Fassung go-live-2026-10-26 · IDS Business Live AG, Badenerstrasse 808, 8048 Zürich · gültig ab Veröffentlichung
app.upper-os.com (Teil der AVV)| Nr. | Leistung | Anbieter | Daten | Ort der Bearbeitung | Garantie für Ausland | Einsatz |
|---|---|---|---|---|---|---|
| U1 | Hosting der Anwendung (eine VM), Datenbank, Identity Provider | Infomaniak Network SA (Schweiz) | alle Kunden- und Kontodaten | Schweiz (Infomaniak Public Cloud, Region dc4-a) | nicht nötig (Schweiz) | aktiv |
| U2 | Sicherungen (verschlüsselt, AES-256) und Audit-Anker (nur Hashwerte, separates Projekt) | Infomaniak Network SA (Schweiz), Object Storage | verschlüsselte Sicherungen aller Daten, Aufbewahrung 14 Tage; Anker ohne Personendaten | Schweiz (gleiche Region) | nicht nötig (Schweiz) | aktiv |
| U3 | Versand aller Transaktionsmails der Anwendung (Einladungen, Einrichtungslinks, Fair-Start-Erinnerungen, Rechnungen, Mahnungen, Marketing-Check-Berichte) | Hostpoint AG (Schweiz), asmtp.mail.hostpoint.ch, Absender noreply@upper-os.com |
Empfängeradressen, Namen, Rechnungs- und Vertragsinhalte, Links zu Berichten; keine Inhaltsdaten der Arbeitsbereiche | Schweiz | nicht nötig (Schweiz). | aktiv |
| U4 | KI-Modelle (primär) | Anthropic, PBC (USA), Modell Claude, über API | Kontext der Operator-Läufe: Wissen, Ziele, Strategie, aggregierte Integrationsdaten des Arbeitsbereichs | USA | keine DPF-Zertifizierung (DPF-Liste geprüft am 26.10.2026); Standardvertragsklauseln (Modul 2/3) mit Swiss Addendum im Data Processing Addendum vom 24.02.2025, durch die Commercial Terms einbezogen; kein Training auf Kundeninhalten (Commercial Terms Ziff. B) | nur nach KI-Freigabe der Anbieterin; heute aus |
| U5 | KI-Modelle (manuelle Ersatzroute, keine automatische Umschaltung) | OpenAI Ireland Ltd. (Irland), über API | wie U4 | Irland (EWR, von der Schweiz als angemessen anerkannt); Weiterübermittlung in die USA | keine DPF-Zertifizierung (DPF-Liste geprüft am 26.10.2026); Weiterübermittlung in die USA auf Basis von Standardvertragsklauseln (Data Processing Addendum, gültig ab 01.01.2026) | nur nach KI-Freigabe der Anbieterin; heute aus |
Für U4 und U5 gilt zusätzlich:
Für U1 und U2:
Externe Überwachung und Alarmierung:
Selbst betrieben, keine Unterauftragsbearbeiter: Identity Provider (Keycloak), Worker und Datenbank laufen auf der VM der Anbieterin bei U1.
Auswahlkriterien: siehe AVV Ziffer 9.2. Eine KI-Route mit Bearbeitung ausschliesslich in der Schweiz oder der EU wird nicht eingesetzt. Ein Wechsel der Unterauftragsbearbeiter erfolgt nach AVV Ziffer 9.3; die manuelle Umschaltung zwischen U4 und U5 ist kein Wechsel.
| Empfänger | Zweck | Daten | Staat | Grundlage / Hinweis |
|---|---|---|---|---|
| Let's Encrypt | Ausstellung der TLS-Zertifikate | keine Kundendaten; nur Kontakt-E-Mail des Betreibers | – | keine Personendaten von Kunden |
| Google LLC (PageSpeed Insights API) | nur Marketing Check der Anbieterin: Messung der Ladezeit einer Website | Adresse der vom Interessenten genannten Website | USA | eigene Bearbeitung der Anbieterin als Verantwortliche (Datenschutzerklärung Website, 07). |
| Infomaniak Network SA | Hosting der Website www.upper-os.com |
Zugriffs- und Fehlerprotokolle (14 Tage), Formulardaten im Durchlauf | Schweiz | Datenschutzerklärung Website |
| Hostpoint AG | Postfächer hello@upper-os.com und privacy@upper-os.com; Kontaktformular | Kontaktanfragen (Name, E-Mail, Unternehmen, Nachricht, Anliegen, Paket) | Schweiz | ADV (Anhang 2 der AGB Webhosting) gilt laut schriftlicher Antwort von Hostpoint vom 18.10.2026 auch für E-Mail |
| Behörden | nur bei gesetzlicher Pflicht oder vollstreckbarer Anordnung | soweit verlangt | Schweiz | AVV Ziffer 6.5 |
Google (Ads, Analytics 4, Search Console, Business Profile, YouTube), Meta, Microsoft Advertising, LinkedIn, TikTok, Pinterest, HubSpot, Shopify, WooCommerce, WordPress, Mailchimp, Amazon, Awin und weitere Katalogeinträge sind keine Unterauftragsbearbeiter der Anbieterin. Begründung (zur Prüfung):
Folge: Die Bekanntgabe an diese Plattformen (auch ins Ausland) verantwortet der Kunde.