Datenhaltung und Subprozessoren
Das Subprozessorverzeichnis von Tanevo. Wer welche Daten zu welchem Zweck wo verarbeitet, und wo der Beleg dafür noch fehlt.
Die Kurzfassung
Anrufe, Aufgaben und Kundendaten liegen in einer Datenbank in Zürich. Sprachverarbeitung und Telefonie laufen heute über Anbieter in den USA. Das Dashboard, die öffentliche Seite und der Pop-up-Agent werden aus Frankfurt ausgeliefert.
Was nicht gilt
Tanevo sagt nicht «alle Daten bleiben in der Schweiz» und nicht «Telefonie in der Schweiz». Beides wäre heute falsch.
Subprozessorverzeichnis
| Anbieter | Zweck | Welche Daten | Standort / Region | Beleg |
|---|---|---|---|---|
| Supabase | Datenbank, Dateiablage, Anmeldung | Alle gespeicherten Daten: Gespräche mit Wortlaut, Aufgaben, Kundendaten und Kundengedächtnis, Belege der Ansage, Unterlagen des Betriebs, Anmeldedaten | eu-central-2 (Zürich) | Region der Datenbank laut Projektkonfiguration |
| Vercel | Auslieferung von Dashboard, öffentlicher Seite und Pop-up-Agent | Beim Aufruf des Dashboards die Daten, die dort angezeigt werden; technische Angaben wie die IP-Adresse. Gespeichert werden die Daten in Supabase | fra1 (Frankfurt) | "regions": ["fra1"] in der Vercel-Konfiguration der Anwendungen |
| Infomaniak | Server des Sprach-Dienstes für Anrufe | Ton und Wortlaut laufender Anrufe | Schweizer Anbieter. Standort des Rechenzentrums: noch nicht belegt | Betrieb des Sprach-Dienstes |
| Twilio | Telefonie: Rufnummer, Anrufe, Weiterleitung. Bei einer eigenen Nummer: Prüfung des Betriebs | Ton des Anrufs, Rufnummern. Bei einer eigenen Nummer die Angaben und Unterlagen des Betriebs, mit dessen Einwilligung | USA. Twilio hat keinen Standort in der Schweiz | Keine Region im Code festgelegt |
| OpenAI | Sprache verstehen und sprechen, Antworten formulieren, Zusammenfassung nach dem Anruf, Wissenssuche (Einbettungen), Pop-up-Agent | Ton und Wortlaut der Gespräche, Fragen des Anrufers für die Wissenssuche, Unterlagen des Betriebs beim Einlesen | USA. EU-Datenresidenz: nicht beantragt | Aufrufe an die OpenAI-API im Sprach-Dienst und im Dashboard |
| Vercel AI Gateway und TypeSafe | Erkennen von Notfällen und Personenwünschen im Anruf | Wortlaut des Anrufers und der letzte Satz des Agenten | Sitz von TypeSafe und Ort der Verarbeitung: noch nicht belegt | Aufruf über das Vercel AI Gateway im Sprach-Dienst |
| Resend | Versand der Anmelde-Mails | E-Mail-Adresse der Nutzer des Dashboards | eu-west-1 (Irland) | Konfiguration des Mailversands |
Einzelheiten je Anbieter
Supabase (Zürich)
Supabase speichert alles, was Tanevo dauerhaft ablegt. Die Betriebe sind auf den Tabellen der Datenbank per Row Level Security voneinander getrennt. Auch Dateien, etwa Unterlagen für die Prüfung einer eigenen Rufnummer, liegen dort in einem privaten Speicher.
Vercel (Frankfurt)
Vercel hat keine Region in Zürich. Ohne ausdrückliche Angabe liefe die Anwendung in Vercels Voreinstellung in Washington. Die Region Frankfurt ist in der Konfiguration festgelegt. Dort wird gerendert und ausgeliefert, die Daten selbst liegen in Supabase.
OpenAI (USA)
OpenAI verarbeitet den Ton der Anrufe und formuliert Antworten. Die Aufrufe
zum Formulieren setzen die Option store: false, OpenAI soll diese Antworten
also nicht speichern. Beim Pop-up-Agenten geht der Ton direkt vom Browser zu
OpenAI; der Server von Tanevo vermittelt den Verbindungsaufbau und speichert
danach den Wortlaut als Text in Supabase.
OpenAI führt Europa (EWR und Schweiz) als eigene Region für die Datenverarbeitung, mit Bewilligung. Tanevo hat sie nicht beantragt. Der Sprach-Dienst enthält eine Prüfung, die im Normalfall nur die europäische Adresse zulässt. Solange keine Bewilligung vorliegt, gilt für OpenAI der Standort USA.
TypeSafe über das Vercel AI Gateway
Ob ein Anruf ein Notfall ist oder ob jemand eine Person verlangt, entscheidet ein eigenes Entscheidungsmodell (TypeSafe JEV). Der Aufruf geht an das Vercel AI Gateway und von dort zu TypeSafe. Damit sehen zwei weitere Anbieter den Wortlaut des Anrufers.
Anthropic
Anthropic ist heute kein Subprozessor. Im Code gibt es einen Anschluss für Modelle von Anthropic, eingeschaltet ist er nicht: Antworten formuliert heute ein Modell von OpenAI.
Systeme, die der Betrieb selbst anbindet
Bindet ein Betrieb über Integrationen eigene Systeme an, etwa einen MCP-Server, wählt er diesen Empfänger selbst. Tanevo übermittelt dorthin nur, was der Betrieb freischaltet: Jedes Werkzeug eines MCP-Servers wird einzeln eingeschaltet. Zugangsschlüssel solcher Systeme speichert Tanevo verschlüsselt (AES-256-GCM).
Noch offen
Noch offen
- Infomaniak: Standort des Rechenzentrums des Sprach-Dienstes belegen.
- OpenAI: EU-Datenresidenz ist nicht beantragt; bis dahin USA.
- TypeSafe: Sitz und Ort der Verarbeitung klären.
- Twilio: Region der Verarbeitung für Schweizer Nummern belegen.
- Übermittlung in die USA: Die Grundlage je Anbieter (Data Privacy Framework oder Standardvertragsklauseln) ist noch nicht belegt.
Ansage und KI-Hinweis
Jeder Anruf beginnt mit dem Hinweis auf künstliche Intelligenz und Aufzeichnung. Die Ansage ist nicht abschaltbar, und je Gespräch entsteht ein Beleg dessen, was gespielt wurde.
Aufbewahrung und Löschung
Welche Fristen gelten, wie die tägliche Löschroutine arbeitet, was sie schwärzt und wo der Betrieb die Fristen sieht.