Pemrosesan Data
Perjanjian (DPA)

Berlaku: 21 September 2026  ·  Versi 1.0

Perjanjian Pemrosesan Data ini («AVV») mengatur pemrosesan data pribadi yang dilakukan IDup atas nama klien perusahaan mereka. Ini merinci Pasal 9 dari Undang-Undang Perlindungan Data Swiss (revDSG) dan Pasal 28 dari Peraturan Perlindungan Data Umum (DSGVO).

1. Pihak-pihak

2. Subjek, sifat, dan tujuan pemrosesan

2.1 IDup memproses data pribadi semata-mata untuk menyediakan layanan yang dijelaskan dalam Syarat dan Ketentuan: Akuntansi dan pembukuan, penagihan dan pembayaran, penawaran dan kontrak, CRM dan prospek, proyek, tugas dan tiket, administrasi personalia dan pencatatan waktu, kotak surat digital dan pemindaian dokumen, penyimpanan dokumen, kalender, pemesanan online, obrolan, pesan push, laporan, serta fungsi AI.

2.2 Jenis pemrosesan: Mengumpulkan, Menyimpan, Mengatur, Mengambil, Menampilkan, Mentransmisikan, Mengamankan, Memulihkan, Membatasi, Menghapus, dan Menghancurkan.

2.3 Durasi: untuk jangka waktu kontrak penggunaan ditambah periode sesuai pasal 11.

3. Kategori orang dan data yang terpengaruh

Data pribadi yang sangat sensitif (misalnya, data kesehatan dalam alasan ketidakhadiran, informasi tentang manfaat sosial) hanya diproses sejauh yang dicatat oleh penanggung jawab dalam layanan. Penanggung jawab memutuskan dan bertanggung jawab atas hal tersebut.

4. Instruksi

4.1 IDup memproses data pribadi hanya berdasarkan instruksi terdokumentasi dari pengendali. AVV ini, Syarat dan Ketentuan, pengaturan di akun, dan penggunaan fitur Layanan merupakan instruksi.

4.2 Instruksi lebih lanjut harus dikirim dalam bentuk teks ke info@idup.com. Jika menyebabkan usaha tambahan atau hanya dapat diterapkan dengan penyesuaian, IDup dapat mengenakan biaya berdasarkan kesepakatan.

4.3 Jika IDup menganggap suatu instruksi melanggar hukum, IDup akan segera memberitahukan dan dapat menangguhkan pelaksanaan hingga masalahnya jelas.

4.4 Jika IDup diwajibkan oleh hukum Swiss atau EU yang berlaku untuk memproses, IDup akan memberi tahu pengendali sebelumnya, kecuali jika hukum melarangnya.

5. Kerahasiaan

IDup mewajibkan semua orang yang memiliki akses ke data pribadi, secara kontrak untuk menjaga kerahasiaan; kewajiban ini berlaku setelah kegiatan berakhir. Akses hanya diberikan sejauh diperlukan untuk tugas masing-masing.

6. Tindakan teknis dan organisasi

IDup trifft und unterhält mindestens folgende Massnahmen (Art. 8 revDSG, Art. 32 DSGVO):

• Kerahasiaan: lingkungan data terpisah untuk setiap pelanggan; izin berbasis peran; kata sandi hanya sebagai hash; otentikasi dua faktor opsional; akses ke infrastruktur hanya melalui metode kunci dan hanya untuk sekelompok orang yang sangat terbatas.
• Integritas: Transmisi hanya dengan TLS; Perlindungan dari pemalsuan permintaan lintas situs; Validasi input; Pencatatan login, perubahan otorisasi, dan kejadian keamanan.
• Ketersediaan: pencadangan rutin; prosedur pemulihan; pemantauan status sistem dan kesalahan; pembaruan perangkat lunak yang digunakan secara berkelanjutan.
• Ketahanan dan Pengujian: lingkungan operasi dan pengujian terpisah; peninjauan tindakan pada setiap perubahan signifikan, setidaknya setiap tahun.
• Lokasi: semua sistem produksi berada di pusat data di Nürnberg, Jerman.

IDup kann die Massnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

7. Subkontraktor

7.1 Penanggung jawab memberikan IDup izin umum untuk melibatkan subkontraktor berikut:

7.2 IDup membuat perjanjian dengan setiap subkontraktor yang memenuhi persyaratan AVV ini dan tetap bertanggung jawab atas kinerjanya.

7.3 IDup mengumumkan penggantian atau penambahan setidaknya 30 hari sebelumnya melalui email atau di akun. Penanggung jawab dapat menolak dalam periode ini dengan alasan penting terkait perlindungan data. Jika keberatan tidak dapat diselesaikan, penanggung jawab dapat menghentikan bagian layanan yang terkena dampak pada tanggal perubahan.

8. Hak subjek data

8.1 Wendet sich eine betroffene Person direkt an IDup, leitet IDup das Anliegen unverzüglich an die Verantwortliche weiter und beantwortet es nicht selbst.

8.2 IDup unterstützt die Verantwortliche mit geeigneten technischen Mitteln bei Auskunft, Berichtigung, Löschung, Einschränkung, Herausgabe und Widerspruch. Der Dienst stellt dafür Such-, Export-, Korrektur- und Löschfunktionen bereit, welche die Verantwortliche selbst nutzen kann.

9. Dukungan untuk Penanggung Jawab

IDup mendukung penanggung jawab – dalam batas kemampuannya dan dengan mempertimbangkan sifat pemrosesan – dalam mematuhi kewajiban menurut Pasal 32 hingga 36 DSGVO serta kewajiban yang sesuai dari revDSG, khususnya dalam keamanan pemrosesan, dalam pelaporan pelanggaran perlindungan data, dalam penilaian dampak perlindungan data dan dalam konsultasi sebelumnya.

10. Pelaporan Pelanggaran Perlindungan Data

10.1 IDup melaporkan setiap pelanggaran perlindungan data pribadi kepada pihak yang bertanggung jawab tanpa penundaan, biasanya dalam waktu 48 jam setelah mengetahuinya.

10.2 Laporan mencakup, sejauh diketahui: jenis pelanggaran, kategori yang terpengaruh dan perkiraan jumlah orang dan catatan yang terpengaruh, kemungkinan konsekuensi, tindakan yang diambil dan diusulkan, serta titik kontak.

10.3 Pelaporan kepada otoritas pengawas dan kepada subjek data adalah tanggung jawab pihak yang bertanggung jawab; IDup mendukungnya.

11. Pengembalian dan penghapusan

11.1 Selama masa kontrak, pihak yang bertanggung jawab dapat memperoleh datanya kapan saja melalui fungsi ekspor layanan.

11.2 Setelah kontrak berakhir, data tetap dapat diakses untuk diekspor selama 30 hari. Setelah itu, lingkungan ditandai untuk penghapusan dan dihapus secara permanen tidak lebih dari 90 hari setelah kontrak berakhir. Salinan cadangan ditimpa dalam siklus cadangan reguler.

11.3 Kewajiban penyimpanan yang diatur oleh undang-undang tetap dikecualikan; data tersebut diblokir dan tidak diproses lebih lanjut.

12. Bukti dan pemeriksaan

12.1 IDup menyediakan informasi yang diperlukan kepada pihak yang bertanggung jawab untuk membuktikan kepatuhan terhadap AVV ini atas permintaan.

12.2 Pihak yang bertanggung jawab dapat meminta pemeriksaan paling banyak sekali setahun – dan sebagai tambahan setelah terjadi pelanggaran data pribadi. Pemeriksaan dilakukan dengan pemberitahuan setidaknya 30 hari sebelumnya, selama jam kerja normal dan tanpa mengganggu operasi. Auditor pihak ketiga tidak boleh menjadi pesaing IDup dan harus berkomitmen untuk menjaga kerahasiaan. IDup dapat mengenakan biaya atas usaha yang wajar.

13. Tanggung jawab

Tanggung jawab diatur oleh Syarat dan Ketentuan. Ketentuan tanggung jawab wajib dari revDSG dan DSGVO, khususnya Pasal 82 DSGVO, tetap berlaku.

14. Schlussbestimmungen

14.1 AVV ini berlaku selama masa kontrak penggunaan. Ketentuan yang secara alami berlanjut – terutama kerahasiaan dan penghapusan – tetap berlaku setelahnya.

14.2 Dalam hal terjadi konflik, ketentuan AVV ini lebih diutamakan daripada Syarat dan Ketentuan sejauh menyangkut pemrosesan data pribadi.

14.3 Hukum Swiss berlaku; tempat yurisdiksi adalah Reinach AG. Tempat yurisdiksi wajib tetap dipertahankan.

14.4 AVV ini tersedia dalam bahasa Jerman dan Inggris; terjemahan ke bahasa lain dilakukan secara mesin. Versi bahasa Jerman adalah yang berlaku.