POLITIKA ZASEBNOSTI

1. Upravljavec osebnih podatkov

Upravljavec obdelave osebnih podatkov je:

Vezpa di Paolo Vezzola
Sedež: Via San Zeno 67, 25015 Desenzano del Garda (BS), Italija
ID za DDV: 04449070988
Davčna številka: VZZPLA84C10D284C
E-pošta: info@vezpa.it
PEC: lavezpa@pec.it

2. Področje uporabe

Ta politika zasebnosti velja za platformo Vezpa PMS (splet, namizje in mobilne naprave) ter za strani spletnega mesta, na katerih je objavljeno to obvestilo.

3. Zbrani osebni podatki

3.1 Podatki uporabnikov storitve (upravljavci nastanitvenih objektov)

Ko se registrirate v Vezpi kot upravljavec nastanitvenega objekta, zbiramo:

• Osnovni osebni podatki: ime, priimek, e-pošta, telefonska številka
• Podatki o objektu: naziv, naslov, vrsta, ID za DDV
• Podatki za izdajo računov: naslov za račun, davčna/identifikacijska številka, enolična koda/PEC
• Podatki za dostop: e-pošta in geslo (šifrirano)
• Podatki o plačilu: obdelani prek zunanjih ponudnikov s certifikatom PCI-DSS (podatkov o kreditnih karticah ne shranjujemo neposredno)

3.2 Podatki gostov nastanitvenih objektov

V imenu upravljavcev nastanitvenih objektov (kot Obdelovalec v skladu z 28. členom GDPR, urejeno s DPA) sistem zbira:

• Identifikacijski podatki: ime, priimek, kraj in datum rojstva, državljanstvo, spol
• Osebni dokumenti: vrsta, številka, kraj in datum izdaje, skenirana slika ali fotografija dokumenta. Te slike se lahko obdelujejo s samodejnim OCR za izluščenje besedilnih podatkov. OCR se uporablja izključno za lažji vnos podatkov s strani operaterja objekta, brez analitičnih namenov, profiliranja ali samostojnega odločanja; izpeljani biometrični podatki se ne shranjujejo.
• Kontaktni podatki: e-pošta, telefonska številka
• Podatki o rezervaciji: datumi bivanja, število gostov, cene, vrsta oskrbe
• Podatki o plačilu: samo če plačilo poteka prek rezervacijskega motorja ali povezave Stripe družbe Vezpa; podatki o karticah niso nikoli shranjeni na strežnikih Vezpa

3.3 Podatki o brskanju

• IP naslov
• Vrsta brskalnika in naprave
• Obiskane strani in čas zadrževanja
• Operacijski sistem
• Referrer (izvor)

3.4 Piškotki

Uporabljamo tehnične piškotke, ki so potrebni za delovanje storitve. Več podrobnosti najdete v naši Politiki piškotkov.

4. Nameni obdelave in pravna podlaga

4.1 Za upravljavce nastanitvenih objektov

4.2 Za goste nastanitvenih objektov

Pomembno: Za podatke gostov je Upravljavec obdelave nastanitveni objekt. Vezpa deluje kot Obdelovalec na podlagi dokumentiranih navodil upravljavca objekta v skladu s Pogodbo o obdelavi osebnih podatkov (DPA).

• Prijava gostov: zakonska obveznost (italijanski zakon TULPS, 109. člen, D.Lgs. 159/2011) za Italijo; enakovredni predpisi za druge podprte države
• Obvezna sporočila državnim organom: AlloggiatiWeb (IT-Policija), ISTAT (IT), PayTourist (IT-občine), Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) - vsako se aktivira le, če ima objekt sedež v ustrezni državi
• Upravljanje rezervacije in bivanja: izvajanje pogodbe (čl. 6.1.b)
• Sporočanje podatkov OTA in channel managerjem: izvajanje pogodbe o rezervaciji (čl. 6.1.b), samo kanali, ki jih je objekt aktiviral

5. Način obdelave

Osebni podatki se obdelujejo z elektronskimi orodji, s postopki, ki so strogo povezani z nameni, in z ustreznimi varnostnimi ukrepi (32. člen GDPR):

• Šifriranje pri prenosu: vsi podatki se prenašajo prek protokola HTTPS/TLS 1.2+
• Gesla: shranjena z varnimi algoritmi za zgoščevanje (privzeto PBKDF2 Django)
• Žetoni: JWT access 15 minut, refresh z rotacijo in črnim seznamom, na voljo 2FA TOTP
• Nadzor dostopa: pooblastila na podlagi vloge (vodja/pomočnik/gospodinja/opazovalec), načelo najmanjšega privilegija
• Varnostne kopije: redno izvaja ponudnik infrastrukture (DigitalOcean), lokacija EU (Frankfurt)
• Gostovanje: strežniki DigitalOcean v Evropski uniji (regija FRA1), shramba DigitalOcean Spaces Frankfurt
• Spremljanje: dnevniki dostopa in aplikacij, avtomatizirano zaznavanje nepravilnosti, blokiranje botov in skenerjev

6. Hramba podatkov

Osebni podatki se hranijo le toliko časa, kolikor je nujno potrebno:

• Podatki upravljavcev (strank): trajanje pogodbe + 10 let za davčne in računovodske obveznosti
• Podatki za izdajo računov: 10 let (čl. 2220 italijanskega civilnega zakonika, davčna obveznost)
• Podatki gostov (Vezpa jih obdeluje kot Obdelovalec):
  • Sporočila AlloggiatiWeb: obdobje hrambe določa Upravljavec (objekt) v skladu z veljavnimi predpisi
  • Sporočila ISTAT: skladno s predpisi ISTAT
  • Drugi podatki o rezervaciji: v skladu z navodili Upravljavca v DPA (običajno 10 let za davčne namene)
  • Ob prenehanju pogodbe z Upravljavcem Vezpa izbriše ali vrne podatke gostov v 30 dneh, razen če obstajajo samostojne obveznosti hrambe (npr. računi)
• Dnevniki dostopa in aplikacij: standardno obdobje je 12 mesecev, ki ga je mogoče podaljšati do 24 mesecev izključno za dokumentirane aktivne varnostne preiskave ali za obrambo v pravnih postopkih (zakoniti interes po čl. 6.1.f, v skladu z ukrepom italijanskega organa za varstvo podatkov (Garante) št. 352/2022)
• Avtentikacijski žetoni in zaupanja vredne naprave: 90 dni od zadnje uporabe
• Podatki za trženje (novice, kampanje): do preklica privolitve, z dvoletnim pregledom
• Podporni zahtevki: trajanje pogodbe + 2 leti

7. Sporočanje in razširjanje podatkov

7.1 Prejemniki podatkov

Vaši podatki se lahko sporočajo naslednjim kategorijam prejemnikov. Vedno posodobljen imenski seznam dodatnih obdelovalcev je objavljen na naslovu vezpa.it/subprocessors.

Javni organi (samostojni upravljavci, zakonska obveznost)

• Italija: Policija / AlloggiatiWeb, ISTAT, občine (prek PayTourist za turistično takso), Davčna agencija
• Avstrija: Feratel/Meldeamt
• Španija: SES.HOSPEDAJES (Ministerio del Interior)
• Madžarska: NTAK
• Hrvaška: eVisitor
• Portugalska: SEF
• Češka: UbyPort
• Slovenija: eTurizem / AJPES

Vsak vladni konektor se aktivira le, če ima objekt sedež v ustrezni državi. Poverilnice nastavi objekt sam.

Dodatni obdelovalci (čl. 28.4 GDPR)

• Infrastruktura: DigitalOcean LLC (strežniki Frankfurt, baza podatkov, Spaces/CDN, Redis) - ZDA/EU z DPF in SCC
• Plačila: Stripe Payments Europe Ltd (EU) / Stripe Inc. (ZDA) - PCI-DSS, s certifikatom DPF
• Transakcijska e-pošta in PEC: IONOS SE (DE)
• Pošiljanje e-pošte in prejemanje e-pošte gostov: Sendinblue SAS - Brevo (FR)
• Asistent UI (odgovori na sporočila gostov, neobvezno): Anthropic, PBC (ZDA) — SCC
• Sporočila WhatsApp gostov (neobvezno): Meta Platforms Ireland Limited — WhatsApp Business Platform (IE + ZDA) — SCC
• Glasovni agent na telefonu (neobvezno): glasovna platforma, ki jo nastanitev izbere in pogodbeno uredi (npr. Retell, Vapi, ElevenLabs) in ki v imenu nastanitve odgovarja na klice. Je dobavitelj nastanitve, ne Vezpe: Vezpa ji posreduje samo podatke, potrebne za odgovor, in prejema sporočila in povzetke klicev.
• Mobilna push obvestila: Google LLC - Firebase Cloud Messaging (ZDA, s certifikatom DPF)
• Samodejni prevod (sporočila gostov, dodatne storitve): Google LLC - Google Cloud Translation API (ZDA, s certifikatom DPF)
• Channel Manager OTA: STAAH Limited (Nova Zelandija) - država s sklepom EU o ustreznosti (2012)
• Nakupi in naročnine v aplikaciji:
  • Apple Distribution International Ltd (IE) - subjekt EU; morebitni prenosi k Apple Inc. (ZDA) urejeni s SCC 2021/914 (Apple ne sodeluje pri DPF)
  • Google Ireland Ltd / Google LLC (ZDA, aktivna certifikacija DPF)
  • Microsoft Ireland / Microsoft Corp. (ZDA, aktivna certifikacija DPF)
• Pametne ključavnice (neobvezno, če so aktivirane): Tuya Smart (CN) - EU SCC in dopolnilni ukrepi
• Profesionalni svetovalci: davčni svetovalec, odvetnik, IT svetovalci, imenovani kot Obdelovalci ali samostojni Upravljavci po potrebi

OTA (samostojni upravljavci za razmerje s potnikom)

• Booking.com, Airbnb, Expedia, VRBO, Agoda in ~60 drugih kanalov, povezanih prek STAAH: podatki o rezervaciji se prenašajo v skladu s pogodbo med objektom in OTA

7.2 Prenos podatkov izven EU

Nekatere obdelave vključujejo prenose osebnih podatkov izven Evropske unije. V vseh primerih so sprejeta jamstva v skladu s poglavjem V GDPR:

• ZDA - EU-U.S. Data Privacy Framework (Sklep (EU) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC, z aktivnimi certifikati v tem okviru (preverite na dataprivacyframework.gov/list (odpre se v novem zavihku))
• ZDA - Standardne pogodbene klavzule (SCC) 2021/914: Apple Inc. - Apple ne sodeluje pri DPF; pogodbeno razmerje za uporabnike EU je sklenjeno z Apple Distribution International Ltd (Irska), morebitni prenosi k Apple Inc. (ZDA) pa potekajo prek SCC in internih mehanizmov Apple
• Nova Zelandija - Sklep o ustreznosti (Sklep (EU) 2013/65): STAAH Limited
• Kitajska (neobvezno) - Standardne pogodbene klavzule (SCC) 2021/914 + dopolnilni ukrepi: Tuya Smart, samo za objekte, ki aktivirajo pametne ključavnice
• Za vsak prenos brez aktivnega DPF ali ustreznosti Vezpa uporablja EU SCC 2021/914 in, če je primerno, dokumentirano oceno učinka prenosa (Transfer Impact Assessment, TIA)

7.3 Razširjanje

Osebni podatki niso predmet razširjanja (sporočanja nedoločenim subjektom) in se ne prodajajo.

8. Pravice posameznika

V skladu s členi 15-22 GDPR imate pravico do:

• Dostopa (čl. 15): pridobiti potrditev o obstoju vaših podatkov in prejeti kopijo
• Popravka (čl. 16): popraviti netočne ali nepopolne podatke
• Izbrisa (čl. 17): doseči izbris podatkov (pravica do pozabe), kadar so izpolnjeni pogoji
• Omejitve (čl. 18): omejiti obdelavo pod določenimi pogoji
• Prenosljivosti (čl. 20): prejeti podatke v strukturirani obliki in jih prenesti drugemu upravljavcu
• Ugovora (čl. 21): ugovarjati obdelavi iz zakonitih razlogov
• Preklica privolitve: kadar koli preklicati privolitev za trženje

Trženje in novice

Prijava na komercialna sporočila zahteva izrecno privolitev z dvojno potrditvijo (double opt-in) (potrditev prek povezave v e-pošti). Vsako sporočilo vsebuje takojšnjo odjavno povezavo. Za obstoječe stranke lahko Vezpa pošilja sporočila o podobnih izdelkih in storitvah v skladu s členom 130.4 D.Lgs. 196/2003 ("soft opt-in"), pri čemer je vedno mogoče ugovarjati.

Kako uveljaviti pravice

Svoje pravice lahko uveljavite tako, da pišete na:

• E-pošta: info@vezpa.it
• PEC: lavezpa@pec.it
• Priporočeno pismo s povratnico na naslov, naveden v glavi

Odgovorili bomo v 30 dneh od prejema zahtevka.

Pravica do pritožbe

Če menite, da obdelava vaših podatkov krši GDPR, imate pravico vložiti pritožbo pri nadzornem organu:

Garante per la Protezione dei Dati Personali (italijanski organ za varstvo podatkov)
Piazza Venezia, 11 - 00187 Roma
E-pošta: garante@gpdp.it
PEC: protocollo@pec.gpdp.it
Tel: +39 06.696771
Splet: www.garanteprivacy.it (odpre se v novem zavihku)

Uporabniki v Sloveniji se lahko obrnejo tudi na Informacijskega pooblaščenca (www.ip-rs.si (odpre se v novem zavihku)).

9. Mladoletniki

Storitev Vezpa PMS je namenjena izključno osebam, starim več kot 18 let. Zavestno ne zbiramo podatkov mladoletnikov. Če starš ali skrbnik meni, da je mladoletnik posredoval osebne podatke, nas lahko kontaktira za takojšnji izbris.

10. Spremembe politike zasebnosti

To politiko zasebnosti lahko sčasoma spremenimo. O vsaki bistveni spremembi bomo pravočasno obvestili prek:

• Objave nove različice na spletnem mestu
• Obvestila po e-pošti registriranim uporabnikom
• Informativne pasice v zasebnem območju

Datum zadnje posodobitve je vedno naveden na vrhu dokumenta.