Datenschutzerklärung

1) Verantwortliche Stelle

ZAPready GmbH (in Gründung), 8000 Zürich. Kontakt für Datenschutzanfragen: support@zapready.ch.

2) Welche Daten wir erheben

• Eltern: Vorname, Nachname (optional), E-Mail-Adresse, gehashtes Passwort, Zahlungsdaten (verarbeitet durch Stripe — wir sehen ausschliesslich die letzten 4 Stellen der Karte).
• Kinder: selbst gewählter Avatar-Name (z.B. «Schneeleopard»), Vorname (optional, vom Eltern-Konto erfasst), Lernfortschritt (gelöste Aufgaben, Antworten, Fehler, Lernzeit), Aufsatztexte.
• Technisch: IP-Adresse beim Login, Session-Cookie, Browser-Typ (anonymisierte Logs für Fehlerbehebung).

3) Zweck der Verarbeitung

Bereitstellung der Lernplattform, Abrechnung der gekauften Pässe, sichere Authentifizierung, KI-gestützte Auswertung von Aufsätzen und Tutoring, Versand von Transaktions-E-Mails.

4) Rechtsgrundlagen

Schweiz: Art. 31 revDSG (Vertragserfüllung) sowie Art. 31 Abs. 2 lit. c revDSG (berechtigte Interessen, z.B. Missbrauchsschutz).
EU-Nutzer: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen).

5) Speicherort

Primärdatenbank bei Supabase (Hosting: AWS, Region eu-west-3 / Paris). Anwendungsserver bei Microsoft Azure (Region Switzerland North, Zürich). Backups als verschlüsselte JSON-Snapshots innerhalb der Schweiz.

6) Drittanbieter (Auftragsverarbeiter)

• Supabase Inc. (USA, EU-Niederlassung) — Datenbank-Hosting. Vertrag zur Auftragsverarbeitung (DPA) abgeschlossen, Datenübermittlung basiert auf Standardvertragsklauseln (SCCs) der EU.
• Anthropic PBC (USA) — KI-Tutor und KI-Aufsatzbewertung. Kein Klarname des Kindes wird übermittelt; nur Aufgabenkontext und Antworttexte. Anthropic trainiert NICHT auf API-Daten.
• OpenAI Ireland Ltd. (Irland) / OpenAI L.L.C. (USA) — Generierung von Aufsatz-Bildimpulsen. Keine Personendaten übermittelt.
• Google Ireland Ltd. (Irland) — Generierung von Avatar-Bildern via Gemini. Keine Personendaten übermittelt.
• Stripe Payments Europe Ltd. (Irland) / Stripe Inc. (USA) — Zahlungsabwicklung. Stripe ist eigenverantwortlicher Verarbeiter (Art. 4 Nr. 7 DSGVO).
• Resend Inc. (USA) — Versand von Transaktions-E-Mails (Bestätigungen, Erinnerungen). E-Mail-Adresse und E-Mail-Inhalt werden übermittelt.

Datenübermittlungen in die USA stützen sich auf Standardvertragsklauseln sowie — soweit zertifiziert — auf den EU-US Data Privacy Framework (EU-Kommission, Angemessenheitsbeschluss vom 10.07.2023). Wir bewerten das Schutzniveau regelmässig.

7) Speicherdauer

• Konto-Daten: solange das Konto aktiv ist. Nach 24 Monaten Inaktivität Aufforderung zur Bestätigung, danach Löschung.
• Lernfortschritt: 12 Monate nach letzter Aktivität, dann anonymisiert.
• Zahlungsbelege: 10 Jahre (gesetzliche Aufbewahrungspflicht, Art. 958f OR).
• E-Mail-Logs bei Resend: 30 Tage.

8) Ihre Rechte

Nach revDSG bzw. DSGVO haben Sie Anspruch auf Auskunft (Art. 8 revDSG / Art. 15 DSGVO), Berichtigung (Art. 5 revDSG / Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) und Widerspruch (Art. 21 DSGVO). Anfragen bitte an support@zapready.ch. Beschwerdebehörde Schweiz: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Bern.

9) Kinderschutz

Verträge werden ausschliesslich mit Eltern bzw. erziehungsberechtigten Personen geschlossen. Kinder unter 14 Jahren erstellen kein eigenes Konto, sondern werden vom Eltern-Konto verwaltet. Der KI-Tutor sieht nur den Avatar-Namen (z.B. «Schneeleopard»), nie den echten Namen. Personenbezogene Inhalte aus Aufsätzen werden nicht zu Werbe- oder Trainingszwecken weiterverwendet.

10) Cookies

ZAPready verwendet ausschliesslich technisch notwendige Cookies:

• Auth-Session (Supabase) — für die Anmeldung.
• ARRAffinity (Microsoft Azure) — für Lastverteilung.
• Stripe-Cookie auf der Checkout-Seite (nur während des Zahlvorgangs).

Keine Marketing-, Analyse- oder Tracking-Cookies. Kein Google Analytics, kein Facebook-Pixel.

11) Änderungen

Diese Erklärung kann angepasst werden, z.B. wenn neue Auftragsverarbeiter hinzukommen. Wesentliche Änderungen werden per E-Mail angekündigt.