Sicherheit und Datenschutz

Die Datenbank und die Authentifizierung laufen bei Supabase in der Region eu-central-1 (Frankfurt), innerhalb der Europäischen Union. Für die Dienstplandaten Ihrer Organisation ist eine Übermittlung außerhalb der EU nicht Teil des Designs.

Zwei Unterauftragsverarbeiter der Anwendung sitzen in den Vereinigten Staaten: GitHub und Anthropic. Keiner von beiden erhält Daten einer Kundenorganisation. GitHub erhält nur Meldungen aus Demo-Organisationen und Karten des Rondus-Teams, Anthropic nur interne Beiträge des Teams selbst. Die Einschränkung je Anbieter steht bei den Unterauftragsverarbeitern.

Eine Einschränkung nennen wir selbst: Die Anwendung selbst, also das Layout, die Bilder und das JavaScript, wird über das weltweite Netzwerk von Vercel ausgeliefert. Die Dienstplandaten bleiben in Frankfurt.

Rondus verarbeitet Dienstplandaten von Mitarbeitenden: Name, E-Mail-Adresse, Funktionsgruppe, Stellenumfang (fte), Rolle in der Anwendung, Dienste, Dienstwünsche und protokollierte Abweichungen.

Rondus verarbeitet keine Patientendaten. Die Anwendung enthält den Dienstplan der Dienstplangruppe, also der Gruppe, die ihn gemeinsam trägt, nicht die Arbeit selbst. Auch Krankheitsgründe gehören nicht hinein: Verfügbarkeit heißt verfügbar oder nicht verfügbar.

Der Rondus Gids beantwortet Fragen aus vorab geschriebenen Erklärungen, im Browser der Person, die ihn nutzt. Es gehen keine Dienstplandaten, keine Namen und keine Fragen an ein Sprachmodell oder einen anderen externen Dienst. Das ist technisch durchgesetzt, nicht nur vereinbart.

Über die Nutzung führen wir Statistik: die gestellte Frage (höchstens 200 Zeichen), welche Erklärung angezeigt wurde, ob es eine Antwort oder eine Ablehnung gab, und eine zufällige Sitzungsnummer. Konto, Name und Organisation sind nicht enthalten. Die Frage ist allerdings Freitext, den die Person selbst eintippt, daher bestimmen wir nicht, was darin landet; diese Zeilen sind für die Administration von Rondus lesbar. Wir bereinigen sie regelmäßig nach zwölf Monaten. Der Gids fügt keinen Unterauftragsverarbeiter hinzu.

Zugriffstrennung pro Organisation auf Datenbankebene (Row Level Security): Eine Organisation sieht ausschließlich ihre eigenen Daten.

Innerhalb davon bestimmt die Rolle, was jemand darf: Administration, Dienstplanung, Weiterbildungsbefugte, Mitarbeitende und eine Leserolle, zum Beispiel für das Sekretariat. Konten entstehen nur auf Einladung, denn eine Selbstregistrierung gibt es nicht. Das erste Administrationskonto einer neuen Organisation lädt Rondus ein; danach laden Administration und Dienstplanung Ihrer eigenen Organisation ein, und die Dienstplanung kann kein Konto mit der Rolle Administration oder Dienstplanung anlegen. Die Authentifizierung läuft über Supabase Auth.

Beim Austritt setzt die Administration die Person auf inaktiv. Wer nicht mehr aktiv eingetragen ist, landet bei der nächsten Anfrage auf einem Bildschirm, der meldet, dass der Zugriff entzogen wurde. Ein bereits ausgegebenes Zugriffstoken bleibt eine Stunde gültig, und eine laufende Sitzung lässt sich nicht rückwirkend widerrufen, das Fenster beträgt also höchstens eine Stunde.

Kontodaten bleiben, solange die Kundenbeziehung besteht. Gelöscht wird auf Verlangen der verantwortlichen Stelle, also Ihrer Einrichtung oder Dienstplangruppe. Back-ups folgen den Aufbewahrungsfristen von Supabase.

Zwei Kategorien haben keine automatische Aufbewahrungsfrist: die Nutzungsdaten, an denen wir sehen, welche Bildschirme genutzt werden, und das Audit-Log, das bei jeder Dienstplanänderung den alten und den neuen Wert festhält. Sie wachsen mit der Nutzung, und wir bereinigen sie auf Anfrage oder regelmäßig. Das sagen wir lieber, als eine Frist zu nennen, die nirgends umgesetzt wird.

Am Ende des Vertrags geben wir die Daten in einem gängigen Format zurück oder löschen sie, nach Ihrer Wahl.

Bei einer Verletzung des Schutzes personenbezogener Daten informieren wir die verantwortliche Stelle unverzüglich, mit den Informationen, die Sie für Ihre eigene Meldepflicht gegenüber der niederländischen Datenschutzbehörde (Autoriteit Persoonsgegevens) und den betroffenen Personen brauchen.

Rondus hat keine Zertifizierung nach ISO 27001 und keine nach NEN 7510. Das lesen Sie lieber hier, als im Gespräch danach nachfragen zu müssen. Was wir können: die Maßnahmen oben schriftlich erläutern und an Ihrer eigenen Bewertung mitwirken.