POLÍTICA DE PRIVACIDAD

1. Responsable del tratamiento

El Responsable del tratamiento de los datos personales es:

Vezpa di Paolo Vezzola
Domicilio social: Via San Zeno 67, 25015 Desenzano del Garda (BS), Italia
NIF italiano (P.IVA): 04449070988
Código fiscal: VZZPLA84C10D284C
Email: info@vezpa.it
PEC: lavezpa@pec.it

2. Ámbito de aplicación

La presente Política de Privacidad se aplica a la plataforma Vezpa PMS (web, escritorio y móvil) y a las páginas del sitio web en las que se publica esta información.

3. Datos personales recogidos

3.1 Datos de los usuarios del servicio (Gestores de alojamientos)

Cuando usted se registra en Vezpa como gestor de un establecimiento de alojamiento turístico, recogemos:

• Datos identificativos: nombre, apellidos, correo electrónico, número de teléfono
• Datos del establecimiento: nombre, dirección, tipología, número de identificación fiscal
• Datos de facturación: dirección de facturación, código fiscal/NIF, código único/PEC
• Credenciales de acceso: correo electrónico y contraseña (cifrada)
• Datos de pago: gestionados a través de proveedores externos certificados PCI-DSS (no almacenamos directamente los datos de las tarjetas de crédito)

3.2 Datos de los huéspedes de los establecimientos

Por cuenta de los gestores de los establecimientos (en calidad de Encargado del tratamiento conforme al art. 28 RGPD, regulado por el DPA), el sistema recoge:

• Datos identificativos: nombre, apellidos, lugar y fecha de nacimiento, nacionalidad, sexo
• Documentos de identidad: tipo, número, lugar y fecha de expedición, escaneo o fotografía del documento. Dichas imágenes pueden procesarse con OCR automático para la extracción de los datos textuales. El OCR se utiliza únicamente para facilitar la introducción de datos por parte del operador del establecimiento, sin finalidades analíticas, de elaboración de perfiles ni de decisión autónoma; no se almacenan datos biométricos derivados.
• Datos de contacto: correo electrónico, número de teléfono
• Datos de la reserva: fechas de estancia, número de huéspedes, tarifas, régimen
• Datos de pago: solo si el pago se realiza a través del motor de reservas o enlace Stripe de Vezpa; los datos de la tarjeta nunca se almacenan en los servidores de Vezpa

3.3 Datos de navegación

• Dirección IP
• Tipo de navegador y dispositivo
• Páginas visitadas y tiempo de permanencia
• Sistema operativo
• Página de procedencia (referrer)

3.4 Cookies

Utilizamos cookies técnicas necesarias para el funcionamiento del servicio. Para más detalles, consulte nuestra Política de Cookies.

4. Finalidad del tratamiento y base jurídica

4.1 Para los gestores de los establecimientos

4.2 Para los huéspedes de los establecimientos

Importante: Para los datos de los huéspedes, el Responsable del tratamiento es el establecimiento de alojamiento. Vezpa actúa como Encargado del tratamiento por instrucción documentada del gestor del establecimiento, conforme al Contrato de encargo del tratamiento (DPA).

• Registro de huéspedes (check-in): obligación legal (ley italiana TULPS, art. 109 y D.Lgs. 159/2011) para Italia; normativa equivalente para los demás Estados compatibles
• Comunicaciones obligatorias a las autoridades: AlloggiatiWeb (IT-Questura), ISTAT (IT), PayTourist (IT-Ayuntamientos), Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) - cada una se activa solo si el establecimiento reside en el Estado correspondiente
• Gestión de la reserva y de la estancia: ejecución del contrato (art. 6.1.b)
• Comunicaciones a OTA y channel manager: ejecución del contrato de reserva (art. 6.1.b), solo canales activados por el establecimiento

5. Modalidades del tratamiento

Los datos personales se tratan mediante herramientas electrónicas, con lógicas estrictamente relacionadas con las finalidades y adoptando medidas de seguridad adecuadas (art. 32 RGPD):

• Cifrado en tránsito: todos los datos se transmiten mediante protocolo HTTPS/TLS 1.2+
• Contraseñas: almacenadas con algoritmos de hashing seguros (PBKDF2 Django por defecto)
• Tokens: JWT access 15 minutos, refresh con rotación y lista negra, 2FA TOTP disponible
• Control de accesos: autorizaciones basadas en el rol (director/asistente/gobernanta/observador), principio de mínimo privilegio
• Copias de seguridad: realizadas periódicamente por el proveedor de infraestructura (DigitalOcean), ubicación UE (Fráncfort)
• Alojamiento web: servidores DigitalOcean ubicados en la Unión Europea (región FRA1), almacenamiento DigitalOcean Spaces Fráncfort
• Monitorización: registros de acceso y de aplicación, detección automatizada de anomalías, bloqueo de bots y escáneres

6. Conservación de los datos

Los datos personales se conservan durante el tiempo estrictamente necesario:

• Datos de los gestores (clientes): duración del contrato + 10 años para obligaciones fiscales y contables
• Datos de facturación: 10 años (art. 2220 c.c., obligación fiscal)
• Datos de los huéspedes (tratados por Vezpa como Encargado):
  • Comunicaciones AlloggiatiWeb: el periodo de conservación lo establece el Responsable (establecimiento) según la normativa aplicable
  • Comunicaciones ISTAT: conforme a la normativa ISTAT
  • Otros datos de la reserva: conforme a las instrucciones del Responsable en el DPA (típicamente 10 años por finalidades fiscales)
  • Al finalizar el contrato con el Responsable, Vezpa elimina o devuelve los datos de los huéspedes en un plazo de 30 días, salvo obligaciones de conservación autónomas (por ejemplo, facturación)
• Registros de acceso y de aplicación: 12 meses como duración estándar, ampliables hasta 24 meses exclusivamente para investigaciones de seguridad activas documentadas o para la defensa en juicio (interés legítimo conforme al art. 6.1.f, en línea con la Resolución 352/2022 de la autoridad italiana de protección de datos)
• Tokens de autenticación y dispositivos de confianza: 90 días desde el último uso
• Datos para marketing (newsletter, campañas): hasta la revocación del consentimiento, con revisión bienal
• Tickets de soporte: duración del contrato + 2 años

7. Comunicación y difusión de los datos

7.1 Destinatarios de los datos

Sus datos pueden comunicarse a las siguientes categorías de destinatarios. La lista nominativa siempre actualizada de los subencargados del tratamiento se publica en vezpa.it/subprocessors.

Autoridades públicas (Responsables autónomos, obligación legal)

• Italia: Questura / AlloggiatiWeb, ISTAT, Ayuntamientos (a través de PayTourist para el impuesto de estancia), Agenzia delle Entrate
• Austria: Feratel/Meldeamt
• España: SES.HOSPEDAJES (Ministerio del Interior)
• Hungría: NTAK
• Croacia: eVisitor
• Portugal: SEF
• República Checa: UbyPort
• Eslovenia: eTurizem / AJPES

Cada conector gubernamental se activa solo si el establecimiento reside en el Estado correspondiente. Las credenciales las configura el propio establecimiento.

Subencargados del tratamiento (art. 28.4 RGPD)

• Infraestructura: DigitalOcean LLC (servidor Fráncfort, base de datos, Spaces/CDN, Redis) - EE. UU./UE con DPF y CCT
• Pagos: Stripe Payments Europe Ltd (UE) / Stripe Inc. (EE. UU.) - PCI-DSS, certificada DPF
• Correo transaccional y PEC: IONOS SE (DE)
• Envío de correos y recepción de los correos de los huéspedes: Sendinblue SAS - Brevo (FR)
• Asistente de IA (respuestas a los mensajes de los huéspedes, opcional): Anthropic, PBC (EE. UU.) — CCT
• Mensajes de WhatsApp de los huéspedes (opcional): Meta Platforms Ireland Limited — WhatsApp Business Platform (IE + EE. UU.) — CCT
• Agente de voz telefónico (opcional): la plataforma de voz elegida y contratada por el alojamiento (p. ej., Retell, Vapi, ElevenLabs), que atiende las llamadas en nombre del alojamiento. Es un proveedor del alojamiento, no de Vezpa: Vezpa le transmite solo los datos necesarios para responder y recibe los mensajes y los resúmenes de las llamadas.
• Notificaciones push móviles: Google LLC - Firebase Cloud Messaging (EE. UU., certificada DPF)
• Traducción automática (mensajes de huéspedes, extras): Google LLC - Google Cloud Translation API (EE. UU., certificada DPF)
• Channel Manager OTA: STAAH Limited (Nueva Zelanda) - país con decisión de adecuación UE (2012)
• Compras dentro de la app y suscripciones:
  • Apple Distribution International Ltd (IE) - entidad UE; las eventuales transferencias hacia Apple Inc. (EE. UU.) se rigen por CCT 2021/914 (Apple no se adhiere al DPF)
  • Google Ireland Ltd / Google LLC (EE. UU., certificación DPF activa)
  • Microsoft Ireland / Microsoft Corp. (EE. UU., certificación DPF activa)
• Cerraduras inteligentes (opcional, si se activan): Tuya Smart (CN) - CCT UE y medidas complementarias
• Asesores profesionales: asesor fiscal, abogado, consultores informáticos, designados como Encargados o Responsables autónomos según necesidad

OTA (Responsables autónomos para la relación con el viajero)

• Booking.com, Airbnb, Expedia, VRBO, Agoda y ~60 canales más conectados a través de STAAH: los datos de la reserva transitan en función del contrato entre el establecimiento y la OTA

7.2 Transferencia de datos fuera de la UE

Algunos tratamientos conllevan transferencias de datos personales fuera de la Unión Europea. En todos los casos se adoptan garantías conforme al Capítulo V del RGPD:

• EE. UU. - EU-U.S. Data Privacy Framework (Decisión (UE) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC, certificaciones activas en el Framework (verificación en dataprivacyframework.gov/list (se abre en una pestaña nueva))
• EE. UU. - Cláusulas Contractuales Tipo (CCT) 2021/914: Apple Inc. - Apple no se adhiere al DPF; la relación contractual para los usuarios UE es con Apple Distribution International Ltd (Irlanda), y las eventuales transferencias hacia Apple Inc. (EE. UU.) se realizan mediante CCT y mecanismos internos de Apple
• Nueva Zelanda - Decisión de adecuación (Decisión UE 2013/65): STAAH Limited
• China (opcional) - Cláusulas Contractuales Tipo (CCT) 2021/914 + medidas complementarias: Tuya Smart, solo para los establecimientos que activan cerraduras inteligentes
• Para cualquier transferencia en ausencia de DPF activo o adecuación, Vezpa adopta CCT UE 2021/914 y, cuando corresponda, una evaluación de impacto de las transferencias (TIA) documentada

7.3 Difusión

Los datos personales no son objeto de difusión (comunicación a sujetos indeterminados) y no se venden.

8. Derechos del interesado

Conforme a los artículos 15-22 del RGPD, usted tiene derecho a:

• Acceso (art. 15): obtener confirmación de la existencia de sus datos y recibir copia de los mismos
• Rectificación (art. 16): corregir datos inexactos o incompletos
• Supresión (art. 17): obtener la supresión de los datos (derecho al olvido) cuando concurran los requisitos
• Limitación (art. 18): limitar el tratamiento en determinadas condiciones
• Portabilidad (art. 20): recibir los datos en formato estructurado y transmitirlos a otro responsable
• Oposición (art. 21): oponerse al tratamiento por motivos legítimos
• Revocación del consentimiento: retirar en cualquier momento el consentimiento al marketing

Marketing y newsletter

La suscripción a comunicaciones comerciales requiere consentimiento explícito con doble opt-in (confirmación mediante enlace por email). Cada comunicación contiene un enlace de baja inmediato. Para los clientes existentes, Vezpa puede enviar comunicaciones sobre productos y servicios similares conforme al art. 130.4 D.Lgs. 196/2003 ("soft opt-in"), con posibilidad siempre activa de oponerse.

Cómo ejercer los derechos

Puede ejercer sus derechos escribiendo a:

• Email: info@vezpa.it
• PEC: lavezpa@pec.it
• Correo certificado con acuse de recibo a la dirección indicada en el encabezado

Le responderemos en un plazo de 30 días desde la solicitud.

Derecho de reclamación

Si considera que el tratamiento de sus datos infringe el RGPD, tiene derecho a presentar reclamación ante la autoridad de control:

Autoridad italiana de protección de datos (Garante per la Protezione dei Dati Personali)
Piazza Venezia, 11 - 00187 Roma
Email: garante@gpdp.it
PEC: protocollo@pec.gpdp.it
Tel: +39 06.696771
Web: www.garanteprivacy.it (se abre en una pestaña nueva)

Los usuarios en España pueden también dirigirse a la Agencia Española de Protección de Datos - AEPD (www.aepd.es (se abre en una pestaña nueva)).

9. Menores

El servicio Vezpa PMS está destinado exclusivamente a personas mayores de 18 años. No recogemos conscientemente datos de menores. Si un progenitor o tutor considera que un menor ha facilitado datos personales, puede ponerse en contacto con nosotros para su supresión inmediata.

10. Modificaciones de la Política de Privacidad

Esta Política de Privacidad puede modificarse con el tiempo. Cualquier modificación sustancial se comunicará con la debida antelación mediante:

• Publicación de la nueva versión en el sitio web
• Notificación por correo electrónico a los usuarios registrados
• Banner informativo en el área reservada

La fecha de última actualización siempre se indica en la parte superior del documento.