Datenschutzerklärung

1. Wer wir sind & unsere zwei Rollen

Clinika OS wird betrieben von Lopes2Tech, Einzelunternehmen von Paulo Lopes, Riemenstrasse 1a, 8803 Rüschlikon, Schweiz („wir"). Unsere Datenschutzrolle hängt von den Daten ab:

Für Klinik-Konto-, Nutzer- und Abrechnungsdaten sind wir Verantwortlicher. Für die Patienten- und klinischen Daten, die eine Klinik in die Plattform eingibt (Termine, Kontaktdaten, klinische Notizen, Aufnahme, Einwilligung, Behandlungspläne), ist die Klinik der Verantwortliche und wir handeln nur als Auftragsverarbeiter, ausschliesslich nach den dokumentierten Weisungen der Klinik gemäss unserem Auftragsverarbeitungsvertrag (siehe unten).

Kontakt: hello@clinika-os.ch

2. Welche Daten wir erheben

Wir erheben folgende Kategorien personenbezogener Daten:

• Kontodaten (Verantwortlicher): Name, E-Mail, gehashtes Passwort, Klinikname, Rolle
• Klinik- & Abrechnungsdaten (Verantwortlicher): Klinikname, Adresse, Zeitzone, Abo- und Zahlungsdaten
• Patienten-/klinische Daten (Auftragsverarbeiter für die Klinik): Identität und Kontaktdaten der Klienten, Termindaten und — sofern die Klinik diese Funktionen aktiviert — klinische Aufzeichnungen, die Gesundheitsdaten darstellen (besondere Kategorie, siehe §3)
• Nutzungs- & Sicherheitsdaten (Verantwortlicher): Zugriffsprotokolle, Browser- und Gerätetyp, Fehlerprotokolle

3. Rechtsgrundlagen (einschliesslich Gesundheitsdaten)

Als Verantwortlicher stützen wir uns auf Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), berechtigte Interessen (Art. 6 Abs. 1 lit. f — Sicherheit, Betrugsprävention, Serviceverbesserung), rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) und Einwilligung (Art. 6 Abs. 1 lit. a) für Analyse-Cookies.

Gesundheitsdaten sind eine besondere Kategorie nach Art. 9 DSGVO, besonders schützenswerte Personendaten nach dem revidierten Schweizer DSG (revDSG/revFADP) und in Portugal zusätzlich durch die Lei n.º 58/2019 geregelt. Werden klinische/Gesundheitsdaten verarbeitet, ist die Klinik (als Verantwortlicher) für die Bedingung der besonderen Kategorie zuständig — in der Regel Art. 9 Abs. 2 lit. h (Gesundheitsversorgung unter Verantwortung einer Fachperson) und/oder die ausdrückliche Einwilligung des Patienten (Art. 9 Abs. 2 lit. a). Wir verarbeiten diese Daten nur als Auftragsverarbeiter nach Weisung der Klinik.

4. Speicherung und Sicherheit

Alle Klinik- und Patientendaten werden auf Servern in der Schweiz gespeichert (Supabase, Region Zürich). Wir nutzen Verschlüsselung bei der Übertragung (TLS 1.2+) und im Ruhezustand (AES-256) sowie Row-Level-Security zur Isolierung der Daten jeder Klinik. Wo Auftragsverarbeiter ausserhalb der Schweiz/des EWR tätig sind, sind Übermittlungen durch geeignete Garantien abgedeckt — Standardvertragsklauseln und, für zertifizierte US-Anbieter, das EU–US Data Privacy Framework (siehe §7).

5. Aufbewahrung

Konto- & Abrechnungsdaten (wir sind Verantwortlicher): für die Dauer des Abos zuzüglich der gesetzlich erforderlichen Frist (bis zu 10 Jahre, z. B. Art. 958f OR). Patienten-/klinische Daten (die Klinik ist Verantwortlicher): die Aufbewahrung wird von der Klinik konfiguriert und gesteuert nach dem für sie geltenden Recht — für portugiesische Kliniken ist dies das portugiesische Recht zu Krankenakten und Steuern, nicht Schweizer Recht. Wir halten solche Daten, solange das Konto aktiv ist, und löschen oder geben sie bei Beendigung gemäss unserem AVV zurück. Fehlerprotokolle werden nach 30 Tagen gelöscht.

6. Ihre Rechte

Nach DSGVO, revidiertem Schweizer DSG und — in Portugal — Lei n.º 58/2019 können Sie auf Ihre Daten zugreifen, sie berichtigen, löschen, einschränken, übertragen und Widerspruch einlegen sowie die Einwilligung widerrufen. Für Kontodaten kontaktieren Sie uns. Für Patienten-/klinische Daten richten Sie die Anfrage an die Klinik (den Verantwortlichen); wir unterstützen die Klinik als deren Auftragsverarbeiter. Wir antworten innert 30 Tagen.

Kontakt: hello@clinika-os.ch

7. Auftragsverarbeiter

Wir setzen folgende Auftragsverarbeiter unter Datenverarbeitungsverträgen ein:

• Supabase (Zürich, Schweiz): Datenbank, Authentifizierung und Dateispeicher
• Vercel: Anwendungshosting und CDN
• Stripe (US — Data Privacy Framework): Zahlungsabwicklung
• Resend (US): transaktionaler E-Mail-Versand
• Twilio (US): SMS-Terminbenachrichtigungen (sofern eine Klinik SMS aktiviert)
• Sentry (US): Fehlerüberwachung (anonymisiert)
• Google Analytics / Vercel Analytics: ausschliesslich Website-Analyse (einwilligungsbasiert / cookielos)

Wir führen eine aktuelle Liste der Auftragsverarbeiter und informieren Verantwortliche gemäss AVV über Änderungen.

8. Cookies

Unbedingt erforderliche Cookies (Sitzung und Authentifizierung auf der Plattform) können nicht deaktiviert werden. Analyse-Cookies (Website, nur mit Einwilligung): Google Analytics 4, nur bei Zustimmung über das Banner gesetzt; jederzeit widerrufbar. Leistungsüberwachung: Vercel Analytics — anonymisiert, ohne Cookies.

9. Meldung von Datenschutzverletzungen

Bei einer Verletzung mit Risiko für Personen benachrichtigen wir den Schweizer EDÖB und, wo einschlägig, die zuständige EU/EWR-Behörde (z. B. die CNPD in Portugal) innert 72 Stunden und informieren betroffene Personen bei hohem Risiko. Als Auftragsverarbeiter benachrichtigen wir die betroffene(n) Klinik(en) unverzüglich. Wir führen ein internes Verletzungsregister.

10. Aufsichtsbehörden, DSB & Beschwerden

Sie können sich bei Ihrer lokalen Behörde beschweren — in der Schweiz beim EDÖB (www.edoeb.admin.ch); in Portugal bei der CNPD (www.cnpd.pt); oder Ihrer lokalen EU/EWR-Behörde.

Die Notwendigkeit eines Datenschutzbeauftragten prüfen wir laufend; da wir Gesundheitsdaten im Auftrag von Kliniken verarbeiten, bestellen wir einen, sobald erforderlich. Kliniken bleiben für ihre eigenen DSB-Pflichten verantwortlich.

11. Auftragsverarbeitungsvertrag

Unsere Verarbeitung von Patienten-/klinischen Daten im Auftrag der Kliniken richtet sich nach unserem Auftragsverarbeitungsvertrag (Art. 28 DSGVO), der Teil der Nutzungsbedingungen ist.

12. Änderungen & Kontakt

Wesentliche Änderungen werden Kontoinhabern mindestens 14 Tage im Voraus mitgeteilt. Kontakt: hello@clinika-os.ch