Datenschutz

Wer Ihnen schreibt, teilt Gesundheits- und Familienthemen. Commelia ist so gebaut, dass Personendaten dort bleiben, wo sie hingehören.

Grundsätze

• Besucher:innen sind anonym, ausser sie geben eine E-Mail-Adresse an oder Ihre Website übergibt eine geprüfte Identität.
• Interne Notizen werden Besucher:innen nie angezeigt und nie über die API ausgegeben.
• KI-Anfragen gehen nur an Anbieter, die Ihre Daten weder speichern noch zum Training verwenden.
• Zusammenfassungen und Wissensvorschläge werden vor dem Speichern anonymisiert.
• Commelia wird in der Schweiz gehostet – oder auf Ihrem eigenen Server.

Anonymisierung

Unter Projekteinstellungen → Wissen & Datenschutz legen Sie fest, wie Personendaten in Wissensvorschlägen, Zusammenfassungen und der Anonymisierungs-API gefunden und entfernt werden:

• Muster erkennen immer E-Mail-Adressen, Telefonnummern, AHV-Nummern, IBANs, Kartennummern und Datumsangaben.
• Optional findet die KI auch Namen, Orte und Organisationen.
• Immer entfernen: Begriffe, die in Ihrem Umfeld Personen erkennbar machen, etwa kleine lokale Gruppen oder Dörfer.
• Nie entfernen: Angaben Ihrer eigenen Organisation, etwa Telefonnummer oder Adresse.
• Ausprobieren: einen Text einfügen und sehen, was mit den aktuellen Einstellungen entfernt würde.

Persönliche Angaben vor dem KI-Anbieter verbergen

Ist Persönliche Angaben vor dem KI-Anbieter verbergen eingeschaltet, werden Kontaktdaten, der Name des Kontakts und Ihre eigenen Begriffe durch Platzhalter ersetzt, bevor Anfragen verschickt werden, und in den Antworten wiederhergestellt. Das gilt für Vorschläge, Umformulierungen, den Auto-Modus und die Übersetzung.

Datenaufbewahrung

Unter Projekteinstellungen → Allgemein → Datenaufbewahrung wählen Sie, was nach einer bestimmten Anzahl Monate mit abgeschlossenen Unterhaltungen geschieht:

• Gespräche behalten (Standard),
• Gespräche löschen oder
• Gespräche anonymisieren: alle Nachrichtentexte und Kennungen der Besucher:innen werden entfernt, Statistiken bleiben erhalten.

Die Aufbewahrung läuft täglich und kann nicht rückgängig gemacht werden. Per WhatsApp gesendete Dateien werden zusammen mit ihrer Unterhaltung gelöscht. Inhaber:innen sehen die Läufe im Audit-Log.

Besuchende beenden eine Unterhaltung

Im Widget können Besuchende Unterhaltung beenden wählen. In einem kurzen Bereich können sie die Unterhaltung bewerten, den Verlauf per E-Mail anfordern und ihre Nachrichten löschen lassen. Bei abgeschlossenen Unterhaltungen stehen Verlauf per E-Mail und Unterhaltung löschen ebenfalls zur Verfügung.

Das Löschen entspricht der Anonymisierung der Datenaufbewahrung, geschieht aber sofort:

• Alle Nachrichtentexte (auch interne Notizen), Übersetzungen, Dateien, die Zusammenfassung, Tags, Antworten auf Einstiegsfragen und der Bewertungskommentar werden entfernt. Nicht veröffentlichte Wissensentwürfe aus der Unterhaltung und Webhook-Zustellungen, die sie enthalten, werden gelöscht.
• Die Unterhaltung bleibt schreibgeschützt in Ihrem Posteingang, mit dem Hinweis, dass die besuchende Person sie gelöscht hat. Anzahl Nachrichten, Zeitpunkte, Zuständige, Modus und die Bewertung bleiben für Auswertungen erhalten.
• Anonyme Besuchende ohne weitere Unterhaltungen werden ebenfalls gelöscht. Über die Website identifizierte Besuchende bleiben erhalten.
• Der Webhook conversation.anonymized meldet Ihren Integrationen, dass sie ihre Kopien löschen sollen.
• Inhaber:innen sehen jede Löschung im Audit-Log (conversation.anonymized).

Der Verlauf wird verschickt, bevor die Nachrichten gelöscht werden. Er enthält nur, was die besuchende Person gesehen hat, ohne interne Notizen. Kopien in Backups verschwinden, sobald die Backups ablaufen.

Wenn Sie gesetzlich zur Aufbewahrung verpflichtet sind, schalten Sie unter Projekteinstellungen → Allgemein → Datenaufbewahrung die Option Besuchende können ihre Gespräche löschen aus. Besuchende können Sie weiterhin direkt anfragen.

Anfragen von Betroffenen

In den Details einer Unterhaltung unter Datenschutz:

• Daten exportieren (JSON) lädt alles herunter, was über einen Kontakt gespeichert ist.
• Kontakt löschen löscht den Kontakt und alle seine Unterhaltungen endgültig.

Konten Ihres Teams

Teammitglieder können ihr Konto mit Zwei-Faktor-Authentifizierung schützen. Wichtige Aktionen wie Exporte von Auswertungen und Aufbewahrungsläufe werden im Audit-Log festgehalten.

Inhaber:innen verwalten Personen unter Einstellungen → Team. Aus Organisation entfernen beendet nur die Mitgliedschaft. Konto löschen löscht zusätzlich Anmeldung, Name, E-Mail-Adresse, Sitzungen und persönliche Einstellungen und hebt die Zuweisung offener Unterhaltungen auf. Das Konto bleibt als anonymer Eintrag «Ehemalige Person» bestehen, damit Nachrichten, Audit-Einträge und Auswertungen ihre Geschichte behalten. Konten, die auch zu einer anderen Organisation gehören, können nur entfernt, nicht gelöscht werden. Die E-Mail-Adresse kann danach für ein neues Konto verwendet werden.

Zugriff durch Plattformadministratoren

Plattformadministratoren können jede Organisation über Plattformadmin → Organisationen → Organisation öffnen in einem neuen Tab mit Eigentümerrechten öffnen. Sie verwenden dabei ihre eigene Identität. Ein Banner zeigt die Organisation und den Administratorzugriff. Jeder Tab behält seine eigene Organisationsauswahl.

Eigentümer sehen sensible Aktionen unter Einstellungen → Audit-Log: Änderungen an Organisationen und Projekten, Teamrechten und Einladungen, API-Schlüsseln, Webhooks, Wissen, Konversationen und Nachrichten sowie Änderungen, Exporte und Löschungen von Kontakten. Die Einträge nennen die handelnde Person und das Ziel. Sichere Konfigurationswerte können mit vorherigen und neuen Werten gespeichert werden. Nachrichtentexte, Kontaktdaten, Zugangsdaten und Freitext werden nicht gespeichert.

Einträge im Audit-Log können nicht geändert oder gelöscht werden, auch nicht von Inhaber:innen. Sie bleiben der handelnden Person zugeordnet, auch wenn diese das Team verlässt; gelöschte Konten erscheinen als «Ehemalige Person». Filtern Sie das Protokoll nach Aktion (z. B. knowledge für alle Wissensereignisse), Person, Objekt-ID und Datum. Ein Klick auf ein Ziel zeigt alle Ereignisse zu diesem Objekt, etwa zu einer Unterhaltung.

Über Zurück zur Plattformverwaltung im Banner verlassen Sie die Organisationsansicht. Die Plattformverwaltung zeigt dieses Banner nicht an. Die Administratorrechte bleiben verfügbar.

Die Plattformverwaltung verwendet eine separate Navigation ohne Organisationsdaten oder entsprechende Links. Über Organisation öffnen gelangen Sie zum Arbeitsbereich einer Organisation.

Administratoren mit einer Organisationsmitgliedschaft öffnen standardmässig ihren eigenen Arbeitsbereich ohne Administratorbanner. Das Banner erscheint beim Zugriff auf eine Organisation ohne Mitgliedschaft. Zurück zu meiner Organisation öffnet den eigenen Arbeitsbereich; Administratoren ohne Mitgliedschaft kehren zur Plattformverwaltung zurück.

Details im Audit-Log

Änderungseinträge beschreiben tatsächliche Änderungen. Gruppeneinträge enthalten membersAdded und membersRemoved als Benutzer-IDs. Änderungen an Teamrechten nennen die vorherigen und neuen Projektrollen sowie hinzugefügte oder entfernte Gruppen-IDs. Unveränderte Formularfelder werden ausgelassen. Das Speichern eines unveränderten Formulars erstellt keinen Änderungseintrag.

Das Objekt changes verwendet Feldpfade wie availability.enabled. Sichere Einstellungen enthalten vorherige (before) und neue (after) Werte. Änderungen an Freitext, Kontaktdaten und Zugangsdaten werden mit {"changed": true} ohne die Werte protokolliert. Einträge zu Erstellung, Löschung und Export enthalten passende IDs, Berechtigungen oder Anzahlen.

Ältere Einträge behalten ihre ursprünglichen Details. Ein damals nicht gespeicherter Änderungsverlauf lässt sich daraus nicht nachträglich herstellen.