Databehandling
Avtal (DPA)

Status: 21 september 2026  ·  Version 1.0

Detta personuppgiftsbiträdesavtal («AVV») reglerar behandlingen av personuppgifter som IDup utför på uppdrag av sina företagskunder. Det konkretiserar Art. 9 i den schweiziska dataskyddslagen (revDSG) och Art. 28 i dataskyddsförordningen (DSGVO).

1. Parter

2. Ämne, art och syfte med behandlingen

2.1 IDup behandlar personuppgifter uteslutande för att tillhandahålla den tjänst som beskrivs i de allmänna villkoren: Bokföring och redovisning, fakturering och betalningar, offerter och avtal, CRM och leads, projekt, uppgifter och biljetter, personaladministration och tidrapportering, digital postbox och kvittoavläsning, dokumentlagring, kalender, onlinebokning, chatt, push-meddelanden, rapporter samt AI-funktioner.

2.2 Typ av behandling: insamling, lagring, organisering, hämtning, visning, överföring, säkerhetskopiering, återställning, begränsning, radering och förstöring.

2.3 Varaktighet: för avtalets löptid plus de perioder som anges i punkt 11.

3. Kategorier av berörda personer och data

Särskilt skyddsvärda personuppgifter (t.ex. hälsouppgifter vid frånvaro, uppgifter om sociala förmåner) behandlas endast i den mån den ansvariga samlar in dem i tjänsten. Den ansvariga beslutar om detta och bär ansvaret.

4. Instruktioner

4.1 IDup behandlar personuppgifter uteslutande enligt den ansvariges dokumenterade instruktioner. Denna DPA, villkoren, inställningarna i kontot och användningen av tjänstens funktioner utgör instruktioner.

4.2 Ytterligare instruktioner måste skickas i textform till info@idup.com. Om de orsakar extra arbete eller endast kan genomföras med anpassningar, kan IDup debitera kostnaden efter överenskommelse.

4.3 Om IDup anser att en instruktion är olaglig, meddelar den detta omedelbart och kan avbryta utförandet tills frågan är klarlagd.

4.4 Om IDup är skyldig att behandla enligt schweizisk eller tillämplig EU-lag, informerar den den ansvarige i förväg, såvida inte lagen förbjuder detta.

5. Sekretess

IDup förpliktar alla personer som får tillgång till personuppgifter, genom avtal, till konfidentialitet; förpliktelsen gäller även efter att verksamheten avslutats. Tillgång ges endast i den mån det är nödvändigt för den aktuella uppgiften.

6. Technische und organisatorische Massnahmen

IDup trifft und unterhält mindestens folgende Massnahmen (Art. 8 revDSG, Art. 32 DSGVO):

• Konfidentialitet: separat datamiljö för varje kund; rollbaserade behörigheter; lösenord endast som hash; valfri tvåfaktorsautentisering; åtkomst till infrastrukturen endast via nyckelmetoder och endast för en begränsad grupp personer.
• Integritet: Överföring endast med TLS; skydd mot webbplatsöverskridande förfalskning av förfrågningar; inmatningsvalidering; loggning av inloggningar, behörighetsändringar och säkerhetsrelevanta händelser.
• Tillgänglighet: regelbundna säkerhetskopior; återställningsprocedurer; övervakning av systemstatus och fel; kontinuerlig uppdatering av använd programvara.
• Motståndskraft och testning: separata drift- och testmiljöer; granskning av åtgärder vid varje väsentlig förändring, minst årligen.
• Plats: alla produktionssystem finns i ett datacenter i Nürnberg, Tyskland.

IDup kan vidareutveckla åtgärderna, förutsatt att skyddsnivån inte underskrids.

7. Underleverantörer

7.1 Den ansvariga ger IDup allmän tillåtelse att anlita följande underleverantörer:

7.2 IDup ingår med varje underleverantör skyldigheter som motsvarar kraven i detta AVV och förblir ansvarig för dess prestation.

7.3 IDup meddelar byten eller nyupptagningar minst 30 dagar i förväg via e-post eller i kontot. Den ansvariga kan inom denna period invända av viktiga, dataskyddsrelaterade skäl. Om invändningen inte kan lösas, får den ansvariga säga upp den berörda tjänstedelen vid ändringstidpunkten.

8. Rättigheter för registrerade personer

8.1 Wendet sich eine betroffene Person direkt an IDup, leitet IDup das Anliegen unverzüglich an die Verantwortliche weiter und beantwortet es nicht selbst.

8.2 IDup unterstützt die Verantwortliche mit geeigneten technischen Mitteln bei Auskunft, Berichtigung, Löschung, Einschränkung, Herausgabe und Widerspruch. Der Dienst stellt dafür Such-, Export-, Korrektur- und Löschfunktionen bereit, welche die Verantwortliche selbst nutzen kann.

9. Stöd till ansvariga

IDup stödjer den ansvariga – inom ramen för vad som är möjligt och med hänsyn till typen av behandling – i att uppfylla skyldigheterna enligt Art. 32 till 36 DSGVO samt de motsvarande skyldigheterna enligt revDSG, särskilt när det gäller säkerheten vid behandlingen, vid rapportering av dataskyddsbrott, vid dataskyddsbedömningar och vid förhandskonsultationer.

10. Anmälan av dataskyddsbrott

10.1 IDup anmäler omedelbart varje brott mot skyddet av personuppgifter till den ansvariga, vanligtvis inom 48 timmar efter att ha fått kännedom om det.

10.2 Anmälan omfattar, i den mån det är känt: typ av brott, berörda kategorier och ungefärligt antal berörda personer och poster, sannolika konsekvenser, vidtagna och föreslagna åtgärder samt en kontaktpunkt.

10.3 Anmälan till tillsynsmyndigheten och till berörda personer åligger den ansvariga; IDup stöder dem i detta.

11. Återlämning och radering

11.1 Under avtalstiden kan den ansvarige när som helst hämta sina data med tjänstens exportfunktioner.

11.2 Efter avtalets slut förblir data tillgängliga för export i 30 dagar. Därefter markeras miljön för radering och raderas permanent senast 90 dagar efter avtalets slut. Säkerhetskopior skrivs över under de ordinarie säkerhetskopieringscyklerna.

11.3 Lagstadgade lagringsskyldigheter förblir reserverade; sådana data blockeras och bearbetas inte vidare.

12. Bevis och granskning

12.1 IDup tillhandahåller på begäran den ansvariga de uppgifter som krävs för att bevisa efterlevnad av detta AVV.

12.2 Den ansvariga kan begära en granskning högst en gång per år – och dessutom efter en personuppgiftsincident. Den genomförs med minst 30 dagars varsel, under normala kontorstider och utan att störa verksamheten. Tredjepartsgranskare får inte vara konkurrenter till IDup och måste åta sig sekretess. IDup kan debitera sina rimliga kostnader.

13. Ansvar

Ansvar regleras enligt Allmänna villkor. Tvingande ansvarsbestämmelser i revDSG och DSGVO, särskilt Art. 82 DSGVO, förblir oförändrade.

14. Schlussbestimmungen

14.1 Detta DPA gäller under användningsavtalets löptid. Bestämmelser som till sin natur fortsätter att gälla – särskilt sekretess och radering – fortsätter att gälla därefter.

14.2 Vid konflikter har bestämmelserna i detta DPA företräde framför villkoren när det gäller behandling av personuppgifter.

14.3 Schweizisk lag gäller; jurisdiktionsorten är Reinach AG. Obligatoriska jurisdiktionsorter förblir förbehållna.

14.4 Detta DPA finns på tyska och engelska; översättningar till andra språk görs maskinellt. Den tyska versionen är den gällande.