ZÁSADY OCHRANY OSOBNÍCH ÚDAJŮ

1. Správce údajů

Správcem osobních údajů je:

Vezpa di Paolo Vezzola
Sídlo: Via San Zeno 67, 25015 Desenzano del Garda (BS), Itálie
DIČ: 04449070988
Daňové ID: VZZPLA84C10D284C
E-mail: info@vezpa.it
PEC: lavezpa@pec.it

2. Oblast působnosti

Tyto zásady ochrany osobních údajů se vztahují na platformu Vezpa PMS (web, desktop a mobil) a na stránky webu, na kterých je toto oznámení zveřejněno.

3. Shromažďované osobní údaje

3.1 Údaje uživatelů služby (provozovatelé ubytovacích zařízení)

Při registraci do Vezpa jako provozovatel ubytovacího zařízení shromažďujeme:

• Identifikační údaje: jméno, příjmení, e-mail, telefonní číslo
• Údaje o zařízení: název, adresa, typ, DIČ
• Fakturační údaje: fakturační adresa, daňové ID/DIČ, jedinečný kód/PEC
• Přístupové údaje: e-mail a heslo (šifrované)
• Platební údaje: zpracovávané prostřednictvím externích poskytovatelů certifikovaných PCI-DSS (neukládáme přímo údaje platebních karet)

3.2 Údaje hostů ubytovacích zařízení

Jménem provozovatelů ubytovacích zařízení (jako Zpracovatel podle čl. 28 GDPR, což upravuje DPA) systém shromažďuje:

• Identifikační údaje: jméno, příjmení, místo a datum narození, státní občanství, pohlaví
• Doklady totožnosti: typ, číslo, místo a datum vydání, naskenovaný nebo vyfotografovaný doklad. Tyto obrázky mohou být zpracovány automatickým OCR za účelem extrakce textových údajů. OCR se používá výhradně k usnadnění zadávání údajů obsluhou zařízení, bez analytických, profilovacích nebo autonomních rozhodovacích účelů; neukládají se žádné odvozené biometrické údaje.
• Kontaktní údaje: e-mail, telefonní číslo
• Údaje o rezervaci: data pobytu, počet hostů, sazby, stravování
• Platební údaje: pouze pokud platba probíhá prostřednictvím booking engine nebo odkazu Stripe od Vezpa; údaje karet nejsou nikdy uloženy na serverech Vezpa

3.3 Údaje o prohlížení

• IP adresa
• Typ prohlížeče a zařízení
• Navštívené stránky a doba pobytu
• Operační systém
• Referrer (původ)

3.4 Cookies

Používáme technické cookies nezbytné pro fungování služby. Více podrobností naleznete v našich Zásadách používání cookies.

4. Účely zpracování a právní základ

4.1 Pro provozovatele ubytovacích zařízení

4.2 Pro hosty ubytovacích zařízení

Důležité: Pro údaje hostů je Správcem ubytovací zařízení. Vezpa jedná jako Zpracovatel na základě dokumentovaných pokynů provozovatele zařízení podle Smlouvy o zpracování osobních údajů (DPA).

• Check-in a registrace hostů: právní povinnost (italský zákon TULPS, čl. 109, D.Lgs. 159/2011) pro Itálii; obdobné předpisy pro ostatní podporované státy
• Povinná vládní oznámení: AlloggiatiWeb (IT-Questura), ISTAT (IT), PayTourist (IT-obce), Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) — každé je aktivováno pouze pokud zařízení sídlí v odpovídajícím státě
• Správa rezervace a pobytu: plnění smlouvy (čl. 6.1.b)
• Komunikace s OTA a channel managery: plnění smlouvy o rezervaci (čl. 6.1.b), pouze kanály aktivované zařízením

5. Způsob zpracování

Osobní údaje jsou zpracovávány elektronickými prostředky, s logikou úzce související s účely a při přijetí odpovídajících bezpečnostních opatření (čl. 32 GDPR):

• 🔐 Šifrování při přenosu: všechny údaje jsou přenášeny přes protokol HTTPS/TLS 1.2+
• 🔐 Hesla: ukládána pomocí bezpečných hashovacích algoritmů (PBKDF2, výchozí v Django)
• 🔐 Tokeny: JWT access 15 minut, refresh s rotací a blacklistem, k dispozici 2FA TOTP
• 🔐 Řízení přístupu: oprávnění založená na roli (ředitel/asistent/pokojská/pozorovatel), princip minimálního oprávnění
• 🔐 Zálohování: prováděno pravidelně poskytovatelem infrastruktury (DigitalOcean), umístění EU (Frankfurt)
• 🔐 Hosting: servery DigitalOcean umístěné v Evropské unii (region FRA1), úložiště DigitalOcean Spaces Frankfurt
• 🔐 Monitorování: přístupové a aplikační logy, automatizovaná detekce anomálií, blokování botů a skenerů

6. Uchovávání údajů

Osobní údaje jsou uchovávány po dobu nezbytně nutnou:

• Údaje provozovatelů (zákazníků): doba trvání smlouvy + 10 let pro daňové a účetní povinnosti
• Fakturační údaje: 10 let (čl. 2220 italského občanského zákoníku, daňová povinnost)
• Údaje hostů (zpracovávané Vezpa jako Zpracovatelem):
  • Oznámení AlloggiatiWeb: doba uchovávání je stanovena Správcem (zařízením) podle platných předpisů
  • Oznámení ISTAT: podle předpisů ISTAT
  • Další údaje o rezervaci: podle pokynů Správce v DPA (typicky 10 let pro daňové účely)
  • Při ukončení smlouvy se Správcem Vezpa vymaže nebo vrátí údaje hostů do 30 dnů, s výhradou samostatných povinností uchovávání (např. fakturace)
• Přístupové a aplikační logy: standardně 12 měsíců, s možností prodloužení až na 24 měsíců výhradně pro doložená probíhající bezpečnostní šetření nebo pro obhajobu v soudním řízení (oprávněný zájem podle čl. 6.1.f, v souladu s opatřením Garante č. 352/2022)
• Autentizační tokeny a důvěryhodná zařízení: 90 dnů od posledního použití
• Údaje pro marketing (newsletter, kampaně): až do odvolání souhlasu, s dvouletou revizí
• Tikety podpory: doba trvání smlouvy + 2 roky

7. Sdělení a šíření údajů

7.1 Příjemci údajů

Vaše údaje mohou být sděleny následujícím kategoriím příjemců. Jmenovitý a vždy aktuální seznam dalších zpracovatelů je zveřejněn na adrese vezpa.it/subprocessors.

Veřejné orgány (samostatní správci, právní povinnost)

• Itálie: Questura / AlloggiatiWeb, ISTAT, obce (přes PayTourist pro pobytovou daň), Agenzia delle Entrate
• Rakousko: Feratel/Meldeamt
• Španělsko: SES.HOSPEDAJES (Ministerio del Interior)
• Maďarsko: NTAK
• Chorvatsko: eVisitor
• Portugalsko: SEF
• Česká republika: UbyPort
• Slovinsko: eTurizem / AJPES

Každý vládní konektor je aktivován pouze pokud zařízení sídlí v odpovídajícím státě. Přístupové údaje konfiguruje samo zařízení.

Další zpracovatelé (čl. 28.4 GDPR)

• Infrastruktura: DigitalOcean LLC (server Frankfurt, databáze, Spaces/CDN, Redis) — USA/EU s DPF a SCC
• Platby: Stripe Payments Europe Ltd (EU) / Stripe Inc. (USA) — PCI-DSS, certifikovaný DPF
• Transakční e-mail a PEC: IONOS SE (DE)
• Odesílání e-mailů a příjem e-mailů od hostů: Sendinblue SAS - Brevo (FR)
• AI asistent (odpovědi na zprávy hostů, volitelné): Anthropic, PBC (USA) — SCC
• Zprávy WhatsApp hostů (volitelné): Meta Platforms Ireland Limited — WhatsApp Business Platform (IE + USA) — SCC
• Hlasový agent na telefonu (volitelné): hlasová platforma, kterou si ubytování zvolilo a sjednalo (např. Retell, Vapi, ElevenLabs) a která přijímá hovory jménem ubytování. Je dodavatelem ubytování, nikoli Vezpy: Vezpa jí předává pouze údaje potřebné k odpovědi a přijímá vzkazy a shrnutí hovorů.
• Mobilní push notifikace: Google LLC — Firebase Cloud Messaging (USA, certifikovaný DPF)
• Automatický překlad (zprávy hostů, doplňkové služby): Google LLC — Google Cloud Translation API (USA, certifikovaný DPF)
• Channel Manager OTA: STAAH Limited (Nový Zéland) — země s rozhodnutím EU o odpovídající ochraně (2012)
• Nákupy v aplikaci a předplatné:
  • Apple Distribution International Ltd (IE) — subjekt EU; případné přenosy do Apple Inc. (USA) jsou upraveny SCC 2021/914 (Apple se neúčastní DPF)
  • Google Ireland Ltd / Google LLC (USA, aktivní certifikace DPF)
  • Microsoft Ireland / Microsoft Corp. (USA, aktivní certifikace DPF)
• Chytré zámky (volitelné, pokud jsou aktivovány): Tuya Smart (CN) — SCC EU a doplňující opatření
• Profesionální poradci: účetní, právník, IT konzultanti, jmenováni jako Zpracovatelé nebo samostatní Správci podle potřeby

OTA (samostatní správci pro vztah s cestujícím)

• Booking.com, Airbnb, Expedia, VRBO, Agoda a ~60 dalších kanálů připojených prostřednictvím STAAH: údaje o rezervaci procházejí na základě smlouvy mezi zařízením a OTA

7.2 Přenos údajů mimo EU

Některá zpracování zahrnují přenosy osobních údajů mimo Evropskou unii. Ve všech případech jsou přijaty záruky podle kapitoly V GDPR:

• USA — EU-U.S. Data Privacy Framework (Rozhodnutí (EU) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC, aktivní certifikace v rámci Frameworku (ověření na dataprivacyframework.gov/list (otevře se na nové kartě))
• USA — Standardní smluvní doložky (SCC 2021/914): Apple Inc. — Apple se neúčastní DPF; smluvní vztah pro uživatele EU je s Apple Distribution International Ltd (Irsko) a případné přenosy do Apple Inc. (USA) probíhají prostřednictvím SCC a interních mechanismů Apple
• Nový Zéland — Rozhodnutí o odpovídající ochraně (Rozhodnutí EU 2013/65): STAAH Limited
• Čína (volitelné) — Standardní smluvní doložky (SCC) 2021/914 + doplňující opatření: Tuya Smart, pouze pro zařízení, která aktivují chytré zámky
• Pro každý přenos bez aktivního DPF nebo rozhodnutí o odpovídající ochraně Vezpa přijímá SCC EU 2021/914 a tam, kde je to relevantní, dokumentovaný Transfer Impact Assessment (TIA)

7.3 Šíření

Osobní údaje nejsou předmětem šíření (sdělení neomezenému okruhu osob) a nejsou prodávány.

8. Práva subjektů údajů

Podle článků 15-22 GDPR máte právo:

• 📧 Přístup (čl. 15): získat potvrzení o existenci Vašich údajů a obdržet jejich kopii
• ✏️ Oprava (čl. 16): opravit nesprávné nebo neúplné údaje
• 🗑️ Výmaz (čl. 17): získat výmaz údajů (právo být zapomenut), jsou-li splněny předpoklady
• ⏸️ Omezení (čl. 18): omezit zpracování za určitých podmínek
• 📤 Přenositelnost (čl. 20): obdržet údaje ve strukturovaném formátu a předat je jinému správci
• 🚫 Námitka (čl. 21): vznést námitku proti zpracování z oprávněných důvodů
• ❌ Odvolání souhlasu: kdykoli odvolat souhlas s marketingem

Marketing a newsletter

Přihlášení k obchodním sdělením vyžaduje výslovný souhlas s dvojitým opt-in (potvrzení přes e-mailový odkaz). Každé sdělení obsahuje okamžitý odhlašovací odkaz. Pro stávající zákazníky může Vezpa zasílat sdělení o podobných produktech a službách podle čl. 130.4 italského D.Lgs. 196/2003 ("soft opt-in"), s vždy aktivní možností námitky.

Jak uplatnit práva

Svá práva můžete uplatnit písemně na:

• 📧 E-mail: info@vezpa.it
• ✉️ PEC: lavezpa@pec.it
• 📮 Doporučeným dopisem s dodejkou na adresu v záhlaví

Odpovíme Vám do 30 dnů od žádosti.

Právo podat stížnost

Pokud se domníváte, že zpracování Vašich údajů porušuje GDPR, máte právo podat stížnost u dozorového úřadu:

Italský úřad pro ochranu osobních údajů (Garante)
Piazza Venezia, 11 - 00187 Roma
E-mail: garante@gpdp.it
PEC: protocollo@pec.gpdp.it
Tel: +39 06.696771
Web: www.garanteprivacy.it (otevře se na nové kartě)

Uživatelé v České republice se mohou obrátit i na ÚOOÚ (www.uoou.cz (otevře se na nové kartě)).

9. Nezletilí

Služba Vezpa PMS je určena výhradně osobám starším 18 let. Vědomě neshromažďujeme údaje nezletilých. Pokud se rodič nebo opatrovník domnívá, že nezletilý poskytl osobní údaje, může nás kontaktovat za účelem jejich okamžitého výmazu.

10. Změny zásad ochrany osobních údajů

Tyto zásady ochrany osobních údajů mohou být časem změněny. Každá podstatná změna bude sdělena s dostatečným předstihem prostřednictvím:

• Zveřejnění nové verze na webové stránce
• E-mailové notifikace registrovaným uživatelům
• Informačního banneru v uživatelské oblasti

Datum poslední aktualizace je vždy uvedeno v záhlaví dokumentu.