Supabase
Möglicher Kernanbieter für Authentifizierung, Arbeitsbereichsdatenbank und private Dateien. Echtdaten werden erst nach Prüfung von Projektregion, Backup, Auftragsverarbeitung und Transfermechanismus freigeschaltet.
Anbietertransparenz
Welcher Anbieter wofür eingesetzt wird, muss sichtbar sein.
Die folgenden Namen können vom Produkt unterstützt werden. Die Nennung bedeutet nicht, dass ein Anbieter in jedem Arbeitsbereich aktiv ist.
Vercel
Möglicher Kernanbieter für Webanwendung, Serverfunktionen, Sicherheit und Auslieferung. Ausführungsregion und Vertrag werden geprüft. Optionale Messung läuft nur mit Einwilligung auf öffentlichen Seiten.
Nur bei gewählter Google-Anmeldung als Identitätsanbieter für Konto-ID, E-Mail und Basisprofil. Die Anmeldung ist optional und erhält keine Patientenakten der Praxis.
Cloudflare Turnstile
Wenn das öffentliche Frageformular aktiviert wird, verarbeitet der Dienst Client-IP-Adresse, TLS-Fingerabdruck, User-Agent, Sitekey und Herkunft sowie Browser-Sicherheitssignale zur Bot- und Missbrauchserkennung; Fragefelder werden nicht übernommen. Das Formular bleibt bis zur Prüfung von Anbietervertrag, Region und anwendbarer Transfergarantie aus.
Resend
Kann die einmalige Bestätigungs-E-Mail für öffentliche Fragen und bei Praxisfunktionen nur einen separat aktivierten E-Mail-Kanal zustellen. Empfänger und Nachricht werden an Resend übertragen. Die verifizierte Absenderdomain stokontrol.com leitet und sendet E-Mails über Tokio (ap-northeast-1); diese Auswahl ändert die Datenspeicherung nicht, und Kontometadaten, Protokolle sowie API-Daten werden in den USA gespeichert. Liveversand bleibt bis zum Nachweis von Vertrag, anwendbarer Transfergarantie nach Artikel 9 des türkischen Datenschutzgesetzes, Aufbewahrung, Inhaberschaft des Produktivkontos und Absenderdomain aus.
Twilio und Meta
Können SMS oder WhatsApp erst nach Verbindung und Prüfung durch die Praxis zustellen. Empfänger und Nachricht können übertragen werden. Liveversand bleibt bis zur Prüfung von Kanal, Patientenpräferenz, Vorlage, Vertrag und Region aus.
OpenAI
Wenn die serverseitige Stoko-KI separat aktiviert ist, können dafür eingegebene Texte verarbeitet werden. Unnötige Patientenidentität oder Gesundheitsdaten dürfen nicht eingegeben werden. Standardmäßig ist die Funktion aus; klinische Inhalte erfordern geprüfte Modell-, Regions-, Speicher- und Vertragsbedingungen.
Regionale Zahlungs- und Zustellparteien
Iyzico oder ein anderer geprüfter Zahlungsanbieter wird erst nach Zahlungsfreigabe genutzt; Kartendaten laufen über dessen gehostete Seite. Marketplace-Zusteller und Rolle werden vor Bestellfreigabe offengelegt. Gesundheitsdaten werden nicht an diese Parteien gesendet.
Akademie-Anbieter für Übertragung und Videowiedergabe
Bei aktivierter Live-Akademie oder Einmal-Aufzeichnung kann der tatsächliche Anbieter IP-Adresse, Geräte-/Browsersignale, Medienabrufe und opake Stream-Kennungen für kurzlebig signierte Wiedergabe, Geräte-/Netzgrenzen, Aufzeichnungsverarbeitung und Auslieferung verarbeiten. Name, Konto, Region, Unterauftragsverarbeiter, Speicher-/Download-Einstellungen, Transfergarantie und Aufzeichnungsrechte werden vor Programmverkauf geprüft und veröffentlicht. Code-Unterstützung für Cloudflare Stream, Mux oder andere Kandidaten bedeutet keine Aktivierung; ohne Nachweis bleiben Kauf und Wiedergabe aus.
Änderungsmitteilung
Ein neuer, ersetzter oder regional geänderter aktiver Unterauftragsverarbeiter erzeugt eine neue Fassung. Administratoren erhalten anwendbare Information und Widerspruchsfrist; bei ungelöstem Widerspruch wird die Funktion deaktiviert oder ein vertraglicher Ausstieg angeboten.