AVISO DE PRIVACIDAD – APP VEZPA
Vezpa di Paolo Vezzola
Última actualización: 5 de noviembre de 2026
1. Responsable del tratamiento
Vezpa di Paolo Vezzola
Domicilio social: Via San Zeno 67, 25015 Desenzano del Garda (BS), Italia
P.IVA: 04449070988 · C.F.: VZZPLA84C10D284C
Email: info@vezpa.it · PEC: lavezpa@pec.it
2. Ámbito de aplicación
El presente aviso se aplica a la App Vezpa distribuida mediante:
- Apple App Store (iOS, macOS) - Bundle ID:
it.vezpa.pms - Google Play Store (Android) - flavour googleplay
- Microsoft Store (Windows) - MSIX
- Instalación directa (sideload) (APK Android, instalador Windows firmado) para uso distribuido directamente por el Responsable
El uso de la app requiere la creación de una cuenta dedicada al establecimiento de hospedaje. La app está destinada a usuarios profesionales mayores de 18 años (operadores de establecimientos de hospedaje y su personal autorizado).
3. Datos recabados por la App
3.1 Datos de los usuarios (Operadores y personal)
- Datos de identificación: nombre, apellidos, email, número telefónico
- Datos del establecimiento de hospedaje
- Credenciales (contraseñas con hash en el backend, nunca transmitidas en claro)
- Identificadores de cuenta (User ID)
- Rol asignado (director, asistente, gobernanta, observador)
3.2 Datos de los huéspedes (Vezpa actúa como Encargado)
Importante: los datos de los huéspedes son de titularidad del establecimiento. Vezpa actúa como Encargado del tratamiento conforme al art. 28 RGPD, regulado por el Contrato de encargo del tratamiento (DPA).
- Datos de identificación y de contacto
- Documentos de identidad escaneados o fotografiados mediante la cámara del dispositivo, con extracción OCR de los datos textuales para facilitar el registro
- Datos de estancia y reservación
3.3 Datos técnicos y de uso
- Identificadores del dispositivo: modelo, sistema operativo, versión de la app
- Token de notificaciones push (FCM): identificador único gestionado por Google Firebase para el envío de notificaciones
- Hash SHA-256 del dispositivo de confianza: generado localmente para permitir acceso biométrico posterior, vencimiento: 90 días desde el último uso
- Registros de aplicación y de diagnóstico: transmitidos por lotes al backend mediante RemoteLogger con fines de estabilidad y seguridad; no contienen contenido personal sensible
- Dirección IP: recabada por el backend con fines de seguridad
4. Permisos solicitados por la App
| Permiso | Finalidad | Obligatorio |
|---|---|---|
| Cámara | Captura de imágenes de los documentos de identidad de los huéspedes para OCR y para envío a las autoridades | Opcional (alternativa: ingreso manual) |
| Notificaciones push | Recepción de notificaciones sobre nuevas reservaciones, check-in, solicitudes de huéspedes | Opcional (la app funciona sin ellas) |
| Autenticación biométrica (Face ID / Touch ID / huella / Windows Hello) | Inicio de sesión rápido tras la primera autenticación con contraseña. Los datos biométricos nunca salen del dispositivo del usuario: los gestiona exclusivamente el sistema operativo mediante API nativas (Keychain iOS/macOS, BiometricPrompt Android, Windows Hello) y no son accesibles para Vezpa de ninguna forma, ni siquiera como hash o derivados. Vezpa recibe únicamente un resultado booleano (éxito/fallo) y un identificador del dispositivo de confianza. | Opcional |
| Almacenamiento / Archivos | Guardado local de reportes PDF, facturas, fichas Alloggiati generadas por la app | Opcional |
| Internet | Comunicación con los servidores Vezpa | Obligatorio |
| REQUEST_INSTALL_PACKAGES (solo Android sideload) | Instalación automática de las actualizaciones vía APK descargado de los servidores Vezpa. No presente en la versión Google Play. | Requerido solo para el flavour sideload |
5. SDK y servicios integrados en la App
| SDK / Servicio | Proveedor | Finalidad | Datos tratados |
|---|---|---|---|
| Firebase Cloud Messaging (FCM) | Google LLC / Google Ireland Ltd | Envío de notificaciones push | Token del dispositivo, identificadores técnicos |
| StoreKit / Google Play Billing / Microsoft Store | Apple Inc. / Google LLC / Microsoft Corp. | Gestión de compras y suscripciones dentro de la app | Token de compra, estado de suscripción, ID de cuenta de la tienda |
| Stripe SDK (solo pagos en la página del huésped) | Stripe Payments Europe Ltd | Procesamiento de pagos con tarjeta | Datos de tarjeta gestionados por Stripe, no transmitidos a Vezpa |
| local_auth (biometría) | Sistema operativo (Apple / Google / Microsoft) | Desbloqueo biométrico local | Ningún dato biométrico transmitido a Vezpa |
| Flutter Secure Storage | Plataforma (Keychain iOS/macOS, EncryptedSharedPreferences Android, DPAPI Windows) | Conservación local de tokens JWT y credenciales | Tokens refresh, cifrados por el sistema operativo |
| share_plus | Código abierto | Compartir archivos (PDF, reportes) con apps del sistema | Archivos elegidos por el usuario |
Vezpa no integra SDK de analítica de comportamiento (p. ej., AppsFlyer, Mixpanel, Facebook SDK), SDK publicitarios ni SDK de perfilamiento. Ningún seguimiento entre aplicaciones a efectos del Apple App Tracking Transparency (ATT).
6. Finalidades del tratamiento
- Prestación de las funcionalidades de la App Vezpa (art. 6.1.b RGPD)
- Cumplimiento de obligaciones legales relativas al registro de los huéspedes, delegadas por el establecimiento (art. 6.1.c)
- Seguridad, prevención de fraude, estabilidad del servicio (art. 6.1.f, interés legítimo)
- Gestión de suscripciones y pagos (art. 6.1.b y 6.1.c)
Los datos no se utilizan con fines publicitarios, de perfilamiento o de seguimiento.
7. Modalidades de tratamiento y seguridad
- Transmisión mediante HTTPS/TLS 1.2+
- Autenticación con JWT con rotación (access 15 min, refresh 60 días con lista negra)
- Almacenamiento seguro del sistema (Keychain / EncryptedSharedPreferences / DPAPI)
- 2FA TOTP opcional
- Servidores backend ubicados en la UE (Fráncfort) en DigitalOcean
- Registros de aplicación monitoreados para detectar accesos anómalos
8. Conservación y supresión
Los datos de los usuarios se conservan por la duración del contrato + obligaciones fiscales (10 años para facturación).
El usuario puede solicitar la supresión de la cuenta mediante la función dedicada en la app o escribiendo al Responsable. Algunos datos podrían conservarse por obligaciones legales (facturación, registros de seguridad).
Los datos de los huéspedes (de los que Vezpa es Encargado) siguen las instrucciones del Responsable conforme a lo regulado por el Contrato de encargo del tratamiento (DPA).
9. Comunicación de los datos
Los datos no se venden ni difunden. Pueden ser comunicados a los subencargados listados en vezpa.it/subprocessors y, únicamente en lo relativo a los datos de reservación, a los canales OTA activados por el establecimiento.
Para los datos transmitidos a las autoridades públicas (Questura, ISTAT, Feratel, SES, NTAK, eVisitor, SEF, UbyPort, eTurizem) se remite al Aviso de Privacidad (RGPD) general.
10. Transferencias fuera de la UE
Las comunicaciones con los proveedores de EE. UU. certificados DPF (Google/Firebase, Google Cloud Translation, Stripe, Microsoft, DigitalOcean) se realizan sobre la base del EU-U.S. Data Privacy Framework (Decisión (UE) 2023/1795). Apple no se adhiere al DPF: la relación contractual para los usuarios UE es con Apple Distribution International Ltd (Irlanda) y las eventuales transferencias hacia Apple Inc. (EE. UU.) se rigen por CCT 2021/914. Las comunicaciones con STAAH (channel manager) se realizan sobre la base de la Decisión de adecuación UE para Nueva Zelanda (2013/65/UE). Tuya (China, opcional) está regulado por CCT 2021/914.
11. Derechos del usuario
Conforme a los arts. 15-22 RGPD, el usuario puede ejercer derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición. Las solicitudes pueden enviarse mediante la app, o a info@vezpa.it.
Reclamaciones ante la autoridad italiana de protección de datos (Garante): Garante per la Protezione dei Dati Personali (se abre en una pestaña nueva). Los usuarios en México pueden también dirigirse a la Secretaría Anticorrupción y Buen Gobierno, autoridad a la que pasaron las funciones del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI), que fue suprimido.
12. Menores
La App está destinada exclusivamente a usuarios mayores de edad (operadores profesionales). No recaba conscientemente datos de menores.
13. Modificaciones al Aviso de Privacidad
El presente aviso puede ser actualizado. Las modificaciones serán publicadas en esta página y, si son sustanciales, comunicadas por email y en el panel de control con al menos 15 días de preaviso.
Contactos
Para información o solicitudes de privacidad: