/.
✅ GDPR-strategi: Vezpa tillämpar tekniska och organisatoriska åtgärder som är lämpliga för att efterleva EU-förordning 2016/679. Detta dokument beskriver i detalj hur vi behandlar personuppgifter, vilka säkerhetsåtgärder vi vidtar och hur vi agerar som personuppgiftsbiträde för anläggningarnas räkning.

1. Inledning och tillämpningsområde

Denna information beskriver hur Vezpa di Paolo Vezzola (hädanefter "Vezpa" eller "Vi") behandlar personuppgifter i enlighet med:

1.1 Vem den gäller för

Denna information gäller:

1.2 Vezpas dubbla roll

Vezpa verkar i två distinkta roller:

  • PERSONUPPGIFTSANSVARIG För anläggningsförvaltarnas uppgifter (kunder)
  • PERSONUPPGIFTSBITRÄDE För gästernas uppgifter (vi behandlar data enligt anläggningsförvaltarens instruktioner)

2. Personuppgiftsansvariges identitet och kontaktuppgifter

Personuppgiftsansvarig:

Vezpa di Paolo Vezzola
Registrerat säte: Desenzano del Garda (BS), 25015, via San Zeno 67
Momsreg.nr: 04449070988
Skatteregistreringsnummer: VZZPLA84C10D284C
PEC: lavezpa@pec.it
E-post: info@vezpa.it

3. Kategorier av behandlade personuppgifter

3.1 Förvaltaruppgifter (kunder)

Kategori Datatyp Obligatorisk
Identifieringsuppgifter Förnamn, efternamn, födelsedatum, skatteregistreringsnummer ✅ Obligatoriska
Kontaktuppgifter E-post, telefon, adress ✅ Obligatoriska
Företagsuppgifter Firmanamn, momsreg.nr, anläggningsuppgifter ✅ Obligatoriska
Betalningsuppgifter IBAN, kreditkort (via Stripe) ✅ Obligatoriska för abonnemang
Användningsuppgifter Inloggningsloggar, IP, aktivitet på plattformen ⚙️ Automatiska
Kommunikationsuppgifter E-post, supportchat, ärenden 📝 Frivilliga

3.2 Gästernas uppgifter (som personuppgiftsbiträde)

Kategori Datatyp Rättslig grund (för den personuppgiftsansvarige)
Personuppgifter Förnamn, efternamn, födelsedatum och -ort, medborgarskap, kön Rättslig förpliktelse (italienska TULPS-lagen, art. 109 och motsvarande EU-regler)
Identitetshandling Typ, nummer, utfärdandedatum, utfärdande myndighet, skannad eller fotografisk bild Rättslig förpliktelse
OCR-extraktion Textuppgifter automatiskt extraherade från handlingen (namn, datum, nummer) Fullgörande av avtal (art. 6.1.b) — endast för att underlätta operatörens dataregistrering, utan analytiska ändamål, profilering eller självständigt beslutsfattande
Kontaktuppgifter E-post, telefon, adress Fullgörande av avtal
Bokningsuppgifter Vistelsedatum, antal gäster, rum, priser, måltidsarrangemang Fullgörande av avtal
Betalningsuppgifter Transaktioner, kvitton (kortuppgifter hanteras av Stripe, lagras inte hos Vezpa) Fullgörande av avtal + skattemässig skyldighet
⚠️ Särskilda kategorier (art. 9 GDPR):

De inhämtade identitetshandlingarna kan innehålla element som kan klassificeras som "särskilda" enligt art. 9 GDPR, vanligtvis:

  • Födelseort (från vilken etniskt ursprung kan härledas)
  • Fotografisk bild av ansiktet (används inte för automatiserad biometrisk identifiering)

Behandlingens laglighet: art. 9.2.b (fullgörande av skyldigheter på området arbetsrätt, social trygghet och socialt skydd), 9.2.g (skäl av väsentligt allmänt intresse - registrering för allmän säkerhet) och 9.2.f (fastställande av rättigheter). Syftena är begränsade till de skyldigheter som lagen påför gentemot offentliga myndigheter.

Kompletterande åtgärder: åtkomst begränsad till endast behöriga roller (föreståndare, assistent), ingen profilering av sådana uppgifter, inget utlämnande till tredje part utöver de offentliga myndigheter som är mottagare.

Vezpa samlar inte medvetet in andra uppgifter i särskilda kategorier (politiska/religiösa åsikter, hälsouppgifter, genetiska uppgifter, sexuell läggning). Om sådana uppgifter av misstag matas in av användaren ska de omedelbart tas bort.

4. Ändamål och rättslig grund för behandlingen

4.1 För förvaltare (kunder)

Ändamål Rättslig grund (art. 6 GDPR) Lagring
Tillhandahållande av PMS-tjänst Art. 6.1.b - Fullgörande av avtal Avtalstid + 10 år
Fakturering och redovisning Art. 6.1.c - Rättslig förpliktelse 10 år (skattemässig skyldighet)
Kundtjänst Art. 6.1.b - Fullgörande av avtal Avtalstid + 2 år
Säkerhet och bedrägeriförebyggande (applikationsloggar, avvikelser) Art. 6.1.f - Berättigat intresse 12 månader som standard, upp till 24 månader för dokumenterade pågående utredningar (den italienska dataskyddsmyndighetens beslut 352/2022)
Tjänsteförbättring Art. 6.1.f - Berättigat intresse 2 år (anonyma aggregerade data)
Direktmarknadsföring Art. 6.1.a - Samtycke Tills samtycket återkallas
Rättsligt försvar Art. 6.1.f - Berättigat intresse 10 år

4.2 För gäster (enligt förvaltarens instruktion)

Ändamål Rättslig grund Lagring
Gästregistrering och polisrapportering Art. 6.1.c - Rättslig förpliktelse (italienska TULPS-lagen, art. 109, D.Lgs. 159/2011) Minst 2 år
ISTAT-rapporteringar Art. 6.1.c - Rättslig förpliktelse Enligt ISTAT-regler
Turistskatt (Paytourist) Art. 6.1.c - Rättslig förpliktelse Enligt kommunala regler
Hantering av bokning och vistelse Art. 6.1.b - Fullgörande av avtal 10 år (skattemässiga ändamål)
Onlineincheckning och meddelanden Art. 6.1.b - Fullgörande av avtal Vistelsetid + anläggningens lagringstid
📌 Not om samtycke:

För många aktiviteter krävs INTE samtycke eftersom de baseras på:

  • ✅ Fullgörande av avtal (det är ni som har begärt tjänsten)
  • ✅ Rättsliga förpliktelser (obligatoriska rapporteringar till myndigheter)
  • ✅ Berättigat intresse (säkerhet, tjänsteförbättring)

Samtycke krävs ENDAST för marknadsföring och profilering.

5. Behandlingsmetoder

5.1 Behandlingsprinciper (art. 5 GDPR)

Vezpa behandlar personuppgifter i enlighet med följande principer:

5.2 Medel för behandlingen

Uppgifterna behandlas med:

5.3 Åtkomstmetoder

Uppgifterna är tillgängliga för:

6. Säkerhetsåtgärder (art. 32 GDPR)

6.1 Tekniska åtgärder

✅ Kryptering vid överföring: HTTPS/TLS 1.2+ för alla anslutningar, HSTS
✅ Kryptering i vila: specifika känsliga uppgifter krypteras via django-cryptography; hanterade volymer och krypterade snapshots på infrastruktursidan (DigitalOcean)
✅ Lösenordshashing: PBKDF2 (Djangos standard) med slumpmässigt salt
✅ Tokens: JWT access token TTL 15 minuter, refresh med rotation och svartlistning, TTL 60 dagar
✅ 2FA TOTP tillgängligt för konton (django-otp)
✅ Bot blocker och rate limiting: dedikerad middleware som blockerar skannrar och kända attackvägar
✅ Backup: databassnapshots hanterade av infrastrukturleverantören, placering inom EU
✅ Rollbaserad åtkomstkontroll (RBAC): föreståndare, assistent, husfru, observatör
✅ Applikationsloggning: spårning av åtkomst, kritiska åtgärder och avvikelser
✅ Uppdatering av beroenden: sårbarhetsövervakning på Python- och Flutter-paket

6.2 Organisatoriska åtgärder

✅ Administrativ åtkomst begränsad till den personuppgiftsansvarige (Vezpa är för närvarande en enskild firma utan anställda); eventuella externa medarbetare utses skriftligen som personuppgiftsbiträden eller behöriga personer
✅ Dokumenterat förfarande för incidenthantering (§9 nedan)
✅ Privacy by Design and by Default integrerat i utvecklingsfaserna
✅ Behandlingsregister (art. 30 GDPR) fört och uppdaterat
✅ DPA undertecknat med alla huvudsakliga underbiträden
✅ Offentlig lista över underbiträden uppdaterad på vezpa.it/subprocessors

6.3 Referensstandarder

7. Mottagare av uppgifter (art. 13.1.e GDPR)

7.1 Mottagarkategorier

Uppgifterna kan lämnas ut till följande kategorier av mottagare. Den namngivna listan, som är alltid uppdaterad, publiceras på vezpa.it/subprocessors.

Kategori Mottagare Roll Ändamål
Italienska myndigheter AlloggiatiWeb (Polis), ISTAT, kommuner (PayTourist), Agenzia delle Entrate (den italienska skattemyndigheten) Självständiga personuppgiftsansvariga Rättslig förpliktelse
EU-myndigheter Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) Självständiga personuppgiftsansvariga Personuppgiftsansvariges (anläggningens) rättsliga förpliktelse
Hosting / Lagring / CDN DigitalOcean LLC (servrar i Frankfurt, Spaces, Redis) Personuppgiftsbiträde IT-infrastruktur
Betalningar Stripe Payments Europe Ltd / Stripe Inc. Personuppgiftsbiträde Betalningshantering
E-post IONOS SE (DE) Personuppgiftsbiträde Utskick av transaktionell e-post och PEC
E-post Sendinblue SAS - Brevo (FR) Personuppgiftsbiträde Utskick av e-post och mottagning av gästernas e-post
AI-assistent Anthropic, PBC (USA) Personuppgiftsbiträde Svar på gästers meddelanden (valfritt)
WhatsApp-meddelanden Meta Platforms Ireland Limited (IE) Personuppgiftsbiträde WhatsApp-meddelanden mellan boende och gäster (valfritt)
Röstagent i telefonen Röstplattform som boendet valt (t.ex. Retell, Vapi, ElevenLabs) Boendets personuppgiftsbiträde, inte Vezpas Besvarar samtal för boendets räkning: Vezpa lämnar bara de uppgifter som behövs för svaret och tar emot meddelanden och samtalssammanfattningar (valfritt)
Mobila push-notiser Google LLC (Firebase Cloud Messaging) Personuppgiftsbiträde Utskick av push-notiser till mobila enheter
Automatisk översättning Google LLC (Google Cloud Translation API) Personuppgiftsbiträde Översättning av gästmeddelanden som tas emot från OTA-kanaler och, på förvaltarens begäran, av tillval
Channel Manager OTA STAAH Limited (Nya Zeeland) Personuppgiftsbiträde Bokningssynkronisering med OTA
Köp i appen — Apple Apple Distribution International Ltd (IE) / Apple Inc. (USA) Självständig personuppgiftsansvarig (appbutik) Hantering av abonnemang i App Store. Apple deltar inte i DPF: USA-överföringar regleras av SCC 2021/914
Köp i appen — Google / Microsoft Google Ireland Ltd / Google LLC (USA, DPF), Microsoft Ireland / Microsoft Corp. (USA, DPF) Självständiga personuppgiftsansvariga (appbutiker) Hantering av abonnemang i Play Store / Microsoft Store
OTA Booking.com, Airbnb, Expedia, VRBO, Agoda och ~60 andra kanaler Självständiga personuppgiftsansvariga Hantering av bokningar gentemot resenären
Smarta lås (valfritt) Tuya Smart (CN) Personuppgiftsbiträde Hantering av åtkomst via hemautomation, endast om det aktiverats av anläggningen
Professionella rådgivare Redovisningskonsulter, advokater, IT-konsulter Personuppgiftsbiträden / Självständiga personuppgiftsansvariga Specialistrådgivning, endast vid behov

7.2 Lista över underbiträden (art. 28.4 GDPR)

Den uppdaterade listan är publicerad och alltid tillgänglig på vezpa.it/subprocessors. Eventuella ändringar (nya underbiträden, ersättningar) meddelas de personuppgiftsansvariga (anläggningarna) med minst 30 dagars varsel för att möjliggöra invändning (art. 28.2 GDPR).

7.3 Överföringar utanför EU

Rättslig grund för överföringarna (kapitel V GDPR):
  • USA — EU-U.S. Data Privacy Framework (Beslut (EU) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC - aktiva certifieringar i DPF (kontrollera på dataprivacyframework.gov/list (öppnas i en ny flik))
  • USA — Standardavtalsklausuler (SCC 2021/914): Apple Inc. deltar inte i DPF; avtalsförhållandet för EU-användare är med Apple Distribution International Ltd (Irland) och eventuella interna överföringar inom Apple-koncernen till USA regleras av SCC och Apples interna mekanismer för adekvat skyddsnivå
  • Nya Zeeland — Beslut om adekvat skyddsnivå (Beslut 2013/65/EU): STAAH Limited
  • Kina (valfritt): Tuya Smart - Standardavtalsklausuler (SCC) 2021/914 + kompletterande åtgärder (minimering och pseudonymisering). Överföring sker endast för anläggningar som aktiverar smarta lås.

För varje underbiträde utanför EU dokumenteras den tillämpliga överföringsmekanismen. SCC och eventuella Transfer Impact Assessments är tillgängliga för den personuppgiftsansvarige på begäran.

8. Den registrerades rättigheter (art. 15-22 GDPR)

8.1 Rättigheter som kan utövas

Rättighet GDPR-art. Beskrivning
Tillgång Art. 15 Erhålla bekräftelse på att era uppgifter finns och få en kopia
Rättelse Art. 16 Korrigera felaktiga uppgifter eller komplettera dem
Radering ("rätten att bli bortglömd") Art. 17 Få uppgifter raderade (med undantag för rättsliga förpliktelser)
Begränsning Art. 18 Begränsa behandlingen under vissa omständigheter
Dataportabilitet Art. 20 Ta emot uppgifterna i strukturerat format (CSV, JSON) och överföra dem till en annan personuppgiftsansvarig
Invändning Art. 21 Invända mot behandling baserad på berättigat intresse
Återkallelse av samtycke Art. 7.3 Återkalla samtycke till marknadsföring när som helst
Klagomål Art. 77 Lämna klagomål till dataskyddsmyndigheten
Ingen automatiserad profilering Art. 22 Inte bli föremål för beslut som enbart grundas på automatiserad behandling

8.2 Hur man utövar rättigheterna

Ni kan utöva era rättigheter genom:

8.3 Svarstider

Vezpa svarar på förfrågningar inom 30 dagar från mottagandet (förlängbart med ytterligare 60 dagar i komplexa fall, med motiverat meddelande).

8.4 Begränsningar av rättigheterna

Vissa rättigheter (radering, begränsning) kan vara omöjliga att utöva när:

9. Personuppgiftsincidenter och underrättelser (art. 33-34 GDPR)

9.1 Förfarande vid personuppgiftsincident

Vid en personuppgiftsincident ska Vezpa:

  1. 📊 Utvärdera incidenten inom 24 timmar från upptäckten
  2. 📢 Underrätta dataskyddsmyndigheten inom 72 timmar (om det föreligger risk för de registrerades rättigheter)
  3. 📧 Informera de registrerade utan onödigt dröjsmål (vid hög risk)
  4. 📝 Dokumentera incidenten i incidentregistret
  5. 🔧 Vidta korrigerande åtgärder för att förhindra framtida incidenter

9.2 Öppenhet

Vid en personuppgiftsincident som berör er kommer ni att få ett meddelande med:

10. Data Protection Impact Assessment (DPIA)

Vezpa har inlett konsekvensbedömningen avseende dataskydd (DPIA) enligt art. 35 GDPR, med tanke på den systematiska behandlingen av identitetshandlingar för registrerade från flera EU-stater och överföringar till underbiträden utanför EU.

DPIA:ns omfattning:

DPIA och eventuella ytterligare riskreducerande åtgärder uppdateras regelbundet. Vid hög kvarvarande risk kommer Vezpa att genomföra förhandssamråd med dataskyddsmyndigheten enligt art. 36 GDPR. Den personuppgiftsansvarige (anläggningen) kan begära en sammanfattning av DPIA genom att skriva till info@vezpa.it.

11. Personuppgiftsbiträde (art. 28 GDPR)

11.1 Avtal med kunder (för gästdata)

När anläggningsförvaltaren använder Vezpa för att behandla gästuppgifter:

11.2 DPA:ts innehåll

Personuppgiftsbiträdesavtalet innehåller, enligt art. 28.3 GDPR:

DPA utgör en integrerad del av användarvillkoren och accepteras vid anläggningens registrering.

12. Privacy by Design och by Default (art. 25 GDPR)

12.1 Privacy by Design

Vezpa integrerar dataskydd redan från utformningen:

12.2 Privacy by Default

Standardinställningarna maximerar integriteten:

13. Behandlingsregister (art. 30 GDPR)

Vezpa upprätthåller ett fullständigt register över alla behandlingsaktiviteter, innehållande:

Registret är tillgängligt på begäran av dataskyddsmyndigheten.

14. Ändringar av informationen

Denna information kan ändras på grund av:

Väsentliga ändringar kommer att meddelas via e-post med minst 30 dagars varsel.

Datumet för senaste uppdatering anges alltid överst i dokumentet.

📞 Kontakt för integritet och GDPR

Integritetsenhet:
📧 E-post: info@vezpa.it
📧 PEC: lavezpa@pec.it
📮 Adress: Desenzano del Garda, via San Zeno 67

Italienska dataskyddsmyndigheten (Garante):
Piazza Venezia, 11 - 00187 Rom
📧 E-post: garante@gpdp.it
📧 PEC: protocollo@pec.gpdp.it
📞 Tel: +39 06.696771
🌐 Webb: www.garanteprivacy.it (öppnas i en ny flik)

Användare i Sverige:
Integritetsskyddsmyndigheten - IMY
🌐 Webb: www.imy.se (öppnas i en ny flik)