DATENSCHUTZERKLÄRUNG – VEZPA APP

1. Verantwortlicher

Vezpa di Paolo Vezzola
Sitz: Via San Zeno 67, 25015 Desenzano del Garda (BS), Italien
USt-IdNr.: 04449070988 · Steuernummer: VZZPLA84C10D284C
E-Mail: info@vezpa.it · PEC: lavezpa@pec.it

2. Anwendungsbereich

Diese Information gilt für die Vezpa-App, die vertrieben wird über:

• Apple App Store (iOS, macOS) — Bundle ID: it.vezpa.pms
• Google Play Store (Android) — Flavour googleplay
• Microsoft Store (Windows) — MSIX
• Direktes Sideload (APK Android, signierter Windows-Installer) zur direkt vom Verantwortlichen verteilten Nutzung

Die Nutzung der App erfordert die Erstellung eines dem Beherbergungsbetrieb zugeordneten Accounts. Die App ist für gewerbliche Nutzer über 18 Jahre (Betreiber von Beherbergungsbetrieben und deren befugtes Personal) bestimmt.

3. Von der App erhobene Daten

3.1 Daten der Nutzer (Betreiber und Personal)

• Stammdaten: Vorname, Nachname, E-Mail, Telefonnummer
• Daten des Beherbergungsbetriebs
• Zugangsdaten (Passwort backend-seitig gehasht, niemals im Klartext übertragen)
• Account-Kennungen (User ID)
• Zugewiesene Rolle (Direktor, Assistent, Hausdame, Beobachter)

3.2 Daten der Gäste (Vezpa agiert als Auftragsverarbeiter)

Wichtig: Die Gästedaten unterliegen der Verantwortung des Betriebs. Vezpa agiert als Auftragsverarbeiter gemäß Art. 28 DSGVO, geregelt durch den AVV.

• Stamm- und Kontaktdaten
• Ausweisdokumente gescannt oder über die Kamera des Geräts fotografiert, mit OCR-Extraktion der Textdaten zur Erleichterung der Registrierung
• Aufenthalts- und Buchungsdaten

3.3 Technische und Nutzungsdaten

• Gerätekennungen: Modell, Betriebssystem, App-Version
• Push-Benachrichtigungs-Token (FCM): von Google Firebase verwaltete eindeutige Kennung für den Versand von Benachrichtigungen
• SHA-256-Hash des vertrauenswürdigen Geräts: lokal erzeugt, um den nachfolgenden biometrischen Zugriff zu ermöglichen, Ablauf 90 Tage ab der letzten Nutzung
• Anwendungs- und Diagnose-Logs: über RemoteLogger im Batch an das Backend übermittelt für Stabilitäts- und Sicherheitszwecke; enthalten keine sensiblen persönlichen Inhalte
• IP-Adresse: vom Backend aus Sicherheitsgründen erhoben

4. Von der App angeforderte Berechtigungen

5. In die App integrierte SDK und Dienste

Vezpa integriert kein Verhaltensanalyse-SDK (z. B. AppsFlyer, Mixpanel, Facebook SDK), kein Werbe-SDK und kein Profilbildungs-SDK. Kein App-übergreifendes Tracking gemäß Apple App Tracking Transparency (ATT).

6. Zwecke der Verarbeitung

• Bereitstellung der Funktionen der Vezpa-App (Art. 6 Abs. 1 lit. b DSGVO)
• Gesetzliche Pflichten zur Gästeregistrierung, delegiert vom Betrieb (Art. 6 Abs. 1 lit. c)
• Sicherheit, Betrugsprävention, Stabilität des Dienstes (Art. 6 Abs. 1 lit. f, berechtigtes Interesse)
• Verwaltung von Abonnements und Zahlungen (Art. 6 Abs. 1 lit. b und lit. c)

Die Daten werden nicht zu Werbe-, Profilbildungs- oder Tracking-Zwecken verwendet.

7. Art der Verarbeitung und Sicherheit

• Übertragung via HTTPS/TLS 1.2+
• Authentifizierung mit rotierendem JWT (Access 15 Min, Refresh 60 Tage mit Blacklist)
• Sicherer Systemspeicher (Keychain / EncryptedSharedPreferences / DPAPI)
• Optionale 2FA TOTP
• Backend-Server in der EU (Frankfurt) bei DigitalOcean
• Anwendungs-Logs werden überwacht, um anomale Zugriffe zu erkennen

8. Aufbewahrung und Löschung

Die Benutzerdaten werden für die Dauer des Vertrags + steuerliche Pflichten (10 Jahre für Rechnungsstellung, in Österreich 7 Jahre gemäß §132 BAO) aufbewahrt.

Der Benutzer kann die Löschung des Accounts über die entsprechende Funktion in der App oder schriftlich beim Verantwortlichen anfordern. Einige Daten können aufgrund gesetzlicher Verpflichtungen (Rechnungsstellung, Sicherheits-Logs) aufbewahrt werden.

Die Gästedaten (für die Vezpa Auftragsverarbeiter ist) folgen den Weisungen des Verantwortlichen gemäß den Regelungen im AVV.

9. Weitergabe der Daten

Die Daten werden weder verkauft noch verbreitet. Sie können an die unter vezpa.it/subprocessors aufgeführten Unterauftragsverarbeiter und, beschränkt auf Buchungsdaten, an die vom Betrieb aktivierten OTA-Kanäle übermittelt werden.

Für die an Behörden übermittelten Daten (Polizei/AlloggiatiWeb für IT, Meldeamt/Feratel für AT, ISTAT, SES, NTAK, eVisitor, SEF, UbyPort, eTurizem) wird auf die allgemeine Datenschutzerklärung verwiesen.

10. Übermittlungen außerhalb der EU

Die Kommunikation mit US-Anbietern, die aktiv DPF-zertifiziert sind (Google/Firebase, Google Cloud Translation, Stripe, Microsoft, DigitalOcean), erfolgt auf Grundlage des EU-U.S. Data Privacy Framework (Beschluss (EU) 2023/1795). Apple beteiligt sich nicht am DPF: das Vertragsverhältnis für EU-Nutzer besteht mit Apple Distribution International Ltd (Irland), und eventuelle Übermittlungen an Apple Inc. (USA) werden durch SCC 2021/914 geregelt. Die Kommunikation mit STAAH (Channel Manager) erfolgt auf Grundlage des EU-Angemessenheitsbeschlusses für Neuseeland (Beschluss (EU) 2013/65). Tuya (China, optional) wird durch SCC 2021/914 geregelt.

11. Rechte des Benutzers

Gemäß Art. 15-22 DSGVO kann der Benutzer die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch ausüben. Die Anfragen können über die App oder an info@vezpa.it übermittelt werden.

Beschwerden an die Aufsichtsbehörde: Österreichische Datenschutzbehörde (www.dsb.gv.at) (öffnet in einem neuen Tab) für Nutzer in Österreich; italienische Datenschutzbehörde (Garante) (öffnet in einem neuen Tab) in Italien.

12. Minderjährige

Die App ist ausschließlich für volljährige Benutzer (gewerbliche Betreiber) bestimmt. Sie erhebt nicht wissentlich Daten von Minderjährigen.

13. Änderungen der Datenschutzerklärung

Die vorliegende Information kann aktualisiert werden. Änderungen werden auf dieser Seite veröffentlicht und, sofern wesentlich, mit mindestens 15 Tagen Vorankündigung per E-Mail und Dashboard mitgeteilt.