Datenschutzerklärung

1. Verantwortlicher

SafePuls, Langstrasse 101, 8004 Zürich, info@safepuls.ch. Verantwortlich für die Datenbearbeitung im Sinne des Schweizer Datenschutzgesetzes (revDSG) und - soweit anwendbar - der DSGVO.

2. Welche Daten wir bearbeiten

Kontodaten: E-Mail-Adresse, Passwort (ausschliesslich als Hash gespeichert), optional Einstellungen zur Zwei-Faktor-Authentifizierung.

Gesundheitsdaten, die du selbst hochlädst oder erfasst: Fotos/Scans von Arztberichten und deiner Krankenkassenkarte sowie die daraus extrahierten strukturierten Angaben (z.B. Diagnosen, Laborwerte, Medikamente, Allergien, AHV-Nummer, Versicherung). Diese Daten sind besonders schützenswerte Personendaten; wir bearbeiten sie ausschliesslich auf Grundlage deiner ausdrücklichen Einwilligung bei der Registrierung.

Nur wenn du "Berichte anfordern" nutzt: Name und Adresse der Stelle, bei der du anfragst, sowie der erzeugte Brief samt deiner Unterschrift und - falls du uns mit dem Versand beauftragst - dein Name und Geburtsdatum zur Zuordnung der eingehenden Antwort. Siehe Abschnitt 5.

Technische Daten: Server-Logdaten (Zeitpunkt, IP-Adresse, aufgerufene Funktion) zur Betriebssicherheit und Missbrauchsabwehr sowie ein Audit-Protokoll sicherheitsrelevanter Aktionen in deinem Konto.

3. Zwecke der Bearbeitung

Bereitstellung der App-Funktionen (persönliche Gesundheitsakte, Verlauf, Erinnerungen), KI-gestützte Auswertung der von dir hochgeladenen Dokumente zur automatischen Übernahme strukturierter Werte, Kontosicherheit (Anmeldung, 2FA, Sperrmechanismen) sowie die Erfüllung gesetzlicher Pflichten.

Auf deinen ausdrücklichen Auftrag hin zusätzlich: Druck und Versand deiner Berichtsanfrage sowie Entgegennahme, Einscannen und Zuordnung der Antwort (Abschnitt 5).

Es findet keine Werbung, kein Tracking zu Marketingzwecken und kein Verkauf von Daten statt. Deine Inhalte werden nicht für das Training von KI-Modellen verwendet.

4. Auftragsverarbeiter und Datenstandorte

Render (Hosting von Anwendung und Datenbank): Verarbeitung und Speicherung in Frankfurt, Deutschland (EU).

Cloudflare R2 (Speicher für hochgeladene Original-Dokumente): Bucket mit EU-Jurisdiktion.

Amazon Web Services, Bedrock (KI-Auswertung): Die Auswertung läuft in einer EU-Region über AWS-eigene Infrastruktur. Ein- und Ausgaben werden dort nicht gespeichert, nicht für Training verwendet und nicht an den Modellanbieter weitergegeben.

Brevo (Versand von Passwort-Reset-E-Mails): Erhält dazu ausschliesslich deine E-Mail-Adresse sowie den Inhalt dieser einen Mail.

Mit allen genannten Anbietern bestehen Auftragsverarbeitungsverträge. Eine Bekanntgabe in Länder ohne angemessenen Datenschutz findet nicht statt.

5. Berichte anfordern: Einsicht durch unser Team

Im Regelfall sieht niemand von uns deine Gesundheitsdaten. Der Zugriff der App auf deine Daten ist technisch an dein Konto gebunden, und Mitarbeitende haben keine Möglichkeit, sich in dein Konto anzumelden oder deine Akte einzusehen. Von diesem Grundsatz gibt es genau eine Ausnahme, und sie tritt nur ein, wenn du sie selbst auslöst:

Wenn du unter "Berichte anfordern" die Option "Selbst anfordern" wählst, bekommen wir nichts zu sehen - der Brief wird nur in deinem Browser erzeugt und du verschickst ihn selbst.

Wählst du dagegen "Durch SafePuls anfordern lassen", beauftragst du uns mit Druck und Versand. Dazu sehen die dafür zuständigen Mitarbeitenden: deinen Namen, dein Geburtsdatum, Name und Adresse der angefragten Stelle sowie den Brief mit deiner Unterschrift. Damit wir dir die Antwort zustellen können, muss sie an uns gehen - der Brief nennt dafür unsere Adresse und unsere E-Mail-Adresse info@safepuls.ch.

Antwortet die Institution per Post, geht die Sendung physisch bei uns ein; wir öffnen und scannen sie, und dabei werden die enthaltenen medizinischen Unterlagen sichtbar. Antwortet sie per E-Mail, landen die Anhänge in unserem internen Posteingang. In beiden Fällen sind die Unterlagen für die zuständigen Mitarbeitenden lesbar - anders lassen sie sich nicht zuordnen.

Anschliessend werden die Unterlagen ausgewertet und mit den wartenden Anfragen abgeglichen. Eingescannte Post wird deinem Konto automatisch hinzugefügt, sofern Name und - falls genannt - Geburtsdatum eindeutig auf genau eine Anfrage passen. Bei E-Mails geschieht das bewusst nicht automatisch: An eine E-Mail-Adresse kann jede und jeder schreiben, deshalb muss dort zusätzlich eine Person die Zuordnung bestätigen. Passt nichts eindeutig, wird nicht geraten - die Sendung bleibt liegen, bis sie von Hand zugeordnet wird.

Sobald die Zuordnung erfolgt ist, wird unsere interne Kopie des Scans gelöscht; die Unterlagen liegen ab dann ausschliesslich in deinem Konto und unterstehen wieder ausschliesslich deiner Kontrolle. Jeder Zugriff von Mitarbeitenden auf diese Daten wird protokolliert. Team-Konten sind vom Kontosystem der Nutzerinnen und Nutzer vollständig getrennt.

6. Weitergabe an Dritte

Eine Weitergabe deiner Gesundheitsdaten an Dritte erfolgt ausschliesslich, wenn du sie selbst aktiv auslöst - etwa über einen von dir erstellten, zeitlich befristeten Freigabe-Link für eine Ärztin oder einen Arzt. Solche Freigaben kannst du jederzeit widerrufen.

Beauftragst du uns mit dem Versand einer Berichtsanfrage (Abschnitt 5), enthält der Brief an die angefragte Stelle deinen Namen, deine Unterschrift und unsere Adresse als Rückantwortadresse. Das ist keine Weitergabe an einen unbeteiligten Dritten, sondern der Inhalt genau der Anfrage, die du stellen wolltest.

7. Speicherdauer und Löschung

Deine Daten bleiben gespeichert, solange dein Konto besteht. Einzelne Einträge und Dokumente kannst du jederzeit in der App löschen; die Löschung umfasst auch die Originaldatei im Objektspeicher.

Bei Kontolöschung (Einstellungen → Konto löschen) werden sämtliche Daten unwiderruflich entfernt - Datenbankeinträge und gespeicherte Dokumente, einschliesslich deiner Berichtsanfragen und der daraus entstandenen Unterlagen.

Eine über uns angeforderte Sendung, die sich nicht zuordnen liess, bleibt bis zur Bearbeitung in unserem internen Posteingang. Konnten wir sie keinem Konto zuweisen, besteht auch kein Bezug zu einem gelöschten Konto mehr; im Übrigen kannst du ihre Löschung jederzeit unter der oben genannten Adresse verlangen.

8. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung und Datenherausgabe. Export (maschinenlesbar) und Kontolöschung stehen dir direkt in den Einstellungen der App zur Verfügung; für alles Weitere genügt eine Nachricht an die oben genannte Kontaktadresse.

Deine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen, indem du dein Konto löschst. Zudem kannst du dich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) beschweren.

9. Cookies und Sicherheit

Wir verwenden ausschliesslich technisch notwendige Cookies (Sitzung als httpOnly-Cookie, Sprachwahl). Es gibt keine Analyse- oder Werbe-Cookies.

Die Übertragung erfolgt durchgehend verschlüsselt (TLS). Passwörter werden mit Argon2 gehasht, der Kontozugriff ist durch Ratenbegrenzung, Kontosperre und optionale Zwei-Faktor-Authentifizierung geschützt.

In der Datenbank ist jeder Datensatz fest an ein Konto gebunden; die Datenbank selbst weist Zugriffe ausserhalb des angemeldeten Kontos zurück. Konten unseres Teams (Abschnitt 5) sind ein davon getrenntes System mit eigener Anmeldung und eigenen Schlüsseln - eine Anmeldung im einen System ist im anderen wirkungslos.