ZÁSADY OCHRANY OSOBNÝCH ÚDAJOV

1. Prevádzkovateľ

Prevádzkovateľom spracúvania osobných údajov je:

Vezpa di Paolo Vezzola
Sídlo: Via San Zeno 67, 25015 Desenzano del Garda (BS), Taliansko
IČ DPH: 04449070988
C.F.: VZZPLA84C10D284C
E-mail: info@vezpa.it
PEC: lavezpa@pec.it

2. Rozsah pôsobnosti

Tieto Zásady ochrany osobných údajov sa vzťahujú na platformu Vezpa PMS (web, desktop a mobil) a na webové stránky, na ktorých je toto oznámenie zverejnené.

3. Zhromažďované osobné údaje

3.1 Údaje Používateľov služby (prevádzkovateľov ubytovacích zariadení)

Pri registrácii vo Vezpa ako prevádzkovateľ ubytovacieho zariadenia zhromažďujeme:

• Identifikačné údaje: meno, priezvisko, e-mail, telefónne číslo
• Údaje zariadenia: názov, adresa, typ, IČ DPH
• Fakturačné údaje: fakturačná adresa, daňové identifikačné číslo/IČ DPH, unikátny kód/PEC
• Prihlasovacie údaje: e-mail a heslo (šifrované)
• Platobné údaje: spravované prostredníctvom externých poskytovateľov certifikovaných PCI-DSS (priamo neuchovávame údaje o platobných kartách)

3.2 Údaje hostí zariadení

V mene prevádzkovateľov zariadení (ako Sprostredkovateľ v zmysle čl. 28 GDPR, čo upravuje DPA) systém zhromažďuje:

• Identifikačné údaje: meno, priezvisko, miesto a dátum narodenia, štátna príslušnosť, pohlavie
• Doklady totožnosti: typ, číslo, miesto a dátum vydania, sken alebo fotografia dokladu. Tieto obrazy môžu byť spracované automatickým OCR na extrakciu textových údajov. OCR sa používa výhradne na uľahčenie vkladania údajov obsluhou zariadenia, bez analytických, profilovacích alebo autonómnych rozhodovacích účelov; odvodené biometrické údaje sa neuchovávajú.
• Kontaktné údaje: e-mail, telefónne číslo
• Údaje rezervácie: dátumy pobytu, počet hostí, tarify, stravovanie
• Platobné údaje: iba ak platba prebieha cez Booking Engine alebo odkaz Stripe od Vezpa; údaje kariet sa nikdy neuchovávajú na serveroch Vezpa

3.3 Údaje o prezeraní

• IP adresa
• Typ prehliadača a zariadenia
• Navštívené stránky a strávený čas
• Operačný systém
• Referrer (zdroj)

3.4 Cookies

Používame technické cookies potrebné na fungovanie služby. Viac podrobností v našich Cookie zásadách.

4. Účel spracúvania a právny základ

4.1 Pre prevádzkovateľov zariadení

4.2 Pre hostí zariadení

Dôležité: Pre údaje hostí je Prevádzkovateľom spracúvania ubytovacie zariadenie. Vezpa vystupuje ako Sprostredkovateľ na základe zdokumentovaných pokynov prevádzkovateľa zariadenia, v zmysle Zmluvy o spracúvaní osobných údajov (DPA).

• Check-in a registrácia hostí: zákonná povinnosť (taliansky zákon TULPS, čl. 109, D.Lgs. 159/2011) pre Taliansko; rovnocenná legislatíva pre ostatné podporované štáty
• Povinné oznámenia verejným orgánom: AlloggiatiWeb (IT-Polícia), ISTAT (IT), PayTourist (IT-Obce), Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) — každé aktivované, iba ak zariadenie sídli v príslušnom štáte
• Správa rezervácie a pobytu: plnenie zmluvy (čl. 6.1.b)
• Oznámenia OTA a channel managerom: plnenie zmluvy o rezervácii (čl. 6.1.b), iba kanály aktivované zariadením

5. Spôsob spracúvania

Osobné údaje sa spracúvajú elektronickými prostriedkami, postupmi úzko súvisiacimi s účelmi a s prijatím primeraných bezpečnostných opatrení (čl. 32 GDPR):

• 🔐 Šifrovanie pri prenose: všetky údaje sa prenášajú cez protokol HTTPS/TLS 1.2+
• 🔐 Heslá: ukladané pomocou bezpečných hašovacích algoritmov (PBKDF2, predvolené v Django)
• 🔐 Tokeny: JWT access 15 minút, refresh s rotáciou a blacklistom, dostupné 2FA TOTP
• 🔐 Kontrola prístupu: oprávnenia založené na role (manažér/asistent/chyžná/pozorovateľ), princíp minimálneho oprávnenia
• 🔐 Záloha: pravidelne vykonávaná poskytovateľom infraštruktúry (DigitalOcean), umiestnenie v EÚ (Frankfurt)
• 🔐 Hosting: servery DigitalOcean v EÚ (región FRA1), úložiská DigitalOcean Spaces Frankfurt
• 🔐 Monitoring: aplikačné a prístupové logy, automatizované zisťovanie anomálií, blokovanie botov a skenerov

6. Uchovávanie údajov

Osobné údaje sa uchovávajú po dobu nevyhnutne potrebnú:

• Údaje prevádzkovateľov (klientov): trvanie zmluvy + 10 rokov pre daňové a účtovné povinnosti
• Fakturačné údaje: 10 rokov (čl. 2220 talianskeho Občianskeho zákonníka, daňová povinnosť)
• Údaje hostí (spracúvané Vezpa ako Sprostredkovateľom):
  • Oznámenia AlloggiatiWeb: doba uchovávania je stanovená Prevádzkovateľom (zariadením) podľa platnej legislatívy
  • Oznámenia ISTAT: podľa legislatívy ISTAT
  • Iné údaje rezervácie: podľa pokynov Prevádzkovateľa v DPA (typicky 10 rokov pre daňové účely)
  • Po ukončení zmluvy s Prevádzkovateľom Vezpa vymaže alebo vráti údaje hostí do 30 dní, okrem samostatných povinností uchovávania (napr. fakturácia)
• Aplikačné a prístupové logy: štandardne 12 mesiacov, s možnosťou predĺženia až na 24 mesiacov výlučne na účely zdokumentovaných prebiehajúcich bezpečnostných vyšetrovaní alebo na obhajobu právnych nárokov (oprávnený záujem podľa čl. 6.1.f, v súlade s opatrením Garante 352/2022)
• Autentifikačné tokeny a dôveryhodné zariadenia: 90 dní od posledného použitia
• Údaje pre marketing (newsletter, kampane): do odvolania súhlasu, s dvojročnou revíziou
• Tikety podpory: trvanie zmluvy + 2 roky

7. Oznamovanie a šírenie údajov

7.1 Príjemcovia údajov

Vaše údaje môžu byť oznámené nasledujúcim kategóriám príjemcov. Vždy aktuálny menovitý zoznam ďalších sprostredkovateľov spracúvania je zverejnený na vezpa.it/subprocessors.

Verejné orgány (nezávislí prevádzkovatelia, zákonná povinnosť)

• Taliansko: Polícia / AlloggiatiWeb, ISTAT, Obce (cez PayTourist pre daň za ubytovanie), Finančná správa
• Rakúsko: Feratel/Meldeamt
• Španielsko: SES.HOSPEDAJES (Ministerio del Interior)
• Maďarsko: NTAK
• Chorvatsko: eVisitor
• Portugalsko: SEF
• Česká republika: UbyPort
• Slovinsko: eTurizem / AJPES

Každý vládny konektor sa aktivuje, iba ak zariadenie sídli v príslušnom štáte. Prístupové údaje nastavuje samo zariadenie.

Ďalší sprostredkovatelia spracúvania (čl. 28.4 GDPR)

• Infraštruktúra: DigitalOcean LLC (server Frankfurt, databáza, Spaces/CDN, Redis) — USA/EÚ s DPF a SCC
• Platby: Stripe Payments Europe Ltd (EÚ) / Stripe Inc. (USA) — PCI-DSS, certifikovaný DPF
• Transakčný e-mail a PEC: IONOS SE (DE)
• Odosielanie e-mailov a príjem e-mailov od hostí: Sendinblue SAS - Brevo (FR)
• Asistent AI (odpovede na správy hostí, voliteľné): Anthropic, PBC (USA) — SCC
• Správy WhatsApp hostí (voliteľné): Meta Platforms Ireland Limited — WhatsApp Business Platform (IE + USA) — SCC
• Hlasový agent na telefóne (voliteľné): hlasová platforma, ktorú si ubytovanie zvolilo a zmluvne zabezpečilo (napr. Retell, Vapi, ElevenLabs) a ktorá prijíma hovory v mene ubytovania. Je dodávateľom ubytovania, nie Vezpy: Vezpa jej poskytuje iba údaje potrebné na odpoveď a prijíma odkazy a zhrnutia hovorov.
• Mobilné push notifikácie: Google LLC — Firebase Cloud Messaging (USA, certifikovaný DPF)
• Automatický preklad (správy hostí, doplnkové služby): Google LLC — Google Cloud Translation API (USA, certifikovaný DPF)
• Channel Manager OTA: STAAH Limited (Nový Zéland) — krajina s rozhodnutím EÚ o primeranosti (2012)
• Nákupy v aplikácii a predplatné:
  • Apple Distribution International Ltd (IE) — subjekt EÚ; prípadné prenosy do Apple Inc. (USA) sa riadia SCC 2021/914 (Apple sa nezúčastňuje DPF)
  • Google Ireland Ltd / Google LLC (USA, aktívna certifikácia DPF)
  • Microsoft Ireland / Microsoft Corp. (USA, aktívna certifikácia DPF)
• Smart zámky (voliteľné, ak sú aktivované): Tuya Smart (CN) — SCC EÚ a doplnkové opatrenia
• Profesionálni konzultanti: účtovník, advokát, IT konzultanti, určení ako Sprostredkovatelia alebo nezávislí Prevádzkovatelia podľa potreby

OTA (nezávislí prevádzkovatelia pre vzťah s cestovateľom)

• Booking.com, Airbnb, Expedia, VRBO, Agoda a ~60 ďalších kanálov pripojených cez STAAH: údaje rezervácie prechádzajú na základe zmluvy medzi zariadením a OTA

7.2 Prenos údajov mimo EÚ

Niektoré spracúvania zahŕňajú prenosy osobných údajov mimo Európskej únie. Vo všetkých prípadoch sú prijaté záruky v zmysle Kapitoly V GDPR:

• USA — EU-U.S. Data Privacy Framework (Rozhodnutie (EÚ) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC, aktívne certifikácie v tomto rámci (overenie na dataprivacyframework.gov/list (otvorí sa na novej karte))
• USA — Štandardné zmluvné doložky (SCC) 2021/914: Apple Inc. — Apple sa nezúčastňuje DPF; zmluvný vzťah pre používateľov EÚ je s Apple Distribution International Ltd (Írsko) a prípadné prenosy do Apple Inc. (USA) prebiehajú prostredníctvom SCC a interných mechanizmov Apple
• Nový Zéland — Rozhodnutie o primeranosti (Rozhodnutie EÚ 2013/65): STAAH Limited
• Čína (voliteľné) — Štandardné zmluvné doložky (SCC) 2021/914 + doplnkové opatrenia: Tuya Smart, iba pre zariadenia, ktoré aktivujú smart zámky
• Pri každom prenose bez aktívneho DPF alebo primeranosti Vezpa prijíma SCC EÚ 2021/914 a, ak je to relevantné, zdokumentované posúdenie vplyvu prenosu (Transfer Impact Assessment, TIA)

7.3 Šírenie

Osobné údaje nie sú predmetom šírenia (oznámenie neurčitým subjektom) a nie sú predávané.

8. Práva dotknutej osoby

V zmysle článkov 15-22 GDPR máte právo na:

• 📧 Prístup (čl. 15): získať potvrdenie o existencii Vašich údajov a dostať ich kópiu
• ✏️ Oprava (čl. 16): opraviť nepresné alebo nekompletné údaje
• 🗑️ Vymazanie (čl. 17): získať vymazanie údajov (právo na zabudnutie) pri splnení podmienok
• ⏸️ Obmedzenie (čl. 18): obmedziť spracúvanie za určitých podmienok
• 📤 Prenositeľnosť (čl. 20): dostať údaje v štruktúrovanom formáte a preniesť ich inému prevádzkovateľovi
• 🚫 Námietka (čl. 21): namietať proti spracúvaniu z oprávnených dôvodov
• ❌ Odvolanie súhlasu: kedykoľvek odvolať súhlas s marketingom

Marketing a newsletter

Prihlásenie na odber obchodných oznámení vyžaduje výslovný súhlas s dvojitým opt-in (potvrdenie cez odkaz v e-maile). Každé oznámenie obsahuje odkaz na okamžité odhlásenie. Existujúcim klientom môže Vezpa zasielať oznámenia o podobných produktoch a službách v zmysle čl. 130.4 D.Lgs. 196/2003 („soft opt-in“), s možnosťou kedykoľvek namietať.

Ako uplatniť práva

Vaše práva môžete uplatniť napísaním na:

• 📧 E-mail: info@vezpa.it
• ✉️ PEC: lavezpa@pec.it
• 📮 Doporučený list s doručenkou na adresu v záhlaví

Odpovieme Vám do 30 dní od žiadosti.

Právo na podanie sťažnosti

Ak sa domnievate, že spracúvanie Vašich údajov porušuje GDPR, máte právo podať sťažnosť dozornému orgánu:

Taliansky úrad na ochranu osobných údajov (Garante)
Piazza Venezia, 11 - 00187 Rím
E-mail: garante@gpdp.it
PEC: protocollo@pec.gpdp.it
Tel: +39 06.696771
Web: www.garanteprivacy.it (otvorí sa na novej karte)

Používatelia na Slovensku sa môžu obrátiť aj na Úrad na ochranu osobných údajov SR (www.dataprotection.gov.sk).

9. Maloletí

Služba Vezpa PMS je určená výhradne pre osoby staršie ako 18 rokov. Vedome nezhromažďujeme údaje maloletých. Ak sa rodič alebo opatrovník domnieva, že maloletá osoba poskytla osobné údaje, môže nás kontaktovať s cieľom ich okamžitého vymazania.

10. Zmeny v Zásadách ochrany osobných údajov

Tieto Zásady ochrany osobných údajov sa môžu časom meniť. Každá podstatná zmena bude oznámená s primeraným predstihom prostredníctvom:

• Zverejnenia novej verzie na webstránke
• E-mailového oznámenia registrovaným používateľom
• Informačného bannera vo vyhradenej oblasti

Dátum poslednej aktualizácie je vždy uvedený v záhlaví dokumentu.