GDPR Art. 28 (2)
Sub-Processors
The following sub-processors may be engaged to deliver Etchify and the other apps in the Alpin-Code portfolio. The list mirrors the canonical registry maintained by the Alpin-Code Hub — single source of truth across all apps. Updates are fetched hourly.
20 entries
| Name | Service | Country | Transfer | DPA |
|---|---|---|---|---|
| Anthropic, PBC | aiLLM-Inferenz (Claude API). Nutzungsart variiert je App und ist bewusst differenziert: luvex = RAG ueber eigenen kuratierten Wissenskorpus (uv-Codex; keine Endnutzer-Eingaben ans Modell); shapechat = KI-Konzept in Klaerung (aktuell nicht aktiv weitergebaut); steuermut = KEINE Laufzeit-LLM-Calls (Codex-basiert, Nutzung dev-/build-seitig); mandalu/elexo = KI-Assistenz. Als Art-28-Auftragsverarbeiter dort, wo Endnutzer-Eingaben verarbeitet werden; sonst zur Transparenz genannt. | US | SCC Module 2SCC | DPA |
| Contabo GmbH | storageS3-kompatibler Object Storage (verschluesselte Backups, Datei-Archive) | DE | Adequacy (EU) | — |
| DHL Paket GmbH | logisticsPaket-/Versanddienstleister — verarbeitet Empfaenger-Name + Lieferadresse zur Zustellung (Label-/Sendungserstellung, Sendungsverfolgung). Verwendet von packmate-shop (Kunden-Versand) und lunaria-erp (interner Versand). | DE | Intra-EU (Deutschland) — keine Drittlandsuebermittlung | DPA |
| Google LLC | authGoogle OAuth 2.0 / OpenID Connect (Sign-in-mit-Google als alternativer Login-Provider) | US | SCC Module 2 + EU-US Data Privacy Framework (DPF)SCC | DPA |
| Google Ireland Limited | emailGoogle Workspace (Email-Hosting, Calendar, Drive, Docs — Operator-Inbox + Productivity-Suite) | IE | Adequacy (EU/EEA) | DPA |
| Groq, Inc. | aiWhisper-Large-V3 Transcription-API fuer die Voice-Memo-Pipeline. Verwendet von alpin-cockpit (/internal/voice), luvex und mandalu. Audio-Upload + Text-Output, kein Long-term-Storage. | US | SCC Module 2SCC | DPA |
| Hetzner Online GmbH | infrastructureCloud-Infrastruktur (Object Storage, Dedicated Server, Cloud Server, Storage Box) | DE | Adequacy (EU/EEA) | DPA |
| Hostinger Operations UAB | hostingVPS-Hosting (virtuelle Linux-Server fuer Backend, Datenbank, Frontend, File-Storage) | LT | Adequacy (EU/EEA) | DPA |
| Mapbox, Inc. | otherKarten-Darstellung + Geocoding (Maps GL JS, Static Tiles, Geocoding/Search API) | US | EU-US Data Privacy Framework (primär) + SCC Module 2 (Fallback)SCC | DPA |
| Mistral AI SAS | aiOCR + LLM-API (Mistral-Modelle inkl. Vision/OCR fuer Beleg- und Dokumentenextraktion) | FR | Adequacy (EU/EEA) | DPA |
| OpenStreetMap Foundation | otherGeocoding / Reverse-Geocoding (Nominatim) — Adresse zu Koordinaten, server-zu-server | GB | UK-Angemessenheitsbeschluss (Art. 45 DSGVO) — kein SCC-Bedarf | — |
| OpenAI OpCo, LLC | aiLLM-Inferenz (GPT via OpenAI API). Nutzung: mandalu = KI-Assistenz; shapechat = KI-Konzept in Klaerung (aktuell nicht aktiv weitergebaut). Als Art-28-Auftragsverarbeiter dort, wo Endnutzer-Eingaben verarbeitet werden; sonst zur Transparenz genannt. | US | SCC Module 2SCC | DPA |
| OpenRouter, LLC | aiLLM-Routing-Aggregator (leitet API-Anfragen an nachgelagerte Modell-Anbieter wie OpenAI/Anthropic/Mistral). Nutzung: alpin-cockpit = Hub-INTERNE Tooling-Nutzung (Operator, keine Endnutzer-PII); luvex = RAG ueber eigenen kuratierten Wissenskorpus. Speichert Prompts/Antworten per Default NICHT (Retention nur opt-in). Zur Transparenz genannt. | US | SCC Module 2 (US-Anbieter + nachgelagerte Modell-Provider)SCC | DPA |
| Plausible Insights OÜ | otherCookielose, datenschutzfreundliche Web-Analytics (keine Cookies, keine PII, kein Cross-Site-Tracking) | EE | Adequacy (EU) — Verarbeitung + Speicherung ausschliesslich in der EU | DPA |
| Resend, Inc. | emailTransactional Email (Mail-Relay fuer System-Mails, Login-Codes, Benachrichtigungen) | US | SCC Module 2SCC | — |
| seven communications GmbH & Co. KG | smsSMS-/Voice-Gateway (Versand von OTP-/Benachrichtigungs-SMS an Endnutzer-Rufnummern). Verarbeitet Empfaenger-Rufnummer + SMS-Inhalt zur Zustellung. Verwendet von alpin-cockpit (Alert-/OTP-Kanal) und sosta (Worker-OTP). | DE | Intra-EU (Deutschland) — keine Drittlandsuebermittlung | DPA |
| Shopify International Limited | platformShopify-Platform — Host fuer App-Installations, Admin-Embeds, Customer-Account-Surfaces, Order-Webhooks, Shop-Domain-DNS. Verwendet von etchify-app, echomate-shop, inkmate-shop, packmate-shop, bilanzkompass-shopify und lunaria-erp. | IE | Adequacy (EU/EEA) + SCC Module 2 fuer non-EUSCC | DPA |
| Stripe Payments Europe, Limited | paymentZahlungsabwicklung (Kartenzahlung, SEPA, Abo-Billing, Auszahlungen/Payouts). Verarbeitet Zahler-Stammdaten + Transaktionsdaten. Verwendet von luvex und stempelkompass. | IE | SCC Module 2 + Stripe Data Transfers AddendumSCC | DPA |
| Supabase Inc. | hostingManaged Postgres + Auth + Storage + Edge-Functions als DB-Layer. Verwendet von etchify-app, echomate-shop, shapechat und alpin-cockpit. | US | SCC Module 2SCC | DPA |
| Vercel Inc. | hostingServerless-Hosting + Edge-Network fuer Next.js-/Vite-Frontends. Verwendet von etchify-app, echomate-shop, inkmate-shop, packmate-shop, shapechat und der shopforge-Landing. | US | SCC Module 2SCC | DPA |