Datenschutz

Jedes Kundenunternehmen ist für die Bearbeitung der Daten seiner Mitarbeitenden verantwortlich. Hencora handelt als Auftragsbearbeiter: Die Plattform bearbeitet diese Daten im Auftrag des Unternehmens, um ihm den Dienst zu erbringen, und verwendet sie für keinen anderen Zweck.

Für die Daten der öffentlichen Website und der Konten (Registrierung, Anmeldung, Kontakt) ist Hencora verantwortlich: Hencora, Adresse des Sitzes, Schweiz, suite@hencora.ch.

• Konto: Name, Vorname, E-Mail-Adresse, Rolle im Unternehmen, Sprache.
• Arbeitszeit: Ankünfte, Pausen, Abgänge, erfasste Stunden, Projekt, Notizen, Absenzen und Ferienanträge, Stundensaldi und monatliche Freigaben.
• Personaldossier: Kontaktdaten, AHV-Nummer, IBAN, Arbeitsbewilligung, Verträge, Zeugnisse und weitere vom Unternehmen hochgeladene Dokumente, Familienzulagen.
• Spesen: Spesenabrechnungen, fotografierte Belege, Kilometer.
• Fakturierung: Kunden, Artikel, Offerten, Rechnungen, Zahlungen und Mahnungen.
• Technisch: Zugriffsprotokolle, IP-Adresse, Geräte- und Browsertyp, nötig für die Sicherheit des Dienstes.

Hencora verkauft keine Daten, gibt keine zu Werbezwecken weiter und verwendet die Daten der Kundenunternehmen nicht zum Trainieren von KI-Systemen.

• Den vereinbarten Dienst erbringen: Arbeitszeiterfassung führen, Absenzen verwalten, Löhne vorbereiten, Rechnungen erstellen.
• Gesetzliche Pflichten erfüllen: Arbeitszeiterfassung (Art. 46 ArG, Art. 73 ArGV 1), Buchführungs- und Steuerpflichten.
• Sicherheit des Dienstes: Erkennung ungewöhnlicher Zugriffe, Sicherungen, Protokolle.
• Beziehung zum Kundenunternehmen: Support, Informationen zum Dienst, Fakturierung des Abonnements.

Die Datenbank und die Dokumente werden in der Schweiz, in der Region Zürich, bei Supabase gespeichert (Infrastruktur von Amazon Web Services, Region eu-central-2). Die täglichen Sicherungen von Supabase bleiben in derselben Region; die technischen Protokolle dieses Anbieters werden in der Europäischen Union aufbewahrt. Jede Nacht wird auf einer temporären Maschine von GitHub (Infrastruktur von Microsoft Azure) eine zusätzliche Sicherungskopie erstellt, verschlüsselt und dann bei Cloudflare (R2) in der Europäischen Union aufbewahrt: 30 Tage für die täglichen Kopien, ein Jahr für die monatlichen. Einmal im Monat wird eine Kopie auf einer solchen Maschine wiederhergestellt, um zu prüfen, ob sie vollständig ist.

Website und App werden über Cloudflare ausgeliefert, das die Seiten weiterleitet und die Plattform vor Angriffen schützt; der Datenverkehr läuft verschlüsselt darüber und wird über die technischen Protokolle hinaus nicht gespeichert.

Die von der Plattform versendeten E-Mails (Monatsauszüge, Rechnungen, Mahnungen, Kontonachrichten) werden über Resend zugestellt, dessen Server sich in der Europäischen Union oder in den Vereinigten Staaten befinden können. Nur die für den Versand nötigen Angaben laufen über diesen Dienst: Empfänger, Betreff, Nachricht und Anhang.

Hochgeladene Dateien (Belege, Dokumente) werden von Scanii auf seinen Servern in der Europäischen Union auf Viren geprüft; die Datei wird dort nicht gespeichert.

Der integrierte Assistent antwortet anhand der Hilfeartikel der Plattform: Keine Frage wird an einen externen KI-Dienst übermittelt.

Benachrichtigungen auf dem Telefon oder Computer laufen, wenn Sie sie in Ihrem Profil aktivieren, über den Benachrichtigungsdienst des Herstellers Ihres Browsers oder Telefons; ihr Inhalt ist Ende-zu-Ende-verschlüsselt und dieser Dienst kann ihn nicht lesen. Sie können sie jederzeit Gerät für Gerät ausschalten.

Anmeldung, Demo, Kontaktformular und Passwortänderung werden durch Cloudflare Turnstile vor Bots geschützt, das die IP-Adresse und technische Merkmale des Browsers analysiert. Bei der Wahl eines Passworts werden nur die ersten fünf Zeichen seines Hashwerts (nie das Passwort selbst) mit der öffentlichen Liste «Pwned Passwords» geleakter Passwörter verglichen. Nachrichten an suite@hencora.ch werden von PTisp in der Europäischen Union gehostet. Die Schriften werden von der Website selbst ausgeliefert.

Innerhalb eines Unternehmens hängt der Zugriff von der Rolle ab: Mitarbeitende sehen ihre eigenen Stunden, Absenzen, Spesen und Dokumente; Teamleiter/innen sehen die Personen, die sie freigeben; Administrator und HR sehen das ganze Unternehmen; die Fakturierung ist nur für Personen sichtbar, die zur Rechnungsstellung berechtigt sind. Die Daten eines Unternehmens sind nie für ein anderes sichtbar.

Das Hencora-Team greift nur auf Anfrage des Unternehmens für Support oder wenn das Gesetz es verlangt auf dessen Daten zu.

• Arbeitszeiterfassung, Absenzen und Monatsauszüge: fünf Jahre, gemäss Arbeitsgesetz.
• Rechnungen, Zahlungen und Buchungsbelege: zehn Jahre.
• Dokumente des Personaldossiers: während der Dauer des Arbeitsverhältnisses, danach gemäss den geltenden gesetzlichen Fristen.
• Vertragsende: Der Administrator hat 30 Tage Zeit, um die Daten des Unternehmens zu exportieren; danach werden sie innert 30 Tagen gelöscht, ausser was Hencora von Gesetzes wegen aufbewahren muss. Sicherungskopien verschwinden spätestens nach 12 Monaten.

Jede betroffene Person kann Auskunft über ihre Daten, deren Berichtigung, Löschung oder Herausgabe in einem gängigen Format verlangen oder einer Bearbeitung widersprechen. Das Gesuch richtet sich zuerst an den Arbeitgeber, der für die Bearbeitung verantwortlich ist; Hencora unterstützt das Unternehmen bei der Beantwortung.

Für Daten, für die Hencora verantwortlich ist, schreiben Sie an suite@hencora.ch. Sie können sich auch an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden.

Die Kommunikation ist verschlüsselt (HTTPS). Passwörter werden verschlüsselt gespeichert und sind nie sichtbar. Der Zugriff auf die Daten wird in der Datenbank Zeile für Zeile kontrolliert, je nach Unternehmen und Rolle. Hochgeladene Dokumente sind nur für berechtigte Personen zugänglich. Wichtige Vorgänge werden protokolliert.

Die Website verwendet weder Werbe-Cookies noch Tracker von Dritten. Die App speichert lokal im Browser, was für die Sitzung und die Anzeigeeinstellungen nötig ist.

Um Ansichten und Klicks der auf der Website und in der App angezeigten Anzeigen zu zählen, wird im Browser eine zufällige Kennung gespeichert. Sie wird vor der Übermittlung gehasht und lässt keine Rückschlüsse auf Ihre Person zu; sie wird für nichts anderes verwendet. Sie verschwindet, wenn Sie die Website-Daten in Ihrem Browser löschen.