Datenschutzerklärung

Verantwortlich für die Datenbearbeitung ist die Lemon Juice GmbH, Unternbergstrasse 30A, 5023 Biberstein, Schweiz. Für alle Fragen zum Datenschutz erreichen Sie uns unter hallo@bilano.ch.

Diese Erklärung gilt für die Website bilano.ch, für den Dienst Bilano unter app.bilano.ch, auth.bilano.ch und mcp.bilano.ch sowie für die Browser-Erweiterung «Bilano für Bexio». Massgebend ist das Schweizer Datenschutzgesetz (DSG).

• Ihre Buchhaltungsdaten aus bexio speichern wir nicht. Bilano holt sie bei jeder Anfrage frisch, gibt sie an das Sprachmodell weiter und verwirft sie nach der Antwort.
• Chatverläufe speichern wir nicht. Der Verlauf liegt nur in Ihrem Browser und ist weg, sobald Sie einen neuen Chat beginnen.
• Ihr bexio-Passwort sehen wir nie. Wir erhalten ein Zugriffstoken und speichern es mit AES-256-GCM verschlüsselt.
• Die Sprachmodelle laufen bei Infomaniak in Genf und Zürich. Ihre Eingaben werden dort nicht zum Training verwendet.
• Buchhaltungsdaten verlassen die Schweiz nur, wenn Sie selbst einen externen Assistenten wie Claude oder ChatGPT anbinden.

Die Website bilano.ch wird von der Vercel Inc., USA, ausgeliefert. Beim Aufruf verarbeitet Vercel technisch notwendige Angaben wie IP-Adresse, aufgerufene Seite, Zeitpunkt, Browser und Betriebssystem, um die Seite auszuliefern und Angriffe abzuwehren. Die Website setzt selbst keine Cookies. Schriften liefern wir von unseren eigenen Servern aus, ohne Verbindung zu Google.

Buchhaltungsdaten erreichen die Website nie: Der Dienst Bilano läuft getrennt davon in der Schweiz, siehe Ziffer 7.

Diese Website nutzt Vercel Web Analytics, um zu verstehen, welche Seiten und Inhalte genutzt werden. Die Erhebung erfolgt ohne Cookies und ohne geräteübergreifende Wiedererkennung. Erfasst werden aufgerufene Seiten, ungefähre Herkunft, Gerätetyp und anonyme Interaktionen wie geöffnete Fragen oder gewählte Beispiele. Es werden keine IP-Adressen gespeichert und keine Angaben erhoben, die Sie als Person identifizierbar machen. Betrieben wird die Auswertung durch die Vercel Inc., USA.

Diese Website bindet ein Skript von lemlist ein, mit dem wir erkennen, aus welchen Unternehmen unsere Website besucht wird. Dazu wird Ihre IP-Adresse an lemlist übermittelt und, soweit möglich, dem Unternehmen zugeordnet, aus dessen Netzwerk der Besuch erfolgt. Das Skript kann dafür eine Kennung in Ihrem Browser hinterlegen. Rufen Sie die Website über einen Link aus einer E-Mail von uns auf, kann der Besuch auch Ihrer Kontaktadresse in unserer lemlist-Datenbank zugeordnet werden.

Wir nutzen diese Angaben ausschliesslich, um Unternehmen, die sich für Bilano interessieren, gezielt anzusprechen. Betrieben wird der Dienst von lemlist mit Sitz in Paris, Frankreich, einem Land, dessen Datenschutzniveau der Bundesrat als angemessen anerkennt. Sie können die Erfassung unterbinden, indem Sie Skripte von app.lemlist.com in Ihrem Browser blockieren, etwa mit einem Werbe- oder Tracking-Blocker.

Schreiben Sie uns über das Kontaktformular, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und Ihre Nachricht, um Ihnen zu antworten. Das Formular schickt die Angaben als E-Mail über den Schweizer Anbieter Infomaniak an hallo@bilano.ch. Wir geben sie nicht weiter und bewahren sie so lange auf, wie die Korrespondenz mit Ihnen dauert.

Kontaktieren Sie uns per WhatsApp (+41 77 423 90 80), gelten zusätzlich die Datenschutzbestimmungen von WhatsApp (Meta Platforms Ireland Ltd., Irland). WhatsApp verarbeitet dabei Ihre Telefonnummer und Metadaten zur Unterhaltung. Wählen Sie diesen Kanal nur, wenn Sie damit einverstanden sind; E-Mail und Formular stehen Ihnen immer offen.

Der Dienst Bilano (app.bilano.ch, auth.bilano.ch, mcp.bilano.ch) läuft auf Infrastruktur der Infomaniak Network SA, Genf, in Rechenzentren in der Schweiz. Infomaniak ist unsere Auftragsbearbeiterin und hat keine US-Muttergesellschaft. Die Datenbank liegt auf demselben System und ist nicht aus dem Internet erreichbar. Alle Verbindungen sind mit TLS verschlüsselt.

Beim Zugriff auf den Dienst protokollieren unsere Server IP-Adresse, aufgerufenen Pfad, Zeitpunkt und Browser. Diese Zugriffsprotokolle dienen der Fehlersuche und der Abwehr von Angriffen und werden nach höchstens 30 Tagen gelöscht. Inhalte Ihrer Anfragen enthalten sie nicht.

Sie melden sich mit Ihrem bestehenden bexio-Login über OpenID Connect direkt bei bexio an. Ihr Passwort erreicht uns dabei nie. Von bexio erhalten wir eine Benutzerkennung, Ihren Namen, Ihre E-Mail-Adresse, die Kennung und den Namen des verbundenen Mandanten sowie dessen Firmenlogo. Diese Angaben speichern wir, um Ihr Konto zu führen, Ihnen Ihre Mandanten anzuzeigen und Ihren Tarif zuzuordnen.

Das Zugriffstoken für bexio speichern wir mit AES-256-GCM verschlüsselt in unserer Datenbank. Der Schlüssel liegt ausserhalb der Datenbank. Bilano arbeitet ausschliesslich mit den Rechten des Benutzers, der die Verbindung eingerichtet hat: Wer in bexio keinen Zugriff auf einen Bereich hat, erhält ihn auch über Bilano nicht.

Für die Anmeldung setzen wir ein technisch notwendiges Session-Cookie («bilano_session»), gültig für 30 Tage, beschränkt auf bilano.ch. Es enthält nur eine signierte Kontokennung. Weitere Cookies setzt der Dienst nicht.

Stellen Sie eine Frage, holt Bilano die dafür nötigen Daten über die offizielle bexio-Schnittstelle: etwa Kontakte, Offerten, Rechnungen, Buchungen, Projekte oder Stunden. Diese Daten speichern wir nicht. Sie werden für die Dauer der Anfrage im Arbeitsspeicher gehalten, an das Sprachmodell weitergegeben und danach verworfen. Es gibt bei uns keine Kopie Ihrer Buchhaltung.

Zwei Ausnahmen, beide flüchtig: Das Firmenprofil (Name, Land, MWST-Nummer, Name und E-Mail-Adresse der angemeldeten Person, laufendes Geschäftsjahr) halten wir bis zu zehn Minuten im Arbeitsspeicher, damit nicht jede Frage es neu laden muss. Dokumente wie Rechnungs-PDFs, die Sie im Chat abrufen, halten wir bis zu 30 Minuten im Arbeitsspeicher, damit Sie sie herunterladen können. Beides wird nie auf einen Datenträger geschrieben.

Schreibende Aktionen (Offerte anlegen, Rechnung ausstellen, Stunden erfassen) führt Bilano nur auf Ihre Anweisung aus und nur im Pro-Tarif. Lohndaten und Dateien fragt Bilano standardmässig nicht ab; diese Bereiche müssen Sie in den Einstellungen bewusst einschalten.

Ihre Fragen beantworten Sprachmodelle, die bei Infomaniak in Genf und Zürich laufen, auf ISO 27001-zertifizierter Infrastruktur. An das Modell gehen Ihre Frage, der bisherige Verlauf der Unterhaltung, das Firmenprofil nach Ziffer 9 sowie die aus bexio abgerufenen Daten, die für die Antwort nötig sind. Textanhänge gehen mit; Bilder und PDF nur, wenn das Modell sie verarbeiten kann.

Infomaniak verarbeitet diese Inhalte als unsere Auftragsbearbeiterin. Sie verwendet sie gemäss ihren Vertragsbedingungen weder zum Training von Modellen noch speichert sie sie über die Beantwortung hinaus. Ein US-Unternehmen ist auf diesem Weg nicht beteiligt.

Chatverläufe speichern wir nicht. Jede Antwort wird aus dem Verlauf berechnet, den Ihr Browser mitschickt; auf unseren Servern bleibt davon nichts zurück. Beginnen Sie einen neuen Chat, ist der alte Verlauf weg.

Was wir festhalten, ist ein Zähler: pro Konto und Kalendermonat die Anzahl der Anfragen, getrennt nach Chat und angebundenen Assistenten. Er dient der Abrechnung und der fairen Nutzung. Inhalte enthält er nicht.

Sie können Bilano über die MCP-Schnittstelle mit einem externen Assistenten wie Claude, ChatGPT oder Cursor verbinden. Das ist Ihre Entscheidung und keine Voreinstellung. Der Assistent erhält dafür ein eigenes Bilano-Token; Ihr bexio-Token verlässt unseren Server nie. Wir speichern, welche Apps Sie verbunden haben und wann.

Sobald ein angebundener Assistent Daten aus bexio abruft, verarbeitet dessen Anbieter diese Daten nach seinen eigenen Regeln für Aufbewahrung und Training, in aller Regel in den USA. Für diese Weiterverarbeitung ist der Anbieter des Assistenten verantwortlich, nicht wir. Prüfen Sie dessen Datenschutzbestimmungen, bevor Sie die Verbindung herstellen. Sie können jede Verbindung in den Einstellungen mit einem Klick widerrufen.

Den Pro-Tarif rechnen wir über Stripe ab (Stripe Payments Europe Ltd., Dublin, Irland, mit Muttergesellschaft Stripe Inc., USA). Stripe erhält von uns Ihre E-Mail-Adresse und den Firmennamen und erhebt beim Bezahlen Rechnungsadresse, allenfalls die UID-Nummer sowie Ihre Zahlungsmittel. Kartendaten sehen und speichern wir nie. Bei uns bleiben nur die Stripe-Kundennummer, der Abo-Status und das Ende der laufenden Abrechnungsperiode.

Stripe kann Daten in die USA übermitteln. Stripe ist nach dem Swiss-U.S. Data Privacy Framework zertifiziert; darüber hinaus stützt sich die Übermittlung auf Standardvertragsklauseln. Rechnungen und Zahlungsbelege bewahren wir nach Art. 958f OR zehn Jahre auf.

Die Erweiterung «Bilano für Bexio» zeigt den Bilano-Chat als Seitenleiste in Chrome. Sie liest keine Webseite, auch nicht die bexio-Oberfläche, speichert nichts im Browser und verbindet sich ausschliesslich mit app.bilano.ch und auth.bilano.ch. Sie verwendet das Session-Cookie nach Ziffer 8. Es gelten dieselben Regeln wie für den Dienst.

Neben den genannten Anbietern erhalten folgende Stellen Daten von uns:

• bexio AG, Rapperswil: Quellsystem Ihrer Buchhaltung. Bilano greift in Ihrem Auftrag über die bexio-Schnittstelle zu; für bexio selbst gelten die Datenschutzbestimmungen der bexio AG.
• GitHub (Microsoft Corporation, USA): Wir beziehen die Software-Pakete des Dienstes von dort. Kundendaten fliessen dabei keine.
• Behörden und Gerichte, wenn wir rechtlich dazu verpflichtet sind.

Unsere Mitarbeitenden mit Betriebszugang sehen Kontodaten, Tarife und Nutzungszähler, nie Ihre Buchhaltungsdaten und nie Chatinhalte. Technisch ist beides aus dem Betriebsbereich nicht erreichbar.

Ihre Buchhaltungsdaten bleiben im Normalbetrieb in der Schweiz. Andere Personendaten gelangen an Empfänger in Irland und Frankreich (EU, angemessenes Datenschutzniveau gemäss Bundesrat) und in die USA: Vercel für die Website, Stripe für Zahlungen, GitHub für den Bezug der Software. Für Empfänger in den USA stützen wir uns auf das Swiss-U.S. Data Privacy Framework, soweit der Empfänger zertifiziert ist, und sonst auf Standardvertragsklauseln. Binden Sie einen externen Assistenten an, gelangen Daten zusätzlich an dessen Anbieter, siehe Ziffer 12.

• Buchhaltungsdaten und Chatverläufe: nie gespeichert.
• bexio-Zugriffstoken: gelöscht, sobald Sie das Konto in den Einstellungen trennen. Alle verbundenen Assistenten verlieren damit sofort den Zugriff.
• Kontodaten (Name, E-Mail-Adresse, Mandantenname, Logo), Abo-Status und Nutzungszähler: bis Sie die Löschung Ihres Kontos verlangen. Schreiben Sie dafür an hallo@bilano.ch; wir löschen innert 30 Tagen.
• Sicherungskopien der Datenbank: 14 Tage. Gelöschte Daten verschwinden nach dieser Frist auch aus den Sicherungen.
• Zugriffsprotokolle der Server: höchstens 30 Tage.
• Rechnungen und Zahlungsbelege: zehn Jahre, Art. 958f OR.
• Korrespondenz aus Kontaktformular und E-Mail: für die Dauer der Korrespondenz.

Sie haben das Recht auf Auskunft über Ihre Personendaten (Art. 25 DSG), auf Berichtigung, auf Löschung, auf Herausgabe in einem gängigen Format (Art. 28 DSG) und auf Widerspruch gegen eine Bearbeitung. Schreiben Sie dazu an hallo@bilano.ch. Wir antworten innert 30 Tagen. Sie können sich zudem an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden.

Wir passen diese Erklärung an, wenn sich der Dienst oder das Recht ändert. Massgebend ist die Fassung auf dieser Seite; das Datum am Anfang zeigt den Stand. Bei wesentlichen Änderungen informieren wir angemeldete Kundinnen und Kunden per E-Mail oder im Dienst.