PRIVACYBELEID
Vezpa - Property Management System
Laatst bijgewerkt: 2 november 2026
1. Verwerkingsverantwoordelijke
De Verwerkingsverantwoordelijke voor de persoonsgegevens is:
Vezpa di Paolo Vezzola
Statutaire zetel: Via San Zeno 67, 25015 Desenzano del Garda (BS), Italië
Btw-nummer: 04449070988
Fiscaal nummer: VZZPLA84C10D284C
E-mail: info@vezpa.it
PEC: lavezpa@pec.it
2. Toepassingsgebied
Dit Privacybeleid is van toepassing op het Vezpa PMS-platform (web, desktop en mobiel) en op de webpagina's waarop deze verklaring wordt gepubliceerd.
3. Verzamelde persoonsgegevens
3.1 Gegevens van gebruikers van de dienst (beheerders van accommodaties)
Wanneer u zich registreert bij Vezpa als beheerder van een accommodatie, verzamelen wij:
- Identificatiegegevens: voornaam, achternaam, e-mail, telefoonnummer
- Gegevens van de accommodatie: naam, adres, type, btw-nummer
- Factureringsgegevens: factuuradres, fiscaal nummer/btw-nummer, unieke code/PEC
- Inloggegevens: e-mail en wachtwoord (versleuteld)
- Betaalgegevens: beheerd via externe PCI-DSS-gecertificeerde dienstverleners (wij slaan kaartgegevens niet rechtstreeks op)
3.2 Gegevens van gasten van de accommodaties
Namens de beheerders van de accommodaties (als Verwerker in de zin van art. 28 AVG, geregeld in de Verwerkersovereenkomst (DPA)) verzamelt het systeem:
- Identificatiegegevens: voornaam, achternaam, geboorteplaats en -datum, nationaliteit, geslacht
- Identiteitsdocumenten: type, nummer, plaats en datum van afgifte, scan of foto van het document. Deze afbeeldingen kunnen worden verwerkt met automatische OCR voor het extraheren van tekstgegevens. OCR wordt uitsluitend gebruikt om de invoer van gegevens door de medewerker van de accommodatie te vergemakkelijken, zonder analytische, profilerings- of autonome besluitvormingsdoeleinden; er worden geen afgeleide biometrische gegevens opgeslagen.
- Contactgegevens: e-mail, telefoonnummer
- Reserveringsgegevens: verblijfsdata, aantal gasten, tarieven, maaltijdregeling
- Betaalgegevens: alleen indien de betaling plaatsvindt via de booking engine of Stripe-betaallink van Vezpa; kaartgegevens worden nooit opgeslagen op de Vezpa-servers
3.3 Navigatiegegevens
- IP-adres
- Type browser en apparaat
- Bezochte pagina's en duur van het bezoek
- Besturingssysteem
- Referrer (herkomst)
3.4 Cookies
Wij gebruiken technische cookies die noodzakelijk zijn voor de werking van de dienst. Raadpleeg voor meer details ons Cookiebeleid.
4. Doeleinden van de verwerking en rechtsgrondslag
4.1 Voor beheerders van accommodaties
| Doel | Rechtsgrondslag |
|---|---|
| Levering van de PMS-dienst | Uitvoering van de overeenkomst (art. 6.1.b AVG) |
| Facturering en fiscale verplichtingen | Wettelijke verplichting (art. 6.1.c AVG) |
| Klantenservice | Uitvoering van de overeenkomst (art. 6.1.b AVG) |
| Veiligheid, fraudepreventie, betrouwbaarheid van de dienst | Gerechtvaardigd belang (art. 6.1.f AVG) |
| Verzending van marketingcommunicatie | Toestemming (art. 6.1.a AVG) - alleen indien toegestaan |
4.2 Voor gasten van de accommodaties
Belangrijk: Voor gastgegevens is de Verwerkingsverantwoordelijke de accommodatie. Vezpa treedt op als Verwerker op basis van gedocumenteerde instructies van de beheerder van de accommodatie, overeenkomstig de Verwerkersovereenkomst (DPA).
- Check-in en gastregistratie: wettelijke verplichting (Italiaanse wet TULPS, art. 109, Wetsbesluit 159/2011) voor Italië; equivalente regelgeving voor andere ondersteunde staten
- Verplichte overheidscommunicatie: AlloggiatiWeb (IT-Politie), ISTAT (IT), PayTourist (IT-Gemeenten), Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) — elk alleen geactiveerd indien de accommodatie in de betreffende staat gevestigd is
- Beheer van reservering en verblijf: uitvoering van de overeenkomst (art. 6.1.b)
- Communicatie met OTA's en channel manager: uitvoering van de reserveringsovereenkomst (art. 6.1.b), alleen door de accommodatie geactiveerde kanalen
5. Wijze van verwerking
De persoonsgegevens worden verwerkt met elektronische middelen, volgens werkwijzen die strikt verband houden met de doeleinden en met passende beveiligingsmaatregelen (art. 32 AVG):
- 🔐 Versleuteling tijdens transport: alle gegevens worden verzonden via HTTPS/TLS 1.2+
- 🔐 Wachtwoorden: opgeslagen met veilige hash-algoritmen (PBKDF2, standaard in Django)
- 🔐 Tokens: JWT access 15 minuten, refresh met rotatie en blacklist, 2FA TOTP beschikbaar
- 🔐 Toegangscontrole: rolgebaseerde autorisaties (directeur/assistent/huishoudster/waarnemer), principe van minimale privileges
- 🔐 Back-ups: regelmatig uitgevoerd door de infrastructuuraanbieder (DigitalOcean), locatie EU (Frankfurt)
- 🔐 Hosting: DigitalOcean-servers gevestigd in de Europese Unie (regio FRA1), opslag op DigitalOcean Spaces in Frankfurt
- 🔐 Monitoring: toegangs- en applicatielogs, geautomatiseerde anomaliedetectie, blokkering van bots en scanners
6. Bewaring van gegevens
Persoonsgegevens worden bewaard voor de strikt noodzakelijke periode:
- Gegevens van beheerders (klanten): duur van de overeenkomst + 10 jaar voor fiscale en boekhoudkundige verplichtingen
- Factureringsgegevens: 10 jaar (art. 2220 Italiaans Burgerlijk Wetboek, fiscale verplichting)
- Gastgegevens (door Vezpa verwerkt als Verwerker):
- AlloggiatiWeb-communicatie: de bewaartermijn wordt vastgesteld door de Verwerkingsverantwoordelijke (accommodatie) op basis van de toepasselijke regelgeving
- ISTAT-communicatie: volgens de ISTAT-regelgeving
- Overige reserveringsgegevens: volgens de instructies van de Verwerkingsverantwoordelijke in de DPA (doorgaans 10 jaar voor fiscale doeleinden)
- Bij beëindiging van de overeenkomst met de Verwerkingsverantwoordelijke verwijdert of retourneert Vezpa de gastgegevens binnen 30 dagen, behoudens zelfstandige bewaarplichten (bijv. facturering)
- Toegangs- en applicatielogs: 12 maanden als standaardduur, uitsluitend verlengbaar tot 24 maanden voor gedocumenteerde lopende beveiligingsonderzoeken of voor verweer in rechte (gerechtvaardigd belang krachtens art. 6.1.f, in lijn met besluit 352/2022 van de Garante)
- Authenticatietokens en vertrouwde apparaten: 90 dagen na het laatste gebruik
- Marketinggegevens (nieuwsbrieven, campagnes): tot intrekking van de toestemming, met tweejaarlijkse herziening
- Supporttickets: duur van de overeenkomst + 2 jaar
7. Communicatie en verspreiding van gegevens
7.1 Ontvangers van de gegevens
Uw gegevens kunnen worden meegedeeld aan de volgende categorieën ontvangers. De altijd actuele lijst met namen van de subverwerkers is gepubliceerd op vezpa.it/subprocessors.
Overheidsinstanties (zelfstandige Verwerkingsverantwoordelijken, wettelijke verplichting)
- Italië: Politie / AlloggiatiWeb, ISTAT, Gemeenten (via PayTourist voor toeristenbelasting), Italiaanse belastingdienst (Agenzia delle Entrate)
- Oostenrijk: Feratel/Meldeamt
- Spanje: SES.HOSPEDAJES (Ministerie van Binnenlandse Zaken)
- Hongarije: NTAK
- Kroatië: eVisitor
- Portugal: SEF
- Tsjechië: UbyPort
- Slovenië: eTurizem / AJPES
Elke overheidsconnector wordt alleen geactiveerd indien de accommodatie in de betreffende staat gevestigd is. De inloggegevens worden door de accommodatie zelf geconfigureerd.
Subverwerkers (art. 28.4 AVG)
- Infrastructuur: DigitalOcean LLC (servers Frankfurt, database, Spaces/CDN, Redis) — VS/EU met DPF en SCC
- Betalingen: Stripe Payments Europe Ltd (EU) / Stripe Inc. (VS) — PCI-DSS, DPF-gecertificeerd
- Transactionele e-mail en PEC: IONOS SE (DE)
- Verzending van e-mails en ontvangst van e-mails van gasten: Sendinblue SAS - Brevo (FR)
- AI-assistent (antwoorden op berichten van gasten, optioneel): Anthropic, PBC (VS) — SCC
- WhatsApp-berichten van gasten (optioneel): Meta Platforms Ireland Limited — WhatsApp Business Platform (IE + VS) — SCC
- Spraakagent aan de telefoon (optioneel): het spraakplatform dat de accommodatie kiest en contracteert (bv. Retell, Vapi, ElevenLabs) en dat namens de accommodatie de oproepen beantwoordt. Het is een leverancier van de accommodatie, niet van Vezpa: Vezpa geeft het alleen de gegevens door die nodig zijn voor het antwoord en ontvangt de berichten en samenvattingen van de gesprekken.
- Mobiele pushmeldingen: Google LLC — Firebase Cloud Messaging (VS, DPF-gecertificeerd)
- Automatische vertaling (gastberichten, extra's): Google LLC — Google Cloud Translation API (VS, DPF-gecertificeerd)
- Channel Manager OTA: STAAH Limited (Nieuw-Zeeland) — land met EU-adequaatheidsbesluit (2012)
- In-app-aankopen en abonnementen:
- Apple Distribution International Ltd (IE) — EU-entiteit; eventuele doorgiften naar Apple Inc. (VS) worden beheerst door SCC 2021/914 (Apple neemt niet deel aan het DPF)
- Google Ireland Ltd / Google LLC (VS, actieve DPF-certificering)
- Microsoft Ireland / Microsoft Corp. (VS, actieve DPF-certificering)
- Slimme sloten (optioneel, indien geactiveerd): Tuya Smart (CN) — EU-SCC en aanvullende maatregelen
- Professionele adviseurs: accountant, advocaat, IT-consultants, aangewezen als Verwerkers of zelfstandige Verwerkingsverantwoordelijken, al naargelang de behoefte
OTA's (zelfstandige Verwerkingsverantwoordelijken voor de relatie met de reiziger)
- Booking.com, Airbnb, Expedia, VRBO, Agoda en ~60 andere kanalen aangesloten via STAAH: de reserveringsgegevens worden doorgegeven op basis van het contract tussen de accommodatie en de OTA
7.2 Doorgifte van gegevens buiten de EU
Sommige verwerkingen houden doorgifte van persoonsgegevens buiten de Europese Unie in. In alle gevallen worden waarborgen getroffen overeenkomstig Hoofdstuk V AVG:
- VS — EU-U.S. Data Privacy Framework (Besluit (EU) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC, met actieve certificeringen in het Framework (te verifiëren op dataprivacyframework.gov/list (opent in een nieuw tabblad))
- VS — Standaardcontractbepalingen (SCC 2021/914): Apple Inc. — Apple neemt niet deel aan het DPF; de contractuele relatie voor EU-gebruikers loopt via Apple Distribution International Ltd (Ierland), en eventuele doorgiften naar Apple Inc. (VS) vinden plaats via SCC en interne mechanismen van Apple
- Nieuw-Zeeland — Adequaatheidsbesluit (Besluit 2013/65/EU): STAAH Limited
- China (optioneel) — Standaardcontractbepalingen (SCC) 2021/914 + aanvullende maatregelen: Tuya Smart, alleen voor accommodaties die slimme sloten activeren
- Voor elke doorgifte zonder actief DPF of adequaatheidsbesluit hanteert Vezpa EU-SCC 2021/914 en, indien van toepassing, een gedocumenteerde Transfer Impact Assessment (TIA)
7.3 Verspreiding
De persoonsgegevens worden niet verspreid (meegedeeld aan onbepaalde personen) en worden niet verkocht.
8. Rechten van de betrokkene
Overeenkomstig de artikelen 15-22 AVG heeft u het recht:
- 📧 Inzage (art. 15): bevestiging te verkrijgen van het bestaan van uw gegevens en daarvan een kopie te ontvangen
- ✏️ Rectificatie (art. 16): onjuiste of onvolledige gegevens te corrigeren
- 🗑️ Wissing (art. 17): wissing van de gegevens te verkrijgen (recht op vergetelheid) indien aan de voorwaarden is voldaan
- ⏸️ Beperking (art. 18): de verwerking onder bepaalde voorwaarden te beperken
- 📤 Overdraagbaarheid (art. 20): de gegevens in gestructureerd formaat te ontvangen en aan een andere verwerkingsverantwoordelijke over te dragen
- 🚫 Bezwaar (art. 21): om legitieme redenen bezwaar te maken tegen de verwerking
- ❌ Intrekking toestemming: op elk moment de toestemming voor marketing in te trekken
Marketing en nieuwsbrieven
Inschrijving op commerciële communicatie vereist uitdrukkelijke toestemming met double opt-in (bevestiging via e-maillink). Elke communicatie bevat een directe uitschrijflink. Voor bestaande klanten kan Vezpa communicatie verzenden over soortgelijke producten en diensten overeenkomstig art. 130.4 Italiaans Wetsbesluit 196/2003 ("soft opt-in"), waarbij bezwaar altijd mogelijk blijft.
Hoe u uw rechten uitoefent
U kunt uw rechten uitoefenen door te schrijven naar:
- 📧 E-mail: info@vezpa.it
- ✉️ PEC: lavezpa@pec.it
- 📮 Aangetekende brief met ontvangstbevestiging aan het bovengenoemde adres
Wij antwoorden binnen 30 dagen na het verzoek.
Recht om een klacht in te dienen
Indien u van mening bent dat de verwerking van uw gegevens in strijd is met de AVG, heeft u het recht een klacht in te dienen bij de toezichthoudende autoriteit:
Italiaanse toezichthoudende autoriteit (Garante per la Protezione dei Dati Personali)
Piazza Venezia, 11 - 00187 Rome
E-mail: garante@gpdp.it
PEC: protocollo@pec.gpdp.it
Tel: +39 06.696771
Web: www.garanteprivacy.it (opent in een nieuw tabblad)
Gebruikers in Nederland kunnen ook terecht bij de Autoriteit Persoonsgegevens (www.autoriteitpersoonsgegevens.nl (opent in een nieuw tabblad)).
9. Minderjarigen
De Vezpa PMS-dienst is uitsluitend bestemd voor personen ouder dan 18 jaar. Wij verzamelen niet bewust gegevens van minderjarigen. Als een ouder of voogd van mening is dat een minderjarige persoonsgegevens heeft verstrekt, kan hij contact met ons opnemen voor onmiddellijke verwijdering.
10. Wijzigingen van het Privacybeleid
Dit Privacybeleid kan in de loop van de tijd worden gewijzigd. Elke wezenlijke wijziging wordt met een passende vooraankondiging meegedeeld via:
- Publicatie van de nieuwe versie op de website
- E-mailmelding aan geregistreerde gebruikers
- Informatiebanner in het afgeschermde gedeelte
De datum van laatste wijziging staat altijd bovenaan het document vermeld.
📞 Contact
Voor vragen over dit Privacybeleid of om uw rechten uit te oefenen:
Vezpa di Paolo Vezzola
📧 E-mail: info@vezpa.it
🌐 Web: https://vezpa.it/