Sicher und revDSG-konform: Performance-Management-Software aus der Schweiz

LEADO verarbeitet Daten ausschliesslich auf Ihre Weisung, zweckgebunden und nie für eigene Zwecke.

• Vertrag: Auftragsverarbeitung nach dokumentierten Weisungen; der anwendbare Rechtsrahmen (revDSG, DSGVO) richtet sich nach Ihrem Vertrag. Sie bleiben Verantwortlicher.
• Keine Zweitverwertung: Keine Werbung, keine Weitergabe an Dritte, kein Training von KI-Modellen mit Ihren Daten.
• Betroffenenrechte: Eine Export-Funktion je Person liefert die Daten für Auskunft und Datenübertragbarkeit.
• Dienstleister: Alle beigezogenen Anbieter sind im Vertrag benannt, Änderungen zeigen wir 30 Tage im Voraus an. Sie können Einspruch erheben und die Massnahmen prüfen.

Betrieb und Sicherungen finden in der Schweiz statt, in Rechenzentren mit anerkannten Zertifizierungen.

• Rechenzentrum: Schweizer Standort, zertifiziert nach ISO 27001, ISO 27701, ISO 22301 und PCI DSS. Das ist von einer Zertifizierung der LEADO-Organisation zu unterscheiden.
• Trennung: Daten unterschiedlicher Kunden sind logisch getrennt, ein Zugriff über Mandantengrenzen ist ausgeschlossen.
• Sicherungen: Täglich, verschlüsselt, bei zwei unabhängigen Schweizer Anbietern und 30 Tage aufbewahrt. Die primäre Sicherung lässt sich in dieser Zeit nicht verändern oder löschen.

Die Anmeldung ist mit Mehrfaktor-Authentifizierung geschützt, die Sichtbarkeit folgt Rollen und Gesprächskontexten.

• Mehrfaktor-Authentifizierung: in allen Paketen.
• Single Sign-on: im Paket Enterprise über Ihren Identity Provider, mit SAML 2.0 oder OpenID Connect, auf Wunsch ohne lokale Passwörter. Stammdaten kommen aus Ihrem HR- oder Verzeichnissystem.
• Verschlüsselung: TLS ab Version 1.2 auf dem Weg, verschlüsselte Datenträger und Sicherungen im Ruhezustand.
• Administrative Zugriffe: Nur über VPN und Zwei-Faktor-Authentifizierung, beschränkt auf benannte Personen und protokolliert.

KI-Funktionen sind standardmässig deaktiviert und werden nur nach vertraglicher Vereinbarung aktiviert. Sie unterstützen bei Zusammenfassungen, Formulierungsvorschlägen und der Suche in Hilfetexten. Sie treffen keine automatisierten Einzelentscheidungen.

• Unterstützung statt Bewertung: Vorschläge zu Zielen, Feedback und nächsten Schritten bleiben editierbar.
• Kein Scoring: Keine automatische Leistungsbewertung und keine automatisierte Einzelentscheidung nach Art. 22 DSGVO.
• KI-Verarbeitung in der Schweiz: Bei aktivierten KI-Funktionen erfolgt die Verarbeitung ausschliesslich über Infomaniak in Schweizer Rechenzentren. Eingaben und Daten werden nicht zum Training oder zur Weiterentwicklung eigener oder fremder KI-Modelle verwendet.

Der Betrieb wird laufend überwacht, Sicherheitsupdates werden fortlaufend eingespielt.

• Überwachung: Erreichbarkeit, Datenbank, Speicher, Zertifikate und Aktualität der Sicherungen werden automatisch geprüft.
• Information: Bei einer Datenschutzverletzung oder einem begründeten Verdacht informieren wir Sie unverzüglich, spätestens 48 Stunden nach Kenntnisnahme, mit Art, bekanntem Umfang und den ergriffenen oder vorgeschlagenen Massnahmen.
• Wiederanlauf: Vollständige Wiederherstellung in 8 bis 16 Stunden, maximaler Datenverlust 24 Stunden. Wir testen die Wiederherstellung.

Am Ende entscheiden Sie, ob wir die Daten zurückgeben oder löschen.

• Export: Gängige Formate wie CSV, JSON oder PDF, verschlüsselt übermittelt.
• Löschung: Im Produktivsystem innerhalb von 30 Tagen nach Vertragsende, auf Wunsch mit Nachweis. Kopien in Sicherungen laufen nach 30 Tagen aus.