Zum Inhalt springen
CLOUD-Act-Risiko ausgewiesen
EU VETTED

Ostrata

VERIFIZIERT

Sublime Traders SAS (SASU, SIREN 917 821 340, 122 rue Amelot, 75011 Paris, France)

Gegründet 2022 · ostrata.io ↗

In Paris gebautes CRM mit frei definierbaren Objekten und einem KI-Chat (Pilot) als Hauptoberfläche; in EU-Besitz, läuft aber auf Vercel und Supabase (AWS Dublin) mit US-KI-Modellen.

Kurzfassung

Ostrata aus der Kategorie CRM bietet EU-Hosting mit Irland als Hosting-Standort, doch ein US-Mutterkonzern oder Unterauftragsverarbeiter hinterlässt ein materielles CLOUD-Act-Risiko.

Bewertungsnotizen

Ostrata is built and sold by Sublime Traders SAS (single-shareholder SASU, SIREN 917 821 340, Paris), with no outside funding on record, so ownership is EU. Every layer that holds or processes CRM data is US-owned, though: the application runs on Vercel (serverless functions observed in Paris, cdg1), the Postgres database and authentication run on Supabase, hosted on AWS eu-west-1 in Dublin, and Pilot, the AI chat that is the product's primary interface, sends user messages and the workspace context they need through Vercel AI Gateway to OpenAI, Anthropic, Google Gemini or Alibaba Cloud Model Studio (Qwen), with Google Drive file text embedded directly by OpenAI. Data at rest stays in the EU, but on US-owned infrastructure and with US model providers in the core path, which is material CLOUD Act exposure. The DPA is available only on request, which caps the score at 3; it drops to 2 because no sub-processor list is published (the privacy policy names the AI route but not the hosting, database, authentication or payment providers, and leaves the model list open with 'comparable model providers available through the gateway'), the processing region of the Alibaba route is not stated, and there is no third-party certification.

CLOUD ACT
Eigentümer
Unterauftr.
8 · 6 US
Geprüfte Signale
Jurisdiktion
  • EU-/Angemessenheits-Hosting
  • EU-/Angemessenheits-Betreiber
  • Keine US-CLOUD-Act-Exposition
Transparenz
  • Öffentlicher AVV
  • Unterauftragsverarbeiter offengelegt
  • Open-Source-Clients
  • Zertifizierung durch Dritte
Springen zu

Über Ostrata

Ostrata ist ein CRM aus Paris, das um eine Chat-Oberfläche herum gebaut ist. Die meiste Zeit arbeiten Nutzer in Operations: Dort schreiben sie auf Englisch oder Französisch an Pilot, den eingebauten KI-Assistenten, der Datensätze sucht, anlegt und ändert, E-Mails entwirft und Live Views erstellt, also KI-generierte Mini-Apps über den CRM-Daten. Administratoren legen Objekte und Felder in Setup selbst an, das Datenmodell ist nicht auf Kontakte und Deals festgelegt. Dazu kommen Dashboards, Webformulare zur Lead-Erfassung, KI-Felder mit einer Zusammenfassung oder einem Score von 0 bis 100 pro Datensatz, Anbindungen an Gmail, Google Kalender, Google Drive und Telegram, Firmenanreicherung aus den französischen Registern SIREN, INSEE und BODACC, eine REST-API, aus- und eingehende Webhooks sowie ein MCP-Server für Claude, Cursor und ähnliche Werkzeuge. Eine native Mobil-App, SAML-Single-Sign-on, Angebots- oder Rechnungsstellung und einen Kampagnenversand gibt es nicht.

Vertragspartner ist die Sublime Traders SAS, eine im Juli 2022 in Paris eingetragene Ein-Personen-SASU mit dem Präsidenten Andrei-Septimiu Stanciulescu als einzigem Organ und ohne bekannte Fremdfinanzierung; deshalb wird die Eigentümerschaft als EU-eigen geführt. Bei der Infrastruktur sieht es anders aus. Anwendung und Serverfunktionen laufen bei Vercel (beobachtet in der Region Paris), Datenbank und Anmeldung bei Supabase, dessen Projekt für Ostrata auf AWS eu-west-1 in Dublin liegt. Alle drei Unternehmen sind in US-Besitz. Anfragen an Pilot gehen samt dem nötigen Workspace-Kontext über das Vercel AI Gateway an kostenpflichtige Schnittstellen von OpenAI, Anthropic und Google Gemini sowie für Qwen-Modelle an Alibaba Cloud Model Studio; verbindet ein Workspace Google Drive, erstellt OpenAI die Embeddings der Dateitexte direkt. Weil der Chat mit Pilot der Hauptweg durch das Produkt ist, erreichen CRM-Inhalte diese Modellanbieter im normalen Betrieb und nicht nur als Zusatzfunktion. US-eigenes Hosting und US-Modellanbieter im zentralen Datenfluss ergeben das CLOUD-Act-Risiko Erheblich.

Die Offenlegung ist für diese Konstellation dünn. Die Datenschutzerklärung nennt die KI-Anbieter, nicht aber Hosting, Datenbank, Anmeldung oder Zahlungsabwicklung, und ihre Modellliste endet mit „vergleichbaren Modellanbietern, die über das Gateway verfügbar sind“. Eine Seite mit Unterauftragsverarbeitern fehlt, die Verarbeitungsregion der Alibaba-Strecke ist nicht angegeben, und den AVV verschickt der Anbieter auf Anfrage über account@ostrata.io. Es gibt einen einzigen Tarif in EUR zu 17.10 € pro Platz und Monat bei jährlicher Zahlung (19 EUR bei monatlicher Zahlung) und eine 30-tägige Testphase für einen Platz mit Kreditkarte. Geeignet für französische KMU und Selbstständige, die ein flexibles, per Chat gesteuertes CRM suchen und mit KI-Verarbeitung in den USA leben können. Wer CRM-Daten von US-Anbietern fernhalten muss, findet in dieser Kategorie centralstationCRM oder combit CRM.

Unterauftragsverarbeiter-Karte · 8

  • Anthropic US
    Vereinigte Staaten

    Pilot inference via Vercel AI Gateway. Named in the privacy policy; processing region not stated.

  • Google (Gemini API) US
    Vereinigte Staaten

    Pilot inference via Vercel AI Gateway. Named in the privacy policy; processing region not stated.

  • OpenAI US
    Vereinigte Staaten

    Pilot inference via Vercel AI Gateway, plus direct embeddings of Google Drive file text when a workspace connects Drive. Named in the privacy policy; processing region not stated.

  • Stripe US
    Vereinigte Staaten

    Seat subscriptions, checkout and VAT calculation (Stripe Tax). From terms section 9 and the help centre; not named in the privacy policy.

  • Supabase Inc. US
    Irland

    Postgres database holding all workspace and CRM data, plus authentication, on AWS eu-west-1 (Dublin). From the public JS bundle and DNS of the database host; not named by the vendor.

  • Vercel Inc. US
    Frankreich

    App hosting and serverless functions (region cdg1, Paris, from headers), plus Vercel AI Gateway, which receives every Pilot request with workspace context and forwards it to the model providers (named in privacy policy; gateway region not stated).

  • Alibaba Cloud (Model Studio / Qwen) non-US
    Singapur

    Pilot inference for Qwen models via Vercel AI Gateway. Named in the privacy policy. Region not stated by Ostrata or Vercel; SG recorded as the Model Studio international default, unconfirmed.

  • Telegram non-US
    Vereinigte Arabische Emirate

    Optional: carries Pilot chats and record cards when an admin enables the Telegram bot and members link accounts. From the help centre; not named in the privacy policy.

6 von 8 Unterauftragsverarbeitern sind in den USA registriert. CLOUD-Act-Risiko anwendbar.

Rahmenwerke & Zertifizierungen · keine gelistet

Wir haben die Website des Anbieters und die Register der Zertifizierungsstellen geprüft. Keine aktiven Zertifizierungen gefunden zum Zeitpunkt der letzten Prüfung (2026-10-02).

Funktionsmatrix

Sales-Pipeline Ja
E-Mail-Sync Ja
Workflow-Automatisierung Nein
Lead-Erfassung Ja
E-Mail-Kampagnen Nein
Angebote / Rechnungen Nein
Telefonie Nein
Mobile App Nein
Gratis-Tarif Nein
INTEGRATION & ZUGRIFF
REST API Yes
SSO (SAML / OIDC) No
COMPLIANCE & GOVERNANCE
Audit log Yes
Self-host / on-prem option No

Preise & Tarife

KOSTENPFLICHTIG
ab 17.10 €/Monat
jährliche Abrechnung
Preisseite ansehen ↗

Öffentliche Dokumente

AVV auf Anfrage erhältlich. Der Anbieter stellt seinen Auftragsverarbeitungsvertrag Kunden auf Anfrage bereit (per E-Mail oder im Kundenportal) statt ihn unter einer öffentlichen URL zu veröffentlichen; er wird daher nicht als öffentlicher AVV gewertet (siehe So prüfen wir).
Anbieter veröffentlicht keine Liste der Unterauftragsverarbeiter. Schrems-II-Konformität und CLOUD-Act-Risiko lassen sich ohne sie nicht unabhängig prüfen.
  • Auftragsverarbeitungsvertrag (AVV)
    — auf Anfrage
    auf Anfrage
  • Liste der Unterauftragsverarbeiter
    — fehlt
    fehlt
  • Nutzungsbedingungen
    ostrata.io/terms…
    Öffnen ↗

Alternativen in dieser Kategorie

Capsule CRM
Vereinigtes Königreich · Gegründet 2009
EU-GEHOSTET

Manchester-based UK CRM (Zestia Ltd) with a free tier, public DPA, and AWS hosting; post-Brexit jurisdiction.

Öffentl. AVV Subprozessoren Open Source
FROM
—
CLOUD ACT
MATERIAL
centralstationCRM
Deutschland · Gegründet 2010
EU-SOUVERäN

Cologne-based German SMB CRM (42he GmbH), all-German hosting on Hetzner + Core-Backbone + Telekom, free tier for 3 users.

Öffentl. AVV Subprozessoren Open Source
FROM
24 €/Mt.
CLOUD ACT
NONE
combit CRM
Deutschland · Gegründet 1989
EU-SOUVERäN

Konstanz-based German CRM (combit Software, since 1989), founder-owned, on-prem + cloud, German Mittelstand vendor.

Öffentl. AVV Subprozessoren Open Source
FROM
—
CLOUD ACT
NONE