Databehandling
Avtale (DPA)

Status: 21. september 2026  ·  Versjon 1.0

Denne databehandleravtalen («AVV») regulerer behandlingen av personopplysninger som IDup utfører på vegne av sine bedriftskunder. Den konkretiserer Art. 9 i den sveitsiske databeskyttelsesloven (revDSG) og Art. 28 i personvernforordningen (DSGVO).

1. Parter

2. Gjenstand, art og formål med behandlingen

2.1 IDup behandler personopplysninger utelukkende for å levere tjenesten beskrevet i vilkårene: Regnskap og bokføring, fakturering og betalinger, tilbud og kontrakter, CRM og leads, prosjekter, oppgaver og billetter, personaladministrasjon og tidsregistrering, digital postboks og kvitteringsskanning, dokumentlagring, kalender, online booking, chat, push-meldinger, rapporter samt AI-funksjoner.

2.2 Type behandling: innsamling, lagring, organisering, gjenfinning, visning, overføring, sikkerhetskopiering, gjenoppretting, begrensning, sletting og destruksjon.

2.3 Varighet: for løpetiden av bruksavtalen pluss periodene under punkt 11.

3. Kategorier av berørte personer og data

Særlig beskyttelsesverdige personopplysninger (f.eks. helseopplysninger i fraværsgrunner, opplysninger om sosialytelser) behandles kun i den grad den ansvarlige registrerer dem i tjenesten. Den ansvarlige bestemmer dette og har ansvaret for det.

4. Instruksjoner

4.1 IDup behandler personopplysninger utelukkende etter dokumenterte instruksjoner fra den ansvarlige. Denne DPA, vilkårene, innstillingene i kontoen og bruken av tjenestens funksjoner utgjør instruksjoner.

4.2 Ytterligere instruksjoner må sendes skriftlig til info@idup.com. Hvis de medfører ekstra arbeid eller kun kan implementeres med tilpasninger, kan IDup belaste for arbeidet etter avtale.

4.3 Hvis IDup anser en instruksjon som ulovlig, meddeler de dette umiddelbart og kan suspendere utførelsen inntil saken er avklart.

4.4 Hvis IDup er forpliktet til å behandle i henhold til sveitsisk eller gjeldende EU-rett, informerer de den ansvarlige på forhånd, med mindre loven forbyr det.

5. Konfidensialitet

IDup forplikter alle personer som får tilgang til personopplysninger, kontraktsmessig til konfidensialitet; forpliktelsen gjelder utover slutten av aktiviteten. Tilgang gis kun i den grad det er nødvendig for den aktuelle oppgaven.

6. Tekniske og organisatoriske tiltak

IDup treffer og opprettholder minst følgende tiltak (Art. 8 revDSG, Art. 32 DSGVO):

• Konfidensialitet: separat dataomgivelse for hver kunde; rollebaserte tilganger; passord kun som hash; valgfri tofaktorautentisering; tilgang til infrastruktur kun via nøkkelprosedyrer og kun for en begrenset gruppe personer.
• Integritet: Overføring kun med TLS; beskyttelse mot nettstedsovergripende forespørselforfalskning; inndata-validering; loggføring av pålogginger, rettighetsendringer og sikkerhetsrelaterte hendelser.
• Tilgjengelighet: regelmessige sikkerhetskopier; gjenopprettingsprosedyrer; overvåking av systemstatus og feil; kontinuerlig oppdatering av brukt programvare.
• Motstandsdyktighet og testing: separate drifts- og testmiljøer; gjennomgang av tiltak ved hver vesentlige endring, minst årlig.
• Lokasjon: alle produksjonssystemer er plassert i et datasenter i Nürnberg, Tyskland.

IDup kan videreutvikle tiltakene, forutsatt at beskyttelsesnivået ikke reduseres.

7. Underleverandører

7.1 Den ansvarlige gir IDup generell tillatelse til å engasjere følgende underbehandlere:

7.2 IDup inngår forpliktelser med hver underleverandør som tilsvarer kravene i denne AVV og forblir ansvarlig for deres ytelse.

7.3 IDup kunngjør erstatninger eller tillegg minst 30 dager i forveien via e-post eller i kontoen. Innen den perioden kan den ansvarlige protestere på viktige, databeskyttelsesrelaterte grunner. Hvis innsigelsen ikke kan løses, kan den ansvarlige si opp den berørte delen av tjenesten fra endringsdatoen.

8. Rettigheter for registrerte

8.1 Wendet sich eine betroffene Person direkt an IDup, leitet IDup das Anliegen unverzüglich an die Verantwortliche weiter und beantwortet es nicht selbst.

8.2 IDup unterstützt die Verantwortliche mit geeigneten technischen Mitteln bei Auskunft, Berichtigung, Löschung, Einschränkung, Herausgabe und Widerspruch. Der Dienst stellt dafür Such-, Export-, Korrektur- und Löschfunktionen bereit, welche die Verantwortliche selbst nutzen kann.

9. Støtte til ansvarlige

IDup støtter den ansvarlige – innenfor rammen av det som er mulig og med hensyn til typen behandling – i overholdelsen av forpliktelsene i henhold til art. 32 til 36 DSGVO samt de tilsvarende forpliktelsene i revDSG, særlig ved sikkerheten av behandlingen, ved meldinger om brudd på personvernet, ved konsekvensutredninger for personvern og ved forhåndskonsultasjoner.

10. Rapportering av brudd på personvern

10.1 IDup rapporterer umiddelbart til den ansvarlige om ethvert brudd på beskyttelsen av personopplysninger, vanligvis innen 48 timer etter å ha blitt kjent med det.

10.2 Rapporten omfatter, så langt det er kjent: type brudd, berørte kategorier og omtrentlig antall berørte personer og datasett, sannsynlige konsekvenser, iverksatte og foreslåtte tiltak samt et kontaktpunkt.

10.3 Varsling til tilsynsmyndigheten og til berørte personer er den ansvarliges ansvar; IDup støtter dem i dette.

11. Retur og sletting

11.1 I løpet av avtaleperioden kan den behandlingsansvarlige hente sine data når som helst ved å bruke tjenestens eksportfunksjoner.

11.2 Etter at kontrakten avsluttes, forblir dataene tilgjengelige for eksport i 30 dager. Deretter blir miljøet markert for sletting og slettes permanent senest 90 dager etter kontraktens slutt. Sikkerhetskopier overskrives i løpet av de vanlige sikkerhetskopisyklusene.

11.3 Lovpålagte oppbevaringsplikter forblir reservert; slike data blir blokkert og ikke behandlet videre.

12. Bevis og gjennomgang

12.1 IDup stiller informasjonen som er nødvendig for å bevise overholdelse av denne DPA til rådighet for den ansvarlige på forespørsel.

12.2 Den ansvarlige kan kreve en gjennomgang maksimalt en gang i året – og i tillegg etter et brudd på personvernet. Den utføres med minst 30 dagers varsel, i vanlige åpningstider og uten å forstyrre driften. Tredjepartsrevisorer kan ikke være konkurrenter av IDup og må forplikte seg til konfidensialitet. IDup kan belaste for rimelig innsats.

13. Ansvar

Ansvar reguleres av vilkårene. Ufravikelige ansvarsbestemmelser i revDSG og DSGVO, spesielt Art. 82 DSGVO, forblir forbeholdt.

14. Sluttbestemmelser

14.1 Denne DPA gjelder for varigheten av bruksavtalen. Bestemmelser som av sin natur fortsetter å gjelde – spesielt konfidensialitet og sletting – gjelder også etterpå.

14.2 Ved motstrid går bestemmelsene i denne DPA foran vilkårene, så langt det gjelder behandling av personopplysninger.

14.3 Sveitsisk lov gjelder; verneting er Reinach AG. Obligatoriske verneting forblir forbeholdt.

14.4 Denne DPA finnes på tysk og engelsk; oversettelser til andre språk er maskinelt produsert. Den tyske versjonen er autoritativ.