POLITIQUE DE CONFIDENTIALITÉ
Vezpa - Property Management System
Dernière mise à jour : 2 novembre 2026
1. Responsable du traitement
Le Responsable du traitement des données à caractère personnel est :
Vezpa di Paolo Vezzola
Siège social : Via San Zeno 67, 25015 Desenzano del Garda (BS), Italie
TVA : 04449070988
Code fiscal : VZZPLA84C10D284C
Email : info@vezpa.it
PEC : lavezpa@pec.it
2. Champ d'application
La présente Politique de confidentialité s'applique à la plateforme Vezpa PMS (web, ordinateur et mobile) ainsi qu'aux pages du site web sur lesquelles elle est publiée.
3. Données à caractère personnel collectées
3.1 Données des utilisateurs du service (gestionnaires d'établissements)
Lorsque vous vous inscrivez à Vezpa en tant que gestionnaire d'un établissement d'hébergement, nous collectons :
- Données d'identité : nom, prénom, adresse électronique, numéro de téléphone
- Données de l'établissement : nom, adresse, typologie, numéro de TVA
- Données de facturation : adresse de facturation, code fiscal/TVA, code unique/PEC
- Identifiants d'accès : adresse électronique et mot de passe (chiffré)
- Données de paiement : traitées via des prestataires externes certifiés PCI-DSS (nous ne conservons pas directement les données de cartes de crédit)
3.2 Données des clients des établissements
Pour le compte des gestionnaires des établissements (en qualité de Sous-traitant au sens de l'art. 28 RGPD, régi par le DPA), le système collecte :
- Données d'identification : nom, prénom, lieu et date de naissance, nationalité, genre
- Documents d'identité : type, numéro, lieu et date de délivrance, scan ou photographie du document. Ces images peuvent être traitées par OCR automatique pour l'extraction des données textuelles. L'OCR est utilisé uniquement pour faciliter la saisie des données par l'opérateur de l'établissement, sans finalité analytique, de profilage ni décisionnelle autonome ; aucune donnée biométrique dérivée n'est conservée.
- Données de contact : email, numéro de téléphone
- Données de réservation : dates de séjour, nombre de personnes, tarifs, formule
- Données de paiement : uniquement si le paiement est effectué via le booking engine ou le lien Stripe de Vezpa ; les données de carte ne sont jamais conservées sur les serveurs Vezpa
3.3 Données de navigation
- Adresse IP
- Type de navigateur et d'appareil
- Pages consultées et temps passé
- Système d'exploitation
- Référent (provenance)
3.4 Cookies
Nous utilisons des cookies techniques nécessaires au fonctionnement du service. Pour plus de détails, consultez notre Politique Cookies.
4. Finalités du traitement et base juridique
4.1 Pour les gestionnaires d'établissements
| Finalité | Base juridique |
|---|---|
| Fourniture du service PMS | Exécution du contrat (art. 6.1.b RGPD) |
| Facturation et obligations fiscales | Obligation légale (art. 6.1.c RGPD) |
| Assistance clientèle | Exécution du contrat (art. 6.1.b RGPD) |
| Sécurité, prévention des fraudes, fiabilité du service | Intérêt légitime (art. 6.1.f RGPD) |
| Envoi de communications marketing | Consentement (art. 6.1.a RGPD) - uniquement si autorisé |
4.2 Pour les clients des établissements
Important : Pour les données des clients hébergés, le Responsable du traitement est l'établissement d'hébergement. Vezpa agit en qualité de Sous-traitant sur instruction documentée du gestionnaire, au sens de l'Accord de traitement des données.
- Enregistrement et check-in des clients : obligation légale (loi italienne TULPS, art. 109, D.Lgs. 159/2011) pour l'Italie ; réglementation équivalente pour les autres États pris en charge
- Communications gouvernementales obligatoires : AlloggiatiWeb (IT-Questura), ISTAT (IT), PayTourist (IT-Communes), Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) — chacune est activée uniquement si l'établissement est situé dans l'État correspondant
- Gestion de la réservation et du séjour : exécution du contrat (art. 6.1.b)
- Communications aux OTA et au channel manager : exécution du contrat de réservation (art. 6.1.b), uniquement pour les canaux activés par l'établissement
5. Modalités de traitement
Les données à caractère personnel sont traitées par des moyens électroniques, selon des logiques strictement liées aux finalités et au moyen de l'adoption de mesures de sécurité adéquates (art. 32 RGPD) :
- 🔐 Chiffrement en transit : toutes les données sont transmises via le protocole HTTPS/TLS 1.2+
- 🔐 Mots de passe : conservés au moyen d'algorithmes de hachage sécurisés (PBKDF2, par défaut sous Django)
- 🔐 Jetons : JWT access 15 minutes, refresh avec rotation et liste de blocage, 2FA TOTP disponible
- 🔐 Contrôle d'accès : autorisations basées sur le rôle (directeur/assistant/gouvernante/observateur), principe du moindre privilège
- 🔐 Sauvegardes : effectuées régulièrement par le fournisseur d'infrastructure (DigitalOcean), localisation UE (Francfort)
- 🔐 Hébergement : serveurs DigitalOcean situés dans l'Union européenne (région FRA1), stockage DigitalOcean Spaces Francfort
- 🔐 Surveillance : journaux d'accès et applicatifs, détection automatisée des anomalies, blocage des bots et scanners
6. Conservation des données
Les données à caractère personnel sont conservées pendant la durée strictement nécessaire :
- Données des gestionnaires (clients) : durée du contrat + 10 ans pour les obligations fiscales et comptables
- Données de facturation : 10 ans (art. 2220 c.c. italien, obligation fiscale)
- Données des clients hébergés (traitées par Vezpa en qualité de Sous-traitant) :
- Communications AlloggiatiWeb : la période de conservation est fixée par le Responsable (établissement) selon la réglementation applicable
- Communications ISTAT : conformément à la réglementation ISTAT
- Autres données de réservation : selon les instructions du Responsable dans le DPA (généralement 10 ans pour des finalités fiscales)
- À la cessation du contrat avec le Responsable, Vezpa supprime ou restitue les données des clients dans un délai de 30 jours, sous réserve d'obligations de conservation autonomes (par ex. facturation)
- Journaux d'accès et applicatifs : 12 mois comme durée standard, extensibles jusqu'à 24 mois exclusivement pour des enquêtes de sécurité actives documentées ou pour la défense en justice (intérêt légitime au sens de l'art. 6.1.f, conformément à la Mesure du Garante 352/2022)
- Jetons d'authentification et appareils de confiance : 90 jours après la dernière utilisation
- Données marketing (newsletter, campagnes) : jusqu'à révocation du consentement, avec révision biennale
- Tickets d'assistance : durée du contrat + 2 ans
7. Communication et diffusion des données
7.1 Destinataires des données
Vos données peuvent être communiquées aux catégories de destinataires suivantes. La liste nominative toujours à jour des sous-traitants ultérieurs est publiée à l'adresse vezpa.it/subprocessors.
Autorités publiques (Responsables autonomes, obligation légale)
- Italie : Questura / AlloggiatiWeb, ISTAT, Communes (via PayTourist pour la taxe de séjour), Agenzia delle Entrate
- Autriche : Feratel/Meldeamt
- Espagne : SES.HOSPEDAJES (Ministerio del Interior)
- Hongrie : NTAK
- Croatie : eVisitor
- Portugal : SEF
- République tchèque : UbyPort
- Slovénie : eTurizem / AJPES
Chaque connecteur gouvernemental n'est activé que si l'établissement est situé dans l'État correspondant. Les identifiants sont configurés par l'établissement lui-même.
Sous-traitants ultérieurs (art. 28.4 RGPD)
- Infrastructure : DigitalOcean LLC (serveurs Francfort, bases de données, Spaces/CDN, Redis) — USA/UE avec DPF et CCT
- Paiements : Stripe Payments Europe Ltd (UE) / Stripe Inc. (USA) — PCI-DSS, certifié DPF
- Email transactionnel et PEC : IONOS SE (DE)
- Envoi des e-mails et réception des e-mails des clients : Sendinblue SAS - Brevo (FR)
- Assistant IA (réponses aux messages des voyageurs, facultatif) : Anthropic, PBC (États-Unis) — CCT
- Messages WhatsApp des voyageurs (facultatif) : Meta Platforms Ireland Limited — WhatsApp Business Platform (IE + États-Unis) — CCT
- Agent vocal au téléphone (facultatif) : la plateforme vocale choisie et contractée par l'établissement (par ex. Retell, Vapi, ElevenLabs), qui répond aux appels pour le compte de l'établissement. C'est un prestataire de l'établissement, et non de Vezpa : Vezpa lui transmet uniquement les données nécessaires à la réponse et reçoit les messages et les résumés des appels.
- Notifications push mobiles : Google LLC — Firebase Cloud Messaging (USA, certifié DPF)
- Traduction automatique (messages des clients, extras) : Google LLC — Google Cloud Translation API (USA, certifié DPF)
- Channel Manager OTA : STAAH Limited (Nouvelle-Zélande) — pays bénéficiant d'une décision d'adéquation UE (2012)
- Achats in-app et abonnements :
- Apple Distribution International Ltd (IE) — entité UE ; les éventuels transferts vers Apple Inc. (USA) sont régis par les CCT 2021/914 (Apple n'adhère pas au DPF)
- Google Ireland Ltd / Google LLC (USA, certification DPF active)
- Microsoft Ireland / Microsoft Corp. (USA, certification DPF active)
- Serrures connectées (optionnel, si activées) : Tuya Smart (CN) — CCT UE et mesures complémentaires
- Conseillers professionnels : expert-comptable, avocat, consultants IT, désignés comme Sous-traitants ou Responsables autonomes selon les nécessités
OTA (Responsables autonomes pour la relation avec le voyageur)
- Booking.com, Airbnb, Expedia, VRBO, Agoda et ~60 autres canaux connectés via STAAH : les données de réservation transitent sur la base du contrat entre l'établissement et l'OTA
7.2 Transferts de données hors UE
Certains traitements impliquent des transferts de données à caractère personnel en dehors de l'Union européenne. Dans tous les cas, des garanties sont adoptées au sens du Chapitre V RGPD :
- USA — EU-U.S. Data Privacy Framework (Décision (UE) 2023/1795) : Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC, certifications actives dans le Framework (vérification sur dataprivacyframework.gov/list (s'ouvre dans un nouvel onglet))
- USA — Clauses Contractuelles Types (CCT) 2021/914 : Apple Inc. — Apple n'adhère pas au DPF ; la relation contractuelle pour les utilisateurs UE est avec Apple Distribution International Ltd (Irlande), et les éventuels transferts vers Apple Inc. (USA) s'effectuent au moyen des CCT et des mécanismes internes Apple
- Nouvelle-Zélande — Décision d'adéquation (Décision (UE) 2013/65) : STAAH Limited
- Chine (optionnel) — Clauses Contractuelles Types (CCT) 2021/914 + mesures supplémentaires : Tuya Smart, uniquement pour les établissements activant les serrures connectées
- Pour tout transfert en l'absence de DPF actif ou d'adéquation, Vezpa adopte les CCT UE 2021/914 et, le cas échéant, un Transfer Impact Assessment (TIA) documenté
7.3 Diffusion
Les données à caractère personnel ne font pas l'objet de diffusion (communication à des destinataires indéterminés) et ne sont pas vendues.
8. Droits de la personne concernée
Aux termes des articles 15 à 22 du RGPD, vous avez le droit de :
- 📧 Accès (art. 15) : obtenir confirmation de l'existence de vos données et en recevoir une copie
- ✏️ Rectification (art. 16) : corriger des données inexactes ou incomplètes
- 🗑️ Effacement (art. 17) : obtenir l'effacement des données (droit à l'oubli) lorsque les conditions sont réunies
- ⏸️ Limitation (art. 18) : limiter le traitement dans certaines conditions
- 📤 Portabilité (art. 20) : recevoir les données dans un format structuré et les transmettre à un autre responsable
- 🚫 Opposition (art. 21) : vous opposer au traitement pour des motifs légitimes
- ❌ Retrait du consentement : retirer à tout moment le consentement au marketing
Marketing et newsletter
L'inscription à des communications commerciales requiert un consentement explicite avec double opt-in (confirmation via lien email). Chaque communication comporte un lien de désabonnement immédiat. Pour les clients existants, Vezpa peut envoyer des communications sur des produits et services similaires au sens de l'art. 130.4 D.Lgs. 196/2003 ("soft opt-in"), avec possibilité permanente de s'y opposer.
Comment exercer vos droits
Vous pouvez exercer vos droits en écrivant à :
- 📧 Email : info@vezpa.it
- ✉️ PEC : lavezpa@pec.it
- 📮 Courrier recommandé avec accusé de réception à l'adresse indiquée en en-tête
Nous vous répondrons dans un délai de 30 jours à compter de la demande.
Droit d'introduire une réclamation
Si vous estimez que le traitement de vos données viole le RGPD, vous avez le droit d'introduire une réclamation auprès de l'autorité de contrôle :
Autorité italienne de protection des données (Garante)
Piazza Venezia, 11 - 00187 Rome
Email : garante@gpdp.it
PEC : protocollo@pec.gpdp.it
Tel : +39 06.696771
Web : www.garanteprivacy.it (s'ouvre dans un nouvel onglet)
Les utilisateurs en Belgique peuvent également saisir l'Autorité de protection des données (APD/GBA), Rue de la Presse 35, 1000 Bruxelles — www.dataprotectionauthority.be (s'ouvre dans un nouvel onglet).
9. Mineurs
Le service Vezpa PMS est destiné exclusivement à des personnes majeures (plus de 18 ans). Nous ne collectons pas sciemment de données de mineurs. Si un parent ou tuteur estime qu'un mineur a fourni des données à caractère personnel, il peut nous contacter pour leur suppression immédiate.
10. Modifications de la Politique de confidentialité
Cette Politique de confidentialité peut être modifiée au fil du temps. Toute modification substantielle sera communiquée avec un préavis approprié via :
- Publication de la nouvelle version sur le site web
- Notification par email aux utilisateurs enregistrés
- Bannière informative dans l'espace réservé
La date de dernière mise à jour est toujours indiquée en haut du document.
📞 Contacts
Pour toute question concernant cette Politique de confidentialité ou pour exercer vos droits :
Vezpa di Paolo Vezzola
📧 Email : info@vezpa.it
🌐 Web : https://vezpa.it/