POLITYKA PRYWATNOŚCI
Vezpa - Property Management System
Ostatnia aktualizacja: 2 listopada 2026
1. Administrator danych
Administratorem danych osobowych jest:
Vezpa di Paolo Vezzola
Siedziba: Via San Zeno 67, 25015 Desenzano del Garda (BS), Włochy
NIP (P.IVA): 04449070988
Kod podatkowy (C.F.): VZZPLA84C10D284C
E-mail: info@vezpa.it
PEC: lavezpa@pec.it
2. Zakres zastosowania
Niniejsza Polityka prywatności ma zastosowanie do platformy Vezpa PMS (wersja webowa, desktopowa i mobilna) oraz do stron serwisu internetowego, na których opublikowano niniejszą informację.
3. Gromadzone dane osobowe
3.1 Dane użytkowników usługi (zarządcy obiektów)
Gdy rejestrują się Państwo w Vezpie jako zarządcy obiektów noclegowych, gromadzimy:
- Dane osobowe: imię, nazwisko, e-mail, numer telefonu
- Dane obiektu: nazwa, adres, typ, numer NIP
- Dane do fakturowania: adres rozliczeniowy, kod podatkowy/NIP, kod unikalny/PEC
- Dane dostępowe: e-mail i hasło (zaszyfrowane)
- Dane płatnicze: obsługiwane przez zewnętrznych dostawców certyfikowanych PCI-DSS (nie przechowujemy bezpośrednio danych kart kredytowych)
3.2 Dane gości obiektów
W imieniu zarządców obiektów (jako Podmiot przetwarzający w rozumieniu art. 28 RODO, na zasadach określonych w DPA) system gromadzi:
- Dane identyfikacyjne: imię, nazwisko, miejsce i data urodzenia, obywatelstwo, płeć
- Dokumenty tożsamości: rodzaj, numer, miejsce i data wydania, skan lub zdjęcie dokumentu. Obrazy te mogą być przetwarzane za pomocą automatycznego OCR w celu wyodrębnienia danych tekstowych. OCR służy wyłącznie ułatwieniu wprowadzania danych przez personel obiektu, bez celów analitycznych, profilowania ani autonomicznego podejmowania decyzji; pochodne dane biometryczne nie są przechowywane.
- Dane kontaktowe: e-mail, numer telefonu
- Dane rezerwacji: daty pobytu, liczba gości, stawki, wyżywienie
- Dane płatnicze: wyłącznie gdy płatność odbywa się za pośrednictwem silnika rezerwacji lub linku Stripe Vezpy; dane karty nigdy nie są przechowywane na serwerach Vezpy
3.3 Dane nawigacyjne
- Adres IP
- Typ przeglądarki i urządzenia
- Odwiedzone strony i czas spędzony na nich
- System operacyjny
- Referrer (źródło odwiedzin)
3.4 Pliki cookie
Korzystamy z technicznych plików cookie niezbędnych do funkcjonowania usługi. Więcej informacji w naszej Polityce plików cookie.
4. Cele przetwarzania i podstawa prawna
4.1 Dla zarządców obiektów
| Cel | Podstawa prawna |
|---|---|
| Świadczenie usługi PMS | Wykonanie umowy (art. 6 ust. 1 lit. b RODO) |
| Fakturowanie i obowiązki podatkowe | Obowiązek prawny (art. 6 ust. 1 lit. c RODO) |
| Obsługa klienta | Wykonanie umowy (art. 6 ust. 1 lit. b RODO) |
| Bezpieczeństwo, zapobieganie oszustwom, niezawodność usługi | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) |
| Wysyłka komunikatów marketingowych | Zgoda (art. 6 ust. 1 lit. a RODO) - tylko po jej udzieleniu |
4.2 Dla gości obiektów
Ważne: W odniesieniu do danych gości Administratorem danych jest obiekt noclegowy. Vezpa działa jako Podmiot przetwarzający na podstawie udokumentowanych poleceń zarządcy obiektu, zgodnie z Umową powierzenia przetwarzania danych (DPA).
- Zameldowanie i rejestracja gości: obowiązek prawny (włoska ustawa TULPS, art. 109, D.Lgs. 159/2011) dla Włoch; równoważne przepisy dla innych obsługiwanych państw
- Obowiązkowe zgłoszenia do organów państwowych: AlloggiatiWeb (IT-Questura), ISTAT (IT), PayTourist (IT-Gminy), Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) — każde uruchamiane wyłącznie wtedy, gdy obiekt znajduje się w odpowiednim państwie
- Zarządzanie rezerwacją i pobytem: wykonanie umowy (art. 6 ust. 1 lit. b)
- Przekazywanie danych do OTA i channel managera: wykonanie umowy rezerwacji (art. 6 ust. 1 lit. b), wyłącznie do kanałów aktywowanych przez obiekt
5. Sposób przetwarzania
Dane osobowe są przetwarzane za pomocą narzędzi elektronicznych, w sposób ściśle związany z celami i z zastosowaniem odpowiednich środków bezpieczeństwa (art. 32 RODO):
- 🔐 Szyfrowanie podczas przesyłania: wszystkie dane są przesyłane za pośrednictwem protokołu HTTPS/TLS 1.2+
- 🔐 Hasła: przechowywane z wykorzystaniem bezpiecznych algorytmów haszowania (domyślnie Django PBKDF2)
- 🔐 Tokeny: JWT access 15 minut, refresh z rotacją i czarną listą, dostępne 2FA TOTP
- 🔐 Kontrola dostępu: uprawnienia na podstawie roli (dyrektor/asystent/pokojowa/obserwator), zasada najmniejszych uprawnień
- 🔐 Kopie zapasowe: wykonywane regularnie przez dostawcę infrastruktury (DigitalOcean), lokalizacja w UE (Frankfurt)
- 🔐 Hosting: serwery DigitalOcean zlokalizowane w Unii Europejskiej (region FRA1), przechowywanie plików w DigitalOcean Spaces Frankfurt
- 🔐 Monitorowanie: logi dostępu i aplikacji, automatyczne wykrywanie anomalii, blokowanie botów i skanerów
6. Przechowywanie danych
Dane osobowe są przechowywane przez okres ściśle niezbędny:
- Dane zarządców (klientów): okres trwania umowy + 10 lat na cele podatkowe i księgowe
- Dane fakturowania: 10 lat (art. 2220 włoskiego kodeksu cywilnego, obowiązek podatkowy)
- Dane gości (przetwarzane przez Vezpę jako Podmiot przetwarzający):
- Zgłoszenia AlloggiatiWeb: okres przechowywania ustala Administrator (obiekt) zgodnie z obowiązującymi przepisami
- Zgłoszenia ISTAT: zgodnie z przepisami ISTAT
- Pozostałe dane rezerwacji: zgodnie z poleceniami Administratora w DPA (zwykle 10 lat dla celów podatkowych)
- Po rozwiązaniu umowy z Administratorem Vezpa usuwa lub zwraca dane gości w ciągu 30 dni, z wyjątkiem własnych obowiązków przechowywania (np. fakturowanie)
- Logi dostępu i aplikacji: 12 miesięcy jako standardowy okres, z możliwością przedłużenia do 24 miesięcy wyłącznie na potrzeby udokumentowanych, trwających dochodzeń w sprawie bezpieczeństwa lub obrony w postępowaniach sądowych (prawnie uzasadniony interes zgodnie z art. 6 ust. 1 lit. f RODO, w zgodzie z decyzją włoskiego organu ochrony danych 352/2022)
- Tokeny uwierzytelniające i zaufane urządzenia: 90 dni od ostatniego użycia
- Dane marketingowe (newsletter, kampanie): do wycofania zgody, z dwuletnią weryfikacją
- Zgłoszenia wsparcia: okres trwania umowy + 2 lata
7. Przekazywanie i publiczne udostępnianie danych
7.1 Odbiorcy danych
Państwa dane mogą być przekazywane następującym kategoriom odbiorców. Imienna, zawsze aktualna lista dalszych podmiotów przetwarzających jest publikowana pod adresem vezpa.it/subprocessors.
Organy publiczne (Administratorzy samodzielni, obowiązek prawny)
- Włochy: Questura / AlloggiatiWeb, ISTAT, gminy (przez PayTourist dla opłaty turystycznej), Agenzia delle Entrate
- Austria: Feratel/Meldeamt
- Hiszpania: SES.HOSPEDAJES (Ministerio del Interior)
- Węgry: NTAK
- Chorwacja: eVisitor
- Portugalia: SEF
- Republika Czeska: UbyPort
- Słowenia: eTurizem / AJPES
Każdy łącznik rządowy jest uruchamiany wyłącznie wtedy, gdy obiekt znajduje się w odpowiednim państwie. Dane uwierzytelniające konfiguruje sam obiekt.
Dalsze podmioty przetwarzające (art. 28 ust. 4 RODO)
- Infrastruktura: DigitalOcean LLC (serwery Frankfurt, baza danych, Spaces/CDN, Redis) — USA/UE z DPF i SCC
- Płatności: Stripe Payments Europe Ltd (EU) / Stripe Inc. (USA) — PCI-DSS, certyfikowany DPF
- E-mail transakcyjny i PEC: IONOS SE (DE)
- Wysyłka e-maili i odbiór e-maili od gości: Sendinblue SAS - Brevo (FR)
- Asystent AI (odpowiedzi na wiadomości gości, opcjonalnie): Anthropic, PBC (USA) — SCC
- Wiadomości WhatsApp gości (opcjonalnie): Meta Platforms Ireland Limited — WhatsApp Business Platform (IE + USA) — SCC
- Agent głosowy obsługujący telefon (opcjonalnie): platforma głosowa wybrana i zamówiona przez obiekt (np. Retell, Vapi, ElevenLabs), która odbiera połączenia w imieniu obiektu. Jest dostawcą obiektu, a nie Vezpy: Vezpa przekazuje jej wyłącznie dane niezbędne do odpowiedzi i otrzymuje wiadomości oraz podsumowania rozmów.
- Powiadomienia push na urządzeniach mobilnych: Google LLC — Firebase Cloud Messaging (USA, certyfikowany DPF)
- Tłumaczenie automatyczne (wiadomości gości, usługi dodatkowe): Google LLC — Google Cloud Translation API (USA, certyfikowany DPF)
- Channel Manager OTA: STAAH Limited (Nowa Zelandia) — państwo objęte decyzją o adekwatności UE (2012)
- Zakupy w aplikacji i subskrypcje:
- Apple Distribution International Ltd (IE) — podmiot UE; ewentualne przekazywanie do Apple Inc. (USA) regulowane przez SCC 2021/914 (Apple nie uczestniczy w DPF)
- Google Ireland Ltd / Google LLC (USA, aktywna certyfikacja DPF)
- Microsoft Ireland / Microsoft Corp. (USA, aktywna certyfikacja DPF)
- Inteligentne zamki (opcjonalnie, jeśli aktywowane): Tuya Smart (CN) — SCC UE i środki uzupełniające
- Doradcy zawodowi: księgowy, adwokat, doradcy IT, wyznaczeni jako Podmioty przetwarzające lub Administratorzy samodzielni w zależności od potrzeb
OTA (Administratorzy samodzielni w relacji z podróżnym)
- Booking.com, Airbnb, Expedia, VRBO, Agoda i ~60 innych kanałów połączonych przez STAAH: dane rezerwacji są przekazywane na podstawie umowy między obiektem a OTA
7.2 Przekazywanie danych poza UE
Niektóre operacje przetwarzania obejmują przekazywanie danych osobowych poza Unię Europejską. We wszystkich przypadkach stosowane są zabezpieczenia zgodnie z rozdziałem V RODO:
- USA — EU-U.S. Data Privacy Framework (Decyzja (UE) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC, z aktywną certyfikacją w ramach Framework (weryfikacja na dataprivacyframework.gov/list (otwiera się w nowej karcie))
- USA — Standardowe klauzule umowne (SCC 2021/914): Apple Inc. — Apple nie uczestniczy w DPF; relacja umowna dla użytkowników UE jest z Apple Distribution International Ltd (Irlandia), a ewentualne przekazywanie do Apple Inc. (USA) odbywa się za pośrednictwem SCC i wewnętrznych mechanizmów Apple
- Nowa Zelandia — Decyzja o adekwatności (Decyzja (UE) 2013/65): STAAH Limited
- Chiny (opcjonalnie) — Standardowe klauzule umowne (SCC) 2021/914 + środki uzupełniające: Tuya Smart, wyłącznie dla obiektów, które aktywują inteligentne zamki
- Dla każdego przekazania przy braku aktywnego DPF lub adekwatności Vezpa stosuje SCC UE 2021/914 oraz, gdy ma to zastosowanie, udokumentowany Transfer Impact Assessment (TIA)
7.3 Udostępnianie publiczne
Dane osobowe nie są przedmiotem udostępniania publicznego (przekazywania nieokreślonym odbiorcom) i nie są sprzedawane.
8. Prawa osoby, której dane dotyczą
Zgodnie z art. 15-22 RODO przysługują Państwu prawa do:
- 📧 Dostępu (art. 15): uzyskania potwierdzenia istnienia Państwa danych i otrzymania ich kopii
- ✏️ Sprostowania (art. 16): poprawienia nieprawidłowych lub niekompletnych danych
- 🗑️ Usunięcia (art. 17): uzyskania usunięcia danych (prawo do bycia zapomnianym), gdy spełnione są przesłanki
- ⏸️ Ograniczenia (art. 18): ograniczenia przetwarzania w określonych warunkach
- 📤 Przenoszenia (art. 20): otrzymania danych w ustrukturyzowanym formacie i przekazania ich innemu administratorowi
- 🚫 Sprzeciwu (art. 21): wniesienia sprzeciwu wobec przetwarzania z uzasadnionych przyczyn
- ❌ Wycofania zgody: wycofania w każdej chwili zgody na marketing
Marketing i newsletter
Zapis na informacje handlowe wymaga wyraźnej zgody z podwójnym opt-in (potwierdzenie przez link w e-mailu). Każda wiadomość zawiera link do natychmiastowej rezygnacji. W stosunku do istniejących klientów Vezpa może wysyłać informacje o podobnych produktach i usługach zgodnie z art. 130 ust. 4 włoskiego D.Lgs. 196/2003 ("soft opt-in"), z zawsze aktywną możliwością sprzeciwu.
Jak wykonywać prawa
Mogą Państwo wykonać swoje prawa, pisząc na:
- 📧 E-mail: info@vezpa.it
- ✉️ PEC: lavezpa@pec.it
- 📮 List polecony za potwierdzeniem odbioru na adres podany w nagłówku
Odpowiemy w ciągu 30 dni od otrzymania wniosku.
Prawo do skargi
Jeśli uważają Państwo, że przetwarzanie Państwa danych narusza RODO, przysługuje Państwu prawo do wniesienia skargi do organu nadzorczego:
Włoski organ ochrony danych (Garante per la Protezione dei Dati Personali)
Piazza Venezia, 11 - 00187 Roma
E-mail: garante@gpdp.it
PEC: protocollo@pec.gpdp.it
Tel: +39 06.696771
Web: www.garanteprivacy.it (otwiera się w nowej karcie)
Użytkownicy w Polsce mogą również zwrócić się do Prezesa Urzędu Ochrony Danych Osobowych - UODO (www.uodo.gov.pl (otwiera się w nowej karcie)).
9. Małoletni
Usługa Vezpa PMS jest skierowana wyłącznie do osób powyżej 18. roku życia. Nie zbieramy świadomie danych małoletnich. Jeśli rodzic lub opiekun uważa, że małoletni podał dane osobowe, może skontaktować się z nami w celu ich natychmiastowego usunięcia.
10. Zmiany w Polityce prywatności
Niniejsza Polityka prywatności może być z czasem modyfikowana. Każda istotna zmiana będzie zakomunikowana z odpowiednim wyprzedzeniem poprzez:
- Opublikowanie nowej wersji na stronie internetowej
- Powiadomienie e-mailem zarejestrowanych użytkowników
- Baner informacyjny w strefie użytkownika
Data ostatniej aktualizacji jest zawsze wskazana na górze dokumentu.
📞 Kontakt
W sprawie wszelkich pytań dotyczących niniejszej Polityki prywatności lub w celu wykonania swoich praw:
Vezpa di Paolo Vezzola
📧 E-mail: info@vezpa.it
🌐 Web: https://vezpa.it/