Datenschutzerklärung

Verantwortlich für die Datenbearbeitung im Sinne des Schweizer Datenschutzgesetzes (nDSG) und der DSGVO ist:

ufoclick GmbH (Betreiberin der Plattform «OrgaPlus»), Pfruendhofstrasse 60, 8910 Affoltern am Albis, Schweiz

E-Mail: privacy@orgaplus.ch

Für Datenschutzanfragen wenden Sie sich bitte an die obige E-Mail-Adresse.

Wir erheben und bearbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung unserer Dienste erforderlich ist oder Sie ausdrücklich eingewilligt haben.

Daten, die wir erheben:

• Kontaktdaten (Name, E-Mail-Adresse, Telefonnummer)

• Zugangsdaten (Nutzername, verschlüsseltes Passwort)

• Nutzungsdaten (Log-Dateien, IP-Adressen, Browsertyp)

• Betriebsdaten (Schichtpläne, Zeiterfassungen, Lohndaten)

• Zahlungsdaten (über sichere Drittanbieter, nicht direkt gespeichert)

Rechtsgrundlagen: Art. 13 nDSG (Einwilligung), Art. 31 nDSG (Vertragsverhältnis), Art. 31 Abs. 2 nDSG (überwiegendes Interesse).

Ihre Daten werden für folgende Zwecke bearbeitet:

• Bereitstellung und Betrieb der OrgaPlus-Plattform

• Nutzer-Authentifizierung und Zugriffskontrolle

• Abrechnung und Rechnungsstellung

• Technischer Support und Kundendienst

• Verbesserung unserer Dienste (nur mit Einwilligung)

• Einhaltung gesetzlicher Pflichten (z. B. Buchführung)

Die primäre Datenspeicherung (Dokumente und Dateien) erfolgt in der Schweiz: AWS S3, Region eu-central-2 (Zürich). Die Webanwendung selbst wird über Vercel Inc. gehostet; bestimmte Auftragsverarbeiter können Daten in der EU oder in den USA bearbeiten.

Übermittlungen in Drittstaaten erfolgen nur an die folgenden Anbieter und gestützt auf angemessene Garantien gemäss Art. 16 ff. revDSG (insbesondere Standardvertragsklauseln, SCC):

• Vercel Inc. (Hosting, Analytics, Speed Insights – EU/USA)

• Google LLC (Firebase Authentication, Google Analytics 4, reCAPTCHA – USA)

• Microsoft Corporation (Clarity – USA)

• Sentry / Functional Software, Inc. (Fehler-Monitoring inkl. Session Replay – EU/USA)

• OpenAI (KI-Funktionen – USA)

• Amazon Web Services (S3, Textract, CloudFront – primär Region Zürich, eu-central-2)

Wir verwenden folgende Kategorien von Cookies und Trackern:

• Notwendige Cookies: Für den Betrieb der Plattform erforderlich (Session, CSRF-Schutz, Authentifizierung). Keine Einwilligung erforderlich.

• Analyse-Cookies/-Tracker: Google Analytics 4, Microsoft Clarity, Vercel Analytics/Speed Insights sowie Sentry Session Replay – nur mit Ihrer ausdrücklichen Einwilligung.

• Marketing-Cookies: Derzeit nicht aktiv.

Sie können Ihre Cookie-Einstellungen jederzeit unter /cookies anpassen.

Wir geben Ihre Daten nicht an Dritte weiter, ausser an die folgenden Auftragsverarbeiter (jeweils mit Auftragsverarbeitungsvertrag), wenn wir gesetzlich dazu verpflichtet sind oder wenn Sie ausdrücklich eingewilligt haben:

• Vercel Inc. – Hosting der Webanwendung sowie Web-Analytics/Speed Insights (Analytics nur mit Einwilligung)

• Amazon Web Services (AWS) – Dateispeicherung (S3, Region Zürich eu-central-2), Dokumenterkennung/OCR (Textract), Inhaltsauslieferung (CloudFront)

• PostgreSQL-Datenbank-Hosting – verwalteter Cloud-Datenbankdienst für die Plattformdaten

• Sentry (Functional Software, Inc.) – Fehler- und Performance-Monitoring; Session Replay nur mit Einwilligung

• OpenAI – KI-gestützte Funktionen; es werden nur die dafür erforderlichen Inhalte übermittelt

• SMTP-E-Mail-Versanddienstleister – Versand von Transaktions-E-Mails (z. B. Einladungen, Benachrichtigungen)

• Google LLC – Firebase Authentication, reCAPTCHA sowie Google Analytics 4 (Analytics nur mit Einwilligung)

• Microsoft Corporation – Clarity (nur mit Einwilligung)

Wir verkaufen keine personenbezogenen Daten.

Personenbezogene Daten werden nur so lange aufbewahrt, wie dies für den jeweiligen Zweck erforderlich ist:

• Kundendaten: Während der Vertragslaufzeit + 10 Jahre (gesetzliche Buchführungspflicht)

• Log-Dateien: 30 Tage

• Backups: 90 Tage

• Gelöschte Accounts: 30 Tage bis zur endgültigen Löschung

Sie haben folgende Rechte gemäss nDSG und DSGVO:

• Auskunftsrecht (Art. 25 nDSG, Art. 15 DSGVO)

• Recht auf Berichtigung (Art. 32 nDSG, Art. 16 DSGVO)

• Recht auf Löschung (Art. 32 nDSG, Art. 17 DSGVO)

• Recht auf Einschränkung der Bearbeitung

• Recht auf Datenübertragbarkeit

• Widerspruchsrecht

• Recht auf Widerruf der Einwilligung

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: privacy@orgaplus.ch

Sie haben ausserdem das Recht, beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) Beschwerde einzureichen.

Wir setzen technische und organisatorische Massnahmen ein, um Ihre Daten zu schützen:

• Ende-zu-Ende-Verschlüsselung (TLS 1.3)

• AES-256-Verschlüsselung ruhender Daten

• Zwei-Faktor-Authentifizierung (2FA)

• Rollenbasierte Zugriffskontrolle

• Regelmässige Sicherheitsaudits

• SOC2-ready Architektur

• Backup in Echtzeit

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen. Wesentliche Änderungen werden per E-Mail oder durch eine auffällige Benachrichtigung auf unserer Website kommuniziert. Die jeweils aktuelle Version ist unter /privacy abrufbar.

Letzte Aktualisierung: 1. Januar 2025