Procesamiento de Datos
Acuerdo (DPA)

Estado: 21 de septiembre de 2026  ·  Versión 1.0

Este contrato de procesamiento de datos («AVV») regula el tratamiento de datos personales que IDup realiza en nombre de sus clientes empresariales. Concretiza el Art. 9 de la Ley de Protección de Datos de Suiza (revDSG) y el Art. 28 del Reglamento General de Protección de Datos (DSGVO).

1. Partes

2. Objeto, naturaleza y propósito del procesamiento

2.1 IDup procesa datos personales exclusivamente para proporcionar el servicio descrito en los Términos y Condiciones: contabilidad y finanzas, facturación y pagos, ofertas y contratos, CRM y leads, proyectos, tareas y tickets, administración de personal y registro de tiempo, buzón digital y escaneo de documentos, archivo de documentos, calendario, reservas en línea, chat, notificaciones push, informes y funciones de IA.

2.2 Tipo de procesamiento: recopilación, almacenamiento, organización, recuperación, visualización, transmisión, respaldo, restauración, restricción, eliminación y destrucción.

2.3 Duración: por la duración del contrato de uso más los períodos bajo la sección 11.

3. Categorías de personas y datos afectados

Datos personales especialmente sensibles (p. ej., datos de salud en motivos de ausencia, información sobre prestaciones sociales) se procesan solo en la medida en que el responsable los registre en el servicio. El responsable decide sobre esto y asume la responsabilidad.

4. Instrucciones

4.1 IDup procesa datos personales exclusivamente según las instrucciones documentadas del responsable. Este DPA, los Términos, la configuración de la cuenta y el uso de las funciones del Servicio constituyen instrucciones.

4.2 Instrucciones adicionales deben enviarse por escrito a info@idup.com. Si causan un esfuerzo adicional o solo pueden implementarse con adaptaciones, IDup puede cobrar el esfuerzo mediante acuerdo.

4.3 Si IDup considera una instrucción ilegal, lo comunica sin demora y puede suspender la ejecución hasta que se aclare el asunto.

4.4 Si IDup está obligada a procesar según la ley suiza o la ley de la UE aplicable, informa al responsable con antelación, a menos que la ley lo prohíba.

5. Confidencialidad

IDup verpflichtet alle Personen, die Zugang zu Personendaten erhalten, vertraglich zur Vertraulichkeit; die Verpflichtung gilt über das Ende der Tätigkeit hinaus. Der Zugang wird nur gewährt, soweit er für die jeweilige Aufgabe erforderlich ist.

6. Medidas técnicas y organizativas

IDup trifft und unterhält mindestens folgende Massnahmen (Art. 8 revDSG, Art. 32 DSGVO):

• Confidencialidad: entorno de datos separado para cada cliente; permisos basados en roles; contraseñas solo como hash; autenticación de dos factores opcional; acceso a la infraestructura solo mediante procedimientos de clave y solo para un grupo muy limitado de personas.
• Integridad: Transmisión exclusivamente con TLS; protección contra falsificación de solicitudes entre sitios; validación de entradas; registro de inicios de sesión, cambios de permisos y eventos de seguridad.
• Disponibilidad: copias de seguridad regulares; procedimientos de recuperación; monitoreo del estado del sistema y errores; actualización continua del software utilizado.
• Resiliencia y prueba: entornos operativos y de prueba separados; revisión de medidas en cada cambio significativo, al menos anualmente.
• Ubicación: todos los sistemas productivos están en un centro de datos en Núremberg, Alemania.

IDup kann die Massnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

7. Subcontratistas

7.1 La responsable otorga a IDup la autorización general para involucrar a los siguientes subcontratistas:

7.2 IDup establece con cada subcontratista obligaciones que cumplen con los requisitos de este AVV y sigue siendo responsable de su desempeño.

7.3 IDup comunica cambios o nuevas incorporaciones al menos 30 días antes por correo electrónico o en la cuenta. La responsable puede objetar dentro de este plazo por razones importantes relacionadas con la protección de datos. Si la objeción no se puede resolver, la responsable puede cancelar la parte del servicio afectada en la fecha del cambio.

8. Derechos de los interesados

8.1 Si un interesado contacta directamente con IDup, IDup reenvía la solicitud al responsable sin demora y no la responde por sí mismo.

8.2 IDup apoya al responsable con medios técnicos adecuados en el manejo de acceso, rectificación, eliminación, restricción, portabilidad y objeción. El servicio proporciona funciones de búsqueda, exportación, corrección y eliminación que el responsable puede utilizar por sí mismo.

9. Apoyo a los responsables

IDup unterstützt die Verantwortliche – im Rahmen des ihr Möglichen und unter Berücksichtigung der Art der Bearbeitung – bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO sowie den entsprechenden Pflichten des revDSG, namentlich bei der Sicherheit der Bearbeitung, bei Meldungen von Verletzungen des Datenschutzes, bei Datenschutz-Folgenabschätzungen und bei vorgängigen Konsultationen.

10. Notificación de violaciones de datos personales

10.1 IDup notifica a la responsable cualquier violación de la protección de datos personales sin demora injustificada, por regla general dentro de las 48 horas desde que tenga conocimiento.

10.2 La notificación incluye, cuando se conozca: la naturaleza de la violación, las categorías y el número aproximado de personas y registros afectados, las consecuencias probables, las medidas adoptadas y propuestas, y un punto de contacto.

10.3 La notificación a la autoridad de control y a las personas afectadas es responsabilidad del responsable; IDup le apoya en ello.

11. Devolución y eliminación

11.1 Durante la duración del contrato, la responsable puede obtener sus datos en cualquier momento a través de las funciones de exportación del servicio.

11.2 Después de que finalice el contrato, los datos permanecen accesibles para exportación durante 30 días. Posteriormente, el entorno se marca para eliminación y se elimina permanentemente a más tardar 90 días después del final del contrato. Las copias de seguridad se sobrescriben en el curso de los ciclos regulares de respaldo.

11.3 Las obligaciones legales de retención permanecen reservadas; dichos datos se bloquean y no se procesan más.

12. Evidencia y verificación

12.1 IDup proporciona a la responsable, previa solicitud, la información necesaria para demostrar el cumplimiento de este AVV.

12.2 La responsable puede solicitar una auditoría como máximo una vez al año y adicionalmente después de una violación de datos personales. Se realiza con un aviso de al menos 30 días, durante el horario comercial normal y sin interrumpir las operaciones. Los auditores externos no pueden ser competidores de IDup y deben comprometerse a la confidencialidad. IDup puede cobrar su esfuerzo razonable.

13. Responsabilidad

La responsabilidad se rige por los Términos y Condiciones. Las disposiciones de responsabilidad obligatorias del revDSG y del DSGVO, en particular el Art. 82 DSGVO, permanecen reservadas.

14. Disposiciones finales

14.1 Este AVV se aplica durante la vigencia del contrato de uso. Las disposiciones que por su naturaleza continúan vigentes, en particular la confidencialidad y la eliminación, seguirán aplicándose posteriormente.

14.2 En caso de conflicto, las disposiciones de este AVV prevalecen sobre los Términos en lo que respecta al procesamiento de datos personales.

14.3 Se aplica la ley suiza; el lugar de jurisdicción es Reinach AG. Los lugares de jurisdicción obligatorios permanecen reservados.

14.4 Este AVV existe en alemán e inglés; las traducciones a otros idiomas se realizan por máquina. La versión alemana es la que prevalece.