TIETOSUOJASELOSTE
Vezpa - Property Management System
Viimeksi päivitetty: 2. marraskuuta 2026
1. Rekisterinpitäjä
Henkilötietojen rekisterinpitäjä on:
Vezpa di Paolo Vezzola
Rekisteröity toimipaikka: Via San Zeno 67, 25015 Desenzano del Garda (BS), Italia
ALV-numero: 04449070988
Verotunnus: VZZPLA84C10D284C
Sähköposti: info@vezpa.it
PEC: lavezpa@pec.it
2. Soveltamisala
Tätä tietosuojaselostetta sovelletaan Vezpa PMS -alustaan (web, desktop ja mobiili) sekä verkkosivuston sivuihin, joilla tämä seloste julkaistaan.
3. Kerätyt henkilötiedot
3.1 Palvelun käyttäjien tiedot (majoituskohteiden ylläpitäjät)
Kun rekisteröidytte Vezpaan majoituskohteen ylläpitäjänä, keräämme:
- Henkilötiedot: etunimi, sukunimi, sähköposti, puhelinnumero
- Majoituskohteen tiedot: nimi, osoite, tyyppi, ALV-numero
- Laskutustiedot: laskutusosoite, verotunnus/ALV-numero, yksilöllinen tunnistekoodi/PEC
- Kirjautumistunnukset: sähköposti ja salasana (salattuna)
- Maksutiedot: käsitellään PCI-DSS-sertifioitujen ulkoisten palveluntarjoajien kautta (emme tallenna luottokorttitietoja suoraan)
3.2 Majoituskohteiden vieraiden tiedot
Majoituskohteiden ylläpitäjien puolesta (henkilötietojen käsittelijänä GDPR art. 28 mukaisesti, mitä säännellään DPA:lla) järjestelmä kerää:
- Tunnistetiedot: etunimi, sukunimi, syntymäpaikka ja -aika, kansalaisuus, sukupuoli
- Henkilöllisyystodistukset: tyyppi, numero, myöntämispaikka ja -aika, asiakirjan skannaus tai valokuva. Nämä kuvat voidaan käsitellä automaattisella OCR-tunnistuksella tekstitietojen poimimiseksi. OCR:ää käytetään ainoastaan helpottamaan tietojen syöttöä majoituskohteen käyttäjälle, ilman analyyttisiä, profilointi- tai itsenäisiä päätöksentekotarkoituksia; johdettuja biometrisiä tietoja ei tallenneta.
- Yhteystiedot: sähköposti, puhelinnumero
- Varaustiedot: oleskelun ajankohdat, vieraiden lukumäärä, hinnat, ateriasuunnitelma
- Maksutiedot: vain jos maksu tapahtuu Vezpan varausmoottorin tai Stripe-linkin kautta; korttitietoja ei koskaan tallenneta Vezpan palvelimille
3.3 Selaustiedot
- IP-osoite
- Selaimen ja laitteen tyyppi
- Vieraillut sivut ja niillä vietetty aika
- Käyttöjärjestelmä
- Referrer (lähtöpaikka)
3.4 Evästeet
Käytämme palvelun toimintaan tarvittavia teknisiä evästeitä. Lisätietoja on evästekäytännössämme.
4. Käsittelyn tarkoitukset ja oikeusperuste
4.1 Majoituskohteiden ylläpitäjät
| Tarkoitus | Oikeusperuste |
|---|---|
| PMS-palvelun toimittaminen | Sopimuksen täyttäminen (GDPR art. 6.1.b) |
| Laskutus ja verotukselliset velvoitteet | Lakisääteinen velvoite (GDPR art. 6.1.c) |
| Asiakaspalvelu | Sopimuksen täyttäminen (GDPR art. 6.1.b) |
| Turvallisuus, petosten torjunta, palvelun luotettavuus | Oikeutettu etu (GDPR art. 6.1.f) |
| Markkinointiviestien lähettäminen | Suostumus (GDPR art. 6.1.a) - vain, jos se on annettu |
4.2 Majoituskohteiden vieraat
Tärkeä huomio: Vieraiden tietojen rekisterinpitäjä on majoituskohde. Vezpa toimii henkilötietojen käsittelijänä kohteen ylläpitäjän dokumentoidun ohjeistuksen perusteella Tietojenkäsittelysopimuksen (DPA) mukaisesti.
- Sisäänkirjautuminen ja vieraiden rekisteröinti: lakisääteinen velvoite (Italian TULPS-lain 109 artikla, asetus 159/2011) Italian osalta; vastaava lainsäädäntö muissa tuetuissa valtioissa
- Pakolliset ilmoitukset viranomaisille: AlloggiatiWeb (IT-poliisi), ISTAT (IT), PayTourist (IT-kunnat), Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) - kukin aktivoidaan vain, jos majoituskohde sijaitsee vastaavassa valtiossa
- Varauksen ja oleskelun hallinta: sopimuksen täyttäminen (art. 6.1.b)
- Ilmoitukset OTA:lle ja channel managerille: varaussopimuksen täyttäminen (art. 6.1.b), vain kohteen aktivoimat kanavat
5. Käsittelytavat
Henkilötietoja käsitellään sähköisin välinein, tiukasti tarkoitukseen liittyvällä logiikalla ja riittäviä turvatoimia noudattaen (GDPR art. 32):
- Salaus siirron aikana: kaikki tiedot lähetetään HTTPS/TLS 1.2+ -protokollaa käyttäen
- Salasanat: tallennetaan turvallisia tiivistealgoritmeja käyttäen (PBKDF2 Djangon oletus)
- Tokenit: JWT access 15 minuuttia, refresh kierrolla ja mustalla listalla, 2FA TOTP saatavilla
- Pääsynhallinta: rooliin perustuvat käyttöoikeudet (johtaja/avustaja/siivooja/tarkkailija), vähimmän oikeuden periaate
- Varmuuskopiot: suorittaa säännöllisesti infrastruktuurin tarjoaja (DigitalOcean), sijainti EU (Frankfurt)
- Hosting: DigitalOcean-palvelimet Euroopan unionissa (alue FRA1), tallennus DigitalOcean Spaces Frankfurt
- Valvonta: pääsy- ja sovelluslokit, automatisoitu poikkeavuuksien havaitseminen, bottien ja skannerien esto
6. Tietojen säilyttäminen
Henkilötietoja säilytetään ehdottoman tarpeellisen ajan:
- Ylläpitäjien (asiakkaiden) tiedot: sopimuksen voimassaolo + 10 vuotta verotuksellisten ja kirjanpidollisten velvoitteiden vuoksi
- Laskutustiedot: 10 vuotta (Italian siviililain 2220 artikla, verolainsäädännöllinen velvoite)
- Vieraiden tiedot (joita Vezpa käsittelee henkilötietojen käsittelijänä):
- AlloggiatiWeb-ilmoitukset: säilytysajan määrittää rekisterinpitäjä (majoituskohde) soveltuvan lainsäädännön mukaisesti
- ISTAT-ilmoitukset: ISTAT-säädösten mukaisesti
- Muut varaustiedot: rekisterinpitäjän ohjeiden mukaan DPA:ssa (tyypillisesti 10 vuotta verotuksellisissa tarkoituksissa)
- Sopimuksen päätyttyä rekisterinpitäjän kanssa Vezpa poistaa tai palauttaa vieraiden tiedot 30 päivän kuluessa, paitsi itsenäisten säilyttämisvelvoitteiden (esim. laskutus) osalta
- Pääsy- ja sovelluslokit: vakiona 12 kuukautta, jatkettavissa enintään 24 kuukauteen yksinomaan dokumentoiduissa käynnissä olevissa turvallisuustutkinnoissa tai oikeudellisten vaateiden puolustamista varten (oikeutettu etu GDPR art. 6.1.f mukaisesti, Italian tietosuojaviranomaisen päätöksen 352/2022 mukaisesti)
- Autentikointitokenit ja luotetut laitteet: 90 päivää viimeisestä käytöstä
- Markkinointitiedot (uutiskirjeet, kampanjat): suostumuksen peruuttamiseen asti, kahden vuoden välein tarkasteltavana
- Tukipyynnöt: sopimuksen voimassaolo + 2 vuotta
7. Tietojen luovuttaminen ja levittäminen
7.1 Tietojen vastaanottajat
Tietojanne voidaan luovuttaa seuraaville vastaanottajaryhmille. Aina ajan tasalla oleva nimetty luettelo alikäsittelijöistä on julkaistu osoitteessa vezpa.it/subprocessors.
Viranomaiset (itsenäiset rekisterinpitäjät, lakisääteinen velvoite)
- Italia: Poliisi / AlloggiatiWeb, ISTAT, kunnat (PayTouristin kautta matkailuveroa varten), Verohallinto
- Itävalta: Feratel/Meldeamt
- Espanja: SES.HOSPEDAJES (Sisäministeriö)
- Unkari: NTAK
- Kroatia: eVisitor
- Portugali: SEF
- Tsekki: UbyPort
- Slovenia: eTurizem / AJPES
Jokainen viranomaisliittymä aktivoidaan vain, jos majoituskohde sijaitsee vastaavassa valtiossa. Tunnukset määrittää majoituskohde itse.
Alikäsittelijät (GDPR art. 28.4)
- Infrastruktuuri: DigitalOcean LLC (Frankfurt-palvelimet, tietokanta, Spaces/CDN, Redis) - USA/EU DPF:llä ja SCC:llä
- Maksut: Stripe Payments Europe Ltd (EU) / Stripe Inc. (USA) - PCI-DSS, DPF-sertifioitu
- Transaktionaalinen sähköposti ja PEC: IONOS SE (DE)
- Sähköpostien lähetys ja vieraiden sähköpostien vastaanotto: Sendinblue SAS - Brevo (FR)
- Tekoälyavustaja (vastaukset vieraiden viesteihin, valinnainen): Anthropic, PBC (Yhdysvallat) — SCC
- Vieraiden WhatsApp-viestit (valinnainen): Meta Platforms Ireland Limited — WhatsApp Business Platform (IE + Yhdysvallat) — SCC
- Puhelimen ääniagentti (valinnainen): majoituspaikan valitsema ja sopimuskumppanikseen ottama puhealusta (esim. Retell, Vapi, ElevenLabs), joka vastaa puheluihin majoituspaikan puolesta. Se on majoituspaikan eikä Vezpan palveluntarjoaja: Vezpa välittää sille vain vastaamiseen tarvittavat tiedot ja vastaanottaa viestit ja puheluiden yhteenvedot.
- Mobiilipush-ilmoitukset: Google LLC - Firebase Cloud Messaging (USA, DPF-sertifioitu)
- Automaattinen kääntäminen (vieraiden viestit, lisäpalvelut): Google LLC - Google Cloud Translation API (USA, DPF-sertifioitu)
- Channel Manager OTA: STAAH Limited (Uusi-Seelanti) - EU:n riittävyyspäätöksen maa (2012)
- Sovelluksensisäiset ostot ja tilaukset:
- Apple Distribution International Ltd (IE) - EU-yksikkö; mahdollisia siirtoja Apple Inc.:lle (USA) säännellään SCC 2021/914 -lausekkeilla (Apple ei kuulu DPF-järjestelmään)
- Google Ireland Ltd / Google LLC (USA, aktiivinen DPF-sertifiointi)
- Microsoft Ireland / Microsoft Corp. (USA, aktiivinen DPF-sertifiointi)
- Älylukot (valinnainen, jos aktivoitu): Tuya Smart (CN) - EU:n SCC ja lisätoimet
- Ammattikonsultit: kirjanpitäjä, asianajaja, IT-konsultit, nimetään tarpeen mukaan henkilötietojen käsittelijöiksi tai itsenäisiksi rekisterinpitäjiksi
OTA (itsenäiset rekisterinpitäjät suhteessa matkustajaan)
- Booking.com, Airbnb, Expedia, VRBO, Agoda ja noin 60 muuta STAAH:n kautta liitettyä kanavaa: varaustiedot kulkevat majoituskohteen ja OTA:n välisen sopimuksen perusteella
7.2 Tietojen siirto EU:n ulkopuolelle
Joissakin käsittelyissä henkilötietoja siirretään Euroopan unionin ulkopuolelle. Kaikissa tapauksissa sovelletaan GDPR V luvun mukaisia suojatoimia:
- USA - EU-U.S. Data Privacy Framework (päätös (EU) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC, aktiiviset sertifioinnit Frameworkissa (tarkista osoitteessa dataprivacyframework.gov/list (avautuu uuteen välilehteen))
- USA - vakiosopimuslausekkeet (SCC) 2021/914: Apple Inc. - Apple ei kuulu DPF-järjestelmään; sopimussuhde EU-käyttäjien osalta on Apple Distribution International Ltd:n (Irlanti) kanssa, ja mahdolliset siirrot Apple Inc.:lle (USA) tapahtuvat SCC:n ja Applen sisäisten mekanismien kautta
- Uusi-Seelanti - riittävyyspäätös (päätös (EU) 2013/65): STAAH Limited
- Kiina (valinnainen) - EU:n vakiosopimuslausekkeet (SCC) 2021/914 + lisätoimet: Tuya Smart, vain älylukot aktivoiville majoituskohteille
- Kaikissa siirroissa, joissa ei ole aktiivista DPF:ää tai riittävyyttä, Vezpa soveltaa EU SCC 2021/914 -lausekkeita ja tarvittaessa dokumentoitua Transfer Impact Assessmentia (TIA)
7.3 Tietojen levittäminen
Henkilötietoja ei levitetä (ei luovuteta määrittelemättömille tahoille) eikä myydä.
8. Rekisteröidyn oikeudet
GDPR:n 15-22 artiklojen mukaisesti teillä on oikeus:
- Pääsy (art. 15): saada vahvistus tietojenne olemassaolosta ja kopio niistä
- Oikaisu (art. 16): korjata virheelliset tai puutteelliset tiedot
- Poisto (art. 17): saada tiedot poistetuksi (oikeus tulla unohdetuksi), kun edellytykset täyttyvät
- Rajoitus (art. 18): rajoittaa käsittelyä tietyissä olosuhteissa
- Siirrettävyys (art. 20): saada tiedot jäsennetyssä muodossa ja siirtää ne toiselle rekisterinpitäjälle
- Vastustaminen (art. 21): vastustaa käsittelyä oikeutetuista syistä
- Suostumuksen peruuttaminen: peruuttaa markkinointisuostumus milloin tahansa
Markkinointi ja uutiskirjeet
Markkinointiviestinnän tilaaminen edellyttää nimenomaista suostumusta kaksoissuostumusmenettelyllä (vahvistus sähköpostilinkillä). Jokainen viesti sisältää linkin, josta tilauksen voi perua heti. Olemassa oleville asiakkaille Vezpa voi lähettää viestejä vastaavista tuotteista ja palveluista Italian D.Lgs. 196/2003 art. 130.4 ("soft opt-in") mukaisesti, aina vastustamismahdollisuuden kera.
Miten käytätte oikeuksianne
Voitte käyttää oikeuksianne kirjoittamalla osoitteeseen:
- Sähköposti: info@vezpa.it
- PEC: lavezpa@pec.it
- Kirjattu kirje otsikossa olevaan osoitteeseen
Vastaamme 30 päivän kuluessa pyynnöstä.
Valitusoikeus
Jos katsotte, että tietojen käsittely loukkaa GDPR:ää, teillä on oikeus tehdä valitus valvontaviranomaiselle:
Italian tietosuojaviranomainen (Garante)
Piazza Venezia, 11 - 00187 Roma
Sähköposti: garante@gpdp.it
PEC: protocollo@pec.gpdp.it
Puh: +39 06.696771
Web: www.garanteprivacy.it (avautuu uuteen välilehteen)
Suomessa käyttäjät voivat kääntyä myös Tietosuojavaltuutetun toimiston puoleen (www.tietosuoja.fi (avautuu uuteen välilehteen)).
9. Alaikäiset
Vezpa PMS -palvelu on tarkoitettu yksinomaan yli 18-vuotiaille henkilöille. Emme tietoisesti kerää alaikäisten tietoja. Jos vanhempi tai huoltaja katsoo, että alaikäinen on antanut henkilötietoja, hän voi ottaa meihin yhteyttä niiden välittömäksi poistamiseksi.
10. Muutokset tietosuojaselosteeseen
Tämä tietosuojaseloste voi muuttua ajan myötä. Merkittävistä muutoksista ilmoitetaan riittävän ajoissa:
- Uusi versio julkaistaan verkkosivustolla
- Sähköpostitiedote rekisteröityneille käyttäjille
- Informatiivinen banneri suojatulla alueella
Viimeisen päivityksen päivämäärä on aina merkitty asiakirjan yläosaan.
Yhteystiedot
Kaikissa tätä tietosuojaselostetta koskevissa kysymyksissä tai oikeuksienne käyttämiseksi:
Vezpa di Paolo Vezzola
Sähköposti: info@vezpa.it
Web: https://vezpa.it/