Prelucrarea datelor
Acord (DPA)

Actualizat: 21 septembrie 2026  ·  Versiunea 1.0

Acest contract de prelucrare a datelor («AVV») reglementează prelucrarea datelor personale pe care IDup o efectuează în numele clienților săi corporativi. Acesta concretizează Art. 9 din legea elvețiană privind protecția datelor (revDSG) și Art. 28 din Regulamentul general privind protecția datelor (DSGVO).

1. Părți

2. Obiect, natură și scopul prelucrării

2.1 IDup prelucrează datele personale exclusiv pentru a furniza serviciul descris în T&C: contabilitate și evidență contabilă, facturare și plăți, oferte și contracte, CRM și lead-uri, proiecte, sarcini și tichete, administrare personal și pontaj, cutie poștală digitală și scanare documente, arhivare documente, calendar, rezervare online, chat, notificări push, rapoarte și funcții AI.

2.2 Tipul de prelucrare: colectare, stocare, organizare, regăsire, afișare, transmitere, backup, restaurare, restricționare, ștergere și distrugere.

2.3 Durata: pentru durata contractului de utilizare plus perioadele conform secțiunii 11.

3. Categorii de persoane și date afectate

Datele personale deosebit de sensibile (de exemplu, datele de sănătate în motivele de absență, informații despre prestațiile sociale) sunt prelucrate doar în măsura în care sunt colectate de către responsabil în cadrul serviciului. Responsabilul decide asupra acestora și poartă responsabilitatea.

4. Instrucțiuni

4.1 IDup prelucrează datele personale exclusiv conform instrucțiunilor documentate ale responsabililor. Acest DPA, Termenii, setările din cont și utilizarea funcțiilor Serviciului constituie instrucțiuni.

4.2 Instrucțiunile suplimentare trebuie trimise în formă scrisă la info@idup.com. Dacă acestea cauzează eforturi suplimentare sau pot fi implementate doar cu adaptări, IDup poate percepe un tarif pentru efortul depus, prin acord.

4.3 Dacă IDup consideră o instrucțiune ilegală, o comunică fără întârziere și poate suspenda execuția până la clarificarea situației.

4.4 Dacă IDup este obligată să prelucreze date conform legislației elvețiene sau UE aplicabile, informează responsabilul în prealabil, cu condiția ca legea să nu interzică acest lucru.

5. Confidențialitate

IDup obligă toate persoanele care au acces la datele personale, prin contract, la confidențialitate; obligația este valabilă și după încheierea activității. Accesul este acordat doar în măsura în care este necesar pentru sarcina respectivă.

6. Măsuri tehnice și organizatorice

IDup trifft und unterhält mindestens folgende Massnahmen (Art. 8 revDSG, Art. 32 DSGVO):

• Confidențialitate: mediu de date separat pentru fiecare client; permisiuni bazate pe roluri; parole exclusiv ca hash; autentificare opțională cu doi factori; acces la infrastructură doar prin metode de cheie și doar pentru un grup restrâns de persoane.
• Integritate: Transmitere exclusiv cu TLS; Protecție împotriva falsificării cererilor între site-uri; Validarea intrărilor; Înregistrarea autentificărilor, modificărilor de permisiuni și evenimentelor de securitate.
• Disponibilitate: backup-uri regulate; proceduri de recuperare; monitorizarea stării sistemului și a erorilor; actualizarea continuă a software-ului utilizat.
• Rezistență și testare: medii separate de operare și testare; verificarea măsurilor la fiecare schimbare semnificativă, cel puțin anual.
• Locație: toate sistemele de producție sunt situate într-un centru de date din Nürnberg, Germania.

IDup kann die Massnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

7. Subcontractanți

7.1 Responsabilul acordă IDup autorizarea generală de a angaja următorii subcontractanți:

7.2 IDup schliesst mit jedem Unterauftragnehmer Verpflichtungen ab, die den Anforderungen dieses AVV entsprechen, und bleibt für dessen Leistung verantwortlich.

7.3 IDup comunică schimbările sau noile adăugiri cu cel puțin 30 de zile în avans prin e-mail sau în cont. Responsabilul poate obiecta în această perioadă din motive importante legate de protecția datelor. Dacă obiecția nu poate fi rezolvată, responsabilul poate rezilia partea afectată a serviciului la data modificării.

8. Drepturile persoanelor vizate

8.1 Dacă o persoană vizată contactează direct IDup, IDup transmite cererea către operator fără întârziere și nu răspunde singură.

8.2 IDup sprijină operatorul cu mijloace tehnice adecvate în gestionarea accesului, rectificării, ștergerii, restricționării, portabilității și obiecției. Serviciul oferă funcții de căutare, export, corectare și ștergere pe care operatorul le poate utiliza singur.

9. Sprijinirea responsabililor

IDup sprijină responsabilul – în măsura posibilităților sale și ținând cont de natura prelucrării – în respectarea obligațiilor conform art. 32 până la 36 DSGVO, precum și a obligațiilor corespunzătoare ale revDSG, în special în ceea ce privește securitatea prelucrării, raportarea încălcărilor datelor cu caracter personal, evaluările impactului asupra protecției datelor și consultările prealabile.

10. Raportarea încălcărilor protecției datelor

10.1 IDup notifică responsabilul despre orice încălcare a protecției datelor personale fără întârziere nejustificată, de regulă în termen de 48 de ore de la luarea la cunoștință.

10.2 Raportul include, dacă este cunoscut: natura încălcării, categoriile și numărul aproximativ de persoane și înregistrări afectate, consecințele probabile, măsurile luate și propuse și un punct de contact.

10.3 Notificarea către autoritatea de supraveghere și către persoanele vizate este responsabilitatea responsabilului; IDup o sprijină în acest sens.

11. Returnare și ștergere

11.1 Pe durata contractului, operatorul poate obține datele sale în orice moment folosind funcțiile de export ale Serviciului.

11.2 După încheierea contractului, datele rămân accesibile pentru export timp de 30 de zile. Ulterior, mediul este marcat pentru ștergere și șters definitiv cel târziu la 90 de zile după încheierea contractului. Copiile de rezervă sunt suprascrise în cadrul ciclurilor regulate de backup.

11.3 Obligațiile legale de păstrare rămân rezervate; astfel de date sunt blocate și nu sunt procesate în continuare.

12. Dovezi și verificare

12.1 IDup pune la dispoziția responsabilului, la cerere, informațiile necesare pentru a demonstra conformitatea cu acest DPA.

12.2 Responsabilul poate solicita o verificare cel mult o dată pe an – și suplimentar după o încălcare a protecției datelor. Se efectuează cu un preaviz de cel puțin 30 de zile, în timpul orelor normale de lucru și fără a perturba operațiunile. Auditorii terți nu pot fi concurenți ai IDup și trebuie să se angajeze la confidențialitate. IDup poate percepe costurile rezonabile.

13. Răspundere

Răspunderea este reglementată de Termeni și condiții. Dispozițiile obligatorii de răspundere ale revDSG și DSGVO, în special Art. 82 DSGVO, rămân rezervate.

14. Dispoziții finale

14.1 Acest AVV se aplică pe durata contractului de utilizare. Dispozițiile care prin natura lor continuă – în special confidențialitatea și ștergerea – continuă să se aplice ulterior.

14.2 În caz de conflict, acest AVV prevalează asupra Termenilor în ceea ce privește prelucrarea datelor personale.

14.3 Se aplică legea elvețiană; locul de jurisdicție este Reinach AG. Locurile de jurisdicție obligatorii rămân rezervate.

14.4 Acest AVV există în limba germană și engleză; traducerile în alte limbi sunt realizate automat. Versiunea germană este cea autoritară.