Unterauftragsverarbeiter

Jeder Anbieter, der mit deinen Daten in Berührung kommt

Wir setzen 34 Unterauftragsverarbeiter für Infrastruktur, KI, Zahlungen, E-Mail und Messaging ein. Diese Seite ist die maßgebliche Liste: was jeder von ihnen tut, was er sieht und wo er tätig ist.

Wie Unterauftragsverarbeiter bei Spun eingesetzt werden

  • Ständig aktive Unterauftragsverarbeiter übernehmen die Kerninfrastruktur (Hosting, Zahlungen, WhatsApp-Gateway, E-Mail).
  • Optionale Unterauftragsverarbeiter werden nur hinzugezogen, wenn du die entsprechende Funktion aktivierst (zum Beispiel bestimmte KI-Anbieter). Mit der Schwärzung personenbezogener Daten (Voreinstellung „Maximal“) und dem KI-Hauptschalter kannst du KI-Anbieter vollständig ausschließen.
  • Wir informieren Kunden vorab über wesentliche Änderungen an dieser Liste, wie es unser Auftragsverarbeitungsvertrag (AVV) vorschreibt.
  • Wenn du über Änderungen benachrichtigt werden möchtest, schreib an [email protected] mit dem Betreff „Subprocessor updates“.

Infrastruktur und Hosting

Betreiben die Server, speichern die Daten und leiten den Datenverkehr, auf dem Spun läuft.

Hetzner Online GmbH

Datenschutzerklärung
Zweck
Primäre Anwendungsserver und PostgreSQL-Datenbank
Datenzugriff
Alle Spun-Daten im Ruhezustand der Organisationen, die der EU-Datenzelle zugeordnet sind
Region
Nuremberg, Germany (EU)

Cloudflare, Inc.

Datenschutzerklärung
Zweck
CDN, Load Balancer, WAF, DDoS-Schutz, R2-Objektspeicher, TURN-Server, Pages-Hosting
Datenzugriff
Verschlüsselter HTTPS-Datenverkehr; Mediendateien (Binärdaten) in R2; verschlüsselte Relay-Pakete über TURN
Region
Global edge (PoPs near user)

netcup GmbH

Datenschutzerklärung
Zweck
Server der regionalen Datenzelle (Region USA) und selbst gehostete Knoten für Echtzeit-Medien
Datenzugriff
Spun-Daten im Ruhezustand der Organisationen, die der Region USA zugeordnet sind; Audio und Video in Echtzeit, weitergeleitet über die selbst gehosteten Medienknoten
Region
Nuremberg, Germany (EU) and Manassas, Virginia (US)

WhatsApp-Gateway

Stellt die API-Verbindung zwischen Spun und WhatsApp bereit.

Whapi.cloud

Datenschutzerklärung
Zweck
Gateway für die WhatsApp Business API, einschließlich seiner regionalen Verbindungen: In Ländern, in denen das Gateway eine solche hat, erreicht eine neue WhatsApp-Verbindung ohne „Eigener Proxy“ WhatsApp über eine Verbindung des Gateways selbst in dem Land, das du bestätigst (die „Spun-Verbindung“ auf dem Verbindungsbildschirm)
Datenzugriff
Sämtliche Inhalte eingehender und ausgehender WhatsApp-Nachrichten, Telefonnummern von Kontakten, Medien
Region
EU / Cyprus; regional connection exit in the country you confirm, where available

KI-Anbieter

Verarbeiten Nachrichten für KI-Funktionen, wenn diese aktiviert sind. Deaktivierbar über deine KI-Einstellungen oder über Voreinstellungen zur Schwärzung personenbezogener Daten, siehe die Datenschutzübersicht.

OpenAI, LLC

Datenschutzerklärung
Zweck
KI-Entwürfe, Textverbesserung, Zusammenfassungen, intelligente Antworten, Klassifizierung, Embeddings für die Suche, Weave-Assistent, Whisper-Transkription, Sprachsynthese
Datenzugriff
Nachrichteninhalt (oder dessen geschwärzte Version) pro Anfrage. Wird nicht zum Training der Modelle von OpenAI verwendet.
Region
United States

Anthropic, PBC

Optional
Datenschutzerklärung
Zweck
Alternativer Anbieter großer Sprachmodelle für KI-Textfunktionen, per Konfiguration anstelle von OpenAI ausgewählt
Datenzugriff
Der mit dieser Anfrage gesendete Nachrichteninhalt (oder dessen geschwärzte Version). Wird nicht zum Training von Modellen verwendet.
Region
United States

Sofer.ai

Optional
Datenschutzerklärung
Zweck
Spracherkennung für Hebräisch (der standardmäßige Transkriptionsanbieter für hebräisches Audio)
Datenzugriff
Inhalt der Audiodatei pro Anfrage
Region
United States

AssemblyAI

Optional
Datenschutzerklärung
Zweck
Transkription langer Audioaufnahmen mit Sprechertrennung (der Anbieter, der genutzt wird, wenn bei einer Aufnahme die Sprecher unterschieden werden müssen)
Datenzugriff
Inhalt der Audiodatei pro Anfrage
Region
United States

Deepgram

Optional
Datenschutzerklärung
Zweck
Spracherkennung (Nova-3)
Datenzugriff
Inhalt der Audiodatei pro Anfrage
Region
United States

Groq, Inc.

Optional
Datenschutzerklärung
Zweck
Spracherkennung (Whisper large-v3-turbo), wenn für eine Transkription der Anbieter Groq gewählt wird
Datenzugriff
Inhalt der Audiodatei pro Anfrage
Region
United States

Speechmatics

Optional
Datenschutzerklärung
Zweck
Spracherkennung (Spezialsprachen)
Datenzugriff
Inhalt der Audiodatei pro Anfrage
Region
United Kingdom / EU

Google Cloud (Speech-to-Text and Text-to-Speech)

Optional
Datenschutzerklärung
Zweck
Ersatzlösung für die Spracherkennung sowie Sprachsynthese für Standardstimmen
Datenzugriff
Audiodatei oder Text pro Anfrage
Region
United States / global

Microsoft Azure (Cognitive Services Speech)

Optional
Datenschutzerklärung
Zweck
Ersatzlösung für Spracherkennung (STT) und Sprachsynthese (TTS) für Spezialsprachen und Dialekte
Datenzugriff
Audiodatei oder Text pro Anfrage
Region
EU / US (configurable)

Sarvam AI

Optional
Datenschutzerklärung
Zweck
Spracherkennung (STT), Sprachsynthese (TTS) und Übersetzung für indische Sprachen
Datenzugriff
Audio- oder Textinhalt pro Anfrage
Region
India

ElevenLabs

Optional
Datenschutzerklärung
Zweck
Hochwertige Sprachsynthese
Datenzugriff
Textinhalt pro Anfrage
Region
United States / EU

Speechify

Optional
Datenschutzerklärung
Zweck
Stimmen für die Sprachsynthese
Datenzugriff
Textinhalt pro Anfrage
Region
United States

Sprache und Video

Verarbeiten die Live-Medien von Anrufen.

LiveKit Cloud

Datenschutzerklärung
Zweck
SFU für Gruppenanrufe und Übersetzungsräume mit 3 oder mehr Teilnehmenden sowie serverseitige Aufzeichnung eines Meetings, wenn ein Host die Aufzeichnung einschaltet
Datenzugriff
Live-Audio- und Videomedien (von der SFU zur Weiterleitung entschlüsselt, siehe die Seite „Verschlüsselung“). Wenn ein Host aufzeichnet, werden dieselben Medien zu einer Aufzeichnungsdatei zusammengesetzt.
Region
United States / global

Cloudflare TURN

Datenschutzerklärung
Zweck
Relay für die NAT-Traversierung bei 1:1-WebRTC-Anrufen, wenn eine direkte P2P-Verbindung fehlschlägt
Datenzugriff
Ausschließlich verschlüsselte DTLS-SRTP-Pakete; TURN kann die Medien nicht entschlüsseln
Region
Global edge

Telefon und SMS

Werden für die Telefonverifizierung, den Versand von Einladungs-SMS und Telefonanrufe über eine Nummer genutzt, die eine Organisation verbunden hat.

TextGrid

Datenschutzerklärung
Zweck
SMS-Zustellung für Einladungs- und Verifizierungsnachrichten, die von Nummern gesendet werden, die Spun betreibt
Datenzugriff
Telefonnummer des Empfängers und Text der Nachricht zum Zeitpunkt des Versands
Region
United States

VitalPBX

Zweck
Selbst gehostete SIP-Telefonanlage (PBX) für die Zustellung von Sprach-OTPs
Datenzugriff
Telefonnummer, OTP-Code zum Zeitpunkt des Anrufs
Region
Self-hosted (Spun-owned, US data center)

BulkVS

Datenschutzerklärung
Zweck
SIP-Trunk für die ausgehende Zustellung von Sprach-OTPs
Datenzugriff
Telefonnummer, OTP-Code zum Zeitpunkt des Anrufs
Region
United States

Twilio (Programmable Voice)

Optional
Datenschutzerklärung
Zweck
Überträgt eingehende und ausgehende Telefonanrufe über die Twilio-Nummer, die eine Organisation verbindet, und zeichnet einen Anruf auf, wenn die Anrufaufzeichnung eingeschaltet ist
Datenzugriff
Anrufende und angerufene Telefonnummern, Zeitpunkt, Dauer und Status des Anrufs, das Live-Audio des Anrufs sowie die Aufzeichnung, die Twilio vorhält, bis Spun sie in R2 herunterlädt. Eine vom SendGrid-Eintrag für E-Mail getrennte Beauftragung.
Region
United States / global

Authentifizierung und Push-Benachrichtigungen

Anmeldeanbieter und mobile Push-Benachrichtigungen.

Google (Gmail send, your own account)

Optional
Datenschutzerklärung
Zweck
Versand von E-Mails von deiner eigenen Gmail-Adresse, jeweils an einen Empfänger, wenn du dein Google-Konto verbindest
Datenzugriff
Die Nachricht, die du sendest, und ihr Empfänger. Google ist hier dein eigener E-Mail-Anbieter: Spun sendet mit deiner Einwilligung über dein Konto, und die Berechtigung (Scope) zum Senden kann dein Postfach nicht lesen.
Region
United States / global

Google (Sign-In with Google)

Datenschutzerklärung
Zweck
OAuth-Identitätsanbieter für die Anmeldung
Datenzugriff
Name und E-Mail-Adresse bei der Anmeldung. Wir greifen nicht auf Drive, Gmail, Calendar oder Contacts zu.
Region
United States

Firebase Cloud Messaging (Google)

Datenschutzerklärung
Zweck
Push-Benachrichtigungen für eingehende Nachrichten und Anrufe
Datenzugriff
Push-Token des Geräts, Titel und Text der Benachrichtigung (kein Nachrichtentext, sofern der Nutzer keine Vorschauen aktiviert hat)
Region
United States

Zahlungen und Abrechnung

Verarbeiten Abonnementzahlungen. Kartendaten erreichen niemals die Server von Spun.

Stripe, Inc.

Datenschutzerklärung
Zweck
Zahlungsabwicklung, Abonnements, Rechnungsstellung, Stripe Connect für Auszahlungen an Affiliates
Datenzugriff
Name des Kunden, Rechnungs-E-Mail-Adresse, Rechnungsadresse, Kartendaten (direkt von Stripe Elements erhoben)
Region
United States (with EU data residency for EU customers)

E-Mail und Support

Versenden transaktionale E-Mails und bieten Live-Chat-Support in der App.

SendGrid (Twilio)

Datenschutzerklärung
Zweck
Transaktionale E-Mails: Einladungen, Zurücksetzen von Passwörtern, Bestätigungscodes, Benachrichtigungen. Empfängt außerdem Antworten auf E-Mails, die du aus Spun sendest, auf einer reinen Empfangsdomain, die nicht senden kann.
Datenzugriff
E-Mail-Adresse des Empfängers, Nachrichtentext der jeweiligen E-Mail. Bei eingehenden Antworten: die Absenderadresse, der Nachrichtentext und etwaige Anhänge sowie die Authentifizierungsergebnisse, die die empfangende Domain meldet.
Region
United States

Chatwoot

Optional
Datenschutzerklärung
Zweck
Eingebettetes Live-Chat-Widget auf der Marketing-Website und in der Hilfe in der App
Datenzugriff
Chatnachrichten mit unserem Support-Team, Browser-Metadaten
Region
EU / US (configurable)

WhatsApp-Routing (Proxys)

Übertragen die WhatsApp-Sitzung vom WhatsApp-Gateway zu WhatsApp über einen von drei Wegen: die regionale Verbindung des Gateways selbst in dem Land, das du bestätigst (oben unter WhatsApp-Gateway aufgeführt), eine vorübergehende Verbindung über einen privaten Internetanschluss (Residential) in diesem Land, wenn das Gateway dort keine regionale Verbindung hat, oder den Computer oder Router, auf dem dein „Eigener Proxy“ läuft. Downloads und Uploads von Medien nutzen diese Wege nicht: Diese Übertragungen laufen direkt zwischen dem WhatsApp-Gateway und WhatsApp.

Spun relay servers (Self Proxy)

Optional
Zweck
Von uns selbst betriebene Relay-Server, die Verbindungen über „Eigener Proxy“ zwischen dem WhatsApp-Gateway und dem Computer oder Router übertragen, auf dem dein „Eigener Proxy“ läuft; genutzt wird das Relay, das diesem Gerät am nächsten liegt
Datenzugriff
Ausschließlich TLS-verschlüsselter Datenverkehr des WhatsApp-Gateways; in Echtzeit weitergeleitet, niemals gespeichert
Region
Nuremberg, Germany (EU) and Manassas, Virginia (US)

Infatica

Zweck
Residential-Proxy-Netzwerk für die vorübergehende WhatsApp-Verbindung: In Ländern, in denen das WhatsApp-Gateway keine regionale Verbindung hat, erreichen neue Verbindungen ohne „Eigener Proxy“ WhatsApp über eine private Internetadresse (Residential-IP) in dem Land, das du beim Verbinden bestätigst. Wird nicht für Organisationen genutzt, die „Eigener Proxy“ oder eine regionale Verbindung des Gateways verwenden
Datenzugriff
Verschlüsselter Datenverkehr der WhatsApp-Sitzung und die für seine Übertragung nötigen Verbindungsmetadaten (Adressen, Zeitpunkte, Volumen); keine lesbaren Nachrichteninhalte und keine Medienübertragungen
Region
Exit in the country you confirm when connecting (global residential network)

Überwachung und Zuverlässigkeit

Erfassen Fehler, überwachen die Verfügbarkeit und bündeln Betriebsprotokolle. Die Betriebsprotokolle enthalten Telefonnummern von Kontakten, die wir bewusst aufbewahren, damit Support und Entwicklung eine bestimmte Unterhaltung nachverfolgen können. Zugangsdaten und E-Mail-Adressen werden vor der Übermittlung geschwärzt, und Nachrichteninhalte werden nicht routinemäßig protokolliert.

Axiom, Inc.

Datenschutzerklärung
Zweck
Zentrale Bündelung der Server- und Container-Protokolle unserer gesamten Infrastruktur
Datenzugriff
Zeilen der Betriebsprotokolle: Zeitstempel, Host- und Dienstnamen, Anfragepfade, Fehlermeldungen und Stacktraces sowie Telefonnummern von Kontakten, wenn sie in einem Betriebsereignis vorkommen. Zugangsdaten und E-Mail-Adressen werden geschwärzt, bevor die Protokolle unsere Server verlassen, und Nachrichteninhalte werden nicht routinemäßig protokolliert. Aufbewahrung 30 Tage.
Region
EU (Frankfurt, eu-central-1)

Analyse

Nutzungsanalyse und Sitzungsaufzeichnung, auf der Marketing-Website und in der Spun-App. Auf der Marketing-Website setzt die Erfassung eine Einwilligung voraus; in der App läuft sie in jeder Sitzung, wobei die Sitzungsaufzeichnung auf Desktop-Computer beschränkt ist.

Google Analytics

Optional
Datenschutzerklärung
Zweck
Besucheranalyse der Marketing-Website (spun.com und Ländervarianten)
Datenzugriff
Anonymisierte Seitenaufrufe und Klickereignisse, ausschließlich auf Marketingseiten
Region
United States

PostHog

Datenschutzerklärung
Zweck
Produktanalyse und Sitzungsaufzeichnung, auf der Marketing-Website und in der Spun-App
Datenzugriff
Seitenaufrufe, Klicks und Navigationsereignisse, Browser- und Gerätemetadaten; bei angemeldeten App-Nutzern außerdem Name, E-Mail-Adresse, Rolle sowie Name und ID der Organisation. Die Sitzungsaufzeichnung zeichnet die Oberfläche so auf, wie sie angezeigt wird, sodass Nachrichteninhalte auf dem Bildschirm in einer Aufzeichnung erscheinen können. In der App ist die Aufzeichnung auf Mobilgeräten ausgeschaltet. Auf der Marketing-Website wird nichts erfasst, sobald ein Besucher Cookies ablehnt, und die Erfassung vor einer Entscheidung erfolgt ohne Cookies.
Region
EU (PostHog EU Cloud, eu.posthog.com)

Kontaktanreicherung

Suchen ein öffentliches berufliches Profil zu einem gespeicherten Kontakt, nur wenn ein Nutzer dies für diesen Kontakt ausdrücklich anfordert. Es werden niemals Nachrichteninhalte gesendet, und es wird keine Liste deiner Kontakte hochgeladen.

People Data Labs

Optional
Datenschutzerklärung
Zweck
Suche nach dem beruflichen Profil eines einzelnen Kontakts auf ausdrückliche Anfrage eines Nutzers („Kontaktintelligenz“)
Datenzugriff
Name und Telefonnummer eines Kontakts pro Anfrage sowie das Land dieser Telefonnummer. Niemals Nachrichteninhalte, niemals deine Kontaktliste.
Region
United States

Du brauchst einen unterzeichneten AVV?

Unser Auftragsverarbeitungsvertrag (AVV) ist an der DSGVO ausgerichtet, enthält die Standardvertragsklauseln (SCC) der EU für internationale Übermittlungen und deckt alle oben aufgeführten Unterauftragsverarbeiter ab. Schreib an [email protected], um eine Kopie anzufordern.

Zur SicherheitsübersichtZurück zur Datenschutzübersicht