Apple und Google
Beim Veröffentlichen in den App Stores fungiert Capgo als API-Pass-through zu den eigenen Developer-Accounts des Kunden. Apple und Google sind eigenständige Verantwortliche mit einer direkten vertraglichen Beziehung zum Kunden.
Rechtliches
Subprozessoren
DPA-relevante Unterauftragsverarbeiter, die für den Betrieb der Capgo Cloud-Services eingesetzt werden, mit Verarbeitungszweck, Standort und Übermittlungsmechanismus.
- Letztes Update
- 5. Oktober 2026
- Inkrafttreten
- 4. Juli 2026
- Kündigungsfrist
- 30 Tage
1. Einleitung
Diese Liste enthält die von Capgo beauftragten Sub-Prozessoren, betrieben von Digital Shift OÜ und CodepushGo, LLC, zur Bereitstellung von Capgo Cloud-Services. Sie ist Bestandteil der Auftragsverarbeitungsvereinbarung (DPA).
Die aufgeführten Sub-Prozessoren verarbeiten Kundendaten im Auftrag von Capgo, darunter Kontodaten, App-Metadaten, Bundle-Metadaten, Geräte-IDs, für Native Builds eingereichte Quelldateien, Build-Artefakte, Workflow-Daten und über die Cloud-Services übertragene Auslieferungsdaten.
2. Nicht von dieser Liste erfasst
Diese Dienste gelten nicht als Sub-Prozessoren von Capgo für die DPA-Liste, es sei denn, Capgo tritt ausdrücklich als Auftragsverarbeiter auf.
Empfänger auf Verantwortlichenseite
Dienste, die Capgo für eigene Geschäftszwecke nutzt, etwa Zahlungen, E-Mail, Produktanalysen, Support, Fehlerüberwachung oder interne code-Qualität. Aktuelle Beispiele sind Stripe, Bento, PostHog, CodeRabbit, SonarCloud.
CI und Source Control der Kunden
Kundenseitige CI-Plattformen (z. B. GitHub Actions, GitLab CI oder Bitbucket Pipelines) und Source Control laufen in der Umgebung des Kunden. Capgo verknüpft keine Kundensourcen-Repositories und ruft keinen Quell-code von GitHub oder anderen Hosts im Namen des Kunden ab. Kunden rufen Capgo aus CI mit API-Tokens auf; Bundles, Native-Build-Eingaben und Artefakte werden über die Capgo CLI oder API übermittelt. Diese Anbieter unterliegen der Beziehung des Kunden zu ihnen, nicht als Capgo-DPA-Subverarbeiter für den Repository-Zugriff.
Weitere vom Kunden gewählte Integrationen
Webhook-Ziele oder andere vom Kunden konfigurierte Drittanbieter-Dienste unterliegen der Beziehung des Kunden zu diesen Anbietern, es sei denn, Capgo handelt für diese Integration ausdrücklich als Verarbeiter.
3. Änderungsmitteilung
Capgo informiert Kunden mindestens 30 Tage vor der beabsichtigten Einbindung eines neuen Subverarbeiters oder einer wesentlichen Änderung eines bestehenden Subverarbeiters, es sei denn, dringende Sicherheits-, Verfügbarkeits- oder Rechtsanforderungen erfordern schnelleres Handeln.
Kunden können einem neuen oder geänderten Subverarbeiter aus nachvollziehbaren datenschutzrechtlichen Gründen gemäß dem Data Processing Agreement (DPA) widersprechen.
4. Aktuelle Subverarbeiter
Kundendaten, die von Capgo als Auftragsverarbeiter verarbeitet werden, können über die folgenden Anbieter laufen.
| Name | Zweck / Kategorien der verarbeiteten Daten | Verarbeitungsort | Übertragungsmechanismus |
|---|---|---|---|
| Supabase, Inc. | Primäre Datenbank, Authentifizierung, Kontodaten, Anwendungsmetadaten, Bundle-Metadaten und Geräte-IDs. | London, Vereinigtes Königreich | UK-Angemessenheitsbeschluss für UK-Hosting; EU-Standardvertragsklauseln (SCCs), sofern anwendbar |
| Cloudflare, Inc. | Edge CDN, Workers runtime, Durable Objects, R2 storage, Sicherheitsdienste und Bereitstellung von Live Updates. Bei Opt-in des Kunden: KI-gestützte Build-Log-Diagnose via Cloudflare Workers AI; Logs werden für die Anfrage verarbeitet und nicht für das Training aufbewahrt. | Global, einschließlich USA | EU-US Data Privacy Framework (DPF-zertifiziert); EU-Standardvertragsklauseln (SCCs) als Fallback |
| Google Cloud | Datenbank-Read-Replicas und regionale Infrastruktur für Serviceverfügbarkeit und Latenz. | Hongkong, Tokio, Sydney, Johannesburg, Mailand, Dschidda, Mumbai, São Paulo und Columbus | EU-Standardvertragsklauseln (SCCs); Angemessenheitsbeschlüsse, soweit anwendbar; EU-US-DPF/SCCs für die Verarbeitung in den USA |
| Scaleway SAS | Build-Infrastruktur, einschließlich macOS-Build-Runner, Build-Artefakte, Quelldateien für native Builds und Workflow-Daten. | Paris, Frankreich, EU | Angemessenheit (EU) |
5. Änderungsverlauf
| Datum | Änderung |
|---|---|
| 2026-10-05 | GitHub, Inc. wurde aus der DPA-Sub-Processor-Liste entfernt. Capgo bietet keine Repository-Verknüpfung an und bezieht keinen Quellcode aus den GitHub des Kunden; die CI des Kunden übermittelt Daten mit API-Tokens an Capgo. Kunden-CI und Source Control unter „Nicht durch diese Liste abgedeckt“ klargestellt. |
| 2026-06-04 | Überarbeitung: Sub-Processor-Liste jetzt auf Kundendaten beschränkt, die Capgo als Processor verarbeitet; Empfänger auf Controller-Seite und interne Engineering-Services von der DPA-Sub-Processor-Liste getrennt. |
| 2026-06-04 | Scope von Cloudflare präzisiert: Opt-in für KI-gestützte Build-Log-Diagnose via Cloudflare Workers AI. |
| 2026-05-29 | Vorheriges Update: Standort von Supabase präzisiert, Google-Cloud-Regionen aufgelistet, PostHog und Scaleway hinzugefügt, PlanetScale, Sentry und Depot entfernt. |