Pravila privatnosti

1. Voditelj obrade

Vezpa di Paolo Vezzola
Sjediste: Via San Zeno 67, 25015 Desenzano del Garda (BS), Italija
PDV broj: 04449070988 · OIB: VZZPLA84C10D284C
Email: [email protected] · PEC: [email protected]

2. Podrucje primjene

Ova obavijest primjenjuje se na App Vezpa distribuiranu putem:

Apple App Store (iOS, macOS) - Bundle ID: it.vezpa.pms
Google Play Store (Android) - flavour googleplay
Microsoft Store (Windows) - MSIX
Izravni sideload (APK Android, potpisani Windows installer) za distribuciju izravno od strane Voditelja obrade

Koristenje aplikacije zahtijeva izradu racuna namijenjenog smjestajnom objektu. Aplikacija je namijenjena profesionalnim korisnicima starijim od 18 godina (upravitelji smjestajnih objekata i njihovo ovlasteno osoblje).

3. Podaci koje prikuplja aplikacija

3.1 Podaci korisnika (Upravitelji i osoblje)

Osobni podaci: ime, prezime, email, telefonski broj
Podaci o smjestajnom objektu
Vjerodajnice (lozinka hashirana na backendu, nikada ne prenesena u jasnom tekstu)
Identifikatori racuna (User ID)
Dodijeljena uloga (direktor, asistent, domacica, promatrac)

3.2 Podaci gostiju (Vezpa djeluje kao Izvrsitelj obrade)

Vazno: podaci gostiju su u vlasnistvu objekta. Vezpa djeluje kao Izvrsitelj obrade sukladno cl. 28. GDPR-a, regulirano DPA-om.

Osobni i kontakt podaci
Identifikacijske isprave skenirane ili fotografirane putem fotoaparata uredaja, s OCR ekstrakcijom tekstualnih podataka radi olaksavanja registracije
Podaci o boravku i rezervaciji

3.3 Tehnicki podaci i podaci o koristenju

Identifikatori uredaja: model, operativni sustav, verzija aplikacije
Token push obavijesti (FCM): jedinstveni identifikator kojim upravlja Google Firebase za slanje obavijesti
SHA-256 hash povjerenog uredaja: generiran lokalno radi omogucavanja naknadnog biometrijskog pristupa, istice 90 dana od posljednje uporabe
Aplikacijski i dijagnosticki dnevnici: prenose se u batch-u na backend putem RemoteLoggera u svrhe stabilnosti i sigurnosti; ne sadrze osjetljivi osobni sadrzaj
IP adresa: prikuplja je backend u svrhe sigurnosti

4. Dopustenja koje aplikacija trazi

Dopustenje	Svrha	Obvezno
Fotoaparat	Snimanje slika identifikacijskih isprava gostiju za OCR i za slanje tijelima	Opcionalno (alternativa: rucni unos)
Push obavijesti	Primanje obavijesti o novim rezervacijama, prijavama, zahtjevima gostiju	Opcionalno (aplikacija radi i bez)
Biometrijska autentifikacija (Face ID / Touch ID / otisak prsta / Windows Hello)	Brza prijava nakon prve autentifikacije lozinkom. Biometrijski podaci nikada ne napustaju uredaj i ne prenose se Vezpi.	Opcionalno
Pohrana / Datoteke	Lokalno spremanje PDF izvjestaja, racuna, AlloggiatiWeb obrazaca generiranih iz aplikacije	Opcionalno
Internet	Komunikacija s Vezpa posluziteljima	Obvezno
REQUEST_INSTALL_PACKAGES (samo Android sideload)	Automatska instalacija azuriranja putem APK-a preuzetog s Vezpa posluzitelja. Nije prisutno u Google Play verziji.	Zahtijevano samo za sideload flavour

5. SDK i usluge integrirane u aplikaciji

SDK / Usluga	Pruzatelj	Svrha	Obradeni podaci
Firebase Cloud Messaging (FCM)	Google LLC / Google Ireland Ltd	Slanje push obavijesti	Token uredaja, tehnicki identifikatori
StoreKit / Google Play Billing / Microsoft Store	Apple Inc. / Google LLC / Microsoft Corp.	Upravljanje in-app kupnjama i pretplatama	Token kupnje, status pretplate, ID store racuna
Stripe SDK (samo placanja stranice gosta)	Stripe Payments Europe Ltd	Obrada placanja karticom	Podatke o kartici obraduje Stripe, ne prenose se Vezpi
local_auth (biometrija)	Operativni sustav (Apple / Google / Microsoft)	Lokalno biometrijsko otkljucavanje	Nikakav biometrijski podatak ne prenosi se Vezpi
Flutter Secure Storage	Platforma (Keychain iOS/macOS, EncryptedSharedPreferences Android, DPAPI Windows)	Lokalno cuvanje JWT tokena i vjerodajnica	Refresh tokeni, kriptirani od strane operativnog sustava
share_plus	Open Source	Dijeljenje datoteka (PDF, izvjestaji) s aplikacijama sustava	Datoteke koje korisnik odabere

Vezpa ne integrira SDK-ove bihevioralne analitike (npr. AppsFlyer, Mixpanel, Facebook SDK), oglasivacke SDK-ove niti SDK-ove za profiliranje. Nikakvo cross-app pracenje sukladno Apple App Tracking Transparency (ATT).

6. Svrhe obrade

Pruzanje funkcionalnosti aplikacije Vezpa (cl. 6.1.b GDPR-a)
Zakonske obveze vezane uz registraciju gostiju, delegirane od strane objekta (cl. 6.1.c)
Sigurnost, sprjecavanje prijevara, stabilnost usluge (cl. 6.1.f, legitimni interes)
Upravljanje pretplatama i placanjima (cl. 6.1.b i 6.1.c)

Podaci se ne koriste u oglasivacke, profilirajuce ili pracene svrhe.

7. Nacin obrade i sigurnost

Prijenos putem HTTPS/TLS 1.2+
Autentifikacija s JWT-om u rotaciji (access 15 min, refresh 180 dana s blacklistom)
Secure Storage sustava (Keychain / EncryptedSharedPreferences / DPAPI)
Opcionalni 2FA TOTP
Backend posluzitelji smjesteni u EU (Frankfurt) na DigitalOceanu
Aplikacijski dnevnici nadzirani radi otkrivanja nepravilnih pristupa

8. Cuvanje i brisanje

Podaci korisnika cuvaju se za trajanje ugovora + porezne obveze (10 godina za fakturiranje).

Korisnik moze zatraziti brisanje racuna putem namjenske funkcije u aplikaciji ili pisuci Voditelju obrade. Neki podaci mogli bi se cuvati zbog zakonskih obveza (fakturiranje, sigurnosni dnevnici).

Podaci gostiju (za koje je Vezpa Izvrsitelj obrade) slijede upute Voditelja obrade sukladno regulaciji iz DPA-a.

9. Priopcavanje podataka

Podaci se ne prodaju niti sire. Mogu se priopciti podizvrsiteljima navedenima na vezpa.it/subprocessors te, ograniceno na podatke rezervacije, OTA kanalima koje je objekt aktivirao.

Za podatke prenesene javnim tijelima (Policija, ISTAT, Feratel, SES, NTAK, eVisitor, SEF, UbyPort, eTurizem) upucuje se na opca Pravila privatnosti.

10. Prijenosi izvan EU

Komunikacije s dobavljacima iz SAD-a s aktivnom DPF certifikacijom (Google/Firebase, Stripe, Microsoft, DigitalOcean) odvijaju se na temelju EU-U.S. Data Privacy Frameworka (Odluka (EU) 2023/1795). Apple ne sudjeluje u DPF-u: ugovorni odnos za korisnike u EU je s Apple Distribution International Ltd (Irska), a eventualni prijenosi prema Apple Inc. (SAD) regulirani su SCC 2021/914. Komunikacije sa STAAH-om (channel manager) odvijaju se na temelju Odluke o primjerenosti EU za Novi Zeland (2013/65/EU). Tuya (Kina, opcionalno) reguliran je SCC-om 2021/914.

11. Prava korisnika

Sukladno cl. 15.-22. GDPR-a, korisnik moze ostvariti prava pristupa, ispravka, brisanja, ogranicenja, prenosivosti i prigovora. Zahtjevi se mogu podnijeti putem aplikacije, ili na [email protected].

Prigovori nadzornom tijelu: Garante per la Protezione dei Dati Personali (talijansko tijelo za zastitu podataka). Korisnici u Hrvatskoj mogu se obratiti i Agenciji za zastitu osobnih podataka - AZOP (www.azop.hr).

12. Maloljetnici

Aplikacija je namijenjena iskljucivo punoljetnim korisnicima (profesionalni upravitelji). Ne prikuplja svjesno podatke maloljetnika.

13. Izmjene Pravila privatnosti

Ova se obavijest moze azurirati. Izmjene ce biti objavljene na ovoj stranici i, ako su bitne, priopcene putem emaila i nadzorne ploce s najmanje 15 dana najave.

PRAVILA PRIVATNOSTI - APP VEZPA