POLITICA DE CONFIDENȚIALITATE

1. Operatorul de date

Operatorul de date cu caracter personal este:

Vezpa di Paolo Vezzola
Sediu social: Via San Zeno 67, 25015 Desenzano del Garda (BS), Italia
Cod TVA: 04449070988
Cod fiscal: VZZPLA84C10D284C
Email: info@vezpa.it
PEC: lavezpa@pec.it

2. Domeniu de aplicare

Prezenta Politică de confidențialitate se aplică platformei Vezpa PMS (web, desktop și mobile) și paginilor site-ului web în care este publicată această informare.

3. Date cu caracter personal colectate

3.1 Datele utilizatorilor serviciului (administratori de structuri)

Când vă înregistrați pe Vezpa în calitate de administrator al unei structuri de cazare, colectăm:

• Date de identificare: nume, prenume, email, număr de telefon
• Datele structurii: denumire, adresă, tipologie, cod TVA
• Date de facturare: adresa de facturare, cod fiscal/cod TVA, cod unic/PEC
• Credențiale de acces: email și parolă (criptată)
• Date de plată: gestionate prin furnizori externi certificați PCI-DSS (nu memorăm direct datele cardurilor de credit)

3.2 Datele oaspeților structurilor

În contul administratorilor structurilor (în calitate de Împuternicit al operatorului conform art. 28 GDPR, reglementat de DPA), sistemul colectează:

• Date de identificare: nume, prenume, locul și data nașterii, cetățenie, gen
• Documente de identitate: tip, număr, loc și data eliberării, scanare sau fotografie a documentului. Aceste imagini pot fi procesate cu OCR automat pentru extragerea datelor textuale. OCR-ul este utilizat exclusiv pentru a facilita introducerea datelor de către operatorul unității, fără scopuri analitice, de profilare sau decizionale autonome; nu sunt memorate date biometrice derivate.
• Date de contact: email, număr de telefon
• Datele rezervării: date de ședere, număr oaspeți, tarife, regim de masă
• Date de plată: doar dacă plata se efectuează prin motorul de rezervări sau prin linkul Stripe al Vezpa; datele cardului nu sunt niciodată memorate pe serverele Vezpa

3.3 Date de navigare

• Adresa IP
• Tip de browser și dispozitiv
• Pagini vizitate și timp de ședere
• Sistem de operare
• Referrer (proveniență)

3.4 Cookie-uri

Folosim cookie-uri tehnice necesare pentru funcționarea serviciului. Pentru mai multe detalii consultați Politica privind cookie-urile.

4. Scopul prelucrării și temeiul juridic

4.1 Pentru administratorii structurilor

4.2 Pentru oaspeții structurilor

Important: Pentru datele oaspeților, Operatorul de date este structura de cazare. Vezpa acționează ca Împuternicit al operatorului pe baza instrucțiunilor documentate ale administratorului structurii, conform Acordului de prelucrare a datelor.

• Check-in și înregistrarea oaspeților: obligație legală (legea italiană TULPS, art. 109, D.Lgs. 159/2011) pentru Italia; reglementare echivalentă pentru celelalte state acceptate
• Comunicări guvernamentale obligatorii: AlloggiatiWeb (IT-Poliție), ISTAT (IT), PayTourist (IT-Comune), Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) — fiecare activată numai dacă structura este stabilită în statul corespunzător
• Gestionarea rezervării și șederii: executarea contractului (art. 6.1.b)
• Comunicări către OTA și channel manager: executarea contractului de rezervare (art. 6.1.b), numai canalele activate de structură

5. Modalități de prelucrare

Datele cu caracter personal sunt prelucrate cu instrumente electronice, cu o logică strict legată de scopuri și prin adoptarea de măsuri de securitate adecvate (art. 32 GDPR):

• Criptare în tranzit: toate datele sunt transmise prin protocol HTTPS/TLS 1.2+
• Parole: memorate cu algoritmi de hashing siguri (PBKDF2, implicit în Django)
• Token: JWT access 15 minute, refresh cu rotație și blacklist, 2FA TOTP disponibil
• Controlul accesului: autorizații bazate pe rol (director/asistent/menajeră/observator), principiul privilegiului minim
• Backup-uri: efectuate regulat de furnizorul de infrastructură (DigitalOcean), localizate în UE (Frankfurt)
• Hosting: servere DigitalOcean situate în Uniunea Europeană (regiunea FRA1), storage DigitalOcean Spaces Frankfurt
• Monitorizare: log-uri de acces și aplicative, detectare automată a anomaliilor, blocarea boților și a scanerelor

6. Păstrarea datelor

Datele cu caracter personal sunt păstrate pentru timpul strict necesar:

• Datele administratorilor (clienților): durata contractului + 10 ani pentru obligații fiscale și contabile
• Date de facturare: 10 ani (art. 2220 din Codul civil italian, obligație fiscală)
• Datele oaspeților (prelucrate de Vezpa în calitate de Împuternicit):
  • Comunicări AlloggiatiWeb: perioada de păstrare este stabilită de Operator (structura) în baza reglementării aplicabile
  • Comunicări ISTAT: conform reglementării ISTAT
  • Alte date ale rezervării: conform instrucțiunilor Operatorului din DPA (tipic 10 ani pentru scopuri fiscale)
  • La încetarea contractului cu Operatorul, Vezpa șterge sau returnează datele oaspeților în termen de 30 de zile, cu excepția obligațiilor autonome de păstrare (ex. facturare)
• Log-uri de acces și aplicative: 12 luni ca durată standard, extensibile până la 24 de luni exclusiv pentru investigații de securitate active documentate sau pentru apărare în instanță (interes legitim conform art. 6.1.f, în conformitate cu Decizia Garante 352/2022)
• Token de autentificare și dispozitive de încredere: 90 de zile de la ultima utilizare
• Date pentru marketing (newsletter, campanii): până la revocarea consimțământului, cu revizuire o dată la doi ani
• Tichete de suport: durata contractului + 2 ani

7. Comunicarea și diseminarea datelor

7.1 Destinatarii datelor

Datele dumneavoastră pot fi comunicate următoarelor categorii de destinatari. Lista nominală mereu actualizată a subîmputerniciților este publicată la adresa vezpa.it/subprocessors.

Autorități publice (Operatori autonomi, obligație legală)

• Italia: Poliția / AlloggiatiWeb, ISTAT, Comune (prin PayTourist pentru taxa turistică), Agenția Veniturilor
• Austria: Feratel/Meldeamt
• Spania: SES.HOSPEDAJES (Ministerul de Interne)
• Ungaria: NTAK
• Croația: eVisitor
• Portugalia: SEF
• Republica Cehă: UbyPort
• Slovenia: eTurizem / AJPES

Fiecare conector guvernamental este activat numai dacă structura este stabilită în statul corespunzător. Credențialele sunt configurate de structura însăși.

Subîmputerniciți (art. 28.4 GDPR)

• Infrastructură: DigitalOcean LLC (servere Frankfurt, bază de date, Spaces/CDN, Redis) — SUA/UE cu DPF și SCC
• Plăți: Stripe Payments Europe Ltd (UE) / Stripe Inc. (SUA) — PCI-DSS, DPF certificat
• Email tranzacțional și PEC: IONOS SE (DE)
• Trimiterea e-mailurilor și primirea e-mailurilor oaspeților: Sendinblue SAS - Brevo (FR)
• Asistent IA (răspunsuri la mesajele oaspeților, opțional): Anthropic, PBC (SUA) — SCC
• Mesajele WhatsApp ale oaspeților (opțional): Meta Platforms Ireland Limited — WhatsApp Business Platform (IE + SUA) — SCC
• Agent vocal la telefon (opțional): platforma vocală aleasă și contractată de unitate (de ex. Retell, Vapi, ElevenLabs), care răspunde la apeluri în numele unității. Este un furnizor al unității, nu al Vezpa: Vezpa îi transmite doar datele necesare răspunsului și primește mesajele și rezumatele apelurilor.
• Notificări push pe mobil: Google LLC — Firebase Cloud Messaging (SUA, DPF certificat)
• Traducere automată (mesajele oaspeților, servicii suplimentare): Google LLC — Google Cloud Translation API (SUA, DPF certificat)
• Channel Manager OTA: STAAH Limited (Noua Zeelandă) — țară cu decizie de adecvare UE (2012)
• Achiziții în aplicație și abonamente:
  • Apple Distribution International Ltd (IE) — entitate UE; eventualele transferuri către Apple Inc. (SUA) sunt guvernate de SCC 2021/914 (Apple nu aderă la DPF)
  • Google Ireland Ltd / Google LLC (SUA, DPF certificat activ)
  • Microsoft Ireland / Microsoft Corp. (SUA, DPF certificat activ)
• Încuietori inteligente (opțional, dacă sunt activate): Tuya Smart (CN) — SCC UE și măsuri suplimentare
• Consultanți profesionali: contabili, avocați, consultanți IT, desemnați ca Împuterniciți sau Operatori autonomi după caz

OTA (Operatori autonomi pentru raportul cu călătorul)

• Booking.com, Airbnb, Expedia, VRBO, Agoda și ~60 de alte canale conectate prin STAAH: datele rezervării circulă în baza contractului dintre structură și OTA

7.2 Transferul datelor în afara UE

Unele prelucrări implică transferuri de date cu caracter personal în afara Uniunii Europene. În toate cazurile sunt adoptate garanții conform Capitolului V GDPR:

• SUA — EU-U.S. Data Privacy Framework (Decizia (UE) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC, cu certificări active în Framework (verificare pe dataprivacyframework.gov/list (se deschide într-o filă nouă))
• SUA — Clauze Contractuale Standard (SCC) 2021/914: Apple Inc. — Apple nu aderă la DPF; raportul contractual pentru utilizatorii UE este cu Apple Distribution International Ltd (Irlanda), iar eventualele transferuri către Apple Inc. (SUA) au loc prin SCC și mecanisme interne Apple
• Noua Zeelandă — Decizie de adecvare (Decizia (UE) 2013/65): STAAH Limited
• China (opțional) — Clauze Contractuale Standard (SCC) 2021/914 + măsuri suplimentare: Tuya Smart, numai pentru structurile care activează încuietori inteligente
• Pentru orice transfer în absența unui DPF activ sau a unei decizii de adecvare, Vezpa adoptă SCC UE 2021/914 și, când este aplicabil, Transfer Impact Assessment (TIA) documentat

7.3 Diseminare

Datele cu caracter personal nu fac obiectul diseminării (comunicare către subiecți nedeterminați) și nu sunt vândute.

8. Drepturile persoanei vizate

Conform articolelor 15-22 din GDPR, aveți dreptul la:

• Acces (art. 15): obținerea confirmării existenței datelor dumneavoastră și primirea unei copii
• Rectificare (art. 16): corectarea datelor inexacte sau incomplete
• Ștergere (art. 17): obținerea ștergerii datelor (dreptul la uitare) când sunt îndeplinite condițiile
• Restricționare (art. 18): restricționarea prelucrării în anumite condiții
• Portabilitate (art. 20): primirea datelor într-un format structurat și transmiterea lor către alt operator
• Opoziție (art. 21): opoziția la prelucrare din motive legitime
• Revocarea consimțământului: revocarea în orice moment a consimțământului pentru marketing

Marketing și newsletter

Înscrierea la comunicări comerciale necesită consimțământ explicit cu dublu opt-in (confirmare prin link email). Fiecare comunicare conține un link de dezabonare imediată. Pentru clienții existenți, Vezpa poate trimite comunicări despre produse și servicii similare conform art. 130.4 D.Lgs. 196/2003 ("soft opt-in"), cu posibilitatea întotdeauna activă de a se opune.

Cum vă exercitați drepturile

Vă puteți exercita drepturile scriind la:

• Email: info@vezpa.it
• PEC: lavezpa@pec.it
• Scrisoare recomandată cu confirmare de primire la adresa din antet

Vă vom răspunde în termen de 30 de zile de la cerere.

Dreptul de a depune plângere

Dacă considerați că prelucrarea datelor dumneavoastră încalcă GDPR, aveți dreptul să depuneți plângere la autoritatea de supraveghere:

Autoritatea italiană pentru protecția datelor (Garante per la Protezione dei Dati Personali)
Piazza Venezia, 11 - 00187 Roma
Email: garante@gpdp.it
PEC: protocollo@pec.gpdp.it
Tel: +39 06.696771
Web: www.garanteprivacy.it (se deschide într-o filă nouă)

Utilizatorii din România se pot adresa și Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal - ANSPDCP (www.dataprotection.ro (se deschide într-o filă nouă)).

9. Minori

Serviciul Vezpa PMS este destinat exclusiv persoanelor cu vârsta de peste 18 ani. Nu colectăm cu bună știință date ale minorilor. Dacă un părinte sau tutore consideră că un minor a furnizat date cu caracter personal, ne poate contacta pentru ștergerea imediată.

10. Modificări ale Politicii de confidențialitate

Această Politică de confidențialitate poate fi modificată în timp. Orice modificare substanțială va fi comunicată cu preaviz adecvat prin:

• Publicarea noii versiuni pe site-ul web
• Notificare prin email către utilizatorii înregistrați
• Banner informativ în zona rezervată

Data ultimei actualizări este întotdeauna indicată în partea de sus a documentului.