Integritetspolicy Vezpa App för Sverige (IMY, Dataskyddslagen, GDPR)

SE-1. Tillämpning av svensk dataskyddslagstiftning

Denna utgåva av integritetspolicyn för Vezpa-appen riktar sig till hotell, vandrarhem, pensionat, stugbyar och B&B-anläggningar med säte i Sverige, samt till svenska privatpersoner som driver verksamhet via Vezpa. Vezpa beaktar, utöver Europaparlamentets och rådets förordning (EU) 2016/679 (GDPR), följande svenska rättskällor i tillämpliga delar:

SE-1.1 Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen)

Dataskyddslagen kompletterar GDPR i Sverige och innehåller bland annat:

2 kap. dataskyddslagen - Rättsliga grunder: myndigheters och enskildas rättsliga grunder för att behandla personuppgifter. För kommersiella aktörer som svenska hotell gäller huvudsakligen artikel 6.1 b GDPR (avtal) och artikel 6.1 c GDPR (rättslig förpliktelse, t.ex. bokföringsskyldighet).
3 kap. dataskyddslagen - Känsliga personuppgifter: särskilda kategorier av personuppgifter (artikel 9 GDPR) får i Sverige behandlas i hotellverksamhet endast för att uppfylla en rättslig förpliktelse (t.ex. om gästens identitetshandling visar etniskt ursprung) eller med uttryckligt samtycke.
5 kap. dataskyddslagen - Sanktionsavgifter: svenska aktörer kan åläggas administrativa sanktionsavgifter upp till 20 miljoner euro eller 4 % av den globala årsomsättningen, beroende på överträdelsens art (i enlighet med artikel 83 GDPR).
Hänvisning till offentlighetsprincipen: svenska privata aktörer är inte underkastade offentlighetsprincipen i tryckfrihetsförordningen, men avtalspartnern kan begära information om personuppgiftsbehandling enligt GDPR och dataskyddslagen.

SE-1.2 Integritetsskyddsmyndigheten (IMY)

I Sverige är Integritetsskyddsmyndigheten (IMY) (tidigare Datainspektionen) den oberoende tillsynsmyndighet som ansvarar för efterlevnaden av GDPR och dataskyddslagen. Svenska användare av Vezpa-appen kan rikta klagomål direkt till IMY enligt artikel 77 GDPR. IMY samverkar med italienska Garante för det gemensamma tillsynsförfarandet (one-stop-shop, artikel 60 GDPR).

Integritetsskyddsmyndigheten (IMY)
Box 8114, 104 20 Stockholm
Besöksadress: Drottninggatan 29, 5:e våningen
Telefon: 08-657 61 00
E-post: [email protected]
Webb: www.imy.se
Klagomålsformulär: imy.se/privatperson/lamna-klagomal/

SE-1.3 Lag (2003:389) om elektronisk kommunikation - cookies och samtycke

Lag (2003:389) om elektronisk kommunikation (LEK), 6 kap. 18 §, kräver samtycke för lagring av eller åtkomst till information som redan finns lagrad i en användares terminalutrustning (cookies, lokal lagring, fingerprinting). Vezpa-appen använder lokal lagring uteslutande för tekniskt nödvändiga ändamål (sessionshantering, cachning av offline-data, sparade inloggningsuppgifter med biometriskt skydd via Android EncryptedSharedPreferences eller iOS Keychain). Sådan lagring är undantagen från samtyckeskravet enligt 6 kap. 18 § andra stycket LEK, eftersom den är "absolut nödvändig" för tillhandahållandet av den tjänst som användaren uttryckligen begärt.

SE-1.4 Bokföringslagen (1999:1078) och kassaregisterlagen (2007:592)

Svenska användare av Vezpa-appen omfattas av följande lagstadgade lagringskrav som påverkar hur länge personuppgifter måste sparas:

Bokföringslagen (1999:1078), 7 kap. 2 §: bokföringsmaterial ska bevaras under sju år efter utgången av det kalenderår då räkenskapsåret avslutades. Detta påverkar gästbokningsuppgifter som är kopplade till fakturor (gästnamn, ankomst-/avresedatum, faktureringsuppgifter).
Kassaregisterlagen (2007:592): svenska näringsidkare med kontant- eller kortförsäljning över 4 prisbasbelopp/år (cirka 220 000 kr för 2026) måste använda certifierade kassaregister. Vezpa kan integreras med Sigma-godkända kassaregisterleverantörer för att uppfylla denna skyldighet, men ansvaret för certifieringen ligger hos svenska användaren.
Skatteförfarandelagen (2011:1244), 39 kap.: uppgifter om gästers nationalitet, vistelsetid och betalningsmetod kan behöva sparas för momsredovisning (Skatteverket). Den reducerade momssatsen 12 % för logitjänster (mervärdesskattelagen 7 kap. 1 §) registreras automatiskt av Vezpa när svensk näringsidkare anger sitt momsregistreringsnummer (SE+10 siffror+01).

SE-1.5 Hotellanmälan och gästregister i Sverige

Sverige tillämpar lagen om hotell- och pensionatsrörelse (1966:742) som ålägger hotell, pensionat och liknande verksamhet att föra ett gästregister. Vezpa-appen genererar automatiskt ett digitalt gästregister som kan exporteras till PDF eller CSV på begäran från lokal polismyndighet. Lagringstiden för gästregistret är minst två år enligt 6 § av samma lag. Vezpa raderar inte automatiskt gästregisterpost på svenska anläggningar förrän den fastställda lagringstiden har passerat och den personuppgiftsansvarige (anläggningens innehavare) har bekräftat att inga andra rättsliga grunder kräver fortsatt lagring.

SE-1.6 Konsumentskydd och alternativ tvistlösning

Svenska användare som agerar i egenskap av konsument (avseende skyddsbehovet av lagen 2005:59 om distansavtal och avtal utanför affärslokaler) har rätt att vända sig till:

Allmänna reklamationsnämnden (ARN): Box 174, 101 23 Stockholm. Webb: www.arn.se - kostnadsfri prövning av konsumenttvister.
Konsumentverket / Hallå konsument: Box 48, 651 02 Karlstad. Telefon: 0771-525 525. Webb: www.hallakonsument.se
EU-kommissionens plattform för tvistlösning online: ec.europa.eu/consumers/odr enligt förordning (EU) 524/2013.

Vezpa är inte skyldigt och inte heller villigt att delta i tvistlösningsförfarande inför konsumenttvistnämnd, men förbehåller sig rätten att fakultativt delta i enskilda fall.

SE-1.7 Personuppgiftsincidenter — anmälan till IMY

Enligt artikel 33 GDPR är personuppgiftsansvarig skyldig att utan onödigt dröjsmål, och senast inom 72 timmar efter att ha fått kännedom om en personuppgiftsincident, anmäla incidenten till Integritetsskyddsmyndigheten (IMY). Vezpa agerar som personuppgiftsbiträde (artikel 28 GDPR) i förhållande till svenska anläggningar och informerar den personuppgiftsansvarige (anläggningens innehavare) utan onödigt dröjsmål — och i alla händelser inom 24 timmar — efter upptäckten, så att anläggningen kan fullgöra sin egen anmälningsskyldighet. Anmälan till IMY görs via imy.se/verksamhet/personuppgiftsincidenter/. Vezpa tillhandahåller den dokumentation som krävs enligt artikel 33.3 GDPR (incidentens art, kategorier av personuppgifter, ungefärligt antal berörda registrerade, kontaktuppgifter till dataskyddsombud, sannolika konsekvenser, åtgärder för att minska negativa effekter).

SE-1.8 Marknadsföringslagen (2008:486) och direktmarknadsföring

Direktmarknadsföring via e-post, SMS eller andra elektroniska medel till svenska mottagare regleras av marknadsföringslagen (2008:486), 19 §, som kräver föregående samtycke från fysisk person (opt-in). Vezpa tillämpar opt-in-modellen för alla nyhetsbrev och marknadsföringsutskick till svenska adresser. Avregistrering är möjlig via länken längst ner i varje e-post eller via skriftlig begäran till [email protected] med rubriken "Avregistrering — Sverige". För befintliga kundförhållanden (B2B) tillämpas mjuk opt-in enligt 6 kap. 19 § lagen (2003:389) om elektronisk kommunikation, med möjlighet att avregistrera sig från varje meddelande.

SE-1.9 Diskrimineringslagen (2008:567) — gästregistrering

Diskrimineringslagen (2008:567) förbjuder diskriminering inom området hotell, restaurang och andra tillhandahållanden av varor och tjänster på grund av kön, könsöverskridande identitet eller uttryck, etnisk tillhörighet, religion eller annan trosuppfattning, funktionsnedsättning, sexuell läggning eller ålder. Svenska anläggningar som använder Vezpa för gästregistrering bör säkerställa att urvalskriterier för bokningsacceptans inte är diskriminerande. Vezpa registrerar inte explicit information om gästens etniska tillhörighet, religion eller sexuella läggning i strukturerade fält — sådana uppgifter får endast finnas i identitetshandlingar som lagras enligt SE-1.5 ovan och behandlas under sträng åtkomstkontroll.

SE-1.10 Tillgänglighetsdirektivet (EAA) — svensk tillämpning

Lagen (2018:1937) om tillgänglighet till digital offentlig service samt European Accessibility Act (direktiv 2019/882, genomfört i Sverige via lagen 2023:254 om vissa produkters och tjänsters tillgänglighet) ställer krav på digital tillgänglighet. Vezpa-appen för Sverige följer WCAG 2.1 nivå AA. Eventuella brister i tillgängligheten rapporteras till [email protected] med rubriken "Tillgänglighet — Sverige". Den fullständiga tillgänglighetsredogörelsen publiceras på vezpa.it/tillganglighetsutlatande.

SE-1.11 Reseskyddsförsäkring och betalningsfunktioner — svenska konsumenters skydd

Vezpas integration med Stripe för bokningsbetalningar är underkastad svensk konsumentskyddslagstiftning där betalaren är svensk konsument: konsumentkreditlagen (2010:1846), lagen (2010:751) om betaltjänster och betaltjänstdirektivet PSD2 (direktiv (EU) 2015/2366). Strong Customer Authentication (SCA) krävs för betalningar över 30 EUR enligt RTS för PSD2. Vezpa lagrar aldrig kortuppgifter på egna servrar — tokenisering sker hos Stripe, som är PCI-DSS Level 1-certifierad och har egna avtal med svenska Finansinspektionen (FI) som tredjepartsleverantör.

1. Personuppgiftsansvarig

Vezpa di Paolo Vezzola
Registrerat sate: Via San Zeno 67, 25015 Desenzano del Garda (BS), Italien
Momsreg.nr: 04449070988 · Skatteregistreringsnummer: VZZPLA84C10D284C
E-post: [email protected] · PEC: [email protected]

2. Tillampningsomrade

Denna information galler for Vezpa-appen distribuerad via:

Apple App Store (iOS, macOS) — Bundle ID: it.vezpa.pms
Google Play Store (Android) — flavour googleplay
Microsoft Store (Windows) — MSIX
Direkt sideload (Android APK, signerat Windows-installationsprogram) for anvandning som distribueras direkt av den personuppgiftsansvarige

Anvandning av appen kraver skapande av ett konto dedikerat till logianlaggningen. Appen ar avsedd for professionella anvandare over 18 ar (forvaltare av logianlaggningar och deras behoriga personal).

3. Data som samlas in av appen

3.1 Anvandaruppgifter (forvaltare och personal)

Personuppgifter: fornamn, efternamn, e-post, telefonnummer
Logianlaggningens uppgifter
Inloggningsuppgifter (losenord hashade pa backend-sidan, aldrig overforda i klartext)
Kontoidentifierare (User ID)
Tilldelad roll (direktor, assistent, stadare, observator)

3.2 Gasters uppgifter (Vezpa agerar som personuppgiftsbitrade)

Viktigt: gasternas uppgifter agas av anlaggningen. Vezpa agerar som personuppgiftsbitrade enligt art. 28 GDPR, reglerat av DPA.

Person- och kontaktuppgifter
Identitetshandlingar skannade eller fotograferade via enhetens kamera, med OCR-extraktion av textuppgifter for att underlatta registrering
Vistelse- och bokningsuppgifter

3.3 Tekniska uppgifter och anvandningsdata

Enhetsidentifierare: modell, operativsystem, appversion
Push-notisstokens (FCM): unik identifierare hanterad av Google Firebase for utskick av notiser
SHA-256-hash av den betrodda enheten: genererad lokalt for att mojliggora senare biometrisk atkomst, utgang 90 dagar fran senaste anvandning
Tillampnings- och diagnostikloggar: overfors i batch till backend via RemoteLogger for stabilitets- och sakerhetssyften; innehaller inte kanslig personlig information
IP-adress: insamlad av backend for sakerhetssyften

4. Behorigheter som appen begar

Behorighet	Andamal	Obligatorisk
Kamera	Insamling av bilder av gasternas identitetshandlingar for OCR och for inlamning till myndigheter	Valfri (alternativ: manuell inmatning)
Push-notiser	Mottagning av notiser om nya bokningar, incheckningar, gastforfragningar	Valfri (appen fungerar utan)
Biometrisk autentisering (Face ID / Touch ID / fingeravtryck / Windows Hello)	Snabb inloggning efter forsta autentiseringen med losenord. Biometriska uppgifter lamnar aldrig enheten och delas inte med Vezpa.	Valfri
Lagring / Filer	Lokal sparning av PDF-rapporter, fakturor, AlloggiatiWeb-blanketter genererade av appen	Valfri
Internet	Kommunikation med Vezpas servrar	Obligatorisk
REQUEST_INSTALL_PACKAGES (endast Android sideload)	Automatisk installation av uppdateringar via APK nedladdat fran Vezpas servrar. Ingar inte i Google Play-versionen.	Kravs endast for sideload flavour

5. SDK och tjanster integrerade i appen

SDK / Tjanst	Leverantor	Andamal	Behandlade data
Firebase Cloud Messaging (FCM)	Google LLC / Google Ireland Ltd	Utskick av push-notiser	Enhetstoken, tekniska identifierare
StoreKit / Google Play Billing / Microsoft Store	Apple Inc. / Google LLC / Microsoft Corp.	Hantering av in-app-kop och abonnemang	Kop-token, abonnemangsstatus, store-konto-ID
Stripe SDK (endast betalningar pa gastsida)	Stripe Payments Europe Ltd	Behandling av kortbetalningar	Kortuppgifter hanterade av Stripe, inte overforda till Vezpa
local_auth (biometri)	Operativsystemet (Apple / Google / Microsoft)	Lokal biometrisk upplasning	Inga biometriska uppgifter overfors till Vezpa
Flutter Secure Storage	Plattform (Keychain iOS/macOS, EncryptedSharedPreferences Android, DPAPI Windows)	Lokal lagring av JWT-tokens och inloggningsuppgifter	Refresh-tokens, krypterade av operativsystemet
share_plus	Open Source	Delning av filer (PDF, rapporter) med systemapps	Filer valda av anvandaren

Vezpa integrerar inte SDK:er for beteendeanalys (t.ex. AppsFlyer, Mixpanel, Facebook SDK), reklam-SDK:er eller profilerings-SDK:er. Ingen spårning over appar enligt Apple App Tracking Transparency (ATT).

6. Behandlingens andamal

Tillhandahallande av Vezpa-appens funktioner (art. 6.1.b GDPR)
Rattsliga skyldigheter rorande gastregistrering, delegerade av anlaggningen (art. 6.1.c)
Sakerhet, bedragerifoebyggande, tjansteleverans (art. 6.1.f, berattigat intresse)
Hantering av abonnemang och betalningar (art. 6.1.b och 6.1.c)

Uppgifterna anvands inte for reklam-, profilerings- eller spårningssyften.

7. Behandlingsmetoder och sakerhet

Overforing via HTTPS/TLS 1.2+
Autentisering med roterande JWT (access 15 min, refresh 180 dagar med svartlistning)
Secure Storage (Keychain / EncryptedSharedPreferences / DPAPI)
2FA TOTP valfritt
Backend-servrar placerade i EU (Frankfurt) hos DigitalOcean
Tillampningsloggar overvakade for att upptacka avvikelser

8. Lagring och radering

Anvandaruppgifterna lagras under avtalets varaktighet + skatteplikt (10 ar for fakturering).

Anvandaren kan begara radering av sitt konto via den dedikerade funktionen i appen eller genom att skriva till den personuppgiftsansvarige. Vissa uppgifter kan lagras for rattsliga skyldigheter (fakturering, sakerhetsloggar).

Gasternas uppgifter (for vilka Vezpa ar personuppgiftsbitrade) foljer den personuppgiftsansvariges instruktioner enligt DPA.

9. Kommunikation av uppgifter

Uppgifterna saljs inte eller sprids. De kan kommuniceras till de underbitraden som anges pa vezpa.it/subprocessors och, begransat till bokningsdata, till de OTA-kanaler som aktiverats av anlaggningen.

For uppgifter som overfors till offentliga myndigheter (Polis, ISTAT, Feratel, SES, NTAK, eVisitor, SEF, UbyPort, eTurizem) hanvisas till den allmanna integritetspolicyn.

10. Overforingar utanfor EU

Kommunikation med amerikanska leverantorer med DPF-certifiering (Google/Firebase, Stripe, Microsoft, DigitalOcean) sker pa grundval av EU-U.S. Data Privacy Framework (Beslut (EU) 2023/1795). Apple deltar inte i DPF: avtalsforhallandet for EU-anvandare ar med Apple Distribution International Ltd (Irland) och eventuella overforingar till Apple Inc. (USA) regleras av SCC 2021/914. Kommunikation med STAAH (channel manager) sker pa grundval av EU:s beslut om adekvat skyddsniva for Nya Zeeland (2013/65/EU). Tuya (Kina, valfritt) regleras av SCC 2021/914.

11. Anvandarens rattigheter

Enligt art. 15-22 GDPR kan anvandaren utova rattigheter avseende tillgang, rattelse, radering, begransning, dataportabilitet och invandning. Forfragningar kan lamnas via appen, eller till [email protected].

Klagomal till tillsynsmyndigheten: italienska dataskyddsmyndigheten (Garante). Anvandare i Sverige kan ocksa kontakta Integritetsskyddsmyndigheten - IMY (www.imy.se).

12. Minderariga

Appen ar uteslutande avsedd for myndiga anvandare (professionella forvaltare). Den samlar inte medvetet in uppgifter om minderariga.

13. Andringar av integritetspolicyn

Denna information kan uppdateras. Andringarna kommer att publiceras pa denna sida och, om de ar vasentliga, meddelas via e-post och dashboard med minst 15 dagars varsel.

INTEGRITETSPOLICY – VEZPA APP FÖR SVERIGE