INTEGRITETSPOLICY – VEZPA-APPEN FÖR SVERIGE

SE-1. Tillämpning av svensk dataskyddslagstiftning

Denna utgåva av integritetspolicyn för Vezpa-appen riktar sig till hotell, vandrarhem, pensionat, stugbyar och B&B-anläggningar med säte i Sverige, samt till svenska privatpersoner som driver verksamhet via Vezpa. Vezpa beaktar, utöver Europaparlamentets och rådets förordning (EU) 2016/679 (GDPR), följande svenska rättskällor i tillämpliga delar:

SE-1.1 Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen)

Dataskyddslagen kompletterar GDPR i Sverige och innehåller bland annat:

• 2 kap. dataskyddslagen - Rättsliga grunder: myndigheters och enskildas rättsliga grunder för att behandla personuppgifter. För kommersiella aktörer som svenska hotell gäller huvudsakligen artikel 6.1 b GDPR (avtal) och artikel 6.1 c GDPR (rättslig förpliktelse, t.ex. bokföringsskyldighet).
• 3 kap. dataskyddslagen - Känsliga personuppgifter: särskilda kategorier av personuppgifter (artikel 9 GDPR) får i Sverige behandlas i hotellverksamhet endast för att uppfylla en rättslig förpliktelse (t.ex. om gästens identitetshandling visar etniskt ursprung) eller med uttryckligt samtycke.
• 5 kap. dataskyddslagen - Sanktionsavgifter: svenska aktörer kan åläggas administrativa sanktionsavgifter upp till 20 miljoner euro eller 4 % av den globala årsomsättningen, beroende på överträdelsens art (i enlighet med artikel 83 GDPR).
• Hänvisning till offentlighetsprincipen: svenska privata aktörer är inte underkastade offentlighetsprincipen i tryckfrihetsförordningen, men avtalspartnern kan begära information om personuppgiftsbehandling enligt GDPR och dataskyddslagen.

SE-1.2 Integritetsskyddsmyndigheten (IMY)

I Sverige är Integritetsskyddsmyndigheten (IMY) (tidigare Datainspektionen) den oberoende tillsynsmyndighet som ansvarar för efterlevnaden av GDPR och dataskyddslagen. Svenska användare av Vezpa-appen kan rikta klagomål direkt till IMY enligt artikel 77 GDPR. IMY samverkar med italienska Garante för det gemensamma tillsynsförfarandet (one-stop-shop, artikel 60 GDPR).

Integritetsskyddsmyndigheten (IMY)
Box 8114, 104 20 Stockholm
Besöksadress: Drottninggatan 29, 5:e våningen
Telefon: 08-657 61 00
E-post: imy@imy.se
Webb: www.imy.se (öppnas i en ny flik)
Klagomålsformulär: imy.se/privatperson/lamna-klagomal/ (öppnas i en ny flik)

SE-1.3 Lag (2022:482) om elektronisk kommunikation - cookies och samtycke

Lag (2022:482) om elektronisk kommunikation (LEK) kräver samtycke för lagring av eller åtkomst till information som redan finns lagrad i en användares terminalutrustning (cookies, lokal lagring, fingerprinting). Vezpa-appen använder lokal lagring uteslutande för tekniskt nödvändiga ändamål (sessionshantering, cachning av offline-data, sparade inloggningsuppgifter med biometriskt skydd via Android EncryptedSharedPreferences eller iOS Keychain). Sådan lagring är undantagen från samtyckeskravet enligt samma lag, eftersom den är "absolut nödvändig" för tillhandahållandet av den tjänst som användaren uttryckligen begärt.

SE-1.4 Bokföringslagen (1999:1078) och kassaregisterlagen (2007:592)

Svenska användare av Vezpa-appen omfattas av följande lagstadgade lagringskrav som påverkar hur länge personuppgifter måste sparas:

• Bokföringslagen (1999:1078), 7 kap. 2 §: bokföringsmaterial ska bevaras under sju år efter utgången av det kalenderår då räkenskapsåret avslutades. Detta påverkar gästbokningsuppgifter som är kopplade till fakturor (gästnamn, ankomst-/avresedatum, faktureringsuppgifter).
• Kassaregisterlagen (2007:592): svenska näringsidkare med kontant- eller kortförsäljning över 4 prisbasbelopp/år (cirka 220 000 kr för 2026) måste använda certifierade kassaregister. Vezpa kan integreras med Sigma-godkända kassaregisterleverantörer för att uppfylla denna skyldighet, men ansvaret för certifieringen ligger hos den svenska användaren.
• Skatteförfarandelagen (2011:1244), 39 kap.: uppgifter om gästers nationalitet, vistelsetid och betalningsmetod kan behöva sparas för momsredovisning (Skatteverket). Den reducerade momssatsen 12 % för logitjänster (mervärdesskattelagen 7 kap. 1 §) registreras automatiskt av Vezpa när en svensk näringsidkare anger sitt momsregistreringsnummer (SE+10 siffror+01).

SE-1.5 Hotellanmälan och gästregister i Sverige

Sverige tillämpar lagen om hotell- och pensionatsrörelse (1966:742) som ålägger hotell, pensionat och liknande verksamhet att föra ett gästregister. Vezpa-appen genererar automatiskt ett digitalt gästregister som kan exporteras till PDF eller CSV på begäran från lokal polismyndighet. Lagringstiden för gästregistret är minst två år enligt 6 § samma lag. Vezpa raderar inte automatiskt gästregisterposter på svenska anläggningar förrän den fastställda lagringstiden har passerat och den personuppgiftsansvarige (anläggningens innehavare) har bekräftat att inga andra rättsliga grunder kräver fortsatt lagring.

SE-1.6 Konsumentskydd och alternativ tvistlösning

Svenska användare som agerar i egenskap av konsument (i fråga om det skydd som ges av lagen 2005:59 om distansavtal och avtal utanför affärslokaler) har rätt att vända sig till:

• Allmänna reklamationsnämnden (ARN): Box 174, 101 23 Stockholm. Webb: www.arn.se (öppnas i en ny flik) - kostnadsfri prövning av konsumenttvister.
• Konsumentverket / Hallå konsument: Box 48, 651 02 Karlstad. Telefon: 0771-525 525. Webb: www.hallakonsument.se (öppnas i en ny flik)

Vezpa är inte skyldigt och inte heller villigt att delta i tvistlösningsförfarande inför konsumenttvistnämnd, men förbehåller sig rätten att frivilligt delta i enskilda fall.

SE-1.7 Personuppgiftsincidenter — anmälan till IMY

Enligt artikel 33 GDPR är personuppgiftsansvarig skyldig att utan onödigt dröjsmål, och senast inom 72 timmar efter att ha fått kännedom om en personuppgiftsincident, anmäla incidenten till Integritetsskyddsmyndigheten (IMY). Vezpa agerar som personuppgiftsbiträde (artikel 28 GDPR) i förhållande till svenska anläggningar och informerar den personuppgiftsansvarige (anläggningens innehavare) utan onödigt dröjsmål — och i alla händelser inom 48 timmar, utom vid dokumenterad force majeure — efter upptäckten, så att anläggningen kan fullgöra sin egen anmälningsskyldighet. Anmälan till IMY görs via imy.se/verksamhet/personuppgiftsincidenter/ (öppnas i en ny flik). Vezpa tillhandahåller den dokumentation som krävs enligt artikel 33.3 GDPR (incidentens art, kategorier av personuppgifter, ungefärligt antal berörda registrerade, kontaktuppgifter till dataskyddsombud, sannolika konsekvenser, åtgärder för att minska negativa effekter).

SE-1.8 Marknadsföringslagen (2008:486) och direktmarknadsföring

Direktmarknadsföring via e-post, SMS eller andra elektroniska medel till svenska mottagare regleras av marknadsföringslagen (2008:486), 19 §, som kräver föregående samtycke från fysisk person (opt-in). Vezpa tillämpar opt-in-modellen för alla nyhetsbrev och marknadsföringsutskick till svenska adresser. Avregistrering är möjlig via länken längst ner i varje e-post eller via skriftlig begäran till info@vezpa.it med rubriken "Avregistrering — Sverige". För befintliga kundförhållanden (B2B) tillämpas mjuk opt-in enligt lagen (2022:482) om elektronisk kommunikation, med möjlighet att avregistrera sig från varje meddelande.

SE-1.9 Diskrimineringslagen (2008:567) — gästregistrering

Diskrimineringslagen (2008:567) förbjuder diskriminering inom området hotell, restaurang och andra tillhandahållanden av varor och tjänster på grund av kön, könsöverskridande identitet eller uttryck, etnisk tillhörighet, religion eller annan trosuppfattning, funktionsnedsättning, sexuell läggning eller ålder. Svenska anläggningar som använder Vezpa för gästregistrering bör säkerställa att urvalskriterier för bokningsacceptans inte är diskriminerande. Vezpa registrerar inte explicit information om gästens etniska tillhörighet, religion eller sexuella läggning i strukturerade fält — sådana uppgifter får endast finnas i identitetshandlingar som lagras enligt SE-1.5 ovan och behandlas under sträng åtkomstkontroll.

SE-1.10 Tillgänglighetsdirektivet (EAA) — svensk tillämpning

Lagen (2018:1937) om tillgänglighet till digital offentlig service samt European Accessibility Act (direktiv 2019/882, genomfört i Sverige via lagen 2023:254 om vissa produkters och tjänsters tillgänglighet) ställer krav på digital tillgänglighet. Vezpa-appen för Sverige följer WCAG 2.1 nivå AA. Eventuella brister i tillgängligheten rapporteras till info@vezpa.it med rubriken "Tillgänglighet — Sverige". Den fullständiga tillgänglighetsredogörelsen publiceras på vezpa.it/tillganglighetsutlatande.

SE-1.11 Reseskyddsförsäkring och betalningsfunktioner — svenska konsumenters skydd

Vezpas integration med Stripe för bokningsbetalningar är underkastad svensk konsumentskyddslagstiftning där betalaren är svensk konsument: konsumentkreditlagen (2010:1846), lagen (2010:751) om betaltjänster och betaltjänstdirektivet PSD2 (direktiv (EU) 2015/2366). Strong Customer Authentication (SCA) krävs för betalningar över 30 EUR enligt RTS för PSD2. Vezpa lagrar aldrig kortuppgifter på egna servrar — tokenisering sker hos Stripe, som är PCI-DSS Level 1-certifierad och har egna avtal med svenska Finansinspektionen (FI) som tredjepartsleverantör.

1. Personuppgiftsansvarig

Vezpa di Paolo Vezzola
Registrerat säte: Via San Zeno 67, 25015 Desenzano del Garda (BS), Italien
Momsreg.nr: 04449070988 · Skatteregistreringsnummer: VZZPLA84C10D284C
E-post: info@vezpa.it · PEC: lavezpa@pec.it

2. Tillämpningsområde

Denna information gäller för Vezpa-appen distribuerad via:

• Apple App Store (iOS, macOS) — Bundle ID: it.vezpa.pms
• Google Play Store (Android) — variant googleplay
• Microsoft Store (Windows) — MSIX
• Direkt installation (sideload) (Android APK, signerat Windows-installationsprogram) för användning, distribuerad direkt av den personuppgiftsansvarige

Användning av appen kräver att ett särskilt konto skapas för logianläggningen. Appen är avsedd för professionella användare som har fyllt 18 år (förvaltare av logianläggningar och deras behöriga personal).

3. Data som samlas in av appen

3.1 Användaruppgifter (förvaltare och personal)

• Personuppgifter: förnamn, efternamn, e-post, telefonnummer
• Logianläggningens uppgifter
• Inloggningsuppgifter (lösenord hashade på backend-sidan, aldrig överförda i klartext)
• Kontoidentifierare (User ID)
• Tilldelad roll (föreståndare, assistent, husfru, observatör)

3.2 Gästers uppgifter (Vezpa agerar som personuppgiftsbiträde)

Viktigt: anläggningen är personuppgiftsansvarig för gästernas uppgifter. Vezpa agerar som personuppgiftsbiträde enligt art. 28 GDPR, reglerat av DPA.

• Person- och kontaktuppgifter
• Identitetshandlingar skannade eller fotograferade via enhetens kamera, med OCR-extraktion av textuppgifter för att underlätta registrering
• Vistelse- och bokningsuppgifter

3.3 Tekniska uppgifter och användningsdata

• Enhetsidentifierare: modell, operativsystem, appversion
• Token för push-notiser (FCM): unik identifierare hanterad av Google Firebase för utskick av notiser
• SHA-256-hash av den betrodda enheten: genererad lokalt för att möjliggöra senare biometrisk åtkomst, giltig i 90 dagar från senaste användning
• Applikations- och diagnostikloggar: överförs i batch till backend via RemoteLogger för stabilitets- och säkerhetssyften; innehåller inte känslig personlig information
• IP-adress: insamlad av backend för säkerhetssyften

4. Behörigheter som appen begär

5. SDK och tjänster integrerade i appen

Vezpa integrerar inte SDK:er för beteendeanalys (t.ex. AppsFlyer, Mixpanel, Facebook SDK), reklam-SDK:er eller profilerings-SDK:er. Ingen spårning över appar enligt Apple App Tracking Transparency (ATT).

6. Behandlingens ändamål

• Tillhandahållande av Vezpa-appens funktioner (art. 6.1.b GDPR)
• Rättsliga skyldigheter rörande gästregistrering, delegerade av anläggningen (art. 6.1.c)
• Säkerhet, bedrägeriförebyggande, tjänstens stabilitet (art. 6.1.f, berättigat intresse)
• Hantering av abonnemang och betalningar (art. 6.1.b och 6.1.c)

Uppgifterna används inte för reklam-, profilerings- eller spårningssyften.

7. Behandlingsmetoder och säkerhet

• Överföring via HTTPS/TLS 1.2+
• Autentisering med roterande JWT (access 15 min, refresh 60 dagar med svartlistning)
• Secure Storage (Keychain / EncryptedSharedPreferences / DPAPI)
• 2FA TOTP valfritt
• Backend-servrar placerade i EU (Frankfurt) hos DigitalOcean
• Applikationsloggar övervakade för att upptäcka onormal åtkomst

8. Lagring och radering

Användaruppgifterna lagras under avtalets varaktighet + skattemässiga skyldigheter (10 år för fakturering).

Användaren kan begära radering av sitt konto via den särskilda funktionen i appen eller genom att skriva till den personuppgiftsansvarige. Vissa uppgifter kan lagras för rättsliga skyldigheter (fakturering, säkerhetsloggar).

Gästernas uppgifter (för vilka Vezpa är personuppgiftsbiträde) följer den personuppgiftsansvariges instruktioner enligt DPA.

9. Utlämnande av uppgifter

Uppgifterna säljs inte och sprids inte. De kan lämnas ut till de underbiträden som anges på vezpa.it/subprocessors och, begränsat till bokningsdata, till de OTA-kanaler som aktiverats av anläggningen.

För uppgifter som överförs till offentliga myndigheter (Polis, ISTAT, Feratel, SES, NTAK, eVisitor, SEF, UbyPort, eTurizem) hänvisas till den allmänna integritetspolicyn.

10. Överföringar utanför EU

Kommunikation med amerikanska leverantörer med DPF-certifiering (Google/Firebase, Google Cloud Translation, Stripe, Microsoft, DigitalOcean) sker på grundval av EU-U.S. Data Privacy Framework (Beslut (EU) 2023/1795). Apple deltar inte i DPF: avtalsförhållandet för EU-användare är med Apple Distribution International Ltd (Irland) och eventuella överföringar till Apple Inc. (USA) regleras av SCC 2021/914. Kommunikation med STAAH (channel manager) sker på grundval av EU:s beslut om adekvat skyddsnivå för Nya Zeeland (2013/65/EU). Tuya (Kina, valfritt) regleras av SCC 2021/914.

11. Användarens rättigheter

Enligt art. 15-22 GDPR kan användaren utöva rättigheter avseende tillgång, rättelse, radering, begränsning, dataportabilitet och invändning. Förfrågningar kan lämnas via appen, eller till info@vezpa.it.

Klagomål till tillsynsmyndigheten: italienska dataskyddsmyndigheten (Garante) (öppnas i en ny flik). Användare i Sverige kan också kontakta Integritetsskyddsmyndigheten - IMY (www.imy.se (öppnas i en ny flik)).

12. Minderåriga

Appen är uteslutande avsedd för myndiga användare (professionella förvaltare). Den samlar inte medvetet in uppgifter om minderåriga.

13. Ändringar av integritetspolicyn

Denna information kan uppdateras. Ändringarna kommer att publiceras på denna sida och, om de är väsentliga, meddelas via e-post och instrumentpanelen med minst 15 dagars varsel.