Datenschutzerklärung

Azygos GmbH, Hauptstrasse 53a, 6045 Meggen, Schweiz UID CHE-269.652.509, Handelsregister des Kantons Luzern

Allgemein: info@azygos.ch · https://azygos.ch

1. Grundsätzliches

1.1 Diese Erklärung gilt für die AZYGOS-Plattform, den AI Case Builder, unsere Website, Kontaktaufnahmen, Umfragen und Live-Sessions. Sie ergänzt unsere Allgemeinen Geschäftsbedingungen.

1.2 Die Plattform richtet sich an Medizinstudierende in der Schweiz. Diese Erklärung stützt sich auf das Schweizer Datenschutzgesetz (revDSG).

1.3 Wir bearbeiten Personendaten nach den Grundsätzen von Art. 6 revDSG: rechtmässig, nach Treu und Glauben, verhältnismässig, für den jeweils angegebenen Zweck und nur so lange, wie es dafür erforderlich ist.

1.4 Datenschutzbezogene Anfragen beantworten wir in der Regel innerhalb von 30 Tagen.

2. Weitergabe deiner Daten

2.1 Kenntnis von deinen Daten erhalten nur Mitarbeitende, die mit der technischen, kaufmännischen oder redaktionellen Betreuung befasst sind.

Darüber hinaus setzen wir Auftragsbearbeiter ein: IT-Dienstleister für Hosting, Datenbank, E-Mail-Versand und Fehleranalyse sowie KI-Anbieter für die Fallgenerierung (siehe Ziff. 5). Mit ihnen bestehen Vereinbarungen nach Art. 9 revDSG.

Daneben nutzen wir Dienste, deren Anbieter für ihre eigene Bearbeitung selbst verantwortlich sind, insbesondere für die Anmeldung über ein Konto bei einem Identitätsanbieter. Beide Gruppen sind in Ziff. 7 getrennt aufgeführt.

2.2 Nutzt du die Plattform über eine Lizenzvereinbarung mit einer Bildungsinstitution, gilt für die Weitergabe an diese Institution primär, was in der Lizenzvereinbarung geregelt ist. Soweit dort nichts anderes vereinbart ist, erhält sie ausschliesslich aggregierte Nutzungsstatistiken ohne individuelle Zuordnung. Über eine weitergehende Übermittlung informieren wir dich vorgängig.

2.3 Ein Teil unserer Dienstleister hat seinen Sitz in den USA oder bearbeitet Daten auch ausserhalb der Schweiz und des Europäischen Wirtschaftsraums. Für Staaten, für die der Bundesrat einen angemessenen Datenschutz festgestellt hat, stützen wir uns auf diese Feststellung. Für die übrigen Staaten stützen wir uns auf die vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten anerkannten Standardvertragsklauseln oder, soweit das Unternehmen zertifiziert ist, auf das Swiss-US Data Privacy Framework. Verarbeitungsort und Garantie stehen bei jedem Dienstleister in Ziff. 7.

2.4 An Behörden und Gerichte geben wir Daten weiter, soweit wir gesetzlich dazu verpflichtet sind. Bei Umstrukturierung, Verkauf oder Fusion können Daten an Rechtsnachfolger übergehen; wir informieren dich rechtzeitig.

3. Welche Daten wir bearbeiten

3.1 Kontodaten. Bei der Registrierung erheben wir Vor- und Nachname, E-Mail-Adresse, Passwort (nur als Hash gespeichert), Universität, akademische Rolle und Studienjahr. Meldest du dich über SWITCH edu-ID oder Google an, erhalten wir diese Angaben von dort. Bei der Registrierung und bei jeder Anmeldung speichern wir zusätzlich Zeitpunkt und IP-Adresse zum Schutz vor Missbrauch.

3.2 Nutzungs- und Leistungsdaten. Wir bearbeiten, welche Übungen du absolvierst, in welcher Rolle du an einer Session teilnimmst, die Bewertungen des Examinators sowie die daraus berechneten Punkte und Zeitstempel. Innerhalb einer Session sind die Bewertungen für alle Teilnehmenden sichtbar.

Aus diesen Daten berechnen wir automatisiert Leistungsauswertungen. Dies ist Profiling im Sinne von Art. 5 lit. f revDSG und dient deinem Lernfortschritt. Automatisierte Einzelentscheidungen mit Rechtsfolgen treffen wir nicht.

Live-Sessions zeichnen wir weder in Ton noch in Bild auf.

3.3 Inhalte, die du eingibst. Dazu gehören deine Eingaben im AI Case Builder und die daraus erzeugten Fallinhalte, deine Antworten auf Feedback-Fragen und Umfragen sowie Nachrichten, die du uns über das Kontaktformular oder per E-Mail schickst. Zur Bearbeitung durch KI-Dienste siehe Ziff. 5; für fertiggestellte Fälle gilt AGB Ziff. 6.

Feedback veröffentlichen wir ohne Namensnennung (z.B. «Medizinstudentin, Universität Bern») gestützt auf unser überwiegendes Interesse. Eine Veröffentlichung mit Vornamen und Initial (z.B. «Anna M., Universität Bern») erfolgt nur mit deiner ausdrücklichen Einwilligung über eine gesonderte, nicht vorausgefüllte Checkbox. Du kannst diese Einwilligung jederzeit widerrufen.

Bis zum Start der Plattform konnten sich Interessierte für eine Benachrichtigung eintragen. Nach dem Versand dieser Benachrichtigung löschen wir die Adressen oder überführen sie bei einer Registrierung in dein Konto.

3.4 Technische Protokolldaten. Beim Aufruf unserer Seiten übermittelt dein Browser IP-Adresse, Zeitpunkt, aufgerufene Seite, Statuscode, Datenmenge, Referrer sowie Browser- und Betriebssystemangaben. Wir bearbeiten diese Daten für Betrieb und Sicherheit der Plattform. Tritt ein Fehler auf, kommen die in Ziff. 4.3 beschriebenen Daten dazu.

3.5 Besonders schützenswerte Personendaten. Wir erheben keine besonders schützenswerten Personendaten im Sinne von Art. 5 lit. c revDSG. Die in Fällen enthaltenen medizinischen Angaben sind fiktiv und beziehen sich nicht auf reale Personen.

3.6 Minderjährige. Unsere Plattform richtet sich an volljährige Personen. Erhalten wir Kenntnis davon, dass eine minderjährige Person ohne Zustimmung der Erziehungsberechtigten Daten übermittelt hat, löschen wir diese umgehend.

4. Cookies und Analyse

4.1 Technisch erforderlich und ohne Einwilligung verwendet: Session-Cookies für den Login-Status, Sicherheits-Cookies gegen Cross-Site-Request-Forgery, die lokale Speicherung deiner Sprach- und Oberflächeneinstellungen sowie ein lokaler Eintrag, mit dem wir uns merken, dass dir der Hinweis auf diese Erklärung bereits angezeigt wurde. Wir setzen keine Werbe- oder Tracking-Cookies ein.

4.2 Vercel Web Analytics. Wir werten die Plattformnutzung statistisch aus, ohne Cookies zu setzen und ohne personenbezogene Profile zu bilden. Erfasst werden Seitenaufrufe, Besucherzahl, Region auf Länderebene, Gerätetyp, Browser und Referrer. IP-Adressen werden gehasht. Eine Wiedererkennung über den Tag hinaus findet nicht statt.

4.3 Fehleraufzeichnung. Tritt ein technischer Fehler auf, übermittelt Sentry eine Aufzeichnung des Sitzungsablaufs, damit wir nachvollziehen können, wie es dazu kam. Aufgezeichnet werden der zeitliche Ablauf der Bedienung und technische Zustände der Anwendung, einschliesslich der Sekunden unmittelbar vor dem Fehler. Es handelt sich nicht um eine Bild- oder Tonaufnahme. Texte und Eingaben werden maskiert und erscheinen als graue Platzhalter; Bilder und eingebettete Medien sind blockiert. Im fehlerfreien Betrieb wird nichts aufgezeichnet. Die Aufzeichnungen werden in der EU verarbeitet.

5. KI-gestützte Funktionen

5.1 Für den AI Case Builder setzen wir KI-Modelle externer Anbieter ein. Die Anfragen erfolgen serverseitig, nie von deinem Endgerät. Welche Anbieter dabei Personendaten bearbeiten und wo dies geschieht, steht in Ziff. 7.

5.2 Deine Eingaben im AI Case Builder werden nicht für das Training von Sprachmodellen verwendet.

5.3 Die erstellten Fälle sind fiktiv. Gib keine Daten realer Personen ein, insbesondere keine echten Patientendaten (siehe AGB Ziff. 4.2 und 6.6). Wir weisen dich im Eingabefeld darauf hin.

6. Datensicherheit

Die Kommunikation deines Browsers mit unseren Diensten erfolgt über eine verschlüsselte TLS-Verbindung. Passwörter speichern wir ausschliesslich als Hash. Nur ausgewählte Administratoren haben Einblick in die Daten, und nur soweit dies zur Aufrechterhaltung der Dienste erforderlich ist.

Darüber hinaus setzen wir geeignete technische und organisatorische Massnahmen ein, um deine Daten vor Manipulation, Verlust, Zerstörung und unbefugtem Zugriff zu schützen. Unsere Sicherheitsmassnahmen überprüfen wir laufend.

7. Eingesetzte Dienstleister

7.1 Auftragsbearbeiter (Vereinbarung nach Art. 9 revDSG)

Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA Hosting, Content Delivery Network, Web Analytics und Vermittlung der KI-Anfragen. Server-Funktionen in Frankfurt; auf den global verteilten Knoten werden ausschliesslich statische Inhalte ausgeliefert. Swiss-US Data Privacy Framework. https://vercel.com/legal/privacy-notice

Supabase Inc., 970 Toa Payoh North #07-04, Singapur 318992 Datenbank und Authentifizierung. Server in Zürich. Standardvertragsklauseln. https://supabase.com/privacy

Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA Versand transaktionaler E-Mails. Server in der EU, Versanddomäne mail.azygos.ch. Standardvertragsklauseln. https://resend.com/legal/privacy-policy

Functional Software, Inc. d/b/a Sentry, 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA Erkennung und Analyse technischer Fehler, siehe Ziff. 4.3. Server in der EU. Standardvertragsklauseln. https://sentry.io/privacy/

Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland Bereitstellung der KI-Modelle für den AI Case Builder sowie E-Mail und Bürokommunikation. E-Mail und Bürokommunikation werden in der EU bearbeitet.

Die Anfragen an die KI-Modelle können, ohne Speicherung und ohne Verwendung für das Training von Modellen, in Rechenzentren von Microsoft in folgenden Ländern bearbeitet werden:

Für die Bearbeitung in Deutschland, Frankreich, Italien, den Niederlanden, Norwegen, Polen, Schweden, Spanien, Kanada und dem Vereinigten Königreich sowie – soweit die bearbeitende Konzerngesellschaft nach dem Swiss-US Data Privacy Framework zertifiziert ist – in den Vereinigten Staaten stützen wir uns auf die Feststellung des Bundesrats zum angemessenen Datenschutz (Anhang 1 DSV).

Für die Bearbeitung in Australien, Brasilien, Indien, Japan, Südkorea, Südafrika und den Vereinigten Arabischen Emiraten stützen wir uns auf die von Microsoft angebotenen Standardvertragsklauseln.

https://privacy.microsoft.com/privacystatement

7.2 Eigenständig Verantwortliche

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland Anmeldung über Google-Account. https://policies.google.com/privacy

SWITCH, Werdstrasse 2, 8004 Zürich Identitätsmanagement für Schweizer Hochschulen, ausschliesslich Server in der Schweiz. Bei der Anmeldung erfährt der Identitätsanbieter, dass du unseren Dienst nutzt. Wir empfehlen diese Anmeldeoption, da sie vollständig dem Schweizer Recht untersteht. https://www.switch.ch/de/privacy-statement/

LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irland Wir betreiben eine Unternehmensseite auf LinkedIn und erhalten aggregierte Besuchsstatistiken, keine Einzeldaten. https://www.linkedin.com/legal/privacy-policy

8. Löschung

Sofern in dieser Erklärung nicht anders angegeben, löschen wir deine Daten, sobald sie für ihren Zweck nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Werden Daten nicht gelöscht, weil sie für andere gesetzlich zulässige Zwecke erforderlich sind, schränken wir ihre Bearbeitung ein.

Du kannst dein Konto jederzeit selbst löschen oder die Löschung per E-Mail beantragen. Bleibt ein Konto 36 Monate ohne Anmeldung, löschen wir es automatisch; vorher erhältst du eine Erinnerung per E-Mail.

9. Deine Rechte

Du hast das Recht auf unentgeltliche Auskunft über die von uns bearbeiteten Personendaten (Art. 25 revDSG), auf Berichtigung unrichtiger Daten (Art. 32 Abs. 1 revDSG), auf Löschung oder Vernichtung (Art. 32 Abs. 2 revDSG) sowie auf Herausgabe oder Übertragung der von dir bereitgestellten Daten in einem gängigen elektronischen Format (Art. 28 revDSG). Du kannst der Bearbeitung deiner Daten widersprechen (Art. 30 Abs. 2 lit. b revDSG). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Zum Schutz deiner Daten prüfen wir vor der Beantwortung eines Auskunftsbegehrens deine Identität.

Du kannst dich zudem an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten wenden (Feldeggweg 1, 3003 Bern, www.edoeb.admin.ch).

Wende dich für alle datenschutzbezogenen Anliegen an info@azygos.ch.

10. Änderungen

Wir passen diese Erklärung an, wenn sich unsere Dienste oder die Rechtslage ändern. Die aktuelle Fassung findest du unter https://azygos.ch/datenschutz. Bei wesentlichen Änderungen informieren wir registrierte Nutzerinnen und Nutzer per E-Mail mit mindestens 30 Tagen Vorlauf.