Datenschutzerklärung

1) Verantwortliche Stelle

ZAPready GmbH, Malvenstrasse 8, 8057 Zürich, Schweiz (UID CHE-487.012.177). Kontakt für Datenschutzanfragen: support@zapready.ch.

2) Welche Daten wir erheben

• Eltern: Vorname, Nachname (optional), E-Mail-Adresse, gehashtes Passwort, Zahlungsdaten (verarbeitet durch Stripe — wir sehen ausschliesslich die letzten 4 Stellen der Karte).
• Kinder: selbst gewählter Avatar-Name (z.B. «Schneeleopard»), Vorname (optional, vom Eltern-Konto erfasst), Lernfortschritt (gelöste Aufgaben, Antworten, Fehler, Lernzeit), Aufsatztexte.
• Technisch: IP-Adresse beim Login, Session-Cookie, Browser-Typ (anonymisierte Logs für Fehlerbehebung).
• Reichweite und Herkunft: eine zufällige, nicht personenbezogene Kennung (First-Party-Cookie), die Einstiegsseite, die verweisende Website und — sofern ein Link entsprechend gekennzeichnet war — die Kampagnenmerkmale (utm_*). Daraus entstehen ausschliesslich Summen (z.B. «wie viele Sitzungen kamen im August über eine Suchmaschine»). Diese Daten verlassen unsere Systeme nicht.
• Newsletter und kostenlose Werkzeuge: die E-Mail-Adresse, die Sie beim Notenrechner oder bei der Standortbestimmung angeben, das gewählte Prüfungsjahr sowie Zeitpunkt und Bestätigung Ihrer Anmeldung. Zusätzlich, ob eine Nachricht zugestellt wurde und ob ein Link darin angeklickt wurde. Öffnungen erheben wir bewusst nicht — dafür wäre ein Zählpixel nötig, das ohne Ihr Zutun auslöst.

3) Zweck der Verarbeitung

Bereitstellung der Lernplattform, Abrechnung der gekauften Pässe, sichere Authentifizierung, KI-gestützte Auswertung von Aufsätzen und Tutoring, Versand von Transaktions-E-Mails.

Dazu kommen: Reichweitenmessung (wie viele Menschen die Seite besuchen und über welchen Weg — nötig, um zu erkennen, ob Werbung wirkt, bevor Geld dafür ausgegeben wird), Versand des Newsletters und der Lernhinweise an Adressen, die dies ausdrücklich bestätigt haben, sowie Hinweise an bestehende Konten zum Stand der Testphase oder eines abgelaufenen Zugangs.

Jede dieser Nachrichten enthält einen Abmeldelink, der sofort und ohne Rückfrage wirkt. Transaktionsnachrichten (Zahlungsbeleg, Passwort, Kontobestätigung) sind davon ausgenommen — sie gehören zum Vertrag und können nicht abbestellt werden.

4) Rechtsgrundlagen

Schweiz: Art. 31 revDSG (Vertragserfüllung) sowie Art. 31 Abs. 2 lit. c revDSG (berechtigte Interessen, z.B. Missbrauchsschutz).
EU-Nutzer: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen).

Newsletter und Lernhinweise: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie wird über ein Doppel-Bestätigungsverfahren eingeholt — ohne Klick auf den Link in der Bestätigungsmail versenden wir nichts — und ist jederzeit mit Wirkung für die Zukunft widerrufbar.

Reichweitenmessung: berechtigtes Interesse am Betrieb und an der Verbesserung des Angebots (Art. 31 Abs. 2 lit. c revDSG / Art. 6 Abs. 1 lit. f DSGVO). Die Messung ist ausschliesslich eigenbetrieben; es werden keine Daten an Dritte übermittelt und keine Profile über Websites hinweg gebildet.

5) Speicherort

Primärdatenbank bei Supabase (Hosting: AWS, Region eu-west-3 / Paris). Anwendungsserver bei Microsoft Azure (Region Switzerland North, Zürich). Backups als verschlüsselte JSON-Snapshots innerhalb der Schweiz.

6) Drittanbieter (Auftragsverarbeiter)

• Supabase Inc. (USA, EU-Niederlassung) — Datenbank-Hosting. Vertrag zur Auftragsverarbeitung (DPA) abgeschlossen, Datenübermittlung basiert auf Standardvertragsklauseln (SCCs) der EU.
• Anthropic PBC (USA) — KI-Tutor und KI-Aufsatzbewertung. Kein Klarname des Kindes wird übermittelt; nur Aufgabenkontext und Antworttexte. Anthropic trainiert NICHT auf API-Daten.
• OpenAI Ireland Ltd. (Irland) / OpenAI L.L.C. (USA) — Generierung von Aufsatz-Bildimpulsen. Keine Personendaten übermittelt.
• Google Ireland Ltd. (Irland) — Generierung von Avatar-Bildern via Gemini. Keine Personendaten übermittelt.
• Stripe Payments Europe Ltd. (Irland) / Stripe Inc. (USA) — Zahlungsabwicklung. Stripe ist eigenverantwortlicher Verarbeiter (Art. 4 Nr. 7 DSGVO).
• Resend Inc. (USA) — Versand von Transaktions-E-Mails (Bestätigungen, Erinnerungen). E-Mail-Adresse und E-Mail-Inhalt werden übermittelt.

Datenübermittlungen in die USA stützen sich auf Standardvertragsklauseln sowie — soweit zertifiziert — auf den EU-US Data Privacy Framework (EU-Kommission, Angemessenheitsbeschluss vom 10.07.2023). Wir bewerten das Schutzniveau regelmässig.

7) Speicherdauer

• Konto-Daten: solange das Konto aktiv ist. Nach 24 Monaten Inaktivität Aufforderung zur Bestätigung, danach Löschung.
• Lernfortschritt: 12 Monate nach letzter Aktivität, dann anonymisiert.
• Zahlungsbelege: 10 Jahre (gesetzliche Aufbewahrungspflicht, Art. 958f OR).
• E-Mail-Logs bei Resend: 30 Tage.
• Reichweitendaten ohne Kontobezug: 13 Monate, danach automatisch gelöscht. Ein wöchentlich laufender Aufräumvorgang setzt das um; es braucht dafür keine Anfrage.
• Newsletter-Adressen: bis zur Abmeldung. Nach einer Abmeldung bleibt ausschliesslich der Vermerk bestehen, dass diese Adresse keine Werbung mehr erhalten möchte — ohne ihn könnten wir die Abmeldung nicht einhalten.

8) Ihre Rechte

Nach revDSG bzw. DSGVO haben Sie Anspruch auf Auskunft (Art. 8 revDSG / Art. 15 DSGVO), Berichtigung (Art. 5 revDSG / Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) und Widerspruch (Art. 21 DSGVO). Anfragen bitte an support@zapready.ch. Beschwerdebehörde Schweiz: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Bern.

9) Kinderschutz

Verträge werden ausschliesslich mit Eltern bzw. erziehungsberechtigten Personen geschlossen. Kinder unter 14 Jahren erstellen kein eigenes Konto, sondern werden vom Eltern-Konto verwaltet. Der KI-Tutor sieht nur den Avatar-Namen (z.B. «Schneeleopard»), nie den echten Namen. Personenbezogene Inhalte aus Aufsätzen werden nicht zu Werbe- oder Trainingszwecken weiterverwendet.

10) Cookies

ZAPready verwendet ausschliesslich technisch notwendige Cookies:

• Auth-Session (Supabase) — für die Anmeldung.
• ARRAffinity (Microsoft Azure) — für Lastverteilung.
• Stripe-Cookie auf der Checkout-Seite (nur während des Zahlvorgangs).

Dazu kommen eigene Cookies zur Reichweitenmessung, die ausschliesslich von zapready.ch gesetzt und gelesen werden (mkt_anon, mkt_first, mkt_last sowie mkt_ref, mkt_teacher, mkt_aff bei Empfehlungslinks). Sie enthalten eine zufällige Kennung und die Herkunft Ihres Besuchs, keinen Namen und keine Adresse, und laufen nach 13 Monaten ab.

Keine Cookies von Dritten, kein Google Analytics, kein Facebook-Pixel, keine Werbenetzwerke. Weil nichts an Dritte übermittelt wird und keine Profilbildung über andere Websites hinweg stattfindet, gibt es hier auch kein Zustimmungsbanner. Wer die Messung dennoch nicht möchte, kann die Cookies im Browser blockieren — die Plattform funktioniert unverändert weiter.

11) Änderungen

Diese Erklärung kann angepasst werden, z.B. wenn neue Auftragsverarbeiter hinzukommen. Wesentliche Änderungen werden per E-Mail angekündigt.