Gegevensverwerking
Overeenkomst (DPA)

Stand: 21 september 2026  ·  Versie 1.0

Deze verwerkersovereenkomst («AVV») regelt de verwerking van persoonsgegevens die IDup in opdracht van haar zakelijke klanten uitvoert. Het concretiseert Art. 9 van de Zwitserse wet op gegevensbescherming (revDSG) en Art. 28 van de Algemene Verordening Gegevensbescherming (DSGVO).

1. Partijen

2. Onderwerp, aard en doel van de verwerking

2.1 IDup verwerkt persoonsgegevens uitsluitend om de in de Algemene Voorwaarden beschreven dienst te leveren: boekhouding en administratie, facturering en betalingen, offertes en contracten, CRM en leads, projecten, taken en tickets, personeelsadministratie en tijdregistratie, digitale postbus en documentenscan, documentopslag, kalender, online boeking, chat, pushmeldingen, rapporten en AI-functies.

2.2 Soort verwerking: verzamelen, opslaan, ordenen, opvragen, weergeven, verzenden, beveiligen, herstellen, beperken, wissen en vernietigen.

2.3 Duur: voor de looptijd van de gebruiksovereenkomst plus de termijnen volgens sectie 11.

3. Categorieën van betrokken personen en gegevens

Bijzonder beschermde persoonsgegevens (bijv. gezondheidsgegevens in afwezigheidsredenen, gegevens over sociale uitkeringen) worden alleen verwerkt voor zover de verantwoordelijke ze in de dienst vastlegt. De verantwoordelijke beslist hierover en draagt hiervoor de verantwoordelijkheid.

4. Instructies

4.1 IDup verwerkt persoonsgegevens uitsluitend volgens gedocumenteerde instructies van de verantwoordelijke. Deze AVV, de AGB, de instellingen in het account en het gebruik van de functies van de service gelden als instructies.

4.2 Verdere instructies moeten in tekstvorm worden gestuurd naar info@idup.com. Indien ze extra inspanning vereisen of alleen met aanpassingen kunnen worden uitgevoerd, kan IDup de inspanning in rekening brengen na overleg.

4.3 Als IDup een instructie onwettig acht, meldt zij dit onmiddellijk en mag de uitvoering opschorten totdat de zaak is opgehelderd.

4.4 Als IDup verplicht is tot verwerking op grond van Zwitsers of toepasselijk EU-recht, informeert zij de verantwoordelijke vooraf, tenzij de wet dit verbiedt.

5. Vertrouwelijkheid

IDup verplicht alle personen die toegang krijgen tot persoonsgegevens contractueel tot vertrouwelijkheid; de verplichting geldt ook na het einde van de activiteit. Toegang wordt alleen verleend voor zover dit voor de betreffende taak noodzakelijk is.

6. Technische en organisatorische maatregelen

IDup treft en onderhoudt ten minste de volgende maatregelen (Art. 8 revDSG, Art. 32 DSGVO):

• Vertrouwelijkheid: gescheiden gegevensomgeving per klant; rolgebaseerde rechten; wachtwoorden uitsluitend als hash; optionele tweefactorauthenticatie; toegang tot de infrastructuur alleen via sleutelprocedures en alleen voor een beperkt aantal personen.
• Integriteit: Overdracht uitsluitend met TLS; bescherming tegen cross-site request forgery; invoervalidatie; loggen van aanmeldingen, wijzigingen in machtigingen en beveiligingsrelevante gebeurtenissen.
• Beschikbaarheid: regelmatige back-ups; herstelprocedures; bewaking van systeemstatus en fouten; voortdurende updates van de gebruikte software.
• Weerbaarheid en testen: gescheiden productie- en testomgevingen; evaluatie van de maatregelen bij elke belangrijke wijziging, maar ten minste jaarlijks.
• Locatie: alle productiesystemen bevinden zich in een datacenter in Neurenberg, Duitsland.

IDup kan de maatregelen verder ontwikkelen, mits het beschermingsniveau niet wordt verlaagd.

7. Onderaannemers

7.1 De verantwoordelijke verleent IDup de algemene toestemming om de volgende onderaannemers in te schakelen:

7.2 IDup sluit met elke onderaannemer verplichtingen af die voldoen aan de eisen van deze AVV en blijft verantwoordelijk voor de uitvoering ervan.

7.3 Wijzigingen of toevoegingen worden door IDup ten minste 30 dagen van tevoren per e-mail of in het account meegedeeld. De verantwoordelijke kan binnen deze termijn bezwaar maken op belangrijke, gegevensbeschermingsgerelateerde gronden. Als het bezwaar niet kan worden opgelost, mag de verantwoordelijke het betreffende deel van de dienst beëindigen op de datum van de wijziging.

8. Rechten van betrokkenen

8.1 Wendet sich eine betroffene Person direkt an IDup, leitet IDup das Anliegen unverzüglich an die Verantwortliche weiter und beantwortet es nicht selbst.

8.2 IDup unterstützt die Verantwortliche mit geeigneten technischen Mitteln bei Auskunft, Berichtigung, Löschung, Einschränkung, Herausgabe und Widerspruch. Der Dienst stellt dafür Such-, Export-, Korrektur- und Löschfunktionen bereit, welche die Verantwortliche selbst nutzen kann.

9. Ondersteuning van de verantwoordelijken

IDup ondersteunt de verantwoordelijke – binnen haar mogelijkheden en rekening houdend met de aard van de verwerking – bij het naleven van de verplichtingen volgens art. 32 tot 36 DSGVO en de overeenkomstige verplichtingen van de revDSG, met name bij de veiligheid van de verwerking, bij meldingen van inbreuken op de gegevensbescherming, bij gegevensbeschermingseffectbeoordelingen en bij voorafgaande raadplegingen.

10. Melden van inbreuken op de gegevensbescherming

10.1 IDup meldt elke inbreuk op de bescherming van persoonsgegevens onverwijld aan de verantwoordelijke, in de regel binnen 48 uur na kennisname.

10.2 De melding omvat, voor zover bekend: aard van de inbreuk, betrokken categorieën en geschat aantal betrokken personen en gegevens, waarschijnlijke gevolgen, genomen en voorgestelde maatregelen en een contactpunt.

10.3 De melding aan de toezichthoudende autoriteit en aan betrokken personen is de verantwoordelijkheid van de verantwoordelijke; IDup ondersteunt hierbij.

11. Teruggave en verwijdering

11.1 Tijdens de looptijd kan de verantwoordelijke te allen tijde zijn gegevens verkrijgen via de exportfuncties van de dienst.

11.2 Na het einde van het contract blijven de gegevens 30 dagen toegankelijk voor export. Daarna wordt de omgeving gemarkeerd voor verwijdering en definitief verwijderd uiterlijk 90 dagen na het einde van het contract. Back-upkopieën worden overschreven tijdens de reguliere back-upcycli.

11.3 Wettelijke bewaarplichten blijven voorbehouden; dergelijke gegevens worden geblokkeerd en niet verder verwerkt.

12. Bewijsvoering en controle

12.1 IDup stelt de verantwoordelijke op verzoek de informatie ter beschikking die nodig is om de naleving van deze AVV aan te tonen.

12.2 De verantwoordelijke kan hoogstens eenmaal per jaar – en daarnaast na een inbreuk op de persoonsgegevens – een controle aanvragen. Deze wordt uitgevoerd met een vooraankondiging van minimaal 30 dagen, tijdens de normale kantooruren en zonder de bedrijfsvoering te verstoren. Externe auditors mogen geen concurrenten van IDup zijn en moeten zich tot geheimhouding verplichten. IDup kan de redelijke kosten in rekening brengen.

13. Aansprakelijkheid

De aansprakelijkheid is geregeld volgens de algemene voorwaarden. Dwingende aansprakelijkheidsbepalingen van de revDSG en de DSGVO, met name Art. 82 DSGVO, blijven voorbehouden.

14. Slotbepalingen

14.1 Deze AVV geldt voor de duur van de gebruiksovereenkomst. Bepalingen die naar hun aard voortduren – met name vertrouwelijkheid en verwijdering – blijven daarna van kracht.

14.2 Bij tegenstrijdigheden hebben de bepalingen van deze AVV voorrang op de AGB, voor zover het de verwerking van persoonsgegevens betreft.

14.3 Zwitsers recht is van toepassing; de bevoegde rechtbank is Reinach AG. Dwingende bevoegde rechtbanken blijven voorbehouden.

14.4 Deze AVV bestaat in het Duits en Engels; vertalingen naar andere talen worden machinaal geproduceerd. De Duitse versie is bindend.