Manchester-based UK CRM (Zestia Ltd) with a free tier, public DPA, and AWS hosting; post-Brexit jurisdiction.
- FROM
- —
- CLOUD ACT
- MATERIAL
Zusammenfassung aus Eigentümerschaft und CLOUD-Act-Risiko.
Sublime Traders SAS (SASU, SIREN 917 821 340, 122 rue Amelot, 75011 Paris, France)
In Paris gebautes CRM mit frei definierbaren Objekten und einem KI-Chat (Pilot) als Hauptoberfläche; in EU-Besitz, läuft aber auf Vercel und Supabase (AWS Dublin) mit US-KI-Modellen.
Ostrata aus der Kategorie CRM bietet EU-Hosting mit Irland als Hosting-Standort, doch ein US-Mutterkonzern oder Unterauftragsverarbeiter hinterlässt ein materielles CLOUD-Act-Risiko.
Ostrata is built and sold by Sublime Traders SAS (single-shareholder SASU, SIREN 917 821 340, Paris), with no outside funding on record, so ownership is EU. Every layer that holds or processes CRM data is US-owned, though: the application runs on Vercel (serverless functions observed in Paris, cdg1), the Postgres database and authentication run on Supabase, hosted on AWS eu-west-1 in Dublin, and Pilot, the AI chat that is the product's primary interface, sends user messages and the workspace context they need through Vercel AI Gateway to OpenAI, Anthropic, Google Gemini or Alibaba Cloud Model Studio (Qwen), with Google Drive file text embedded directly by OpenAI. Data at rest stays in the EU, but on US-owned infrastructure and with US model providers in the core path, which is material CLOUD Act exposure. The DPA is available only on request, which caps the score at 3; it drops to 2 because no sub-processor list is published (the privacy policy names the AI route but not the hosting, database, authentication or payment providers, and leaves the model list open with 'comparable model providers available through the gateway'), the processing region of the Alibaba route is not stated, and there is no third-party certification.
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
Wo die letztliche Kontrolle über das Betreiberunternehmen liegt.
Ostrata ist ein CRM aus Paris, das um eine Chat-Oberfläche herum gebaut ist. Die meiste Zeit arbeiten Nutzer in Operations: Dort schreiben sie auf Englisch oder Französisch an Pilot, den eingebauten KI-Assistenten, der Datensätze sucht, anlegt und ändert, E-Mails entwirft und Live Views erstellt, also KI-generierte Mini-Apps über den CRM-Daten. Administratoren legen Objekte und Felder in Setup selbst an, das Datenmodell ist nicht auf Kontakte und Deals festgelegt. Dazu kommen Dashboards, Webformulare zur Lead-Erfassung, KI-Felder mit einer Zusammenfassung oder einem Score von 0 bis 100 pro Datensatz, Anbindungen an Gmail, Google Kalender, Google Drive und Telegram, Firmenanreicherung aus den französischen Registern SIREN, INSEE und BODACC, eine REST-API, aus- und eingehende Webhooks sowie ein MCP-Server für Claude, Cursor und ähnliche Werkzeuge. Eine native Mobil-App, SAML-Single-Sign-on, Angebots- oder Rechnungsstellung und einen Kampagnenversand gibt es nicht.
Vertragspartner ist die Sublime Traders SAS, eine im Juli 2022 in Paris eingetragene Ein-Personen-SASU mit dem Präsidenten Andrei-Septimiu Stanciulescu als einzigem Organ und ohne bekannte Fremdfinanzierung; deshalb wird die Eigentümerschaft als EU-eigen geführt. Bei der Infrastruktur sieht es anders aus. Anwendung und Serverfunktionen laufen bei Vercel (beobachtet in der Region Paris), Datenbank und Anmeldung bei Supabase, dessen Projekt für Ostrata auf AWS eu-west-1 in Dublin liegt. Alle drei Unternehmen sind in US-Besitz. Anfragen an Pilot gehen samt dem nötigen Workspace-Kontext über das Vercel AI Gateway an kostenpflichtige Schnittstellen von OpenAI, Anthropic und Google Gemini sowie für Qwen-Modelle an Alibaba Cloud Model Studio; verbindet ein Workspace Google Drive, erstellt OpenAI die Embeddings der Dateitexte direkt. Weil der Chat mit Pilot der Hauptweg durch das Produkt ist, erreichen CRM-Inhalte diese Modellanbieter im normalen Betrieb und nicht nur als Zusatzfunktion. US-eigenes Hosting und US-Modellanbieter im zentralen Datenfluss ergeben das CLOUD-Act-Risiko Erheblich.
Die Offenlegung ist für diese Konstellation dünn. Die Datenschutzerklärung nennt die KI-Anbieter, nicht aber Hosting, Datenbank, Anmeldung oder Zahlungsabwicklung, und ihre Modellliste endet mit „vergleichbaren Modellanbietern, die über das Gateway verfügbar sind“. Eine Seite mit Unterauftragsverarbeitern fehlt, die Verarbeitungsregion der Alibaba-Strecke ist nicht angegeben, und den AVV verschickt der Anbieter auf Anfrage über account@ostrata.io. Es gibt einen einzigen Tarif in EUR zu 17.10 € pro Platz und Monat bei jährlicher Zahlung (19 EUR bei monatlicher Zahlung) und eine 30-tägige Testphase für einen Platz mit Kreditkarte. Geeignet für französische KMU und Selbstständige, die ein flexibles, per Chat gesteuertes CRM suchen und mit KI-Verarbeitung in den USA leben können. Wer CRM-Daten von US-Anbietern fernhalten muss, findet in dieser Kategorie centralstationCRM oder combit CRM.
Pilot inference via Vercel AI Gateway. Named in the privacy policy; processing region not stated.
Pilot inference via Vercel AI Gateway. Named in the privacy policy; processing region not stated.
Pilot inference via Vercel AI Gateway, plus direct embeddings of Google Drive file text when a workspace connects Drive. Named in the privacy policy; processing region not stated.
Seat subscriptions, checkout and VAT calculation (Stripe Tax). From terms section 9 and the help centre; not named in the privacy policy.
Postgres database holding all workspace and CRM data, plus authentication, on AWS eu-west-1 (Dublin). From the public JS bundle and DNS of the database host; not named by the vendor.
App hosting and serverless functions (region cdg1, Paris, from headers), plus Vercel AI Gateway, which receives every Pilot request with workspace context and forwards it to the model providers (named in privacy policy; gateway region not stated).
Pilot inference for Qwen models via Vercel AI Gateway. Named in the privacy policy. Region not stated by Ostrata or Vercel; SG recorded as the Model Studio international default, unconfirmed.
Optional: carries Pilot chats and record cards when an admin enables the Telegram bot and members link accounts. From the help centre; not named in the privacy policy.
| Vendor | Country | Purpose | Owner |
|---|---|---|---|
| Anthropic | Vereinigte Staaten | Pilot inference via Vercel AI Gateway. Named in the privacy policy; processing region not stated. | US |
| Google (Gemini API) | Vereinigte Staaten | Pilot inference via Vercel AI Gateway. Named in the privacy policy; processing region not stated. | US |
| OpenAI | Vereinigte Staaten | Pilot inference via Vercel AI Gateway, plus direct embeddings of Google Drive file text when a workspace connects Drive. Named in the privacy policy; processing region not stated. | US |
| Stripe | Vereinigte Staaten | Seat subscriptions, checkout and VAT calculation (Stripe Tax). From terms section 9 and the help centre; not named in the privacy policy. | US |
| Supabase Inc. | Irland | Postgres database holding all workspace and CRM data, plus authentication, on AWS eu-west-1 (Dublin). From the public JS bundle and DNS of the database host; not named by the vendor. | US |
| Vercel Inc. | Frankreich | App hosting and serverless functions (region cdg1, Paris, from headers), plus Vercel AI Gateway, which receives every Pilot request with workspace context and forwards it to the model providers (named in privacy policy; gateway region not stated). | US |
| Alibaba Cloud (Model Studio / Qwen) | Singapur | Pilot inference for Qwen models via Vercel AI Gateway. Named in the privacy policy. Region not stated by Ostrata or Vercel; SG recorded as the Model Studio international default, unconfirmed. | non-US |
| Telegram | Vereinigte Arabische Emirate | Optional: carries Pilot chats and record cards when an admin enables the Telegram bot and members link accounts. From the help centre; not named in the privacy policy. | non-US |
Manchester-based UK CRM (Zestia Ltd) with a free tier, public DPA, and AWS hosting; post-Brexit jurisdiction.
Cologne-based German SMB CRM (42he GmbH), all-German hosting on Hetzner + Core-Backbone + Telekom, free tier for 3 users.
Konstanz-based German CRM (combit Software, since 1989), founder-owned, on-prem + cloud, German Mittelstand vendor.