POLITIQUE DE CONFIDENTIALITÉ – APP VEZPA

1. Responsable du traitement

Vezpa di Paolo Vezzola
Siège social : Via San Zeno 67, 25015 Desenzano del Garda (BS), Italie
TVA : 04449070988 · Code fiscal : VZZPLA84C10D284C
Email : info@vezpa.it · PEC : lavezpa@pec.it

2. Champ d'application

La présente information s'applique à l'App Vezpa distribuée via :

• Apple App Store (iOS, macOS) — Bundle ID : it.vezpa.pms
• Google Play Store (Android) — variante googleplay
• Microsoft Store (Windows) — MSIX
• Sideload direct (APK Android, installeur Windows signé) pour un usage distribué directement par le Responsable du traitement

L'utilisation de l'app requiert la création d'un compte dédié à l'établissement d'hébergement. L'app est destinée à des utilisateurs professionnels majeurs (plus de 18 ans) (gestionnaires d'établissements d'hébergement et leur personnel autorisé).

3. Données collectées par l'App

3.1 Données des utilisateurs (gestionnaires et personnel)

• Données d'identité : nom, prénom, email, numéro de téléphone
• Données de l'établissement d'hébergement
• Identifiants (mot de passe haché côté backend, jamais transmis en clair)
• Identifiants de compte (User ID)
• Rôle assigné (directeur, assistant, gouvernante, observateur)

3.2 Données des clients hébergés (Vezpa agit en qualité de Sous-traitant)

Important : les données des clients hébergés sont sous la responsabilité de l'établissement. Vezpa agit en qualité de Sous-traitant au sens de l'art. 28 RGPD, régi par le DPA.

• Données d'identité et de contact
• Documents d'identité scannés ou photographiés au moyen de l'appareil photo du dispositif, avec extraction OCR des données textuelles pour faciliter l'enregistrement
• Données de séjour et de réservation

3.3 Données techniques et d'utilisation

• Identifiants de l'appareil : modèle, système d'exploitation, version de l'app
• Jeton de notifications push (FCM) : identifiant unique géré par Google Firebase pour l'envoi de notifications
• Hachage SHA-256 de l'appareil de confiance : généré localement pour permettre un accès biométrique ultérieur, expiration 90 jours après la dernière utilisation
• Journaux applicatifs et de diagnostic : transmis par lot au backend via RemoteLogger à des fins de stabilité et de sécurité ; ils ne contiennent pas de contenu personnel sensible
• Adresse IP : collectée par le backend à des fins de sécurité

4. Permissions demandées par l'App

5. SDK et services intégrés dans l'App

Vezpa n'intègre pas de SDK d'analyse comportementale (par ex. AppsFlyer, Mixpanel, Facebook SDK), de SDK publicitaires ni de SDK de profilage. Aucun traçage inter-applications au sens de l'Apple App Tracking Transparency (ATT).

6. Finalités du traitement

• Fourniture des fonctionnalités de l'App Vezpa (art. 6.1.b RGPD)
• Obligations légales relatives à l'enregistrement des clients, déléguées par l'établissement (art. 6.1.c)
• Sécurité, prévention des fraudes, stabilité du service (art. 6.1.f, intérêt légitime)
• Gestion des abonnements et paiements (art. 6.1.b et 6.1.c)

Les données ne sont pas utilisées à des fins publicitaires, de profilage ou de traçage.

7. Modalités de traitement et sécurité

• Transmission via HTTPS/TLS 1.2+
• Authentification avec JWT à rotation (access 15 min, refresh 60 jours avec liste de blocage)
• Stockage sécurisé du système (Keychain / EncryptedSharedPreferences / DPAPI)
• 2FA TOTP optionnel
• Serveurs backend situés dans l'UE (Francfort) sur DigitalOcean
• Journaux applicatifs surveillés pour détecter les accès anormaux

8. Conservation et effacement

Les données des utilisateurs sont conservées pendant la durée du contrat + obligations fiscales (10 ans pour la facturation).

L'utilisateur peut demander la suppression du compte au moyen de la fonction dédiée dans l'app ou en écrivant au Responsable du traitement. Certaines données pourraient être conservées en raison d'obligations légales (facturation, journaux de sécurité).

Les données des clients hébergés (dont Vezpa est Sous-traitant) suivent les instructions du Responsable conformément au DPA.

9. Communication des données

Les données ne sont ni vendues ni diffusées. Elles peuvent être communiquées aux sous-traitants ultérieurs énumérés sur vezpa.it/subprocessors et, dans la limite des données de réservation, aux canaux OTA activés par l'établissement.

Pour les données transmises aux autorités publiques (Questura, ISTAT, Feratel, SES, NTAK, eVisitor, SEF, UbyPort, eTurizem), veuillez consulter la Politique de confidentialité générale.

10. Transferts hors UE

Les communications avec les fournisseurs américains certifiés DPF (Google/Firebase, Google Cloud Translation, Stripe, Microsoft, DigitalOcean) ont lieu sur la base de l'EU-U.S. Data Privacy Framework (Décision (UE) 2023/1795). Apple n'adhère pas au DPF : la relation contractuelle pour les utilisateurs UE est avec Apple Distribution International Ltd (Irlande) et les éventuels transferts vers Apple Inc. (USA) sont régis par les CCT 2021/914. Les communications avec STAAH (channel manager) ont lieu sur la base de la Décision d'adéquation UE pour la Nouvelle-Zélande (2013/65/UE). Tuya (Chine, optionnel) est régi par les CCT 2021/914.

11. Droits de l'utilisateur

Au sens des art. 15 à 22 RGPD, l'utilisateur peut exercer les droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition. Les demandes peuvent être soumises via l'app, ou à info@vezpa.it.

Réclamations auprès de l'autorité de contrôle : Autorité italienne de protection des données (Garante) (s'ouvre dans un nouvel onglet). Les utilisateurs en Belgique peuvent également saisir l'Autorité de protection des données (APD/GBA) (s'ouvre dans un nouvel onglet).

12. Mineurs

L'App est destinée exclusivement à des utilisateurs majeurs (gestionnaires professionnels). Elle ne collecte pas sciemment de données de mineurs.

13. Modifications de la Politique de confidentialité

La présente information peut être mise à jour. Les modifications seront publiées sur cette page et, si elles sont substantielles, communiquées par email et dans le tableau de bord avec un préavis d'au moins 15 jours.