Hvem behandler jeres data
Alle underdatabehandlere, vi samarbejder med, hvad de bruges til, og hvilken jurisdiktion de er underlagt. Denne liste er genereret direkte fra vores kildekode, så den ikke kan afvige fra, hvad vi faktisk kører.
Sidst opdateret: 2026-08-02
Genereret automatisk fra vores register over underdatabehandlere – ikke manuelt vedligeholdt. En ny leverandør kan ikke tilføjes uden varsel, og vores build fejler, hvis koden rammer en databehandler, der ikke er opført her.
Vores underdatabehandlere
Disse virksomheder behandler personoplysninger på vores vegne. Lagring, generering og embeddings kører i EU‑datacentre. Flere af nedenstående udbydere er registreret uden for Det Europæiske Økonomiske Samarbejdsområde eller har et moderselskab, der er det, og hver sådan række er markeret: jurisdiktionen angiver, hvor en virksomhed kan pålægges retslige forpligtelser, hvilket er en separat overvejelse i forhold til, hvor dataene fysisk befinder sig. Hver række angiver det gældende grundlag for overførsel samt, hvilke underdatabehandlere den pågældende udbyder selv benytter.
Underdatabehandler
Jurisdiktion
Overførselsgrundlag
Status
Mistral AI SAS
LLM‑generering: chatsvar, planlægning, agentloop, vision og inputmoderering. Den eneste leverandør af generering; der er ingen fallback i ikke‑EU‑lande.
Prompts indeholder brugerforespørgsler samt uddrag fra hentede dokumenter. Nul‑retention og fravalg af træning er indstillinger på kontoniveau hos denne leverandør, ikke per forespørgsel, så de registreres her i stedet for at blive bekræftet ved hvert kald.
Hvem de selv benytter
- Mistral Compute (FR): Cloud‑infrastruktur til alle produkter. Deres egen compute‑enhed, ikke en ekstern part.
- Microsoft Inc. (land ikke oplyst af dem): Cloud‑infrastruktur. Behandling angivet som Sverige og Norge.
- Google LLC (land ikke oplyst af dem): Cloud‑infrastruktur. Behandling angivet som Holland, Belgien og USA.
- CoreWeave Inc. (land ikke oplyst af dem): Inference‑leverandør. Behandling angivet som EØS.
- Cloudflare Inc. (land ikke oplyst af dem): Sikkerhed og trafikrouting. Behandling angivet som verdensomspændende.
Their disclosure lists 24 parties, several scoped to products we do not use. Recorded here are the infrastructure and inference providers whose stated scope covers the API. Their page states processing regions rather than countries of incorporation, so those regions are given in each purpose and jurisdiction is left unstated.
Ifølge deres egen oplysning, verificeret 2026-07-31
Jurisdiktion
FR
eu-west (Frankrig)
Overførselsgrundlag
Kun EU, ingen overførsel til tredjeland
Status
AktivJina AI GmbH
Moderselskab: Elastic N.V. (US)
Tekstindlejringer og omrangering til genfinding.
Afvist for kundedata siden 31. juli 2026: Platformen starter ikke i produktion med denne leverandør konfigureret til indlejringer, så den kan ikke behandle kundedata. Den forbliver på listen, fordi legitimationsoplysningerne stadig læses i udviklingsmiljøet, og den er standard i udvikling, indtil erstatningen i EU er på plads: Indlejrings- og omrangeringsmodeller, som vi selv hoster på EU‑hardware, eller en managed API under EU‑jurisdiktion.
Endnu ikke fastlagt. Vi har ikke bekræftet, hvilke underdatabehandlere denne udbyder benytter.
Jurisdiktion
DE
EU-central (Berlin)
Overførselsgrundlag
Under gennemgang
Underlagt jurisdiktion uden for EU
Status
AktivSupabase, Inc.
Primær datalager: Postgres (dokumenter, chunks, indlejringer, tenants), autentificering og standard objektlagring.
Bliver erstattet af vores egen Postgres og objektlagring på EU‑hardware. Migrationen er ikke påbegyndt endnu; indtil den er gennemført, opbevarer denne leverandør dokumentsamlingen.
Hvem de selv benytter
- Amazon Web Services, Inc (land ikke oplyst af dem): Hosting.
- Cloudflare, Inc (land ikke oplyst af dem): Hosting.
- Google, LLC (land ikke oplyst af dem): Hosting.
- Fly.io, Inc (land ikke oplyst af dem): Hosting.
- Upstash, Inc (land ikke oplyst af dem): Serverless datalagring. Også en underdatabehandler for os i sig selv.
- Vercel, Inc (land ikke oplyst af dem): Hosting. Også en underdatabehandler for os i sig selv.
Their list is dated 1 June 2026 and names 19 parties without stating any country, so no jurisdiction is recorded for any of them. Recorded here are the six hosting providers; the remainder are their own support, sales and analytics tooling.
Ifølge deres egen oplysning, verificeret 2026-07-31
Jurisdiktion
US
aws eu-west-1 (Irland)
Overførselsgrundlag
Under gennemgang
Underlagt jurisdiktion uden for EU
Status
AktivUpstash, Inc.
Redis: API‑ratelimiting, sessionsspærring, embedding‑cache og umulig‑rejse‑detektion.
Udskiftes med en cache, som vi selv hoster på EU‑hardware. Migrationen er endnu ikke påbegyndt; indtil den er gennemført, leverer denne udbyder ratelimit- og cache‑laget.
Hvem de selv benytter
- Amazon Web Services (US): Cloud‑udbyder.
- Google (US): Cloud‑udbyder.
- Cloudflare, Inc. (US): Cloud‑tjenester.
- Humio (CrowdStrike Falcon LogScale) (DK): Logning.
Their document states an address per party, used here as the jurisdiction. Several entries are scoped to products of theirs we do not use; those are excluded. Recorded here are the providers that could sit under the Redis service we consume.
Ifølge deres egen oplysning, verificeret 2026-07-31
Jurisdiktion
US
Region er ikke låst i koden, og udbyderens implementeringsregion for denne database er ikke dokumenteret. Indeholder IP‑adresser og sessionsidentifikatorer, så art. 30, stk. 1, litra d‑e, kan ikke besvares for den.
Overførselsgrundlag
Under gennemgang
Underlagt jurisdiktion uden for EU
Status
AktivCloudflare, Inc.
DNS. Apex‑domænet er i øjeblikket også reverse‑proxyet, så Cloudflare terminerer TLS for det.
Vores fastlagte holdning er DNS‑only, hvilket ville betyde, at denne udbyder kun håndterer navneopløsning, men ikke forespørgselsindhold. Apex‑domænet er stadig proxied i dag, så det terminerer i øjeblikket TLS og ser forespørgselsindhold. Denne række beskriver den aktuelle situation, ikke den planlagte sluttilstand.
Hvem de selv benytter
- Amazon Web Services (AWS) (land ikke oplyst af dem): E‑mail‑sikkerhedsprodukt. Behandling angivet som USA og EØS.
- Google LLC (land ikke oplyst af dem): Developer Platform, Zero Trust og AI Gateway. Behandling angivet som EØS, USA, Australien og Indien.
- Oracle America, Inc. (land ikke oplyst af dem): Developer Platform og Cache Reserve. Behandling angivet som USA, EØS, Storbritannien, Japan, Australien, Canada og Singapore.
- CoreWeave, Inc. (land ikke oplyst af dem): Workers AI. Behandling angivet som USA.
- Nebius BV (land ikke oplyst af dem): Workers AI. Behandling angivet som England.
Their list is dated 1 October 2025 and states processing regions rather than countries of incorporation, so regions are given in each purpose. It also names 16 of their own group affiliates, which are not recorded here as external parties. Every entry below is scoped by them to a specific product; none is stated to apply to DNS.
Ifølge deres egen oplysning, verificeret 2026-07-31
Jurisdiktion
US
globalt edge‑netværk (anycast)
Overførselsgrundlag
Under gennemgang
Underlagt jurisdiktion uden for EU
Status
AktivFunctional Software, Inc.
Overvågning af applikationsfejl og ydeevne.
EU‑indtagelse er håndhævet i koden: klienten fejler lukket, hvis den forsøger at sende til en ikke‑EU‑endpoint, så fejlhændelser, spans og logs gemmes i Frankfurt. Sentry gemmer dog stadig konto- og driftsmetadata i USA uanset den valgte region (cron‑check‑ins, organisationsindstillinger og revisionslogfiler, projektmetadata, DSN‑nøgler, adgangstokens, forbrugsdata) og gemmer oppetidschecks i begge regioner. Ingen af disse data indeholder kundens personoplysninger, så der opstår ikke et kapitel V‑overførsel fra denne del; det er dog stadig en rest af amerikansk lagring fra denne udbyder, og ligesom tilbageholdelsesresten ovenfor lukkes den ved skiftet til 0F Bugsink, når fejlsporing, cron‑heartbeat og oppetidschecks flyttes til infrastruktur, som vi selv hoster.
Hvem de selv benytter
- Amazon Web Services, Inc. (land ikke oplyst af dem): Cloud‑infrastruktur. Behandling angivet som EU og USA.
- Cloudflare, Inc. (land ikke oplyst af dem): Cloud‑infrastruktur. Behandling angivet som EU og USA.
- Google LLC (land ikke oplyst af dem): Cloud‑infrastruktur. Behandling angivet som EU og USA.
Their list is version 2.3.0 dated 1 June 2026 and states processing regions rather than countries of incorporation. Recorded here are the three cloud providers; the remainder are their email, support and group affiliates.
Ifølge deres egen oplysning, verificeret 2026-07-31
Jurisdiktion
US
ingest.de.sentry.io (Tyskland), US‑region (Iowa) for konto- og driftsmetadata, der gemmes uden for den valgte region uanset indstilling (cron‑check‑ins, organisationsindstillinger og revisionslogfiler, projektmetadata, DSN‑nøgler, tokens, forbrugsdata); oppetidschecks gemmes i begge regioner. Ingen kundeoplysninger.
Overførselsgrundlag
Under gennemgang
Underlagt jurisdiktion uden for EU
Status
AktivSendinblue SAS (Brevo)
Transaktionsmails (notifikationer, kontomails).
Inaktiv, indtil BREVO_API_KEY er aktiveret.
Hvem de selv benytter
- Google Cloud Platform (FR): Hosting. Servere angivet som Belgien.
- Scaleway (Iliad) (FR): Hosting. Servere angivet som Frankrig.
- OVH (FR): Hosting. Servere angivet som Frankrig.
- Hetzner Online GmbH (DE): Hosting. Servere angivet som Tyskland. Er også en underdatabehandler for os i sig selv.
- Cloudflare (US): CDN og WAF. Servere angivet som USA og EU.
Their DPA annex separates infrastructure sub-processors from the rest and states a registered office for each, used here as the jurisdiction. Recorded here is that infrastructure section.
Ifølge deres egen oplysning, verificeret 2026-07-31
Jurisdiktion
FR
eu-west (Frankrig)
Overførselsgrundlag
Kun EU, ingen overførsel til tredjeland
Status
AktivHetzner Online GmbH
S3-kompatibel objektlagring til rå dokumentbytes.
Aktiveres kun, når STORAGE_PROVIDER=s3; standardlagringsudbyderen er Supabase.
Hvem de selv benytter
- Hetzner Finland Oy (FI): Bygningsleje og teknisk support.
- Hetzner US LLC (US): Serverleje til deres amerikanske site. (betjener regioner, som vi ikke bruger, ifølge deres oplysninger)
- NTT Global Data Centers Americas, Inc. (US): Colocation til deres amerikanske site. (betjener regioner, som vi ikke bruger, ifølge deres oplysninger)
- QTS Investment Properties Hillsboro, LLC (US): Colocation til deres amerikanske site. (betjener regioner, som vi ikke bruger, ifølge deres oplysninger)
- Hetzner Singapore Pte. Ltd. (SG): Serverleje til deres singaporeanske site. (betjener regioner, som vi ikke bruger, ifølge deres oplysninger)
- NTT Global Data Centers SG1 Pte Ltd (SG): Colocation til deres singaporeanske site. (betjener regioner, som vi ikke bruger, ifølge deres oplysninger)
Their annex is version 1.0 dated 6 August 2024 and names six parties, all of them infrastructure, with a location for each. They state that data on EU-located servers is processed exclusively within the EU; the non-EU entities below serve their US and Singapore sites, which we do not use.
Ifølge deres egen oplysning, verificeret 2026-07-31
Jurisdiktion
DE
nbg1 (Nürnberg)
Overførselsgrundlag
Kun EU, ingen overførsel til tredjeland
Status
AktivVercel Inc.
Applikationshosting og planlagte jobs (nuværende implementeringsmål).
Bliver erstattet af applikationshosting, som vi selv kører på EU‑hardware. Migrationen er ikke påbegyndt endnu; indtil den er gennemført, leverer denne udbyder applikationen.
Hvem de selv benytter
- Amazon Web Services, Inc. (US): Hosting, lagring og generativ AI.
- Google LLC (US): Cloud‑computing, lagring og generativ AI.
- Microsoft Corporation (US): Hosting, lagring og generativ AI.
- Upstash, Inc. (US): Serverless‑lagring. Er også en underdatabehandler for os i sig selv.
- Neon (US): Serverless‑lagring.
- Redis Labs, Inc. (US): Realtidslogning og sikkerhed.
Their list names 28 parties with a location each, used here as the jurisdiction. Recorded here are the six providing hosting or storage; the remainder are their monitoring, support and AI-feature vendors.
Ifølge deres egen oplysning, verificeret 2026-07-31
Jurisdiktion
US
global edge
Overførselsgrundlag
Under gennemgang
Underlagt jurisdiktion uden for EU
Status
AktivUnderlagt jurisdiktion uden for EU
Dette selskab eller dets moderselskab er registreret uden for EØS, så det kan være underlagt udenlandsk tvangsindgreb, selvom dataene selv ligger i EU.
Ændringer og jeres ret til at gøre indsigelse
Vi giver jer mindst 30 dages varsel, før en ny underdatabehandler begynder at behandle jeres data, og I kan gøre indsigelse. Hver post viser startdatoen, ikke datoen for redigering af denne side.
Maskinlæsbar
Denne liste er genereret direkte fra et register i vores kildekode, så den opdateres automatisk, når koden ændres – ikke når nogen husker at redigere en side. Det samme register udgives som JSON på adressen nedenfor. Det indeholder alle poster med deres status, herunder planlagte tilføjelser i varslingsperioden og fjernede leverandører. På den måde kan alle ændringer sammenlignes med en tidligere version i stedet for at skulle tages for gode varer.
/api/trust/subprocessors