Обробка даних
Угода (DPA)

Станом на: 21 вересня 2026  ·  Версія 1.0

Цей договір про обробку даних («AVV») регулює обробку персональних даних, яку IDup здійснює за дорученням своїх корпоративних клієнтів. Він конкретизує ст. 9 швейцарського закону про захист даних (revDSG) та ст. 28 Загального регламенту захисту даних (DSGVO).

1. Сторони

2. Предмет, характер і мета обробки

2.1 IDup обробляє персональні дані виключно для надання послуги, описаної в Умовах: бухгалтерія та облік, виставлення рахунків та платежі, пропозиції та контракти, CRM та ліди, проекти, завдання та тікети, управління персоналом та облік робочого часу, цифрова пошта та сканування документів, зберігання документів, календар, онлайн-бронювання, чат, push-повідомлення, звіти та функції штучного інтелекту.

2.2 Вид обробки: збір, зберігання, організація, отримання, відображення, передача, резервне копіювання, відновлення, обмеження, видалення та знищення.

2.3 Тривалість: на термін дії договору використання плюс періоди, зазначені в пункті 11.

3. Категорії осіб і даних, яких це стосується

Особливо захищені персональні дані (наприклад, дані про здоров'я у причинах відсутності, відомості про соціальні виплати) обробляються лише в тому випадку, якщо відповідальна особа їх фіксує в службі. Відповідальна особа приймає рішення про це і несе за це відповідальність.

4. Інструкції

4.1 IDup обробляє персональні дані виключно за документованою інструкцією відповідальних осіб. Інструкцією вважаються ця Угода про обробку даних, Загальні умови, налаштування в обліковому записі та використання функцій сервісу.

4.2 Додаткові інструкції повинні бути надіслані в текстовій формі на info@idup.com. Якщо вони викликають додаткові зусилля або можуть бути реалізовані лише з адаптаціями, IDup може стягувати плату за зусилля за домовленістю.

4.3 Якщо IDup вважає інструкцію незаконною, вона негайно повідомляє про це і може призупинити виконання до з'ясування питання.

4.4 Якщо IDup зобов'язана обробляти дані відповідно до швейцарського або застосовного законодавства ЄС, вона заздалегідь інформує відповідальних осіб, якщо це не заборонено законом.

5. Конфіденційність

IDup зобов'язує всіх осіб, які отримують доступ до персональних даних, контрактно до конфіденційності; зобов'язання діє після закінчення діяльності. Доступ надається лише в тій мірі, в якій це необхідно для виконання відповідного завдання.

6. Технічні та організаційні заходи

IDup trifft und unterhält mindestens folgende Massnahmen (Art. 8 revDSG, Art. 32 DSGVO):

• Конфіденційність: окреме середовище даних для кожного клієнта; рольові дозволи; паролі виключно у вигляді хешу; опціональна двофакторна аутентифікація; доступ до інфраструктури лише через ключові процедури і лише для обмеженого кола осіб.
• Інтегритет: Передача виключно через TLS; Захист від міжсайтової підробки запитів; Валідація введення; Протоколювання входів, змін дозволів та подій безпеки.
• Доступність: регулярні резервні копії; процедури відновлення; моніторинг стану системи та помилок; постійне оновлення використовуваного програмного забезпечення.
• Стійкість і перевірка: окремі робочі та тестові середовища; перевірка заходів при кожній суттєвій зміні, але не рідше ніж раз на рік.
• Розташування: всі продуктивні системи знаходяться в дата-центрі в Нюрнберзі, Німеччина.

IDup kann die Massnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

7. Підрядники

7.1 Відповідальна особа надає IDup загальний дозвіл залучати наступних субпроцесорів:

7.2 IDup укладає з кожним підрядником зобов'язання, які відповідають вимогам цієї Угоди про обробку даних, і залишається відповідальним за їх виконання.

7.3 IDup повідомляє про зміни або нові прийоми щонайменше за 30 днів заздалегідь електронною поштою або в обліковому записі. Відповідальна особа може протягом цього періоду заперечити з важливих причин, пов'язаних із захистом даних. Якщо заперечення не може бути усунено, відповідальна особа може припинити відповідну частину послуги на момент зміни.

8. Права суб'єктів даних

8.1 Якщо суб'єкт даних звертається безпосередньо до IDup, IDup без зволікань пересилає запит відповідальному і не відповідає на нього самостійно.

8.2 IDup підтримує відповідального належними технічними засобами в обробці доступу, виправлення, видалення, обмеження, перенесення та заперечення. Сервіс надає функції пошуку, експорту, корекції та видалення, які відповідальний може використовувати самостійно.

9. Підтримка відповідальних осіб

IDup підтримує відповідальних осіб – у межах своїх можливостей та з урахуванням характеру обробки – у дотриманні обов'язків згідно з статтями 32 до 36 DSGVO, а також відповідних обов'язків revDSG, зокрема щодо безпеки обробки, повідомлень про порушення захисту даних, оцінок впливу на захист даних та попередніх консультацій.

10. Повідомлення про порушення захисту даних

10.1 IDup негайно повідомляє відповідальну особу про будь-яке порушення захисту персональних даних, зазвичай протягом 48 годин з моменту виявлення.

10.2 Повідомлення включає, якщо відомо: характер порушення, категорії та приблизну кількість постраждалих осіб і записів, ймовірні наслідки, вжиті та запропоновані заходи, а також контактну точку.

10.3 Повідомлення наглядовому органу та постраждалим особам є відповідальністю контролера; IDup надає підтримку.

11. Повернення та видалення

11.1 Протягом терміну дії контролер може отримати свої дані в будь-який час, використовуючи функції експорту Сервісу.

11.2 Після закінчення контракту дані залишаються доступними для експорту протягом 30 днів. Після цього середовище позначається для видалення і остаточно видаляється не пізніше ніж через 90 днів після закінчення контракту. Резервні копії перезаписуються в ході регулярних циклів резервного копіювання.

11.3 Законодавчі зобов'язання щодо зберігання залишаються в силі; такі дані блокуються і не обробляються далі.

12. Докази та перевірка

12.1 IDup надає відповідальній особі на запит інформацію, необхідну для підтвердження дотримання цього ДПА.

12.2 Відповідальна особа може вимагати перевірку не частіше одного разу на рік – і додатково після порушення захисту даних. Вона проводиться з попереднім повідомленням не менше ніж за 30 днів, у звичайний робочий час і без порушення роботи. Аудитори з третіх сторін не можуть бути конкурентами IDup і повинні зобов'язатися до конфіденційності. IDup може стягувати плату за свої розумні зусилля.

13. Відповідальність

Відповідальність визначається загальними умовами. Обов'язкові положення про відповідальність revDSG та DSGVO, зокрема ст. 82 DSGVO, залишаються в силі.

14. Заключні положення

14.1 Ця Угода про обробку даних діє протягом терміну дії договору користування. Положення, які за своєю природою продовжують діяти – зокрема конфіденційність та видалення – залишаються чинними і надалі.

14.2 У разі конфлікту, ця Угода про обробку даних має перевагу над Умовами, якщо йдеться про обробку персональних даних.

14.3 Застосовується швейцарське право; місце юрисдикції – Рейнах AG. Обов'язкові місця юрисдикції залишаються застереженими.

14.4 Ця Угода про обробку даних існує німецькою та англійською мовами; переклади на інші мови виконуються машинно. Визначальною є німецька версія.