Datenschutzerklärung

Verantwortlich für die Datenbearbeitung im Sinne dieser Erklärung ist:

CorVpoint STUDIO Sylvain Sébastian Amiet Le Centre 29 1784 Courtepin Schweiz

E-Mail: info@CorVpoint.ch

Diese Erklärung gilt für die öffentliche Website CorVpoint.ch, für Kontakt- und Projektanfragen, für das Kundenportal, soweit es genutzt wird, sowie für die eigene Geschäftsadministration von CorVpoint.

CorVpoint ist Verantwortlicher für Website-, Interessenten-, Kunden- und eigene Geschäftsdaten. Wird CorVpoint in einem Projekt als Auftragsbearbeiter für Personendaten des Kunden tätig, erfolgt dies nur aufgrund einer gesonderten Vereinbarung, typischerweise eines Auftragsbearbeitungsvertrags beziehungsweise Data Processing Agreement. Diese Website-Erklärung ersetzt einen solchen Vertrag nicht.

Massgeblich ist das schweizerische Datenschutzrecht, insbesondere das Bundesgesetz über den Datenschutz (DSG, SR 235.1) und die Datenschutzverordnung (DSV, SR 235.11).

Die Datenschutz-Grundverordnung der EU kann zusätzlich greifen, wenn CorVpoint Personen im EWR gezielt Leistungen anbietet oder ihr Verhalten auf der Website beobachtet (Art. 3 DSGVO). Die Website ist in Deutsch, Französisch, Italienisch und Englisch erreichbar und nimmt Projektanfragen aus dem Ausland entgegen. Für solche Fälle nennt diese Erklärung ergänzend DSGVO-Grundlagen und Rechte, ohne zu behaupten, jedes Datenschutzgesetz weltweit gelte automatisch.

Bearbeitet werden insbesondere:

• Stammdaten und Kontaktdaten, etwa Name, Firma, Adresse, E-Mail, Telefonnummer, soweit mitgeteilt
• Kommunikations- und Projektdaten aus Formularen, Briefings, Anhängen, E-Mails und Portalnachrichten
• Kontodaten für Login, Rollen, Passwort-Reset und Sitzungen
• Angebots-, Vertrags-, Rechnungs- und Zahlungsmetadaten, einschliesslich Status, Zeitpunkte, Dokumentversionen, Hashes oder Snapshots und Provider-Referenzen
• technische Nutzungs- und Sicherheitsdaten, etwa IP-Adresse, User-Agent, Referrer, Zeitpunkt, aufgerufene Ressource und interne Prüfnotizen
• bei konfigurierter IP-Zuordnung grobe Standortangaben auf Ebene Land, Region oder Stadt

Quellen sind Ihre Angaben, technische Protokolle der Website, Zahlungsbestätigungen des Zahlungsdienstleisters sowie interne administrative Erfassungen. CorVpoint kauft keine Adresslisten und betreibt kein Marketing-Profiling.

Die Website wird auf eigener Infrastruktur in einem gemieteten Serverumfeld betrieben. Beim Aufruf entstehen technisch notwendige Verbindungsdaten, um Seiten auszuliefern, Fehler zu erkennen und Missbrauch abzuwehren.

Eine dauerhafte Speicherung jedes einzelnen Seitenaufrufs als Marketingprofil findet nicht statt.

Für Stabilität, Missbrauchsabwehr und Nachvollziehbarkeit können Server-, Zugriffs-, Fehler- und Auditlogs IP-Adresse, User-Agent, Referrer, Zeitpunkt und intern gesetzte Sicherheitsmerkmale enthalten.

Eine optionale IP-Zuordnung zu groben Geodaten erfolgt nur, wenn sie serverseitig konfiguriert ist. Besucherlogs unterliegen einer kapazitätsgesteuerten Aufbewahrung. Gesperrte oder besonders risikorelevante Einträge können länger behalten werden, soweit dies für Sicherheit erforderlich ist.

Wenn Sie das Kontaktformular, das Projektbriefing oder einen Upload nutzen, bearbeitet CorVpoint die von Ihnen eingegebenen Angaben, Anhänge, Locale, Seitenbezug, eine technische Captcha-Prüfung sowie Absender-IP und Browser-Metadaten zur Anfragebearbeitung und Missbrauchsabwehr.

Die Übermittlung ist freiwillig. Ohne bestimmte Angaben kann eine Anfrage nicht vollständig bearbeitet werden. Bitte senden Sie nur Daten, die für das Anliegen nötig sind. Besonders schützenswerte Daten sollen nicht unaufgefordert übermittelt werden.

Für ein Kundenkonto werden Benutzername oder E-Mail, Passwort-Hash, Rolle, Aktivierungsstatus und Sitzungsdaten bearbeitet. Ein Passwort-Reset speichert zeitlich begrenzte Token-Hashes, in der Regel für eine Stunde.

Das Session-Cookie ist httpOnly, sameSite=lax und gilt sieben Tage. Portalnachrichten und Projektstatus bleiben an das Konto gebunden.

Für Offerten, digitale Annahmen, Rechnungen, Anzahlungen, Meilensteine und Projektstart-Gates werden Vertrags- und Rechnungsdaten, Status, Zeitpunkte, IP- und Browser-Metadaten bei Online-Annahme, Dokumentversionen, Hashes oder Snapshots, Provider-IDs und interne Prüfnotizen bearbeitet.

CorVpoint speichert keine Karten-, TWINT- oder Bankdaten. Zahlungen können über Stripe Checkout erfolgen. Zahlungsstatus werden nur aus serverseitig geprüften Provider-Meldungen, Webhooks, Administrationsnachweisen oder dokumentierten manuellen Prüfungen abgeleitet. Rückkehrseiten nach einer Zahlung dienen nur der Nutzerführung.

System- und Anfragenachrichten werden über SMTP versendet. Je nach Konfiguration kann dies ein Mailhost des Serveranbieters sein. Inhalt, Empfänger und technische Zustellprotokolle der jeweiligen Nachricht werden zur Kommunikation und Nachvollziehbarkeit bearbeitet.

Offene E-Mail-Wege können Sicherheitslücken aufweisen. Besonders vertrauliche Unterlagen sollen nur über den ausdrücklich vorgesehenen Weg gesendet werden.

Die freiwilligen Tools unter Projekte, Kostenlose Checks, verarbeiten Daten nur zweckgebunden:

• Beim Internet-Speedtest werden Messwerte im Browser berechnet. Für Rate-Limits können IP-Adresse, Zeitpunkt und Datenmenge kurzzeitig serverseitig verarbeitet werden. Es entsteht kein dauerhaftes persönliches Messergebnis.
• Beim Website-Sicherheitscheck wird die eingegebene öffentliche URL einmalig serverseitig abgefragt. Domain, Einzelergebnisse und vollständige Antwort-Header werden nicht dauerhaft gespeichert und nicht in Marketingprofile übernommen.

Beide Tools erfordern kein Konto.

Veröffentlichte News-Beiträge können in der Sitemap erscheinen. Ein Newsletter-Abonnement ist derzeit nicht eingerichtet.

Social-Media-Symbole im Footer werden nur verlinkt, wenn eine Adresse gesetzt ist. Beim Verlassen der Website gelten die Regeln des jeweiligen Dienstes. Es werden keine Social-Plugins, Tracking-Pixel oder Werbenetzwerke von dieser Website geladen.

Auf der öffentlichen Website läuft derzeit kein Besucher-Chatbot und keine automatische Veröffentlichung AI-erzeugter Seiteninhalte.

In Projekten kann CorVpoint AI- oder Automatisierungswerkzeuge zur Analyse, Strukturierung oder Text-, Code- und Datenhilfe einsetzen, wenn dies sinnvoll und vereinbart ist. Vertrauliche Kundendaten werden nicht unkontrolliert an externe Modelle übergeben. Besondere Geheimhaltungs- oder Branchenanforderungen müssen vorab mitgeteilt werden.

Derzeit werden keine Analyse-, Werbe- oder Social-Tracker und keine Drittanbieter-Marketing-Cookies eingesetzt. Ein Einwilligungsbanner ist deshalb nicht eingerichtet. Ablehnen durch Weitersurfen wird nicht als Einwilligung behandelt.

Technisch notwendige Erstanbieter-Mechanismen sind:

• corvpoint_session: Anmeldung für Administration oder Kundenportal, httpOnly, 7 Tage
• corvpoint_preferred_locale: Sprachwahl, Cookie und localStorage, 1 Jahr
• corvpoint_admin_locale: Sprache der Administration, 1 Jahr, nur Admin
• cp_template_preview: signiertes Vorschaucookie für Vorlagen, 8 Stunden, nur Admin
• Kontakt-Captcha: kurzlebiger HMAC im Formular, 15 Minuten

Diese Zugriffe dienen Betrieb, Sicherheit, Sprache oder einer ausdrücklich gestarteten Admin-Vorschau. Werden später nicht notwendige Tracker eingeführt, werden sie vor Einwilligung nicht geladen.

Zusätzlich zum Cookie-Einsatz verwendet die Website localStorage für die öffentliche Theme-Wahl (CorVpoint-theme) und getrennt davon für das Admin-Erscheinungsbild. sessionStorage kann die Rückkehrsprache nach einem Admin-Logout merken.

Demo-Schichten können eigene localStorage- oder sessionStorage-Schlüssel nutzen. Sie sind nicht die produktive Kundenverarbeitung. IndexedDB und Cache Storage werden für die öffentliche Website derzeit nicht als Datenverarbeitung eingesetzt.

Personendaten werden nicht verkauft. Eine Bekanntgabe erfolgt nur, soweit erforderlich, an:

• Hosting- und Infrastrukturdienstleister
• E-Mail- beziehungsweise SMTP-Dienst
• Zahlungsdienstleister, derzeit Stripe Checkout, soweit eine Zahlung ausgelöst wird
• optional einen IP-Informationsdienst, nur wenn serverseitig aktiviert
• Behörden oder Gerichte bei rechtlicher Pflicht

Stripe kann Daten in der Schweiz, im EWR oder in weiteren Staaten verarbeiten. Es gelten ergänzend die Bedingungen von Stripe. CorVpoint erhält Zahlungsstatus und Provider-Referenzen, nicht die vollständigen Kartendaten.

Betrieb und primäre Speicherung erfolgen im schweizerischen Serverumfeld, soweit die eingesetzte Infrastruktur dies abbildet.

Übermittlungen in den EWR können auf Angemessenheit oder auf vertragliche Grundlagen gestützt sein. Übermittlungen in die USA, insbesondere im Zusammenhang mit Stripe, erfolgen nur soweit der betreffende Dienst eingesetzt wird und nur unter den dann geltenden Transferregeln des Dienstes. Standardvertragsklauseln oder ein Swiss Addendum werden hier nur genannt, soweit sie für den konkreten Dienst tatsächlich verwendet werden. Eine pauschale Aussage über alle möglichen künftigen Tools wird nicht getroffen.

Es gelten getrennte Logiken:

• Gesetzliche Aufbewahrung für Geschäftsbücher, Verträge und Rechnungen nach schweizerischem Obligationen- und Steuerrecht, typischerweise zehn Jahre, soweit einschlägig
• Anfragen, Briefings und Uploads: solange für Bearbeitung, Offerte, Vertrag oder Nachweis nötig; keine automatische Löschfrist im laufenden System, Löschung über Administration möglich
• Passwort-Reset-Token: eine Stunde
• Session: sieben Tage
• Captcha: fünfzehn Minuten
• Besucherlogs: kapazitätsgesteuert, mindestens 24 Stunden, sofern nicht sicherheitsrelevant
• temporäre Upload-Fragmente: zwei Stunden

Nach Zweckende werden Daten gelöscht, anonymisiert oder in der Bearbeitung eingeschränkt, soweit keine gesetzliche oder beweisbezogene Grundlage fortbesteht.

CorVpoint trifft angemessene technische und organisatorische Massnahmen, darunter Zugriffskontrollen, Sitzungsschutz, serverseitige Formular- und Upload-Prüfung, Rate-Limits und Protokollierung sicherheitsrelevanter Ereignisse.

Eine absolute Sicherheit elektronischer Kommunikation wird nicht zugesichert.

Bei einer Verletzung der Datensicherheit prüft CorVpoint, ob nach DSG eine Meldung an den EDÖB und eine Information betroffener Personen erforderlich ist, insbesondere bei voraussichtlich hohem Risiko für Persönlichkeit oder Grundrechte.

Soweit die DSGVO greift, gelten deren Meldefristen ergänzend. Es wird kein Erfolg versprochen.

Nach schweizerischem Recht können Sie insbesondere Auskunft, Berichtigung, Löschung oder Einschränkung verlangen, Widerspruch erheben, soweit vorgesehen, und eine Einwilligung mit Wirkung für die Zukunft widerrufen.

Soweit die DSGVO greift, kommen die Rechte der Art. 12 bis 22 DSGVO hinzu, einschliesslich Datenübertragbarkeit, soweit einschlägig. Zur Identitätsprüfung können geeignete Nachweise verlangt werden. Anträge richten Sie an info@CorVpoint.ch.

Sie können sich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) beschweren, soweit dieser zuständig ist.

Personen im EWR können sich zusätzlich an die Aufsichtsbehörde ihres Wohnsitz-, Arbeits- oder Verletzungsortes wenden. Eine konkrete ausländische Behörde wird hier nicht als zuständig bezeichnet, weil dies vom Einzelfall abhängt.

CorVpoint trifft auf dieser Website keine automatisierten Einzelentscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung. Commerce-Gates und Sicherheitsprüfungen unterstützen die Bearbeitung, ersetzen aber keine menschliche Entscheidung über Vertrag oder Ablehnung.

Das Angebot richtet sich nicht an Kinder. Besonders schützenswerte Personendaten sollen nicht unaufgefordert über Formulare gesendet werden. Werden sie dennoch mitgeteilt, beschränkt sich die Bearbeitung auf das für die Anfrage Unerlässliche.

Diese Erklärung kann angepasst werden, wenn Recht, Technik oder Prozesse sich ändern. Es gilt die auf der Website veröffentlichte Fassung mit der jeweils ausgewiesenen Version und dem Wirksamkeitsdatum.