Tietojenkäsittely
Sopimus (DPA)

Päivitetty: 21. syyskuuta 2026  ·  Versio 1.0

Tämä tietojenkäsittelysopimus («AVV») säätelee henkilötietojen käsittelyä, jonka IDup suorittaa yritysasiakkaidensa puolesta. Se täsmentää Sveitsin tietosuojalain (revDSG) 9 artiklaa ja tietosuoja-asetuksen (DSGVO) 28 artiklaa.

1. Osapuolet

2. Käsittelyn kohde, luonne ja tarkoitus

2.1 IDup käsittelee henkilötietoja yksinomaan tarjotakseen palvelun, joka on kuvattu Yleisten sopimusehtojen mukaisesti: kirjanpito ja laskentatoimi, laskutus ja maksut, tarjoukset ja sopimukset, CRM ja liidit, projektit, tehtävät ja tiketit, henkilöstöhallinto ja ajanseuranta, digitaalinen postilaatikko ja kuittiskannaus, dokumenttien hallinta, kalenteri, online-varaus, chat, push-ilmoitukset, raportit sekä AI-toiminnot.

2.2 Käsittelyn laatu: kerääminen, tallentaminen, järjestäminen, hakeminen, näyttäminen, siirtäminen, varmuuskopiointi, palauttaminen, rajoittaminen, poistaminen ja tuhoaminen.

2.3 Kesto: käyttöoikeussopimuksen voimassaoloaika plus kohdassa 11 mainitut ajat.

3. Asianosaisten henkilöiden ja tietojen luokat

Erityisen suojattavia henkilötietoja (esim. terveystiedot poissaolon syistä, tiedot sosiaalietuuksista) käsitellään vain, jos vastuuhenkilö kirjaa ne palveluun. Vastuuhenkilö päättää tästä ja kantaa vastuun.

4. Ohjeet

4.1 IDup käsittelee henkilötietoja ainoastaan vastuuhenkilön dokumentoitujen ohjeiden mukaisesti. Tämä DPA, ehdot, tilin asetukset ja palvelun ominaisuuksien käyttö muodostavat ohjeet.

4.2 Lisäohjeet on lähetettävä tekstimuodossa osoitteeseen info@idup.com. Jos ne aiheuttavat lisätyötä tai vaativat mukautuksia, IDup voi veloittaa työstä sopimuksen mukaan.

4.3 Jos IDup pitää ohjetta laittomana, se ilmoittaa siitä viipymättä ja voi keskeyttää toteutuksen, kunnes asia on selvitetty.

4.4 Jos IDup on velvollinen käsittelemään tietoja Sveitsin tai sovellettavan EU-lainsäädännön perusteella, se ilmoittaa siitä vastuuhenkilölle etukäteen, ellei laki sitä kiellä.

5. Luottamuksellisuus

IDup sitouttaa kaikki henkilöt, joilla on pääsy henkilötietoihin, sopimuksellisesti luottamuksellisuuteen; velvoite on voimassa toiminnan päättymisen jälkeenkin. Pääsy myönnetään vain siinä määrin kuin se on tarpeen kyseisen tehtävän suorittamiseksi.

6. Teknisiä ja organisatorisia toimenpiteitä

IDup trifft und unterhält mindestens folgende Massnahmen (Art. 8 revDSG, Art. 32 DSGVO):

• Luottamuksellisuus: erillinen tietoympäristö jokaiselle asiakkaalle; roolipohjaiset oikeudet; salasanat vain hajautettuina; valinnainen kaksivaiheinen todennus; pääsy infrastruktuuriin vain avainmenetelmillä ja vain rajoitetulle henkilöryhmälle.
• Integriteetti: Tiedonsiirto vain TLS:n avulla; suojaus sivustojen väliseltä pyyntöjen väärentämiseltä; syötteen validointi; kirjautumisten, oikeuksien muutosten ja turvallisuuteen liittyvien tapahtumien kirjaaminen.
• Saatavuus: säännölliset varmuuskopiot; palautusmenettelyt; Järjestelmän tilan ja virheiden seuranta; käytetyn ohjelmiston jatkuva päivittäminen.
• Kestävyys ja testaus: erilliset käyttö- ja testausympäristöt; toimenpiteiden tarkistus jokaisen merkittävän muutoksen yhteydessä, vähintään kerran vuodessa.
• Sijainti: kaikki tuotantojärjestelmät sijaitsevat datakeskuksessa Nürnbergissä, Saksassa.

IDup voi kehittää toimenpiteitä edelleen, kunhan suojan taso ei alitu.

7. Alihankkijat

7.1 Vastuuosapuoli antaa IDupille yleisen luvan käyttää seuraavia alihankkijoita:

7.2 IDup schliesst mit jedem Unterauftragnehmer Verpflichtungen ab, die den Anforderungen dieses AVV entsprechen, und bleibt für dessen Leistung verantwortlich.

7.3 IDup ilmoittaa vaihdoista tai uusista lisäyksistä vähintään 30 päivää etukäteen sähköpostitse tai tilillä. Vastuutaho voi tämän ajan kuluessa vastustaa tärkeästä, tietosuojalainsäädäntöön perustuvasta syystä. Jos vastaväite ei ratkea, vastuutaho voi irtisanoa kyseisen palveluosan muutoksen voimaantulopäivänä.

8. Rekisteröidyn oikeudet

8.1 Jos rekisteröity ottaa suoraan yhteyttä IDupiin, IDup välittää pyynnön viipymättä rekisterinpitäjälle eikä vastaa siihen itse.

8.2 IDup tukee rekisterinpitäjää asianmukaisin teknisin keinoin pääsyn, oikaisun, poistamisen, rajoittamisen, siirrettävyyden ja vastustamisen käsittelyssä. Palvelu tarjoaa haku-, vienti-, korjaus- ja poistotoiminnot, joita rekisterinpitäjä voi käyttää itse.

9. Vastuutahojen tukeminen

IDup tukee vastuuhenkilöä – mahdollisuuksiensa rajoissa ja huomioiden käsittelyn luonteen – velvollisuuksien noudattamisessa artiklojen 32–36 DSGVO sekä vastaavien revDSG-velvollisuuksien osalta, erityisesti käsittelyn turvallisuudessa, tietosuojarikkomusten ilmoittamisessa, tietosuojavaikutusten arvioinneissa ja ennakkokonsultaatioissa.

10. Ilmoitus tietosuojaloukkauksista

10.1 IDup ilmoittaa vastuuhenkilölle kaikista henkilötietojen suojan loukkauksista viipymättä, yleensä 48 tunnin kuluessa tiedon saamisesta.

10.2 Ilmoitus sisältää, mikäli tiedossa: loukkauksen luonne, asianomaisten henkilöiden ja tietueiden arvioitu määrä, todennäköiset seuraukset, toteutetut ja ehdotetut toimenpiteet sekä yhteyspiste.

10.3 Ilmoitus valvontaviranomaiselle ja asianomaisille henkilöille on vastuuhenkilön vastuulla; IDup tukee tässä.

11. Palautus ja poistaminen

11.1 Sopimuksen aikana rekisterinpitäjä voi milloin tahansa saada tietonsa palvelun vientitoimintojen avulla.

11.2 Sopimuksen päätyttyä tiedot ovat saatavilla vientiä varten 30 päivän ajan. Sen jälkeen ympäristö merkitään poistettavaksi ja poistetaan pysyvästi viimeistään 90 päivän kuluttua sopimuksen päättymisestä. Varmuuskopiot korvataan säännöllisten varmuuskopiointisyklien aikana.

11.3 Lainmukaiset säilytysvelvoitteet jäävät voimaan; tällaiset tiedot estetään ja niitä ei käsitellä enää.

12. Todisteet ja tarkastukset

12.1 IDup toimittaa vastuuhenkilölle pyynnöstä tiedot, jotka ovat tarpeen tämän AVV:n noudattamisen todistamiseksi.

12.2 Vastuuhenkilö voi pyytää tarkastusta enintään kerran vuodessa – ja lisäksi tietosuojaloukkauksen jälkeen. Se suoritetaan vähintään 30 päivän ennakkoilmoituksella, normaaleina työaikoina ja ilman toiminnan häiriöitä. Kolmannen osapuolen tarkastajat eivät saa olla IDupin kilpailijoita ja heidän on sitouduttava luottamuksellisuuteen. IDup voi veloittaa kohtuullisista kustannuksista.

13. Vastuu

Vastuu määräytyy yleisten ehtojen mukaan. RevDSG:n ja DSGVO:n pakottavat vastuusäännökset, erityisesti DSGVO:n 82 artikla, jäävät voimaan.

14. Loppumääräykset

14.1 Tämä DPA on voimassa käyttöoikeussopimuksen ajan. Luonteensa vuoksi voimassa pysyvät määräykset – erityisesti luottamuksellisuus ja poistaminen – ovat voimassa myös sen jälkeen.

14.2 Ristiriitatilanteissa tämän DPA:n määräykset ovat etusijalla ehtoihin nähden, mikäli kyse on henkilötietojen käsittelystä.

14.3 Sovelletaan Sveitsin lakia; oikeuspaikka on Reinach AG. Pakolliset oikeuspaikat pidätetään.

14.4 Tämä DPA on saatavilla saksaksi ja englanniksi; käännökset muille kielille tuotetaan koneellisesti. Saksankielinen versio on määräävä.