Datenschutzerklärung

Verantwortlich für die in dieser Erklärung beschriebenen Bearbeitungen ist die Kralys SA, Avenue des Alpes 29, 1820 Montreux, Schweiz. Für Anfragen zum Datenschutz schreiben Sie an dpo@katarinahealth.com. Sie erreichen uns auch über unsere Kontaktseite oder per Post. Bitte geben Sie an, dass Ihre Anfrage den Datenschutz betrifft.

Nutzt eine Praxis oder eine andere Organisation die Fachsoftware von Katarina, um ihre Patientinnen, Patienten oder Kundschaft zu verwalten, ist diese Organisation für deren Daten verantwortlich, und wir bearbeiten die Daten in ihrem Auftrag gestützt auf einen Auftragsbearbeitungsvertrag. Sind Sie Patientin oder Patient einer solchen Organisation, wenden Sie sich bitte zuerst an sie. Anfragen zu ihren Daten, die wir erhalten, leiten wir an sie weiter.

Diese Erklärung gilt für die Website Katarina, Ihr Katarina-Konto, die öffentlichen Seiten und die Suche, Buchungen und Online-Zahlungen sowie unsere Kommunikation mit Ihnen per E-Mail, SMS und Post. Unsere Cookie-Richtlinie beschreibt die Cookies und den Browserspeicher, die wir verwenden.

Unser Hosting-Anbieter bearbeitet bei jeder Anfrage technische Daten, um die Seite auszuliefern und den Dienst vor Angriffen und Missbrauch zu schützen: Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Seite, Ihren Browser und Ihr Gerät (User Agent) und die Seite, von der Sie kommen. Wir verwenden diese Daten nicht, um Sie zu identifizieren.

Wir verwenden keine Analyse-, Werbe- oder Tracking-Werkzeuge.

Wir stützen uns auf unser berechtigtes Interesse an einer sicheren und funktionierenden Website (Art. 6 Abs. 1 lit. f DSGVO).

Für Ihr Konto bearbeiten wir:

• Ihren Namen, Ihre E-Mail-Adresse und Ihre Mobilnummer sowie die Angabe, ob Sie diese bestätigt haben;
• Ihr Passwort, das wir nur in gehashter Form speichern, sodass niemand es lesen kann;
• Ihre Sprache und, falls vorhanden, Ihr Profilbild;
• für jede Sitzung die IP-Adresse, den Browser und das Gerät (User Agent) sowie die Zeitpunkte der Anmeldung und des Ablaufs;
• die Organisationen und Teams, denen Sie angehören, und die Einladungen, die Sie senden oder erhalten.

Wir senden Einmalcodes per E-Mail und SMS, um zu bestätigen, dass die E-Mail-Adresse und die Mobilnummer Ihnen gehören. Ein Code ist 5 Minuten gültig. Wir verwenden Ihre Mobilnummer, um Ihr Konto zu bestätigen und Sie dazu zu kontaktieren, nicht für Marketing, und zeigen sie anderen Nutzerinnen und Nutzern nicht an.

Wir verwenden diese Daten, um Ihr Konto zu erstellen und zu schützen, Sie anzumelden, Missbrauch zu verhindern und Ihnen zu Ihrem Konto zu schreiben. Wir stützen uns auf unseren Vertrag mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO) und auf unser berechtigtes Interesse an Sicherheit (Art. 6 Abs. 1 lit. f DSGVO).

Melden Sie sich mit Google oder Microsoft an, übermittelt uns dieser Anbieter Ihren Namen, Ihre E-Mail-Adresse, Ihr Profilbild und eine Kontokennung. Die Zugriffstoken, die er ausstellt, speichern wir mit Ihrem Konto. Wir fragen nur Ihr Basisprofil ab, keinen Zugriff auf Ihre E-Mails, Dateien oder Kontakte, und erhalten nie Ihr Passwort.

Der Anbieter erfährt, dass Sie Katarina nutzen. Für die Bearbeitung auf seiner Seite gilt seine eigene Datenschutzerklärung.

Wenn Sie suchen, bearbeiten wir die eingegebenen Wörter und den gewählten Ort, um passende Seiten anzuzeigen. Um Orte und Adressen vorzuschlagen, sendet unser Server den eingegebenen Text an Google. Google erhält Ihre IP-Adresse nicht von uns.

Erlauben Sie Ihrem Browser, Ihren Standort zu teilen, verwenden wir Ihre Koordinaten, um Ergebnisse in Ihrer Nähe anzuzeigen, und senden sie an Google, um den Namen Ihres Ortes zu ermitteln. Ihr Browser behält den Standort für den aktuellen Tab, und die Koordinaten erscheinen in der Adresse (URL) der Ergebnisseite. Wir speichern sie nicht mit Ihrem Konto. Wir stützen uns auf die Erlaubnis, die Sie in Ihrem Browser erteilen und dort jederzeit widerrufen können (Art. 6 Abs. 1 lit. a DSGVO).

Öffnen Sie die Kartenansicht, lädt Ihr Browser die Karte von CARTO und die Kartensoftware von unpkg. Beide erhalten Ihre IP-Adresse.

Für die Suche selbst stützen wir uns auf unser berechtigtes Interesse, einen nützlichen Dienst anzubieten (Art. 6 Abs. 1 lit. f DSGVO).

Katarina veröffentlicht Seiten über Gesundheitsfachpersonen und Organisationen, damit man sie finden kann. Eine Seite kann Namen, Beruf und Fachgebiete, Arbeitsorte und Adressen, Kontaktangaben, Sprachen, Öffnungszeiten, eine Beschreibung und Fotos zeigen.

Diese Daten stammen von den Fachpersonen und Organisationen selbst oder aus Quellen, die sie öffentlich gemacht haben, etwa ihrer eigenen Website. Wir veröffentlichen eine Seite nur, wenn sie als öffentlich markiert ist, und nehmen sie in unseren Suchindex auf.

Wir stützen uns auf unseren Vertrag mit der Fachperson oder Organisation oder auf das berechtigte Interesse der Öffentlichkeit und von Katarina, Gesundheitsfachpersonen zu finden (Art. 6 Abs. 1 lit. b und f DSGVO). Eine Fachperson kann uns jederzeit über unsere Kontaktseite bitten, ihre Seite zu korrigieren oder offline zu nehmen.

Wenn Sie auf der Seite eines Anbieters eine Leistung buchen, bearbeiten wir:

• Ihren Warenkorb: die Leistungen, die Termine, die Person, die Sie sehen möchten, und für wen jede Buchung ist (eines Ihrer Gesundheitsdossiers oder Name, Geburtsdatum und Geschlecht für ein neues);
• beim Abschluss der Buchung Ihre E-Mail-Adresse, die Sprache der Seite und die Beträge;
• die Buchung selbst (die Bestellung): ihre Referenz, Leistungen, Termine und Preise, für wen sie ist, ihre Zahlung und allfällige Rückerstattungen.

Wir bewahren Ihren Warenkorb auf unseren Servern auf, nicht in Ihrem Browser. Sind Sie nicht angemeldet, findet ihn ein Cookie wieder (siehe unsere Cookie-Richtlinie); melden Sie sich an, geht der Warenkorb in Ihr Konto über und das Cookie wird gelöscht. Ein Warenkorb, der 14 Tage lang nicht geändert wurde, wird nicht mehr verwendet. Sobald die Buchung Ihre E-Mail-Adresse enthält, kann der Anbieter, bei dem Sie buchen, sehen, dass Sie eine Buchung begonnen und nicht abgeschlossen haben. Wir senden keine Erinnerungen zu nicht abgeschlossenen Buchungen.

Der Anbieter, bei dem Sie buchen, erhält die Buchung: die Leistungen und Termine, für wen sie jeweils sind und wie man Sie erreicht. Er bewahrt den Termin und, wenn nötig, ein Gesundheitsdossier in seinen eigenen Unterlagen auf, als deren Verantwortlicher. Wir senden Ihnen eine Bestätigung per E-Mail und dem Anbieter eine Mitteilung. Wurde der Termin, den Sie bezahlt haben, während Ihrer Zahlung von jemand anderem gebucht, erstatten wir Ihnen den vollen Betrag auf das verwendete Zahlungsmittel zurück und informieren Sie per E-Mail.

Die Bestätigung enthält einen privaten Link zur Seite Ihrer Buchung. Wer diesen Link hat, sieht, was die E-Mail zeigt: die Leistung, den Termin, den Anbieter und die Referenz. Für wen die Buchung ist und die weiteren Angaben erscheinen erst, wenn Sie sich mit der E-Mail-Adresse der Buchung anmelden oder als Mitglied des Bereichs, der gebucht hat. Teilen Sie den Link nur mit Personen, die die Buchung sehen dürfen.

Wir verwenden diese Daten, um Ihren Warenkorb aufzubewahren, den Termin beim Anbieter zu buchen, die Zahlung einzuziehen und Sie über Ihre Buchung zu informieren. Wir stützen uns auf unseren Vertrag mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO). Eine Buchung kann Angaben zur Gesundheit verraten, etwa die gebuchte Behandlung und für wen; wir verwenden sie nur für die Buchung und nie für Werbung.

Bezahlen Sie eine Buchung online, wickelt Stripe die Zahlung ab. Sie geben Ihre Karten- oder TWINT-Angaben im Zahlungsformular von Stripe ein: Sie gehen direkt an Stripe, und wir sehen Ihre Kartennummer nie.

Wir senden Stripe nur, was die Zahlung braucht: den Betrag, Ihre E-Mail-Adresse, den Namen des Anbieters, die Buchungsreferenz und den gebuchten Termin. Die gebuchte Leistung und für wen die Buchung ist, senden wir Stripe nie. Stripe teilt uns mit, ob die Zahlung erfolgreich war oder zurückerstattet wurde, und wir bewahren die Zahlungsreferenz von Stripe mit der Buchung auf.

Stripe bearbeitet die Zahlung in unserem Auftrag. Für eigene Zwecke, etwa die Betrugsbekämpfung und die Erfüllung seiner gesetzlichen Pflichten gegen Geldwäscherei, ist Stripe eigenständiger Verantwortlicher, und es gilt seine eigene Datenschutzerklärung. Zur Betrugsbekämpfung erhält Stripe auch Ihre IP-Adresse und Angaben zu Ihrem Browser und Gerät. Wir stützen uns auf unseren Vertrag mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO).

Wenn Sie uns über das Kontaktformular, per E-Mail oder per Post schreiben oder eine Präsentation anfragen, bearbeiten wir Ihren Namen, Ihre Kontaktangaben, Ihre Organisation und Ihre Nachricht, um Ihnen zu antworten. Wir stützen uns auf Ihre Anfrage und auf unser berechtigtes Interesse, sie zu beantworten (Art. 6 Abs. 1 lit. b und f DSGVO).

Um einen Videoanruf zu buchen, können Sie unseren Terminplan im Tab Videoanruf der Kontaktseite nutzen. Es handelt sich um eine Buchungsseite von Google Kalender, einem Dienst von Google, die erst geladen wird, wenn Sie diesen Tab öffnen. Google erhält dann Ihre IP-Adresse und Angaben zu Ihrem Browser und kann eigene Cookies setzen oder lesen. Für die Buchung geben Sie Google Ihren Namen, Ihre E-Mail-Adresse, den gewählten Zeitpunkt und die weiteren Angaben an, die das Formular verlangt. Google sendet Ihnen eine Bestätigung mit dem Google-Meet-Link und trägt den Termin in unseren Kalender ein. Wir verwenden die Buchung, um den Anruf durchzuführen, gestützt auf dieselbe Rechtsgrundlage. Für die Bearbeitung auf seiner Seite gilt die Datenschutzerklärung von Google.

Abonnieren Sie unseren Newsletter, nehmen wir die E-Mail-Adresse Ihres Kontos und Ihre Sprache in unsere Versandliste bei unserem E-Mail-Anbieter Resend auf, um ihn Ihnen zu senden. Wir senden ihn nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Jeder Newsletter enthält einen Link zum Abmelden, mit dem Sie Ihre Einwilligung widerrufen.

Gesundheitsdaten sind besonders schützenswerte Personendaten nach dem DSG und eine besondere Kategorie personenbezogener Daten nach der DSGVO. Sie können Gesundheitsdaten eingeben, wenn Sie Gesundheitsdossiers erstellen, eine Konsultation vorbereiten oder weitere Gesundheitsfunktionen nutzen, sobald diese verfügbar sind.

Wir bearbeiten Gesundheitsdaten nur, um die Funktion zu erbringen, die Sie nutzen, und nur mit Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Sie können Ihre Einwilligung jederzeit widerrufen; die bis dahin erfolgte Bearbeitung bleibt davon unberührt. Sie entscheiden, mit wem Sie Ihre Dossiers teilen.

Wir verkaufen keine Gesundheitsdaten und verwenden sie nicht für Werbung. Ohne Ihre gesonderte Einwilligung verwenden wir sie nicht, um KI-Modelle zu trainieren. Funktionen, die als demnächst verfügbar gekennzeichnet sind, bearbeiten keine Gesundheitsdaten. Geben Sie eine Frage in das Konsultationsfeld ein, bevor diese Funktion verfügbar ist, bleibt der Text für den aktuellen Tab in Ihrem Browser und wird uns nicht gesendet.

Katarina bietet noch keine KI-Funktionen an, die Ihre Personendaten bearbeiten. Bevor wir eine einführen, ergänzen wir diese Erklärung darum, welche Daten sie verwendet, zu welchem Zweck und welche Anbieter sie bearbeiten.

Für den Betrieb von Katarina setzen wir folgende Anbieter ein:

Supabase, Vercel, Typesense, Resend und Twilio bearbeiten Daten in unserem Auftrag, gestützt auf Verträge, die sie an unsere Weisungen, an die Vertraulichkeit und an eine angemessene Sicherheit binden. Stripe bearbeitet Zahlungen in unserem Auftrag und ist für eigene Zwecke, etwa die Betrugsbekämpfung, eigenständiger Verantwortlicher. Google, Microsoft, CARTO und unpkg erhalten Daten als eigenständige Verantwortliche; es gelten ihre eigenen Datenschutzerklärungen.

Fachpersonen und Organisationen erhalten Ihre Daten nur, wenn Sie sie mit ihnen teilen oder bei ihnen buchen. Behörden geben wir Daten nur bekannt, wenn das Gesetz es verlangt. Wir verkaufen keine Personendaten.

Unsere Datenbank befindet sich in der Schweiz. Einige Anbieter bearbeiten Daten in anderen Ländern, insbesondere in den USA. Die Schweiz und die Europäische Union anerkennen gegenseitig einen angemessenen Datenschutz.

Für Länder ohne angemessenen Datenschutz stützen wir uns auf die Zertifizierung des Anbieters unter dem Swiss-U.S. oder EU-U.S. Data Privacy Framework oder auf die Standardvertragsklauseln der Europäischen Kommission, angepasst an das Schweizer Recht. Sie können bei uns eine Kopie dieser Garantien verlangen.

Gelöschte Daten können in Sicherungskopien verbleiben, bis diese überschrieben werden.

Wir schützen Personendaten mit technischen und organisatorischen Massnahmen, die dem Risiko angemessen sind. Alle Verbindungen sind verschlüsselt (HTTPS). Passwörter speichern wir nur in gehashter Form. Nur Personen, die Personendaten für ihre Arbeit brauchen, haben Zugriff darauf, und sie sind zur Vertraulichkeit verpflichtet. Wiederholte Versuche, sich anzumelden oder Codes anzufordern, begrenzen wir.

Kein System ist vollständig sicher. Führt eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für Sie, informieren wir Sie und die zuständige Behörde, wie es das Gesetz verlangt.

Nach dem DSG und, soweit anwendbar, der DSGVO haben Sie das Recht:

• zu erfahren, ob wir Daten über Sie bearbeiten, und eine Kopie davon zu erhalten;
• unrichtige Daten berichtigen zu lassen;
• Daten löschen oder ihre Bearbeitung einschränken zu lassen;
• Bearbeitungen zu widersprechen, die auf unseren berechtigten Interessen beruhen;
• die Daten, die Sie uns gegeben haben, in einem gängigen elektronischen Format zu erhalten oder an einen anderen Anbieter übermitteln zu lassen;
• Ihre Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen.

Um ein Recht auszuüben, schreiben Sie an dpo@katarinahealth.com, über unsere Kontaktseite oder per Post. Wir können Sie bitten, Ihre Identität nachzuweisen. Wir antworten innert 30 Tagen, kostenlos, sofern das Gesetz keine Kostenbeteiligung erlaubt.

Wir treffen keine Entscheidungen über Sie, die ausschliesslich auf einer automatisierten Bearbeitung beruhen, und erstellen keine Profile für Werbezwecke.

Wenn Sie denken, dass wir Ihre Daten unrechtmässig bearbeiten, sagen Sie es uns bitte zuerst, damit wir das korrigieren können. Sie können sich auch bei einer Datenschutzbehörde beschweren. In der Schweiz ist dies der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), Feldeggweg 1, 3003 Bern, www.edoeb.admin.ch. In der Europäischen Union ist es die Behörde des Landes, in dem Sie wohnen oder arbeiten.

Um ein Konto zu erstellen, müssen Sie mindestens 16 Jahre alt sein. Ein Elternteil oder eine gesetzliche Vertretung kann Gesundheitsdossiers für ein Kind führen. Wenn Sie denken, dass uns ein Kind unter 16 Jahren ohne diese Erlaubnis Personendaten gegeben hat, kontaktieren Sie uns bitte, damit wir sie löschen können.

Wir passen diese Erklärung an, wenn sich unsere Bearbeitungen ändern, und veröffentlichen jede Fassung mit Datum auf dieser Seite. Bei wesentlichen Änderungen informieren wir Kontoinhaberinnen und Kontoinhaber per E-Mail oder im Dienst.