DATENSCHUTZERKLAERUNG – VEZPA APP

1. Verantwortlicher

Vezpa di Paolo Vezzola
Sitz: Via San Zeno 67, 25015 Desenzano del Garda (BS), Italien
USt-IdNr.: 04449070988 · Steuernummer: VZZPLA84C10D284C
E-Mail: [email protected] · PEC: [email protected]

2. Anwendungsbereich

Diese Information gilt fuer die Vezpa-App, die vertrieben wird ueber:

• Apple App Store (iOS, macOS) — Bundle ID: it.vezpa.pms
• Google Play Store (Android) — Flavour googleplay
• Microsoft Store (Windows) — MSIX
• Direktes Sideload (APK Android, signierter Windows-Installer) zur direkt vom Verantwortlichen verteilten Nutzung

Die Nutzung der App erfordert die Erstellung eines dem Beherbergungsbetrieb zugeordneten Accounts. Die App ist fuer gewerbliche Nutzer ueber 18 Jahre (Betreiber von Beherbergungsbetrieben und deren autorisiertes Personal) bestimmt.

3. Von der App erhobene Daten

3.1 Daten der Nutzer (Betreiber und Personal)

• Stammdaten: Vorname, Nachname, E-Mail, Telefonnummer
• Daten des Beherbergungsbetriebs
• Zugangsdaten (Passwort backend-seitig gehasht, niemals im Klartext uebertragen)
• Account-Kennungen (User ID)
• Zugewiesene Rolle (Direktor, Assistent, Hausdame, Beobachter)

3.2 Daten der Gaeste (Vezpa agiert als Auftragsverarbeiter)

Wichtig: Die Gaestedaten unterliegen der Verantwortung des Betriebs. Vezpa agiert als Auftragsverarbeiter gemaess Art. 28 DSGVO, geregelt durch den AVV.

• Stamm- und Kontaktdaten
• Ausweisdokumente gescannt oder ueber die Kamera des Geraets fotografiert, mit OCR-Extraktion der Textdaten zur Erleichterung der Registrierung
• Aufenthalts- und Buchungsdaten

3.3 Technische und Nutzungsdaten

• Geraetekennungen: Modell, Betriebssystem, App-Version
• Push-Notification-Token (FCM): von Google Firebase verwaltete eindeutige Kennung fuer den Versand von Benachrichtigungen
• SHA-256-Hash des vertrauenswuerdigen Geraets: lokal erzeugt, um den nachfolgenden biometrischen Zugriff zu ermoeglichen, Ablauf 90 Tage ab der letzten Nutzung
• Anwendungs- und Diagnose-Logs: ueber RemoteLogger im Batch an das Backend uebermittelt fuer Stabilitaets- und Sicherheitszwecke; enthalten keine sensiblen persoenlichen Inhalte
• IP-Adresse: vom Backend aus Sicherheitsgruenden erhoben

4. Von der App angeforderte Berechtigungen

5. In die App integrierte SDK und Dienste

Vezpa integriert kein Verhaltensanalyse-SDK (z. B. AppsFlyer, Mixpanel, Facebook SDK), kein Werbe-SDK und kein Profilbildungs-SDK. Kein App-uebergreifendes Tracking gemaess Apple App Tracking Transparency (ATT).

6. Zwecke der Verarbeitung

• Bereitstellung der Funktionen der Vezpa-App (Art. 6 Abs. 1 lit. b DSGVO)
• Gesetzliche Pflichten zur Gaesteregistrierung, delegiert vom Betrieb (Art. 6 Abs. 1 lit. c)
• Sicherheit, Betrugspraevention, Stabilitaet des Dienstes (Art. 6 Abs. 1 lit. f, berechtigtes Interesse)
• Verwaltung von Abonnements und Zahlungen (Art. 6 Abs. 1 lit. b und lit. c)

Die Daten werden nicht zu Werbe-, Profilbildungs- oder Tracking-Zwecken verwendet.

7. Art der Verarbeitung und Sicherheit

• Uebertragung via HTTPS/TLS 1.2+
• Authentifizierung mit rotierendem JWT (Access 15 Min, Refresh 180 Tage mit Blacklist)
• System Secure Storage (Keychain / EncryptedSharedPreferences / DPAPI)
• Optional 2FA TOTP
• Backend-Server in der EU (Frankfurt) auf DigitalOcean
• Anwendungs-Logs ueberwacht zur Erkennung anomaler Zugriffe

8. Aufbewahrung und Loeschung

Die Benutzerdaten werden fuer die Dauer des Vertrags + steuerliche Pflichten (10 Jahre fuer Rechnungsstellung, in Oesterreich 7 Jahre gemaess §132 BAO) aufbewahrt.

Der Benutzer kann die Loeschung des Accounts ueber die dedizierte Funktion in der App oder durch Schreiben an den Verantwortlichen anfordern. Einige Daten koennen aufgrund gesetzlicher Verpflichtungen (Rechnungsstellung, Sicherheits-Logs) aufbewahrt werden.

Die Gaestedaten (fuer die Vezpa Auftragsverarbeiter ist) folgen den Weisungen des Verantwortlichen gemaess den Regelungen im AVV.

9. Mitteilung der Daten

Die Daten werden weder verkauft noch verbreitet. Sie koennen an die unter vezpa.it/subprocessors aufgefuehrten Unterauftragsverarbeiter und, beschraenkt auf Buchungsdaten, an die vom Betrieb aktivierten OTA-Kanaele uebermittelt werden.

Fuer die an Behoerden uebermittelten Daten (Polizei/AlloggiatiWeb fuer IT, Meldeamt/Feratel fuer AT, ISTAT, SES, NTAK, eVisitor, SEF, UbyPort, eTurizem) wird auf die allgemeine Datenschutzerklaerung verwiesen.

10. Uebermittlungen ausserhalb der EU

Die Kommunikationen mit US-Anbietern, die aktiv DPF-zertifiziert sind (Google/Firebase, Stripe, Microsoft, DigitalOcean), erfolgen auf Grundlage des EU-U.S. Data Privacy Framework (Beschluss (EU) 2023/1795). Apple beteiligt sich nicht am DPF: das Vertragsverhaeltnis fuer EU-Nutzer besteht mit Apple Distribution International Ltd (Irland), und eventuelle Uebermittlungen an Apple Inc. (USA) werden durch SCC 2021/914 geregelt. Die Kommunikationen mit STAAH (Channel Manager) erfolgen auf Grundlage des EU-Angemessenheitsbeschlusses fuer Neuseeland (Beschluss (EU) 2013/65). Tuya (China, optional) wird durch SCC 2021/914 geregelt.

11. Rechte des Benutzers

Gemaess Art. 15-22 DSGVO kann der Benutzer die Rechte auf Auskunft, Berichtigung, Loeschung, Einschraenkung, Datenuebertragbarkeit und Widerspruch ausueben. Die Anfragen koennen ueber die App oder an [email protected] uebermittelt werden.

Beschwerden an die Aufsichtsbehoerde: Oesterreichische Datenschutzbehoerde (www.dsb.gv.at) fuer Nutzer in Oesterreich; italienische Datenschutzbehoerde (Garante) in Italien.

12. Minderjaehrige

Die App ist ausschliesslich fuer volljaehrige Benutzer (gewerbliche Betreiber) bestimmt. Sie erhebt nicht wissentlich Daten von Minderjaehrigen.

13. Aenderungen der Datenschutzerklaerung

Die vorliegende Information kann aktualisiert werden. Aenderungen werden auf dieser Seite veroeffentlicht und, sofern wesentlich, mit mindestens 15 Tagen Vorankuendigung per E-Mail und Dashboard mitgeteilt.