PRIVATLIVSPOLITIK
Vezpa - Property Management System
Seneste opdatering: 2. november 2026
1. Dataansvarlig
Dataansvarlig for behandlingen af personoplysninger er:
Vezpa di Paolo Vezzola
Hjemsted: Via San Zeno 67, 25015 Desenzano del Garda (BS), Italien
Moms-nr.: 04449070988
Skattenummer (C.F.): VZZPLA84C10D284C
E-mail: info@vezpa.it
PEC: lavezpa@pec.it
2. Anvendelsesområde
Denne privatlivspolitik gælder for platformen Vezpa PMS (web, desktop og mobil) og for de websider, hvor denne meddelelse er offentliggjort.
3. Indsamlede personoplysninger
3.1 Oplysninger om tjenestens brugere (indkvarteringsstedsforvaltere)
Når De registrerer Dem på Vezpa som forvalter af et indkvarteringssted, indsamler vi:
- Identifikationsoplysninger: fornavn, efternavn, e-mail, telefonnummer
- Oplysninger om indkvarteringsstedet: navn, adresse, type, moms-nr.
- Faktureringsoplysninger: faktureringsadresse, skattenummer/moms-nr., unik kode/PEC
- Loginoplysninger: e-mail og adgangskode (krypteret)
- Betalingsoplysninger: håndteret af eksterne PCI-DSS-certificerede udbydere (vi lagrer ikke kreditkortoplysninger direkte)
3.2 Oplysninger om indkvarteringsstedets gæster
På vegne af indkvarteringsstedernes forvaltere (i egenskab af Databehandler i henhold til art. 28 GDPR, reguleret af DPA'en) indsamler systemet:
- Identifikationsoplysninger: fornavn, efternavn, fødested og fødselsdato, statsborgerskab, køn
- Identitetsdokumenter: type, nummer, udstedelsessted og -dato, scanning eller fotografi af dokumentet. Disse billeder kan behandles med automatisk OCR til udtrækning af tekstdata. OCR anvendes udelukkende til at lette dataindtastningen for indkvarteringsstedets operatør, uden analytiske formål, profileringsformål eller selvstændige beslutningsformål; der lagres ikke udledte biometriske data.
- Kontaktoplysninger: e-mail, telefonnummer
- Reservationsoplysninger: opholdsdatoer, antal gæster, priser, forplejning
- Betalingsoplysninger: kun hvis betaling sker via Vezpas booking engine eller Stripe-link; kortoplysninger lagres aldrig på Vezpas servere
3.3 Navigationsdata
- IP-adresse
- Browsertype og enhed
- Besøgte sider og opholdstid
- Operativsystem
- Referrer (herkomst)
3.4 Cookies
Vi bruger tekniske cookies, der er nødvendige for, at tjenesten kan fungere. For yderligere oplysninger, se vores Cookiepolitik.
4. Formål med behandlingen og retsgrundlag
4.1 For indkvarteringsstedernes forvaltere
| Formål | Retsgrundlag |
|---|---|
| Levering af PMS-tjenesten | Opfyldelse af kontrakt (art. 6.1.b GDPR) |
| Fakturering og skatteforpligtelser | Retlig forpligtelse (art. 6.1.c GDPR) |
| Kundeservice | Opfyldelse af kontrakt (art. 6.1.b GDPR) |
| Sikkerhed, svigforebyggelse, tjenestens pålidelighed | Legitim interesse (art. 6.1.f GDPR) |
| Udsendelse af markedsføringsmeddelelser | Samtykke (art. 6.1.a GDPR) - kun hvis tilladt |
4.2 For indkvarteringsstedets gæster
Vigtigt: For gæsternes data er den dataansvarlige indkvarteringsstedet. Vezpa optræder som Databehandler efter dokumenteret instruks fra indkvarteringsstedets forvalter i henhold til Databehandleraftalen.
- Check-in og registrering af gæster: retlig forpligtelse (art. 109 i den italienske TULPS-lov, lovdekret 159/2011) for Italien; tilsvarende lovgivning for de øvrige understøttede lande
- Obligatoriske meddelelser til myndigheder: AlloggiatiWeb (IT-politiet), ISTAT (IT), PayTourist (IT-kommuner), Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) — hver aktiveres kun, hvis indkvarteringsstedet er hjemmehørende i det tilsvarende land
- Administration af reservation og ophold: opfyldelse af kontrakt (art. 6.1.b)
- Kommunikation til OTA og channel manager: opfyldelse af reservationskontrakten (art. 6.1.b), kun kanaler aktiveret af indkvarteringsstedet
5. Behandlingsmåde
Personoplysninger behandles med elektroniske værktøjer, med metoder, der er nøje knyttet til formålene, og ved anvendelse af passende sikkerhedsforanstaltninger (art. 32 GDPR):
- 🔐 Kryptering under overførsel: alle data overføres via protokollen HTTPS/TLS 1.2+
- 🔐 Adgangskoder: lagret med sikre hashing-algoritmer (PBKDF2, Djangos standard)
- 🔐 Tokens: JWT access 15 minutter, refresh med rotation og blacklist, 2FA TOTP tilgængelig
- 🔐 Adgangskontrol: rollebaserede tilladelser (direktør/assistent/rengøringsansvarlig/observatør), princippet om mindste privilegium
- 🔐 Backup: udføres regelmæssigt af infrastrukturudbyderen (DigitalOcean), placering EU (Frankfurt)
- 🔐 Hosting: DigitalOcean-servere beliggende i Den Europæiske Union (region FRA1), DigitalOcean Spaces-storage i Frankfurt
- 🔐 Overvågning: adgangs- og applikationslogs, automatiseret anomaliregistrering, blokering af bots og scannere
6. Opbevaring af data
Personoplysninger opbevares kun så længe, det er strengt nødvendigt:
- Forvalterdata (kunder): kontraktens varighed + 10 år af hensyn til skatte- og regnskabsforpligtelser
- Faktureringsoplysninger: 10 år (art. 2220 i den italienske borgerlige lovbog, skattemæssig forpligtelse)
- Gæsternes data (behandlet af Vezpa som Databehandler):
- AlloggiatiWeb-meddelelser: opbevaringsperioden fastsættes af den Dataansvarlige (indkvarteringsstedet) i henhold til gældende lovgivning
- ISTAT-meddelelser: i henhold til ISTAT-lovgivning
- Andre reservationsoplysninger: i henhold til den Dataansvarliges instrukser i DPA'en (typisk 10 år af skattemæssige hensyn)
- Ved kontraktens ophør med den Dataansvarlige sletter eller returnerer Vezpa gæsternes data inden for 30 dage, medmindre der findes selvstændige opbevaringsforpligtelser (f.eks. fakturering)
- Adgangs- og applikationslogs: 12 måneder som standardperiode, kan forlænges til op til 24 måneder udelukkende ved dokumenterede igangværende sikkerhedsundersøgelser eller for at forsvare retskrav (legitim interesse i henhold til art. 6.1.f, i overensstemmelse med Garantes afgørelse 352/2022)
- Autentifikationstokens og betroede enheder: 90 dage fra sidste brug
- Data til markedsføring (nyhedsbrev, kampagner): indtil tilbagekaldelse af samtykke, med toårig gennemgang
- Supporttickets: kontraktens varighed + 2 år
7. Videregivelse og udbredelse af data
7.1 Modtagere af data
Deres data kan videregives til følgende kategorier af modtagere. Den altid opdaterede navngivne liste over underdatabehandlere er offentliggjort på adressen vezpa.it/subprocessors.
Offentlige myndigheder (selvstændige dataansvarlige, retlig forpligtelse)
- Italien: Politiet / AlloggiatiWeb, ISTAT, kommuner (via PayTourist for opholdsskat), skattemyndigheden
- Østrig: Feratel/Meldeamt
- Spanien: SES.HOSPEDAJES (Ministerio del Interior)
- Ungarn: NTAK
- Kroatien: eVisitor
- Portugal: SEF
- Tjekkiet: UbyPort
- Slovenien: eTurizem / AJPES
Hver integration med en myndighed aktiveres kun, hvis indkvarteringsstedet er hjemmehørende i det tilsvarende land. Adgangsoplysningerne konfigureres af indkvarteringsstedet selv.
Underdatabehandlere (art. 28.4 GDPR)
- Infrastruktur: DigitalOcean LLC (Frankfurt-servere, database, Spaces/CDN, Redis) — USA/EU med DPF og SCC
- Betalinger: Stripe Payments Europe Ltd (EU) / Stripe Inc. (USA) — PCI-DSS, DPF-certificeret
- Transaktionelle e-mails og PEC: IONOS SE (DE)
- Afsendelse af e-mails og modtagelse af gæsternes e-mails: Sendinblue SAS - Brevo (FR)
- AI-assistent (svar på gæsters beskeder, valgfri): Anthropic, PBC (USA) — SCC
- Gæsters WhatsApp-beskeder (valgfri): Meta Platforms Ireland Limited — WhatsApp Business Platform (IE + USA) — SCC
- Telefonisk stemmeagent (valgfri): den stemmeplatform, som indkvarteringsstedet har valgt og indgået aftale med (f.eks. Retell, Vapi, ElevenLabs), og som besvarer opkald på indkvarteringsstedets vegne. Den er indkvarteringsstedets leverandør, ikke Vezpas: Vezpa giver den kun de data, der er nødvendige for svaret, og modtager beskeder og resuméer af opkaldene.
- Mobile push-notifikationer: Google LLC — Firebase Cloud Messaging (USA, DPF-certificeret)
- Automatisk oversættelse (gæstebeskeder, ekstraydelser): Google LLC — Google Cloud Translation API (USA, DPF-certificeret)
- OTA Channel Manager: STAAH Limited (New Zealand) — land med EU-tilstrækkelighedsafgørelse (2012)
- In-app-køb og abonnementer:
- Apple Distribution International Ltd (IE) — EU-enhed; eventuelle overførsler til Apple Inc. (USA) er reguleret af SCC 2021/914 (Apple deltager ikke i DPF)
- Google Ireland Ltd / Google LLC (USA, aktiv DPF-certificering)
- Microsoft Ireland / Microsoft Corp. (USA, aktiv DPF-certificering)
- Smartlåse (valgfrit, hvis aktiveret): Tuya Smart (CN) — EU SCC og supplerende foranstaltninger
- Professionelle rådgivere: revisor, advokat, IT-konsulenter, udpeget som Databehandlere eller selvstændige Dataansvarlige efter behov
OTA (selvstændige dataansvarlige for forholdet til den rejsende)
- Booking.com, Airbnb, Expedia, VRBO, Agoda og ~60 andre kanaler tilsluttet via STAAH: reservationsdata sendes på grundlag af kontrakten mellem indkvarteringsstedet og OTA'en
7.2 Dataoverførsel uden for EU
Visse behandlinger indebærer overførsel af personoplysninger uden for Den Europæiske Union. I alle tilfælde anvendes garantier i henhold til GDPR's kapitel V:
- USA — EU-U.S. Data Privacy Framework (Afgørelse (EU) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC, aktive certificeringer under rammen (kan kontrolleres på dataprivacyframework.gov/list (åbner i en ny fane))
- USA — Standardkontraktbestemmelser (SCC) 2021/914: Apple Inc. — Apple deltager ikke i DPF; kontraktforholdet for EU-brugere er med Apple Distribution International Ltd (Irland), og eventuelle overførsler til Apple Inc. (USA) sker via SCC og Apples interne mekanismer
- New Zealand — Tilstrækkelighedsafgørelse (Afgørelse 2013/65/EU): STAAH Limited
- Kina (valgfrit) — Standardkontraktbestemmelser (SCC) 2021/914 + supplerende foranstaltninger: Tuya Smart, kun for indkvarteringssteder, der aktiverer smartlåse
- For enhver overførsel uden aktiv DPF eller tilstrækkelighed anvender Vezpa EU SCC 2021/914 og, hvor det er relevant, en dokumenteret Transfer Impact Assessment (TIA)
7.3 Udbredelse
Personoplysninger er ikke genstand for udbredelse (videregivelse til ubestemte modtagere) og sælges ikke.
8. Den registreredes rettigheder
I henhold til GDPR's artikel 15-22 har De ret til:
- 📧 Indsigt (art. 15): få bekræftelse på eksistensen af Deres data og modtage en kopi
- ✏️ Berigtigelse (art. 16): rette unøjagtige eller ufuldstændige data
- 🗑️ Sletning (art. 17): få data slettet (retten til at blive glemt), når betingelserne er opfyldt
- ⏸️ Begrænsning (art. 18): begrænse behandlingen under visse betingelser
- 📤 Dataportabilitet (art. 20): modtage data i struktureret format og overføre dem til en anden dataansvarlig
- 🚫 Indsigelse (art. 21): gøre indsigelse mod behandlingen af legitime årsager
- ❌ Tilbagekaldelse af samtykke: når som helst tilbagekalde samtykke til markedsføring
Markedsføring og nyhedsbrev
Tilmelding til kommercielle meddelelser kræver udtrykkeligt samtykke med dobbelt opt-in (bekræftelse via e-maillink). Hver meddelelse indeholder et link til øjeblikkelig afmelding. For eksisterende kunder kan Vezpa sende meddelelser om tilsvarende produkter og tjenester i henhold til art. 130.4 i lovdekret 196/2003 ("soft opt-in"), med mulighed for til enhver tid at gøre indsigelse.
Sådan udøver De Deres rettigheder
De kan udøve Deres rettigheder ved at skrive til:
- 📧 E-mail: info@vezpa.it
- ✉️ PEC: lavezpa@pec.it
- 📮 Anbefalet brev med modtagelsesbevis til adressen øverst i dokumentet
Vi vil svare inden for 30 dage fra anmodningen.
Ret til at klage
Hvis De mener, at behandlingen af Deres data overtræder GDPR, har De ret til at indgive en klage til tilsynsmyndigheden:
Den italienske databeskyttelsesmyndighed (Garante)
Piazza Venezia, 11 - 00187 Rom
E-mail: garante@gpdp.it
PEC: protocollo@pec.gpdp.it
Tlf: +39 06.696771
Web: www.garanteprivacy.it (åbner i en ny fane)
Brugere i Danmark kan også henvende sig til Datatilsynet (www.datatilsynet.dk).
9. Mindreårige
Tjenesten Vezpa PMS er udelukkende beregnet til personer over 18 år. Vi indsamler ikke bevidst data om mindreårige. Hvis en forælder eller værge mener, at en mindreårig har afgivet personoplysninger, kan vedkommende kontakte os for øjeblikkelig sletning.
10. Ændringer af privatlivspolitikken
Denne privatlivspolitik kan ændres over tid. Enhver væsentlig ændring vil blive meddelt med passende varsel via:
- Offentliggørelse af den nye version på webstedet
- E-mailmeddelelse til registrerede brugere
- Informationsbanner i det private område
Datoen for seneste opdatering er altid angivet øverst i dokumentet.
📞 Kontakt
For ethvert spørgsmål vedrørende denne privatlivspolitik eller for at udøve Deres rettigheder:
Vezpa di Paolo Vezzola
📧 E-mail: info@vezpa.it
🌐 Web: https://vezpa.it/