Privacybeleid - Vezpa App

1. Verwerkingsverantwoordelijke

Vezpa di Paolo Vezzola
Statutaire zetel: Via San Zeno 67, 25015 Desenzano del Garda (BS), Italie
BTW-nummer: 04449070988 · Fiscaal nummer: VZZPLA84C10D284C
E-mail: [email protected] · PEC: [email protected]

2. Toepassingsgebied

Dit beleid is van toepassing op de Vezpa App gedistribueerd via:

Apple App Store (iOS, macOS) — Bundle ID: it.vezpa.pms
Google Play Store (Android) — flavour googleplay
Microsoft Store (Windows) — MSIX
Directe sideload (APK Android, gesigneerd Windows-installer) voor gebruik dat rechtstreeks door de Verwerkingsverantwoordelijke wordt gedistribueerd

Voor het gebruik van de app is de aanmaak van een account vereist dat gekoppeld is aan de accommodatie. De app is bestemd voor professionele gebruikers ouder dan 18 jaar (beheerders van accommodaties en hun geautoriseerd personeel).

3. Gegevens verzameld door de App

3.1 Gegevens van gebruikers (Beheerders en personeel)

Persoonsgegevens: voornaam, achternaam, e-mail, telefoonnummer
Gegevens van de accommodatie
Inloggegevens (wachtwoord gehasht aan de backendzijde, nooit in klare tekst verzonden)
Accountidentificatoren (User ID)
Toegewezen rol (directeur, assistent, huishoudelijk medewerker, waarnemer)

3.2 Gegevens van gasten (Vezpa treedt op als Verwerker)

Belangrijk: de gegevens van gasten zijn eigendom van de accommodatie. Vezpa treedt op als Verwerker in de zin van art. 28 AVG, geregeld door de DPA.

Persoons- en contactgegevens
Identiteitsdocumenten gescand of gefotografeerd met de camera van het apparaat, met OCR-extractie van de tekstgegevens om de registratie te vergemakkelijken
Verblijfs- en boekingsgegevens

3.3 Technische en gebruiksgegevens

Apparaatidentificatoren: model, besturingssysteem, appversie
Push notification-tokens (FCM): unieke identificator beheerd door Google Firebase voor het verzenden van meldingen
SHA-256-hash van het vertrouwde apparaat: lokaal gegenereerd om daaropvolgende biometrische toegang mogelijk te maken, vervalt 90 dagen na laatste gebruik
Applicatie- en diagnostische logs: in batch naar de backend verzonden via RemoteLogger voor stabiliteits- en beveiligingsdoeleinden; bevatten geen gevoelige persoonlijke inhoud
IP-adres: verzameld door de backend voor beveiligingsdoeleinden

4. Door de App gevraagde machtigingen

Machtiging	Doel	Verplicht
Camera	Vastleggen van afbeeldingen van identiteitsdocumenten van gasten voor OCR en verzending naar de autoriteiten	Optioneel (alternatief: handmatige invoer)
Pushmeldingen	Ontvangst van meldingen over nieuwe boekingen, check-ins, verzoeken van gasten	Optioneel (de app werkt ook zonder)
Biometrische authenticatie (Face ID / Touch ID / vingerafdruk / Windows Hello)	Snelle login na eerste authenticatie met wachtwoord. Biometrische gegevens verlaten het apparaat nooit en worden niet aan Vezpa meegedeeld.	Optioneel
Opslag / Bestanden	Lokale opslag van door de app gegenereerde PDF-rapporten, facturen, Alloggiati-formulieren	Optioneel
Internet	Communicatie met de Vezpa-servers	Verplicht
REQUEST_INSTALL_PACKAGES (alleen Android sideload)	Automatische installatie van updates via een APK gedownload van de Vezpa-servers. Niet aanwezig in de Google Play-versie.	Alleen vereist voor de sideload-flavour

5. In de App geintegreerde SDK's en diensten

SDK / Dienst	Leverancier	Doel	Verwerkte gegevens
Firebase Cloud Messaging (FCM)	Google LLC / Google Ireland Ltd	Verzending van pushmeldingen	Apparaattoken, technische identificatoren
StoreKit / Google Play Billing / Microsoft Store	Apple Inc. / Google LLC / Microsoft Corp.	Beheer van in-app aankopen en abonnementen	Aankooptokens, abonnementsstatus, store-account-ID
Stripe SDK (alleen betalingen pagina gast)	Stripe Payments Europe Ltd	Verwerking van kaartbetalingen	Kaartgegevens beheerd door Stripe, niet verzonden naar Vezpa
local_auth (biometrie)	Besturingssysteem (Apple / Google / Microsoft)	Lokale biometrische ontgrendeling	Geen biometrische gegevens verzonden naar Vezpa
Flutter Secure Storage	Platform (Keychain iOS/macOS, EncryptedSharedPreferences Android, DPAPI Windows)	Lokale opslag van JWT-tokens en inloggegevens	Refresh-tokens, versleuteld door het besturingssysteem
share_plus	Open Source	Bestanden delen (PDF, rapporten) met systeem-apps	Door de gebruiker gekozen bestanden

Vezpa integreert geen SDK's voor gedragsanalyse (bv. AppsFlyer, Mixpanel, Facebook SDK), reclame-SDK's of profilerings-SDK's. Geen cross-app tracking in de zin van Apple App Tracking Transparency (ATT).

6. Doeleinden van de Verwerking

Levering van de functies van de Vezpa App (art. 6.1.b AVG)
Wettelijke verplichtingen met betrekking tot gastregistratie, gedelegeerd door de accommodatie (art. 6.1.c)
Beveiliging, fraudepreventie, stabiliteit van de dienst (art. 6.1.f, gerechtvaardigd belang)
Beheer van abonnementen en betalingen (art. 6.1.b en 6.1.c)

De gegevens worden niet gebruikt voor reclame-, profilerings- of trackingdoeleinden.

7. Wijze van Verwerking en Beveiliging

Transmissie via HTTPS/TLS 1.2+
Authenticatie met roterende JWT (access 15 min, refresh 180 dagen met blacklist)
Systeem Secure Storage (Keychain / EncryptedSharedPreferences / DPAPI)
Optionele 2FA TOTP
Backend-servers in de EU (Frankfurt) op DigitalOcean
Applicatielogs worden gemonitord om afwijkende toegang te detecteren

8. Bewaring en Wissing

De gegevens van gebruikers worden bewaard voor de duur van de overeenkomst + fiscale verplichtingen (10 jaar voor facturering).

De gebruiker kan verzoeken om accountwissing via de speciale functie in de app of door te schrijven naar de Verwerkingsverantwoordelijke. Bepaalde gegevens kunnen worden bewaard voor wettelijke verplichtingen (facturering, beveiligingslogs).

De gegevens van gasten (waarvoor Vezpa optreedt als Verwerker) volgen de instructies van de Verwerkingsverantwoordelijke volgens hetgeen is geregeld in de DPA.

9. Mededeling van de Gegevens

De gegevens worden niet verkocht of verspreid. Zij kunnen worden meegedeeld aan de sub-verwerkers vermeld op vezpa.it/subprocessors en, beperkt tot de boekingsgegevens, aan de door de accommodatie geactiveerde OTA-kanalen.

Voor gegevens die worden verzonden naar overheidsinstanties (Politie/Questura, ISTAT, Feratel, SES, NTAK, eVisitor, SEF, UbyPort, eTurizem) wordt verwezen naar het algemene Privacybeleid.

10. Doorgiften buiten de EU

Communicatie met Amerikaanse leveranciers met DPF-certificering (Google/Firebase, Stripe, Microsoft, DigitalOcean) vindt plaats op basis van het EU-U.S. Data Privacy Framework (Besluit (EU) 2023/1795). Apple neemt niet deel aan het DPF: de contractuele relatie voor EU-gebruikers loopt via Apple Distribution International Ltd (Ierland) en eventuele doorgiften naar Apple Inc. (VS) worden beheerst door SCC 2021/914. Communicatie met STAAH (channel manager) vindt plaats op basis van het EU-adequaatheidsbesluit voor Nieuw-Zeeland (Besluit (EU) 2013/65). Tuya (China, optioneel) is geregeld door SCC 2021/914.

11. Rechten van de Gebruiker

Krachtens art. 15-22 AVG kan de gebruiker rechten uitoefenen van inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar. Verzoeken kunnen worden ingediend via de app of op [email protected].

Klachten bij de toezichthoudende autoriteit: Italiaanse toezichthoudende autoriteit (Garante). Gebruikers in Nederland kunnen ook terecht bij de Autoriteit Persoonsgegevens (www.autoriteitpersoonsgegevens.nl).

12. Minderjarigen

De App is uitsluitend bestemd voor meerderjarige gebruikers (professionele beheerders). Er worden niet bewust gegevens van minderjarigen verzameld.

13. Wijzigingen van het Privacybeleid

Dit beleid kan worden bijgewerkt. Wijzigingen worden op deze pagina gepubliceerd en, indien wezenlijk, via e-mail en dashboard meegedeeld met een vooraankondiging van minstens 15 dagen.

PRIVACYBELEID – VEZPA APP