Encounter

Datenschutzerklärung

Entwurf. Die markierten Platzhalter in eckigen Klammern werden vor der Veröffentlichung ergänzt; danach wird dieser Hinweis entfernt.

Stand: [Datum]

Diese Erklärung beschreibt, welche Personendaten Encounter bearbeitet: auf dieser Website, in der Web-App und in der iPad-App. Sie richtet sich nach dem Schweizer Datenschutzgesetz (revDSG).

1. Verantwortliche Stelle

[Verantwortliche Stelle: Name, Adresse]
E-Mail: support@encounterapp.ch

[Prüfen: Rolle der Organisationen, die Encounter nutzen – z. B. ob sie für die Daten ihres Teams und für die Aufnahmen auf ihren iPads selbst verantwortlich sind und wir diese Daten in ihrem Auftrag bearbeiten.]

2. Diese Website

Die Website selbst setzt keine Cookies, verwendet keine Analyse- oder Tracking-Werkzeuge, zeigt keine Werbung und lädt keine Inhalte von Dritten. Sie wird über Firebase Hosting von Google ausgeliefert. Dabei werden technisch notwendige Zugriffsdaten wie IP-Adresse, Zeitpunkt und aufgerufene Adresse bearbeitet, um die Seiten bereitzustellen und den Betrieb zu schützen.

3. Web-App

In der Web-App planen die Teams der Organisationen, die Encounter nutzen, die Termine ihrer Zonen und sehen ihre iPads. Dafür bearbeiten wir:

Die Anmeldung erfolgt ohne Passwort mit einem Link, den Sie per E-Mail erhalten. Dafür nutzen wir Firebase Authentication von Google; dieser Dienst speichert in den USA die E-Mail-Adressen des Personals mit dem Zeitpunkt der Kontoerstellung und der letzten Anmeldung. Die Anmelde-E-Mails werden von noreply@encounterapp.ch über Hostpoint (Schweiz) versendet. Gehört eine Person keinem Standort mehr an, weil sie aus einem Team entfernt oder als Standortleitung ersetzt wurde, wird auch ihr Anmeldekonto gelöscht; für den Hauptadmin, der die Standorte einrichtet, gilt das nicht.

Die Web-App und ihre Datenbank laufen bei Google Cloud in Zürich (Region europe-west6). Im Browser speichert die Web-App die Spracheinstellung, die für die Anmeldung eingegebene E-Mail-Adresse (bis die Anmeldung in diesem Browser abgeschlossen ist), danach die Anmeldesitzung und über Firebase die Nutzungstage, und zwar im Speicher des Browsers (localStorage, IndexedDB), nicht in Cookies. Die Nutzungstage hält der Heartbeat-Dienst von Firebase fest: Er speichert für jeden Nutzungstag das Datum und die Version des Firebase-SDK in IndexedDB und übermittelt sie Google mit den Anfragen an Firebase Authentication.

Google Cloud protokolliert jede Anfrage an die Web-App und an den Server: Zeitpunkt, aufgerufene Adresse, Browser- oder Gerätetyp und IP-Adresse. E-Mail-Adressen sind nicht Teil der aufgerufenen Adressen. Die Protokolle werden [30 Tage] in [Region] aufbewahrt.

4. iPad-App

Ein iPad wird mit dem Code einer Zone eingerichtet: Die App liest den QR-Code mit der Kamera, oder Sie tippen den Code ein. Das Kamerabild wird dabei weder gespeichert noch übermittelt. Bei der Einrichtung sendet das iPad eine zufällige Installationskennung, die App-Version, die iPadOS-Version und das Modell. Danach meldet es regelmässig App-Version, iPadOS-Version, Modell und den letzten Kontakt, damit die Organisation ihre iPads sieht; jedes iPad erhält dafür eine kurze Kennung wie «iPad 7K2QF». Das iPad meldet sich mit einer eigenen Geräteidentität ohne Namen oder E-Mail-Adressen bei Firebase Authentication an und lädt den Plan seiner Zone.

Damit Codes nicht erraten werden können, zählt der Server falsche Codes pro IP-Adresse des Clients (bis 10) und pro Front-End-Adresse (bis 50), jeweils 15 Minuten lang ab dem ersten falschen Code. Diese Zählung liegt nur im Arbeitsspeicher des Servers und verfällt danach.

Aufnahmen, Transkripte und KI-Bewertungen

Die Aufnahme ist optional und wird in den Einstellungen der App eingeschaltet (Zahnrad-Symbol). Das iPad nimmt dann während eines Termins mit Kamera und Mikrofon auf; den Zugriff darauf erlauben Sie zuvor in iPadOS. Die Transkription entsteht auf dem iPad; ihre Sprache wählen Sie ebenfalls in den Einstellungen der App, und die automatische Transkription ist standardmässig eingeschaltet. Die experimentelle KI-Bewertung der therapeutischen Allianz (Bindung, Ziele, Aufgaben) läuft mit Apple Intelligence auf dem iPad.

Aufnahmen, Transkripte und Bewertungen werden nie hochgeladen. Transkription und Bewertung laufen auf dem iPad, nichts davon gelangt an einen Server, und Backups des iPads enthalten sie nicht. Die App löscht sie selbst, sobald das Review geschlossen wird, spätestens vor dem ersten Signal des nächsten Termins (oder 30 Minuten nach Ende des Termins, wenn an diesem Tag kein weiterer folgt). Zudem löscht die App sie bei jedem Start auf einem eingerichteten iPad und immer dann, wenn sie in den Hintergrund wechselt.

5. Dienstleister und Datenstandorte

Daten werden damit auch in die USA und über das weltweite Servernetz von Firebase Hosting bekanntgegeben. [Garantie für die Bekanntgabe ins Ausland ergänzen, z. B. Swiss-U.S. Data Privacy Framework oder Standardvertragsklauseln – prüfen]

6. Kontakt per E-Mail

Wenn Sie an support@encounterapp.ch schreiben, bearbeiten wir Ihre E-Mail-Adresse und Ihre Nachricht, um Ihnen zu antworten.

7. Zweck und Aufbewahrung

Wir bearbeiten diese Daten nur, um Encounter bereitzustellen und zu schützen: für die Anmeldung, die Planung, die Anzeige auf den iPads und die Übersicht der iPads. Encounter selbst betreibt kein Tracking, keine Analyse und keine Werbung; zum Heartbeat-Dienst von Firebase siehe Abschnitt 3.

[Aufbewahrungsdauer ergänzen: Teamdaten und Anmeldekonten, Pläne, iPad-Einträge]

8. Ihre Rechte

Nach dem revDSG können Sie Auskunft über Ihre Personendaten verlangen, unrichtige Daten berichtigen und Daten löschen lassen, der Bearbeitung widersprechen und die Herausgabe Ihrer Daten verlangen. Schreiben Sie dazu an support@encounterapp.ch; als Teammitglied können Sie sich auch an Ihre Standortleitung wenden. Zudem können Sie sich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden.

9. Änderungen

Wir passen diese Erklärung an, wenn sich Encounter ändert. Es gilt die auf dieser Seite veröffentlichte Fassung.