PRIVACY POLICY – APP VEZPA

1. Titolare del Trattamento

Vezpa di Paolo Vezzola
Sede legale: Via San Zeno 67, 25015 Desenzano del Garda (BS), Italia
P.IVA: 04449070988 · C.F.: VZZPLA84C10D284C
Email: info@vezpa.it · PEC: lavezpa@pec.it

2. Ambito di Applicazione

La presente informativa si applica all'App Vezpa distribuita tramite:

• Apple App Store (iOS, macOS) — Bundle ID: it.vezpa.pms
• Google Play Store (Android) — flavour googleplay
• Microsoft Store (Windows) — MSIX
• Sideload diretto (APK Android, installer Windows firmato) per uso distribuito direttamente dal Titolare

L'utilizzo dell'app richiede creazione di un account dedicato alla struttura ricettiva. L'app è destinata a utenti professionali maggiori di 18 anni (gestori di strutture ricettive e loro personale autorizzato).

3. Dati raccolti dall'App

3.1 Dati degli utenti (Gestori e personale)

• Dati anagrafici: nome, cognome, email, numero di telefono
• Dati della struttura ricettiva
• Credenziali (password hashed lato backend, mai trasmesse in chiaro)
• Identificativi account (User ID)
• Ruolo assegnato (direttore, assistente, governante, osservatore)

3.2 Dati degli ospiti (Vezpa agisce come Responsabile)

Importante: i dati degli ospiti sono di titolarità della struttura. Vezpa agisce come Responsabile del trattamento ai sensi dell'art. 28 GDPR, regolato dal DPA.

• Dati anagrafici e di contatto
• Documenti di identità scansionati o fotografati tramite la fotocamera del dispositivo, con estrazione OCR dei dati testuali per facilitare la registrazione
• Dati di soggiorno e prenotazione

3.3 Dati tecnici e di utilizzo

• Identificativi del dispositivo: modello, sistema operativo, versione app
• Token notifiche push (FCM): identificatore univoco gestito da Google Firebase per l'invio di notifiche
• Hash SHA-256 del dispositivo fiduciato: generato localmente per consentire accesso biometrico successivo, scadenza 90 giorni dall'ultimo uso
• Log applicativi e diagnostici: trasmessi in batch al backend tramite RemoteLogger per finalità di stabilità e sicurezza; non contengono contenuto personale sensibile
• Indirizzo IP: raccolto dal backend a fini di sicurezza

4. Permessi richiesti dall'App

5. SDK e servizi integrati nell'App

Vezpa non integra SDK di analytics comportamentali (es. AppsFlyer, Mixpanel, Facebook SDK), SDK pubblicitari né SDK di profilazione. Nessun tracciamento cross-app ai sensi dell'Apple App Tracking Transparency (ATT).

6. Finalità del Trattamento

• Fornitura delle funzionalità dell'App Vezpa (art. 6.1.b GDPR)
• Adempimenti di legge relativi alla registrazione degli ospiti, delegati dalla struttura (art. 6.1.c)
• Sicurezza, prevenzione frodi, stabilità del servizio (art. 6.1.f, legittimo interesse)
• Gestione abbonamenti e pagamenti (art. 6.1.b e 6.1.c)

I dati non sono utilizzati per finalità pubblicitarie, di profilazione o di tracciamento.

7. Modalità di Trattamento e Sicurezza

• Trasmissione tramite HTTPS/TLS 1.2+
• Autenticazione con JWT a rotazione (access 15 min, refresh 60 giorni con blacklist)
• Secure Storage sistema (Keychain / EncryptedSharedPreferences / DPAPI)
• 2FA TOTP opzionale
• Server backend ubicati in UE (Francoforte) su DigitalOcean
• Log applicativi monitorati per rilevare accessi anomali

8. Conservazione e Cancellazione

I dati degli utenti sono conservati per la durata del contratto + obblighi fiscali (10 anni per fatturazione).

L'utente può richiedere la cancellazione dell'account tramite la funzione dedicata nell'app o scrivendo al Titolare. Alcuni dati potrebbero essere conservati per obblighi di legge (fatturazione, log di sicurezza).

I dati degli ospiti (di cui Vezpa è Responsabile) seguono le istruzioni del Titolare secondo quanto regolato dal DPA.

9. Comunicazione dei Dati

I dati non vengono venduti né diffusi. Possono essere comunicati ai sub-responsabili elencati a vezpa.it/subprocessors e, limitatamente ai dati di prenotazione, ai canali OTA attivati dalla struttura.

Per i dati trasmessi alle autorità pubbliche (Questura, ISTAT, Feratel, SES, NTAK, eVisitor, SEF, UbyPort, eTurizem) si rinvia alla Privacy Policy generale.

10. Trasferimenti Extra-UE

Le comunicazioni con i fornitori USA certificati DPF (Google/Firebase, Google Cloud Translation, Stripe, Microsoft, DigitalOcean) avvengono sulla base dell'EU-U.S. Data Privacy Framework (Decisione UE 2023/1795). Apple non aderisce al DPF: il rapporto contrattuale per gli utenti UE è con Apple Distribution International Ltd (Irlanda) ed eventuali trasferimenti verso Apple Inc. (USA) sono governati da SCC 2021/914. Le comunicazioni con STAAH (channel manager) avvengono sulla base della Decisione di adeguatezza UE per la Nuova Zelanda (2013/65/UE). Tuya (Cina, opzionale) è regolato da SCC 2021/914.

Utenti in Australia, Giappone e Singapore. Vezpa archivia e tratta i dati personali su infrastruttura ubicata nell'Unione Europea (server DigitalOcean, regione Francoforte). Per gli utenti che si trovano in questi Paesi si applicano, in aggiunta al GDPR, i rispettivi quadri normativi locali:

• Giappone — Act on the Protection of Personal Information (APPI): i flussi di dati tra UE e Giappone sono coperti dalla decisione di adeguatezza reciproca UE-Giappone del 23 gennaio 2019. Autorità di controllo competente: Personal Information Protection Commission (PPC).
• Australia — Privacy Act 1988 e Australian Privacy Principles (APP): la comunicazione dei dati verso l'Unione Europea è disciplinata dall'APP 8 (cross-border disclosure) e l'UE assicura un livello di protezione equivalente.
• Singapore — Personal Data Protection Act 2012 (PDPA): il trasferimento verso l'Unione Europea soddisfa l'obbligo di protezione comparabile (Transfer Limitation Obligation) previsto dal PDPA. Un contatto per la protezione dei dati è disponibile a info@vezpa.it.

11. Diritti dell'Utente

Ai sensi degli artt. 15-22 GDPR, l'utente può esercitare diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione. Le richieste possono essere inoltrate tramite l'app, oppure a info@vezpa.it.

Reclami all'autorità di controllo: Garante per la Protezione dei Dati Personali (si apre in una nuova scheda).

12. Minori

L'App è destinata esclusivamente a utenti maggiorenni (gestori professionali). Non raccoglie consapevolmente dati di minori.

13. Modifiche alla Privacy Policy

La presente informativa può essere aggiornata. Le modifiche saranno pubblicate su questa pagina e, se sostanziali, comunicate via email e dashboard con almeno 15 giorni di preavviso.