PERSONVERNERKLÆRING – VEZPA-APPEN

1. Behandlingsansvarlig

Vezpa di Paolo Vezzola
Forretningsadresse: Via San Zeno 67, 25015 Desenzano del Garda (BS), Italia
MVA-nr.: 04449070988 · Skattekode: VZZPLA84C10D284C
E-post: info@vezpa.it · PEC: lavezpa@pec.it

2. Virkeområde

Denne erklæringen gjelder for Vezpa-appen distribuert via:

• Apple App Store (iOS, macOS) — Bundle ID: it.vezpa.pms
• Google Play Store (Android) — flavour googleplay
• Microsoft Store (Windows) — MSIX
• Direkte sideload (APK Android, signert Windows-installasjonsprogram) til bruk, distribuert direkte av Behandlingsansvarlig

Bruk av appen krever opprettelse av en dedikert konto for innkvarteringsstedet. Appen er rettet mot profesjonelle brukere over 18 år (driftsansvarlige for innkvarteringssteder og deres autoriserte personell).

3. Data som samles inn av appen

3.1 Brukernes data (driftsansvarlige og personell)

• Personopplysninger: fornavn, etternavn, e-post, telefonnummer
• Data om innkvarteringsstedet
• Påloggingsopplysninger (passord hashet på backend-siden, aldri overført i klartekst)
• Kontoidentifikatorer (User ID)
• Tildelt rolle (direktør, assistent, husholderske, observatør)

3.2 Gjestenes data (Vezpa opptrer som Databehandler)

Viktig: innkvarteringsstedet er behandlingsansvarlig for gjestenes data. Vezpa opptrer som Databehandler i henhold til art. 28 GDPR, regulert av DPA.

• Person- og kontaktopplysninger
• Legitimasjonsdokumenter skannet eller fotografert via enhetens kamera, med OCR-uttrekk av tekstdata for å forenkle registreringen
• Oppholds- og bestillingsdata

3.3 Tekniske og bruksdata

• Enhetsidentifikatorer: modell, operativsystem, app-versjon
• Push-varsel-token (FCM): unik identifikator administrert av Google Firebase for varselutsending
• SHA-256-hash av betrodd enhet: generert lokalt for å tillate senere biometrisk tilgang, utløper 90 dager fra siste bruk
• Applikasjons- og diagnoselogger: sendes i batch til backend via RemoteLogger for stabilitets- og sikkerhetsformål; inneholder ikke sensitive personopplysninger
• IP-adresse: innsamlet av backend for sikkerhetsformål

4. Tillatelser som kreves av appen

5. SDK og integrerte tjenester i appen

Vezpa integrerer ikke SDK-er for atferdsanalyse (f.eks. AppsFlyer, Mixpanel, Facebook SDK), reklame-SDK-er eller profilerings-SDK-er. Ingen sporing på tvers av apper i henhold til Apple App Tracking Transparency (ATT).

6. Formål med behandlingen

• Levering av Vezpa-appens funksjoner (art. 6.1.b GDPR)
• Rettslige forpliktelser knyttet til gjesteregistrering, delegert fra innkvarteringsstedet (art. 6.1.c)
• Sikkerhet, svindelforebygging, tjenestens stabilitet (art. 6.1.f, berettiget interesse)
• Administrasjon av abonnementer og betalinger (art. 6.1.b og 6.1.c)

Dataene brukes ikke til reklame-, profilerings- eller sporingsformål.

7. Behandlingsmåte og sikkerhet

• Overføring via HTTPS/TLS 1.2+
• Autentisering med JWT med rotasjon (access 15 min, refresh 60 dager med svarteliste)
• Systemets Secure Storage (Keychain / EncryptedSharedPreferences / DPAPI)
• Valgfri 2FA TOTP
• Backend-servere plassert i EU (Frankfurt) på DigitalOcean
• Applikasjonslogger overvåkes for å oppdage avvikende tilgang

8. Oppbevaring og sletting

Brukerdata oppbevares i kontraktens varighet + skatterettslige forpliktelser (10 år for fakturering).

Brukeren kan be om sletting av kontoen via den dedikerte funksjonen i appen eller ved å skrive til Behandlingsansvarlig. Enkelte data kan oppbevares for rettslige forpliktelser (fakturering, sikkerhetslogger).

Gjestenes data (som Vezpa er Databehandler for) følger Behandlingsansvarliges instruksjoner etter DPA.

9. Formidling av data

Dataene selges ikke og spres ikke. De kan formidles til underdatabehandlerne oppført på vezpa.it/subprocessors og, begrenset til bestillingsdata, til OTA-kanaler aktivert av innkvarteringsstedet.

For data oversendt til offentlige myndigheter (politiet, ISTAT, Feratel, SES, NTAK, eVisitor, SEF, UbyPort, eTurizem) vises det til den generelle Personvernerklæringen.

10. Overføring utenfor EU

Kommunikasjon med amerikanske leverandører som er DPF-sertifisert (Google/Firebase, Google Cloud Translation, Stripe, Microsoft, DigitalOcean) skjer på grunnlag av EU-U.S. Data Privacy Framework (Beslutning (EU) 2023/1795). Apple deltar ikke i DPF: kontraktsforholdet for EU-brukere er med Apple Distribution International Ltd (Irland), og eventuelle overføringer til Apple Inc. (USA) reguleres av SCC 2021/914. Kommunikasjon med STAAH (channel manager) skjer på grunnlag av EUs tilstrekkelighetsbeslutning for New Zealand (2013/65/EU). Tuya (Kina, valgfritt) er regulert av SCC 2021/914.

11. Brukerens rettigheter

I henhold til art. 15-22 GDPR kan brukeren utøve rettigheter til innsyn, retting, sletting, begrensning, dataportabilitet og innsigelse. Henvendelser kan sendes gjennom appen eller til info@vezpa.it.

Klager til tilsynsmyndigheten: Den italienske datatilsynsmyndigheten (Garante per la Protezione dei Dati Personali) (åpnes i en ny fane). Brukere i Norge kan også henvende seg til Datatilsynet (www.datatilsynet.no (åpnes i en ny fane)).

12. Mindreårige

Appen er utelukkende rettet mot myndige brukere (profesjonelle driftsansvarlige). Den samler ikke bevisst inn data om mindreårige.

13. Endringer i personvernerklæringen

Denne erklæringen kan oppdateres. Endringene vil bli publisert på denne siden og, hvis vesentlige, meddelt via e-post og dashbord med minst 15 dagers varsel.