Sub-responsabili del trattamento

A cosa serve questa pagina: elenca i fornitori (sub-responsabili del trattamento) che Vezpa utilizza per erogare il servizio, ciascuno con sede, finalita' e base giuridica per il trasferimento dei dati. L'elenco e' parte integrante del Data Processing Agreement.

    📌 Preavviso di modifica: eventuali aggiunte o sostituzioni vengono comunicate ai Titolari (strutture clienti) con almeno 30 giorni di preavviso via email e dashboard, consentendo esercizio del diritto di opposizione (art. 28.2 GDPR).

1. Sub-responsabili attivi

1.1 Infrastruttura e storage

Fornitore	Sede	Finalita'	Dati trattati	Base trasferimento
DigitalOcean LLC 101 Ave of the Americas, New York, NY 10013, USA	Server UE (Francoforte - FRA1) + headquarters USA	Hosting server, database PostgreSQL, Redis, object storage Spaces, CDN	Tutti i dati della piattaforma	UE DPF SCC in subordine

1.2 Pagamenti

Fornitore	Sede	Finalita'	Dati trattati	Base trasferimento
Stripe Payments Europe Ltd 1 Grand Canal Street Lower, Dublin, Irlanda (con Stripe Inc., San Francisco, CA, USA)	UE (IE) + USA	Elaborazione pagamenti carta, anti-frode, link di pagamento ospiti	Dati carta (gestiti da Stripe, non memorizzati da Vezpa), email, importo, prenotazione di riferimento	UE DPF

1.3 Comunicazioni

Fornitore	Sede	Finalita'	Dati trattati	Base trasferimento
IONOS SE Elgendorfer Str. 57, 56410 Montabaur, Germania	UE (DE)	Email transazionali, email server vezpa.it, PEC	Indirizzo email destinatario, contenuto email, metadata	UE
Google LLC - Firebase Cloud Messaging 1600 Amphitheatre Pkwy, Mountain View, CA 94043, USA (via Google Ireland Ltd)	UE (IE) + USA	Invio notifiche push ai dispositivi mobili e desktop	Token FCM del dispositivo, identificatori tecnici, payload notifica (solo metadata prenotazione, niente PII sensibili)	UE DPF

1.4 Channel Manager OTA

Fornitore	Sede	Finalita'	Dati trattati	Base trasferimento
STAAH Limited Auckland, Nuova Zelanda	Nuova Zelanda	Sincronizzazione prenotazioni, disponibilita' e tariffe con ~60 canali OTA	Dati prenotazione (nome ospite, date, camera, tariffa, contatti)	Adeguatezza UE (Decisione 2013/65/UE)

1.5 In-app purchase e distribuzione app

Fornitore	Sede	Finalita'	Dati trattati	Base trasferimento
Apple Distribution International Ltd Hollyhill Industrial Estate, Hollyhill, Cork, Irlanda (con Apple Inc., Cupertino, CA, USA)	UE (IE) + USA	Distribuzione App Store iOS/macOS, gestione abbonamenti (StoreKit)	ID account store, token d'acquisto, stato subscription	UE SCC — Apple non aderisce al DPF; trasferimenti USA governati da SCC 2021/914
Google Ireland Ltd / Google LLC Gordon House, Barrow Street, Dublin 4, Irlanda (con Google LLC, USA)	UE (IE) + USA	Distribuzione Play Store Android, gestione abbonamenti (Play Billing)	ID account store, token d'acquisto, stato subscription	UE DPF
Microsoft Ireland Operations Ltd / Microsoft Corp. One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irlanda	UE (IE) + USA	Distribuzione Microsoft Store Windows, gestione abbonamenti	ID account store, stato subscription	UE DPF

1.6 Integrazioni opzionali (solo se attivate dalla struttura)

Fornitore	Sede	Finalita'	Dati trattati	Base trasferimento
Tuya Smart (Hangzhou Tuya Information Technology Co., Ltd.) Hangzhou, Cina	Cina	Gestione serrature smart e domotica	Identificatori dispositivo, eventi di accesso	SCC Opzionale

2. Destinatari Titolari autonomi

I seguenti soggetti non sono sub-responsabili ma Titolari autonomi che ricevono dati per obblighi di legge o per il proprio rapporto con l'interessato. Vengono elencati qui per trasparenza:

2.1 Autorita' pubbliche (obbligo di legge del Titolare)

Italia: AlloggiatiWeb (Polizia di Stato / Questura), ISTAT, Comuni italiani (via PayTourist), Agenzia delle Entrate (Sistema di Interscambio - SDI)
Austria: Feratel / Meldeamt (registrazione ospiti comunale)
Spagna: SES.HOSPEDAJES (Ministerio del Interior)
Ungheria: NTAK (Nemzeti Turisztikai Adatszolgaltato Kozpont)
Croazia: eVisitor
Portogallo: SEF (Servico de Estrangeiros e Fronteiras)
Repubblica Ceca: UbyPort
Slovenia: eTurizem / AJPES

I connettori governativi vengono attivati solo se la struttura risiede nello Stato corrispondente. Le credenziali per la connessione sono configurate dalla struttura stessa; Vezpa non conserva credenziali in chiaro.

2.2 OTA e metasearch (rapporto contrattuale col viaggiatore)

I canali OTA attivati dalla struttura ricevono dati di prenotazione e inventario. Rientrano nella categoria:

Principali (legacy): Booking.com, Airbnb, Expedia, VRBO, Agoda
Altri ~55 canali dinamici via STAAH: es. Hotels.com, Trip.com, Hostelworld, Despegar, ecc.

Ogni OTA applica la propria informativa privacy. I trasferimenti verso OTA extra-UE sono governati dai loro contratti diretti con la struttura e/o con il viaggiatore.

3. Legenda

UE - Sede o filiale nell'Unione Europea
DPF - Certificato attivo EU-U.S. Data Privacy Framework
Adeguatezza UE - Paese con decisione di adeguatezza della Commissione Europea
SCC - Clausole Contrattuali Standard UE 2021/914
Opzionale - Attivato solo dietro scelta esplicita della struttura

4. Storico modifiche

Data	Modifica
19 aprile 2026	Prima pubblicazione dell'elenco pubblico

📞 Contatti

Per domande sui sub-responsabili o per opporsi a una modifica:

📧 [email protected]
📧 PEC: [email protected]

SUB-RESPONSABILI DEL TRATTAMENTO