Welche Unterauftragsverarbeiter setzt amaise ein?
amaise arbeitet mit folgenden Unterauftragsverarbeitern:
KI-Verarbeitung:
Microsoft Azure OpenAI — LLM-Inferenz. Regionale Datenverarbeitung (EU: Switzerland North/DataZoneStandard, US: East US/DataZoneStandard, CH: Switzerland North exklusiv). Vertraglich kein Training auf Kundendaten. Abuse-Monitoring ist für DataZoneStandard- und Switzerland-North-Deployments deaktiviert — keine Zwischenspeicherung von Prompts oder Completions. ISO 27001, SOC 2.
Google Document AI — OCR-Verarbeitung. Regionale Endpunkte: EU-Endpunkt für EU-Kunden, Schweiz-Deployment für CH-Kunden, US-Endpunkt für US-Kunden. Daten werden nicht aufbewahrt. ISO 27001, SOC 2.
Infrastruktur:
AWS — Gesamte Datenspeicherung und Compute. Regionale Konten (Frankfurt, Zürich, Ohio). ISO 27001, SOC 1/2/3, CSA STAR, PCI DSS.
Auth0 (Okta) (US) — Identität und Authentifizierung. Verarbeitet Benutzeranmeldedaten und Authentifizierungsereignisse, keine Kundendokumentinhalte. SOC 2. DSGVO-SCCs.
Sicherheit und Compliance:
Snyk (US/EU) — Software Composition Analysis (Abhängigkeitsanalyse). Kein Zugriff auf Quellcode oder Kundendaten. ISO 27001.
Scrut (IN) — Compliance-Plattform für ISMS-Verwaltung (ISO 27001, SOC 2 Lifecycle). Kein Zugriff auf Kundendaten — verarbeitet ausschliesslich Infrastruktur-Metadaten und Geräte-Compliance-Daten. Die von Scrut verarbeiteten Daten enthalten keine Informationen, die Rückschlüsse auf einzelne Versicherungsnehmer oder deren Fälle ermöglichen. SOC 2. Transfer abgesichert durch SCCs.
Monitoring und Betrieb:
BetterStack (EU) — Verfügbarkeitsüberwachung. Kein Zugriff auf Kundendaten.
Sentry (US) — Fehlertracking mit automatischer PII-Bereinigung. Keine Kundendokumentinhalte. SCCs.
Mixpanel (US) — Produktanalysen (Nutzungsverhalten). Keine Kundendaten, keine PII. SCCs.
Twilio (US) — SMS-Zustellung für MFA. Keine Kundendaten. SCCs.
Art. 321 StGB (Berufsgeheimnis): Für Schweizer Kunden, deren Daten dem Berufsgeheimnis unterliegen, stellt amaise vertraglich sicher, dass die Geheimhaltungspflichten in der gesamten Unterauftragsverarbeiter-Kette durchgesetzt werden. Die Kernverarbeitung (Dokumente, Datenbank) verbleibt ausschliesslich in der Schweiz. KI-Verarbeitung erfolgt über Azure OpenAI Switzerland North mit deaktiviertem Abuse Monitoring. Unterstützende US-Dienste verarbeiten keine Kundendokumentinhalte und haben keinen Zugriff auf Art. 321-geschützte Daten.
Änderungen an der Unterauftragsverarbeiter-Liste werden Kunden vorab mitgeteilt, mit Widerspruchsrecht gemäss DSGVO Art. 28. Transfer Impact Assessments (TIA) sind für alle US-basierten Unterauftragsverarbeiter durchgeführt und dokumentiert.