Обработка на данни
Споразумение (DPA)

Състояние: 21 септември 2026  ·  Версия 1.0

Този договор за обработка на данни («AVV») регулира обработката на лични данни, които IDup извършва от името на своите корпоративни клиенти. Той конкретизира чл. 9 от швейцарския закон за защита на данните (revDSG) и чл. 28 от Общия регламент за защита на данните (DSGVO).

1. Страни

2. Предмет, вид и цел на обработката

2.1 IDup обработва лични данни изключително за предоставяне на услугата, описана в ОУ: счетоводство и финанси, фактуриране и плащания, оферти и договори, CRM и потенциални клиенти, проекти, задачи и билети, управление на персонала и отчитане на времето, дигитална пощенска кутия и сканиране на документи, съхранение на документи, календар, онлайн резервации, чат, push съобщения, отчети и AI функции.

2.2 Вид на обработката: събиране, съхранение, организиране, извличане, показване, предаване, резервно копиране, възстановяване, ограничаване, изтриване и унищожаване.

2.3 Продължителност: за срока на договора за ползване плюс периодите по точка 11.

3. Категории засегнати лица и данни

Особено защитени лични данни (напр. здравни данни за причини за отсъствие, данни за социални помощи) се обработват само доколкото отговорното лице ги събира в службата. Отговорното лице решава това и носи отговорност.

4. Инструкции

4.1 IDup обработва лични данни изключително по документирани инструкции на отговорните лица. Тези инструкции включват този ДПА, Общите условия, настройките в акаунта и използването на функциите на услугата.

4.2 Допълнителни инструкции трябва да бъдат изпратени в текстова форма на info@idup.com. Ако те причиняват допълнителни усилия или могат да бъдат изпълнени само с адаптации, IDup може да начисли усилията по споразумение.

4.3 Ако IDup счита инструкция за незаконна, тя уведомява незабавно и може да спре изпълнението, докато въпросът не бъде изяснен.

4.4 Ако IDup е задължена да обработва данни съгласно швейцарското или приложимото законодателство на ЕС, тя информира отговорното лице предварително, освен ако законът не го забранява.

5. Поверителност

IDup задължава всички лица, които получават достъп до лични данни, договорно да спазват конфиденциалността; задължението важи и след края на дейността. Достъпът се предоставя само доколкото е необходим за съответната задача.

6. Технически и организационни мерки

IDup trifft und unterhält mindestens folgende Massnahmen (Art. 8 revDSG, Art. 32 DSGVO):

• Конфиденциалност: отделна среда за данни за всеки клиент; ролеви разрешения; пароли само като хеш; опционална двуфакторна автентикация; достъп до инфраструктурата само чрез ключови процедури и само за ограничен кръг от хора.
• Интегритет: Прехвърляне само с TLS; Защита от фалшифициране на заявки между сайтове; Валидация на входа; Регистриране на влизания, промени в разрешенията и събития, свързани със сигурността.
• Наличност: редовни резервни копия; процедури за възстановяване; мониторинг на състоянието на системата и грешките; текущо актуализиране на използвания софтуер.
• Издръжливост и проверка: отделни работни и тестови среди; проверка на мерките при всяка съществена промяна, поне веднъж годишно.
• Местоположение: всички производствени системи се намират в център за данни в Нюрнберг, Германия.

IDup може да развива мерките по-нататък, при условие че нивото на защита не се намалява.

7. Подизпълнители

7.1 Администраторът дава на IDup общо разрешение да ангажира следните подизпълнители:

7.2 IDup сключва с всеки подизпълнител задължения, които отговарят на изискванията на този AVV, и остава отговорен за тяхното изпълнение.

7.3 IDup обявява замени или добавки поне 30 дни предварително по имейл или в акаунта. Администраторът може да възрази в рамките на този период на важни основания, свързани със защита на данните. Ако възражението не може да бъде разрешено, администраторът може да прекрати засегнатата част от услугата към датата на промяната.

8. Права на засегнатите лица

8.1 Ако засегнато лице се обърне директно към IDup, IDup препраща въпроса незабавно към отговорното лице и не го отговаря сам.

8.2 IDup подпомага отговорното лице с подходящи технически средства при предоставяне на информация, корекция, изтриване, ограничаване, издаване и възражение. Услугата предоставя функции за търсене, експортиране, корекция и изтриване, които отговорното лице може да използва самостоятелно.

9. Подкрепа на отговорните лица

IDup подкрепя отговорните лица – в рамките на възможностите си и като взема предвид естеството на обработката – при спазването на задълженията по чл. 32 до 36 от DSGVO, както и съответните задължения на revDSG, по-специално при сигурността на обработката, при уведомления за нарушения на защитата на данните, при оценки на въздействието върху защитата на данните и при предварителни консултации.

10. Съобщаване за нарушения на защитата на личните данни

10.1 IDup уведомява отговорното лице за всяко нарушение на защитата на личните данни незабавно, по правило в рамките на 48 часа от узнаването.

10.2 Уведомлението включва, доколкото е известно: естеството на нарушението, категориите и приблизителния брой засегнати лица и записи, вероятните последици, предприетите и предложени мерки и контактна точка.

10.3 Уведомлението до надзорния орган и до засегнатите лица е отговорност на контролиращия; IDup подпомага.

11. Връщане и изтриване

11.1 По време на срока на договора, отговорното лице може да получи своите данни по всяко време чрез функциите за износ на услугата.

11.2 След края на договора, данните остават достъпни за износ за 30 дни. След това средата се маркира за изтриване и се изтрива окончателно не по-късно от 90 дни след края на договора. Резервните копия се презаписват в хода на редовните цикли на архивиране.

11.3 Законните задължения за съхранение остават запазени; такива данни са блокирани и не се обработват допълнително.

12. Доказателства и проверка

12.1 IDup предоставя на отговорното лице при поискване информацията, необходима за доказване на съответствието с това DPA.

12.2 Отговорното лице може да поиска проверка най-много веднъж годишно – и допълнително след нарушение на защитата на данните. Проверката се извършва с предизвестие от поне 30 дни, по време на обичайните работни часове и без нарушаване на операциите. Трети страни, извършващи проверката, не могат да бъдат конкуренти на IDup и трябва да се задължат за конфиденциалност. IDup може да начисли разумните си разходи.

13. Отговорност

Отговорността се определя от ОУ. Задължителните разпоредби за отговорност на revDSG и DSGVO, по-специално чл. 82 DSGVO, остават запазени.

14. Заключителни разпоредби

14.1 Този ДПА важи за срока на договора за ползване. Разпоредби, които по своята същност продължават да действат – по-специално конфиденциалност и изтриване – продължават да се прилагат и след това.

14.2 В случай на конфликт, този ДПА има предимство пред Общите условия, доколкото се отнася до обработката на лични данни.

14.3 Приложимо е швейцарското право; мястото на юрисдикция е Reinach AG. Задължителните места на юрисдикция остават запазени.

14.4 Този ДПА съществува на немски и английски език; преводите на други езици се извършват машинно. Немската версия е авторитетна.