Traitement des données
Accord (DPA)

Dernière mise à jour : 21 septembre 2026  ·  Version 1.0

Cet Accord de Traitement des Données ("DPA") régit le traitement des données personnelles qu'IDup effectue pour le compte de ses clients professionnels. Il donne effet à l'art. 9 de la Loi fédérale suisse sur la protection des données (revFADP) et à l'art. 28 du Règlement général sur la protection des données (GDPR).

1. Parties

2. Objet, nature et but

2.1 IDup traite les données personnelles exclusivement pour fournir le Service décrit dans les Conditions : comptabilité et tenue de livres, facturation et paiements, devis et contrats, CRM et prospects, projets, tâches et tickets, administration RH et suivi du temps, boîte aux lettres numérique et capture de reçus, stockage de documents, calendrier, réservation en ligne, chat, notifications push, rapports et fonctionnalités d'IA.

2.2 Nature du traitement : collecte, stockage, organisation, extraction, affichage, transmission, sauvegarde, restauration, restriction, suppression et destruction.

2.3 Durée : pour la durée du contrat d'utilisation plus les périodes prévues à la section 11.

3. Catégories de personnes concernées et de données

Les catégories particulières de données personnelles (par exemple, les données de santé dans les motifs d'absence, les détails de l'assurance sociale) sont traitées uniquement dans la mesure où le responsable les enregistre dans le Service. Le responsable en décide et en assume la responsabilité.

4. Instructions

4.1 IDup traite les données personnelles exclusivement selon les instructions documentées du responsable. Ce DPA, les Conditions, les paramètres du compte et l'utilisation des fonctionnalités du Service constituent des instructions.

4.2 Les instructions supplémentaires doivent être envoyées par écrit à info@idup.com. Si elles entraînent un effort supplémentaire ou ne peuvent être mises en œuvre qu'avec des adaptations, IDup peut facturer cet effort par accord.

4.3 Si IDup considère qu'une instruction est illégale, elle le signale sans délai et peut suspendre l'exécution jusqu'à clarification.

4.4 Lorsque IDup est tenu de traiter des données en vertu de la législation suisse ou de l'UE applicable, il informe le responsable du traitement au préalable, sauf si la loi l'interdit.

5. Confidentialité

IDup engage contractuellement chaque personne ayant accès aux données personnelles à la confidentialité ; l'obligation survit à la fin de leur engagement. L'accès est accordé uniquement dans la mesure nécessaire pour la tâche respective.

6. Mesures techniques et organisationnelles

IDup met en œuvre et maintient au moins les mesures suivantes (art. 8 revFADP, art. 32 GDPR) :

• Confidentialité : un environnement de données séparé par client ; permissions basées sur les rôles ; mots de passe stockés uniquement sous forme de hachages ; authentification à deux facteurs en option ; accès à l'infrastructure uniquement par authentification par clé et seulement pour un groupe de personnes très restreint.
• Intégrité : transmission exclusivement via TLS ; protection contre la falsification de requêtes intersites ; validation des entrées ; journalisation des connexions, des changements de permissions et des événements liés à la sécurité.
• Disponibilité : sauvegardes régulières ; procédures de restauration ; surveillance de l'état du système et des erreurs ; mise à jour continue des logiciels utilisés.
• Résilience et révision : environnements de production et de test séparés ; révision des mesures à chaque changement matériel, et au moins une fois par an.
• Emplacement : tous les systèmes de production sont situés dans un centre de données à Nuremberg, Allemagne.

IDup peut développer les mesures davantage à condition que le niveau de protection ne soit pas réduit.

7. Sous-traitants

7.1 Le responsable accorde à IDup l'autorisation générale de faire appel aux sous-traitants suivants :

7.2 IDup impose à chaque sous-traitant des obligations équivalentes à celles de ce DPA et reste responsable de leur exécution.

7.3 IDup annonce les remplacements ou ajouts au moins 30 jours à l'avance par e-mail ou dans le compte. Pendant cette période, le responsable peut s'opposer pour des raisons importantes liées à la protection des données. Si l'objection ne peut être résolue, le responsable peut résilier la partie du service concernée à la date du changement.

8. Droits des personnes concernées

8.1 Si une personne concernée contacte directement IDup, IDup transmet la demande au responsable sans délai et ne la répond pas elle-même.

8.2 IDup soutient le responsable avec des moyens techniques appropriés pour gérer l'accès, la rectification, l'effacement, la limitation, la portabilité et l'opposition. Le service fournit des fonctions de recherche, d'exportation, de correction et de suppression que le responsable peut utiliser lui-même.

9. Assistance au responsable

Compte tenu de la nature du traitement et des informations dont il dispose, IDup assiste le responsable du traitement dans le respect des obligations prévues aux articles 32 à 36 du RGPD et des obligations correspondantes de la LPD révisée, notamment la sécurité du traitement, la notification des violations de données personnelles, les analyses d'impact sur la protection des données et la consultation préalable.

10. Violations des données personnelles

10.1 IDup notifie au responsable toute violation des données personnelles sans retard injustifié, en règle générale dans les 48 heures après en avoir pris connaissance.

10.2 La notification inclut, si connu : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements, les conséquences probables, les mesures prises et proposées, et un point de contact.

10.3 La notification à l'autorité de surveillance et aux personnes concernées est de la responsabilité du responsable ; IDup assiste.

11. Retour et suppression

11.1 Pendant la durée du contrat, le responsable peut obtenir ses données à tout moment en utilisant les fonctions d'exportation du service.

11.2 Après la fin du contrat, les données restent accessibles pour exportation pendant 30 jours. Ensuite, l'environnement est marqué pour suppression et définitivement supprimé au plus tard 90 jours après la fin du contrat. Les copies de sauvegarde sont écrasées au cours des cycles de sauvegarde réguliers.

11.3 Les obligations légales de conservation restent réservées ; ces données sont bloquées et ne sont pas traitées davantage.

12. Preuves et audits

12.1 Sur demande, IDup met à disposition du responsable les informations nécessaires pour démontrer la conformité à ce DPA.

12.2 La responsable peut demander un audit au maximum une fois par an – et en plus après une violation des données personnelles. Il est effectué avec un préavis d'au moins 30 jours, pendant les heures ouvrables normales et sans perturber les opérations. Les auditeurs tiers ne peuvent pas être des concurrents d'IDup et doivent s'engager à la confidentialité. IDup peut facturer ses efforts raisonnables.

13. Responsabilité

La responsabilité est régie par les Conditions de service. Les dispositions de responsabilité obligatoire de la revFADP et du GDPR, en particulier l'art. 82 GDPR, restent réservées.

14. Dispositions finales

14.1 Ce DPA s'applique pendant la durée du contrat d'utilisation. Les dispositions qui, par leur nature, continuent à s'appliquer – notamment la confidentialité et la suppression – restent en vigueur par la suite.

14.2 En cas de conflit, ce DPA prévaut sur les conditions en ce qui concerne le traitement des données personnelles.

14.3 Le droit suisse s'applique ; le for juridique est Reinach AG. Les fors juridiques impératifs restent réservés.

14.4 Ce DPA existe en allemand et en anglais ; les traductions dans d'autres langues sont produites par machine. La version allemande fait foi.