POLÍTICA DE PRIVACIDADE
Vezpa - Property Management System
Última atualização: 2 de novembro de 2026
1. Responsável pelo tratamento
O Responsável pelo tratamento dos dados pessoais é:
Vezpa di Paolo Vezzola
Sede: Via San Zeno 67, 25015 Desenzano del Garda (BS), Itália
NIF (P.IVA): 04449070988
C.F.: VZZPLA84C10D284C
Email: info@vezpa.it
PEC: lavezpa@pec.it
2. Âmbito de aplicação
A presente Política de Privacidade aplica-se à plataforma Vezpa PMS (web, desktop e móvel) e às páginas do sítio na internet onde esta informação é publicada.
3. Dados pessoais recolhidos
3.1 Dados dos utilizadores do serviço (Gestores de unidades)
Quando se regista na Vezpa como gestor de empreendimento turístico, recolhemos:
- Dados identificativos: nome, apelido, email, número de telefone
- Dados da unidade: nome, morada, tipologia, número de contribuinte
- Dados de faturação: morada de faturação, número fiscal, código de faturação eletrónica/PEC
- Credenciais de acesso: email e palavra-passe (encriptada)
- Dados de pagamento: geridos através de prestadores externos certificados PCI-DSS (não armazenamos diretamente os dados de cartões de crédito)
3.2 Dados dos hóspedes das unidades
Por conta dos gestores das unidades (na qualidade de Subcontratante nos termos do art. 28.º RGPD, regulado pelo DPA), o sistema recolhe:
- Dados identificativos: nome, apelido, local e data de nascimento, nacionalidade, género
- Documentos de identificação: tipo, número, local e data de emissão, digitalização ou fotografia do documento. Tais imagens podem ser processadas com OCR automático para extração dos dados textuais. A OCR é utilizada unicamente para facilitar a introdução de dados pelo operador da unidade, sem finalidades analíticas, de definição de perfis ou decisórias autónomas; não são armazenados dados biométricos derivados.
- Dados de contacto: email, número de telefone
- Dados da reserva: datas de estadia, número de hóspedes, tarifas, regime
- Dados de pagamento: apenas se o pagamento for efetuado através do motor de reservas ou de link Stripe da Vezpa; os dados de cartão nunca são armazenados nos servidores Vezpa
3.3 Dados de navegação
- Endereço IP
- Tipo de navegador e dispositivo
- Páginas visitadas e tempo de permanência
- Sistema operativo
- Referenciador (proveniência)
3.4 Cookies
Utilizamos cookies técnicos necessários ao funcionamento do serviço. Para mais detalhes consulte a nossa Política de Cookies.
4. Finalidades do tratamento e fundamento jurídico
4.1 Para os gestores das unidades
| Finalidade | Fundamento jurídico |
|---|---|
| Prestação do serviço PMS | Execução do contrato (art. 6.º, n.º 1, al. b) RGPD) |
| Faturação e obrigações fiscais | Obrigação legal (art. 6.º, n.º 1, al. c) RGPD) |
| Assistência a clientes | Execução do contrato (art. 6.º, n.º 1, al. b) RGPD) |
| Segurança, prevenção de fraudes, fiabilidade do serviço | Interesse legítimo (art. 6.º, n.º 1, al. f) RGPD) |
| Envio de comunicações de marketing | Consentimento (art. 6.º, n.º 1, al. a) RGPD) - apenas se autorizado |
4.2 Para os hóspedes das unidades
Importante: para os dados dos hóspedes, o Responsável pelo tratamento é o empreendimento turístico. A Vezpa atua como Subcontratante com base em instruções documentadas do gestor da unidade, nos termos do Acordo de tratamento de dados.
- Check-in e registo de hóspedes: obrigação legal (lei italiana TULPS, art. 109, D.Lgs. 159/2011) para a Itália; legislação equivalente para os outros Estados suportados
- Comunicações governamentais obrigatórias: AlloggiatiWeb (IT-Questura), ISTAT (IT), PayTourist (IT-Municípios), Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) - cada uma ativada apenas se a unidade estiver situada no Estado correspondente
- Gestão da reserva e da estadia: execução do contrato (art. 6.º, n.º 1, al. b))
- Comunicações a OTA e channel manager: execução do contrato de reserva (art. 6.º, n.º 1, al. b)), apenas canais ativados pela unidade
5. Modalidades de tratamento
Os dados pessoais são tratados com instrumentos eletrónicos, com lógicas estritamente relacionadas com as finalidades e mediante a adoção de medidas de segurança adequadas (art. 32.º RGPD):
- 🔐 Encriptação em trânsito: todos os dados são transmitidos através de protocolo HTTPS/TLS 1.2+
- 🔐 Palavras-passe: armazenadas com algoritmos de hashing seguros (PBKDF2, predefinição Django)
- 🔐 Tokens: JWT access 15 minutos, refresh com rotação e blacklist, 2FA TOTP disponível
- 🔐 Controlo de acessos: autorizações baseadas em funções (diretor/assistente/governanta/observador), princípio do privilégio mínimo
- 🔐 Cópias de segurança: executadas regularmente pelo prestador de infraestrutura (DigitalOcean), localização UE (Frankfurt)
- 🔐 Alojamento: servidores DigitalOcean localizados na União Europeia (região FRA1), armazenamento DigitalOcean Spaces Frankfurt
- 🔐 Monitorização: registos de acesso e aplicacionais, deteção automatizada de anomalias, bloqueio de bots e scanners
6. Conservação dos dados
Os dados pessoais são conservados pelo tempo estritamente necessário:
- Dados dos gestores (clientes): duração do contrato + 10 anos para cumprimento de obrigações fiscais e contabilísticas
- Dados de faturação: 10 anos (art. 2220 c.c. italiano, obrigação fiscal)
- Dados dos hóspedes (tratados pela Vezpa como Subcontratante):
- Comunicações AlloggiatiWeb: o período de conservação é estabelecido pelo Responsável (unidade) com base na legislação aplicável
- Comunicações ISTAT: segundo a legislação ISTAT
- Outros dados da reserva: segundo as instruções do Responsável no DPA (tipicamente 10 anos para fins fiscais)
- Na cessação do contrato com o Responsável, a Vezpa elimina ou devolve os dados dos hóspedes no prazo de 30 dias, salvo obrigações de conservação autónomas (ex. faturação)
- Registos de acesso e aplicacionais: 12 meses como duração normal, prorrogáveis até 24 meses exclusivamente para investigações de segurança ativas documentadas ou para defesa em juízo (interesse legítimo nos termos do art. 6.º, n.º 1, al. f), em consonância com a Deliberação 352/2022 da autoridade italiana de proteção de dados - Garante)
- Tokens de autenticação e dispositivos fidedignos: 90 dias a contar da última utilização
- Dados para marketing (newsletter, campanhas): até revogação do consentimento, com revisão bienal
- Tickets de suporte: duração do contrato + 2 anos
7. Comunicação e divulgação dos dados
7.1 Destinatários dos dados
Os seus dados podem ser comunicados às seguintes categorias de destinatários. A lista nominativa sempre atualizada dos subcontratantes ulteriores é publicada em vezpa.it/subprocessors.
Autoridades públicas (Responsáveis autónomos, obrigação legal)
- Itália: Polícia / AlloggiatiWeb, ISTAT, Municípios (via PayTourist para taxa municipal turística), Agenzia delle Entrate
- Áustria: Feratel/Meldeamt
- Espanha: SES.HOSPEDAJES (Ministerio del Interior)
- Hungria: NTAK
- Croácia: eVisitor
- Portugal: SEF
- República Checa: UbyPort
- Eslovénia: eTurizem / AJPES
Cada conector governamental só é ativado se a unidade estiver situada no Estado correspondente. As credenciais são configuradas pela própria unidade.
Subcontratantes ulteriores (art. 28.º, n.º 4 RGPD)
- Infraestrutura: DigitalOcean LLC (servidores Frankfurt, base de dados, Spaces/CDN, Redis) - EUA/UE com DPF e CCT
- Pagamentos: Stripe Payments Europe Ltd (UE) / Stripe Inc. (EUA) - PCI-DSS, DPF certificado
- Email transacional e PEC: IONOS SE (DE)
- Envio de e-mails e receção dos e-mails dos hóspedes: Sendinblue SAS - Brevo (FR)
- Assistente de IA (respostas às mensagens dos hóspedes, opcional): Anthropic, PBC (EUA) — CCT
- Mensagens de WhatsApp dos hóspedes (opcional): Meta Platforms Ireland Limited — WhatsApp Business Platform (IE + EUA) — CCT
- Agente de voz ao telefone (opcional): a plataforma de voz escolhida e contratada pelo alojamento (ex. Retell, Vapi, ElevenLabs), que atende as chamadas em nome do alojamento. É um fornecedor do alojamento, não da Vezpa: a Vezpa transmite-lhe apenas os dados necessários à resposta e recebe as mensagens e os resumos das chamadas.
- Notificações push em dispositivos móveis: Google LLC - Firebase Cloud Messaging (EUA, DPF certificado)
- Tradução automática (mensagens dos hóspedes, extras): Google LLC - Google Cloud Translation API (EUA, DPF certificado)
- Channel Manager OTA: STAAH Limited (Nova Zelândia) - país com decisão de adequação UE (2012)
- Compras in-app e subscrições:
- Apple Distribution International Ltd (IE) - entidade UE; eventuais transferências para a Apple Inc. (EUA) regidas pelas CCT 2021/914 (a Apple não adere ao DPF)
- Google Ireland Ltd / Google LLC (EUA, certificação DPF ativa)
- Microsoft Ireland / Microsoft Corp. (EUA, certificação DPF ativa)
- Fechaduras inteligentes (opcional, se ativadas): Tuya Smart (CN) - CCT UE e medidas complementares
- Consultores profissionais: contabilista, advogado, consultores TI, designados como Subcontratantes ou Responsáveis autónomos conforme necessário
OTA (Responsáveis autónomos pela relação com o viajante)
- Booking.com, Airbnb, Expedia, VRBO, Agoda e ~60 outros canais ligados através da STAAH: os dados de reserva transitam com base no contrato entre a unidade e a OTA
7.2 Transferência de dados fora da UE
Alguns tratamentos implicam transferências de dados pessoais para fora da União Europeia. Em todos os casos são adotadas garantias nos termos do Capítulo V do RGPD:
- EUA - EU-U.S. Data Privacy Framework (Decisão (UE) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC, certificações ativas no Framework (verificação em dataprivacyframework.gov/list (abre num novo separador))
- EUA - Cláusulas Contratuais-Tipo (CCT 2021/914): Apple Inc. - a Apple não adere ao DPF; a relação contratual para os utilizadores UE é com a Apple Distribution International Ltd (Irlanda), e eventuais transferências para a Apple Inc. (EUA) efetuam-se através de CCT e mecanismos internos da Apple
- Nova Zelândia - Decisão de adequação (Decisão (UE) 2013/65): STAAH Limited
- China (opcional) - Cláusulas Contratuais-Tipo (CCT) 2021/914 + medidas suplementares: Tuya Smart, apenas para as unidades que ativam fechaduras inteligentes
- Para cada transferência na ausência de DPF ativo ou adequação, a Vezpa adota CCT UE 2021/914 e, quando aplicável, uma avaliação documentada do impacto da transferência (TIA)
7.3 Divulgação
Os dados pessoais não são objeto de divulgação (comunicação a entidades indeterminadas) e não são vendidos.
8. Direitos do titular dos dados
Nos termos dos artigos 15.º a 22.º do RGPD, tem direito a:
- 📧 Acesso (art. 15.º): obter confirmação da existência dos seus dados e receber cópia
- ✏️ Retificação (art. 16.º): corrigir dados inexatos ou incompletos
- 🗑️ Apagamento (art. 17.º): obter o apagamento dos dados (direito ao esquecimento) quando verificados os pressupostos
- ⏸️ Limitação (art. 18.º): limitar o tratamento em determinadas condições
- 📤 Portabilidade (art. 20.º): receber os dados em formato estruturado e transmiti-los a outro responsável
- 🚫 Oposição (art. 21.º): opor-se ao tratamento por motivos legítimos
- ❌ Revogação do consentimento: revogar a qualquer momento o consentimento para marketing
Marketing e newsletter
A subscrição de comunicações comerciais exige consentimento explícito com duplo opt-in (confirmação através de link por email). Cada comunicação contém um link de anulação de subscrição imediato. Para os clientes existentes, a Vezpa pode enviar comunicações sobre produtos e serviços análogos ao abrigo do art. 130.º, n.º 4, do D.Lgs. 196/2003 ("soft opt-in"), com possibilidade sempre ativa de oposição.
Como exercer os direitos
Pode exercer os seus direitos escrevendo para:
- 📧 Email: info@vezpa.it
- ✉️ PEC: lavezpa@pec.it
- 📮 Carta registada com aviso de receção para a morada indicada no cabeçalho
Responderemos no prazo de 30 dias a contar do pedido.
Direito de reclamação
Se considerar que o tratamento dos seus dados viola o RGPD, tem o direito de apresentar reclamação junto da autoridade de controlo:
Garante per la Protezione dei Dati Personali (autoridade italiana de proteção de dados)
Piazza Venezia, 11 - 00187 Roma
Email: garante@gpdp.it
PEC: protocollo@pec.gpdp.it
Tel: +39 06.696771
Web: www.garanteprivacy.it (abre num novo separador)
Os utilizadores em Portugal podem também contactar a Comissão Nacional de Proteção de Dados - CNPD (www.cnpd.pt (abre num novo separador)).
9. Menores
O serviço Vezpa PMS destina-se exclusivamente a pessoas maiores de 18 anos. Não recolhemos conscientemente dados de menores. Se um progenitor ou tutor considerar que um menor forneceu dados pessoais, pode contactar-nos para a sua eliminação imediata.
10. Alterações à Política de Privacidade
Esta Política de Privacidade pode ser alterada ao longo do tempo. Qualquer alteração substancial será comunicada com aviso prévio adequado através de:
- Publicação da nova versão no sítio na internet
- Notificação por email aos utilizadores registados
- Banner informativo na área reservada
A data da última atualização está sempre indicada no topo do documento.
📞 Contactos
Para qualquer questão relativa a esta Política de Privacidade ou para exercer os seus direitos:
Vezpa di Paolo Vezzola
📧 Email: info@vezpa.it
🌐 Web: https://vezpa.it/