POLITYKA PRYWATNOŚCI – APLIKACJA VEZPA

1. Administrator danych

Vezpa di Paolo Vezzola
Siedziba: Via San Zeno 67, 25015 Desenzano del Garda (BS), Włochy
NIP (P.IVA): 04449070988 · Kod podatkowy (C.F.): VZZPLA84C10D284C
E-mail: info@vezpa.it · PEC: lavezpa@pec.it

2. Zakres zastosowania

Niniejsza informacja ma zastosowanie do Aplikacji Vezpa dystrybuowanej za pośrednictwem:

• Apple App Store (iOS, macOS) — Bundle ID: it.vezpa.pms
• Google Play Store (Android) — flavour googleplay
• Microsoft Store (Windows) — MSIX
• Sideload bezpośredni (APK Android, podpisany instalator Windows) do użytku dystrybuowanego bezpośrednio przez Administratora

Korzystanie z aplikacji wymaga utworzenia odrębnego konta dla obiektu noclegowego. Aplikacja jest skierowana do użytkowników profesjonalnych powyżej 18. roku życia (zarządcy obiektów noclegowych i ich upoważniony personel).

3. Dane zbierane przez aplikację

3.1 Dane użytkowników (zarządcy i personel)

• Dane osobowe: imię, nazwisko, e-mail, numer telefonu
• Dane obiektu noclegowego
• Dane uwierzytelniające (hasło haszowane po stronie backendu, nigdy nieprzekazywane w postaci jawnej)
• Identyfikatory konta (User ID)
• Przypisana rola (dyrektor, asystent, pokojowa, obserwator)

3.2 Dane gości (Vezpa działa jako Podmiot przetwarzający)

Ważne: administratorem danych gości jest obiekt. Vezpa działa jako Podmiot przetwarzający w rozumieniu art. 28 RODO, na zasadach określonych w DPA.

• Dane osobowe i kontaktowe
• Dokumenty tożsamości skanowane lub fotografowane za pomocą aparatu urządzenia, z wyodrębnianiem danych tekstowych przez OCR w celu ułatwienia rejestracji
• Dane pobytu i rezerwacji

3.3 Dane techniczne i użytkowania

• Identyfikatory urządzenia: model, system operacyjny, wersja aplikacji
• Token powiadomień push (FCM): unikalny identyfikator zarządzany przez Google Firebase do wysyłania powiadomień
• Hash SHA-256 zaufanego urządzenia: generowany lokalnie w celu umożliwienia późniejszego dostępu biometrycznego, wygasa 90 dni od ostatniego użycia
• Logi aplikacyjne i diagnostyczne: przekazywane partiami do backendu przez RemoteLogger do celów stabilności i bezpieczeństwa; nie zawierają wrażliwych treści osobowych
• Adres IP: zbierany przez backend do celów bezpieczeństwa

4. Uprawnienia wymagane przez aplikację

5. SDK i usługi zintegrowane w aplikacji

Vezpa nie integruje SDK analityki zachowań (np. AppsFlyer, Mixpanel, Facebook SDK), SDK reklamowych ani SDK profilowania. Brak śledzenia między aplikacjami w rozumieniu Apple App Tracking Transparency (ATT).

6. Cele przetwarzania

• Świadczenie funkcji aplikacji Vezpa (art. 6 ust. 1 lit. b RODO)
• Wypełnianie obowiązków prawnych dotyczących rejestracji gości, delegowanych przez obiekt (art. 6 ust. 1 lit. c)
• Bezpieczeństwo, zapobieganie oszustwom, stabilność usługi (art. 6 ust. 1 lit. f, prawnie uzasadniony interes)
• Zarządzanie subskrypcjami i płatnościami (art. 6 ust. 1 lit. b i lit. c)

Dane nie są wykorzystywane do celów reklamowych, profilowania ani śledzenia.

7. Sposób przetwarzania i bezpieczeństwo

• Transmisja przez HTTPS/TLS 1.2+
• Uwierzytelnianie z rotacją JWT (access 15 min, refresh 60 dni z czarną listą)
• Secure Storage systemu (Keychain / EncryptedSharedPreferences / DPAPI)
• Opcjonalne 2FA TOTP
• Serwery backend zlokalizowane w UE (Frankfurt) na DigitalOcean
• Logi aplikacyjne monitorowane w celu wykrywania nietypowych dostępów

8. Przechowywanie i usuwanie

Dane użytkowników są przechowywane przez okres trwania umowy + obowiązki podatkowe (10 lat dla fakturowania).

Użytkownik może zażądać usunięcia konta poprzez dedykowaną funkcję w aplikacji lub pisemnie do Administratora. Niektóre dane mogą być przechowywane ze względu na obowiązki prawne (fakturowanie, logi bezpieczeństwa).

Dane gości (dla których Vezpa jest Podmiotem przetwarzającym) podlegają poleceniom Administratora zgodnie z postanowieniami DPA.

9. Udostępnianie danych

Dane nie są sprzedawane ani udostępniane publicznie. Mogą być przekazywane dalszym podmiotom przetwarzającym wymienionym na vezpa.it/subprocessors, a w zakresie danych rezerwacji — kanałom OTA aktywowanym przez obiekt.

W odniesieniu do danych przekazywanych organom publicznym (Questura, ISTAT, Feratel, SES, NTAK, eVisitor, SEF, UbyPort, eTurizem) odsyłamy do ogólnej Polityki prywatności.

10. Przekazywanie poza UE

Komunikacja z dostawcami z USA certyfikowanymi DPF (Google/Firebase, Google Cloud Translation, Stripe, Microsoft, DigitalOcean) odbywa się na podstawie EU-U.S. Data Privacy Framework (Decyzja (UE) 2023/1795). Apple nie uczestniczy w DPF: relacja umowna dla użytkowników UE jest z Apple Distribution International Ltd (Irlandia), a ewentualne przekazywanie do Apple Inc. (USA) jest regulowane przez SCC 2021/914. Komunikacja ze STAAH (channel manager) odbywa się na podstawie Decyzji o adekwatności UE dla Nowej Zelandii (2013/65/UE). Tuya (Chiny, opcjonalnie) jest regulowana przez SCC 2021/914.

11. Prawa użytkownika

Zgodnie z art. 15-22 RODO użytkownik może wykonywać prawa dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia i sprzeciwu. Wnioski można przesyłać za pośrednictwem aplikacji lub na info@vezpa.it.

Skargi do organu nadzorczego: włoski organ ochrony danych (Garante) (otwiera się w nowej karcie). Użytkownicy w Polsce mogą również zwrócić się do Prezesa Urzędu Ochrony Danych Osobowych - UODO (www.uodo.gov.pl (otwiera się w nowej karcie)).

12. Małoletni

Aplikacja jest skierowana wyłącznie do użytkowników pełnoletnich (zarządców profesjonalnych). Nie zbiera świadomie danych małoletnich.

13. Zmiany w Polityce prywatności

Niniejsza informacja może być aktualizowana. Zmiany będą publikowane na tej stronie, a w przypadku istotnych zmian komunikowane e-mailem i w panelu sterowania z co najmniej 15-dniowym wyprzedzeniem.