Przetwarzanie danych
Umowa (DPA)

Stan na: 21 września 2026  ·  Wersja 1.0

Niniejsza umowa o przetwarzaniu danych («AVV») reguluje przetwarzanie danych osobowych, które IDup wykonuje na zlecenie swoich klientów biznesowych. Konkretuje art. 9 szwajcarskiej ustawy o ochronie danych (revDSG) oraz art. 28 ogólnego rozporządzenia o ochronie danych (DSGVO).

1. Strony

2. Przedmiot, charakter i cel przetwarzania

2.1 IDup przetwarza dane osobowe wyłącznie w celu świadczenia usługi opisanej w OWU: księgowość i rachunkowość, fakturowanie i płatności, oferty i umowy, CRM i leady, projekty, zadania i zgłoszenia, administracja personalna i ewidencja czasu pracy, cyfrowa skrzynka pocztowa i skanowanie dokumentów, archiwizacja dokumentów, kalendarz, rezerwacje online, czat, powiadomienia push, raporty oraz funkcje AI.

2.2 Rodzaj przetwarzania: zbieranie, przechowywanie, porządkowanie, odczytywanie, wyświetlanie, przesyłanie, zabezpieczanie, przywracanie, ograniczanie, usuwanie i niszczenie.

2.3 Czas trwania: na czas trwania umowy użytkowania plus okresy zgodnie z pkt 11.

3. Kategorie osób i danych, których to dotyczy

Szczególnie chronione dane osobowe (np. dane zdrowotne w powodach nieobecności, informacje o świadczeniach socjalnych) są przetwarzane tylko wtedy, gdy są one rejestrowane przez odpowiedzialną osobę w ramach usługi. Odpowiedzialna osoba decyduje o tym i ponosi za to odpowiedzialność.

4. Instrukcje

4.1 IDup przetwarza dane osobowe wyłącznie na podstawie udokumentowanych instrukcji administratora. Instrukcje te obejmują niniejszą umowę DPA, Regulamin, ustawienia konta oraz korzystanie z funkcji Usługi.

4.2 Dalsze instrukcje należy przesyłać w formie tekstowej na adres info@idup.com. Jeśli powodują dodatkowy nakład pracy lub mogą być zrealizowane tylko z dostosowaniami, IDup może naliczyć opłatę za uzgodnieniem.

4.3 Jeśli IDup uzna instrukcję za niezgodną z prawem, niezwłocznie o tym informuje i może zawiesić jej wykonanie do czasu wyjaśnienia sprawy.

4.4 Jeśli IDup jest zobowiązany do przetwarzania na mocy prawa szwajcarskiego lub obowiązującego prawa UE, informuje o tym administratora z wyprzedzeniem, o ile prawo tego nie zabrania.

5. Poufność

IDup verpflichtet alle Personen, die Zugang zu Personendaten erhalten, vertraglich zur Vertraulichkeit; die Verpflichtung gilt über das Ende der Tätigkeit hinaus. Der Zugang wird nur gewährt, soweit er für die jeweilige Aufgabe erforderlich ist.

6. Środki techniczne i organizacyjne

IDup trifft und unterhält mindestens folgende Massnahmen (Art. 8 revDSG, Art. 32 DSGVO):

• Poufność: oddzielne środowisko danych dla każdego klienta; uprawnienia oparte na rolach; hasła wyłącznie jako hash; opcjonalne uwierzytelnianie dwuskładnikowe; dostęp do infrastruktury tylko przez procedury kluczowe i tylko dla wąsko określonego kręgu osób.
• Integralność: Przesyłanie wyłącznie za pomocą TLS; Ochrona przed fałszerstwem żądań między witrynami; Walidacja danych wejściowych; Rejestrowanie logowań, zmian uprawnień i zdarzeń związanych z bezpieczeństwem.
• Dostępność: regularne kopie zapasowe; procedury odzyskiwania; monitorowanie stanu systemu i błędów; bieżąca aktualizacja używanego oprogramowania.
• Odporność i testowanie: oddzielne środowiska operacyjne i testowe; przegląd środków przy każdej istotnej zmianie, co najmniej raz w roku.
• Lokalizacja: wszystkie systemy produkcyjne znajdują się w centrum danych w Norymberdze, Niemcy.

IDup kann die Massnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

7. Podwykonawcy

7.1 Administrator udziela IDup ogólnego zezwolenia na angażowanie następujących podprocesorów:

7.2 IDup schliesst mit jedem Unterauftragnehmer Verpflichtungen ab, die den Anforderungen dieses AVV entsprechen, und bleibt für dessen Leistung verantwortlich.

7.3 IDup ogłasza zamiany lub dodatki co najmniej 30 dni z wyprzedzeniem e-mailem lub na koncie. Odpowiedzialny może w tym okresie sprzeciwić się z ważnych, uzasadnionych powodów związanych z ochroną danych. Jeśli sprzeciwu nie da się rozwiązać, odpowiedzialny może wypowiedzieć dotkniętą część usługi z dniem zmiany.

8. Prawa osób, których dane dotyczą

8.1 Wendet sich eine betroffene Person direkt an IDup, leitet IDup das Anliegen unverzüglich an die Verantwortliche weiter und beantwortet es nicht selbst.

8.2 IDup unterstützt die Verantwortliche mit geeigneten technischen Mitteln bei Auskunft, Berichtigung, Löschung, Einschränkung, Herausgabe und Widerspruch. Der Dienst stellt dafür Such-, Export-, Korrektur- und Löschfunktionen bereit, welche die Verantwortliche selbst nutzen kann.

9. Wsparcie dla odpowiedzialnych

IDup unterstützt die Verantwortliche – im Rahmen des ihr Möglichen und unter Berücksichtigung der Art der Bearbeitung – bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO sowie den entsprechenden Pflichten des revDSG, namentlich bei der Sicherheit der Bearbeitung, bei Meldungen von Verletzungen des Datenschutzes, bei Datenschutz-Folgenabschätzungen und bei vorgängigen Konsultationen.

10. Zgłaszanie naruszeń ochrony danych

10.1 IDup zgłasza administratorowi każde naruszenie ochrony danych osobowych niezwłocznie, z reguły w ciągu 48 godzin od uzyskania informacji.

10.2 Zgłoszenie obejmuje, o ile wiadomo: charakter naruszenia, kategorie i przybliżoną liczbę osób i rekordów, których dotyczy, prawdopodobne konsekwencje, podjęte i proponowane środki i punkt kontaktowy.

10.3 Zgłoszenie do organu nadzorczego i do osób, których dane dotyczą, należy do obowiązków administratora; IDup wspiera go w tym.

11. Zwrot i usunięcie

11.1 W trakcie trwania umowy administrator może w dowolnym momencie uzyskać swoje dane za pomocą funkcji eksportu Usługi.

11.2 Po zakończeniu umowy dane pozostają dostępne do eksportu przez 30 dni. Następnie środowisko jest oznaczane do usunięcia i trwale usuwane najpóźniej 90 dni po zakończeniu umowy. Kopie zapasowe są nadpisywane w ramach regularnych cykli tworzenia kopii zapasowych.

11.3 Ustawowe obowiązki przechowywania pozostają zastrzeżone; takie dane są blokowane i nie są dalej przetwarzane.

12. Dowody i weryfikacja

12.1 IDup udostępnia na żądanie informacje niezbędne do wykazania zgodności z niniejszą umową AVV.

12.2 Administrator może zażądać audytu najwyżej raz w roku – oraz dodatkowo po naruszeniu ochrony danych osobowych. Przeprowadzany jest z co najmniej 30-dniowym wyprzedzeniem, w normalnych godzinach pracy i bez zakłócania operacji. Audytorzy zewnętrzni nie mogą być konkurentami IDup i muszą zobowiązać się do zachowania poufności. IDup może obciążyć kosztami uzasadnionego wysiłku.

13. Odpowiedzialność

Odpowiedzialność regulują OWU. Obowiązkowe przepisy dotyczące odpowiedzialności zgodnie z revDSG i DSGVO, w szczególności art. 82 DSGVO, pozostają zastrzeżone.

14. Postanowienia końcowe

14.1 Niniejsza DPA obowiązuje przez okres trwania umowy użytkowania. Postanowienia, które z natury obowiązują dalej – w szczególności poufność i usuwanie – obowiązują także po jej zakończeniu.

14.2 W przypadku sprzeczności, postanowienia niniejszej DPA mają pierwszeństwo przed Warunkami, o ile dotyczą przetwarzania danych osobowych.

14.3 Obowiązuje prawo szwajcarskie; miejscem jurysdykcji jest Reinach AG. Obowiązkowe miejsca jurysdykcji pozostają zastrzeżone.

14.4 Niniejsza DPA istnieje w języku niemieckim i angielskim; tłumaczenia na inne języki są wykonywane maszynowo. Wersja niemiecka jest wiążąca.