Processamento de Dados
Acordo (DPA)

Atualizado: 21 de setembro de 2026  ·  Versão 1.0

Este contrato de processamento de dados («AVV») regula o processamento de dados pessoais que a IDup realiza em nome de seus clientes empresariais. Ele concretiza o Art. 9 da lei suíça de proteção de dados (revDSG) e o Art. 28 do Regulamento Geral sobre a Proteção de Dados (DSGVO).

1. Partes

2. Assunto, natureza e propósito do processamento

2.1 A IDup processa dados pessoais exclusivamente para fornecer o serviço descrito nos T&C: contabilidade e finanças, faturamento e pagamentos, cotações e contratos, CRM e leads, projetos, tarefas e tickets, administração de pessoal e controle de tempo, caixa de correio digital e digitalização de documentos, armazenamento de documentos, calendário, reservas online, chat, notificações push, relatórios e funções de IA.

2.2 Art der Bearbeitung: Erheben, Speichern, Ordnen, Auslesen, Anzeigen, Übermitteln, Sichern, Wiederherstellen, Einschränken, Löschen und Vernichten.

2.3 Duração: pelo prazo do contrato de uso mais os períodos sob a seção 11.

3. Categorias de pessoas e dados afetados

Dados pessoais especialmente sensíveis (por exemplo, dados de saúde em motivos de ausência, informações sobre benefícios sociais) são processados apenas na medida em que o responsável os registra no serviço. O responsável decide sobre isso e assume a responsabilidade.

4. Instruções

4.1 A IDup processa dados pessoais exclusivamente de acordo com as instruções documentadas do controlador. Este DPA, os Termos, as configurações na conta e o uso das funcionalidades do Serviço constituem instruções.

4.2 Instruções adicionais devem ser enviadas por escrito para info@idup.com. Se causarem esforço adicional ou só puderem ser implementadas com adaptações, a IDup pode cobrar o esforço mediante acordo.

4.3 Se a IDup considerar uma instrução ilegal, ela informará imediatamente e poderá suspender a execução até que a questão seja esclarecida.

4.4 Se a IDup for obrigada a processar de acordo com a lei suíça ou da UE aplicável, ela informará o controlador previamente, a menos que a lei proíba.

5. Confidencialidade

IDup verpflichtet alle Personen, die Zugang zu Personendaten erhalten, vertraglich zur Vertraulichkeit; die Verpflichtung gilt über das Ende der Tätigkeit hinaus. Der Zugang wird nur gewährt, soweit er für die jeweilige Aufgabe erforderlich ist.

6. Medidas técnicas e organizacionais

IDup trifft und unterhält mindestens folgende Massnahmen (Art. 8 revDSG, Art. 32 DSGVO):

• Confidencialidade: ambiente de dados separado para cada cliente; permissões baseadas em função; senhas apenas como hash; autenticação de dois fatores opcional; acesso à infraestrutura apenas por métodos de chave e para um grupo restrito de pessoas.
• Integridade: Transmissão exclusivamente com TLS; proteção contra falsificação de solicitações entre sites; validação de entrada; registro de logins, alterações de permissões e eventos de segurança.
• Disponibilidade: backups regulares; procedimentos de recuperação; monitoramento do estado do sistema e erros; atualização contínua do software utilizado.
• Resiliência e teste: ambientes de operação e teste separados; verificação das medidas a cada alteração significativa, no mínimo anualmente.
• Localização: todos os sistemas produtivos estão em um data center em Nuremberg, Alemanha.

IDup kann die Maßnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

7. Subcontratados

7.1 O controlador concede à IDup autorização geral para contratar os seguintes subprocessadores:

7.2 A IDup firma com cada subcontratado obrigações que atendem aos requisitos deste AVV e permanece responsável por seu desempenho.

7.3 A IDup comunica substituições ou novas adições com pelo menos 30 dias de antecedência por e-mail ou na conta. O controlador pode se opor dentro desse prazo por motivos importantes relacionados à proteção de dados. Se a objeção não puder ser resolvida, o controlador pode encerrar a parte afetada do serviço na data da alteração.

8. Direitos dos titulares dos dados

8.1 Se uma pessoa afetada entrar em contato diretamente com a IDup, a IDup encaminha a solicitação ao responsável sem demora e não a responde por conta própria.

8.2 A IDup apoia a responsável com meios técnicos adequados no tratamento de acesso, retificação, exclusão, restrição, portabilidade e objeção. O serviço oferece funções de busca, exportação, correção e exclusão que a responsável pode usar por conta própria.

9. Apoio aos responsáveis

IDup unterstützt die Verantwortliche – im Rahmen des ihr Möglichen und unter Berücksichtigung der Art der Bearbeitung – bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO sowie den entsprechenden Pflichten des revDSG, namentlich bei der Sicherheit der Bearbeitung, bei Meldungen von Verletzungen des Datenschutzes, bei Datenschutz-Folgenabschätzungen und bei vorgängigen Konsultationen.

10. Relato de violações de proteção de dados

10.1 A IDup notifica a responsável sobre qualquer violação da proteção de dados pessoais sem demora, em regra, dentro de 48 horas após tomar conhecimento.

10.2 A notificação inclui, quando conhecido: natureza da violação, categorias e número aproximado de pessoas e registros afetados, consequências prováveis, medidas tomadas e propostas e um ponto de contato.

10.3 A notificação à autoridade de supervisão e às pessoas afetadas é responsabilidade da responsável; a IDup oferece suporte.

11. Retorno e exclusão

11.1 Durante o prazo do contrato, o responsável pode obter seus dados a qualquer momento através das funções de exportação do serviço.

11.2 Após o término do contrato, os dados permanecem acessíveis para exportação por 30 dias. Depois disso, o ambiente é marcado para exclusão e excluído permanentemente no máximo 90 dias após o término do contrato. Cópias de backup são sobrescritas no curso dos ciclos regulares de backup.

11.3 As obrigações legais de retenção permanecem reservadas; tais dados são bloqueados e não são processados ​​posteriormente.

12. Evidências e verificação

12.1 A IDup fornece ao responsável, mediante solicitação, as informações necessárias para demonstrar a conformidade com este AVV.

12.2 O responsável pode solicitar uma auditoria no máximo uma vez por ano – e adicionalmente após uma violação de dados pessoais. Ela é realizada com pelo menos 30 dias de antecedência, durante o horário comercial normal e sem interromper as operações. Auditores terceiros não podem ser concorrentes da IDup e devem comprometer-se com a confidencialidade. A IDup pode cobrar o esforço razoável.

13. Responsabilidade

A responsabilidade é regida pelos termos e condições. As disposições obrigatórias de responsabilidade do revDSG e do DSGVO, nomeadamente o Art. 82 DSGVO, permanecem reservadas.

14. Disposições finais

14.1 Este AVV é válido durante a vigência do contrato de uso. Disposições que, por sua natureza, continuem a vigorar – em particular confidencialidade e exclusão – continuam a se aplicar posteriormente.

14.2 Em caso de conflito, este AVV prevalece sobre os Termos no que diz respeito ao processamento de dados pessoais.

14.3 Aplica-se a lei suíça; o foro é Reinach AG. Foros obrigatórios permanecem reservados.

14.4 Este AVV existe em alemão e inglês; traduções para outros idiomas são produzidas por máquina. A versão em alemão é a que prevalece.