POLITIQUE DE CONFIDENTIALITÉ – APPLICATION VEZPA

1. Responsable du traitement

Vezpa di Paolo Vezzola
Siège social : Via San Zeno 67, 25015 Desenzano del Garda (BS), Italie
N° TVA : 04449070988 · Code fiscal : VZZPLA84C10D284C
Email : info@vezpa.it · PEC : lavezpa@pec.it

2. Champ d'Application

La présente information s'applique à l'application Vezpa distribuée via :

• Apple App Store (iOS, macOS) — Bundle ID : it.vezpa.pms
• Google Play Store (Android) — variante googleplay
• Microsoft Store (Windows) — MSIX
• Sideload direct (APK Android, installateur Windows signé) pour un usage distribué directement par le Responsable du traitement

L'utilisation de l'application requiert la création d'un compte dédié à l'établissement d'hébergement. L'application est destinée à des utilisateurs professionnels majeurs de plus de 18 ans (gestionnaires d'établissements d'hébergement et leur personnel autorisé).

3. Données collectées par l'Application

3.1 Données des utilisateurs (Gestionnaires et personnel)

• Données d'identification : nom, prénom, email, numéro de téléphone
• Données de l'établissement d'hébergement
• Identifiants (mot de passe haché côté backend, jamais transmis en clair)
• Identifiants de compte (User ID)
• Rôle attribué (directeur, assistant, gouvernante, observateur)

3.2 Données des clients (Vezpa agit en tant que Sous-traitant)

Important : les données des clients relèvent de la responsabilité de l'établissement. Vezpa agit en tant que Sous-traitant au sens de l'art. 28 RGPD, régi par le DPA.

• Données d'identification et de contact
• Pièces d'identité scannées ou photographiées via la caméra de l'appareil, avec extraction OCR des données textuelles pour faciliter l'enregistrement
• Données de séjour et de réservation

3.3 Données techniques et d'utilisation

• Identifiants de l'appareil : modèle, système d'exploitation, version de l'application
• Jeton de notifications push (FCM) : identifiant unique géré par Google Firebase pour l'envoi de notifications
• Hash SHA-256 de l'appareil de confiance : généré localement pour permettre un accès biométrique ultérieur, expiration 90 jours depuis la dernière utilisation
• Journaux applicatifs et diagnostiques : transmis par lots au backend via RemoteLogger à des fins de stabilité et de sécurité ; ne contiennent pas de contenu personnel sensible
• Adresse IP : collectée par le backend à des fins de sécurité

4. Permissions requises par l'Application

5. SDK et services intégrés dans l'Application

Vezpa n'intègre pas de SDK d'analyse comportementale (par ex. AppsFlyer, Mixpanel, Facebook SDK), de SDK publicitaires ni de SDK de profilage. Aucun suivi inter-applications au sens d'Apple App Tracking Transparency (ATT).

6. Finalités du Traitement

• Fourniture des fonctionnalités de l'application Vezpa (art. 6.1.b RGPD)
• Obligations légales relatives à l'enregistrement des clients, déléguées par l'établissement (art. 6.1.c)
• Sécurité, prévention de la fraude, stabilité du service (art. 6.1.f, intérêt légitime)
• Gestion des abonnements et paiements (art. 6.1.b et 6.1.c)

Les données ne sont pas utilisées à des fins publicitaires, de profilage ou de suivi.

7. Modalités de Traitement et Sécurité

• Transmission via HTTPS/TLS 1.2+
• Authentification avec JWT à rotation (access 15 min, refresh 60 jours avec liste de blocage)
• Stockage sécurisé du système (Keychain / EncryptedSharedPreferences / DPAPI)
• 2FA TOTP optionnel
• Serveurs backend situés en UE (Francfort) sur DigitalOcean
• Journaux applicatifs surveillés pour détecter les accès anormaux

8. Conservation et Suppression

Les données des utilisateurs sont conservées pour la durée du contrat + obligations fiscales (10 ans pour la facturation).

L'utilisateur peut demander la suppression du compte via la fonction dédiée dans l'application ou en écrivant au Responsable du traitement. Certaines données pourraient être conservées pour obligations légales (facturation, journaux de sécurité).

Les données des clients (dont Vezpa est Sous-traitant) suivent les instructions du Responsable du traitement conformément au DPA.

9. Communication des Données

Les données ne sont ni vendues ni diffusées. Elles peuvent être communiquées aux sous-traitants ultérieurs énumérés sur vezpa.it/subprocessors et, pour les seules données de réservation, aux canaux OTA activés par l'établissement.

Pour les données transmises aux autorités publiques (Questura, ISTAT, Feratel, SES, NTAK, eVisitor, SEF, UbyPort, eTurizem), veuillez vous référer à la Politique de Confidentialité générale.

10. Transferts Hors UE

Les communications avec les fournisseurs USA certifiés DPF (Google/Firebase, Google Cloud Translation, Stripe, Microsoft, DigitalOcean) s'effectuent sur la base de l'EU-U.S. Data Privacy Framework (Décision (UE) 2023/1795). Apple n'adhère pas au DPF : la relation contractuelle pour les utilisateurs UE est avec Apple Distribution International Ltd (Irlande) et les éventuels transferts vers Apple Inc. (USA) sont régis par les CCT 2021/914. Les communications avec STAAH (channel manager) s'effectuent sur la base de la Décision d'adéquation UE pour la Nouvelle-Zélande (2013/65/UE). Tuya (Chine, facultatif) est régi par les CCT 2021/914.

11. Droits de l'Utilisateur

Au sens des art. 15-22 RGPD, l'utilisateur peut exercer des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition. Les demandes peuvent être transmises via l'application, ou à info@vezpa.it.

Réclamations à l'autorité de contrôle : autorité italienne de protection des données (Garante) (s'ouvre dans un nouvel onglet). Les utilisateurs en France peuvent également saisir la CNIL (www.cnil.fr (s'ouvre dans un nouvel onglet)).

12. Mineurs

L'application est destinée exclusivement à des utilisateurs majeurs (gestionnaires professionnels). Elle ne collecte pas sciemment de données de mineurs.

13. Modifications de la Politique de Confidentialité

La présente information peut être mise à jour. Les modifications seront publiées sur cette page et, si substantielles, communiquées par email et tableau de bord avec au moins 15 jours de préavis.