PRIVACYBELEID – VEZPA APP

1. Verwerkingsverantwoordelijke

Vezpa di Paolo Vezzola
Statutaire zetel: Via San Zeno 67, 25015 Desenzano del Garda (BS), Italië
Btw-nummer: 04449070988 · Fiscaal nummer: VZZPLA84C10D284C
E-mail: info@vezpa.it · PEC: lavezpa@pec.it

2. Toepassingsgebied

Dit beleid is van toepassing op de Vezpa App gedistribueerd via:

• Apple App Store (iOS, macOS) — Bundle ID: it.vezpa.pms
• Google Play Store (Android) — flavour googleplay
• Microsoft Store (Windows) — MSIX
• Directe sideload (APK Android, gesigneerd Windows-installer) voor gebruik dat rechtstreeks door de Verwerkingsverantwoordelijke wordt gedistribueerd

Voor het gebruik van de app is het aanmaken vereist van een account dat aan de accommodatie is gekoppeld. De app is bestemd voor professionele gebruikers ouder dan 18 jaar (beheerders van accommodaties en hun geautoriseerd personeel).

3. Gegevens verzameld door de App

3.1 Gegevens van gebruikers (Beheerders en personeel)

• Persoonsgegevens: voornaam, achternaam, e-mail, telefoonnummer
• Gegevens van de accommodatie
• Inloggegevens (wachtwoord gehasht aan de backendzijde, nooit in klare tekst verzonden)
• Accountidentificatoren (User ID)
• Toegewezen rol (directeur, assistent, huishoudster, waarnemer)

3.2 Gegevens van gasten (Vezpa treedt op als Verwerker)

Belangrijk: de accommodatie is de verwerkingsverantwoordelijke voor de gegevens van gasten. Vezpa treedt op als Verwerker in de zin van art. 28 AVG, geregeld in de DPA.

• Persoons- en contactgegevens
• Identiteitsdocumenten gescand of gefotografeerd met de camera van het apparaat, met OCR-extractie van de tekstgegevens om de registratie te vergemakkelijken
• Verblijfs- en boekingsgegevens

3.3 Technische en gebruiksgegevens

• Apparaatidentificatoren: model, besturingssysteem, appversie
• Tokens voor pushmeldingen (FCM): unieke identificator beheerd door Google Firebase voor het verzenden van meldingen
• SHA-256-hash van het vertrouwde apparaat: lokaal gegenereerd om daaropvolgende biometrische toegang mogelijk te maken, vervalt 90 dagen na het laatste gebruik
• Applicatie- en diagnostische logs: in batch naar de backend verzonden via RemoteLogger voor stabiliteits- en beveiligingsdoeleinden; bevatten geen gevoelige persoonlijke inhoud
• IP-adres: verzameld door de backend voor beveiligingsdoeleinden

4. Door de App gevraagde machtigingen

5. In de App geïntegreerde SDK's en diensten

Vezpa integreert geen SDK's voor gedragsanalyse (bv. AppsFlyer, Mixpanel, Facebook SDK), reclame-SDK's of profilerings-SDK's. Geen cross-app tracking in de zin van Apple App Tracking Transparency (ATT).

6. Doeleinden van de Verwerking

• Levering van de functies van de Vezpa App (art. 6.1.b AVG)
• Wettelijke verplichtingen met betrekking tot gastregistratie, gedelegeerd door de accommodatie (art. 6.1.c)
• Beveiliging, fraudepreventie, stabiliteit van de dienst (art. 6.1.f, gerechtvaardigd belang)
• Beheer van abonnementen en betalingen (art. 6.1.b en 6.1.c)

De gegevens worden niet gebruikt voor reclame-, profilerings- of trackingdoeleinden.

7. Wijze van Verwerking en Beveiliging

• Verzending via HTTPS/TLS 1.2+
• Authenticatie met roterende JWT (access 15 min, refresh 60 dagen met blacklist)
• Secure Storage van het systeem (Keychain / EncryptedSharedPreferences / DPAPI)
• Optionele 2FA TOTP
• Backend-servers in de EU (Frankfurt) op DigitalOcean
• Applicatielogs worden gemonitord om afwijkende toegang te detecteren

8. Bewaring en Wissing

De gegevens van gebruikers worden bewaard voor de duur van de overeenkomst + fiscale verplichtingen (10 jaar voor facturering).

De gebruiker kan verzoeken om accountwissing via de daarvoor bestemde functie in de app of door te schrijven naar de Verwerkingsverantwoordelijke. Bepaalde gegevens kunnen worden bewaard voor wettelijke verplichtingen (facturering, beveiligingslogs).

De gegevens van gasten (waarvoor Vezpa optreedt als Verwerker) volgen de instructies van de Verwerkingsverantwoordelijke volgens hetgeen is geregeld in de DPA.

9. Mededeling van de Gegevens

De gegevens worden niet verkocht of verspreid. Zij kunnen worden meegedeeld aan de subverwerkers vermeld op vezpa.it/subprocessors en, beperkt tot de boekingsgegevens, aan de door de accommodatie geactiveerde OTA-kanalen.

Voor gegevens die worden verzonden naar overheidsinstanties (Politie/Questura, ISTAT, Feratel, SES, NTAK, eVisitor, SEF, UbyPort, eTurizem) wordt verwezen naar het algemene Privacybeleid.

10. Doorgiften buiten de EU

Communicatie met Amerikaanse leveranciers met DPF-certificering (Google/Firebase, Google Cloud Translation, Stripe, Microsoft, DigitalOcean) vindt plaats op basis van het EU-U.S. Data Privacy Framework (Besluit (EU) 2023/1795). Apple neemt niet deel aan het DPF: de contractuele relatie voor EU-gebruikers loopt via Apple Distribution International Ltd (Ierland) en eventuele doorgiften naar Apple Inc. (VS) worden beheerst door SCC 2021/914. Communicatie met STAAH (channel manager) vindt plaats op basis van het EU-adequaatheidsbesluit voor Nieuw-Zeeland (2013/65/EU). Tuya (China, optioneel) valt onder SCC 2021/914.

11. Rechten van de Gebruiker

Krachtens art. 15-22 AVG kan de gebruiker de rechten op inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar uitoefenen. Verzoeken kunnen worden ingediend via de app of op info@vezpa.it.

Klachten bij de toezichthoudende autoriteit: Italiaanse toezichthoudende autoriteit (Garante) (opent in een nieuw tabblad). Gebruikers in Nederland kunnen ook terecht bij de Autoriteit Persoonsgegevens (www.autoriteitpersoonsgegevens.nl (opent in een nieuw tabblad)).

12. Minderjarigen

De App is uitsluitend bestemd voor meerderjarige gebruikers (professionele beheerders). Er worden niet bewust gegevens van minderjarigen verzameld.

13. Wijzigingen van het Privacybeleid

Dit beleid kan worden bijgewerkt. Wijzigingen worden op deze pagina gepubliceerd en, indien wezenlijk, via e-mail en dashboard meegedeeld met een vooraankondiging van minstens 15 dagen.