Datenschutzerklärung

1. Verantwortlicher

Der Verantwortliche für die Bearbeitung Ihrer Personendaten ist:

Norena Technologies AG Wadsack Zug AG Bahnhofstrasse 7, 6300 Zug, Schweiz CHE-202.093.568 E-Mail: privacy@norena.ai

2. Geltungsbereich & Anwendbarkeit

Diese Datenschutzerklärung gilt für alle Personendaten, die über die mobile Norena-Anwendung («App»), die Website unter norena.ai («Website») und alle damit verbundenen Dienste (zusammen die «Dienste») erhoben werden. Diese Erklärung gilt für alle Nutzer, einschliesslich Teilnehmer unseres Pilotprogramms.

Die Dienste sind für die Nutzung durch Erwachsene konzipiert, einschliesslich älterer Personen und ihrer Betreuungspersonen. Wenn Sie die Dienste im Namen einer anderen Person einrichten oder verwalten, sind Sie dafür verantwortlich, sicherzustellen, dass diese Person die in dieser Erklärung beschriebene Datenbearbeitung versteht und, soweit möglich, ihr zustimmt.

3. Pilotprogramm & Besondere Bedingungen

Mit der Teilnahme am Norena-Pilotprogramm bestätigen und stimmen Sie den folgenden zusätzlichen Bedingungen zu:

Entwicklungsnutzung: Alle während der Pilotphase erhobenen Daten, einschliesslich Sprachaufnahmen, Gesprächstranskripte, Nutzungsmuster und aller anderen durch Ihre Nutzung der Dienste erzeugten Daten, dürfen von Norena Technologies AG für Produktentwicklung, Verbesserung, Tests, Training von KI-Modellen, Analysen und Forschungszwecke verwendet werden.
Einwilligung als Zugangsvoraussetzung: Ihre Einwilligung in diese Datennutzung ist Voraussetzung für den Zugang zum Pilotprogramm. Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie uns unter privacy@norena.ai kontaktieren. Der Widerruf berührt die Rechtmässigkeit der vor dem Widerruf erfolgten Bearbeitung nicht.
De-Identifizierung: Für Entwicklungszwecke verwendete Daten werden mit branchenüblichen Verfahren de-identifiziert (wie Pseudonymisierung, Stimmanonymisierung und Entfernung identifizierender Metadaten). Aufgrund der Natur von Sprach- und Gesprächsdaten kann eine vollständige Anonymisierung jedoch nicht immer gewährleistet werden. Wo eine echte Anonymisierung erreicht wird, fallen die Daten nicht mehr in den Anwendungsbereich des Datenschutzrechts und können ohne Einschränkung aufbewahrt werden.
Dauer: Diese pilotspezifischen Bedingungen gelten für die Dauer des Pilotprogramms und für einen Zeitraum von fünf (5) Jahren danach, während dessen Norena Technologies AG das Recht behält, zuvor erhobene Pilotdaten für die oben genannten Zwecke zu verwenden.

4. Daten, die wir erheben

4.1 Daten, die Sie direkt angeben

Name, E-Mail-Adresse und Kontaktdaten (Registrierung)
Rolle oder Beziehung zum Endnutzer (z. B. Familienmitglied, Betreuungsperson)
Sprachaufnahmen und Gesprächstranskripte
Profilinformationen über den Endnutzer (Gesundheitsnotizen, Präferenzen, Medikamentenpläne)
Alle weiteren Informationen, die Sie freiwillig über die Dienste übermitteln

4.2 Automatisch erhobene Daten

Geräteinformationen (Gerätetyp, Betriebssystem, eindeutige Kennungen)
Nutzungsdaten (verwendete Funktionen, Sitzungsdauer, Interaktionsmuster)
Protokolldaten (IP-Adresse, Zugriffszeiten, App-Abstürze, Systemaktivität)
Cookies und ähnliche Technologien auf der Website (siehe Abschnitt 16)

4.3 Besonders schützenswerte Personendaten

Die Dienste bearbeiten folgende Kategorien besonders schützenswerter Personendaten gemäss Art. 5 Abs. 1 Bst. c DSG:

Gesundheitsbezogene Daten (z. B. Medikamentenerinnerungen, Wellness-Check-ins, Gesundheitsnotizen)
Biometrische Daten: Sprachaufnahmen, die eine natürliche Person eindeutig identifizieren können

Mit der Nutzung der Dienste willigen Sie ausdrücklich in die Bearbeitung solcher besonders schützenswerter Personendaten gemäss dieser Erklärung ein, in Übereinstimmung mit Art. 6 Abs. 7 Bst. a DSG. Sie können diese Einwilligung jederzeit widerrufen (siehe Abschnitt 10 unten), wobei der Widerruf die Funktionalität der Dienste einschränken kann.

5. Zwecke der Bearbeitung

Wir bearbeiten Ihre Personendaten für folgende Zwecke:

Bereitstellung, Betrieb und Wartung der Dienste
Bereitstellung personalisierter KI-Begleit-Interaktionen
Versand von Medikamentenerinnerungen und Wellness-Check-ins
Erstellung und Bewahrung von Lebensgeschichten und Erinnerungsstücken
Kommunikation mit Ihnen über Ihr Konto und die Dienste
Produktentwicklung, Verbesserung und Forschung (insbesondere während des Pilotprogramms)
Training und Optimierung von KI-Modellen
Gewährleistung der Sicherheit, Betrugsprävention und Durchsetzung unserer Bedingungen
Erfüllung gesetzlicher Verpflichtungen nach Schweizer Recht

6. Rechtsgrundlage

Nach Schweizer Datenschutzrecht ist die Bearbeitung von Personendaten durch Privatpersonen grundsätzlich zulässig, sofern sie nicht die Persönlichkeitsrechte der betroffenen Person verletzt (Art. 30 DSG). Eine Verletzung der Persönlichkeitsrechte ist rechtswidrig, es sei denn, sie ist durch Einwilligung, ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt (Art. 31 DSG).

Wir stützen uns auf folgende Rechtfertigungsgründe für die Bearbeitung Ihrer Daten:

Einwilligung (Art. 6 Abs. 6–7 DSG): Wir holen Ihre ausdrückliche Einwilligung für die Bearbeitung besonders schützenswerter Personendaten (Gesundheitsdaten, biometrische Sprachdaten) und für die Verwendung Ihrer Daten für das KI-Modell-Training während des Pilotprogramms ein.
Vertragserfüllung (Art. 6 Abs. 3 DSG): Wir bearbeiten Daten, soweit dies zur Erbringung der von Ihnen angeforderten Dienste erforderlich ist.
Überwiegende Interessen (Art. 31 Abs. 2 DSG): Wir bearbeiten Daten für Analysen, Sicherheit und Produktverbesserung, sofern unsere berechtigten Geschäftsinteressen nicht durch Ihre Rechte überwiegen.
Gesetzliche Verpflichtungen: Soweit nach Schweizer Recht erforderlich.

7. Datenweitergabe & Dritte

Wir verkaufen Ihre Personendaten nicht. Wir können Daten an folgende Kategorien von Empfängern weitergeben:

Dienstleister: Cloud-Hosting, KI-Verarbeitung, Analyse- und Kommunikationsdienste, die Daten in unserem Auftrag unter strengen vertraglichen Verpflichtungen bearbeiten
Familienmitglieder und Betreuungspersonen: Bestimmte Daten (Wellness-Zusammenfassungen, Geschichten, Statusaktualisierungen) können mit bestimmten Familienmitgliedern oder Betreuungspersonen geteilt werden, wie von Ihnen oder Ihrer bevollmächtigten Vertretung konfiguriert. Sie können diese Freigabeeinstellungen jederzeit in der App oder durch Kontaktaufnahme mit uns ändern oder widerrufen.
Gesetzliche Anforderungen: Soweit nach Schweizer Recht, Gerichtsbeschluss oder behördlicher Anordnung erforderlich
Unternehmenstransaktionen: Im Zusammenhang mit einer Fusion, Übernahme oder einem Verkauf von Vermögenswerten, vorbehaltlich üblicher Vertraulichkeitsverpflichtungen

8. Internationale Datenübermittlungen

Ihre Daten können in Länder ausserhalb der Schweiz übermittelt und dort bearbeitet werden. Bei solchen Übermittlungen stellen wir ein angemessenes Datenschutzniveau sicher durch:

Übermittlungen in Länder, die vom Schweizerischen Bundesrat als angemessen anerkannt sind
Vom EDÖB genehmigte Standardvertragsklauseln
Andere angemessene Garantien gemäss Art. 16–17 DSG

9. Datenaufbewahrung

Wir bewahren Personendaten nur so lange auf, wie es zur Erfüllung der in dieser Erklärung beschriebenen Zwecke erforderlich ist, es sei denn, eine längere Aufbewahrungsfrist ist gesetzlich vorgeschrieben. Insbesondere:

Kontodaten: Aufbewahrung für die Dauer Ihres Kontos und bis zu 12 Monate nach Löschung
Pilotdaten: Aufbewahrung bis zu 2 Jahre nach Abschluss des Pilotprogramms für Entwicklungszwecke, sofern nicht vollständig anonymisiert (in diesem Fall handelt es sich nicht mehr um Personendaten und die Daten können ohne Einschränkung aufbewahrt werden).
Sprachaufnahmen & Transkripte: Aufbewahrung solange das Konto aktiv ist; de-identifizierte Versionen können unbegrenzt für KI-Training aufbewahrt werden
Rechtsunterlagen: Aufbewahrung gemäss den Anforderungen des Schweizer Handelsrechts (in der Regel 10 Jahre)

10. Ihre Rechte

Gemäss dem Schweizer DSG haben Sie folgende Rechte in Bezug auf Ihre Personendaten:

Auskunftsrecht (Art. 25 DSG): Sie können Auskunft über die über Sie gespeicherten Daten verlangen
Recht auf Berichtigung (Art. 32 DSG): Sie können die Korrektur unrichtiger Daten verlangen
Recht auf Löschung (Art. 32 DSG): Sie können die Löschung Ihrer Daten verlangen, vorbehaltlich gesetzlicher Aufbewahrungspflichten. Bitte beachten Sie, dass vollständig anonymisierte Daten (die keine Personendaten mehr sind) Ihnen nicht zugeordnet werden können und daher nicht gelöscht werden können.
Recht auf Datenherausgabe (Art. 28 DSG): Sie können Ihre Daten in einem gängigen elektronischen Format anfordern
Recht auf Widerruf der Einwilligung: Sie können Ihre Einwilligung jederzeit widerrufen. Der Widerruf berührt die Rechtmässigkeit der vor dem Widerruf erfolgten Bearbeitung nicht. Der Widerruf der Einwilligung für die Bearbeitung besonders schützenswerter Daten kann die Funktionalität der Dienste einschränken.
Einspruchsrecht (Art. 30–32 DSG): Sie können der Bearbeitung widersprechen, wenn Sie der Meinung sind, dass diese Ihre Persönlichkeitsrechte verletzt.

Zur Ausübung dieser Rechte kontaktieren Sie uns unter privacy@norena.ai. Wir werden innerhalb von 30 Tagen antworten. Sie haben auch das Recht, eine Beschwerde beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) einzureichen.

11. Datensicherheit

Wir treffen angemessene technische und organisatorische Massnahmen zum Schutz Ihrer Personendaten vor unbefugtem Zugriff, Veränderung, Offenlegung oder Vernichtung, in Übereinstimmung mit Art. 8 DSG. Diese Massnahmen umfassen:

Verschlüsselung der Daten bei der Übertragung (TLS) und im Ruhezustand
Zugangskontrollen und rollenbasierte Berechtigungen
Regelmässige Sicherheitsüberprüfungen und Penetrationstests
Vertraulichkeitsverpflichtungen und Schulungen der Mitarbeiter
Verfahren zur Reaktion auf Vorfälle

Keine Übertragungs- oder Speichermethode ist vollständig sicher. Im Falle einer Datensicherheitsverletzung, die ein hohes Risiko für Ihre Persönlichkeit oder Grundrechte darstellt, werden wir den EDÖB so schnell wie möglich benachrichtigen und Sie informieren, soweit dies zu Ihrem Schutz erforderlich ist, in Übereinstimmung mit Art. 24 DSG.

12. Kinder

Die Dienste richten sich nicht an Kinder unter 16 Jahren. Wir erheben wissentlich keine Personendaten von Kindern. Wenn Sie glauben, dass ein Kind uns Personendaten zur Verfügung gestellt hat, kontaktieren Sie uns bitte unter privacy@norena.ai und wir werden diese umgehend löschen.

13. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Wesentliche Änderungen werden über die App oder per E-Mail mindestens 30 Tage vor Inkrafttreten mitgeteilt. Ihre fortgesetzte Nutzung der Dienste nach solchen Änderungen gilt als Zustimmung zur aktualisierten Erklärung. Frühere Versionen dieser Erklärung werden archiviert und auf Anfrage zur Verfügung gestellt.

14. Anwendbares Recht & Gerichtsstand

Diese Datenschutzerklärung untersteht Schweizer Recht. Jegliche Streitigkeiten, die sich aus oder im Zusammenhang mit dieser Erklärung ergeben, unterliegen der ausschliesslichen Zuständigkeit der Gerichte in Zug, Schweiz.

15. Kontakt

Norena Technologies AG Wadsack Zug AG Bahnhofstrasse 7, 6300 Zug, Schweiz E-Mail: privacy@norena.ai

16. Cookies & ähnliche Technologien auf der Website

Die Website (norena.ai) verwendet Cookies und vergleichbaren Browser-Speicher (Local Storage und Session Storage). Dieser Abschnitt erklärt, was verwendet wird und wie Sie dies steuern. Er gilt nicht für die App, die keine Cookies verwendet.

16.1 Ihre Auswahl

Bei Ihrem ersten Besuch der Website wird Ihnen ein Einwilligungsbanner angezeigt. Unbedingt erforderlicher Speicher ist immer aktiv, da die Website ohne ihn nicht funktioniert. Jede andere Kategorie ist standardmässig deaktiviert und wird nur aktiviert, wenn Sie ihr zustimmen. Sie können Ihre Auswahl jederzeit über den Link «Cookie-Einstellungen» im Footer der Website ändern oder widerrufen.

Ihre Einwilligungs-Präferenzen werden in unserem Auftrag von unserem Anbieter für Einwilligungsverwaltung (Inth / c15t) erfasst und verwaltet. Ein Nachweis Ihrer Auswahl wird zusammen mit dem Zeitpunkt und der anwendbaren Richtlinienversion gespeichert, damit wir die Einhaltung der Vorschriften belegen können und Sie nicht bei jedem Besuch erneut gefragt werden. Dieser Nachweis wird bis zu 12 Monate aufbewahrt, danach werden Sie erneut gefragt.

16.2 Unbedingt erforderlich (immer aktiv, keine Einwilligung erforderlich)

NEXT_LOCALE (Cookie) — Speichert die von Ihnen gewählte Sprache (Englisch oder Deutsch). Aufbewahrung: bis zu 12 Monate.
norena-onboarding (Session Storage) — Speichert Ihren Fortschritt bei der Registrierung und beim Onboarding, einschliesslich eines temporären Sitzungs-Tokens. Wird beim Schliessen des Browser-Tabs gelöscht.
norena-pending-plan (Session Storage) — Speichert das von Ihnen gewählte Abo, während Sie die Registrierung abschliessen. Wird beim Schliessen des Browser-Tabs gelöscht.
norena-plan-choices (Local Storage) — Speichert das mit Ihrer E-Mail-Adresse verknüpfte Abo zwischen Besuchen. Wird aufbewahrt, bis Sie es löschen.
c15t Einwilligungsnachweis (Cookie und Local Storage) — Speichert Ihre Cookie-Auswahl, damit das Banner nicht erneut angezeigt wird. Aufbewahrung: bis zu 12 Monate.
Checkout-Frame (nur wenn Sie einen Kauf starten) — Unser Zahlungsanbieter (Polar) lädt auf der Abo-Seite einen sicheren eingebetteten Checkout und setzt eigene Cookies, die zur Zahlungsabwicklung erforderlich sind. Dies geschieht erst, nachdem Sie den Checkout aktiv gestartet haben.
Missbrauchsprävention — Unser Hosting-Anbieter (Netlify) wendet kurzlebige Zähler zur Ratenbegrenzung auf Registrierungs-, Anmelde- und Checkout-Anfragen an. Diese werden auf dem Server verarbeitet und speichern nichts in Ihrem Browser.
Symbole — Symbolgrafiken werden bei Bedarf vom Iconify-Content-Delivery-Network geladen. Diese Anfragen setzen keine Cookies und enthalten keine Personendaten.

16.3 Optionale Kategorien (nur mit Ihrer Einwilligung aktiviert)

Alles in diesem Abschnitt bleibt aus, bis Sie die betreffende Kategorie akzeptieren, und wird beendet, wenn Sie sie widerrufen.

Marketing — der Meta-(Facebook-)Pixel. Wenn Sie diese Kategorie akzeptieren, laden wir den Meta-Pixel, um unsere Werbung zu messen, zu verstehen, welche Kampagnen zu Registrierungen führen, und Zielgruppen für künftige Werbung zu bilden. Er setzt die Cookies _fbp und _fbc (rund 90 Tage; _fbc speichert die Klick-Kennung aus dem Link, über den Sie gekommen sind) und sendet Ereignisdaten an Meta Platforms Ireland Ltd: einen SHA-256-Hash Ihrer E-Mail-Adresse (nie Ihre E-Mail im Klartext), eine gehashte interne Konto-ID, diese beiden Cookies, Ihre IP-Adresse und den User-Agent Ihres Browsers. Dieselben Ereignisse senden wir zusätzlich von unserem Server (Meta Conversions API); auch dies geschieht nur mit Ihrer Einwilligung, und die gehashten Daten werden nicht an unseren Zahlungsanbieter oder das App-Backend weitergegeben.
Marketing — Klaviyo (E-Mail-Marketing-Plattform, Klaviyo Inc., USA). Wenn Sie diese Kategorie akzeptieren, setzen wir ein eigenes Cookie nrn_attr (rund 90 Tage), das die Kampagne, über die Sie gekommen sind (UTM-Parameter), und die erste aufgerufene Seite speichert. Wenn Sie ein Konto erstellen, einen Checkout starten oder einen Kauf abschliessen, sendet unser Server dieses Ereignis an Klaviyo, zusammen mit Ihrer E-Mail-Adresse, Ihrem Vornamen, diesen Kampagnenangaben und, falls Sie Norena für eine andere Person einrichten, deren Vornamen und Ihrer Beziehung zu ihr, damit wir an Ihre Registrierung oder Ihren nicht abgeschlossenen Kauf anknüpfen können. Ohne Ihre Einwilligung wird nichts an Klaviyo gesendet, und in Ihrem Browser läuft kein Klaviyo-Skript. Das Senden dieser Ereignisse meldet Sie nicht für unsere Marketing-E-Mails an. Marketing-E-Mails senden wir nur, wenn Sie beim Erstellen Ihres Kontos das freiwillige Kästchen ankreuzen (oder sie später auf Ihrer Kontoseite einschalten): Dann fügen wir Ihre E-Mail-Adresse unserer Klaviyo-Mailingliste hinzu, und Sie bestätigen dies über den Link in der E-Mail, die wir Ihnen senden. Klaviyo speichert, wann und wo Sie eingewilligt haben. Sie können sich jederzeit über den Link in jeder E-Mail oder auf Ihrer Kontoseite abmelden; E-Mails zu Ihrem Konto und Ihren Käufen sind davon nicht betroffen.
Website-Erlebnis — Sitzungsaufzeichnung mit PostHog (siehe Analyse). Wenn Sie diese Kategorie und die Kategorie Analyse akzeptieren, zeichnet PostHog auf, wie Seiten genutzt werden (Mausbewegungen, Klicks, Scrollen und Seitenwechsel), damit wir erkennen, wo Besucher nicht weiterkommen. Alles, was Sie in Formularfelder eingeben, wird ausgeblendet, und im Konto- und Registrierungsbereich wird zusätzlich der gesamte angezeigte Text ausgeblendet, sodass Namen, E-Mail-Adressen und Codes nie aufgezeichnet werden. Zum selben Zweck setzen wir Microsoft Clarity (Microsoft Corporation, USA) ein, und zwar nur, wenn Sie sowohl Website-Erlebnis als auch Analyse akzeptieren: Clarity zeichnet dieselbe Art von Seiteninteraktionen auf, erstellt Klick- und Scroll-Heatmaps und blendet Formularfelder sowie den Konto- und Registrierungsbereich auf dieselbe Weise aus. Clarity setzt die Cookies _clck (1 Jahr) und _clsk (1 Tag); wenn Sie zusätzlich Marketing akzeptiert haben, kann Microsoft das Cookie MUID setzen (rund 1 Jahr), das Microsoft für Werbung nutzen kann. Wenn Sie Ihre Einwilligung widerrufen, wird Clarity gestoppt und von der Seite entfernt. A/B-Tests und Personalisierung sind noch nicht im Einsatz.
Analyse — PostHog (PostHog Inc., Datenhaltung in der EU, Frankfurt). Wenn Sie diese Kategorie akzeptieren, laden wir PostHog, um zu verstehen, wie Besucher die Website nutzen: aufgerufene Seiten, Klicks, Scrolltiefe, Ladeleistung, technische Fehler, die Kampagne, über die Sie gekommen sind (UTM-Parameter und Werbe-Klick-Kennungen), sowie die Schritte von Registrierung und Checkout. PostHog speichert eine anonyme Kennung in einem eigenen Cookie und im Local Storage (ph_<project>_posthog, bis zu 1 Jahr) und sendet diese Daten zusammen mit Ihrer IP-Adresse (zur Ableitung eines ungefähren Standorts) und Browserangaben. Sobald Sie ein Konto erstellen oder sich anmelden, verknüpfen wir diese Ereignisse mit Ihrer internen Konto-ID; Ihren Namen oder Ihre E-Mail-Adresse senden wir nicht an PostHog.

Wenn wir weitere Technologie in diesen Kategorien einführen, wird sie hier aufgeführt und erst geladen, nachdem Sie für die betreffende Kategorie eingewilligt haben.

16.4 Cookies in Ihrem Browser verwalten

Sie können Cookies auch über die Einstellungen Ihres Browsers blockieren oder löschen. In diesem Fall funktionieren einige Teile der Website (etwa das Angemeldetbleiben während der Registrierung) möglicherweise nicht korrekt.