Datenschutzerklärung

Verantwortliche

Chippy, Route du Mandement 102, 1242 Satigny Genève, Schweiz. Kontakt: hello@chippy.bot. Verantwortlich: Tobias Pfuetze.

Für Kundendaten des Betriebs (Anfragen, Offerten, Rechnungen in Gmail) ist der Meister Verantwortlicher. Chippy ist dann Auftragsbearbeiter. Dazu gilt der AVV.

Was wir bearbeiten

• Konto: Name, Betriebsname, E-Mail, Passwort-Hash, Plan, WhatsApp-Nummer nach Bindung.
• Zahlung: Stripe-Kunden- und Abo-Referenzen. Keine vollständige Kartennummer bei Chippy.
• Büroarbeit: E-Mails, PDFs, Offerten, Jobs, Freigaben, Audit, Kalendertermine, Anruf-Transkripte — nur soweit der Betrieb sie anbindet.
• Technik: Server-Logs, Fehler. Google Analytics misst mit Zustimmung Seiten, Gerät und groben Ort, ohne Werbung. Ohne Zustimmung nur eine cookielose Reichweitenmeldung.

Zweck und Grundlage

Vertrag und Probezeit (Konto, WhatsApp, Gmail, Angebote, Rechnung raus). Berechtigtes Interesse: Sicherheit, Missbrauch, Rechnungen an den Betrieb. Einwilligung: optionale Anbindungen (Kalender, Outlook, Buchhaltung), soweit nicht schon für den Vertrag nötig.

Chippy erfindet keine Masse, Preise oder Zusagen. Kommerzielle Mails und Offerten gehen nur nach Freigabe auf WhatsApp. Empfang nennt keine Franken.

Wo die Daten liegen

Hosting und Datenbank: Google Cloud, Region europe-west6 (Zürich). Dateien (PDFs) in Cloud Storage derselben Region. Standard-Sprachmodell: Vertex AI in der EU (europe-west1). Das Modell rechnet kein Geld und ruft Gmail, WhatsApp oder Bexio nicht selbst auf.

Wenn der Betrieb «Weiter mit ChatGPT» nutzt und das Plus/Pro-Kontingent freigibt, laufen geeignete Prompt-Aufrufe über die OpenAI Responses API (OpenAI, USA). Das ist eine ausdrückliche Verbindung durch den Meister. OAuth-Tokens, Passwörter und Refresh-Tokens gehen nicht an das Modell. Ohne ChatGPT-Verbindung bleibt die Inferenz auf Vertex in der EU.

Unterauftragnehmer

• Google Cloud — Hosting, Login, Gmail, Kalender, Vertex (EU).
• OpenAI — nur nach «Weiter mit ChatGPT» und Freigabe des Plan-Kontingents (USA).
• Google Analytics (Consent Mode: Cookie nur nach Zustimmung, sonst eine cookielose Meldung) und Google Search Console — Reichweite und Suche.
• Meta — WhatsApp Cloud API, eine gemeinsame Chippy-Nummer.
• Stripe — Checkout und wiederkehrende Zahlung.
• Twilio — eingehende Telefonie, wenn der Betrieb weiterleitet.
• ElevenLabs — Sprache am Telefon, ohne Preiswerkzeuge.
• Microsoft — Outlook, nur nach Verbindung.
• Bexio, DATEV, sevDesk, Lexware — nur nach Verbindung durch den Betrieb. Chippy speichert keine Buchhaltungs-Passwörter.

Cookies

Nötig: Session-Cookie fürs Konto. Messung: Google Analytics (gtag, Consent Mode, IP-Kürzung). Mit Zustimmung setzt Analytics ein Cookie und misst Seiten und Aktionen. Ohne Zustimmung bleibt das Cookie aus; Google erhält eine cookielose Meldung zur Reichweite. Die Wahl liegt im Browser und lässt sich über Cookies im Fuss ändern. Einladungslinks und Anmeldecodes gehen nicht an Analytics. Sitemap und Search Console brauchen kein Cookie.

Google Workspace Limited Use

The use of raw or derived user data received from Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements.

Gmail- und Kalenderdaten dienen nur dem verbundenen Betrieb: Offerten lesen, Entwürfe anlegen, freigegebene Mails senden, Termine vorschlagen und nach Freigabe schreiben. Chippy verkauft diese Daten nicht. Chippy benutzt sie nicht, um allgemeine oder grundlegende KI-Modelle zu trainieren oder zu verbessern. Standard: Google Vertex AI (Gemini) in der EU (europe-west1) über das Chippy-Projekt. Optional: OpenAI (ChatGPT-Plan des Meisters), nur nach Verbindung. Das Modell rechnet kein Geld und ruft Gmail oder Kalender nicht selbst auf.

Schutz sensibler Daten

Gmail and Google Calendar data are sensitive. Security procedures are in place to protect the confidentiality of this data. We use encryption to protect your information in transit and at rest.

• In transit: the site, the API, and every call to Google use HTTPS (TLS). OAuth tokens are never sent in plaintext.
• At rest: mailbox content, PDFs, and calendar data sit in Google Cloud, region europe-west6 (Zürich). Cloud SQL and Cloud Storage encrypt stored data. Google OAuth refresh tokens are encrypted with Fernet before they are written to the database. They are not stored in plaintext.
• Secrets: the Google OAuth client secret and other credentials live in Google Cloud Secret Manager. They are not in the source repository.
• Access: only the connected business can use its mailbox and calendar. Commercial mail and calendar writes run only after the owner approves. Chippy staff do not use customer mail for advertising.
• Sharing: we do not sell Google user data, and we do not use it to train general or foundational AI models.
• Disconnect: when the business disconnects Gmail, Chippy deletes the stored token, the imported mail and jobs, and the stored PDF bytes in Cloud Storage, unless a legal retention duty applies. Account deletion removes the tenant prefix in storage as well.

Dieselbe Sicherung gilt für die deutschen Nutzer: Übertragung per HTTPS, Speicherung verschlüsselt in Zürich, Refresh-Tokens verschlüsselt in der Datenbank, Client-Geheimnisse in Secret Manager, Zugriff nur für den verbundenen Betrieb, Versand nur nach Freigabe, kein Verkauf und kein Training allgemeiner Modelle.

Weitergabe

Kein Verkauf von Daten. Keine Weitergabe an Dritte ausser Unterauftragnehmer, gesetzliche Pflicht oder ausdrückliche Anweisung des Betriebs (z. B. Offerte an Müller, Rechnung in Bexio).

Aufbewahrung

Kontodaten und Audit, solange der Vertrag läuft und danach so lange, wie Steuer- oder Nachweispflichten es verlangen. Mail- und Offertendaten löschen wir mit dem Konto oder auf schriftliche Anweisung, soweit kein gesetzlicher Halt gilt.

Rechte

Auskunft, Berichtigung, Löschung, Einschränkung, Datenherausgabe, Widerspruch. An hello@chippy.bot. Beschwerde: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), in der EU die örtliche Aufsicht.