PERSONVERNERKLÆRING
Vezpa - Property Management System
Sist oppdatert: 2. november 2026
1. Behandlingsansvarlig
Behandlingsansvarlig for personopplysningene er:
Vezpa di Paolo Vezzola
Forretningsadresse: Via San Zeno 67, 25015 Desenzano del Garda (BS), Italia
MVA-nr.: 04449070988
Skattekode: VZZPLA84C10D284C
E-post: info@vezpa.it
Sertifisert e-post (PEC): lavezpa@pec.it
2. Virkeområde
Denne personvernerklæringen gjelder for Vezpa PMS-plattformen (web, desktop og mobil) og for de sidene på nettstedet hvor denne erklæringen er publisert.
3. Innsamlede personopplysninger
3.1 Data om tjenestens brukere (driftsansvarlige for innkvarteringssteder)
Når De registrerer Dem hos Vezpa som driftsansvarlig for et innkvarteringssted, samler vi inn:
- Personopplysninger: fornavn, etternavn, e-post, telefonnummer
- Opplysninger om virksomheten: navn, adresse, type, MVA-nr.
- Faktureringsopplysninger: fakturaadresse, skattekode/MVA-nr., unik kode/PEC
- Påloggingsopplysninger: e-post og passord (kryptert)
- Betalingsopplysninger: behandles gjennom eksterne PCI-DSS-sertifiserte leverandører (vi lagrer ikke direkte kredittkortdata)
3.2 Data om gjestene på innkvarteringsstedene
På vegne av de driftsansvarlige for innkvarteringsstedene (som Databehandler i henhold til art. 28 GDPR, regulert av DPA) samler systemet inn:
- Identifikasjonsdata: fornavn, etternavn, fødested og fødselsdato, statsborgerskap, kjønn
- Legitimasjonsdokumenter: type, nummer, utstedelsessted og -dato, skanning eller fotografi av dokumentet. Slike bilder kan behandles med automatisk OCR for uttrekk av tekstdata. OCR brukes utelukkende for å gjøre det enklere for innkvarteringsstedets operatør å legge inn data, uten formål knyttet til analyse, profilering eller selvstendige beslutninger; avledede biometriske data lagres ikke.
- Kontaktopplysninger: e-post, telefonnummer
- Bestillingsopplysninger: oppholdsdatoer, antall gjester, priser, måltidsordning
- Betalingsopplysninger: kun hvis betalingen skjer gjennom Vezpas booking engine eller Stripe-lenke; kortdata lagres aldri på Vezpas servere
3.3 Navigasjonsdata
- IP-adresse
- Type nettleser og enhet
- Besøkte sider og oppholdstid
- Operativsystem
- Referrer (henvisningskilde)
3.4 Informasjonskapsler
Vi bruker tekniske informasjonskapsler som er nødvendige for tjenestens funksjon. For mer informasjon, se vår Erklæring om informasjonskapsler.
4. Formål med behandlingen og rettslig grunnlag
4.1 For driftsansvarlige for innkvarteringssteder
| Formål | Rettslig grunnlag |
|---|---|
| Levering av PMS-tjenesten | Oppfyllelse av avtale (art. 6.1.b GDPR) |
| Fakturering og skatterettslige forpliktelser | Rettslig forpliktelse (art. 6.1.c GDPR) |
| Kundestøtte | Oppfyllelse av avtale (art. 6.1.b GDPR) |
| Sikkerhet, svindelforebygging, tjenestens pålitelighet | Berettiget interesse (art. 6.1.f GDPR) |
| Utsendelse av markedsføringskommunikasjon | Samtykke (art. 6.1.a GDPR) - kun dersom tillatt |
4.2 For gjestene på innkvarteringsstedene
Viktig: For gjestenes data er innkvarteringsstedet behandlingsansvarlig. Vezpa opptrer som Databehandler etter dokumenterte instruksjoner fra den driftsansvarlige, i henhold til Databehandleravtalen.
- Innsjekk og gjesteregistrering: rettslig forpliktelse (den italienske TULPS-loven, art. 109, D.Lgs. 159/2011) for Italia; tilsvarende regelverk for de øvrige støttede statene
- Obligatorisk myndighetskommunikasjon: AlloggiatiWeb (IT-politiet), ISTAT (IT), PayTourist (IT-kommuner), Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) — hver aktiveres kun dersom innkvarteringsstedet er hjemmehørende i den tilsvarende staten
- Administrasjon av bestilling og opphold: oppfyllelse av avtale (art. 6.1.b)
- Kommunikasjon til OTA og channel manager: oppfyllelse av bestillingsavtalen (art. 6.1.b), kun kanaler aktivert av innkvarteringsstedet
5. Behandlingsmåte
Personopplysninger behandles med elektroniske verktøy, med logikk strengt knyttet til formålene, og ved bruk av egnede sikkerhetstiltak (art. 32 GDPR):
- 🔐 Kryptering under overføring: alle data overføres via HTTPS/TLS 1.2+-protokollen
- 🔐 Passord: lagres med sikre hash-algoritmer (PBKDF2 Django standard)
- 🔐 Tokens: JWT access 15 minutter, refresh med rotasjon og svarteliste, 2FA TOTP tilgjengelig
- 🔐 Tilgangskontroll: rollebaserte tillatelser (direktør/assistent/husholderske/observatør), prinsippet om minste privilegium
- 🔐 Sikkerhetskopier: utføres jevnlig av infrastrukturleverandøren (DigitalOcean), plassering i EU (Frankfurt)
- 🔐 Hosting: DigitalOcean-servere plassert i Den europeiske union (region FRA1), lagring DigitalOcean Spaces Frankfurt
- 🔐 Overvåkning: tilgangs- og applikasjonslogger, automatisk avviksdeteksjon, blokkering av bots og skannere
6. Oppbevaring av data
Personopplysninger oppbevares kun så lenge det er strengt nødvendig:
- Data om driftsansvarlige (kunder): kontraktens varighet + 10 år for skatte- og regnskapsmessige forpliktelser
- Faktureringsdata: 10 år (art. 2220 i den italienske sivilloven, skatterettslig forpliktelse)
- Data om gjester (behandlet av Vezpa som Databehandler):
- Kommunikasjon med AlloggiatiWeb: oppbevaringsperioden fastsettes av den Behandlingsansvarlige (innkvarteringsstedet) etter gjeldende regelverk
- ISTAT-kommunikasjon: i henhold til ISTAT-regelverk
- Øvrige bestillingsdata: etter den Behandlingsansvarliges instruksjoner i DPA (typisk 10 år av skattemessige grunner)
- Ved opphør av avtalen med den Behandlingsansvarlige sletter eller returnerer Vezpa gjestedata innen 30 dager, med mindre det foreligger selvstendige oppbevaringsforpliktelser (f.eks. fakturering)
- Tilgangs- og applikasjonslogger: 12 måneder som standard varighet, kan forlenges til inntil 24 måneder utelukkende for aktive, dokumenterte sikkerhetsundersøkelser eller for forsvar i rettssak (berettiget interesse etter art. 6.1.f, i tråd med vedtak 352/2022 fra den italienske datatilsynsmyndigheten)
- Autentiseringstokens og betrodde enheter: 90 dager fra siste bruk
- Data for markedsføring (nyhetsbrev, kampanjer): inntil samtykket trekkes tilbake, med toårlig gjennomgang
- Støttehenvendelser: kontraktens varighet + 2 år
7. Formidling og spredning av data
7.1 Mottakere av data
Deres data kan formidles til følgende kategorier av mottakere. Den alltid oppdaterte navnelisten over underdatabehandlere er publisert på vezpa.it/subprocessors.
Offentlige myndigheter (selvstendige behandlingsansvarlige, rettslig forpliktelse)
- Italia: Politiet / AlloggiatiWeb, ISTAT, kommuner (via PayTourist for turistskatt), skattemyndighetene (Agenzia delle Entrate)
- Østerrike: Feratel/Meldeamt
- Spania: SES.HOSPEDAJES (Ministerio del Interior)
- Ungarn: NTAK
- Kroatia: eVisitor
- Portugal: SEF
- Tsjekkia: UbyPort
- Slovenia: eTurizem / AJPES
Hver myndighetskonnektor aktiveres kun dersom innkvarteringsstedet er hjemmehørende i den tilsvarende staten. Påloggingsopplysningene konfigureres av innkvarteringsstedet selv.
Underdatabehandlere (art. 28.4 GDPR)
- Infrastruktur: DigitalOcean LLC (Frankfurt-servere, database, Spaces/CDN, Redis) — USA/EU med DPF og SCC
- Betalinger: Stripe Payments Europe Ltd (EU) / Stripe Inc. (USA) — PCI-DSS, DPF-sertifisert
- Transaksjonell e-post og PEC: IONOS SE (DE)
- Sending av e-post og mottak av gjestenes e-post: Sendinblue SAS - Brevo (FR)
- KI-assistent (svar på gjesters meldinger, valgfritt): Anthropic, PBC (USA) — SCC
- Gjesters WhatsApp-meldinger (valgfritt): Meta Platforms Ireland Limited — WhatsApp Business Platform (IE + USA) — SCC
- Taleagent på telefon (valgfritt): taleplattformen som overnattingsstedet har valgt og inngått avtale med (f.eks. Retell, Vapi, ElevenLabs), og som besvarer anrop på vegne av overnattingsstedet. Den er overnattingsstedets leverandør, ikke Vezpas: Vezpa gir den bare dataene som trengs for svaret, og mottar meldingene og sammendragene av samtalene.
- Push-varsler mobil: Google LLC — Firebase Cloud Messaging (USA, DPF-sertifisert)
- Automatisk oversettelse (gjestemeldinger, tilleggstjenester): Google LLC — Google Cloud Translation API (USA, DPF-sertifisert)
- Channel Manager OTA: STAAH Limited (New Zealand) — land med EU-tilstrekkelighetsbeslutning (2012)
- Kjøp i appen og abonnementer:
- Apple Distribution International Ltd (IE) — EU-enhet; eventuelle overføringer til Apple Inc. (USA) reguleres av SCC 2021/914 (Apple deltar ikke i DPF)
- Google Ireland Ltd / Google LLC (USA, aktiv DPF-sertifisering)
- Microsoft Ireland / Microsoft Corp. (USA, aktiv DPF-sertifisering)
- Smartlåser (valgfritt, dersom aktivert): Tuya Smart (CN) — EU SCC og supplerende tiltak
- Profesjonelle rådgivere: regnskapsfører, advokat, IT-konsulenter, utnevnt som Databehandlere eller selvstendige Behandlingsansvarlige etter behov
OTA (selvstendige behandlingsansvarlige for forholdet til den reisende)
- Booking.com, Airbnb, Expedia, VRBO, Agoda og ~60 andre kanaler tilkoblet via STAAH: bestillingsdata formidles i henhold til avtalen mellom innkvarteringsstedet og OTA-en
7.2 Overføring av data utenfor EU
Enkelte behandlinger medfører overføring av personopplysninger utenfor Den europeiske union. I alle tilfeller er det iverksatt garantier i henhold til GDPR kapittel V:
- USA — EU-U.S. Data Privacy Framework (Beslutning (EU) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC, aktive sertifiseringer i rammeverket (kontrolleres på dataprivacyframework.gov/list (åpnes i en ny fane))
- USA — Standard personvernbestemmelser (SCC) 2021/914: Apple Inc. — Apple deltar ikke i DPF; kontraktsforholdet for EU-brukere er med Apple Distribution International Ltd (Irland), og eventuelle overføringer til Apple Inc. (USA) skjer ved bruk av SCC og Apples interne mekanismer
- New Zealand — Tilstrekkelighetsbeslutning (EU-beslutning 2013/65): STAAH Limited
- Kina (valgfritt) — Standard personvernbestemmelser (SCC) 2021/914 + supplerende tiltak: Tuya Smart, kun for innkvarteringssteder som aktiverer smartlåser
- For hver overføring uten aktiv DPF eller tilstrekkelighet anvender Vezpa EU SCC 2021/914 og, når aktuelt, dokumentert Transfer Impact Assessment (TIA)
7.3 Spredning
Personopplysninger er ikke gjenstand for spredning (formidling til en ubestemt krets av mottakere) og blir ikke solgt.
8. De registrertes rettigheter
I henhold til GDPR-artiklene 15-22 har De rett til:
- 📧 Innsyn (art. 15): få bekreftelse på at Deres data eksisterer og motta kopi av dem
- ✏️ Retting (art. 16): rette uriktige eller ufullstendige data
- 🗑️ Sletting (art. 17): få slettet data (retten til å bli glemt) når forutsetningene foreligger
- ⏸️ Begrensning (art. 18): begrense behandlingen på visse vilkår
- 📤 Dataportabilitet (art. 20): motta data i et strukturert format og overføre dem til en annen behandlingsansvarlig
- 🚫 Innsigelse (art. 21): motsette Dem behandlingen av legitime grunner
- ❌ Tilbaketrekking av samtykke: når som helst trekke tilbake samtykke til markedsføring
Markedsføring og nyhetsbrev
Påmelding til markedsføringskommunikasjon krever uttrykkelig samtykke med dobbelt opt-in (bekreftelse via e-postlenke). Hver melding inneholder en lenke for umiddelbar avmelding. Overfor eksisterende kunder kan Vezpa sende meldinger om tilsvarende produkter og tjenester i henhold til art. 130.4 D.Lgs. 196/2003 ("soft opt-in"), med mulighet til når som helst å motsette seg dette.
Hvordan utøve rettighetene
De kan utøve Deres rettigheter ved å skrive til:
- 📧 E-post: info@vezpa.it
- ✉️ PEC: lavezpa@pec.it
- 📮 Rekommandert brev til adressen øverst på siden
Vi svarer innen 30 dager fra forespørselen mottas.
Klageadgang
Dersom De mener at behandlingen av Deres data bryter med GDPR, har De rett til å klage til tilsynsmyndigheten:
Den italienske datatilsynsmyndigheten (Garante per la Protezione dei Dati Personali)
Piazza Venezia, 11 - 00187 Roma
E-post: garante@gpdp.it
PEC: protocollo@pec.gpdp.it
Tlf.: +39 06.696771
Web: www.garanteprivacy.it (åpnes i en ny fane)
Brukere i Norge kan også henvende seg til Datatilsynet (www.datatilsynet.no (åpnes i en ny fane)).
9. Mindreårige
Vezpa PMS-tjenesten er utelukkende rettet mot personer over 18 år. Vi samler ikke bevisst inn data om mindreårige. Dersom en forelder eller verge mener at en mindreårig har oppgitt personopplysninger, kan de kontakte oss for umiddelbar sletting.
10. Endringer i personvernerklæringen
Denne personvernerklæringen kan endres over tid. Enhver vesentlig endring vil bli meddelt med passende varsel gjennom:
- Publisering av den nye versjonen på nettstedet
- E-postvarsel til registrerte brukere
- Informasjonsbanner i det innloggede området
Dato for siste oppdatering er alltid angitt øverst i dokumentet.
📞 Kontakt
Ved spørsmål om denne personvernerklæringen eller for å utøve Deres rettigheter:
Vezpa di Paolo Vezzola
📧 E-post: info@vezpa.it
🌐 Web: https://vezpa.it/