Auftragsbearbeitungsvertrag

Präambel

Dieser Vertrag (der «Vertrag») ist Bestandteil der Allgemeinen Nutzungs- und Verkaufsbedingungen von Maijin Shield (die «AGB»). Er regelt die Bearbeitung von Personendaten, die Maijin Sàrl im Auftrag ihrer Kunden vornimmt, wenn diese den Dienst nutzen, gemäss Art. 9 des Bundesgesetzes vom 25. September 2020 über den Datenschutz (DSG, SR 235.1) und Art. 7 der Verordnung vom 31. August 2022 über den Datenschutz (DSV, SR 235.11). Untersteht der Kunde der Verordnung (EU) 2016/679 (DSGVO), gilt der Vertrag als Vertrag im Sinne von deren Art. 28.

Der Vertrag kommt zustande, wenn der Kunde ein kostenpflichtiges Angebot abschliesst: Die abschliessende Person (in einem Team: ein Administrator) akzeptiert ihn im Namen des Kunden, zusammen mit den AGB. Für die verbleibende Aufbewahrungsdauer gilt er auch für Dokumente, die vor dem Abschluss oder nach dem Ende des Abonnements anonymisiert wurden.

1. Parteien und Rollen

• Der Kunde: das Unternehmen, die Organisation oder die Person, die ein Angebot von Maijin Shield abschliesst, identifiziert durch die beim Abschluss angegebene Firma und Rechnungsadresse. Für die Personendaten in den Dokumenten, die er dem Dienst übermittelt, ist der Kunde Verantwortlicher (Art. 5 Bst. j DSG).
• Maijin Sàrl, Route de Saint-Julien 184, 1228 Plan-les-Ouates, Schweiz, UID CHE-300.778.667, contact@maijin.ch («Maijin»): Auftragsbearbeiter (Art. 5 Bst. k DSG) für dieselben Daten.

Maijin ist hingegen in eigenem Namen Verantwortlicher für die Daten, die für die Verwaltung der Konten und der Vertragsbeziehung nötig sind (E-Mail-Adressen der Nutzenden, Sitzungen, Teams, Rechnungsstellung, Nutzungsstatistiken ohne Inhalt, Audit-Protokoll, Formulare), sowie für die Demo ohne Konto. Diese Bearbeitungen sind in der Datenschutzerklärung beschrieben und fallen nicht unter den Vertrag.

2. Gegenstand und Beschreibung der Bearbeitung

3. Weisungen des Kunden

1. Maijin bearbeitet die Daten ausschliesslich zur Erbringung des Dienstes, gemäss den dokumentierten Weisungen des Kunden. Als solche Weisungen gelten: die AGB und der Vertrag; die Nutzung der Funktionen des Dienstes durch die Nutzenden des Kunden (Hochladen, Korrekturen in der Vorschau, Herunterladen, Wiederherstellung, Löschung); die von den Administratoren des Teams gewählten Maskierungseinstellungen (Einstellungen); jede ergänzende schriftliche Weisung, die an contact@maijin.ch gerichtet und von Maijin angenommen wird.
2. Maijin verwendet die Daten für keinen anderen Zweck: weder für das Training oder die Verbesserung von Modellen noch für Profiling, Weiterverkauf oder Statistiken über den Inhalt. Die Nutzungsstatistiken von Maijin enthalten nur Zahlen und Codes (Seiten, Arten maskierter Daten, Dauer), nie einen Inhalt, einen Dateinamen oder einen erkannten Wert.
3. Ist Maijin der Ansicht, dass eine Weisung gegen das anwendbare Recht verstösst, informiert Maijin den Kunden unverzüglich und kann die Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert.
4. Maijin gibt die Daten Dritten nur in den im Vertrag vorgesehenen Fällen (Unterauftragsbearbeiter, Abschnitt 7) bekannt oder wenn eine Behörde Maijin dazu verpflichtet; im letzteren Fall informiert Maijin den Kunden vorgängig, sofern dies nicht gesetzlich verboten ist.

4. Aufbewahrungsdauer

5. Vertraulichkeit

1. Maijin beschränkt den Zugang zu den Systemen auf eine kleine Zahl namentlich bezeichneter Personen, die ihn für den Betrieb des Dienstes benötigen, und verpflichtet sie schriftlich zur Vertraulichkeit, die über das Ende ihrer Tätigkeit hinaus fortbesteht. Sie werden über die Strafen nach Art. 62 DSG (Verletzung der beruflichen Schweigepflicht) und gegebenenfalls nach Art. 321 StGB informiert.
2. Keine Person von Maijin sieht die Zuordnungstabellen oder das Platzhalterverzeichnis eines Kunden ein, ausser auf schriftliche Anfrage des Kunden (zum Beispiel für Support) oder aufgrund einer gesetzlichen Pflicht. Jede solche Einsichtnahme wird dokumentiert.
3. Die echten Angaben werden nie an ein Sprachmodell gesendet und nie an den Browser zurückgegeben, ausser im wiederhergestellten Dokument für die nutzende Person, die es anonymisiert hat.

6. Kunden, die einem Berufsgeheimnis unterstehen

1. Unterstehen der Kunde oder seine Nutzenden einem durch Art. 321 des Strafgesetzbuches geschützten Berufsgeheimnis (namentlich Ärztinnen und Ärzte, Zahnärztinnen und Zahnärzte, Chiropraktorinnen und Chiropraktoren, Apothekerinnen und Apotheker, Psychologinnen und Psychologen, Hebammen, Pflegefachpersonen und weitere von dieser Bestimmung erfasste Gesundheitsberufe, Anwältinnen und Anwälte, Notarinnen und Notare) oder einer anderen Geheimhaltungsregel (Amtsgeheimnis, Geheimnis nach einem kantonalen Gesundheitsgesetz oder nach dem Sozialversicherungsrecht), handelt Maijin bei der Erbringung des Dienstes als Hilfsperson des Kunden im Sinne von Art. 321 Ziff. 1 StGB, soweit Maijin dieser Status zuerkannt wird.
2. Maijin verpflichtet sich, über alle Tatsachen, von denen Maijin in diesem Rahmen Kenntnis erhält, Stillschweigen zu bewahren, den Personen mit Zugang zu den Systemen schriftlich dieselbe Pflicht aufzuerlegen und diese Tatsachen niemand anderem bekanntzugeben als den in Abschnitt 7 genannten Unterauftragsbearbeitern, in den Grenzen des Vertrags.
3. Es ist Sache des Kunden zu beurteilen, ob die Nutzung des Dienstes mit den für ihn geltenden Geheimhaltungsregeln vereinbar ist (einschliesslich des kantonalen Rechts, der Berufsregeln und allfälliger Anforderungen an die Einwilligung oder Information der betroffenen Personen), insbesondere bevor er das anonymisierte Dokument anschliessend einer künstlichen Intelligenz eines Dritten anvertraut. Maijin erteilt dazu keine Rechtsberatung.

7. Unterauftragsbearbeiter

Der Kunde erteilt Maijin eine allgemeine Genehmigung, Unterauftragsbearbeiter beizuziehen (Art. 9 Abs. 3 DSG und Art. 7 DSV). Zum Datum des Vertrags sind folgende Unterauftragsbearbeiter genehmigt:

1. Maijin informiert den Kunden per E-Mail an die Adresse der Administratoren des Teams mindestens 30 Tage im Voraus über jede Hinzufügung oder Ersetzung eines Unterauftragsbearbeiters und gibt dessen Identität, Land und die betroffenen Daten an. Der Kunde kann innerhalb dieser Frist aus einem Grund des Datenschutzes schriftlich Widerspruch gegen die Änderung erheben. Wird keine Lösung gefunden, kann der Kunde sein Abonnement auf das Datum der Änderung kündigen und erhält den bezahlten, nicht genutzten Zeitraum zurückerstattet.
2. Maijin auferlegt jedem Unterauftragsbearbeiter vertraglich Datenschutzpflichten, die mindestens jenen des Vertrags entsprechen, und haftet gegenüber dem Kunden für deren Einhaltung.
3. Zur Information: Die Zahlung der Abonnements läuft über Stripe (Stripe Payments Europe, Ltd., Irland, und Stripe, LLC, USA). Stripe bearbeitet die Rechnungsdaten, für die Maijin selbst Verantwortlicher ist; Stripe erhält nie ein Dokument und keine im Auftrag des Kunden bearbeiteten Daten. Stripe ist daher kein Unterauftragsbearbeiter im Sinne des Vertrags.

8. Bekanntgabe von Daten ins Ausland

Die im Auftrag des Kunden bearbeiteten Daten werden ausschliesslich in der Schweiz bearbeitet. Maijin gibt sie in keinen ausländischen Staat bekannt. Die einzige Bekanntgabe ins Ausland im Zusammenhang mit dem Dienst betrifft die an Stripe übermittelten Rechnungsdaten (Irland, ein vom Bundesrat in Anhang 1 der DSV als angemessen anerkannter Staat; USA für Stripe, LLC, zertifiziert nach dem Swiss-U.S. Data Privacy Framework, das seit dem 15. September 2024 als angemessen anerkannt ist); sie ist in der Datenschutzerklärung beschrieben.

Der Kunde bleibt allein verantwortlich für das, was er anschliessend einer künstlichen Intelligenz eines Dritten übermittelt, auch wenn deren Anbieter im Ausland ist. Ebenso gilt: Wenn eine nutzende Person die Ablage per E-Mail verwendet, bleiben der Anhang, den sie sendet, und die Antwort, die sie erhält (einschliesslich eines wiederhergestellten Dokuments mit den echten Angaben), in ihrem eigenen E-Mail-Postfach, das ausserhalb der Schweiz gehostet sein kann: Diese Wahl liegt beim Kunden.

9. Datensicherheit

Maijin setzt die in Anhang 1 beschriebenen technischen und organisatorischen Massnahmen um, die dem Risiko angemessen sind, insbesondere bei besonders schützenswerten Personendaten (Art. 8 DSG, Art. 1–4 DSV). Maijin kann sie weiterentwickeln, sofern das Schutzniveau nie gesenkt wird.

10. Unterstützung des Kunden

1. Rechte der betroffenen Personen (Art. 25–32 DSG). Maijin leitet jede Anfrage, die Maijin von einer betroffenen Person zu den Dokumenten des Kunden erhält, innerhalb von 5 Arbeitstagen an den Kunden weiter, ohne sie selbst zu beantworten. Maijin unterstützt den Kunden bei der Beantwortung, soweit dies technisch möglich ist: Da die Zuordnungstabellen nur für die nutzende Person lesbar sind, die das Dokument anonymisiert hat, sieht diese Person ihre Dokumente unter «Meine Dokumente» ein, stellt sie wieder her oder löscht sie. Ein Administrator des Teams kann jedes Dokument des Teams löschen.
2. Datenschutz-Folgenabschätzung (Art. 22 und 23 DSG). Maijin stellt dem Kunden ein Dossier zur Datenschutz-Folgenabschätzung zur Verfügung, das die Bearbeitung, ihre Risiken und die getroffenen Massnahmen beschreibt, und beantwortet seine ergänzenden Fragen.
3. Behörden. Maijin unterstützt den Kunden im Austausch mit dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) oder einer anderen zuständigen Behörde, soweit es um den Dienst geht.

11. Verletzungen der Datensicherheit

1. Maijin meldet dem Kunden jede Verletzung der Datensicherheit (Art. 5 Bst. h DSG), die im Auftrag des Kunden bearbeitete Daten betrifft, ob sie ein hohes Risiko darstellt oder nicht, so rasch als möglich, spätestens 48 Stunden nachdem Maijin davon Kenntnis erlangt hat (Art. 24 Abs. 3 DSG), per E-Mail an die Administratoren des Teams und, falls bekannt, an die vom Kunden bezeichnete Kontaktperson.
2. Die Meldung enthält, soweit bekannt, die Informationen, die der Kunde für seine allfällige Meldung an den EDÖB benötigt (Art. 15 Abs. 1 DSV): die Art der Verletzung; Zeitpunkt und Dauer; die Kategorien und die ungefähre Anzahl der betroffenen Daten und Personen; die Folgen und Risiken für die betroffenen Personen; die getroffenen oder vorgesehenen Massnahmen, um die Verletzung zu beheben und ihre Folgen zu mildern; Name und Kontaktdaten einer Kontaktperson bei Maijin. Noch nicht bekannte Informationen werden mitgeteilt, sobald sie bekannt sind (Art. 15 Abs. 2 DSV).
3. Es ist Sache des Kunden als Verantwortlicher, zu entscheiden, ob die Verletzung dem EDÖB gemeldet wird und die betroffenen Personen informiert werden (Art. 24 Abs. 1 und 4 DSG). Maijin tut dies nicht an seiner Stelle, ausser auf schriftliche Weisung des Kunden oder aufgrund einer eigenen gesetzlichen Pflicht.
4. Maijin dokumentiert jede Verletzung und bewahrt diese Dokumentation mindestens zwei Jahre auf.

12. Ende des Vertrags und Löschung

1. Der Vertrag endet mit dem letzten aufbewahrten Dokument des Kunden, spätestens mit der Löschung seines Kontos oder seines Teams.
2. Während der gesamten Vertragsdauer kann die nutzende Person in der Anwendung jedes Dokument selbst löschen und ihr Konto mit allen seinen Tabellen löschen.
3. Bei der Löschung des Kontos oder des Teams oder auf schriftliche Anfrage des Kunden nach dem Ende des Abonnements löscht Maijin die Zuordnungstabellen, die anonymisierten Fassungen und das Platzhalterverzeichnis innerhalb von 30 Tagen. Die Backups (in denen die Zuordnungstabellen verschlüsselt bleiben) werden am Ende ihres Zyklus von 14 Tagen gelöscht. Das Audit-Protokoll, das keinen Inhalt von Dokumenten enthält, wird bis zum Ablauf seiner Dauer von 13 Monaten aufbewahrt.
4. Da die Zuordnungstabellen ausserhalb des Dienstes nicht in nützlicher Form herausgegeben werden können (sie dienen nur der Wiederherstellung), muss der Kunde, der sie behalten möchte, seine Dokumente vor dem Ende des Vertrags wiederherstellen. Auf Anfrage bestätigt Maijin die Löschung schriftlich.

13. Kontrolle und Audit

1. Maijin stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung des Vertrags nötig sind: diesen Vertrag und seinen Anhang, das Dossier zur Datenschutz-Folgenabschätzung, das Verzeichnis der Bearbeitungstätigkeiten (Teil Auftragsbearbeiter), die Liste der Unterauftragsbearbeiter und einen ausgefüllten Sicherheitsfragebogen, auf Anfrage an contact@maijin.ch, einmal pro Jahr kostenlos.
2. Der Kunde kann ein Audit vor Ort auf eigene Kosten durchführen, selbst oder durch einen unabhängigen, zur Verschwiegenheit verpflichteten Prüfer, mit einer Voranmeldung von 30 Tagen, während der Geschäftszeiten, höchstens einmal pro Jahr, ausser nach einer Verletzung der Datensicherheit oder auf Verlangen einer Behörde. Das Audit darf die Sicherheit des Dienstes nicht beeinträchtigen und keinen Zugang zu Daten anderer Kunden verschaffen. Die Rechenzentren von Infomaniak können vom Kunden nicht besichtigt werden; Maijin stellt dazu die Dokumentation von Infomaniak zur Verfügung.

14. Haftung

1. Jede Partei haftet für die Einhaltung der Pflichten, die ihr das Datenschutzrecht in ihrer eigenen Rolle auferlegt.
2. Die Haftung von Maijin aus dem Vertrag richtet sich nach dem Artikel «Haftung» der AGB, unter Vorbehalt der zwingenden Bestimmungen des Schweizer Rechts (insbesondere Art. 100 des Obligationenrechts): Bei Absicht oder grober Fahrlässigkeit wird sie in keinem Fall ausgeschlossen oder beschränkt.
3. Die automatische Anonymisierung verringert das Risiko einer Identifizierung stark, ohne es zu beseitigen. Maijin haftet weder für eine im Klartext belassene Angabe, die die nutzende Person in der Vorschau sehen und maskieren konnte, noch für die Verwendung des anonymisierten Dokuments durch den Kunden, insbesondere bei einer künstlichen Intelligenz eines Dritten.

15. Pflichten des Kunden

1. Der Kunde stellt sicher, dass er die Daten, die er dem Dienst übermittelt, rechtmässig bearbeiten darf, und informiert gegebenenfalls die betroffenen Personen (Art. 19 DSG).
2. Er sorgt dafür, dass seine Nutzenden die Vorschau prüfen, bevor sie das anonymisierte Dokument herunterladen und einer künstlichen Intelligenz eines Dritten anvertrauen, die Ablage per E-Mail nur mit einem E-Mail-Dienst verwenden, dessen Sicherheitsniveau er akzeptiert, und ihre Zugänge vertraulich halten.
3. Er wählt die zu maskierenden Datenkategorien (Einstellungen) in Kenntnis der Folgen: Wird eine Kategorie abgewählt, bleibt sie in allen Dokumenten des Teams im Klartext.
4. Er führt bei Bedarf seine eigene Datenschutz-Folgenabschätzung durch (Art. 22 DSG).

16. Änderungen, anwendbares Recht und Gerichtsstand

1. Maijin kann den Vertrag nach dem Änderungsverfahren der AGB ändern (Ankündigung per E-Mail mindestens 30 Tage im Voraus, Kündigungsrecht); Änderungen bei den Unterauftragsbearbeitern folgen Abschnitt 7.
2. Bei Widersprüchen geht der Vertrag den AGB vor, soweit es um den Schutz der im Auftrag des Kunden bearbeiteten Daten geht.
3. Der Vertrag untersteht dem Schweizer Recht. Gerichtsstand ist Genf, vorbehältlich der zwingenden gesetzlichen Gerichtsstände.

Anhang 1 — Technische und organisatorische Massnahmen

Massnahmen, die zum Datum dieser Version umgesetzt sind, gegliedert nach den Zielen von Art. 2 und den Kontrollen von Art. 3 DSV.

A. Vertraulichkeit

Zugriffskontrolle (Art. 3 Abs. 1 Bst. a DSV)

• Authentifizierung der Nutzenden ohne Passwort, mit einem Anmeldelink zur einmaligen Verwendung, 15 Minuten gültig, gehasht gespeichert. Sitzung von 7 Tagen, bei Nutzung verlängert (höchstens einmal pro Tag), Cookie «__Secure-», «HttpOnly», «SameSite=Lax»; weder die IP-Adresse noch der Browser der Sitzung werden gespeichert. Einladung in ein Team: zufälliges Token von 32 Byte, gehasht, zur einmaligen Verwendung, 7 Tage gültig.
• Jede Anfrage an die Dokumente und die Einstellungen prüft die Sitzung serverseitig.
• Streng persönliche Wiederherstellung: Nur die nutzende Person, die ein Dokument anonymisiert hat, kann seine echten Angaben zurückholen, und nur, solange sie Mitglied des Teams ist; nie eine Kollegin oder ein Kollege und nie ein Administrator.
• Die Administratoren eines Teams sehen den anonymisierten Namen der Datei, ihr Datum und die E-Mail-Adresse ihrer Urheberin oder ihres Urhebers und können sie löschen; die echten Angaben sehen sie nie.
• Zuordnungstabellen, Dateinamen und Platzhalterverzeichnis mit AES-256-GCM verschlüsselt, zufälliger Initialisierungsvektor pro Wert, zugehörige Daten (AAD), die jeden Chiffretext an seine Zeile und seinen Eigentümer binden (ein anderswohin kopierter Chiffretext lässt sich nicht mehr entschlüsseln). Hauptschlüssel ausserhalb der Datenbank (Umgebungsvariable des Servers, nur für den Administrator lesbare Datei), pro Verwendungszweck abgeleitete Unterschlüssel (HKDF-SHA-256). Eine Kopie der Datenbank allein gibt keinen Wert preis.
• Werte werden über einen schlüsselbasierten Fingerabdruck gesucht (HMAC-SHA-256, für jede nutzende Person eigen), nie im Klartext.
• Internes Dashboard von Maijin (Statistiken ohne Inhalt): eigene Subdomain, persönliche Konten, gehashtes Passwort (scrypt), 5 Versuche pro 15 Minuten, Sitzung von 12 Stunden; kein Zugriff auf die Zuordnungstabellen.
• Personal von Maijin: Zugang zu den Servern beschränkt auf die im Bearbeitungsreglement bezeichneten Personen, Verbot, die Tabellen einzusehen, ausser auf schriftliche Anfrage des Kunden.

Zugangskontrolle (Bst. b)

• Server in einem Rechenzentrum von Infomaniak in Genf (physische Zugangskontrollen des Anbieters). Maijin betreibt keinen Server in eigenen Räumlichkeiten.
• Arbeitsgeräte des Personals: verschlüsselte Festplatte und automatische Sperre, vom Bearbeitungsreglement vorgeschrieben; darauf wird keine Kopie der Produktionsdatenbank aufbewahrt.

Benutzerkontrolle (Bst. c)

• Datenbank nicht aus dem Internet erreichbar (kein veröffentlichter Port); Firewall, die die offenen Ports auf SSH, HTTP (Weiterleitung) und HTTPS beschränkt.
• SSH-Zugang nur mit Schlüssel, ohne Passwort und ohne «root»-Anmeldung; automatisches Deployment über einen eigenen Schlüssel, der auf einen einzigen Befehl beschränkt ist.
• Geheimnisse (Schlüssel für Verschlüsselung, API und Zahlung) ausserhalb des Code-Repositorys, in einer Datei auf dem Server mit eingeschränkten Rechten.

B. Verfügbarkeit und Integrität

Datenträgerkontrolle (Art. 3 Abs. 2 Bst. a DSV)

• Das Originaldokument wird nie auf einen Datenträger geschrieben: Es wird im Arbeitsspeicher gelesen und bearbeitet, in einem isolierten Ausführungsthread (Arbeitsspeicher auf 768 MB begrenzt, Dauer auf 20 Sekunden beschränkt), und danach vergessen. Nur seine anonymisierte Fassung wird verschlüsselt in der Datenbank gespeichert.
• Backups: Dateien, die nur der Administrator des Servers lesen kann; die Zuordnungstabellen bleiben darin verschlüsselt (AES-256-GCM, Schlüssel ausserhalb der Datenbank).

Speicherkontrolle (Bst. b)

• Aufbewahrt werden nur die Daten von Abschnitt 4 des Vertrags, die bei Ablauf automatisch gelöscht werden (stündliche Löschung abgelaufener Tabellen und verwaister Platzhalter sowie abgelaufener Sitzungen, Links und Einladungen).

Transportkontrolle (Bst. c)

• HTTPS obligatorisch, TLS 1.3, HSTS (2 Jahre, Preload), dauerhafte Weiterleitung von HTTP auf HTTPS.
• Anfragen an die Sprachmodelle von Infomaniak über HTTPS; sie enthalten weder den Dateinamen noch die Identität des Kontos.
• E-Mail (IMAP, SMTP) immer mit TLS verschlüsselt, nie im Klartext.

Wiederherstellung (Bst. d)

• Tägliches Backup der Datenbank, 14 Tage auf dem Server in der Schweiz aufbewahrt.
• Automatische Kontrolle jedes Backups (vollständige Kopie, sonst drei neue Versuche), Alarm per E-Mail bei einem Fehlschlag oder wenn seit 26 Stunden kein Backup erstellt wurde; vierteljährlicher Wiederherstellungstest gemäss Bearbeitungsreglement.

Verfügbarkeit, Zuverlässigkeit und Integrität (Bst. e)

• Obergrenzen für hochgeladene Dateien, vor dem Entpacken geprüft (20 MB, 200 MB entpackt, 5’000 Einträge), Ablehnung gefährlicher XML-Konstrukte; Ratenbegrenzungen auf sensiblen Routen.
• Integrität der verschlüsselten Daten durch die Authentifizierung von AES-GCM gewährleistet (jede Veränderung wird erkannt).
• PDF: echte Entfernung des Textes (nie ein blosses Rechteck darüber) und Kontrolle vor der Auslieferung, dass kein ursprünglicher Wert übrig bleibt.

Systemsicherheit (Bst. f)

• Automatische Sicherheitsupdates des Betriebssystems; Software-Abhängigkeiten werden aktualisiert.
• Strenge Content Security Policy (CSP): Skripte per Nonce zugelassen, keine Ressourcen von Dritten, keine Tracker und keine Analysewerkzeuge, Schriften von der Website selbst ausgeliefert; Header «X-Frame-Options», «X-Content-Type-Options», «Referrer-Policy», «Permissions-Policy».
• Technische Protokolle mit begrenztem Umfang (3 × 10 MB pro Dienst); der Webserver schreibt weder IP-Adressen noch Header (Browser, Cookies) noch Adressparameter hinein; kein Dokumentinhalt und keine E-Mail-Adresse in den Protokollen der Anwendung.

C. Nachvollziehbarkeit

Eingabe- und Bekanntgabekontrolle (Art. 3 Abs. 3 Bst. a und b DSV)

• Nur ergänzbares Audit-Protokoll (Art. 4 DSV): Analyse eines Dokuments (mit seinem Empfänger, Infomaniak AI Tools), Erstellung eines anonymisierten Dokuments, Wiederherstellung, manuelle oder automatische Löschung, Einsicht in den Verlauf des Teams durch einen Administrator, Anmeldung am internen Dashboard und Exporte; für jeden Eintrag: wer (Kennung und E-Mail-Adresse des Kontos), was (Aktion, Kennung des Dokuments), wann; nie Inhalte oder Werte. Aufbewahrt während 13 Monaten, täglich in eine von der Datenbank getrennte Datei kopiert, nur für die mit der Sicherheit betrauten Personen zugänglich.

Erkennung und Beseitigung (Bst. c)

• Verfahren für den Umgang mit Verletzungen (Erkennung, Beurteilung, Meldung an den Kunden innerhalb von 48 Stunden, Dokumentation mindestens 2 Jahre aufbewahrt).
• Alarm bei fehlgeschlagenem Backup.

D. Organisatorische Massnahmen

• Bearbeitungsreglement (Art. 5 DSV), laufend nachgeführt und mindestens einmal pro Jahr überprüft.
• Verzeichnis der Bearbeitungstätigkeiten (Art. 12 DSG).
• Datenschutz durch Technik und durch datenschutzfreundliche Voreinstellungen (Art. 7 DSG): Alle Kategorien sind standardmässig maskiert; Minimierung der an die Sprachmodelle gesendeten Daten.