Underdatabehandlere
Hvem behandler jeres data
Alle underdatabehandlere, vi benytter, hvad de bruges til, og hvilken jurisdiktion de hører under.
Data pr.: . Senest gennemgået:
Genereret ud fra vores register over underdatabehandlere.
Vores underdatabehandlere
Disse virksomheder behandler personoplysninger på vores vegne: Dokumenter opbevaret i EU, AI‑behandling i Frankrig. Flere af udbyderne nedenfor er registreret uden for Det Europæiske Økonomiske Samarbejdsområde eller har et moderselskab, der er det, og hver sådan række er markeret. Jurisdiktionen angiver, hvor en virksomhed kan pålægges retslige forpligtelser, hvilket er et andet spørgsmål end, hvor dataene fysisk ligger. Hver række angiver det gældende overførselsgrundlag, og hvem udbyderen selv benytter.
| Juridisk enhed | Formål | Behandlede data | Jurisdiktion | Overførselsgrundlag |
|---|---|---|---|---|
Juridisk enhed Mistral AI SAS Hjemsted Paris, France | Formål Sprogmodelgenerering (svar i chat, planlægning, værktøjsbrug, læsning af billeder, inputmoderation) og tekst-embeddings til søgning. Den eneste managed inference-udbyder; der er ingen fallback uden for EU. Prompts indeholder brugerens spørgsmål samt uddrag fra hentede dokumenter. Anmodninger om embeddings indeholder dokumentstykker, når et dokument indekseres, og brugerens spørgsmål ved søgning. Hvis selvhostede embeddings vælges, når kun generering denne udbyder. Zero retention og fravalg af træning er indstillinger på kontoniveau hos denne udbyder, ikke pr. anmodning, så de er registreret her i stedet for at blive angivet ved hvert kald. Hvem de selv benytter
Their disclosure lists 24 parties, several scoped to products we do not use. Recorded here are the infrastructure and inference providers whose stated scope covers the API. Their page states processing regions rather than countries of incorporation, so those regions are given in each purpose and jurisdiction is left unstated. Ifølge deres egen oplysning, verificeret 31. juli 2026 | Behandlede data
| Jurisdiktion Frankrig eu-west (Frankrig) | Overførselsgrundlag Kun EU, ingen overførsel til tredjeland Status Aktiv |
Juridisk enhed Supabase, Inc. Hjemsted Delaware, United States | Formål Primært datalager: Postgres (dokumenter, tekststykker, embeddings, tenants), autentificering og standard-objektlagring. Under udskiftning: databasen flyttes til vores egen Postgres på EU‑hardware og filerne til Scaleway i Frankrig. Serveren og lagerbeholderne er klargjort, og applikationen flyttes væk fra denne leverandørs grænseflader; selve databasen er endnu ikke flyttet, og indtil overgangen opbevarer denne leverandør dokumentsamlingen. Hvem de selv benytter
Their list is dated 1 June 2026 and names 19 parties without stating any country, so no jurisdiction is recorded for any of them. Recorded here are the six hosting providers; the remainder are their own support, sales and analytics tooling. Ifølge deres egen oplysning, verificeret 31. juli 2026 | Behandlede data
| Jurisdiktion USA aws eu-west-1 (Irland) | Overførselsgrundlag Under gennemgang Underlagt jurisdiktion uden for EØS Status Aktiv |
Juridisk enhed Upstash, Inc. Hjemsted California, United States | Formål Redis: rate limiting af API'et, tilbagekaldelse af sessioner, embedding-cache og registrering af umulige rejser. Denne udbyder håndterer hastighedsbegrænsning og cachelaget, indtil en Valkey-instans, som vi hoster på EU‑hardware, erstatter den. Alle dele af applikationen får adgang til lagringen via én forbindelsesindstilling, så flytningen er blot en konfigurationsændring. En deployment, der håndterer kundedata, kan ikke bruge denne udbyder: den afviser ved opstart enhver Redis-host, der ikke drives af os eller er intern i deploymenten. Hvem de selv benytter
Their document states an address per party, used here as the jurisdiction. Several entries are scoped to products of theirs we do not use; those are excluded. Recorded here are the providers that could sit under the Redis service we consume. Ifølge deres egen oplysning, verificeret 31. juli 2026 | Behandlede data
| Jurisdiktion USA Region ikke bekræftet. Bruges ikke til kundeindhold: en installation, der håndterer kundedata, afviser denne udbyder ved opstart. | Overførselsgrundlag Under gennemgang Underlagt jurisdiktion uden for EØS Status Aktiv |
Juridisk enhed Cloudflare, Inc. Hjemsted Delaware, United States | Formål DNS til vores domæne. Kun DNS siden 28. september 2026: webværtsnavnene går ikke længere gennem udbyderens proxy, så den terminerer ikke længere TLS og ser ikke forespørgsler. Navneopslag flyttes til en EU‑udbyder, når vi skifter til vores egen EU‑infrastruktur. Rækken markeres derefter som under udskiftning og fjernes tredive dage senere, når zonen slettes. Hvem de selv benytter Deres offentliggjorte liste knytter ingen leverandør til det produkt, vi bruger (DNS). Den siger ikke, at ingen er involveret. Their list is dated 1 October 2025 and states processing regions rather than countries of incorporation, so regions are given in each purpose. It also names 16 of their own group affiliates, which are not recorded here as external parties. Every entry listed is scoped by them to a specific product, and none is attributed to DNS; that does not show that no party is involved in DNS. Ifølge deres egen oplysning, verificeret 31. juli 2026 | Behandlede data
| Jurisdiktion USA globalt edge-netværk (anycast) | Overførselsgrundlag Under gennemgang Underlagt jurisdiktion uden for EØS Status Aktiv |
Juridisk enhed Functional Software, Inc. Hjemsted California, United States | Formål Overvågning af applikationsfejl og ydeevne. Fejlhændelser, spans og logs sendes til ingest-endepunktet i Tyskland og gemmes i Frankfurt. Fejlrapportering slår sig selv fra, når den konfigureres med et endepunkt uden for EU. Sentry gemmer konto- og driftsmetadata i USA uanset valgt region (planlagte job‑check‑ins, organisationsindstillinger og revisionslogs, projektmetadata, nøgler, adgangstokens, forbrugsdata) og gemmer oppetidschecks i begge regioner. Ingen af disse data indeholder kunders personoplysninger, så der opstår ingen overførsel efter kapitel V. Denne amerikanske lagring ophører, når fejlsporing, overvågning af planlagte job og oppetidschecks flyttes til infrastruktur, vi selv hoster. Hvem de selv benytter
Their list is version 2.3.0 dated 1 June 2026 and states processing regions rather than countries of incorporation. Recorded here are the three cloud providers; the remainder are their email, support and group affiliates. Ifølge deres egen oplysning, verificeret 31. juli 2026 | Behandlede data
| Jurisdiktion USA ingest.de.sentry.io (Tyskland), US‑region (Iowa) for konto- og driftsmetadata, uanset valgt region (planlagte job‑check‑ins, organisationsindstillinger og revisionslogs, projektmetadata, nøgler, tokens, forbrugsdata). Oppetidschecks gemmes i begge regioner. Ingen persondata fra kunder. | Overførselsgrundlag Under gennemgang Underlagt jurisdiktion uden for EØS Status Aktiv |
Juridisk enhed Sendinblue SAS (Brevo) Hjemsted Paris, France | Formål Transaktionsmails (notifikationer, kontomails). Ikke i brug endnu: Ingen e‑mails sendes via denne udbyder, før dens kontonøgle er sat. Hvem de selv benytter
Their DPA annex separates infrastructure sub-processors from the rest and states a registered office for each, used here as the jurisdiction. Recorded here is that infrastructure section. Ifølge deres egen oplysning, verificeret 31. juli 2026 | Behandlede data
| Jurisdiktion Frankrig eu-west (Frankrig) | Overførselsgrundlag Kun EU, ingen overførsel til tredjeland Status Aktiv |
Juridisk enhed Scaleway SAS Moderselskab: Iliad S.A. (Frankrig) Hjemsted Paris, France | Formål S3-kompatibel objektlagring til originale dokumentfiler og database-backups. Endnu ikke i brug. To private buckets i Paris-regionen blev oprettet den 13. september 2026, én til dokumenter med server-side kryptering og versionsstyring, og én til backups. Ingen kundedata når dem før denne underdatabehandlers ikrafttrædelsesdato, som er den tidligste dato, varslingsfristen tillader, og ingen data overføres, før dokumentlagringen skifter til denne udbyder. Hvem de selv benytter
Their list (last reviewed July 2025) names seven data-centre operators, each with an EU processing location, and four service parties. We use Object Storage in the Paris region only, so the in-path parties are the French colocation operator and the cold-storage archiving supplier the list attaches to Object Storage; the three US-headquartered operators serve Italian, Dutch and Polish sites we do not select. Changes are notified 30 days ahead to customers subscribed on that page (DPA section 7.4), with a right to object. Ifølge deres egen oplysning, verificeret 13. september 2026 | Behandlede data
| Jurisdiktion Frankrig fr-par (Paris) | Overførselsgrundlag Kun EU, ingen overførsel til tredjeland Status Aktiv |
Juridisk enhed Vercel Inc. Hjemsted California, United States | Formål Hosting af applikation og planlagte jobs (tidligere implementeringsmål). Anvendes ikke længere til applikationen: siden 28-09-2026 peger domænet på vores egen server i EU. Udbyderen opbevarer stadig den frosne gamle implementering, dens forespørgselslogfiler og den tilknyttede konfiguration, indtil projekterne slettes. Rækken markeres som fjernet, når sletningen og rotationen af de tilknyttede legitimationsoplysninger er registreret. Hvem de selv benytter
Their list names 28 parties with a location each, used here as the jurisdiction. Recorded here are the six providing hosting or storage; the remainder are their monitoring, support and AI-feature vendors. Ifølge deres egen oplysning, verificeret 31. juli 2026 | Behandlede data
| Jurisdiktion USA global edge | Overførselsgrundlag Under gennemgang Underlagt jurisdiktion uden for EØS Status Erstattes |
Juridisk enhed netcup GmbH Moderselskab: Anexia Cloud Solutions GmbH (Østrig) Hjemsted Karlsruhe, Germany | Formål Hosting på vores egne EU‑servere: Next.js-webapplikationen i dag, og ved skiftet BullMQ-arbejderen samt de selvhostede sidecars (Valkey, SearXNG, MarkItDown, Bugsink, embedding/rerank). Erstatter Vercel. Server i datacentret i Wien (den valgte lokation ved bestilling); aftalen efter artikel 28 blev indgået den 14-09-2026 (kontraktgenerator i kundepanelet, skabelonversion 2026/07, bilag 3 udfyldt af os). Understøtter webapplikationen siden 28-09-2026, inden den fulde flytning; worker-tjenesten og de øvrige services, vi selv hoster, følger ved skiftet. Den software, vi kører på serveren, er vores egen og betragtes ikke som en separat underdatabehandler. Hvem de selv benytter
The vendor publishes no sub-processor page; the parties are named in Annex 2 of the Art. 28 agreement, which a customer receives only on concluding it through the customer panel (the linked help-centre page describes that path). Read from our executed copy on 2026-09-14. Further subcontractors are announced in writing with a 14-calendar-day objection window, and the agreement excludes pure infrastructure provision from its definition of a subcontractor, so the list is narrower than the click-through lists other vendors here publish. The earlier reading of this row named a colocation provider that the executed agreement does not, so that entry is gone. Ifølge deres egen oplysning, verificeret 14. september 2026 | Behandlede data
| Jurisdiktion Tyskland Wien (EU) | Overførselsgrundlag Kun EU, ingen overførsel til tredjeland Status Aktiv |
Underlagt jurisdiktion uden for EØS
Dette selskab eller dets moderselskab er registreret uden for EØS, så det kan være underlagt udenlandsk tvangsindgreb, selvom dataene selv ligger i EU.
Betalinger
Betalinger går gennem Mollie B.V. i Nederlandene, en godkendt betalingsinstitution. Mollie håndterer betalingsdata under sine egne juridiske forpligtelser som selvstændig dataansvarlig, og derfor står virksomheden her som modtager i stedet for i tabellen over underdatabehandlere. Fra Nordvec modtager Mollie et beløb, en beskrivelse af abonnementet og referencenumre, men intet dokumentindhold.
Ændringslog
Alle ændringer i dette register, nyeste først. Kolonnen for varsel viser, om I havde en frist til at gøre indsigelse.
| Dato | Ændring | Leverandør | Varsel | Gælder fra |
|---|---|---|---|---|
Dato | Ændring what a sub-processor does for us, or what data it receives, changed | Leverandør Supabase, Inc. | Varsel Notice waived: A record correction only: no file has moved and no location, scope of processing or basis changed; the sentence now says the move is future. | Gælder fra |
Dato | Ændring what a sub-processor does for us, or what data it receives, changed | Leverandør Supabase, Inc. | Varsel Notice waived: A record correction only: the migration status is stated more precisely, and no location, scope of processing or basis changed. | Gælder fra |
Dato | Ændring what a sub-processor does for us, or what data it receives, changed | Leverandør Supabase, Inc. | Varsel Notice waived: A record correction only: the migration status was stale, and no location, scope of processing or basis changed. | Gælder fra |
Dato | Ændring the sub-processor's own disclosed sub-processors changed, or were recorded | Leverandør Cloudflare, Inc. | Varsel Notice waived: A narrowing: the register now records that only the DNS product is used since 2026-09-28, so the fourth-party chain shown is limited to that product. No processing is added and none begins; No processing change: the register now records which Cloudflare product each listed party serves. No party was added and none begins processing. | Gælder fra |
Dato | Ændring where a sub-processor processes changed, or was corrected | Leverandør Upstash, Inc. | Varsel Notice waived: A correction of the record and a narrowing: no provider processes anything new, anywhere new, or for a new purpose, and a deployment handling customer data can no longer reach this one | Gælder fra |
Dato | Ændring what a sub-processor does for us, or what data it receives, changed | Leverandør Cloudflare, Inc. | Varsel Notice waived: No controller's data moves: the product has not launched and the deployment serving it is declared as holding no customer data. netcup was announced on 2026-08-14 under an agreement concluded on 2026-09-14, and the other two changes take providers out of the request path | Gælder fra |
Dato | Ændring a sub-processor starts processing | Leverandør netcup GmbH | Varsel Notice waived: No controller's data moves: the product has not launched and the deployment serving it is declared as holding no customer data. netcup was announced on 2026-08-14 under an agreement concluded on 2026-09-14, and the other two changes take providers out of the request path | Gælder fra |
Dato | Ændring a sub-processor stops processing (its decommission record is cited) | Leverandør Vercel Inc. | Varsel Notice waived: No controller's data moves: the product has not launched and the deployment serving it is declared as holding no customer data. netcup was announced on 2026-08-14 under an agreement concluded on 2026-09-14, and the other two changes take providers out of the request path | Gælder fra |
Dato | Ændring what a sub-processor does for us, or what data it receives, changed | Leverandør Sendinblue SAS (Brevo); Cloudflare, Inc.; Mistral AI SAS; Scaleway SAS; Upstash, Inc. | Varsel Notice waived: A correction of the record's wording: no provider processes anything new, anywhere new, or for a new purpose | Gælder fra |
Dato | Ændring where a sub-processor processes changed, or was corrected | Leverandør Functional Software, Inc. | Varsel Notice waived: A correction of the record's wording: no provider processes anything new, anywhere new, or for a new purpose | Gælder fra |
Dato | Ændring where a sub-processor processes changed, or was corrected | Leverandør netcup GmbH | Varsel Notice waived: The vendor is planned and not yet processing, so no controller's data moves; the row is corrected to the site the server order names, an EU site under the same agreement and TOMs | Gælder fra |
Dato | Ændring where a sub-processor processes changed, or was corrected | Leverandør netcup GmbH | Varsel Notice waived: The vendor is planned and not yet processing, so no controller's data is affected; the chain and parent are corrected to what the executed agreement states, and the previous chain named a party it does not | Gælder fra |
Ældre ændringer findes i JSON-kopien og ændringsfeedet.
Ændringer og jeres ret til at gøre indsigelse
Vi giver jer mindst 30 dages varsel, før en ny underdatabehandler begynder at behandle jeres data, og I kan gøre indsigelse. Hver post viser startdatoen, ikke datoen for redigering af denne side.
Der er endnu ikke underskrevet nogen kundeaftale, så en ændring foretaget nu kræver ingen varsling og logføres med denne begrundelse. Fra den første kundeaftale bliver en ny eller ændret underdatabehandler opført i ændringsloggen ovenfor mindst 30 dage før den dato, hvor ændringen træder i kraft, og ændringsfeedet indeholder de samme poster. Vil I gøre indsigelse, så skriv til trust@nordvec.com inden den dato og angiv udbyderen. En rettelse eller en indsnævring, der ikke tilføjer behandling, logføres med begrundelsen for, at der ikke skulle varsles.
Maskinlæsbar
Denne side og dens JSON-kopi genereres ud fra ét register i vores kildekode. JSON-filen oplister alle poster med deres status, herunder planlagte tilføjelser i varslingsperioden og fjernede leverandører, så enhver ændring kan sammenlignes med en tidligere kopi.
/api/trust/subprocessorsSpørg os
Sikkerhedsspørgeskemaer og anmodninger om dokumentation går til én adresse. Send dit spørgeskema dertil, så besvarer vi det på e‑mail.
trust@nordvec.comDenne side er ikke juridisk rådgivning.
Databehandleraftale, SLA og fakturering
Tal med os