Supabase
Möglicher Kernanbieter für Authentifizierung, Arbeitsbereichsdatenbank und private Dateien. Echtdaten werden erst nach Prüfung von Projektregion, Backup, Auftragsverarbeitung und Transfermechanismus freigeschaltet.
Anbietertransparenz
Welcher Anbieter wofür eingesetzt wird, muss sichtbar sein.
Die folgenden Namen können vom Produkt unterstützt werden. Die Nennung bedeutet nicht, dass ein Anbieter in jedem Arbeitsbereich aktiv ist.
Vercel
Möglicher Kernanbieter für Webanwendung, Serverfunktionen, Sicherheit und Auslieferung. Ausführungsregion und Vertrag werden geprüft. Optionale Messung läuft nur mit Einwilligung auf öffentlichen Seiten.
Nur bei gewählter Google-Anmeldung als Identitätsanbieter für Konto-ID, E-Mail und Basisprofil. Die Anmeldung ist optional und erhält keine Patientenakten der Praxis.
Cloudflare Turnstile
Wenn das öffentliche Frageformular aktiviert wird, verarbeitet der Dienst Client-IP-Adresse, TLS-Fingerabdruck, User-Agent, Sitekey und Herkunft sowie Browser-Sicherheitssignale zur Bot- und Missbrauchserkennung; Fragefelder werden nicht übernommen. Das Formular bleibt bis zur Prüfung von Anbietervertrag, Region und anwendbarer Transfergarantie aus.
Resend
Kann die einmalige Bestätigungs-E-Mail für öffentliche Fragen und bei Praxisfunktionen nur einen separat aktivierten E-Mail-Kanal zustellen. Empfänger und Nachricht werden an Resend übertragen. Die verifizierte Absenderdomain stokontrol.com leitet und sendet E-Mails über Tokio (ap-northeast-1); diese Auswahl ändert die Datenspeicherung nicht, und Kontometadaten, Protokolle sowie API-Daten werden in den USA gespeichert. Liveversand bleibt bis zum Nachweis von Vertrag, anwendbarer Transfergarantie nach Artikel 9 des türkischen Datenschutzgesetzes, Aufbewahrung, Inhaberschaft des Produktivkontos und Absenderdomain aus.
Twilio und Meta
Können SMS oder WhatsApp erst nach Verbindung und Prüfung durch die Praxis zustellen. Empfänger und Nachricht können übertragen werden. Liveversand bleibt bis zur Prüfung von Kanal, Patientenpräferenz, Vorlage, Vertrag und Region aus.
OpenAI
Wenn die serverseitige Stoko-KI separat aktiviert ist, können dafür eingegebene Texte verarbeitet werden. Unnötige Patientenidentität oder Gesundheitsdaten dürfen nicht eingegeben werden. Standardmäßig ist die Funktion aus; klinische Inhalte erfordern geprüfte Modell-, Regions-, Speicher- und Vertragsbedingungen.
Zahlungs- und Zustellparteien
PayTR verarbeitet Kartendaten in seinem sicheren Iframe, sobald eine Paketzahlung gestartet wird; Kartennummer und CVV werden nicht in der Stokontrol-Datenbank gespeichert. Marketplace-Zusteller und Rolle werden vor Bestellfreigabe offengelegt. Gesundheitsdaten werden nicht an diese Parteien gesendet.
Mux · Akademieübertragung und Aufzeichnung
Technische Akademieübertragungen verwenden Mux Video. Bild/Ton des Senders, Medienanfragen sowie IP- und Geräte-/Browserdaten können verarbeitet werden. Der gesondert versionierte Akademieanhang nennt DPA, Unterauftragsverarbeiter und das ausstehende Mux-Antwort-/Standardvertragsverfahren. Textprüfung ist keine Transferfreigabe; der offene Vorgang wird getrennt von technischen Tests verfolgt.
Änderungsmitteilung
Ein neuer, ersetzter oder regional geänderter aktiver Unterauftragsverarbeiter erzeugt eine neue Fassung. Administratoren erhalten anwendbare Information und Widerspruchsfrist; bei ungelöstem Widerspruch wird die Funktion deaktiviert oder ein vertraglicher Ausstieg angeboten.
Englische Untertitel · direkte Google-Cloud-Verarbeitung
ACADEMY-CAPTION-PROVIDER-2026-10-03-V1. Sprache und daraus abgeleiteter Text des Senders werden zur Erzeugung englischer Live-Untertitel durch Google Cloud Speech-to-Text und Cloud Translation verarbeitet. Die aktuelle Konfiguration nutzt eu-speech.googleapis.com in eu zur Erkennung und translation.googleapis.com mit Übersetzungsressource und Dentalglossar in us-central1. Der globale Übersetzungsendpunkt garantiert keine ausschließliche Verarbeitung in einer Region oder einen Verbleib aller Untertiteldaten in der EU. Die kontospezifische Data-Logging-Einstellung wurde in diesem Test nicht bestätigt. KI-Untertitel können Fehler enthalten; maßgeblich ist der türkische Ton. Zuschauermikrofone werden dafür nicht aktiviert. Dieser direkte Datenfluss ist unabhängig von Googles Rolle als Mux-Unterauftragsverarbeiter. Die Türkei-spezifische vertragliche und rechtliche Prüfung grenzüberschreitender Übermittlungen ist noch offen. Dieser Hinweis bestätigt keine abgeschlossene Rechtskonformität; technische Probe und Qualitätsprüfung bleiben getrennt.
Hinweis zu Akademieübertragungen
ACADEMY-PROVIDER-2026-10-01-V1 · 1. Oktober 2026. Verantwortlicher: Doğuş Sevinç; info@stokontrol.com. Technische Akademieübertragungen nutzen Mux Video für Bild und Ton des Senders. Aufzeichnungen können bei Mux und lokal in OBS entstehen. Das Zuschauen aktiviert weder Kamera noch Mikrofon der Zuschauer. Keine Patientendaten oder privaten Angaben Dritter eingeben.
Mux und Unterauftragsverarbeiter
DPA §10 nennt die USA und weitere Verarbeitungsorte; Exhibit 3: AWS, Google Cloud, Cloudflare, Fastly, NS1, Oracle, Varnish Software, Castlabs. Daraus folgt weder die Nutzung aller Dienste noch eine ausschließlich europäische Videospeicherung.
Auslandstransfer · offen
Mux-Antwort / Standardvertragsverfahren ausstehend. DPA und EU-/UK-/Schweizer Mechanismen belegen keinen abgeschlossenen türkischen KVKK-Transferprozess für Stokontrol. Kontospezifische Schritte bleiben offen und werden getrennt von technischen Übertragungs-, Aufzeichnungs- und Entwicklungstests bearbeitet. Veröffentlichung und technischer Erfolg sind keine Rechtsfreigabe.
Testübertragung · Fragen
Für die technische Testübertragung wurde eine betriebliche Aufbewahrung von 7 Tagen ab Einsendung gewählt; dies ist keine gesetzliche Mindestfrist oder Mux-Frist. Die eingestellte Dauer steht im Fragebereich. Kontobezogene Fragen und Zeitangaben gehen an die Moderation; freigegebene Fragen und Antworten können Teilnehmenden angezeigt werden. Nach Fristablauf endet der Zugriff und die periodische Bereinigung wird fällig. Inhaltsfreie Löschbelege können separat bleiben. Anbieter-Videos/Logs werden dadurch nicht gelöscht. Andere Veranstaltungen haben eigene veröffentlichte Regeln.
Nutzung und Aufbewahrung
Name, Veranstaltung und Sehzeiten dienen Zugang und Teilnahmebescheinigung. Mux kann IP-, Geräte-/Browserdaten und Medienanfragen verarbeiten. Die bis zu 100 Tage für pseudonymisierte Mux-Data-Aufrufe gelten nicht pauschal für Videos, OBS-Dateien, Fragen oder Zertifikate. Kontospezifische Video-/Logfristen werden noch geprüft. Eine Aufzeichnung wird nicht automatisch veröffentlicht.
Teilnahme und Bescheinigung
Monatliches Clinic Pro umfasst einen Kalendermonat und jährliches Clinic Pro ein Kalenderjahr; für den Zugang zur Live-Fortbildung muss das Veranstaltungsdatum innerhalb der aktiven Mitgliedschaft liegen. Je Veranstaltung wird eine Person eingetragen; bei anderen Veranstaltungen kann es eine andere Person sein. Namenskorrekturen erfolgen über den Support. Personen mit gültigem Veranstaltungszugang, abgeschlossener Anmeldung und verbindlich bestätigtem Namen können nach Abschluss der Fortbildung ihr persönliches QR-prüfbares Zertifikat erhalten. Eine Testbescheinigung bestätigt nur technische Testteilnahme. Öffentliche Namensanzeige ist freiwillig und unabhängig vom privaten Zertifikat. Fragen haben eigene Hinweise und Aufbewahrungseinstellungen.