Übersetzung zu Informationszwecken. Massgebend ist allein die französische Fassung. Französische Fassung lesen
Fassung vom 8. Oktober 2026Vertrag über die Auftragsbearbeitung
Parteien und Geltung
Dieser Vertrag verbindet Saviano Sàrl, Route du Grand-Lancy 53, c/o COFIGEST SA, 1212 Grand-Lancy, Genève, Suisse («die Auftragsbearbeiterin»), und den Geschäftskunden, der Helvedrive für seine Organisation nutzt («der Verantwortliche»). Er ist Bestandteil der Nutzungsbedingungen, sobald eine Organisation zu geschäftlichen Zwecken erstellt wird. Er entspricht Artikel 9 des Bundesgesetzes über den Datenschutz (DSG) und, wo die europäische Verordnung anwendbar ist, deren Artikel 28 (DSGVO). Eine unterzeichnete Fassung wird auf Anfrage an [email protected] ausgehändigt.
Gegenstand und Dauer
Die Auftragsbearbeiterin speichert, synchronisiert, teilt, prüft und sichert die Dateien und Daten, die der Verantwortliche und seine Benutzer in Helvedrive ablegen, für die Dauer der Nutzung des Dienstes und bis zur nachstehend vorgesehenen Löschung oder Rückgabe.
Daten und betroffene Personen
Die Daten sind jene, die der Verantwortliche ablegen will: Dokumente, Datei- und Ordnernamen, Kundendossiers des Portals und erhaltene Unterlagen sowie Daten der Benutzer der Organisation und der Gäste des Portals (Name, E-Mail-Adresse, Zugriffsprotokoll). Sie können besonders schützenswerte oder einem Berufsgeheimnis unterliegende Daten enthalten; der Verantwortliche entscheidet, was er ablegt.
Weisungen
Die Auftragsbearbeiterin bearbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, wie sie sich aus der Nutzung des Dienstes, seinen Einstellungen und diesem Vertrag ergibt. Sie verwendet die Daten zu keinem anderen Zweck, namentlich nicht für eigene Rechnung, für Werbung oder zum Trainieren eines Modells. Hält sie eine Weisung für rechtswidrig, informiert sie den Verantwortlichen.
Vertraulichkeit
Die zur Arbeit an der Infrastruktur befugten Personen sind zur Vertraulichkeit verpflichtet. Sie greifen nur auf Ersuchen des Verantwortlichen, zur Behebung eines von ihm gemeldeten Vorfalls oder auf gesetzliche Anordnung auf den Inhalt der Dateien zu. Der Inhalt der verschlüsselten Tresore ist ihnen unzugänglich.
Sicherheitsmassnahmen
Hosting in der Schweiz; verschlüsselte Verbindungen (TLS 1.2 oder höher); Verschlüsselung der Dateien im Ruhezustand mit einem dateieigenen Schlüssel, geschützt durch einen getrennten Schlüsseldienst; Ende-zu-Ende-verschlüsselte Tresore; Trennung der Organisationen in der Datenbank; Virenprüfung; Passkeys und Zwei-Faktor-Authentifizierung; Sicherheitsprotokoll pro Organisation; fortlaufende Sicherung der Datenbank und verschlüsselte Kopien der Dateien bei zwei Hostern, mit 30 Tage gegen Löschung gesperrten Kopien; geprüfte Wiederherstellungen; Überwachung und Warnungen. Diese Massnahmen können sich weiterentwickeln, ohne das Schutzniveau zu senken.
Unterauftragsbearbeiter
Der Verantwortliche genehmigt den Beizug der in der Datenschutzerklärung aufgeführten Unterauftragsbearbeiter: Infomaniak Network SA (Hosting, Schweiz), Cloudflare, Inc. (verschlüsselte Sicherungskopie in der Europäischen Union, DNS), Resend, Inc. (Dienst-E-Mails). Die Auftragsbearbeiterin überbindet ihnen gleichwertige Pflichten. Jede Änderung wird mindestens 30 Tage im Voraus angekündigt; der Verantwortliche kann aus berechtigtem Grund widersprechen und mangels Einigung kostenlos kündigen.
Bekanntgabe ins Ausland
Die Dateien werden in der Schweiz bearbeitet. Die verschlüsselte Sicherungskopie ausserhalb der Schweiz befindet sich in der Europäischen Union, deren Datenschutzniveau als angemessen anerkannt ist. Daten, die an US-Unternehmen übermittelt werden (E-Mail-Adressen und Inhalt der Dienst-E-Mails, technische Daten), werden gestützt auf deren vertragliche Garantien übermittelt; keine Datei wird dort unverschlüsselt gespeichert.
Rechte der betroffenen Personen
Die Auftragsbearbeiterin unterstützt den Verantwortlichen bei der Beantwortung von Begehren betroffener Personen: Der Dienst ermöglicht es, Daten zu exportieren, zu berichtigen und zu löschen; im Übrigen beantwortet sie die Begehren des Verantwortlichen innert angemessener Frist.
Verletzungen der Datensicherheit
Die Auftragsbearbeiterin informiert den Verantwortlichen so rasch wie möglich, spätestens 48 Stunden nach Kenntnisnahme, über jede ihn betreffende Verletzung der Datensicherheit, mit den verfügbaren Angaben zu Art, wahrscheinlichen Folgen und getroffenen Massnahmen.
Vertragsende
Am Ende der Nutzung exportiert der Verantwortliche seine Daten. Die Daten der Organisation werden danach gelöscht: sofort im Dienst, wenn die Organisation gelöscht wird, und in den Sicherungen nach Ablauf ihrer Aufbewahrungsfrist von 35 Tagen, nach der keine Kopie mehr lesbar ist.
Kontrolle
Die Auftragsbearbeiterin stellt die Informationen bereit, die zum Nachweis der Einhaltung dieses Vertrags nötig sind (Beschreibung der Massnahmen, Statusseite, Auditberichte, sofern vorhanden), und ermöglicht eine Kontrolle durch den Verantwortlichen oder eine zur Verschwiegenheit verpflichtete Prüfstelle, mit angemessener Vorankündigung und auf dessen Kosten.
Anwendbares Recht
Dieser Vertrag untersteht schweizerischem Recht. Gerichtsstand ist Genf. Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen in Fragen des Datenschutzes vor.