SynapAI Datenschutzerklärung

1. Verantwortliche Stelle und Rollen

Für eigene Datenbearbeitungen ist verantwortlich:

SynapAI / CINE ALIGN GmbH
Im Stadelacker 10
9212 Arnegg
Schweiz
UID/MWST: CHE-348.609.129 MWST
E-Mail: connect@synapai.ch
Datenschutzkontakt: connect@synapai.ch

Wenn SynapAI von einer Schule, einem Schulträger oder einer Institution für Lernende eingesetzt wird, ist in der Regel die Schule, der Schulträger oder die Institution für die Bearbeitung der Lernendendaten verantwortlich. SynapAI bearbeitet diese Daten dann als Auftragsbearbeiterin nach Weisung des Kunden.

Für eigene Bearbeitungen, insbesondere Website, Vertrieb, Vertragsverwaltung, Rechnungsstellung, Zahlungsabwicklung, allgemeine Kommunikation, Supportorganisation, Sicherheit und Nachweis, kann SynapAI selbst Verantwortliche sein.

2. Wofür SynapAI steht

SynapAI ist eine schulische Lern- und Unterrichtsplattform. Wir verfolgen folgende Datenschutzgrundsätze:

• Lernende brauchen nach Möglichkeit keine private E-Mail-Adresse.
• Lernende sollen mit Pseudonymen oder schulinternen Kennungen arbeiten können.
• Keine Werbung gegenüber Lernenden.
• Keine Lernendendaten für Modelltraining durch SynapAI.
• Kein Verkauf von Lernendendaten.
• Keine Community-Sichtbarkeit von Lernendenprofilen.
• KI-Ausgaben sind Unterstützung und werden durch Lehrpersonen geprüft.
• Daten werden nicht länger aufbewahrt, als es für Unterricht, Vertrag, Sicherheit, Support, Nachweis oder gesetzliche Pflichten erforderlich ist.

3. Welche Daten wir bearbeiten

3.1 Website, Anfragen und allgemeine Kommunikation. Wir bearbeiten insbesondere Kontaktdaten, Kommunikationsinhalte, technische Zugriffsdaten, Anfragen, Supportinformationen, Vertragsinformationen und Nachweise. Zwecke sind Beantwortung von Anfragen, Vertragsvorbereitung, Betrieb der Website, Sicherheit, Dokumentation und Nachweis.

3.2 Lehrpersonen, schulische Administratorinnen und Administratoren. Wir bearbeiten je nach Nutzung Name, E-Mail-Adresse, Rolle, Berechtigungen, Schul- und Klassenzuordnung, erstellte Materialien, Lerneinheiten, Aufgaben, administrative Aktivitäten, Supportdaten und Nutzungsdaten.

3.3 Lernende. Je nach Konfiguration bearbeiten wir Name, Pseudonym oder schulinterne Kennung, Login-Code, QR-Token, Klasse, Schule, Lernantworten, Aufgabenversuche, Lernfortschritt, Lernprodukte, Texte, Bilder, Uploads, KI-Chats und Hilfestellungen, Kompetenz- und Lernstandshinweise, Interessen, Lernpräferenzen oder Profilangaben, besondere Lernhinweise, soweit die Schule sie erfasst, sowie technische Nutzungsdaten. SynapAI verlangt für Lernende grundsätzlich keine private E-Mail-Adresse.

3.4 Unterrichtsmaterialien. Lehrpersonen können Materialien hochladen oder erfassen. Dabei können Dateien, PDFs, Bilder, Texte, Links, extrahierte Texte, Metadaten, KI-Analysen, abgeleitete Aufgaben, Glossare, Lernwege und Kompetenzzuordnungen verarbeitet werden. Der Kunde ist verantwortlich, dass Materialien rechtmässig verwendet werden dürfen.

3.5 KI-Daten. Zur Bereitstellung von KI-Funktionen können Eingaben, Materialien, Lernprodukte, Kontextinformationen, technische Metadaten und Ausgaben an KI-Dienstleister übermittelt werden, soweit dies für die jeweilige Funktion erforderlich ist. Wir bemühen uns, nur die für die Funktion erforderlichen Daten zu übermitteln.

3.6 Zahlungs- und Abonnementdaten. Soweit Online-Zahlung, Abonnements oder Rechnungsfunktionen aktiviert sind, können Rechnungsdaten, Kontaktdaten, Zahlungsstatus, Transaktionsinformationen und Zahlungsnachweise verarbeitet werden. Kartendaten werden grundsätzlich nicht lokal bei SynapAI gespeichert, sondern durch den Zahlungsdienstleister verarbeitet.

4. Zwecke der Bearbeitung

Wir bearbeiten Daten insbesondere für:

• Betrieb der Plattform;
• Login, Authentifizierung und Zugriffskontrolle;
• Klassen-, Schul- und Rollenverwaltung;
• Erstellung und Individualisierung von Lernwegen;
• Aufgaben, Feedback, Lernprodukte und Kompetenzübersichten;
• Materialanalyse;
• KI-gestützte Hilfestellungen;
• Support;
• Sicherheit und Missbrauchsprävention;
• Fehleranalyse und technische Protokollierung;
• Kosten- und Nutzungsstatistik;
• Abrechnung, Zahlungen und Vertragsverwaltung;
• Nachweis, Aufbewahrung und gesetzliche Pflichten.

5. Rechtsgrundlagen

Für Schulkunden richtet sich die Rechtsgrundlage primär nach dem Kunden und dem anwendbaren Schul-, Datenschutz- und Organisationsrecht. SynapAI bearbeitet Lernendendaten im Auftrag der Schule, soweit SynapAI als Auftragsbearbeiterin handelt.

Für eigene Bearbeitungen stützen wir uns je nach Fall auf Vertragserfüllung, vorvertragliche Massnahmen, berechtigte Interessen, Einwilligung, gesetzliche Pflichten oder andere anwendbare Rechtsgrundlagen.

6. Hosting, Speicherorte und technische Umgebungen

Die Produktivumgebung app.synapai.ch wird bei Hosttech am Serverstandort Richterswil, Schweiz betrieben. Datenbank, lokale Dateiablage, serverseitige Plattformlogs und Backups liegen nach aktuellem Betriebsmodell auf dieser Schweizer Serverumgebung, soweit sie nicht ausdrücklich an beigezogene Subprozessoren übermittelt werden.

Die öffentliche Website synapai.ch sowie Entwicklungs-, Preview-, Test- und Support-Infrastrukturen können technisch getrennt von der produktiven Schulplattform betrieben werden. Diese Umgebungen sind nicht als regulärer Speicherort für produktive Schul- oder Lernendendaten vorgesehen. Soweit dort technische Website-, Betriebs-, Test- oder Supportdaten anfallen, werden sie datenminimal behandelt und in der Subprozessorenliste berücksichtigt.

Bei KI-Dienstleistern, E-Mail-Diensten, DNS-Diensten, Codeverwaltung, Zahlungs-/Rechnungsdiensten, Support- oder Notfalldienstleistern können Daten in weiteren Ländern bearbeitet werden. Details ergeben sich aus der aktuellen Subprozessorenliste.

7. KI-Dienstleister und kein Modelltraining durch SynapAI

SynapAI nutzt KI-Dienstleister über API-Schnittstellen, insbesondere OpenAI API und Google/Gemini API, soweit diese in der jeweiligen Funktion aktiviert sind und die jeweils anwendbaren Anbieterbedingungen den konkreten Einsatz zulassen.

SynapAI verwendet Lernendendaten nicht für eigenes Modelltraining und gibt Lernendendaten nicht für Werbung weiter. Wir konfigurieren KI-Funktionen nach Möglichkeit datensparsam und beschränken übermittelte KI-Kontexte auf das für die Funktion Erforderliche.

Nach öffentlich dokumentierten Anbieterinformationen können für KI-API-Dienste je nach Anbieter, Tarif, Region, Funktion, Sicherheitsmonitoring und vertraglichen Zusatzbedingungen unterschiedliche Retention-, Prüf- und Nutzungsregeln gelten. Für schulische Produktivnutzung sollen nur bezahlte, vertraglich passende oder anderweitig freigegebene API-Konfigurationen eingesetzt werden. Die konkreten KI-Dienstleister und Hinweise werden in der Subprozessorenliste transparent geführt.

Die Anbieterin bestätigt, dass mit allen Subprozessoren aktuelle Datenschutzvereinbarungen (DPA/AVV/SCC/TIA) vorliegen bzw. vor Einsatz abgeschlossen werden. Für die Nutzung der Google/Gemini API in schulischem und minderjährigenrelevantem Kontext werden ausschliesslich bezahlte Education-/Enterprise-Konfigurationen mit geeigneten Datenschutzgarantien eingesetzt. Die produktive Nutzung der Google/Gemini API erfolgt erst nach datenschutzrechtlicher und technischer Prüfung.

Wichtig: KI-Funktionen können personenbezogene Inhalte verarbeiten, wenn Nutzende solche Inhalte eingeben oder hochladen. Deshalb empfehlen wir pseudonyme Lernendenkonten und datensparsame Eingaben.

8. Weitergabe an Dritte und Subprozessoren

Wir geben Daten nur weiter, wenn dies erforderlich ist, insbesondere an:

• Hosting- und Infrastrukturpartner;
• KI-Dienstleister;
• DNS-, E-Mail- und Kommunikationsdienste;
• Zahlungs- und Rechnungsdienstleister, soweit eingesetzt;
• Codeverwaltungs- oder Deploymentdienste, soweit erforderlich und ohne regulären Kundendatenbetrieb;
• Support-, Wartungs- oder Notfalldienstleister;
• Behörden, Gerichte oder andere Stellen, wenn rechtlich erforderlich;
• Subprozessoren gemäss AVV und Subprozessorenliste.

Wir verkaufen keine Lernendendaten.

9. Aufbewahrung und Löschung

Daten werden so lange aufbewahrt, wie es für Unterricht, Vertrag, Support, Sicherheit, Nachweis, Abrechnung oder gesetzliche Pflichten erforderlich ist. Für Schulkunden gelten zusätzlich AVV, Lizenzvertrag und Löschkonzept.

Nach Vertragsende können Daten exportiert, gelöscht oder anonymisiert werden. Backups werden im regulären Backupzyklus überschrieben oder gelöscht. Eine gezielte Löschung einzelner Datensätze aus Backups erfolgt nur, soweit dies nach aktuellem Betriebsstand umgesetzt, dokumentiert und vertraglich vereinbart ist.

10. Sicherheit, Supportzugriffe und Monitoring

Wir treffen angemessene technische und organisatorische Massnahmen, insbesondere HTTPS, rollenbasierte Zugriffe, Mandantentrennung, Passwort-Hashing, geschützte Uploads, Protokollierung relevanter Ereignisse, Beschränkung produktiver Zugriffe sowie Backup- und Wiederherstellungsprozesse für die Schweizer Produktivumgebung, nach aktuellem Betriebsstand umgesetzt und dokumentiert. Absolute Sicherheit kann nicht garantiert werden.

Zugriff auf produktive Kundendaten erhalten nur berechtigte Personen von SynapAI / CINE ALIGN GmbH, insbesondere Geschäftsleitung und technisch oder supportseitig zuständige Mitarbeitende. Ein Zugriff erfolgt nur, soweit dies für Betrieb, Supportanfragen, Fehleranalyse, Sicherheit, Missbrauchsprävention, Wartung, Vertragsdurchführung oder gesetzliche Pflichten erforderlich ist.

SynapAI beachtet den Grundsatz der Datenminimierung. Eine anlasslose inhaltliche Auswertung von Lernendendaten oder Unterrichtsinhalten durch Support findet nicht statt. Support- und Betreiberzugriffe werden nach aktuellem Betriebsstand protokolliert und dokumentiert. Alle zugriffsberechtigten Personen sind zur Vertraulichkeit verpflichtet.

Server- und Applikationslogs werden grundsätzlich auf der Hosttech-Serverumgebung in Richterswil, Schweiz verarbeitet. Ein separater dauerhafter externer Monitoring-/Logging-Anbieter wird nach aktuellem Betriebsmodell nicht eingesetzt. eminiarts GmbH kann bei Bedarf ausschliesslich in Notfällen für Monitoring, technische Unterstützung, Fehleranalyse oder Sicherheits-/Betriebsstabilisierung beigezogen werden.

11. Rechte betroffener Personen

Betroffene Personen können je nach anwendbarem Recht Auskunft, Berichtigung, Löschung, Einschränkung, Herausgabe oder Widerspruch verlangen. Bei schulischer Nutzung ist in der Regel die Schule, der Schulträger oder die Institution erste Ansprechstelle für Lernendendaten. Anfragen, die Kundendaten betreffen, können wir an den verantwortlichen Kunden weiterleiten.

12. Minderjährige

SynapAI wird im schulischen Kontext eingesetzt. Der Kunde ist verantwortlich, Lernende und Erziehungsberechtigte angemessen zu informieren und erforderliche Grundlagen, Weisungen oder Zustimmungen sicherzustellen. SynapAI richtet sich nicht an eine direkte private Nutzung durch Kinder ohne Schule, Lehrperson oder Erziehungsberechtigte, sofern nicht separat vereinbart und abgesichert.

13. Änderungen

Wir können diese Datenschutzerklärung anpassen. Die aktuelle Version wird online oder auf Anfrage bereitgestellt. Wesentliche Änderungen werden Kunden in geeigneter Weise mitgeteilt.