Processamento de Dados
Acordo (DPA)

Estado: 21 de setembro de 2026  ·  Versão 1.0

Este Contrato de Processamento de Dados («AVV») regula o processamento de dados pessoais que a IDup realiza em nome de seus clientes empresariais. Concretiza o Art. 9 da Lei de Proteção de Dados da Suíça (revDSG) e o Art. 28 do Regulamento Geral sobre a Proteção de Dados (DSGVO).

1. Partes

2. Objeto, natureza e finalidade do processamento

2.1 A IDup processa dados pessoais exclusivamente para fornecer o serviço descrito nos T&C: contabilidade e finanças, faturação e pagamentos, propostas e contratos, CRM e leads, projetos, tarefas e tickets, administração de pessoal e controle de tempo, Postbox digital e digitalização de recibos, armazenamento de documentos, calendário, reservas online, chat, notificações push, relatórios e funções de IA.

2.2 Art der Bearbeitung: Erheben, Speichern, Ordnen, Auslesen, Anzeigen, Übermitteln, Sichern, Wiederherstellen, Einschränken, Löschen und Vernichten.

2.3 Duração: pelo prazo do contrato de uso mais os períodos sob a seção 11.

3. Categorias de pessoas e dados afetados

Dados pessoais especialmente sensíveis (por exemplo, dados de saúde em motivos de ausência, informações sobre benefícios sociais) são processados apenas na medida em que o responsável os regista no serviço. O responsável decide sobre isso e assume a responsabilidade.

4. Instruções

4.1 A IDup processa dados pessoais exclusivamente de acordo com as instruções documentadas do responsável. Estas instruções incluem este AVV, os Termos, as configurações na conta e o uso das funcionalidades do serviço.

4.2 Instruções adicionais devem ser enviadas por escrito para info@idup.com. Se causarem esforço adicional ou só puderem ser implementadas com adaptações, a IDup pode cobrar o esforço mediante acordo.

4.3 Se a IDup considerar uma instrução ilegal, informará imediatamente e poderá suspender a execução até que a questão seja esclarecida.

4.4 Se a IDup for obrigada a processar de acordo com a legislação suíça ou da UE aplicável, informará o responsável antecipadamente, a menos que a lei o proíba.

5. Confidencialidade

A IDup verpflichtet alle Personen, die Zugang zu Personendaten erhalten, vertraglich zur Vertraulichkeit; die Verpflichtung gilt über das Ende der Tätigkeit hinaus. Der Zugang wird nur gewährt, soweit er für die jeweilige Aufgabe erforderlich ist.

6. Medidas técnicas e organizacionais

A IDup trifft und unterhält mindestens folgende Massnahmen (Art. 8 revDSG, Art. 32 DSGVO):

• Confidencialidade: ambiente de dados separado para cada cliente; permissões baseadas em funções; senhas apenas como hash; autenticação de dois fatores opcional; acesso à infraestrutura apenas por métodos de chave e apenas para um grupo restrito de pessoas.
• Integridade: Transmissão exclusivamente com TLS; Proteção contra falsificação de solicitações entre sites; Validação de entrada; Registro de logins, alterações de permissões e eventos de segurança.
• Disponibilidade: backups regulares; procedimentos de recuperação; monitorização do estado do sistema e erros; atualização contínua do software utilizado.
• Resiliência e teste: ambientes de operação e teste separados; verificação das medidas em cada alteração significativa, pelo menos anualmente.
• Localização: todos os sistemas produtivos estão num centro de dados em Nuremberga, Alemanha.

IDup kann die Massnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

7. Subcontratantes

7.1 O responsável concede à IDup autorização geral para envolver os seguintes subcontratantes:

7.2 A IDup celebra com cada subcontratante obrigações que correspondem aos requisitos deste AVV e mantém-se responsável pelo seu desempenho.

7.3 A IDup comunica substituições ou novas adições com pelo menos 30 dias de antecedência por e-mail ou na conta. O responsável pode, dentro desse prazo, opor-se por motivos importantes relacionados com a proteção de dados. Se a objeção não puder ser resolvida, o responsável pode rescindir a parte afetada do serviço na data da alteração.

8. Direitos dos titulares dos dados

8.1 Se uma pessoa afetada contactar diretamente a IDup, a IDup encaminha o pedido para o responsável sem demora e não o responde por si mesma.

8.2 A IDup apoia o responsável com meios técnicos adequados no tratamento de acesso, retificação, eliminação, restrição, portabilidade e objeção. O serviço fornece funções de pesquisa, exportação, correção e eliminação que o responsável pode usar por si mesmo.

9. Apoio aos Responsáveis

A IDup unterstützt die Verantwortliche – im Rahmen des ihr Möglichen und unter Berücksichtigung der Art der Bearbeitung – bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO sowie den entsprechenden Pflichten des revDSG, namentlich bei der Sicherheit der Bearbeitung, bei Meldungen von Verletzungen des Datenschutzes, bei Datenschutz-Folgenabschätzungen und bei vorgängigen Konsultationen.

10. Comunicação de violações de dados pessoais

10.1 A IDup comunica à responsável qualquer violação da proteção de dados pessoais sem demora, normalmente dentro de 48 horas após tomar conhecimento.

10.2 A comunicação inclui, quando conhecido: natureza da violação, categorias e número aproximado de pessoas e registos afetados, consequências prováveis, medidas tomadas e propostas e um ponto de contacto.

10.3 A comunicação à autoridade de supervisão e às pessoas afetadas é da responsabilidade da responsável; a IDup apoia-a nesse processo.

11. Devolução e eliminação

11.1 Durante a vigência do contrato, a responsável pode obter os seus dados a qualquer momento através das funções de exportação do serviço.

11.2 Após o término do contrato, os dados permanecem acessíveis para exportação por 30 dias. Depois disso, o ambiente é marcado para eliminação e eliminado permanentemente no máximo 90 dias após o término do contrato. As cópias de segurança são sobrescritas no decorrer dos ciclos regulares de backup.

11.3 As obrigações legais de retenção permanecem reservadas; esses dados são bloqueados e não são processados posteriormente.

12. Evidências e verificação

12.1 A IDup fornece à responsável, mediante solicitação, as informações necessárias para comprovar o cumprimento deste AVV.

12.2 A responsável pode solicitar uma auditoria no máximo uma vez por ano – e adicionalmente após uma violação de dados pessoais. É realizada com pelo menos 30 dias de antecedência, durante o horário comercial normal e sem interromper as operações. Auditores terceiros não podem ser concorrentes da IDup e devem comprometer-se com a confidencialidade. A IDup pode cobrar o seu esforço razoável.

13. Responsabilidade

A responsabilidade é regida pelos Termos e Condições. Disposições obrigatórias de responsabilidade do revDSG e do DSGVO, nomeadamente o Art. 82 DSGVO, permanecem reservadas.

14. Disposições finais

14.1 Este AVV aplica-se durante a vigência do contrato de utilização. Disposições que, pela sua natureza, continuem a vigorar – nomeadamente confidencialidade e eliminação –, continuam a aplicar-se posteriormente.

14.2 Em caso de conflito, este AVV prevalece sobre os Termos no que diz respeito ao tratamento de dados pessoais.

14.3 Aplica-se a lei suíça; o foro competente é Reinach AG. Foros obrigatórios permanecem reservados.

14.4 Este AVV existe em alemão e inglês; traduções para outras línguas são produzidas por máquina. A versão alemã é a vinculativa.