Sicherheit und Datenschutz

Ihre Weingutsdaten gehören Ihnen: verschlüsselt, gesichert, offen dokumentiert

Zuständige Aufsicht: der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) in Bern. Verschlüsseltes Hosting mit offengelegten Standorten, Auftragsbearbeitung nach Art. 9 DSG, öffentliche Liste der Unterauftragsbearbeiter sowie Datenexport und Kontolöschung in den Einstellungen.

Wenn ein Schweizer Winzer uns seine Daten anvertraut, übernimmt er gegenüber seinem Treuhänder, dem Bundesamt für Landwirtschaft (BLW), der Eidgenössischen Steuerverwaltung (ESTV) und dem kantonalen Kontrollorgan (z. B. Interprofession de la Vigne et du Vin du Valais) weiterhin die volle Verantwortung. Unsere Aufgabe ist es, ihm diese Verantwortung nicht zu erschweren, sondern sie technisch abzusichern.

Sechs Säulen

Sicherheit, die in der Architektur verankert ist

revDSG und EU-DSGVO-Äquivalenz

Cepaos wurde von Grund auf so konzipiert, dass die Grundsätze des revidierten Datenschutzgesetzes (revDSG, in Kraft seit 1.9.2023), Treu und Glauben, Verhältnismässigkeit, Zweckbindung, Datensparsamkeit, sowie die Datenschutzverordnung (DSV, SR 235.11) in der Architektur verankert sind. Das revDSG ist weitgehend EU-DSGVO-äquivalent, kennt aber die Schweizer Eigenheit des Bearbeiters statt des Verarbeiters.

Datenexport und Kontolöschung in den Einstellungen
Meldung von Verletzungen der Datensicherheit an den Kunden innerhalb von 72 Stunden (AVV Ziffer 10)
Recht auf Auskunft, Berichtigung und Löschung über die Anwenderverwaltung
Standardvertragsklauseln (SCC) der EU-Kommission anerkannt durch den EDÖB

Transparentes Hosting, Bekanntgabe ins Ausland mit Standardvertragsklauseln

Die Daten unserer Kunden liegen verschlüsselt in einem Rechenzentrum in São Paulo (Brasilien). Die Bekanntgabe ins Ausland stützen wir auf Standardvertragsklauseln mit den vom EDÖB anerkannten Schweizer Anpassungen; für Daten aus der EU gilt zusätzlich der EU-Angemessenheitsbeschluss für Brasilien (2026/179).

Primärspeicher in São Paulo (Supabase / AWS sa-east-1)
Tägliche verschlüsselte Backups in derselben Region
Standardvertragsklauseln mit Schweizer Anpassung (EDÖB)
Offengelegte Liste aller Unterauftragsbearbeiter

Auftragsbearbeitungsvertrag (ABV)

Cepaos bearbeitet Personendaten als Auftragsbearbeiter nach Art. 9 DSG. Der Auftragsverarbeitungsvertrag ist Bestandteil der Nutzungsbedingungen und enthält eine Schweiz-Klausel (Standardvertragsklauseln mit den vom EDÖB anerkannten Anpassungen). In der Schweiz heisst es Bearbeiter, nicht Verarbeiter wie in Deutschland und Österreich.

Vertrag öffentlich einsehbar unter /legal/dpa
Liste aller Unterbearbeiter mit Standort und Bearbeitungszweck
Technische und organisatorische Massnahmen (TOM) als Anhang
Gegengezeichnetes Exemplar auf Anfrage (legal@cepaos.com)

Identitäts- und Zugriffsverwaltung

Jeder Zugriff auf Ihre Daten wird protokolliert und kann nachvollzogen werden. Mehrfaktor-Authentifizierung ist für alle Anwender kostenlos.

Mehrfaktor-Authentifizierung (TOTP, WebAuthn) für alle Pläne
Kompatibilität mit SwissID und SuisseID (Bundesamt für Informatik BIT)
Rollenbasierte Zugriffskontrolle (RBAC) mit feingranularen Berechtigungen

Verschlüsselung in Übertragung und Ruhe

Deine Daten werden in der gesamten Bearbeitungskette verschlüsselt, vom Endgerät bis zum Festplattenträger im Rechenzentrum.

TLS für alle externen Verbindungen, HSTS aktiviert
AES-256-Verschlüsselung der Datenbank im Ruhezustand
Verschlüsselte tägliche Sicherungen
Geheimnisse ausschliesslich als Umgebungsvariablen, niemals im Quellcode

Überwachung und Vorfallerkennung

Sentry meldet Fehler und Sicherheitsausnahmen in Echtzeit, Upstash begrenzt die Anfragerate. Sicherheitsvorfälle melden wir nach den Fristen unseres Auftragsbearbeitungsvertrags.

Rate-Limiting auf allen API-Endpunkten
Sofortige Sentry-Warnung bei Sicherheitsausnahmen

Zertifizierungen und Nachweise

Was zertifiziert ist und was nicht

ISO 27001 / SOC 2: keine eigene Zertifizierung

Cepaos ist derzeit weder nach ISO 27001 noch nach SOC 2 zertifiziert. Wir sagen das offen, statt eine Zertifizierung anzudeuten, die es nicht gibt.

Zertifizierte Infrastruktur-Anbieter

Datenbank und Datei-Ablage laufen bei Supabase (SOC 2 Type II) auf AWS (ISO 27001). Alle Unterauftragsverarbeiter mit Standort stehen unter /legal/sub-processors.

Stripe: PCI-DSS Level 1

Wir bearbeiten keine Kartendaten direkt. Alle Zahlungsvorgänge werden über Stripe abgewickelt, das nach Payment Card Industry Data Security Standard Level 1 zertifiziert ist, die höchste verfügbare Stufe.

Datenresidenz

Wo Ihre Daten liegen: und wo sie nie liegen werden

Wir verstehen, dass Schweizer Winzer und ihre Treuhänder besonders sensibel auf den Speicherort ihrer Geschäftsdaten reagieren insbesondere bei Daten, die in einer Vor-Ort-Kontrolle der Schweizer Weinhandelskontrolle (SWK) oder einer ESTV-Revision vorzulegen sind. Aus diesem Grund veröffentlichen wir transparent jede Datenkategorie, ihren Speicherort, ihre Aufbewahrungsfrist und jeden Unterbearbeiter.

Primärspeicher

São Paulo (Brasilien), AWS Region sa-east-1, verwaltet durch Supabase. Verschlüsselt im Ruhezustand (AES-256) und bei der Übertragung (TLS).

Übermittlung aus der Schweiz

Standardvertragsklauseln (EU) 2021/914 mit den vom EDÖB anerkannten Schweizer Anpassungen, ergänzt durch eine Transfer-Folgenabschätzung.

Backups

Tägliche verschlüsselte Backups durch Supabase in derselben Region.

E-Mail-Versand und Beobachtung

Resend und Sentry, USA, unter Standardvertragsklauseln. Standardmässige PII-Filterung. Aufbewahrung 30 / 90 Tage.

Aufsichtsbehörde

EDÖB Bern als zuständige Aufsicht

Da Sie als Schweizer Weinproduzent Cepaos nutzen, ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) mit Sitz in Bern (Feldeggweg 1, 3003 Bern) die für Sie zuständige Aufsichtsbehörde gemäss Art. 4 revDSG, und nicht etwa die EU- Datenschutzbehörden oder die deutschen Landesdatenschutzbeauftragten.

Im Fall einer Verletzung der Datensicherheit gemäss Art. 24 revDSG unterstützen wir Sie bei der Meldung an den EDÖB so rasch als möglich (in der Regel innerhalb von 72 Stunden, anders als die zwingende EU- DSGVO-Frist). Den Online-Meldungsdienst des EDÖB finden Sie auf www.edoeb.admin.ch.

Eine Datenschutzberaterin oder einen Datenschutzberater nach Art. 10 revDSG hat Cepaos nicht ernannt. Datenschutzanfragen beantworten wir per E-Mail an privacy@cepaos.com.

ABV oder Sicherheitsaudit angefragt?

Senden Sie uns Ihre Anforderungen oder Ihre Mustervorlage, wir antworten innerhalb von zwei Werktagen mit einem unterschriftsbereiten Dokument im SuisseID- oder eIDAS-Format.

ABV anfordern