Datenschutz

Hier steht, welche Personendaten wir bearbeiten, wenn Du chayra.ch besuchst, bei uns bestellst oder Dein Konto nutzt. Wir sammeln so wenig wie möglich. Massgebend ist das Schweizer Datenschutzgesetz (DSG). Für Personen in der EU oder im EWR, zum Beispiel bei Lieferungen nach Liechtenstein, gilt ergänzend die Datenschutz-Grundverordnung (DSGVO).

1. Wer verantwortlich ist

CHAYRA ist eine Marke von Nutriashift. Für alle Fragen zum Datenschutz schreibst Du einfach an hallo@chayra.ch. Eine Datenschutzberaterin haben wir nicht bestellt. Einen Vertreter in der EU haben wir nicht bestellt, weil wir nur gelegentlich an Personen im EWR liefern und keine besonders schützenswerten Daten in grossem Umfang bearbeiten (Art. 27 Abs. 2 DSGVO).

2. Wenn Du die Website besuchst

chayra.ch ist eine statische Website. Sie liegt bei der Hostpoint AG in Rapperswil-Jona, Schweiz. Bei jedem Aufruf speichert der Server technische Angaben in Protokolldateien: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser und Betriebssystem sowie die Seite, von der Du kommst.

Wir brauchen diese Angaben, um die Website sicher und stabil zu betreiben und Fehler oder Angriffe zu erkennen. Wir werten sie nicht für Werbung aus und verknüpfen sie nicht mit Deiner Bestellung. Die Protokolle werden nur so lange aufbewahrt, wie es für Sicherheit und Fehlersuche nötig ist, und danach automatisch gelöscht.

Auch unsere Bestell- und Kontoplattform seed.chayra.ch protokolliert bei jedem Aufruf technische Angaben wie IP-Adresse und Zeitpunkt, um Missbrauch zu verhindern. Diese Protokolle löschen wir spätestens nach 30 Tagen.

Schriften von Google und Adobe

Für die Darstellung lädt die Website derzeit Schriften von externen Servern: von Google Fonts (Google) und von Adobe Fonts (Adobe). Dabei überträgt Dein Browser beim Seitenaufruf Deine IP-Adresse und technische Angaben an Google beziehungsweise Adobe. Beide Anbieter können diese Daten auch in den USA bearbeiten (siehe Abschnitt 11). Wir möchten diese Schriften künftig direkt von unserem eigenen Server ausliefern. Dann passen wir diesen Abschnitt an.

3. Wenn Du bestellst

Für eine Bestellung der Community Box oder des Seedcycling Abos brauchen wir:

• Vorname, Nachname und E-Mail-Adresse
• Lieferadresse in der Schweiz oder in Liechtenstein
• Telefonnummer, wenn Du sie angibst (freiwillig, nur für die Zustellung)
• Produkt, Betrag, allfälligen Code und Rabatt, Bestellnummer und Zeitpunkt
• Deine Zustimmungen beim Bestellen: zu den AGB, zum automatischen Übergang der Box ins Abo beziehungsweise zum Abo, jeweils mit dem genauen Wortlaut, der Version und dem Zeitpunkt

Wir bearbeiten diese Daten, um den Vertrag mit Dir abzuschliessen und zu erfüllen: Bestellung bestätigen, Zahlung abwickeln, packen, versenden, Fragen beantworten. Ohne diese Angaben können wir nicht liefern.

Zahlung

Bezahlt wird über die Zahlungsseite von zahls.ch, die auf der Technologie der Payrexx AG, Burgstrasse 20, 3600 Thun, Schweiz, läuft. Betreiberin von zahls.ch ist gemäss deren Impressum die siebenberge gmbh, Neu St. Johann SG, Schweiz. Möglich sind TWINT, PostFinance Card, Mastercard, Visa, Apple Pay und Google Pay.

Deine Karten- oder Kontodaten gibst Du direkt auf der Zahlungsseite ein. Wir sehen sie nicht und speichern sie nicht. Wir erhalten nur die Bestätigung, ob und wann bezahlt wurde, sowie eine Referenz. Weil die Community Box nach 60 Tagen ins Abo übergeht und das Abo alle 28 Tage abgerechnet wird, hinterlegt der Zahlungsanbieter Dein Zahlungsmittel als sogenannten Token. Mit dieser Referenz können wir die folgenden Abo-Zahlungen auslösen, ohne Deine Zahlungsdaten selbst zu kennen.

Packen und Versand

Nach jeder bezahlten Bestellung und jeder Abo-Lieferung geht eine E-Mail mit Bestellnummer, Inhalt, Name, Lieferadresse und allenfalls Telefonnummer an das Team, das die Pakete packt. Für den Versand geben wir Name und Lieferadresse an die Schweizerische Post weiter.

4. Wenn Du ein Abo hast

Für das Seedcycling Abo speichern wir zusätzlich den Abo-Status, das nächste Abbuchungsdatum, Lieferpausen, ausgelassene Lieferungen, fehlgeschlagene Zahlungsversuche und Kündigungen. So können wir pünktlich liefern, Dich vor jeder Abbuchung erinnern und Deine Änderungen umsetzen.

Kündigst Du über den Link auf chayra.ch/abo-kuendigen, schicken wir Dir einen Bestätigungslink an Deine E-Mail-Adresse. Dieser Link ist 72 Stunden gültig und nur einmal verwendbar.

5. Dein Konto

Unter chayra.ch/konto siehst Du Deine Bestellungen, Dein Abo, Deinen Code und Dein Guthaben und kannst Deine Adresse ändern. Ein Passwort gibt es nicht. Du meldest Dich mit einem Link an, den wir Dir per E-Mail schicken. Der Link ist 30 Minuten gültig und nur einmal verwendbar. Wir speichern davon nur einen Prüfwert (Hash), nicht den Link selbst.

Für die Anmeldung speichern wir Deine E-Mail-Adresse und den Zeitpunkt Deiner letzten Anmeldung. Zu jeder Sitzung speichern wir zur Sicherheit die IP-Adresse und die Browser-Kennung (User Agent), damit wir Missbrauch erkennen können. Eine Sitzung läuft nach 30 Tagen ab oder wenn Du Dich abmeldest.

6. Codes, Provision und Guthaben

Gibst Du beim Bestellen einen Code ein, speichern wir den Code bei Deiner Bestellung. So können wir den Rabatt gewähren und der Person, die den Code geteilt hat, die Provision oder das Guthaben gutschreiben. Diese Person erfährt dabei nicht Deinen Namen und nicht Deine Adresse.

Kommst Du über einen Link mit Code auf chayra.ch (zum Beispiel ?ref=…), merkt sich Dein Browser diesen Code für 30 Tage im lokalen Speicher, damit er beim Bestellen schon eingetragen ist. Der Code bleibt auf Deinem Gerät, bis Du bestellst.

Um Missbrauch zu verhindern, gleichen wir beim Einlösen eines Codes E-Mail-Adresse, Nachname und Lieferadresse automatisch mit den Angaben der Person ab, der der Code gehört.

Hast Du einen eigenen Code für Freundinnen, führen wir für Dich ein Guthaben-Konto: welche Bestellungen Guthaben ausgelöst haben, wie viel, wofür Du es eingesetzt hast und welche Auszahlungen es gab. Verlangst Du eine Auszahlung, brauchen wir Deine IBAN und den Namen der Kontoinhaberin. Diese speichern wir verschlüsselt, zeigen sie nie vollständig in E-Mails an und löschen sie 90 Tage nach der Auszahlung oder dem Abbruch der Auszahlung. Die Buchung selbst bleibt als Buchhaltungsbeleg erhalten.

Für Ambassadorinnen speichern wir Name, E-Mail-Adresse, Code, Provisionssätze, die daraus entstandenen Provisionen und eine Zahlungsreferenz für die Auszahlung.

7. E-Mails, die wir Dir schicken

Wir schicken Dir E-Mails, die zur Bestellung und zum Konto gehören: Bestellbestätigung, Quittungen, Erinnerung vor dem Übergang der Box ins Abo und vor jeder Abo-Abbuchung, Hinweise bei fehlgeschlagener Zahlung, Bestätigungen von Kündigung, Pause, ausgelassener Lieferung oder Adressänderung, Anmeldelinks fürs Konto sowie Hinweise zu Deinem Code und Guthaben. Diese E-Mails sind Teil des Vertrags und gehen auch ohne separate Einwilligung an Dich.

Die E-Mails werden über den E-Mail-Server der Hostpoint AG, Rapperswil-Jona, Schweiz, vom Postfach hallo@chayra.ch aus versendet. Wir protokollieren pro E-Mail Empfängeradresse, Betreff, Art, Versandstatus und Zeitpunkt, damit wir nachweisen können, dass wichtige Hinweise (etwa die Erinnerung vor einer Abbuchung) verschickt wurden.

Post von Daniela

Beim Bestellen kannst Du freiwillig ankreuzen, dass Du gelegentlich Post von Daniela bekommen möchtest. Wir speichern diese Einwilligung bei Deiner Bestellung und schreiben Dir solche Mails nur, wenn Du eingewilligt hast. Abmelden kannst Du Dich jederzeit über den Link in jeder Mail oder mit einer Nachricht an hallo@chayra.ch.

Auf der Seite chayra.ch/plan kannst Du Dich ebenfalls für Post von Daniela anmelden. Dieses Formular ist ein eingebettetes Formular von Alchemy Labs, einer Plattform von Alchemy Zürich, Schweiz. Die Server stehen bei Infomaniak in der Schweiz. Du gibst dort Deine E-Mail-Adresse an und bestätigst die Anmeldung anschliessend per Mail (Double-Opt-in).

Die Antworten im Plan auf chayra.ch/plan werden in Deinem Browser ausgewertet und nicht an uns übermittelt.

Community-Gruppe auf Telegram

Mit Deiner Bestellung bekommst Du einen Einladungslink zu unserer Community-Gruppe auf Telegram. Der Beitritt ist freiwillig. Trittst Du bei, gelten für Telegram dessen eigene Datenschutzbestimmungen (Telegram FZ-LLC, Dubai, Vereinigte Arabische Emirate). In der Gruppe sehen die anderen Mitglieder Deinen Telegram-Namen und was Du schreibst. Wir übermitteln Telegram keine Daten aus Deiner Bestellung.

8. Wenn Du uns schreibst

Schreibst Du uns per E-Mail oder rufst Du an, bearbeiten wir Deine Angaben und Deine Nachricht, um Dir zu antworten. Die Nachricht bleibt in unserem Postfach, solange es für Deine Anfrage nötig ist oder das Gesetz eine Aufbewahrung verlangt.

9. Analyse und Tracking

Damit wir verstehen, welche Seiten und Texte Dir weiterhelfen, messen wir, wie chayra.ch genutzt wird. Dafür setzen wir Alchemy Scribe ein, ein eigenes Analyse-System von Alchemy Labs (Alchemy Zürich). Die Daten liegen auf Servern bei Infomaniak in der Schweiz. Wir laden kein Google Analytics in Deinen Browser. Den Meta-Pixel laden wir schon, siehe «Meldungen an Meta».

Erfasst werden: aufgerufene Seiten und Verweildauer, Klicks auf Buttons und Links, Scrolltiefe, die Seite, von der Du kommst, Kampagnen-Angaben im Link (zum Beispiel utm_campaign), Gerätetyp, Browser, Betriebssystem und Bildschirmgrösse. Scribe vergibt dafür eine zufällige Besucher-ID und bildet einen technischen Geräte-Fingerabdruck, damit Seitenaufrufe derselben Sitzung zusammengezählt werden. Wir verknüpfen diese Angaben nicht mit Deinem Namen, Deiner E-Mail-Adresse oder Deiner Bestellung. Nach einem Kauf meldet die Seite nur, dass ein Kauf stattgefunden hat, welches Produkt es war und den Betrag, ohne Bestellnummer.

Kommst Du über eine Anzeige zu uns, speichert Scribe die Klick-Kennung der Werbeplattform (zum Beispiel fbclid von Meta oder li_fat_id von LinkedIn) und legt eine zufällige Browser-Kennung an (Cookie _fbp). Damit können wir messen, ob eine Anzeige zu einem Besuch oder Kauf geführt hat.

Meldungen an Meta. Wir schalten Anzeigen auf Facebook und Instagram. Damit Meta erkennt, welche Anzeigen funktionieren, sendet Alchemy Scribe einzelne Ereignisse von unserem Server direkt an Meta (Conversions API): Seitenaufrufe, das Ansehen eines Produkts, den Beginn einer Bestellung, einen Kauf mit Betrag und Währung und den Klick auf «App laden». Mit jedem Ereignis gehen Zeitpunkt, Adresse der Seite, Deine IP-Adresse, Angaben zum Browser und die Kennungen _fbp und, falls Du über eine Anzeige kommst, _fbc mit. Meldest Du Dich über ein Formular an (zum Beispiel für Post von Daniela oder als Partnerin), senden wir zusätzlich Deine E-Mail-Adresse und, falls angegeben, Vorname, Nachname und Telefonnummer, und zwar nur verschlüsselt als sogenannter Hash. Meta kann damit erkennen, ob die Anmeldung von einem Facebook- oder Instagram-Konto stammt, das unsere Anzeige gesehen hat. Deine Adresse, Deine Bestellnummer und Deine Antworten in Formularen schicken wir nie an Meta, Gesundheitsangaben und Zyklusdaten erst recht nicht. Meta kann diese Angaben mit einem Facebook- oder Instagram-Konto verknüpfen, wenn Du eines hast, und verwendet sie auch für eigene Zwecke; dafür ist Meta selbst verantwortlich (Datenschutzrichtlinie von Meta). Meta-Pixel im Browser. Zusätzlich laden wir auf den Seiten von chayra.ch das Skript von Meta (Meta-Pixel) in Deinen Browser. Es meldet Meta jeden Seitenaufruf mit Adresse der Seite, Zeitpunkt, IP-Adresse und Angaben zum Browser und setzt dafür die Cookies _fbp und, falls Du über eine Anzeige kommst, _fbc (bis 90 Tage). Im Kundenkonto (Mein Konto, Abo kündigen) laden wir es nicht. Widersprichst Du der Statistik (unten), sendet Scribe nichts mehr an Meta und der Meta-Pixel lädt nicht mehr.

Zyklusdaten erfasst Scribe nie. Die Seedcycling App speichert Deine Zyklusdaten nur auf Deinem Gerät, und in der App ist Scribe nicht eingebunden.

Vergleich von zwei Versionen: Manchmal zeigen wir zwei Varianten eines Elements, zum Beispiel zwei Beschriftungen des Kauf-Buttons, und vergleichen, welche besser funktioniert. Welche Variante Du siehst, wird zufällig bestimmt und im lokalen Speicher Deines Browsers gemerkt.

Wir stützen uns auf unser berechtigtes Interesse, die Website zu verbessern. Du kannst jederzeit widersprechen: mit dem Button unten für diesen Browser, mit einem Werbe- oder Tracking-Blocker oder mit einer kurzen Nachricht an hallo@chayra.ch.

Statistik in diesem Browser ausschalten

10. Cookies und lokaler Speicher

Wir verwenden nur Cookies, die für die Funktion nötig sind:

• chayra_konto: hält Dich in Deinem Kundenkonto angemeldet. Wird erst nach dem Anmelden gesetzt, von unserem Server seed.chayra.ch, nur über verschlüsselte Verbindungen und nicht für Skripte lesbar (HttpOnly). Gültig bis zum Abmelden, höchstens 30 Tage.
• chayra_admin und chayra_admin_csrf: nur für das CHAYRA-Team im internen Verwaltungsbereich, höchstens 12 Stunden.

Für die Statistik (Abschnitt 9) setzt Alchemy Scribe zusätzlich die Cookies _fbp (zufällige Browser-Kennung, 90 Tage) und, nur nach einem Klick auf eine Anzeige, _fbc und _li_fat_id (Klick-Kennung, 90 Tage). Im lokalen Speicher legt Scribe Einträge mit dem Präfix alchemy_ ab: Besucher-ID, Herkunft des Besuchs und Deine Wahl zur Statistik. Für den Vergleich von zwei Versionen merken wir uns die gezeigte Variante unter chayra.cta.v1.

Daneben speichert Dein Browser im lokalen Speicher einige Angaben, die Dein Gerät nicht verlassen, bis Du sie selbst absendest: einen Empfehlungs-Code aus einem Link (30 Tage), einen Entwurf Deiner Bestellung mit Name und Adresse während des Bestellvorgangs (bis Du das Browserfenster schliesst) und die Seite, auf die Du nach dem Anmelden zurückkehren willst. Du kannst Cookies und lokalen Speicher jederzeit in Deinem Browser löschen.

11. Wem wir Daten weitergeben

Wir verkaufen keine Daten. Wir geben Personendaten nur weiter, wenn es für den Zweck nötig ist, und an diese Empfänger:

• Infomaniak Network SA, Genf, Schweiz: Server unserer Bestell- und Kontoplattform (seed.chayra.ch) inklusive Datenbank, Server in der Schweiz.
• Hostpoint AG, Rapperswil-Jona, Schweiz: Hosting der Website chayra.ch.
• zahls.ch / Payrexx AG, Schweiz: Zahlungsabwicklung (siehe Abschnitt 3).
• Alchemy Labs (Alchemy Zürich, Schweiz), Server bei Infomaniak in der Schweiz: Anmeldeformular für Post von Daniela auf chayra.ch/plan und Website-Statistik mit Alchemy Scribe (Abschnitt 9).
• Meta Platforms Ireland Limited, Dublin, Irland: Messung unserer Anzeigen auf Facebook und Instagram (Abschnitt 9).
• Die Schweizerische Post AG, Bern: Zustellung der Pakete.
• Hostpoint AG, Rapperswil-Jona, Schweiz: Postfach hallo@chayra.ch (Versand der E-Mails und Empfang Deiner Nachrichten). Infomaniak Network SA, Genf, Schweiz: Postfach von Nutriashift, das die Packaufträge empfängt.
• Behörden, wenn wir gesetzlich dazu verpflichtet sind, sowie unsere Treuhand für die Buchhaltung.

Infomaniak, Hostpoint und Alchemy Labs bearbeiten Daten in unserem Auftrag und nur für die genannten Zwecke. Die Schweizerische Post, die Zahlungsanbieter, die Kartenfirmen und Wallet-Anbieter sowie unsere Treuhand bearbeiten die Daten, die sie von uns oder von Dir erhalten, in eigener Verantwortung. Für die Messung der Anzeigen sind wir und Meta gemeinsam verantwortlich (Vereinbarung von Meta für gemeinsam Verantwortliche); für alles, was Meta danach mit den Daten macht, ist Meta allein verantwortlich.

Bekanntgabe ins Ausland

Unsere eigene Plattform, die Datenbank und der E-Mail-Versand laufen in der Schweiz. In folgenden Fällen können Daten trotzdem ins Ausland gelangen:

• Schriften: Beim Laden der Schriften erhalten Google (Google Ireland Limited, Irland, und Google LLC, USA) sowie Adobe (Adobe Systems Software Ireland Limited, Irland, und Adobe Inc., USA) Deine IP-Adresse und technische Angaben. Die USA haben aus Sicht der Schweiz nicht in jedem Fall einen angemessenen Datenschutz. Google LLC und Adobe Inc. sind unter dem Swiss-U.S. Data Privacy Framework zertifiziert, das der Bundesrat als angemessen anerkannt hat.
• Meta: Meta Platforms Ireland Limited kann die Ereignisse aus Abschnitt 9 an Meta Platforms, Inc. in den USA weitergeben. Meta Platforms, Inc. ist unter dem Swiss-U.S. Data Privacy Framework zertifiziert.
• Karten und Wallets: Zahlst Du mit Mastercard, Visa, Apple Pay oder Google Pay, werden Zahlungsdaten über die internationalen Netzwerke dieser Anbieter und der beteiligten Banken bearbeitet, teilweise ausserhalb der Schweiz und der EU. Das ist für die Zahlung technisch nötig (Vertragserfüllung). Für diese Bearbeitung gelten auch die Datenschutzbestimmungen der Kartenfirmen und Wallet-Anbieter. Mit TWINT oder PostFinance Card bleibst Du bei Schweizer Anbietern.

12. Rechtsgrundlagen

Nach Schweizer Recht bearbeiten wir Personendaten nach den Grundsätzen des DSG: rechtmässig, zweckgebunden, verhältnismässig und transparent. Für Personen in der EU oder im EWR stützen wir uns auf:

• Vertrag und vorvertragliche Massnahmen (Art. 6 Abs. 1 lit. b DSGVO): Bestellung, Abo, Konto, Codes und Guthaben, Vertrags-E-Mails.
• Gesetzliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO): Aufbewahrung von Buchhaltungsbelegen.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): sicherer Betrieb der Website, Server-Protokolle, Missbrauchsschutz, Darstellung der Schriften, Website-Statistik, Vergleich von zwei Versionen und Messung unserer Anzeigen mit Meldungen an Meta (Abschnitt 9).
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Post von Daniela. Du kannst sie jederzeit widerrufen.

13. Wie lange wir Daten aufbewahren

• Bestellungen, Rechnungen, Zahlungen, Provisionen und Guthaben-Buchungen: 10 Jahre, wie es das Gesetz für Geschäftsbücher und Belege verlangt (Art. 958f OR).
• Konto und Abo-Angaben: solange Du Kundin bist, danach löschen wir sie spätestens 2 Jahre nach Deinem letzten Kauf oder auf Deinen Wunsch früher, ausser wir müssen sie als Beleg aufbewahren.
• Anmeldelinks: nach Ablauf gesperrt, gelöscht einen Tag danach. Sitzungen: gelöscht eine Woche nach Ablauf oder Abmeldung.
• Kündigungslinks: 72 Stunden gültig, gelöscht 7 Tage nach Ablauf.
• Versandprotokoll der E-Mails: solange Dein Konto besteht, höchstens 2 Jahre nach Deinem letzten Kauf.
• IBAN für Auszahlungen: 90 Tage nach Auszahlung oder Abbruch.
• Einwilligung für Post von Daniela: bis Du Dich abmeldest.
• Server-Protokolle der Website und der Plattform: siehe Abschnitt 2.
• Statistikdaten aus Alchemy Scribe: Sitzungen höchstens 90 Tage, einzelne Ereignisse höchstens 12 Monate.

14. Deine Rechte

Du kannst jederzeit:

• Auskunft verlangen, welche Personendaten wir über Dich bearbeiten
• unrichtige Daten berichtigen lassen (Deine Lieferadresse kannst Du im Konto selbst ändern)
• die Löschung Deiner Daten verlangen, soweit wir sie nicht aufbewahren müssen
• die Herausgabe Deiner Daten in einem gängigen elektronischen Format verlangen
• einer Bearbeitung widersprechen und eine Einwilligung widerrufen

Eine E-Mail an hallo@chayra.ch genügt. Damit niemand anders Deine Daten anfordern kann, prüfen wir, ob die Anfrage wirklich von Dir kommt. Wir antworten in der Regel innerhalb von 30 Tagen.

Bist Du mit unserer Antwort nicht zufrieden, kannst Du Dich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden (www.edoeb.admin.ch). Wohnst Du in der EU oder im EWR, kannst Du Dich auch an die Datenschutzbehörde in Deinem Land wenden.

15. Sicherheit

Wir schützen Deine Daten mit technischen und organisatorischen Massnahmen. Dazu gehören verschlüsselte Verbindungen (HTTPS), Anmeldung ohne Passwort über kurzlebige Einmal-Links, das Speichern von Anmelde- und Sitzungsschlüsseln nur als Hash, die verschlüsselte Ablage von IBAN-Angaben, eingeschränkte Zugriffe für das Team und regelmässige Sicherungskopien.

16. Keine automatisierten Entscheidungen

Wir treffen keine Entscheidungen über Dich, die ausschliesslich automatisiert erfolgen und Dich erheblich betreffen. Wir erstellen keine Persönlichkeitsprofile.

17. Seedcycling App

Die Seedcycling App auf seedcycling.me ist ein eigenes Angebot mit eigener Datenschutzerklärung. Standardmässig bleiben die Daten, die Du in der App erfasst, auf Deinem Gerät. Einzelheiten findest Du in der Datenschutzerklärung auf seedcycling.me.

18. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Angebote oder die Rechtslage ändern. Es gilt die Version, die auf dieser Seite veröffentlicht ist.

Stand: 19. Oktober 2026