Amazon Web Services (AWS) — Archiviazione e capacità di calcolo per tutti i dati dei clienti: documenti, database, indice di ricerca, backup e invio di e-mail (Amazon SES). Elaborazione nella regione dell’ambiente: UE a Francoforte, US in Ohio, CH a Zurigo. Nell’UE e negli USA, Amazon Textract legge inoltre determinate pagine dei documenti (moduli, tabelle, scrittura a mano) nella stessa regione; non utilizzato per clienti svizzeri. ISO 27001, SOC 1/2/3, CSA STAR, PCI DSS.

Microsoft Azure OpenAI — Inferenza LLM. Elaborazione regionale dei dati in deployment limitati alla zona dati corrispondente (UE: zona dati UE — France Central, Germany West Central, Italy North, Poland Central, Spain Central, Sweden Central, West Europe; US: zona dati US — Central US, East US, East US 2, North Central US, South Central US, West US, West US 3; CH: esclusivamente Switzerland North). Contrattualmente nessun addestramento sui dati dei clienti. Secondo i termini di Microsoft, il contenuto di prompt e completamenti può essere conservato fino a 30 giorni ai fini del monitoraggio degli abusi, accessibile solo a revisori autorizzati di Microsoft, e non viene mai utilizzato per addestrare o migliorare i modelli. amaise stessa registra solo il numero di token — nessun contenuto di prompt o completamento. ISO 27001, SOC 2.

Microsoft Azure AI Document Intelligence — OCR per clienti svizzeri, ospitato in Svizzera (Switzerland North). Può essere attivato anche per clienti UE (West Europe) e US (East US). I documenti vengono conservati solo per l’elaborazione e poi cancellati (al più tardi dopo 24 ore); nessun addestramento sui dati dei clienti. ISO 27001, SOC 2.

Google Document AI (Google Cloud) — OCR per clienti UE e US, nella rispettiva regione: i documenti UE nell’UE, i documenti US negli USA. Non utilizzato per clienti svizzeri. I documenti vengono memorizzati solo temporaneamente per l’elaborazione e poi cancellati (al più tardi dopo due giorni); nessun addestramento sui dati dei clienti. ISO 27001, SOC 2.

Auth0 (Okta) — Accesso, single sign-on e autenticazione a più fattori. Elabora gli account utente (nome, indirizzo e-mail, numero di telefono per i codici SMS) e gli eventi di accesso; nessun contenuto documentale. UE e CH: regione Auth0 UE; US: regione Auth0 US. SOC 2. SCC.

Twilio (USA) — Invio di codici monouso via SMS per l’autenticazione a più fattori. Elabora il numero di telefono dell’utente; nessun dato cliente. SCC.

Slack (USA) — Comunicazione interna del team e notifiche operative. Quando un utente invia un feedback su una risposta dell’IA, il testo del feedback e l’indirizzo e-mail dell’utente vengono inoltrati al team amaise tramite Slack. Nessun contenuto documentale. SCC.

Intercom (USA) — Chat di assistenza nell’applicazione e Help Center. Elabora nome, indirizzo e-mail e organizzazione dell’utente connesso, le pagine visitate nell’applicazione e il contenuto delle conversazioni di assistenza. Globale per tutti gli ambienti. SCC.

Mixpanel — Analisi del prodotto (comportamento d’uso). Riceve l’indirizzo e-mail e il nome dell’utente connesso, il testo digitato nei campi di ricerca e di filtro e le domande poste ai pilot — questo testo può contenere il nome o l’indirizzo e-mail di una persona. La registrazione delle sessioni (session replay) è attiva per tutte le sessioni dei clienti, con tutti i testi e gli input mascherati. Non vengono trasmessi né contenuti dei documenti dei clienti né risultati di ricerca. I dati sono memorizzati nella regione dati UE di Mixpanel per tutti gli ambienti. SCC.

Sentry (USA) — Rilevamento degli errori e monitoraggio delle prestazioni, globale per tutti gli ambienti. I report di errore sono configurati per ridurre al minimo i dati personali: nessun corpo delle richieste, nessun indirizzo IP, solo l’ID utente pseudonimizzato. Un campione di sessioni e ogni sessione con un errore vengono registrati (session replay), con tutti i testi mascherati. Nessun contenuto dei documenti dei clienti. SCC.

Better Stack — Monitoraggio della disponibilità e pagina di stato. L’avviso di stato nell’applicazione viene caricato da Better Stack, che riceve l’indirizzo IP del visitatore. Nessun dato cliente.

Gravatar (Automattic) (USA) — Immagini del profilo. Il browser richiede l’immagine di un utente con un hash unidirezionale del suo indirizzo e-mail. Nessun dato cliente.

ipgeolocation.io — Posizione approssimativa (paese, regione, città) degli indirizzi IP mostrati nel registro di audit. Elabora esclusivamente indirizzi IP.

Perplexity (USA) — Ricerca web. Elaborazione negli USA. Se LegalPilot è attivato per un workspace, utilizza Perplexity anche per la ricerca web: la domanda inserita dall’utente e la conversazione precedente vengono inviate così come inserite, senza documenti.

Justement (Svizzera) — Giurisprudenza svizzera.

Koordination Schweiz (Svizzera) — Diritto di coordinamento delle assicurazioni sociali.

entscheidsuche.ch (Svizzera) — Giurisprudenza svizzera.

OpenCaseLaw (Svizzera) — Giurisprudenza svizzera.

Fedlex (Cancelleria federale svizzera) — Legislazione federale. Riceve solo riferimenti normativi.

Zefix (Registro di commercio svizzero) — Ricerca di imprese. Riceve i nomi delle imprese presenti nel caso (ad esempio un datore di lavoro o un assicuratore), perché il nome dell’impresa è il termine di ricerca.

GitHub — Codice sorgente e pipeline di deployment.

Atlassian (Jira) — Gestione interna delle attività.

Snyk, Semgrep, SonarQube Cloud — Analisi del codice sorgente e delle dipendenze.

Scrut — Piattaforma di conformità per la gestione dell’ISMS (ISO 27001, ciclo di vita SOC 2). Elabora esclusivamente metadati infrastrutturali e dati di conformità dei dispositivi; nessuna informazione che permetta di identificare singoli assicurati o i loro casi. SOC 2. SCC.