Trattamento dei dati
Accordo (DPA)

Ultimo aggiornamento: 21 settembre 2026  ·  Versione 1.0

Questo Data Processing Agreement ("DPA") regola il trattamento dei dati personali che IDup effettua per conto dei suoi clienti aziendali. Dà effetto all'art. 9 della Legge Federale Svizzera sulla Protezione dei Dati (revFADP) e all'art. 28 del Regolamento Generale sulla Protezione dei Dati (GDPR).

1. Parti

2. Oggetto, natura e scopo

2.1 IDup tratta i dati personali esclusivamente per fornire il Servizio descritto nei Termini: contabilità e tenuta dei libri contabili, fatturazione e pagamenti, preventivi e contratti, CRM e lead, progetti, compiti e ticket, amministrazione HR e monitoraggio del tempo, casella postale digitale e acquisizione delle ricevute, archiviazione documenti, calendario, prenotazione online, chat, notifiche push, reportistica e funzionalità AI.

2.2 Tipo di trattamento: raccolta, archiviazione, organizzazione, recupero, visualizzazione, trasmissione, backup, ripristino, restrizione, cancellazione e distruzione.

2.3 Durata: per la durata del contratto d'uso più i periodi previsti dalla sezione 11.

3. Categorie di soggetti e dati

Categorie speciali di dati personali (ad es. dati sanitari nei motivi di assenza, dettagli di assicurazione sociale) sono trattati solo nella misura in cui il responsabile li registra nel Servizio. Il responsabile decide su questo e ne assume la responsabilità.

4. Istruzioni

4.1 IDup tratta i dati personali esclusivamente secondo le istruzioni documentate del responsabile. Questo DPA, i Termini, le impostazioni dell'account e l'uso delle funzionalità del Servizio costituiscono istruzioni.

4.2 Ulteriori istruzioni devono essere inviate in forma scritta a info@idup.com. Se comportano un ulteriore sforzo o possono essere implementate solo con adattamenti, IDup può addebitare lo sforzo previo accordo.

4.3 Se IDup ritiene un'istruzione illegale, lo comunica senza indugio e può sospendere l'esecuzione fino a quando la questione non è chiarita.

4.4 Quando IDup è tenuta a trattare dati ai sensi della legge svizzera o dell'UE applicabile, informa il titolare del trattamento in anticipo, a meno che la legge non lo vieti.

5. Riservatezza

IDup vincola contrattualmente ogni persona a cui viene dato accesso ai dati personali alla riservatezza; l'obbligo sopravvive alla fine del loro incarico. L'accesso è concesso solo nella misura necessaria per il rispettivo compito.

6. Misure tecniche e organizzative

IDup implementa e mantiene almeno le seguenti misure (art. 8 revFADP, art. 32 GDPR):

• Riservatezza: un ambiente dati separato per cliente; permessi basati sui ruoli; password memorizzate solo come hash; autenticazione a due fattori opzionale; accesso all'infrastruttura solo tramite autenticazione con chiave e solo per un gruppo di persone strettamente limitato.
• Integrità: trasmissione esclusivamente tramite TLS; protezione contro la falsificazione di richieste tra siti; validazione degli input; registrazione degli accessi, modifiche dei permessi ed eventi rilevanti per la sicurezza.
• Disponibilità: backup regolari; procedure di ripristino; monitoraggio dello stato del sistema e degli errori; aggiornamenti continui del software utilizzato.
• Resilienza e revisione: ambienti di produzione e test separati; revisione delle misure ad ogni cambiamento materiale, e almeno annualmente.
• Posizione: tutti i sistemi di produzione si trovano in un centro dati a Norimberga, Germania.

IDup può sviluppare ulteriormente le misure a condizione che il livello di protezione non venga ridotto.

7. Sub-responsabili

7.1 Il responsabile concede a IDup l'autorizzazione generale per coinvolgere i seguenti sub-responsabili:

7.2 IDup impone a ogni sub-responsabile obblighi equivalenti a quelli in questo DPA e rimane responsabile della loro esecuzione.

7.3 IDup annuncia sostituzioni o aggiunte almeno 30 giorni in anticipo via email o nell'account. Entro tale periodo il responsabile può opporsi per motivi importanti legati alla protezione dei dati. Se l'obiezione non può essere risolta, il responsabile può terminare la parte del Servizio interessata alla data del cambiamento.

8. Diritti degli interessati

8.1 Se un interessato contatta direttamente IDup, IDup inoltra la richiesta al responsabile senza indugio e non la risponde direttamente.

8.2 IDup supporta il responsabile con mezzi tecnici adeguati nella gestione di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione. Il servizio fornisce funzioni di ricerca, esportazione, correzione e cancellazione che il responsabile può utilizzare autonomamente.

9. Assistenza al responsabile

Tenendo conto della natura del trattamento e delle informazioni a sua disposizione, IDup assiste il titolare del trattamento nel rispettare gli obblighi previsti dagli art. 32 a 36 GDPR e gli obblighi corrispondenti del revFADP, in particolare la sicurezza del trattamento, la notifica delle violazioni dei dati personali, le valutazioni d'impatto sulla protezione dei dati e la consultazione preventiva.

10. Violazioni dei dati personali

10.1 IDup notifica al responsabile qualsiasi violazione dei dati personali senza indebito ritardo, di norma entro 48 ore dalla conoscenza.

10.2 La notifica include, se noto: la natura della violazione, le categorie e il numero approssimativo di soggetti e registri interessati, le probabili conseguenze, le misure adottate e proposte, e un punto di contatto.

10.3 La notifica all'autorità di controllo e ai soggetti interessati è responsabilità del responsabile; IDup assiste.

11. Restituzione e cancellazione

11.1 Durante il periodo contrattuale, il responsabile può ottenere i propri dati in qualsiasi momento utilizzando le funzioni di esportazione del Servizio.

11.2 Dopo la fine del contratto, i dati rimangono accessibili per l'esportazione per 30 giorni. Successivamente l'ambiente è segnato per la cancellazione e viene eliminato definitivamente non oltre 90 giorni dopo la fine del contratto. Le copie di backup vengono sovrascritte nel corso dei cicli di backup regolari.

11.3 Gli obblighi legali di conservazione rimangono riservati; tali dati sono bloccati e non vengono ulteriormente elaborati.

12. Prove e audit

12.1 Su richiesta, IDup mette a disposizione del responsabile le informazioni necessarie per dimostrare la conformità a questo DPA.

12.2 Il responsabile può richiedere un audit al massimo una volta all'anno – e inoltre dopo una violazione dei dati personali. Viene effettuato con un preavviso di almeno 30 giorni, durante l'orario lavorativo normale e senza interrompere le operazioni. Gli auditor di terze parti non possono essere concorrenti di IDup e devono impegnarsi alla riservatezza. IDup può addebitare il suo ragionevole sforzo.

13. Responsabilità

La responsabilità è regolata dai Termini di Servizio. Le disposizioni di responsabilità obbligatorie del revFADP e del GDPR, in particolare l'art. 82 GDPR, rimangono riservate.

14. Disposizioni finali

14.1 Questo AVV si applica per la durata del contratto di utilizzo. Le disposizioni che per loro natura continuano a valere – in particolare la riservatezza e la cancellazione – continuano ad applicarsi successivamente.

14.2 In caso di conflitto, le disposizioni di questo AVV prevalgono sui Termini per quanto riguarda il trattamento dei dati personali.

14.3 Si applica la legge svizzera; il foro competente è Reinach AG. I fori competenti obbligatori rimangono riservati.

14.4 Questo AVV esiste in tedesco e inglese; le traduzioni in altre lingue sono effettuate automaticamente. La versione tedesca è quella autorevole.