Amazon Web Services (AWS) — Speicherung und Rechenleistung für alle Kundendaten: Dokumente, Datenbank, Suchindex, Backups und E-Mail-Versand (Amazon SES). Verarbeitung in der Region der Umgebung: EU in Frankfurt, US in Ohio, CH in Zürich. In der EU und in den USA liest Amazon Textract zusätzlich ausgewählte Dokumentseiten (Formulare, Tabellen, Handschrift) in derselben Region; wird für Schweizer Kunden nicht eingesetzt. ISO 27001, SOC 1/2/3, CSA STAR, PCI DSS.

Microsoft Azure OpenAI — LLM-Inferenz. Regionale Datenverarbeitung in Deployments, die auf die jeweilige Datenzone beschränkt sind (EU: EU-Datenzone — France Central, Germany West Central, Italy North, Poland Central, Spain Central, Sweden Central, West Europe; US: US-Datenzone — Central US, East US, East US 2, North Central US, South Central US, West US, West US 3; CH: ausschliesslich Switzerland North). Training mit Kundendaten ist vertraglich ausgeschlossen. Gemäss den Bedingungen von Microsoft können Prompt- und Completion-Inhalte bis zu 30 Tage lang zur Missbrauchsüberwachung aufbewahrt werden, sind ausschliesslich für autorisierte Prüfer:innen von Microsoft zugänglich und werden niemals zum Trainieren oder Verbessern von Modellen verwendet. amaise selbst protokolliert ausschliesslich Token-Anzahlen — keine Prompt- oder Completion-Inhalte. ISO 27001, SOC 2.

Microsoft Azure AI Document Intelligence — OCR für Schweizer Kunden, gehostet in der Schweiz (Switzerland North). Kann zusätzlich für EU-Kunden (West Europe) und US-Kunden (East US) aktiviert werden. Dokumente werden nur für die Verarbeitung aufbewahrt und danach gelöscht (spätestens nach 24 Stunden); kein Training mit Kundendaten. ISO 27001, SOC 2.

Google Document AI (Google Cloud) — OCR für EU- und US-Kunden, in der jeweiligen Region: EU-Dokumente in der EU, US-Dokumente in den USA. Wird für Schweizer Kunden nicht eingesetzt. Dokumente werden nur vorübergehend für die Verarbeitung gespeichert und danach gelöscht (spätestens nach zwei Tagen); kein Training mit Kundendaten. ISO 27001, SOC 2.

Auth0 (Okta) — Anmeldung, Single Sign-On und Multi-Faktor-Authentifizierung. Verarbeitet Benutzerkonten (Name, E-Mail-Adresse, Telefonnummer für SMS-Codes) und Anmeldeereignisse; keine Dokumentinhalte. EU und CH: Auth0-Region EU; US: Auth0-Region US. SOC 2. SCCs.

Twilio (USA) — Zustellung von SMS-Einmalcodes für die Multi-Faktor-Authentifizierung. Verarbeitet die Telefonnummer der Person; keine Kundendaten. SCCs.

Slack (USA) — Interne Teamkommunikation und betriebliche Benachrichtigungen. Gibt eine Person Feedback zu einer KI-Antwort, werden der Feedback-Text und ihre E-Mail-Adresse über Slack an das amaise-Team weitergeleitet. Keine Dokumentinhalte. SCCs.

Intercom (USA) — Support-Chat in der Anwendung und Help Center. Verarbeitet Name, E-Mail-Adresse und Organisation der angemeldeten Person, die in der Anwendung besuchten Seiten sowie den Inhalt von Support-Gesprächen. Global für alle Umgebungen. SCCs.

Mixpanel — Produktanalysen (Nutzungsverhalten). Erhält die E-Mail-Adresse und den Namen der angemeldeten Person, den in Such- und Filterfelder eingegebenen Text sowie die an die Piloten gestellten Fragen — dieser Text kann Namen oder E-Mail-Adressen von Personen enthalten. Session Replay wird für alle Kundensitzungen aufgezeichnet, wobei sämtlicher Text und alle Eingaben maskiert sind. Es werden keine Kundendokumentinhalte und keine Suchergebnisse übermittelt. Die Daten werden für alle Umgebungen in der EU-Datenregion von Mixpanel gespeichert. SCCs.

Sentry (USA) — Fehlertracking und Performance-Monitoring, global für alle Umgebungen. Fehlerberichte sind so konfiguriert, dass sie möglichst wenige Personendaten enthalten: keine Inhalte von Anfragen, keine IP-Adressen, nur die pseudonyme Benutzer-ID. Eine Stichprobe der Sitzungen sowie jede Sitzung mit einem Fehler werden als Session Replay aufgezeichnet, wobei sämtlicher Text maskiert ist. Keine Kundendokumentinhalte. SCCs.

Better Stack — Verfügbarkeitsüberwachung und Statusseite. Der Statushinweis in der Anwendung wird von Better Stack geladen, das dabei die IP-Adresse der Besucherin oder des Besuchers erhält. Keine Kundendaten.

Gravatar (Automattic) (USA) — Profilbilder. Der Browser ruft das Bild einer Person mit einem Einweg-Hash ihrer E-Mail-Adresse ab. Keine Kundendaten.

ipgeolocation.io — Ungefährer Standort (Land, Region, Stadt) der im Audit-Log angezeigten IP-Adressen. Verarbeitet ausschliesslich IP-Adressen.

Perplexity (USA) — Webrecherche. Verarbeitung in den USA. Ist LegalPilot für einen Workspace aktiviert, nutzt er Perplexity ebenfalls für die Webrecherche: Die von der Person eingegebene Frage und der vorangehende Gesprächsverlauf werden unverändert gesendet, ohne Dokumente.

Justement (Schweiz) — Schweizer Rechtsprechung.

Koordination Schweiz (Schweiz) — Koordinationsrecht der Sozialversicherungen.

entscheidsuche.ch (Schweiz) — Schweizer Rechtsprechung.

OpenCaseLaw (Schweiz) — Schweizer Rechtsprechung.

Fedlex (Schweizerische Bundeskanzlei) — Bundesrecht. Erhält ausschliesslich Verweise auf Erlasse.

Zefix (Schweizerisches Handelsregister) — Firmensuche. Erhält Firmennamen aus dem Fall (zum Beispiel eines Arbeitgebers oder eines Versicherers), da der Firmenname der Suchbegriff ist.

GitHub — Quellcode und Deployment-Pipeline.

Atlassian (Jira) — Interne Aufgabenverwaltung.

Snyk, Semgrep, SonarQube Cloud — Analyse von Quellcode und Abhängigkeiten.

Scrut — Compliance-Plattform für ISMS-Verwaltung (ISO 27001, SOC-2-Lebenszyklus). Verarbeitet ausschliesslich Infrastruktur-Metadaten und Geräte-Compliance-Daten; keine Informationen, die einzelne versicherte Personen oder deren Fälle identifizieren könnten. SOC 2. SCCs.