POLITIKA ZASEBNOSTI - APLIKACIJA VEZPA

1. Upravljavec osebnih podatkov

Vezpa di Paolo Vezzola
Sedež: Via San Zeno 67, 25015 Desenzano del Garda (BS), Italija
ID za DDV: 04449070988 - Davčna številka: VZZPLA84C10D284C
E-pošta: info@vezpa.it - PEC: lavezpa@pec.it

2. Področje uporabe

To obvestilo velja za aplikacijo Vezpa, distribuirano prek:

• Apple App Store (iOS, macOS) - Bundle ID: it.vezpa.pms
• Google Play Store (Android) - različica googleplay
• Microsoft Store (Windows) - MSIX
• Neposredna namestitev (sideload) (Android APK, podpisan Windows namestitveni program), ki jo neposredno distribuira Upravljavec

Uporaba aplikacije zahteva izdelavo namenskega računa za nastanitveni objekt. Aplikacija je namenjena profesionalnim uporabnikom, starim več kot 18 let (upravljavci nastanitvenih objektov in njihovo pooblaščeno osebje).

3. Podatki, ki jih zbira aplikacija

3.1 Podatki uporabnikov (upravljavci in osebje)

• Osnovni osebni podatki: ime, priimek, e-pošta, telefonska številka
• Podatki o nastanitvenem objektu
• Poverilnice (gesla zgoščena v zaledju, nikoli prenesena nešifrirana)
• Identifikatorji računa (User ID)
• Dodeljena vloga (vodja, pomočnik, gospodinja, opazovalec)

3.2 Podatki gostov (Vezpa deluje kot Obdelovalec)

Pomembno: upravljavec podatkov gostov je objekt. Vezpa deluje kot Obdelovalec v skladu z 28. členom GDPR, kar ureja DPA.

• Osnovni osebni in kontaktni podatki
• Osebni dokumenti, skenirani ali fotografirani s kamero naprave, z izluščanjem besedilnih podatkov z OCR za lažjo prijavo
• Podatki o bivanju in rezervaciji

3.3 Tehnični in uporabniški podatki

• Identifikatorji naprave: model, operacijski sistem, različica aplikacije
• Žeton push obvestil (FCM): enolični identifikator, ki ga upravlja Google Firebase za pošiljanje obvestil
• Zgoščena vrednost SHA-256 zaupanja vredne naprave: ustvarjena lokalno za omogočanje naslednjega biometričnega dostopa, poteče 90 dni od zadnje uporabe
• Dnevniki aplikacije in diagnostike: prenašajo se v paketih v zaledje prek RemoteLogger zaradi stabilnosti in varnosti; ne vsebujejo občutljivih osebnih vsebin
• IP naslov: zbira ga zaledje za varnostne namene

4. Dovoljenja, ki jih zahteva aplikacija

5. SDK in storitve, integrirane v aplikacijo

Vezpa ne integrira SDK za vedenjsko analitiko (npr. AppsFlyer, Mixpanel, Facebook SDK), oglaševalskih SDK ali SDK za profiliranje. Ni navzkrižnega sledenja med aplikacijami v smislu Apple App Tracking Transparency (ATT).

6. Nameni obdelave

• Zagotavljanje funkcionalnosti aplikacije Vezpa (čl. 6.1.b GDPR)
• Zakonske obveznosti v zvezi s prijavo gostov, ki jih prenese objekt (čl. 6.1.c)
• Varnost, preprečevanje goljufij, stabilnost storitve (čl. 6.1.f, zakoniti interes)
• Upravljanje naročnin in plačil (čl. 6.1.b in 6.1.c)

Podatki se ne uporabljajo za namene oglaševanja, profiliranja ali sledenja.

7. Način obdelave in varnost

• Prenos prek HTTPS/TLS 1.2+
• Avtentikacija z JWT z rotacijo (access 15 min, refresh 60 dni s črnim seznamom)
• Varna hramba sistema (Keychain / EncryptedSharedPreferences / DPAPI)
• Neobvezno 2FA TOTP
• Zaledni strežniki v EU (Frankfurt) pri DigitalOcean
• Aplikacijski dnevniki, spremljani za zaznavanje nepravilnih dostopov

8. Hramba in izbris

Podatki uporabnikov se hranijo za trajanje pogodbe + davčne obveznosti (10 let za izdajo računov).

Uporabnik lahko zahteva izbris računa prek namenske funkcije v aplikaciji ali tako, da piše Upravljavcu. Nekatere podatke bo morda treba hraniti zaradi zakonskih obveznosti (izdaja računov, varnostni dnevniki).

Podatki gostov (za katere je Vezpa Obdelovalec) sledijo navodilom Upravljavca v skladu s DPA.

9. Sporočanje podatkov

Podatki se ne prodajajo niti ne razširjajo. Lahko se sporočajo dodatnim obdelovalcem, navedenim na vezpa.it/subprocessors, in, omejeno na podatke o rezervaciji, OTA kanalom, ki jih je aktiviral objekt.

Za podatke, posredovane javnim organom (Policija, ISTAT, Feratel, SES, NTAK, eVisitor, SEF, UbyPort, eTurizem), glejte splošno Politiko zasebnosti.

10. Prenosi izven EU

Komunikacije s ponudniki iz ZDA z aktivno certifikacijo DPF (Google/Firebase, Google Cloud Translation, Stripe, Microsoft, DigitalOcean) potekajo na podlagi EU-U.S. Data Privacy Framework (Sklep (EU) 2023/1795). Apple ne sodeluje pri DPF: pogodbeno razmerje za uporabnike EU je sklenjeno z Apple Distribution International Ltd (Irska), morebitni prenosi k Apple Inc. (ZDA) pa so urejeni s SCC 2021/914. Komunikacije s STAAH (channel manager) potekajo na podlagi sklepa EU o ustreznosti za Novo Zelandijo (2013/65/EU). Tuya (Kitajska, neobvezno) je urejen s SCC 2021/914.

11. Pravice uporabnika

V skladu s čl. 15-22 GDPR lahko uporabnik uveljavlja pravice do dostopa, popravka, izbrisa, omejitve, prenosljivosti in ugovora. Zahtevke lahko pošljete prek aplikacije ali na info@vezpa.it.

Pritožbe nadzornemu organu: italijanski organ za varstvo podatkov (Garante) (odpre se v novem zavihku). Uporabniki v Sloveniji se lahko obrnejo tudi na Informacijskega pooblaščenca (www.ip-rs.si (odpre se v novem zavihku)).

12. Mladoletniki

Aplikacija je namenjena izključno polnoletnim uporabnikom (profesionalni upravljavci). Zavestno ne zbira podatkov mladoletnikov.

13. Spremembe politike zasebnosti

To obvestilo se lahko posodobi. Spremembe bodo objavljene na tej strani in, če so bistvene, sporočene po e-pošti in prek nadzorne plošče vsaj 15 dni vnaprej.