Transparency register

Sub-processors

Effective: 25 April 2026 · 14 active sub-processors

The German version at /legal/sub-processors is the legally binding text. This English version is a convenience translation. In the event of conflict, the German text prevails.

This page lists all service providers engaged by Caelex as sub-processors within the meaning of Art. 28(2) GDPR. Each entry discloses purpose, data types, processing location and transfer mechanism.

Under DPA § 10 we notify existing customers at least 30 days before engaging or replacing a sub-processor. Subscribe to notifications.

Hosting & Edge Network · Hosting & Edge Network

Vercel Inc.

Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA

Website Provider DPA

Purpose · Zweck: Serving the platform through the global edge network, build and deploy orchestration, serverless functions.; Bereitstellung der Plattform über das globale Edge-Netzwerk, Build- und Deploy-Orchestrierung, Serverless-Funktionen.
Data types · Datenarten: All data required to serve the application (application code, request metadata, IP addresses), transient application data during processing.; Sämtliche zur Auslieferung der Anwendung benötigten Daten (Anwendungscode, Request-Metadaten, IP-Adressen), flüchtige Anwendungsdaten während der Verarbeitung.
Location · Verarbeitungsort: USA mit Edge-Regionen weltweit; Caelex nutzt vorrangig EU-Regionen (fra1, cdg1) für dynamische Requests
Transfer mechanism · Transfer-Mechanismus: EU-Standardvertragsklauseln (Modul 3) · EU-US Data Privacy Framework

Managed Postgres · Managed Postgres

Neon Inc.

Neon Inc., 2261 Market St #4474, San Francisco, CA 94114, USA

Website Provider DPA

Purpose · Zweck: Operating the production database (PostgreSQL), including backups and point-in-time recovery.; Betrieb der Produktivdatenbank (PostgreSQL), inkl. Backups und Point-in-Time-Recovery.
Data types · Datenarten: All persisted application data: user, organisation, assessment, document, audit-log, bookmark and communication data.; Alle persistierten Anwendungsdaten: Nutzer-, Organisations-, Assessment-, Dokument-, Audit-Log-, Bookmark- und Kommunikationsdaten.
Location · Verarbeitungsort: EU-Region eu-central-1 (Frankfurt, Deutschland)
Transfer mechanism · Transfer-Mechanismus: Verarbeitung innerhalb der EU; Verwaltungs-Zugriffe aus den USA werden durch EU-Standardvertragsklauseln (Modul 3) abgesichert

Rate limiting & caching · Rate-Limiting & Caching

Upstash Inc.

Upstash Inc., 900 Mission St #203, San Francisco, CA 94103, USA

Website Provider DPA

Purpose · Zweck: Rate limiting for API and widget endpoints; serverless Redis caching for session tokens and short-lived counters.; Rate-Limiting für API- und Widget-Endpunkte; serverloses Redis-Caching für Session-Tokens und kurzlebige Zähler.
Data types · Datenarten: IP addresses and user IDs for rate-limit purposes (TTL < 24h), session and MFA tokens (short-lived).; IP-Adressen und User-IDs zu Rate-Limit-Zwecken (TTL < 24h), Session- und MFA-Tokens (kurzlebig).
Location · Verarbeitungsort: EU-Region eu-west-1 (Dublin, Irland)
Transfer mechanism · Transfer-Mechanismus: Verarbeitung innerhalb der EU; EU-US DPF für USA-Support-Zugriffe; Standardvertragsklauseln Modul 3

Payments · Zahlungsabwicklung

Stripe Payments Europe Ltd.

Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Ireland

Website Provider DPA

Purpose · Zweck: Payment processing, billing, invoicing, subscription management. Stripe is an independent controller for payment data.; Abwicklung von Zahlungen, Abrechnung, Rechnungsstellung, Abo-Verwaltung. Stripe ist für Zahlungsdaten eigenverantwortlicher Datenverarbeiter.
Data types · Datenarten: Billing address, VAT and tax IDs, payment history. Card data is stored only with Stripe (PCI DSS Level 1), not with Caelex.; Rechnungsadresse, Umsatz- und Steuernummern, Zahlungshistorie. Kartendaten werden ausschließlich bei Stripe gespeichert (PCI DSS Level 1), nicht bei Caelex.
Location · Verarbeitungsort: Irland (EU); Teilverarbeitung in USA und Großbritannien
Transfer mechanism · Transfer-Mechanismus: Hauptverarbeitung in der EU; internationale Transfers über EU-Standardvertragsklauseln und UK-Addendum

Transactional email · Transaktionale E-Mails

Resend Inc.

Resend Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA

Website Provider DPA

Purpose · Zweck: Sending transactional email (login links, invoices, notifications, support communication).; Versand transaktionaler E-Mails (Login-Links, Rechnungen, Benachrichtigungen, Support-Kommunikation).
Data types · Datenarten: Recipient email addresses, subject, email content (only during delivery; no permanent storage when Caelex configures accordingly).; E-Mail-Adressen der Empfänger, Betreff, E-Mail-Inhalt (nur während Zustellung, keine dauerhafte Speicherung bei Caelex-Aktivierung)
Location · Verarbeitungsort: USA mit EU-Edge-Regionen
Transfer mechanism · Transfer-Mechanismus: EU-Standardvertragsklauseln Modul 3 · optional EU-Datenhaltung aktiv

Error & performance monitoring · Fehler- & Performance-Monitoring

Functional Software Inc. (dba Sentry)

Functional Software Inc., 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA

Website Provider DPA

Purpose · Zweck: Capturing runtime errors and performance metrics for product stability and security observability.; Erfassung von Laufzeitfehlern und Performance-Metriken zur Produktstabilität und Sicherheitsbeobachtung.
Data types · Datenarten: Stack traces, browser and OS information, request metadata, anonymised user IDs. PII scrubbing enabled before transmission.; Stack-Traces, Browser- und OS-Informationen, Request-Metadaten, anonymisierte User-IDs. PII-Scrubbing vor Übertragung aktiviert.
Location · Verarbeitungsort: EU-Region (Frankfurt) mit Fallback USA
Transfer mechanism · Transfer-Mechanismus: Verarbeitung primär in EU; EU-Standardvertragsklauseln Modul 3 für USA-Fallback

AI inference (Claude) · KI-Inferenz (Claude)

Anthropic PBC

Anthropic PBC, 548 Market Street PMB 90375, San Francisco, CA 94104, USA

Website Provider DPA

Purpose · Zweck: Running large-language-model requests for Astra (compliance copilot), Atlas (legal-counsel mode), Generate 2.0, automated document generation, and Passage document extraction (datasheet classification, licence-notice parsing).; Ausführung der Large-Language-Model-Anfragen für Astra (Compliance-Copilot), Atlas (Anwalts-Modus), Generate 2.0, automatische Dokumentengenerierung sowie die Passage-Dokumenten-Extraktion (Datenblatt-Klassifizierung, Bescheid-Auswertung).
Data types · Datenarten: User prompt, user-provided context, conversation ID (Astra only); for Passage document extraction additionally the uploaded PDF (datasheet or licence notice). Zero-data-retention agreement active: no storage at Anthropic after response, no use for model training.; Nutzer-Prompt, vom Nutzer bereitgestellter Kontext, Konversations-ID (nur Astra); bei der Passage-Dokumenten-Extraktion zusätzlich das hochgeladene PDF (Datenblatt bzw. Bescheid). Zero-Data-Retention-Vereinbarung aktiv: keine Speicherung bei Anthropic nach Beantwortung, keine Nutzung zum Modelltraining.
Location · Verarbeitungsort: Primär EU (Frankfurt/Irland, AWS Bedrock via Vercel AI Gateway); Fallback USA (Anthropic Direkt-API) — siehe `src/lib/atlas/anthropic-client.ts`
Transfer mechanism · Transfer-Mechanismus: Primärer Pfad (EU-Bedrock): kein Drittlandtransfer — Verarbeitung in der EU. Fallback-Pfad (USA): EU-US Data Privacy Framework (Anthropic ist DPF-zertifiziert) · EU-Standardvertragsklauseln Modul 3 · Zero-Data-Retention-Zusage (Anthropic Enterprise).

AI embeddings · KI-Embeddings

OpenAI, L.L.C.

OpenAI, L.L.C., 3180 18th Street, San Francisco, CA 94110, USA · Routed via Vercel AI Gateway

Website Provider DPA

Purpose · Zweck: Vector embeddings (text-embedding-3-small @ 512 dims) for Atlas corpus semantic search and Personal Library recall — via Vercel AI Gateway. No direct Caelex↔OpenAI contract; OpenAI is a sub-sub-processor under Vercel. Speech transcription does not use OpenAI.; Vektor-Embeddings (text-embedding-3-small @ 512 Dimensionen) für Atlas-Korpus-Semantiksuche und Personal-Library-Recall — über Vercel AI Gateway. Keine direkte Vertragsbeziehung Caelex↔OpenAI; OpenAI ist Sub-Sub-Processor unter Vercel. Sprachtranskription läuft nicht über OpenAI.
Data types · Datenarten: User query text and library-entry texts (title + optional question + first 3,000 chars). No plaintext retention beyond the API call (OpenAI Zero-Data-Retention for API customers).; Nutzer-Anfragetext und Library-Eintragstexte (Titel + ggf. Frage + erste 3.000 Zeichen). Keine Klartext-Speicherung über den API-Aufruf hinaus (OpenAI Zero-Data-Retention für API-Kunden).
Location · Verarbeitungsort: Embeddings: USA via Gateway (DPF+SCC+ZDR) — eigener Residual-Track, nicht der STT-EU-Pin
Transfer mechanism · Transfer-Mechanismus: EU-US Data Privacy Framework (zertifiziert) · Standardvertragsklauseln · Zero-Data-Retention für API-Aufrufe · Routing über Vercel AI Gateway (kein eigener Vertrag mit Caelex)

AI speech transcription (STT) · KI-Sprachtranskription (STT)

Google LLC (Gemini)

Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA · Routed via Vercel AI Gateway

Website Provider DPA

Purpose · Zweck: Optional Atlas voice input: audio → text via Google Gemini Flash Lite, exclusively through Vercel AI Gateway with EU region pin (fail-closed). Dedicated Gateway transcription models currently have no EU `regions` and are not used. No direct Caelex↔Google contract; Google is a sub-sub-processor under Vercel.; Optionale Atlas-Spracheingabe: Audio → Text über Google Gemini Flash Lite, ausschließlich via Vercel AI Gateway mit EU-Region-Pin (fail-closed). Dedicated Gateway-Transkriptionsmodelle haben derzeit keine EU-`regions` und werden nicht genutzt. Keine direkte Vertragsbeziehung Caelex↔Google; Google ist Sub-Sub-Processor unter Vercel.
Data types · Datenarten: Short-lived audio buffer of voice input (not persisted to R2/DB/disk after response). Transcript text is inserted into the user's chat input. No Caelex-side audio retention.; Kurzlebiger Audio-Buffer der Spracheingabe (kein Persistieren auf R2/DB/Disk nach Response). Transkript-Text geht in die Chat-Eingabe des Nutzers. Keine Caelex-seitige Audio-Speicherung.
Location · Verarbeitungsort: Gateway EU-Inference-Pin (fail-closed). Der Pin deckt Provider-Inferenz, nicht die Vercel-Edge-Terminierung.
Transfer mechanism · Transfer-Mechanismus: EU-Inference-Pin via Vercel AI Gateway (fail-closed) · keine direkte Vertragsbeziehung mit Caelex · Sub-Sub-Processor unter Vercel · Pin ≠ 100% EU-only (Edge-Residual)

AI inference (Grok) · KI-Inferenz (Grok)

xAI

xAI Corp., 1450 Veterans Blvd, South San Francisco, CA 94080, USA

Website Provider DPA

Purpose · Zweck: Running large-language-model requests for Atlas Intelligence (agent/research off the mandate file) and related Grok lanes. Not the default mandate chat. API traffic is not used for model training.; Ausführung von Large-Language-Model-Anfragen für Atlas Intelligence (Agent/Recherche ohne Mandatsakte) und verwandte Grok-Lanes. Kein Mandats-Chat-Default. Keine Nutzung zum Modelltraining über die API.
Data types · Datenarten: User prompt and user-provided context from the Intelligence lane (chat text). No invented EU-only claims; inference in the United States until a contrary exhibit exists.; Nutzer-Prompt und vom Nutzer bereitgestellter Kontext der Intelligence-Lane (Chat-Text). Keine erfundenen EU-only-Claims; Inferenz in den USA, solange kein gegenteiliger Exhibit vorliegt.
Location · Verarbeitungsort: USA (unknown until proven otherwise — not advertised as EU processing)
Transfer mechanism · Transfer-Mechanismus: EU-Standardvertragsklauseln wo vertraglich verfügbar · kein EU-only-Claim · API no-train (xAI API terms). DPA-Notice an Bestandskunden gemäß AVV § 10 (30 Tage) — CAE-1781 Julian 2026-08-24.

Object storage (documents, attachments) · Objektspeicher (Dokumente, Anhänge)

Cloudflare, Inc.

Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA

Website Provider DPA

Purpose · Zweck: Storage of user-uploaded documents, mandate attachments, generated PDF reports and other file attachments via Cloudflare R2 (S3-compatible). R2 is addressed server-side only; signed URLs are short-lived (hours, not days).; Speicherung von Nutzer-hochgeladenen Dokumenten, Mandantenanlagen, generierten PDF-Reports und sonstigen Datei-Anhängen via Cloudflare R2 (S3-kompatibel). R2 wird ausschließlich serverseitig adressiert; signierte URLs sind kurzlebig (Stunden, nicht Tage).
Data types · Datenarten: File contents (documents, images, PDFs), file metadata (name, MIME type, size), Caelex-internal assignment IDs (organisation, user, mandate). No plaintext indexing. At-rest encryption via Cloudflare standard (AES-256).; Dateiinhalte (Dokumente, Bilder, PDFs), Datei-Metadaten (Name, MIME-Type, Größe), Caelex-interne Zuordnungs-IDs (Organisation, Nutzer, Mandant). Keine Klartext-Indizierung. Verschlüsselung at-rest durch Cloudflare-Standard (AES-256).
Location · Verarbeitungsort: EU-Region (Frankfurt) als bevorzugte Storage-Region; Cloudflare global edge für signierte URL-Auslieferung
Transfer mechanism · Transfer-Mechanismus: Verarbeitung in EU-Region; EU-Standardvertragsklauseln Modul 3 für US-Verwaltungs-Zugriff; Cloudflare ist DPF-zertifiziert

Business-event monitoring · Geschäftsereignis-Monitoring

LogSnag

LogSnag (operated by Shayan Taslim, registered in Canada)

Website Provider DPA

Purpose · Zweck: Server-side tracking of significant business events (signups, cancellations, compliance milestones, error clusters) for operator alerting. No profiling, no advertising or marketing analysis.; Server-seitiges Tracking aussagekräftiger Geschäftsereignisse (Anmeldungen, Stornierungen, Compliance-Meilensteine, Fehler-Cluster) für Operator-Alerting. Keine Profilbildung, keine Werbe- oder Marketing-Auswertung.
Data types · Datenarten: Event type, channel, short description, Caelex-internal IDs (user, organisation), timestamp. No email addresses, no PII plaintext fields. No browser or device fingerprinting (server-only).; Ereignistyp, Channel, kurze Beschreibung, Caelex-interne IDs (User, Organisation), Zeitstempel. Keine E-Mail-Adressen, keine PII-Klartextfelder. Kein Browser- oder Geräte-Fingerprinting (Server-only).
Location · Verarbeitungsort: Kanada
Transfer mechanism · Transfer-Mechanismus: Übermittlung an Drittland mit EU-Angemessenheitsbeschluss (Kanada — Decision 2002/2/EG); zusätzlich Standardvertragsklauseln im Anbietervertrag

Web analytics (cookieless) · Web-Analytics (cookielos)

Vercel Inc. (Web Analytics)

Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA

Website Provider DPA

Purpose · Zweck: Aggregated reach and usage statistics (page views, dwell time, device class). Cookieless and without cross-site tracking. Loaded only after explicit user consent (Cookie banner: analytics toggle on) — see `src/components/ConditionalAnalytics.tsx`.; Aggregierte Reichweiten- und Nutzungsstatistiken (Seitenaufrufe, Verweildauer, Geräteklasse). Cookielos und ohne Cross-Site-Tracking. Wird ausschließlich nach ausdrücklicher Einwilligung des Nutzers (Cookie-Banner: Analytics-Toggle aktiv) geladen — siehe `src/components/ConditionalAnalytics.tsx`.
Data types · Datenarten: Path of the visited page, anonymised device class, referrer domain, rolled session hash. No IP addresses, no cookies, no user IDs.; Pfad der aufgerufenen Seite, anonymisierte Geräte-Klasse, Referrer-Domain, Sitzungs-Hash (gerollt). Keine IP-Adressen, keine Cookies, keine User-IDs.
Location · Verarbeitungsort: USA (Vercel) mit globaler Edge-Aggregation; Caelex bevorzugt EU-Edge-Regionen
Transfer mechanism · Transfer-Mechanismus: EU-Standardvertragsklauseln Modul 3 · EU-US Data Privacy Framework (Vercel ist zertifiziert)

Performance monitoring (Core Web Vitals) · Performance-Monitoring (Core Web Vitals)

Vercel Inc. (Speed Insights)

Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA

Website Provider DPA

Purpose · Zweck: Collection of Core Web Vitals (LCP, INP, CLS, TTFB) to observe perceived platform performance. Loaded only after explicit user consent (Cookie banner: performance toggle on) — see `src/components/ConditionalAnalytics.tsx`.; Erfassung der Core Web Vitals (LCP, INP, CLS, TTFB) zur Beobachtung der Wahrnehmungs-Performance der Plattform. Wird ausschließlich nach ausdrücklicher Einwilligung des Nutzers (Cookie-Banner: Performance-Toggle aktiv) geladen — siehe `src/components/ConditionalAnalytics.tsx`.
Data types · Datenarten: Performance metrics (milliseconds), path of the measured page, anonymised device and connection class. No IP addresses, no cookies, no personal identifiers.; Performance-Messwerte (Millisekunden), Pfad der gemessenen Seite, anonymisierte Geräte- und Verbindungsklasse. Keine IP-Adressen, keine Cookies, keine personenbezogenen Identifikatoren.
Location · Verarbeitungsort: USA (Vercel) mit globaler Edge-Aggregation
Transfer mechanism · Transfer-Mechanismus: EU-Standardvertragsklauseln Modul 3 · EU-US Data Privacy Framework (Vercel ist zertifiziert)

Data Processing Agreement (DPA) →Privacy Policy Terms