СОГЛАШЕНИЕ ОБ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ (DPA)

1. Стороны

2. Предмет и срок (ст. 28.3 GDPR)

Контролёр поручает Обработчику обрабатывать персональные данные от его имени через платформу Vezpa. Обработка имеет срок действия договора подписки между сторонами и прекращается с его расторжением, на условиях §14.

3. Характер, цели и виды обрабатываемых данных

3.1 Цели

• Управление бронированиями, проживанием и заездом/выездом
• Выполнение правовых обязательств Контролёра перед публичными органами (AlloggiatiWeb, ISTAT, PayTourist, Feratel/Meldeamt, SES.HOSPEDAJES, NTAK, eVisitor, SEF, UbyPort, eTurizem)
• Передача данных бронирования OTA-каналам и менеджерам каналов, активированным объектом размещения
• Отправка сообщений гостю (подтверждения, pre-check-in, платежи)
• Обработка платежей через Систему бронирования или подключение Stripe
• Подготовка отчётов и статистики для Контролёра

3.2 Категории субъектов данных

• Гости объектов размещения и их сопровождающие
• Лица, бронирующие от имени других
• Контактные лица для экстренных случаев, при необходимости предоставленные гостем

3.3 Виды обрабатываемых персональных данных

• Идентификационные и личные данные (имя, фамилия, дата и место рождения, гражданство, пол)
• Документы, удостоверяющие личность (тип, номер, дата выдачи, выдающий орган, отсканированное или сфотографированное изображение)
• Текстовые данные, извлечённые из документа автоматическим OCR
• Контактные данные (электронная почта, телефон, адрес)
• Данные о бронировании и проживании
• Платёжные данные (обрабатываются Stripe, не хранятся в Vezpa)

4. Инструкции Контролёра (ст. 28.3.а GDPR)

Обработчик обрабатывает персональные данные исключительно на основании задокументированных инструкций Контролёра. Общие инструкции содержатся в настоящем DPA, в Политике конфиденциальности, в Информации согласно GDPR и в Общих условиях обслуживания. Специальные инструкции могут быть даны Контролёром посредством:

• Настроек в собственной учётной записи (активация/деактивация государственных коннекторов, OTA, сроки хранения)
• Письменного сообщения на [email protected] или через PEC на [email protected]

Если Обработчик считает, что какая-либо инструкция нарушает GDPR или иные применимые нормы, он незамедлительно информирует Контролёра.

5. Обязанности Обработчика (ст. 28.3.б-з GDPR)

Обработчик обязуется:

1. Конфиденциальность: обрабатывать данные конфиденциально и обеспечить, чтобы лица, уполномоченные на обработку, были связаны обязательством о конфиденциальности;
2. Безопасность: принимать технические и организационные меры согласно Приложению Б, соразмерные риску;
3. Субобработчики: соблюдать условия §6;
4. Содействие Контролёру: оказывать Контролёру содействие в выполнении его обязанностей, в частности:
   • Ответ на запросы субъектов данных (ст. 15-22 GDPR) в сроки, позволяющие Контролёру ответить в установленные законом 30 дней;
   • Уведомление о нарушении безопасности данных Контролёру в течение 24 часов с момента обнаружения (§7);
   • Содействие в DPIA (ст. 35) и предварительных консультациях (ст. 36);
   • Подтверждение соответствия посредством документации и, по запросу, права на аудит (§9).
5. Возврат / удаление данных по окончании, как предусмотрено в §14;
6. Информирование: предоставлять Контролёру всю информацию, необходимую для подтверждения соответствия настоящему DPA.

6. Субобработчики (ст. 28.2 и 28.4 GDPR)

6.1 Общее разрешение

Контролёр разрешает Обработчику привлекать субобработчиков, перечисленных на vezpa.it/subprocessors, и тех, которые будут добавлены впоследствии в соответствии с описанной здесь процедурой.

6.2 Предварительное уведомление об изменениях

Обработчик уведомляет Контролёра о намерении добавить или заменить субобработчика с предварительным уведомлением не менее чем за 30 дней, по электронной почте на зарегистрированный адрес и/или сообщением в панели управления. В течение этого срока Контролёр может мотивированно возразить. В случае неразрешимого возражения каждая сторона может расторгнуть договор с прекращением затронутой обработки.

6.3 Обязательства в отношении субобработчиков

Обработчик возлагает на субобработчиков письменные обязательства по защите данных, эквивалентные предусмотренным здесь, и несёт ответственность перед Контролёром за действия субобработчиков.

7. Нарушение безопасности данных (ст. 33 GDPR)

В случае нарушения безопасности персональных данных, затрагивающего данные, обрабатываемые от имени Контролёра, Обработчик:

• Уведомляет Контролёра без неоправданной задержки и в любом случае в течение 24 часов с момента обнаружения;
• Предоставляет информацию, предусмотренную ст. 33.3 GDPR (характер, категории и приблизительное количество затронутых субъектов и данных, вероятные последствия, принятые или предложенные меры);
• Сотрудничает с Контролёром при уведомлении субъектов и надзорного органа;
• Документирует инцидент и принятые меры.

Уведомление Контролёра осуществляется по электронной почте на зарегистрированный адрес и PEC, при его наличии. Контролёр остаётся ответственным за внешние уведомления (Garante, субъекты данных) в соответствии со ст. 33-34 GDPR.

8. Права субъектов данных (ст. 28.3.е GDPR)

Если субъект данных обращается непосредственно к Обработчику для реализации прав, связанных с данными, обрабатываемыми от имени Контролёра, Обработчик без задержки перенаправляет запрос Контролёру и не отвечает от имени Контролёра, если иное не предусмотрено инструкциями.

Обработчик предоставляет Контролёру в панели управления и через API функции для:

• Экспорта данных субъекта (доступ и переносимость)
• Исправления
• Удаления или анонимизации
• Ограничения обработки

Для запросов, требующих ручного технического вмешательства, Обработчик отвечает в течение 10 рабочих дней с момента получения инструкции Контролёра.

9. Аудит (ст. 28.3.з GDPR)

По запросу Обработчик предоставляет Контролёру информацию и документацию, подтверждающие соответствие настоящему DPA, в том числе:

• Краткое описание применённых мер безопасности
• Список субобработчиков с указанием юридических адресов и оснований передачи
• Реестр операций обработки (соответствующие выписки)
• Сертификации субобработчиков (ISO 27001, SOC 2, DPF), где доступно

Контролёр может проводить аудит (непосредственно или через независимых третьих лиц, связанных конфиденциальностью) с предварительным уведомлением не менее чем за 30 дней, в рабочее время, не прерывая деятельности и с периодичностью не более одного раза в год (за исключением случаев нарушения безопасности данных). Каждая сторона несёт свои собственные расходы.

10. Трансграничные передачи за пределы ЕС (Глава V GDPR)

Список субобработчиков с указанием юридических адресов и правового основания передачи опубликован на vezpa.it/subprocessors. Для международных передач данных, не охваченных решением об адекватности, Обработчик применяет:

• Стандартные договорные условия 2021/914 и дополнительные меры, где это необходимо (задокументированная Transfer Impact Assessment);
• Или иные надлежащие гарантии, предусмотренные ст. 46 GDPR.

11. Роль Контролёра

Контролёр заявляет и гарантирует, что:

• Предоставил субъектам информацию, предусмотренную ст. 13-14 GDPR;
• Получил необходимые правовые основания (согласие, договор, правовое обязательство), требуемые для обработки;
• Даёт законные инструкции Обработчику;
• Гарантирует надлежащее хранение и удаление данных после отказа от платформы Vezpa.

12. Конфиденциальность

Каждая сторона сохраняет строгую конфиденциальность всей информации, полученной от другой стороны при исполнении настоящего DPA, в течение всего срока действия договора и в течение 5 лет после.

13. Ответственность

Ответственность каждой стороны в соответствии со ст. 82 GDPR перед субъектами данных продолжает регулироваться законом. В отношениях между сторонами режим договорной ответственности установлен в Общих условиях обслуживания (§9-10), с сохранением неотменяемого распределения, предусмотренного ст. 82 GDPR.

14. Прекращение обработки

При расторжении договора по любой причине Обработчик:

1. Предоставляет Контролёру инструменты для экспорта его данных в структурированном формате (CSV/JSON) в течение 30 дней с момента расторжения;
2. По истечении 30 дней удаляет или анонимизирует данные, обрабатываемые от имени Контролёра, из производственных систем;
3. Удаляет данные из резервных копий в рамках следующего ротационного цикла (обычно в течение 90 дней);
4. Сохраняет данные, которые Vezpa обязана хранить в силу закона (обычно: данные о выставлении счетов и журналы безопасности), только в течение сроков, предписанных применимым законодательством, поддерживая в отношении них надлежащие меры безопасности.

15. Изменения

Обработчик может изменять настоящее DPA для отражения нормативных изменений (например, новые SCC, меры Garante) или организационных изменений. О существенных изменениях сообщается Контролёру с предварительным уведомлением не менее чем за 30 дней. Если Контролёр не принимает изменения, он может расторгнуть договор без штрафов в отношении неиспользованной части подписки.

16. Применимое право

Настоящее DPA регулируется итальянским правом. К спорам применяется §16 Общих условий обслуживания.

© 2022-2026 Vezpa - Все права защищены | Политика конфиденциальности | Условия использования | Политика Cookie | GDPR | DPA | Субобработчики