PERSÓNUVERNDARSTEFNA – VEZPA-FORRITIÐ
Vezpa di Paolo Vezzola
Síðasta uppfærsla: 5. nóvember 2026
1. Ábyrgðaraðili vinnslu
Vezpa di Paolo Vezzola
Lögheimili: Via San Zeno 67, 25015 Desenzano del Garda (BS), Ítalía
VSK-númer: 04449070988 · Skattnúmer: VZZPLA84C10D284C
Tölvupóstur: info@vezpa.it · PEC: lavezpa@pec.it
2. Gildissvið
Þessi tilkynning gildir um Vezpa-forritið sem dreift er í gegnum:
- Apple App Store (iOS, macOS) — Bundle ID:
it.vezpa.pms - Google Play Store (Android) — flavour googleplay
- Microsoft Store (Windows) — MSIX
- Bein uppsetning (sideload) (APK fyrir Android, undirritað Windows-uppsetningarforrit) til notkunar sem Ábyrgðaraðilinn dreifir beint
Notkun forritsins krefst þess að stofnaður sé sérstakur reikningur fyrir gististaðinn. Forritið er ætlað faglegum notendum eldri en 18 ára (rekstraraðilum gististaða og heimiluðu starfsfólki þeirra).
3. Gögn sem forritið safnar
3.1 Gögn notenda (rekstraraðilar og starfsfólk)
- Auðkennisupplýsingar: nafn, eftirnafn, netfang, símanúmer
- Gögn gististaðarins
- Aðgangsupplýsingar (lykilorð tætt í bakenda, aldrei send ódulkóðuð)
- Reikningsauðkenni (User ID)
- Úthlutað hlutverk (stjórnandi, aðstoðarmaður, þrifari, eftirlitsmaður)
3.2 Gögn gesta (Vezpa starfar sem Vinnsluaðili)
Mikilvægt: gististaðurinn er ábyrgðaraðili að gögnum gesta. Vezpa starfar sem Vinnsluaðili samkvæmt 28. gr. GDPR, á grundvelli DPA.
- Auðkennis- og samskiptaupplýsingar
- Skilríki skönnuð eða ljósmynduð í gegnum myndavél tækisins, með OCR-útdrætti textagagna til að auðvelda skráningu
- Dvalar- og bókanagögn
3.3 Tækni- og notkunargögn
- Auðkenni tækisins: gerð, stýrikerfi, útgáfa forritsins
- Tákn fyrir push-tilkynningar (FCM): einkvæmt auðkenni sem Google Firebase heldur utan um til að senda tilkynningar
- SHA-256-tæting trausts tækis: búin til staðbundið til að leyfa síðari lífkennainnskráningu, rennur út 90 dögum eftir síðustu notkun
- Forrits- og greiningarskrár: sendar í lotum til bakenda í gegnum RemoteLogger vegna stöðugleika og öryggis; innihalda ekki viðkvæmar persónuupplýsingar
- IP-tala: safnað af bakendanum í öryggisskyni
4. Heimildir sem forritið biður um
| Heimild | Tilgangur | Skyldubundið |
|---|---|---|
| Myndavél | Myndataka af skilríkjum gesta fyrir OCR og til sendingar til yfirvalda | Valfrjálst (önnur leið: handvirkur innsláttur) |
| Push-tilkynningar | Móttaka tilkynninga um nýjar bókanir, innritun, beiðnir gesta | Valfrjálst (forritið virkar án þeirra) |
| Lífkennaauðkenning (Face ID / Touch ID / fingrafar / Windows Hello) | Hröð innskráning eftir fyrstu auðkenningu með lykilorði. Lífkennagögn fara aldrei úr tæki notandans: stýrikerfið eitt sér um þau í gegnum innbyggð API (Keychain iOS/macOS, BiometricPrompt Android, Windows Hello) og Vezpa hefur ekki aðgang að þeim á neinu formi, ekki einu sinni sem tætigildum eða afleiddum gögnum. Vezpa fær aðeins rökgildi (tókst/tókst ekki) og auðkenni trausta tækisins. | Valfrjálst |
| Geymsla / Skrár | Staðbundin vistun PDF-skýrslna, reikninga og Alloggiati-eyðublaða sem forritið býr til | Valfrjálst |
| Internet | Samskipti við netþjóna Vezpa | Skyldubundið |
| REQUEST_INSTALL_PACKAGES (aðeins Android sideload) | Sjálfvirk uppsetning uppfærslna með APK-skrá sem hlaðið er niður af netþjónum Vezpa. Ekki til staðar í Google Play-útgáfunni. | Aðeins krafist fyrir sideload-útgáfuna |
5. SDK og þjónusta sem er samþætt forritinu
| SDK / Þjónusta | Birgir | Tilgangur | Unnin gögn |
|---|---|---|---|
| Firebase Cloud Messaging (FCM) | Google LLC / Google Ireland Ltd | Sending push-tilkynninga | Tækistákn, tæknileg auðkenni |
| StoreKit / Google Play Billing / Microsoft Store | Apple Inc. / Google LLC / Microsoft Corp. | Stjórnun kaupa og áskrifta í forriti | Kauptákn, áskriftarstaða, reikningsauðkenni verslunar |
| Stripe SDK (aðeins greiðslur á gestasíðu) | Stripe Payments Europe Ltd | Vinnsla kortagreiðslna | Kortagögn meðhöndluð af Stripe, ekki send til Vezpa |
| local_auth (lífkenni) | Stýrikerfi (Apple / Google / Microsoft) | Staðbundin lífkennaopnun | Engin lífkennagögn send til Vezpa |
| Flutter Secure Storage | Vettvangur (Keychain iOS/macOS, EncryptedSharedPreferences Android, DPAPI Windows) | Staðbundin geymsla JWT-tákna og aðgangsupplýsinga | Endurnýjunartákn, dulkóðuð af stýrikerfinu |
| share_plus | Open Source | Deiling skráa (PDF, skýrslur) með kerfisforritum | Skrár sem notandi velur |
Vezpa samþættir ekki SDK fyrir hegðunargreiningu (t.d. AppsFlyer, Mixpanel, Facebook SDK), SDK fyrir auglýsingar né SDK fyrir prófílgerð. Engin rakning milli forrita samkvæmt Apple App Tracking Transparency (ATT).
6. Tilgangur vinnslunnar
- Veiting virkni Vezpa-forritsins (6.1.b gr. GDPR)
- Uppfylling lagaskyldna um gestaskráningu, falin af gististaðnum (6.1.c gr.)
- Öryggi, svikavarnir, stöðugleiki þjónustu (6.1.f gr., lögmætir hagsmunir)
- Stjórnun áskrifta og greiðslna (6.1.b og 6.1.c)
Gögnin eru ekki notuð til auglýsinga, prófílgerðar eða rakningar.
7. Vinnsluaðferð og öryggi
- Sending í gegnum HTTPS/TLS 1.2+
- Auðkenning með JWT-táknum sem snúast (aðgangstákn 15 mín., endurnýjunartákn 60 dagar með bannlista)
- Örugg kerfisgeymsla (Keychain / EncryptedSharedPreferences / DPAPI)
- Valfrjálst 2FA TOTP
- Bakendanetþjónar staðsettir í ESB (Frankfurt) hjá DigitalOcean
- Forritaskrár vaktaðar til að greina óeðlilegan aðgang
8. Varðveisla og eyðing
Gögn notenda eru geymd á samningstíma + vegna skattskyldu (10 ár vegna reikningsútgáfu).
Notandinn getur beðið um eyðingu reiknings í gegnum sérstaka aðgerð í forritinu eða með því að skrifa Ábyrgðaraðilanum. Sum gögn kunna að vera geymd vegna lagaskyldna (reikningsútgáfa, öryggisskrár).
Gögn gesta (sem Vezpa er Vinnsluaðili fyrir) fylgja fyrirmælum Ábyrgðaraðilans samkvæmt ákvæðum DPA.
9. Miðlun gagna
Gögnin eru hvorki seld né þeim dreift. Þeim má miðla til undirvinnsluaðila sem taldir eru upp á vezpa.it/subprocessors og, aðeins hvað varðar bókanagögn, til OTA-rása sem gististaðurinn virkjar.
Fyrir gögn send til opinberra yfirvalda (Questura, ISTAT, Feratel, SES, NTAK, eVisitor, SEF, UbyPort, eTurizem) er vísað til almennu persónuverndarstefnunnar.
10. Gagnaflutningar utan ESB
Samskipti við birgja í USA sem eru DPF-vottaðir (Google/Firebase, Google Cloud Translation, Stripe, Microsoft, DigitalOcean) fara fram á grundvelli EU-U.S. Data Privacy Framework (ákvörðun (ESB) 2023/1795). Apple tekur ekki þátt í DPF: samningssamband fyrir notendur í ESB er við Apple Distribution International Ltd (Írland) og hugsanlegir flutningar til Apple Inc. (USA) lúta SCC 2021/914. Samskipti við STAAH (channel manager) fara fram á grundvelli ákvörðunar ESB um fullnægjandi vernd fyrir Nýja-Sjáland (2013/65/ESB). Tuya (Kína, valfrjálst) lýtur SCC 2021/914.
11. Réttindi notandans
Samkvæmt 15-22 gr. GDPR getur notandinn neytt réttar síns til aðgangs, leiðréttingar, eyðingar, takmörkunar, flytjanleika og andmæla. Beiðnir má senda í gegnum forritið eða á info@vezpa.it.
Kvartanir til eftirlitsyfirvalds: Ítalska persónuverndarstofnunin (Garante) (opnast í nýjum flipa). Notendur á Íslandi geta einnig haft samband við Persónuvernd (opnast í nýjum flipa).
12. Ólögráða einstaklingar
Forritið er eingöngu ætlað lögráða notendum (faglegum rekstraraðilum). Það safnar ekki vísvitandi gögnum um ólögráða einstaklinga.
13. Breytingar á persónuverndarstefnu
Þessi tilkynning getur verið uppfærð. Breytingar verða birtar á þessari síðu og, ef þær eru verulegar, tilkynntar með tölvupósti og á mælaborði með að minnsta kosti 15 daga fyrirvara.
Samband
Fyrir upplýsingar eða persónuverndarbeiðnir: