PRAVILA PRIVATNOSTI
Vezpa - Property Management System
Posljednje ažuriranje: 2. studenoga 2026.
1. Voditelj obrade
Voditelj obrade osobnih podataka je:
Vezpa di Paolo Vezzola
Sjedište: Via San Zeno 67, 25015 Desenzano del Garda (BS), Italija
PDV broj: 04449070988
Talijanski porezni broj (C.F.): VZZPLA84C10D284C
E-pošta: info@vezpa.it
PEC: lavezpa@pec.it
2. Područje primjene
Ova Pravila privatnosti primjenjuju se na platformu Vezpa PMS (web, desktop i mobilni uređaji) te na stranice web-mjesta na kojima je ova obavijest objavljena.
3. Osobni podaci koji se prikupljaju
3.1 Podaci korisnika usluge (Upravitelji objekata)
Kada se registrirate na Vezpi kao upravitelj smještajnog objekta, prikupljamo:
- Osobni podaci: ime, prezime, e-pošta, telefonski broj
- Podaci o objektu: naziv, adresa, vrsta, PDV broj
- Podaci za naplatu: adresa za fakturiranje, OIB/PDV broj, jedinstveni kod/PEC
- Pristupni podaci: e-pošta i lozinka (kriptirana)
- Podaci o plaćanju: obrađuju se putem vanjskih pružatelja certificiranih prema PCI-DSS-u (podatke o kreditnim karticama ne pohranjujemo izravno)
3.2 Podaci gostiju objekata
U ime upravitelja objekata (u svojstvu Izvršitelja obrade sukladno čl. 28. GDPR-a, regulirano DPA-om), sustav prikuplja:
- Identifikacijski podaci: ime, prezime, mjesto i datum rođenja, državljanstvo, spol
- Identifikacijske isprave: vrsta, broj, mjesto i datum izdavanja, sken ili fotografija isprave. Te se slike mogu obraditi automatskim OCR-om radi ekstrakcije tekstualnih podataka. OCR se koristi isključivo radi olakšavanja unosa podataka od strane operatera objekta, bez svrha analize, profiliranja ili autonomnog odlučivanja; izvedeni biometrijski podaci ne pohranjuju se.
- Podaci za kontakt: e-pošta, telefonski broj
- Podaci o rezervaciji: datumi boravka, broj gostiju, cijene, vrsta pansiona
- Podaci o plaćanju: samo ako se plaćanje obavlja putem Vezpinog booking enginea ili Stripe linka; podaci o kartici nikada se ne pohranjuju na Vezpinim poslužiteljima
3.3 Podaci o navigaciji
- IP adresa
- Vrsta preglednika i uređaja
- Posjećene stranice i vrijeme zadržavanja
- Operativni sustav
- Referrer (izvor dolaska)
3.4 Kolačići
Koristimo tehničke kolačiće nužne za funkcioniranje usluge. Za više detalja pogledajte naša Pravila o kolačićima.
4. Svrhe obrade i pravna osnova
4.1 Za upravitelje objekata
| Svrha | Pravna osnova |
|---|---|
| Pružanje PMS usluge | Izvršenje ugovora (čl. 6.1.b GDPR-a) |
| Fakturiranje i porezne obveze | Zakonska obveza (čl. 6.1.c GDPR-a) |
| Korisnička podrška | Izvršenje ugovora (čl. 6.1.b GDPR-a) |
| Sigurnost, sprječavanje prijevara, pouzdanost usluge | Legitimni interes (čl. 6.1.f GDPR-a) |
| Slanje marketinških komunikacija | Privola (čl. 6.1.a GDPR-a) - samo ako je dana |
4.2 Za goste objekata
Važno: Za podatke gostiju, Voditelj obrade je smještajni objekt. Vezpa djeluje kao Izvršitelj obrade na temelju dokumentiranih uputa upravitelja objekta, sukladno Ugovoru o obradi osobnih podataka (DPA).
- Prijava i registracija gostiju: zakonska obveza (talijanski zakon TULPS, čl. 109, D.Lgs. 159/2011) za Italiju; ekvivalentni propisi za druge podržane države
- Obvezne komunikacije s javnim tijelima: AlloggiatiWeb (IT-Policija), ISTAT (IT), PayTourist (IT-Općine), Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) - svaka se aktivira samo ako objekt ima sjedište u odgovarajućoj državi
- Upravljanje rezervacijom i boravkom: izvršenje ugovora (čl. 6.1.b)
- Priopćavanje OTA kanalima i channel managerima: izvršenje ugovora o rezervaciji (čl. 6.1.b), samo kanali koje je objekt aktivirao
5. Način obrade
Osobni podaci obrađuju se elektroničkim sredstvima, logikom usko povezanom sa svrhama i uz primjenu odgovarajućih sigurnosnih mjera (čl. 32. GDPR-a):
- Enkripcija u prijenosu: svi podaci prenose se protokolom HTTPS/TLS 1.2+
- Lozinke: pohranjene sigurnim algoritmima sažimanja (PBKDF2, zadano u Djangu)
- Tokeni: JWT access 15 minuta, refresh s rotacijom i crnom listom, dostupna 2FA TOTP
- Kontrola pristupa: ovlaštenja temeljena na ulozi (direktor/asistent/domaćica/promatrač), načelo najmanjih ovlasti
- Sigurnosne kopije: redovito ih izrađuje pružatelj infrastrukture (DigitalOcean), lokacija u EU-u (Frankfurt)
- Hosting: DigitalOcean poslužitelji smješteni u Europskoj uniji (regija FRA1), pohrana DigitalOcean Spaces Frankfurt
- Nadzor: pristupni i aplikacijski dnevnici, automatizirano otkrivanje anomalija, blokiranje botova i skenera
6. Čuvanje podataka
Osobni podaci čuvaju se onoliko dugo koliko je strogo potrebno:
- Podaci upravitelja (klijenata): trajanje ugovora + 10 godina za porezne i računovodstvene obveze
- Podaci za naplatu: 10 godina (čl. 2220. talijanskog Građanskog zakonika, porezna obveza)
- Podaci gostiju (koje Vezpa obrađuje kao Izvršitelj):
- Komunikacije AlloggiatiWeb: razdoblje čuvanja utvrđuje Voditelj obrade (objekt) sukladno primjenjivim propisima
- ISTAT komunikacije: sukladno ISTAT propisima
- Ostali podaci o rezervaciji: sukladno uputama Voditelja obrade u DPA-u (tipično 10 godina za porezne svrhe)
- Po prestanku ugovora s Voditeljem obrade, Vezpa briše ili vraća podatke gostiju u roku od 30 dana, osim ako postoje samostalne obveze čuvanja (npr. fakturiranje)
- Pristupni i aplikacijski dnevnici: 12 mjeseci kao standardno trajanje, uz mogućnost produljenja do 24 mjeseca isključivo za aktivne dokumentirane sigurnosne istrage ili za obranu u sudskom postupku (legitimni interes iz čl. 6.1.f, u skladu s Odlukom talijanskog tijela za zaštitu podataka Garante br. 352/2022)
- Autentifikacijski tokeni i povjereni uređaji: 90 dana od posljednje uporabe
- Podaci za marketing (newsletter, kampanje): do opoziva privole, uz dvogodišnju reviziju
- Zahtjevi za podršku: trajanje ugovora + 2 godine
7. Priopćavanje i širenje podataka
7.1 Primatelji podataka
Vaši podaci mogu se priopćiti sljedećim kategorijama primatelja. Uvijek ažuran poimenični popis podizvršitelja obrade objavljen je na vezpa.it/subprocessors.
Javna tijela (samostalni Voditelji obrade, zakonska obveza)
- Italija: Policija / AlloggiatiWeb, ISTAT, Općine (putem PayTourist za boravišnu pristojbu), Porezna uprava
- Austrija: Feratel/Meldeamt
- Španjolska: SES.HOSPEDAJES (Ministerio del Interior)
- Mađarska: NTAK
- Hrvatska: eVisitor
- Portugal: SEF
- Češka: UbyPort
- Slovenija: eTurizem / AJPES
Svaki se konektor prema državnom tijelu aktivira samo ako objekt ima sjedište u odgovarajućoj državi. Vjerodajnice konfigurira sam objekt.
Podizvršitelji obrade (čl. 28.4 GDPR-a)
- Infrastruktura: DigitalOcean LLC (poslužitelji u Frankfurtu, baza podataka, Spaces/CDN, Redis) - SAD/EU s DPF-om i SCC-om
- Plaćanja: Stripe Payments Europe Ltd (EU) / Stripe Inc. (SAD) - PCI-DSS, DPF certificirano
- Transakcijska e-pošta i PEC: IONOS SE (DE)
- Slanje e-pošte i primanje e-pošte gostiju: Sendinblue SAS - Brevo (FR)
- AI asistent (odgovori na poruke gostiju, neobavezno): Anthropic, PBC (SAD) — SCC
- WhatsApp poruke gostiju (neobavezno): Meta Platforms Ireland Limited — WhatsApp Business Platform (IE + SAD) — SCC
- Glasovni agent na telefonu (neobavezno): glasovna platforma koju je smještaj odabrao i ugovorio (npr. Retell, Vapi, ElevenLabs), a koja odgovara na pozive u ime smještaja. Ona je dobavljač smještaja, a ne Vezpe: Vezpa joj prenosi samo podatke potrebne za odgovor i prima poruke i sažetke poziva.
- Mobilne push obavijesti: Google LLC - Firebase Cloud Messaging (SAD, DPF certificirano)
- Automatski prijevod (poruke gostiju, dodatne usluge): Google LLC - Google Cloud Translation API (SAD, DPF certificirano)
- Channel Manager OTA: STAAH Limited (Novi Zeland) - država s odlukom EU-a o primjerenosti (2012.)
- Kupnje u aplikaciji i pretplate:
- Apple Distribution International Ltd (IE) - EU subjekt; eventualni prijenosi prema Apple Inc. (SAD) uređeni su klauzulama SCC 2021/914 (Apple ne sudjeluje u DPF-u)
- Google Ireland Ltd / Google LLC (SAD, aktivna DPF certifikacija)
- Microsoft Ireland / Microsoft Corp. (SAD, aktivna DPF certifikacija)
- Pametne brave (neobavezno, ako se aktiviraju): Tuya Smart (CN) - EU SCC i dopunske mjere
- Stručni savjetnici: računovođa, odvjetnik, IT konzultanti, imenovani kao Izvršitelji ili samostalni Voditelji obrade prema potrebi
OTA (samostalni Voditelji obrade za odnos s putnikom)
- Booking.com, Airbnb, Expedia, VRBO, Agoda i oko 60 drugih kanala povezanih putem STAAH-a: podaci o rezervaciji prolaze temeljem ugovora između objekta i OTA-e
7.2 Prijenos podataka izvan EU-a
Neke obrade uključuju prijenose osobnih podataka izvan Europske unije. U svim se slučajevima primjenjuju jamstva sukladno Poglavlju V. GDPR-a:
- SAD - EU-U.S. Data Privacy Framework (Odluka (EU) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC, s aktivnom certifikacijom u okviru tog programa (provjera na dataprivacyframework.gov/list (otvara se u novoj kartici))
- SAD - Standardne ugovorne klauzule (SCC) 2021/914: Apple Inc. - Apple ne sudjeluje u DPF-u; ugovorni odnos za korisnike u EU-u je s Apple Distribution International Ltd (Irska), a eventualni prijenosi prema Apple Inc. (SAD) odvijaju se putem SCC-a i internih Appleovih mehanizama
- Novi Zeland - Odluka o primjerenosti (Odluka EU 2013/65): STAAH Limited
- Kina (neobavezno) - Standardne ugovorne klauzule (SCC) 2021/914 + dopunske mjere: Tuya Smart, samo za objekte koji aktiviraju pametne brave
- Za svaki prijenos bez aktivnog DPF-a ili odluke o primjerenosti, Vezpa primjenjuje EU SCC 2021/914 i, gdje je primjenjivo, dokumentiranu procjenu učinka prijenosa (Transfer Impact Assessment, TIA)
7.3 Širenje
Osobni podaci ne podliježu širenju (priopćavanju neodređenim subjektima) i ne prodaju se.
8. Prava ispitanika
Sukladno člancima 15.-22. GDPR-a, imate pravo na:
- Pristup (čl. 15.): dobivanje potvrde o postojanju Vaših podataka i primanje kopije
- Ispravak (čl. 16.): ispravljanje netočnih ili nepotpunih podataka
- Brisanje (čl. 17.): dobivanje brisanja podataka (pravo na zaborav) kada su ispunjeni uvjeti
- Ograničenje (čl. 18.): ograničenje obrade u određenim uvjetima
- Prenosivost (čl. 20.): primanje podataka u strukturiranom obliku i prijenos drugom voditelju obrade
- Prigovor (čl. 21.): ulaganje prigovora na obradu iz legitimnih razloga
- Opoziv privole: opoziv privole za marketing u bilo kojem trenutku
Marketing i newsletter
Prijava na komercijalne obavijesti zahtijeva izričitu privolu s dvostrukim opt-inom (potvrda putem poveznice u e-poruci). Svaka obavijest sadrži poveznicu za trenutnu odjavu. Za postojeće klijente, Vezpa može slati obavijesti o sličnim proizvodima i uslugama sukladno čl. 130.4 D.Lgs. 196/2003 ("soft opt-in"), s uvijek aktivnom mogućnošću prigovora.
Kako ostvariti prava
Svoja prava možete ostvariti pišući na:
- E-pošta: info@vezpa.it
- PEC: lavezpa@pec.it
- Preporučenom poštom s povratnicom na adresu navedenu u zaglavlju
Odgovorit ćemo u roku od 30 dana od zahtjeva.
Pravo na pritužbu
Ako smatrate da obrada Vaših podataka krši GDPR, imate pravo podnijeti pritužbu nadzornom tijelu:
Garante per la Protezione dei Dati Personali (talijansko tijelo za zaštitu podataka - Garante)
Piazza Venezia, 11 - 00187 Roma
E-pošta: garante@gpdp.it
PEC: protocollo@pec.gpdp.it
Tel: +39 06.696771
Web: www.garanteprivacy.it (otvara se u novoj kartici)
Korisnici u Hrvatskoj mogu se obratiti i Agenciji za zaštitu osobnih podataka - AZOP (www.azop.hr (otvara se u novoj kartici)).
9. Maloljetnici
Usluga Vezpa PMS namijenjena je isključivo osobama starijima od 18 godina. Ne prikupljamo svjesno podatke maloljetnika. Ako roditelj ili skrbnik smatra da je maloljetnik dao osobne podatke, može nas kontaktirati radi njihova trenutnog brisanja.
10. Izmjene Pravila privatnosti
Ova se Pravila privatnosti mogu mijenjati tijekom vremena. Svaka bitna izmjena bit će priopćena uz odgovarajuću najavu putem:
- Objave nove verzije na web-mjestu
- Obavijesti e-poštom registriranim korisnicima
- Informativnog bannera u korisničkom području
Datum posljednjeg ažuriranja uvijek je naznačen na vrhu dokumenta.
Kontakti
Za sva pitanja o ovim Pravilima privatnosti ili za ostvarivanje svojih prava:
Vezpa di Paolo Vezzola
E-pošta: info@vezpa.it
Web: https://vezpa.it/