Datenschutzerklärung

1. Verantwortliche Stelle

ReviDok · info@revidok.ch. Verantwortlich für die Bearbeitung von Personendaten im Zusammenhang mit der Website und der Anwendung ReviDok.

Für Dokumente und Benutzerdaten, die Kunden in ihrer Organisation ablegen, ist die jeweilige Kundenorganisation verantwortlich; ReviDok bearbeitet diese Daten als Auftragsbearbeiterin (siehe Ziffer 8).

2. Welche Daten wir bearbeiten

• Kontodaten: Name, E-Mail-Adresse, Rolle, Organisationszugehörigkeit, Spracheinstellung.
• Authentifizierungsdaten: Passwort-Hash, Faktoren der Zwei-Faktor-Authentifizierung, Sitzungen (Zeitpunkt, Gerätekennung des Browsers, gekürzte IP-Angabe).
• Protokolldaten: Anmeldungen und fehlgeschlagene Anmeldeversuche, Datei-Uploads und -Downloads, Freigabeentscheidungen, QR-Zugriffe, Exporte, administrative Supportzugriffe. IP-Adressen werden ausschliesslich als gekürzter Hashwert gespeichert.
• Inhaltsdaten: die von Kunden hochgeladenen Gebäudedokumentationen samt Metadaten. Diese können Personendaten enthalten (z. B. Namen von Unterzeichnenden auf Protokollen).
• Vertragsdaten: Abonnement, Beträge, Rechnungsstatus, Rechnungsadresse.

3. Zweck und Rechtsgrundlage

Die Bearbeitung erfolgt zur Erfüllung des Vertrags (Bereitstellung der Plattform), zur Gewährleistung der Informationssicherheit (Protokollierung, Missbrauchserkennung) sowie zur Erfüllung gesetzlicher Pflichten. Es findet keine Bearbeitung zu Werbezwecken statt, und es werden keine Persönlichkeitsprofile erstellt.

4. Keine Weitergabe zu Analyse- oder KI-Zwecken

Dokumentinhalte werden weder an Analyse- noch an KI-Dienste übermittelt. Die Anwendung setzt kein Tracking und keine Werbe-Cookies ein; verwendet werden ausschliesslich technisch notwendige Cookies für die Anmeldung und die Auswahl der aktiven Organisation.

5. Speicherort und Auftragsbearbeiter

• Supabase (Datenbank, Authentifizierung, Dateiablage) — Region Zürich, eu-central-2, Schweiz.
• Vercel (Betrieb der Webanwendung) — Verarbeitung im europäischen Raum; es werden keine Dokumentinhalte dauerhaft gespeichert.
• Hostinger (Infrastruktur für den Virenscanner) — zur Sicherheitsprüfung werden hochgeladene Dateiinhalte über HTTPS an einen von ReviDok selbst betriebenen ClamAV-Scanner auf dem vorhandenen VPS übertragen. Die Inhalte werden dort nur vorübergehend im Arbeitsspeicher verarbeitet und nicht dauerhaft gespeichert. Der konkrete VPS-Standort wird noch anhand des Hostingvertrags verifiziert; eine Verarbeitung in der Schweiz oder EU wird für diesen Prüfweg derzeit nicht zugesichert.
• [E-Mail-Anbieter] für den Versand von Einladungen und Benachrichtigungen. E-Mails enthalten weder Dokumentinhalte noch direkte Datei-Links.

6. Aufbewahrung und Löschung

Gelöschte Geschäftsdaten werden zunächst als gelöscht markiert und bleiben wiederherstellbar. Nach Ablauf der vereinbarten Aufbewahrungsfrist werden sie endgültig entfernt. Dokumentversionen werden nie überschrieben; frühere Fassungen bleiben als Historie erhalten, solange das Dokument besteht.

Protokolleinträge des Audit-Logs sind unveränderbar und werden für die vereinbarte Dauer aufbewahrt. Nach Vertragsende werden die Daten der Kundenorganisation gemäss Auftragsbearbeitungsvertrag gelöscht oder zurückgegeben.

7. Datensicherheit

Verschlüsselte Übertragung, Mandantentrennung auf Datenbankebene, ausschliesslich private Dateiablagen ohne öffentliche Links, zeitlich begrenzte Download-Links nach Berechtigungsprüfung, Zwei-Faktor-Authentifizierung für administrative Rollen, Prüfung hochgeladener Dateien sowie unveränderbare Protokollierung sicherheitsrelevanter Vorgänge.

Die Virenprüfung dient ausschliesslich der Sicherheit der hochgeladenen Dateien. Dokumentinhalte werden dafür nicht an Analyse- oder KI-Dienste weitergegeben. Datenbank und dauerhafte Dateiablage bleiben bei Supabase.

8. Auftragsbearbeitung für Kundenorganisationen

Für die von Kunden abgelegten Daten schliesst ReviDok mit der Kundenorganisation einen Auftragsbearbeitungsvertrag ab (siehe AVB und Auftragsbearbeitung). Darin sind Gegenstand, Dauer, Art der Daten, Unterauftragsverhältnisse, technische und organisatorische Massnahmen sowie Melde- und Unterstützungspflichten geregelt.

9. Rechte der betroffenen Personen

Betroffene Personen haben das Recht auf Auskunft, Berichtigung, Löschung sowie auf Herausgabe oder Übertragung ihrer Daten. Anfragen richten Sie an info@revidok.ch. Betrifft die Anfrage Daten innerhalb einer Kundenorganisation, leiten wir sie an die dort verantwortliche Stelle weiter.

10. Änderungen

Diese Erklärung kann angepasst werden. Massgebend ist die jeweils auf dieser Seite veröffentlichte Fassung.