Datenschutzerklärung

Wir zählen Seitenaufrufe mit Vercel Web Analytics. Es verwendet keine Cookies und folgt Ihnen nicht auf andere Websites. Zu jedem Seitenaufruf erfasst es die Seite, woher der Besuch kam, Ihr Land, Ihre Region und Ihre Stadt sowie Ihren Browser- und Gerätetyp; Vercel bildet aus Ihrer Anfrage — einschliesslich Ihrer IP-Adresse — eine kurzlebige Kennung und verwirft sie nach 24 Stunden. Wir selbst sehen Ihre IP-Adresse nie, und Pfade innerhalb Ihres Kontos werden gekürzt, bevor das Ereignis Ihren Browser verlässt.

Vercel Speed Insights misst Ladegeschwindigkeit, Reaktionsfähigkeit und visuelle Stabilität (Core Web Vitals), damit wir die Leistung verbessern können. Die Messungen umfassen Seiten-URL, Route, Netzwerk, Browser, Gerät und Land, ohne einzelne Besucher zu identifizieren. Konto-URLs werden vor dem Versand gekürzt.

Seitenaufrufe zählen wir auch mit PostHog, mit Standort Frankfurt, auf dieselbe Weise ohne Cookies — für alle. Solange Sie die Frage zur Nutzungsanalyse nicht beantwortet haben, und wenn Sie ablehnen, berechnet PostHog auf seinen Servern einen kurzlebigen Hash, der noch am selben Tag gelöscht wird. Damit zählt PostHog den Besuch einmal und sieht, wie er verlief: welche Seiten geöffnet wurden, wie schnell sie luden, wie lange jede offen blieb und wie weit gescrollt wurde, und welche Links, Schaltflächen und Formulare benutzt wurden. Kein Cookie, nichts in Ihrem Browser gespeichert, keine Identität: Der Besuch lässt sich weder mit einem anderen Tag noch mit einem Konto verknüpfen. Eine Ablehnung kostet Sie keinen Teil der öffentlichen Website.

Wenn Sie der Nutzungsanalyse zustimmen, erfasst PostHog zusätzlich, wie die App tatsächlich genutzt wird, verknüpft mit Ihrem Konto: welche Bildschirme Sie geöffnet haben, was Sie angeklickt haben, und eine Wiedergabe dieser Bildschirme. Eingabefelder und markierte persönliche Inhalte werden maskiert und Dokumentvorschauen blockiert, bevor die Aufzeichnung Ihren Browser verlässt, und die Ereignisse enthalten nur Kennungen und Kategorien — nie den Inhalt eines Dokuments, einen Dateinamen oder einen Betrag in Franken. Die Cookie-Richtlinie erklärt, wie Sie diese Wahl ändern.

Sobald Sie ein Konto haben, zeichnen wir zusätzlich auf unseren eigenen Servern eine kleine Zahl von Produktereignissen auf, unabhängig davon, ob Sie der Nutzungsanalyse zugestimmt haben: dass das Konto erstellt, eine Steuererklärung begonnen, ein Dokument empfangen, ein Leitfaden fertig, eine Zahlung getätigt wurde, und Ähnliches. Jedes trägt Ihre Kontokennung, die betroffene Steuererklärung, Ihren Kanton und Ihre Sprache, und — wenn Sie über einen Partnerlink gekommen sind — welchen. Sie enthalten kein Dokument und keinen Dateinamen, und der einzige Betrag ist der Preis, den Sie bezahlt haben. Sie setzen kein Cookie und gehen in die EU-Cloud von PostHog in Frankfurt, und einige davon erreichen Google Ads, wie in §03 beschrieben. Wir zeichnen sie aufgrund unseres berechtigten Interesses auf, zu wissen, ob der Dienst funktioniert und welche Partner uns Kundinnen und Kunden bringen (Art. 6 DSG; Art. 6 Abs. 1 lit. f DSGVO, soweit anwendbar). Die Bildschirmaufzeichnung und die Verknüpfung zwischen Ihrem Browser und Ihrem Konto bleiben an Ihre Zustimmung gebunden. Wir verwenden keine Werbe-Tracker oder Marketing-Pixel von Drittanbietern und erstellen keine Verhaltensprofile. Ihr Passwort wird als kryptografischer Einweg-Hash gespeichert — wir sehen es nie. Kartennummern, CVVs und Bankdaten gehen direkt an Stripe und erreichen unsere Server nie.

Ihre Steuerdokumente sind die sensibelsten Daten, die wir verarbeiten. Sie können Einkommens- und Finanzdaten, amtliche Identifikationsdaten (AHV-Nummer), gesundheitsnahe Daten (Invalidität, Krankheitskosten) sowie Familien- und Vermögensdaten enthalten.

Wir bearbeiten Ihre Dokumente zur Erfüllung unseres Vertrags mit Ihnen (Art. 31 Abs. 2 lit. a DSG). Wir holen dafür keine separate Einwilligung ein, und Sie müssen keine erteilen. Sie können die Bearbeitung jederzeit beenden, indem Sie das Dokument oder Ihr Konto löschen.

Dokumente werden in Supabase Storage in einem verschlüsselten Bucket gespeichert, auf den nur Ihr Konto zugreifen kann. Row Level Security erzwingt die Trennung je Nutzerkonto auf Datenbankebene. AES-256 im Ruhezustand, TLS 1.3 bei der Übertragung. Andere Nutzerinnen und Nutzer können nie auf Ihre Dateien zugreifen.

Wie die KI Ihre Dokumente tatsächlich liest, was Microsoft und Anthropic erhalten, die Zusagen, Ihre Daten nicht zum Trainieren von KI-Modellen zu verwenden, und die Aufbewahrungsrichtlinien der Anbieter sind alle im KI-Hinweis beschrieben.

Wir geben Ihre Daten an die unten aufgeführten Dienstleister weiter und, um unsere Anzeigen zu messen, an Google, wie nach der Tabelle beschrieben. Wir verkaufen Ihre Daten nicht. Jeder Dienstleister hat mit uns eine Auftragsverarbeitungsvereinbarung geschlossen oder wird von einem solchen Dienstleister beigezogen und unten entsprechend bezeichnet, mit Standardvertragsklauseln (SCCs), sofern diese für Übermittlungen ausserhalb der Schweiz erforderlich sind.

Google Ads. Wenn Sie über eine unserer Google-Anzeigen zu uns kommen und danach ein Konto erstellen, speichern wir die Klick-ID aus diesem Link. PostHog meldet Google Ads dann, wenn Sie das Konto erstellen, einen Steuerauszug erzeugen, die erste Karte Ihres Leitfadens erhalten und bezahlen, und wie viel Sie bezahlt haben. Google erhält sonst nichts über Sie. Google nutzt diese Angaben als eigenständiger Verantwortlicher, um uns zu zeigen, welche Anzeigen uns Kundinnen und Kunden bringen, und kann sie in den USA unter dem Swiss–U.S. Data Privacy Framework verarbeiten. Wir stützen uns auf unser berechtigtes Interesse, unsere Anzeigen zu messen (Art. 6 Abs. 1 lit. f DSGVO, soweit anwendbar). Um zu widersprechen, schreiben Sie an contact@papertax.ch.

Wenn Sie uns eine E-Mail schreiben, erreicht Ihre Nachricht Resend in den Vereinigten Staaten, und ein kurzer Auszug wird in einen privaten Discord-Kanal gestellt, den unser Team liest. Senden Sie keine Steuerdokumente per E-Mail. Laden Sie sie stattdessen in der App hoch, wo sie auf dem oben beschriebenen Weg bleiben.

Wenn wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, aktualisieren wir diese Richtlinie und informieren Sie mindestens 30 Tage vor Inkrafttreten der Änderung per E-Mail. Wir geben Nutzerdaten nur weiter, wenn dies gesetzlich durch eine verbindliche Anfrage zuständiger Schweizer Behörden nach Schweizer Recht vorgeschrieben ist, und Anfragen, an denen wir Zweifel haben, fechten wir an, bevor wir ihnen nachkommen.

Für verschiedene Datenarten gelten unterschiedliche Aufbewahrungsfristen. Die Tabelle erklärt die Regeln für von PaperTax gespeicherte Daten.

• Verschlüsselt — AES-256 im Ruhezustand, TLS 1.3 bei der Übertragung
• Isoliert — Row Level Security auf Datenbankebene, nicht nur auf Anwendungsebene
• Kurzlebige Sitzungen — Anmeldesitzungen erneuern sich und laufen automatisch ab
• Keine Kartendaten auf unseren Servern — Zahlungsdetails gehen direkt an Stripe

Falls eine Datenschutzverletzung voraussichtlich ein hohes Risiko für Ihre Personendaten zur Folge hat, informieren wir den EDÖB so rasch wie möglich über dessen Online-Formular DataBreach und benachrichtigen Sie direkt, wenn dies zu Ihrem Schutz erforderlich ist.

Nach dem Schweizer revDSG und der EU-DSGVO haben Sie die nachstehenden Rechte. Schreiben Sie uns an contact@papertax.ch, um eines davon geltend zu machen. Wir bestätigen den Eingang innerhalb von 5 Werktagen und geben Ihnen innerhalb von 30 Tagen eine inhaltliche Antwort.

• Auskunft — erfahren, welche Daten wir haben, und eine Kopie erhalten
• Berichtigung — unrichtige Daten korrigieren lassen
• Löschung — löschen Sie Ihre Daten über die Kontoeinstellungen → Konto löschen. Dokumente, Leitfaden-Daten und Ihr Konto werden sofort entfernt. Die einzigen Ausnahmen sind der Zahlungsbeleg, den wir nach Schweizer Rechnungslegungsrecht 10 Jahre aufbewahren müssen (Art. 958f OR, Art. 70 Abs. 2 MWSTG), und Server-Sicherheitsprotokolle (bis zu 90 Tage im Rahmen des berechtigten Interesses zur Betrugserkennung) — beide in §04 aufgeführt
• Einschränkung — Verarbeitung während eines Streitfalls pausieren
• Datenübertragbarkeit — Ihre Daten im JSON-Format erhalten
• Widerspruch — Verarbeitung, die auf berechtigtem Interesse beruht, stoppen lassen

Schweizer Aufsichtsbehörde: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Feldeggweg 1, CH-3003 Bern. Personen mit Wohnsitz in der EU/im EWR können sich an ihre lokale Datenschutzbehörde wenden (Liste auf edpb.europa.eu).

Wir verwenden essenzielle Cookies, die Sie angemeldet halten, sowie Analyse-Cookies, die nur bei Ihrer Zustimmung gesetzt werden — keine Werbe-Cookies und kein websiteübergreifendes Tracking. Die vollständige Übersicht finden Sie in der Cookie-Richtlinie.

PaperTax ist nicht für Personen unter 18 Jahren bestimmt. Wenn Sie vermuten, dass eine minderjährige Person ein Konto erstellt hat, schreiben Sie uns eine E-Mail, und wir löschen es.

Bei wesentlichen Änderungen informieren wir Sie mindestens 30 Tage vor deren Inkrafttreten per E-Mail. Die fortgesetzte Nutzung nach dem Inkrafttreten gilt als Zustimmung. Bei Abweichungen zwischen der englischen Fassung und einer Übersetzung ist die englische Fassung massgebend.