TELJES GDPR TÁJÉKOZTATÓ

1. Bevezetés és alkalmazási kör

Jelen tájékoztató leírja, hogyan kezeli a Vezpa di Paolo Vezzola (a továbbiakban "Vezpa" vagy "Mi") a személyes adatokat a következő jogszabályok alapján:

• EU 2016/679 rendelet (GDPR)
• 196/2003 törvényerejű rendelet (olasz adatvédelmi törvény) a 101/2018 törvényerejű rendelet általi módosítások szerint
• Az olasz adatvédelmi hatóság (Garante) intézkedései és iránymutatásai

1.1 Kire vonatkozik

Jelen tájékoztató a következőkre vonatkozik:

• Szálláshely-üzemeltetők, akik a Vezpa-t használják (közvetlen ügyfelek)
• Vendégek, akik Vezpa-t használó szálláshelyeken tartózkodnak
• Üzleti partnerek és beszállítók
• Látogatók, akik a vezpa.it honlapot látogatják

1.2 A Vezpa kettős szerepe

2. Az Adatkezelő azonosítása és kapcsolati adatai

Adatkezelő:

Vezpa di Paolo Vezzola
Székhely: Desenzano del Garda (BS), 25015, via San Zeno 67
Adószám: 04449070988
Adóazonosító: VZZPLA84C10D284C
PEC: [email protected]
E-mail: [email protected]

3. Kezelt személyes adatok kategóriái

3.1 Üzemeltetők adatai (ügyfelek)

3.2 Vendégek adatai (Adatfeldolgozóként)

4. Az adatkezelés célja és jogalapja

4.1 Üzemeltetők tekintetében (ügyfelek)

4.2 Vendégek tekintetében (az Üzemeltető utasítására)

5. Az adatkezelés módja

5.1 Az adatkezelés elvei (GDPR 5. cikk)

A Vezpa az alábbi elvek betartásával kezel személyes adatokat:

• Jogszerűség, tisztességes eljárás, átláthatóság: jogszerűen kezeljük az adatokat, és világosan tájékoztatjuk Önt
• Célhoz kötöttség: az adatokat csak a bejelentett célokra használjuk
• Adatminimum: csak a feltétlenül szükséges adatokat gyűjtjük
• Pontosság: naprakészen és pontosan tartjuk az adatokat
• Korlátozott megőrzés: az adatokat csak a szükséges ideig tároljuk
• Integritás és bizalmasság: megfelelő biztonsági intézkedésekkel védjük az adatokat
• Elszámoltathatóság (accountability): bizonyítani tudjuk a GDPR-nak való megfelelést

5.2 Adatkezelési eszközök

Az adatokat a következő eszközökkel kezeljük:

• Informatikai: szerverek, adatbázisok, web/mobil alkalmazások
• Papír alapú: csak a szükséges dokumentumokhoz (szerződések, számlák)

5.3 Hozzáférés módja

Az adatok a következők számára érhetők el:

• A Vezpa arra jogosult személyzete (személyes belépési adatokkal)
• A "need to know" (minimális jogosultság) elven alapuló hozzáférés
• Hozzáférési naplók követésre és megfigyelésre kerülnek

6. Biztonsági intézkedések (GDPR 32. cikk)

6.1 Technikai intézkedések

6.2 Szervezeti intézkedések

6.3 Referencia szabványok

• EU szerverek: elsődleges infrastruktúra DigitalOcean Frankfurt régió (FRA1)
• PCI-DSS: fizetések Stripe-on keresztül, PCI-DSS Level 1 tanúsított (Vezpa nem tárolja a kártyaadatokat)
• Tanúsított albeszállítók: ahol alkalmazható (ISO 27001, SOC 2, DPF) — lásd További adatfeldolgozók oldalát

7. Az adatok címzettjei (GDPR 13. cikk (1) e))

7.1 Címzettek kategóriái

Az adatok az alábbi kategóriájú címzetteknek közölhetők. A névsor és naprakész lista közzétéve a vezpa.it/subprocessors oldalon.

7.2 További adatfeldolgozók listája (GDPR 28. cikk (4))

A naprakész lista közzétéve és mindig elérhető a vezpa.it/subprocessors oldalon. Változások (új További adatfeldolgozók, cserék) az Adatkezelőkkel (szálláshelyekkel) legalább 30 napos előzetes értesítéssel kerülnek közlésre, hogy lehetséges legyen a tiltakozás (GDPR 28. cikk (2)).

7.3 EU-n kívüli adattovábbítás

8. Az érintett jogai (GDPR 15-22. cikk)

8.1 Gyakorolható jogok

8.2 Hogyan gyakorolhatja jogait

Jogait a következő módokon gyakorolhatja:

• E-mail: [email protected]
• PEC: [email protected]
• Ajánlott küldemény: Vezpa di Paolo Vezzola, Desenzano del Garda via San Zeno 67
• Ügyfélzóna: "Adatvédelem és adatok" szakasz az irányítópulton (bizonyos jogokhoz)

8.3 Válaszidők

A Vezpa a kérelmekre 30 napon belül válaszol a fogadástól (összetett esetekben 60 nappal meghosszabbítható, indokolt közléssel).

8.4 Jogok korlátozásai

Egyes jogok (törlés, korlátozás) nem gyakorolhatók, ha:

• Jogi kötelezettségek vannak, amelyek megkövetelik az adatok megőrzését
• Az adatok szükségesek a jogok bírósági védelméhez
• Közérdek áll fenn

9. Adatvédelmi incidensek és értesítések (GDPR 33-34. cikk)

9.1 Eljárás adatvédelmi incidens esetén

Adatvédelmi incidens (személyes adatok megsértése) esetén a Vezpa:

1. Értékeli az incidenst a felfedezéstől számított 24 órán belül
2. Értesíti az olasz adatvédelmi hatóságot (Garante) 72 órán belül (ha kockázat áll fenn az érintettek jogaira)
3. Közli az érintettekkel indokolatlan késedelem nélkül (ha magas kockázat áll fenn)
4. Dokumentálja az incidenst az adatvédelmi incidensek nyilvántartásában
5. Korrektív intézkedéseket fogad el a jövőbeli incidensek megelőzésére

9.2 Átláthatóság

Az Önt érintő adatvédelmi incidens esetén értesítést kap a következőkkel:

• A megsértés természete
• Érintett adatok
• Lehetséges következmények
• Megtett és ajánlott intézkedések
• Adatvédelmi iroda elérhetőségei

10. Adatvédelmi hatásvizsgálat (DPIA)

A Vezpa elindította az Adatvédelmi hatásvizsgálatot (DPIA) a GDPR 35. cikke szerint, tekintettel több EU-tagállam érintettjeinek személyazonosító okmányainak rendszerszerű kezelésére és az EU-n kívüli További adatfeldolgozók felé történő adattovábbításokra.

A DPIA hatásköre:

• Vendégek személyes adatainak és személyazonosító okmányainak kezelése több kormányzati csatlakozón keresztül
• OTA channel manager felé történő adatfolyamok és EU-n kívüli adattovábbítások
• Automatikus OCR okmány képeken
• Integráció eszköz oldali biometrikus hitelesítési szolgáltatásokkal

A DPIA-t és az esetleges további kockázatcsökkentő intézkedéseket rendszeresen frissítjük. Magas maradék kockázat esetén a Vezpa a GDPR 36. cikke szerint előzetes konzultációt végez az olasz adatvédelmi hatósággal (Garante). Az Adatkezelő (szálláshely) a DPIA összefoglalóját kérheti az [email protected] címen.

11. Adatfeldolgozó (GDPR 28. cikk)

11.1 Megállapodások ügyfelekkel (vendégadatokhoz)

Amikor a szálláshely a Vezpa-t vendégadatok kezelésére használja:

• A szálláshely az Adatkezelő
• A Vezpa az Adatfeldolgozó
• Adatfeldolgozási szerződés (DPA) kerül megkötésre a GDPR 28. cikke szerint

11.2 A DPA tartalma

Az Adatfeldolgozási szerződés a GDPR 28. cikk (3) szerint tartalmazza:

• Az adatkezelés tárgya és időtartama
• Az adatkezelés természete és célja
• A személyes adatok típusa és az érintettek kategóriái
• Az Adatkezelő kötelezettségei és jogai
• Dokumentált utasítások az adatkezelésre vonatkozóan
• Alkalmazott biztonsági intézkedések
• További adatfeldolgozók bevonása és cseréje előzetes értesítéssel
• Segítségnyújtás az Adatkezelőnek az érintettek jogaihoz, DPIA-hoz és adatvédelmi incidensekhez
• Törlési vagy visszaszolgáltatási kötelezettségek a végén

A DPA a Szolgáltatási feltételek elválaszthatatlan részét képezi, és a szálláshely regisztrációjakor elfogadják.

12. Privacy by Design és by Default (GDPR 25. cikk)

12.1 Privacy by Design

A Vezpa a tervezéstől kezdve beépíti az adatvédelmet:

• Natív titkosítás minden kommunikációban
• Álnevesítés ahol lehetséges
• A gyűjtött adatok minimalizálása
• Granuláris hozzáférés-szabályozás
• Az összes művelet teljes audit trail-je

12.2 Privacy by Default

Az alapértelmezett beállítások maximalizálják az adatvédelmet:

• Csak a feltétlenül szükséges adatok kötelezőek
• Automatikus megőrzés a minimális törvényes időtartamra
• Marketing opt-in (nem opt-out)
• Az adatok láthatósága a minimálisra korlátozva

13. Adatkezelési tevékenységek nyilvántartása (GDPR 30. cikk)

A Vezpa teljes nyilvántartást tart az összes adatkezelési tevékenységről, amely tartalmazza:

• Az Adatkezelő és Adatvédelmi tisztviselő neve és kapcsolati adatai
• Az adatkezelés célja
• Az érintettek és adatok kategóriáinak leírása
• Címzettek kategóriái
• Harmadik országokba történő adattovábbítások
• Tervezett megőrzési idők
• Biztonsági intézkedések leírása

A nyilvántartás az olasz adatvédelmi hatóság (Garante) kérelmére elérhető.

14. A tájékoztató módosításai

Ez a tájékoztató módosulhat:

• Szabályozás fejlődése
• A szolgáltatás új funkciói
• Szervezeti változások

A lényeges módosításokról legalább 30 nappal korábban e-mailben tájékoztatjuk.

Az utolsó frissítés dátuma mindig a dokumentum tetején van feltüntetve.