Processament de dades
Acord (DPA)

Estat: 21 de setembre de 2026  ·  Versió 1.0

Aquest contracte de processament de dades («AVV») regula el tractament de dades personals que IDup realitza en nom dels seus clients empresarials. Concretitza l'Art. 9 de la llei suïssa de protecció de dades (revDSG) i l'Art. 28 del Reglament General de Protecció de Dades (DSGVO).

1. Parts

2. Objecte, naturalesa i propòsit del tractament

2.1 IDup tracta dades personals exclusivament per proporcionar el servei descrit en els T&C: comptabilitat i finances, facturació i pagaments, ofertes i contractes, CRM i leads, projectes, tasques i tiquets, administració de personal i registre de temps, bústia digital i escaneig de rebuts, arxiu de documents, calendari, reserves en línia, xat, missatges push, informes i funcions d'IA.

2.2 Tipus de processament: recollida, emmagatzematge, organització, recuperació, visualització, transmissió, còpia de seguretat, restauració, restricció, esborrat i destrucció.

2.3 Durada: per la durada del contracte d'ús més els períodes segons la secció 11.

3. Categories de persones i dades afectades

Dades personals especialment protegides (p. ex., dades de salut en motius d'absència, informació sobre prestacions socials) només es tracten si el responsable les registra en el servei. El responsable decideix això i n'assumeix la responsabilitat.

4. Instruccions

4.1 IDup processa dades personals exclusivament segons les instruccions documentades del responsable. Aquest DPA, els Termes, la configuració del compte i l'ús de les funcions del Servei constitueixen instruccions.

4.2 Instruccions addicionals s'han d'enviar en forma de text a info@idup.com. Si causen esforç addicional o només es poden implementar amb adaptacions, IDup pot cobrar l'esforç per acord.

4.3 Si IDup considera una instrucció il·legal, ho comunica sense demora i pot suspendre l'execució fins que s'aclareixi la qüestió.

4.4 Si IDup està obligada per la legislació suïssa o de la UE aplicable a processar, informa prèviament al responsable, sempre que la llei no ho prohibeixi.

5. Confidencialitat

IDup obliga contractualment a totes les persones que tenen accés a dades personals a mantenir la confidencialitat; l'obligació es manté més enllà del final de l'activitat. L'accés només es concedeix en la mesura que sigui necessari per a la tasca corresponent.

6. Mesures tècniques i organitzatives

IDup trifft und unterhält mindestens folgende Massnahmen (Art. 8 revDSG, Art. 32 DSGVO):

• Confidencialitat: entorn de dades separat per a cada client; permisos basats en rols; contrasenyes només com a hash; autenticació de dos factors opcional; accés a la infraestructura només per procediments de clau i només per a un grup de persones molt restringit.
• Integritat: Transmissió exclusivament amb TLS; protecció contra falsificació de sol·licituds entre llocs web; validació d'entrada; registre d'inicis de sessió, canvis d'autorització i esdeveniments de seguretat.
• Disponibilitat: còpies de seguretat regulars; procediments de recuperació; monitoratge de l'estat del sistema i errors; actualització contínua del programari utilitzat.
• Resistència i prova: entorns operatius i de prova separats; revisió de les mesures en cada canvi significatiu, almenys anualment.
• Ubicació: tots els sistemes productius es troben en un centre de dades a Nuremberg, Alemanya.

IDup kann die Massnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

7. Subcontractistes

7.1 El responsable atorga a IDup l'autorització general per contractar els següents subprocessadors:

7.2 IDup schliesst mit jedem Unterauftragnehmer Verpflichtungen ab, die den Anforderungen dieses AVV entsprechen, und bleibt für dessen Leistung verantwortlich.

7.3 Canvis o noves incorporacions les comunica IDup almenys 30 dies per correu electrònic o al compte amb antelació. La responsable pot oposar-se dins d'aquest termini per motius importants relacionats amb la protecció de dades. Si l'objecció no es pot resoldre, la responsable pot rescindir la part afectada del servei en la data del canvi.

8. Drets de les persones afectades

8.1 Si una persona afectada es dirigeix directament a IDup, IDup reenvia la sol·licitud al responsable sense demora i no la respon per si mateixa.

8.2 IDup dóna suport al responsable amb mitjans tècnics adequats en la gestió d'accés, rectificació, esborrat, restricció, portabilitat i objecció. El servei proporciona funcions de cerca, exportació, correcció i eliminació que el responsable pot utilitzar per si mateix.

9. Suport als responsables

IDup dóna suport als responsables – dins de les seves possibilitats i tenint en compte la naturalesa del tractament – en el compliment de les obligacions segons els articles 32 a 36 del DSGVO, així com les corresponents obligacions del revDSG, especialment en la seguretat del tractament, en les notificacions de violacions de la protecció de dades, en les avaluacions d'impacte sobre la protecció de dades i en les consultes prèvies.

10. Notificació de violacions de protecció de dades

10.1 IDup notifica a la responsable qualsevol violació de la protecció de dades personals sense demora, en general dins de les 48 hores des que en té coneixement.

10.2 La notificació inclou, si es coneix: la naturalesa de la violació, les categories i el nombre aproximat de persones i registres afectats, les conseqüències probables, les mesures preses i proposades, i un punt de contacte.

10.3 La notificació a l'autoritat de supervisió i a les persones afectades és responsabilitat de la responsable; IDup l'assisteix en això.

11. Retorn i eliminació

11.1 Durant la durada del contracte, la responsable pot obtenir les seves dades en qualsevol moment mitjançant les funcions d'exportació del servei.

11.2 Després de la finalització del contracte, les dades romanen accessibles per a l'exportació durant 30 dies. Posteriorment, l'entorn es marca per a l'eliminació i s'elimina permanentment com a màxim 90 dies després de la finalització del contracte. Les còpies de seguretat es sobreescriuen en el curs dels cicles de còpia de seguretat regulars.

11.3 Les obligacions legals de retenció romanen reservades; aquestes dades es bloquegen i no es processen més.

12. Evidència i verificació

12.1 IDup proporciona a la responsable, a petició, la informació necessària per demostrar el compliment d'aquest AVV.

12.2 La responsable pot sol·licitar una verificació com a màxim un cop l'any – i addicionalment després d'una violació de la protecció de dades. Es realitza amb un avís previ d'almenys 30 dies, durant l'horari comercial habitual i sense interrompre les operacions. Els auditors de tercers no poden ser competidors d'IDup i han de comprometre's a la confidencialitat. IDup pot cobrar el seu esforç raonable.

13. Responsabilitat

La responsabilitat es regeix pels termes i condicions. Les disposicions de responsabilitat obligatòries del revDSG i del DSGVO, concretament l'Art. 82 DSGVO, es reserven.

14. Disposicions finals

14.1 Aquest AVV és vàlid durant la durada del contracte d'ús. Les disposicions que per la seva naturalesa continuen vigents, especialment la confidencialitat i l'eliminació, continuen aplicant-se després.

14.2 En cas de conflicte, aquest AVV preval sobre els Termes pel que fa al tractament de dades personals.

14.3 S'aplica la llei suïssa; el lloc de jurisdicció és Reinach AG. Els llocs de jurisdicció obligatoris es reserven.

14.4 Aquest AVV existeix en alemany i anglès; les traduccions a altres idiomes es produeixen de manera automàtica. La versió alemanya és la que preval.