Zpracování dat
Smlouva (DPA)

Stav: 21. září 2026  ·  Verze 1.0

Tato smlouva o zpracování údajů («AVV») upravuje zpracování osobních údajů, které IDup provádí jménem svých firemních zákazníků. Konkretizuje čl. 9 švýcarského zákona o ochraně osobních údajů (revDSG) a čl. 28 obecného nařízení o ochraně osobních údajů (DSGVO).

1. Strany

2. Předmět, povaha a účel zpracování

2.1 IDup zpracovává osobní údaje výhradně za účelem poskytování služby popsané ve VOP: účetnictví a fakturace, fakturace a platby, nabídky a smlouvy, CRM a potenciální zákazníci, projekty, úkoly a tikety, personální administrativa a evidence času, digitální poštovní schránka a skenování dokladů, úložiště dokumentů, kalendář, online rezervace, chat, push zprávy, zprávy a funkce AI.

2.2 Typ zpracování: shromažďování, ukládání, organizace, vyhledávání, zobrazení, přenos, zálohování, obnova, omezení, vymazání a zničení.

2.3 Doba trvání: po dobu trvání smlouvy o užívání plus lhůty podle bodu 11.

3. Kategorie dotčených osob a dat

Zvláště chráněné osobní údaje (např. zdravotní údaje v důvodech nepřítomnosti, údaje o sociálních dávkách) jsou zpracovávány pouze tehdy, pokud je odpovědná osoba zaznamená ve službě. Odpovědná osoba o tom rozhoduje a nese za to odpovědnost.

4. Pokyny

4.1 IDup zpracovává osobní údaje výhradně podle dokumentovaných pokynů odpovědné osoby. Za pokyny se považují tato DPA, VOP, nastavení v účtu a využívání funkcí služby.

4.2 Další pokyny musí být zaslány v textové formě na info@idup.com. Pokud způsobí dodatečné úsilí nebo je lze realizovat pouze s úpravami, může IDup účtovat náklady po dohodě.

4.3 Pokud IDup považuje pokyn za nezákonný, neprodleně to oznámí a může pozastavit jeho provedení, dokud nebude záležitost vyjasněna.

4.4 Pokud je IDup povinen zpracovávat na základě švýcarského nebo použitelného práva EU, informuje odpovědnou osobu předem, pokud to právo nezakazuje.

5. Důvěrnost

IDup zavazuje všechny osoby, které mají přístup k osobním údajům, smluvně k důvěrnosti; tento závazek platí i po skončení činnosti. Přístup je udělen pouze v rozsahu nezbytném pro daný úkol.

6. Technická a organizační opatření

IDup trifft und unterhält mindestens folgende Massnahmen (Art. 8 revDSG, Art. 32 DSGVO):

• Důvěrnost: oddělené datové prostředí pro každého zákazníka; rolemi založená oprávnění; hesla pouze jako hash; volitelná dvoufaktorová autentizace; přístup k infrastruktuře pouze přes klíčové postupy a pouze pro úzce vymezený okruh osob.
• Integrita: Přenos výhradně pomocí TLS; Ochrana proti meziwebovým padělkům žádostí; Validace vstupů; Protokolování přihlášení, změn oprávnění a událostí souvisejících s bezpečností.
• Dostupnost: pravidelné zálohy; postupy obnovy; monitorování stavu systému a chyb; průběžná aktualizace používaného softwaru.
• Odolnost a testování: oddělená provozní a testovací prostředí; kontrola opatření při každé významné změně, nejméně však jednou ročně.
• Umístění: všechny produkční systémy se nacházejí v datovém centru v Norimberku, Německo.

IDup kann die Massnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

7. Subdodavatelé

7.1 Správce uděluje IDup obecné povolení zapojit následující subdodavatele:

7.2 IDup schliesst mit jedem Unterauftragnehmer Verpflichtungen ab, die den Anforderungen dieses AVV entsprechen, und bleibt für dessen Leistung verantwortlich.

7.3 Změny nebo nové přijetí oznamuje IDup nejméně 30 dní předem e-mailem nebo v účtu. Odpovědná osoba může v této lhůtě z důležitých, z hlediska ochrany dat odůvodněných důvodů vznést námitku. Pokud nelze námitku vyřešit, může odpovědná osoba ukončit dotčenou část služby k datu změny.

8. Práva subjektů údajů

8.1 Pokud se subjekt údajů obrátí přímo na IDup, IDup předá žádost neprodleně správci a sám na ni neodpovídá.

8.2 IDup podporuje správce vhodnými technickými prostředky při zpracování přístupu, oprav, vymazání, omezení, přenositelnosti a námitky. Služba poskytuje funkce vyhledávání, exportu, oprav a mazání, které může správce sám využít.

9. Podpora odpovědných osob

IDup podporuje odpovědné osoby – v rámci jejich možností a s ohledem na povahu zpracování – při dodržování povinností podle čl. 32 až 36 DSGVO a odpovídajících povinností revDSG, zejména při zajištění bezpečnosti zpracování, při hlášení porušení ochrany osobních údajů, při posuzování dopadů na ochranu osobních údajů a při předchozích konzultacích.

10. Oznámení o porušení ochrany osobních údajů

10.1 IDup neprodleně oznámí odpovědné osobě každé porušení ochrany osobních údajů, obvykle do 48 hodin od zjištění.

10.2 Oznámení zahrnuje, pokud je známo: povahu porušení, dotčené kategorie a přibližný počet osob a záznamů, pravděpodobné důsledky, přijatá a navrhovaná opatření a kontaktní místo.

10.3 Oznámení dozorovému úřadu a dotčeným osobám je odpovědností odpovědné osoby; IDup ji při tom podporuje.

11. Vrácení a smazání

11.1 Během trvání smlouvy může správce kdykoli získat svá data pomocí exportních funkcí služby.

11.2 Po skončení smlouvy zůstávají data přístupná pro export po dobu 30 dnů. Poté je prostředí označeno k odstranění a trvale smazáno nejpozději 90 dnů po skončení smlouvy. Záložní kopie jsou přepsány v rámci pravidelných zálohovacích cyklů.

11.3 Zákonné povinnosti uchovávání zůstávají vyhrazeny; taková data jsou blokována a dále nezpracovávána.

12. Důkazy a kontrola

12.1 IDup poskytne na žádost odpovědné osobě informace potřebné k prokázání dodržování tohoto AVV.

12.2 Odpovědná osoba může požadovat kontrolu nejvýše jednou ročně – a navíc po porušení ochrany osobních dat. Provádí se s předběžným oznámením nejméně 30 dnů, během běžné pracovní doby a bez narušení provozu. Třetí strany provádějící audit nesmí být konkurenty IDup a musí se zavázat k důvěrnosti. IDup může účtovat přiměřené náklady.

13. Odpovědnost

Odpovědnost se řídí VOP. Povinná ustanovení o odpovědnosti revDSG a DSGVO, zejména čl. 82 DSGVO, zůstávají vyhrazena.

14. Schlussbestimmungen

14.1 Tento DPA platí po dobu trvání smlouvy o užívání. Ustanovení, která svou povahou přetrvávají – zejména důvěrnost a vymazání – platí i nadále.

14.2 V případě rozporu mají ustanovení tohoto DPA přednost před VOP, pokud jde o zpracování osobních údajů.

14.3 Platí švýcarské právo; místem soudní příslušnosti je Reinach AG. Povinné soudní příslušnosti zůstávají vyhrazeny.

14.4 Tento DPA existuje v německém a anglickém jazyce; překlady do dalších jazyků jsou prováděny strojově. Rozhodující je německá verze.