--- title: "Hvem behandler jeres data" canonical: "https://nordvec.com/da/subprocessors" lang: "da" claims: "https://nordvec.com/api/trust/claims" --- # Hvem behandler jeres data Source: https://nordvec.com/da/subprocessors This file is rendered from the same message catalogue as the page, at request time; the HTML page is the canonical document. Statements about the processing chain are bound to the claim record at https://nordvec.com/api/trust/claims, which says which of them the register currently supports. Alle underdatabehandlere, vi benytter, hvad de bruges til, og hvilken jurisdiktion de hører under. **Data pr.**: 19. oktober 2026. **Senest gennemgået**: 14. september 2026. Genereret ud fra vores register over underdatabehandlere. ## Vores underdatabehandlere Disse virksomheder behandler personoplysninger på vores vegne: Dokumenter opbevaret i EU, AI‑behandling i Frankrig. Flere af udbyderne nedenfor er registreret uden for Det Europæiske Økonomiske Samarbejdsområde eller har et moderselskab, der er det, og hver sådan række er markeret. Jurisdiktionen angiver, hvor en virksomhed kan pålægges retslige forpligtelser, hvilket er et andet spørgsmål end, hvor dataene fysisk ligger. Hver række angiver det gældende overførselsgrundlag, og hvem udbyderen selv benytter. ### Mistral AI SAS **Hjemsted**: Paris, France **Formål**: Sprogmodelgenerering (svar i chat, planlægning, værktøjsbrug, læsning af billeder, inputmoderation) og tekst-embeddings til søgning. Den eneste managed inference-udbyder; der er ingen fallback uden for EU. Prompts indeholder brugerens spørgsmål samt uddrag fra hentede dokumenter. Anmodninger om embeddings indeholder dokumentstykker, når et dokument indekseres, og brugerens spørgsmål ved søgning. Hvis selvhostede embeddings vælges, når kun generering denne udbyder. Zero retention og fravalg af træning er indstillinger på kontoniveau hos denne udbyder, ikke pr. anmodning, så de er registreret her i stedet for at blive angivet ved hvert kald. - **Behandlede data**: Navn, Browser- og enhedsoplysninger - **Jurisdiktion**: Frankrig, eu-west (Frankrig) - **Overførselsgrundlag**: Kun EU, ingen overførsel til tredjeland - **Status**: Aktiv **Hvem de selv benytter** - Mistral Compute (Frankrig): Cloud-infrastruktur til alle produkter. Deres egen compute-enhed, ikke en ekstern part. - Microsoft Inc. (land ikke oplyst af dem): Cloud-infrastruktur. Behandling angivet som Sverige og Norge. - Google LLC (land ikke oplyst af dem): Cloud-infrastruktur. Behandling angivet som Holland, Belgien og USA. - CoreWeave Inc. (land ikke oplyst af dem): Inference-udbyder. Behandling angivet som EØS. - Cloudflare Inc. (land ikke oplyst af dem): Sikkerhed og trafikrouting. Behandling angivet som verdensomspændende. Their disclosure lists 24 parties, several scoped to products we do not use. Recorded here are the infrastructure and inference providers whose stated scope covers the API. Their page states processing regions rather than countries of incorporation, so those regions are given in each purpose and jurisdiction is left unstated. Ifølge deres egen oplysning, verificeret 31. juli 2026 ### Supabase, Inc. **Hjemsted**: Delaware, United States **Formål**: Primært datalager: Postgres (dokumenter, tekststykker, embeddings, tenants), autentificering og standard-objektlagring. Under udskiftning: databasen flyttes til vores egen Postgres på EU‑hardware og filerne til Scaleway i Frankrig. Serveren og lagerbeholderne er klargjort, og applikationen flyttes væk fra denne leverandørs grænseflader; selve databasen er endnu ikke flyttet, og indtil overgangen opbevarer denne leverandør dokumentsamlingen. - **Behandlede data**: Navn, E‑mailadresse, Adgangskode, Browser- og enhedsoplysninger - **Jurisdiktion**: USA, aws eu-west-1 (Irland) - **Overførselsgrundlag**: Under gennemgang (Underlagt jurisdiktion uden for EØS) - **Status**: Aktiv **Hvem de selv benytter** - Amazon Web Services, Inc (land ikke oplyst af dem): Hosting. - Cloudflare, Inc (land ikke oplyst af dem): Hosting. - Google, LLC (land ikke oplyst af dem): Hosting. - Fly.io, Inc (land ikke oplyst af dem): Hosting. - Upstash, Inc (land ikke oplyst af dem): Serverløs datahosting. Er også en underdatabehandler for os i sig selv. - Vercel, Inc (land ikke oplyst af dem): Hosting. Er også en underdatabehandler for os i sig selv. Their list is dated 1 June 2026 and names 19 parties without stating any country, so no jurisdiction is recorded for any of them. Recorded here are the six hosting providers; the remainder are their own support, sales and analytics tooling. Ifølge deres egen oplysning, verificeret 31. juli 2026 ### Upstash, Inc. **Hjemsted**: California, United States **Formål**: Redis: rate limiting af API'et, tilbagekaldelse af sessioner, embedding-cache og registrering af umulige rejser. Denne udbyder håndterer hastighedsbegrænsning og cachelaget, indtil en Valkey-instans, som vi hoster på EU‑hardware, erstatter den. Alle dele af applikationen får adgang til lagringen via én forbindelsesindstilling, så flytningen er blot en konfigurationsændring. En deployment, der håndterer kundedata, kan ikke bruge denne udbyder: den afviser ved opstart enhver Redis-host, der ikke drives af os eller er intern i deploymenten. - **Behandlede data**: IP‑adresse, Placering, Konto- og sessionsidentifikatorer - **Jurisdiktion**: USA, Region ikke bekræftet. Bruges ikke til kundeindhold: en installation, der håndterer kundedata, afviser denne udbyder ved opstart. - **Overførselsgrundlag**: Under gennemgang (Underlagt jurisdiktion uden for EØS) - **Status**: Aktiv **Hvem de selv benytter** - Amazon Web Services (USA): Cloud-udbyder. - Google (USA): Cloud-udbyder. - Cloudflare, Inc. (USA): Cloud-tjenester. - Humio (CrowdStrike Falcon LogScale) (Danmark): Logning. Their document states an address per party, used here as the jurisdiction. Several entries are scoped to products of theirs we do not use; those are excluded. Recorded here are the providers that could sit under the Redis service we consume. Ifølge deres egen oplysning, verificeret 31. juli 2026 ### Cloudflare, Inc. **Hjemsted**: Delaware, United States **Formål**: DNS til vores domæne. Kun DNS siden 28. september 2026: webværtsnavnene går ikke længere gennem udbyderens proxy, så den terminerer ikke længere TLS og ser ikke forespørgsler. Navneopslag flyttes til en EU‑udbyder, når vi skifter til vores egen EU‑infrastruktur. Rækken markeres derefter som under udskiftning og fjernes tredive dage senere, når zonen slettes. - **Behandlede data**: IP‑adresse, Browser- og enhedsoplysninger - **Jurisdiktion**: USA, globalt edge-netværk (anycast) - **Overførselsgrundlag**: Under gennemgang (Underlagt jurisdiktion uden for EØS) - **Status**: Aktiv **Hvem de selv benytter** Deres offentliggjorte liste knytter ingen leverandør til det produkt, vi bruger (DNS). Den siger ikke, at ingen er involveret. Their list is dated 1 October 2025 and states processing regions rather than countries of incorporation, so regions are given in each purpose. It also names 16 of their own group affiliates, which are not recorded here as external parties. Every entry listed is scoped by them to a specific product, and none is attributed to DNS; that does not show that no party is involved in DNS. Ifølge deres egen oplysning, verificeret 31. juli 2026 ### Functional Software, Inc. **Hjemsted**: California, United States **Formål**: Overvågning af applikationsfejl og ydeevne. Fejlhændelser, spans og logs sendes til ingest-endepunktet i Tyskland og gemmes i Frankfurt. Fejlrapportering slår sig selv fra, når den konfigureres med et endepunkt uden for EU. Sentry gemmer konto- og driftsmetadata i USA uanset valgt region (planlagte job‑check‑ins, organisationsindstillinger og revisionslogs, projektmetadata, nøgler, adgangstokens, forbrugsdata) og gemmer oppetidschecks i begge regioner. Ingen af disse data indeholder kunders personoplysninger, så der opstår ingen overførsel efter kapitel V. Denne amerikanske lagring ophører, når fejlsporing, overvågning af planlagte job og oppetidschecks flyttes til infrastruktur, vi selv hoster. - **Behandlede data**: Konto- og sessionsidentifikatorer, Browser- og enhedsoplysninger - **Jurisdiktion**: USA, ingest.de.sentry.io (Tyskland), US‑region (Iowa) for konto- og driftsmetadata, uanset valgt region (planlagte job‑check‑ins, organisationsindstillinger og revisionslogs, projektmetadata, nøgler, tokens, forbrugsdata). Oppetidschecks gemmes i begge regioner. Ingen persondata fra kunder. - **Overførselsgrundlag**: Under gennemgang (Underlagt jurisdiktion uden for EØS) - **Status**: Aktiv **Hvem de selv benytter** - Amazon Web Services, Inc. (land ikke oplyst af dem): Cloud-infrastruktur. Behandling angivet i EU og USA. - Cloudflare, Inc. (land ikke oplyst af dem): Cloud-infrastruktur. Behandling angivet i EU og USA. - Google LLC (land ikke oplyst af dem): Cloud-infrastruktur. Behandling angivet i EU og USA. Their list is version 2.3.0 dated 1 June 2026 and states processing regions rather than countries of incorporation. Recorded here are the three cloud providers; the remainder are their email, support and group affiliates. Ifølge deres egen oplysning, verificeret 31. juli 2026 ### Sendinblue SAS (Brevo) **Hjemsted**: Paris, France **Formål**: Transaktionsmails (notifikationer, kontomails). Ikke i brug endnu: Ingen e‑mails sendes via denne udbyder, før dens kontonøgle er sat. - **Behandlede data**: E‑mailadresse, Navn - **Jurisdiktion**: Frankrig, eu-west (Frankrig) - **Overførselsgrundlag**: Kun EU, ingen overførsel til tredjeland - **Status**: Aktiv **Hvem de selv benytter** - Google Cloud Platform (Frankrig): Hosting. Servere angivet i Belgien. - Scaleway (Iliad) (Frankrig): Hosting. Servere angivet i Frankrig. - OVH (Frankrig): Hosting. Servere angivet i Frankrig. - Hetzner Online GmbH (Tyskland): Hosting. Servere angivet i Tyskland. Tidligere også selv underdatabehandler for os (fjernet 2026-09-13). - Cloudflare (USA): CDN og WAF. Servere angivet i USA og EU. Their DPA annex separates infrastructure sub-processors from the rest and states a registered office for each, used here as the jurisdiction. Recorded here is that infrastructure section. Ifølge deres egen oplysning, verificeret 31. juli 2026 ### Scaleway SAS Moderselskab: Iliad S.A. (Frankrig) **Hjemsted**: Paris, France **Formål**: S3-kompatibel objektlagring til originale dokumentfiler og database-backups. Endnu ikke i brug. To private buckets i Paris-regionen blev oprettet den 13. september 2026, én til dokumenter med server-side kryptering og versionsstyring, og én til backups. Ingen kundedata når dem før denne underdatabehandlers ikrafttrædelsesdato, som er den tidligste dato, varslingsfristen tillader, og ingen data overføres, før dokumentlagringen skifter til denne udbyder. - **Behandlede data**: Navn - **Jurisdiktion**: Frankrig, fr-par (Paris) - **Overførselsgrundlag**: Kun EU, ingen overførsel til tredjeland - **Status**: Aktiv **Hvem de selv benytter** - OpCore (Frankrig): Colocation-tjenester, Frankrig. - Atempo (Frankrig): Løsninger til dataregistrering og arkivering til kold opbevaring (Object Storage). - Atnorth (Sverige): Colocation-tjenester, Sverige. (betjener regioner, som vi ikke bruger, ifølge deres oplysninger) - 3S Data Center S.A. (Polen): Colocation-tjenester, Polen. (betjener regioner, som vi ikke bruger, ifølge deres oplysninger) - Atman sp. z o.o. (Polen): Colocation-tjenester, Polen. (betjener regioner, som vi ikke bruger, ifølge deres oplysninger) - Equinix EMEA (USA): Colocation-tjenester i Italien, Holland og Polen. (betjener regioner, som vi ikke bruger, ifølge deres oplysninger) - Iron Mountain (USA): Colocation-tjenester, Holland. (betjener regioner, som vi ikke bruger, ifølge deres oplysninger) - Digital Realty (USA): Colocation-tjenester, Holland. (betjener regioner, som vi ikke bruger, ifølge deres oplysninger) - BrainStorm Network Inc. (Canada): Tjenesteudbyder for et VPS‑produkt, vi ikke benytter. (betjener regioner, som vi ikke bruger, ifølge deres oplysninger) - Clever Cloud (Frankrig): Cloud-udbyder for en webplatform, som vi ikke benytter. (betjener regioner, som vi ikke bruger, ifølge deres oplysninger) - Confia (Frankrig): Genanvendelse af affald fra elektrisk og elektronisk udstyr. (betjener regioner, som vi ikke bruger, ifølge deres oplysninger) Their list (last reviewed July 2025) names seven data-centre operators, each with an EU processing location, and four service parties. We use Object Storage in the Paris region only, so the in-path parties are the French colocation operator and the cold-storage archiving supplier the list attaches to Object Storage; the three US-headquartered operators serve Italian, Dutch and Polish sites we do not select. Changes are notified 30 days ahead to customers subscribed on that page (DPA section 7.4), with a right to object. Ifølge deres egen oplysning, verificeret 13. september 2026 ### Vercel Inc. **Hjemsted**: California, United States **Formål**: Hosting af applikation og planlagte jobs (tidligere implementeringsmål). Anvendes ikke længere til applikationen: siden 28-09-2026 peger domænet på vores egen server i EU. Udbyderen opbevarer stadig den frosne gamle implementering, dens forespørgselslogfiler og den tilknyttede konfiguration, indtil projekterne slettes. Rækken markeres som fjernet, når sletningen og rotationen af de tilknyttede legitimationsoplysninger er registreret. - **Behandlede data**: IP‑adresse, Browser- og enhedsoplysninger - **Jurisdiktion**: USA, global edge - **Overførselsgrundlag**: Under gennemgang (Underlagt jurisdiktion uden for EØS) - **Status**: Erstattes **Hvem de selv benytter** - Amazon Web Services, Inc. (USA): Hosting, lagring og generativ AI. - Google LLC (USA): Cloud-computing, lagring og generativ AI. - Microsoft Corporation (USA): Hosting, lagring og generativ AI. - Upstash, Inc. (USA): Serverless-lagring. Er også en underdatabehandler for os i sig selv. - Neon (USA): Serverless-lagring. - Redis Labs, Inc. (USA): Logning og sikkerhed i realtid. Their list names 28 parties with a location each, used here as the jurisdiction. Recorded here are the six providing hosting or storage; the remainder are their monitoring, support and AI-feature vendors. Ifølge deres egen oplysning, verificeret 31. juli 2026 ### netcup GmbH Moderselskab: Anexia Cloud Solutions GmbH (Østrig) **Hjemsted**: Karlsruhe, Germany **Formål**: Hosting på vores egne EU‑servere: Next.js-webapplikationen i dag, og ved skiftet BullMQ-arbejderen samt de selvhostede sidecars (Valkey, SearXNG, MarkItDown, Bugsink, embedding/rerank). Erstatter Vercel. Server i datacentret i Wien (den valgte lokation ved bestilling); aftalen efter artikel 28 blev indgået den 14-09-2026 (kontraktgenerator i kundepanelet, skabelonversion 2026/07, bilag 3 udfyldt af os). Understøtter webapplikationen siden 28-09-2026, inden den fulde flytning; worker-tjenesten og de øvrige services, vi selv hoster, følger ved skiftet. Den software, vi kører på serveren, er vores egen og betragtes ikke som en separat underdatabehandler. - **Behandlede data**: Navn, E‑mailadresse, IP‑adresse, Browser- og enhedsoplysninger - **Jurisdiktion**: Tyskland, Wien (EU) - **Overførselsgrundlag**: Kun EU, ingen overførsel til tredjeland - **Status**: Aktiv **Hvem de selv benytter** - Anexia Cloud Solutions GmbH (Østrig): Infrastrukturtjenester i datacentermiljøet og personaleudlejning (Klagenfurt). Moderselskab for den koncern, som udbyderen tilhører. - Anexia Cloud Solutions GmbH (Germany) (Tyskland): Infrastrukturtjenester i datacentermiljøet og personaleudlejning (etablering i Karlsruhe). - Anexia Holding GmbH (Østrig): Supporttjenester som håndtering af myndighedshenvendelser og fakturering (Klagenfurt). - DATASIX Rechenzentrumsbetriebs GmbH (Østrig): Drift af datacenter inden for koncernen (Wien). Nævnt i certificeringsområdet i bilaget om tekniske og organisatoriske foranstaltninger i aftalen, ikke i listen over øvrige databehandlere. Registreret, fordi Wien er den lokation, vores serverordre angiver, og derfor er det den relevante operatør i databehandlingskæden. The vendor publishes no sub-processor page; the parties are named in Annex 2 of the Art. 28 agreement, which a customer receives only on concluding it through the customer panel (the linked help-centre page describes that path). Read from our executed copy on 2026-09-14. Further subcontractors are announced in writing with a 14-calendar-day objection window, and the agreement excludes pure infrastructure provision from its definition of a subcontractor, so the list is narrower than the click-through lists other vendors here publish. The earlier reading of this row named a colocation provider that the executed agreement does not, so that entry is gone. Ifølge deres egen oplysning, verificeret 14. september 2026 **Underlagt jurisdiktion uden for EØS**: Dette selskab eller dets moderselskab er registreret uden for EØS, så det kan være underlagt udenlandsk tvangsindgreb, selvom dataene selv ligger i EU. **Betalinger**: Betalinger går gennem Mollie B.V. i Nederlandene, en godkendt betalingsinstitution. Mollie håndterer betalingsdata under sine egne juridiske forpligtelser som selvstændig dataansvarlig, og derfor står virksomheden her som modtager i stedet for i tabellen over underdatabehandlere. Fra Nordvec modtager Mollie et beløb, en beskrivelse af abonnementet og referencenumre, men intet dokumentindhold. ## Ændringslog Alle ændringer i dette register, nyeste først. Kolonnen for varsel viser, om I havde en frist til at gøre indsigelse. - **19. oktober 2026**, what a sub-processor does for us, or what data it receives, changed: Supabase, Inc.. Notice waived: A record correction only: no file has moved and no location, scope of processing or basis changed; the sentence now says the move is future.. Gælder fra 19. oktober 2026. - **19. oktober 2026**, what a sub-processor does for us, or what data it receives, changed: Supabase, Inc.. Notice waived: A record correction only: the migration status is stated more precisely, and no location, scope of processing or basis changed.. Gælder fra 19. oktober 2026. - **19. oktober 2026**, what a sub-processor does for us, or what data it receives, changed: Supabase, Inc.. Notice waived: A record correction only: the migration status was stale, and no location, scope of processing or basis changed.. Gælder fra 19. oktober 2026. - **17. oktober 2026**, the sub-processor's own disclosed sub-processors changed, or were recorded: Cloudflare, Inc.. Notice waived: A narrowing: the register now records that only the DNS product is used since 2026-09-28, so the fourth-party chain shown is limited to that product. No processing is added and none begins; No processing change: the register now records which Cloudflare product each listed party serves. No party was added and none begins processing.. Gælder fra 17. oktober 2026. - **2. oktober 2026**, where a sub-processor processes changed, or was corrected: Upstash, Inc.. Notice waived: A correction of the record and a narrowing: no provider processes anything new, anywhere new, or for a new purpose, and a deployment handling customer data can no longer reach this one. Gælder fra 2. oktober 2026. - **28. september 2026**, what a sub-processor does for us, or what data it receives, changed: Cloudflare, Inc.. Notice waived: No controller's data moves: the product has not launched and the deployment serving it is declared as holding no customer data. netcup was announced on 2026-08-14 under an agreement concluded on 2026-09-14, and the other two changes take providers out of the request path. Gælder fra 28. september 2026. - **28. september 2026**, a sub-processor starts processing: netcup GmbH. Notice waived: No controller's data moves: the product has not launched and the deployment serving it is declared as holding no customer data. netcup was announced on 2026-08-14 under an agreement concluded on 2026-09-14, and the other two changes take providers out of the request path. Gælder fra 14. august 2026. - **28. september 2026**, a sub-processor stops processing (its decommission record is cited): Vercel Inc.. Notice waived: No controller's data moves: the product has not launched and the deployment serving it is declared as holding no customer data. netcup was announced on 2026-08-14 under an agreement concluded on 2026-09-14, and the other two changes take providers out of the request path. Gælder fra 28. september 2026. - **27. september 2026**, what a sub-processor does for us, or what data it receives, changed: Sendinblue SAS (Brevo); Cloudflare, Inc.; Mistral AI SAS; Scaleway SAS; Upstash, Inc.. Notice waived: A correction of the record's wording: no provider processes anything new, anywhere new, or for a new purpose. Gælder fra 27. september 2026. - **27. september 2026**, where a sub-processor processes changed, or was corrected: Functional Software, Inc.. Notice waived: A correction of the record's wording: no provider processes anything new, anywhere new, or for a new purpose. Gælder fra 27. september 2026. - **14. september 2026**, where a sub-processor processes changed, or was corrected: netcup GmbH. Notice waived: The vendor is planned and not yet processing, so no controller's data moves; the row is corrected to the site the server order names, an EU site under the same agreement and TOMs. Gælder fra 14. september 2026. - **14. september 2026**, where a sub-processor processes changed, or was corrected: netcup GmbH. Notice waived: The vendor is planned and not yet processing, so no controller's data is affected; the chain and parent are corrected to what the executed agreement states, and the previous chain named a party it does not. Gælder fra 14. september 2026. Ældre ændringer findes i JSON-kopien og ændringsfeedet. ## Ændringer og jeres ret til at gøre indsigelse Vi giver jer mindst 30 dages varsel, før en ny underdatabehandler begynder at behandle jeres data, og I kan gøre indsigelse. Hver post viser startdatoen, ikke datoen for redigering af denne side. Der er endnu ikke underskrevet nogen kundeaftale, så en ændring foretaget nu kræver ingen varsling og logføres med denne begrundelse. Fra den første kundeaftale bliver en ny eller ændret underdatabehandler opført i ændringsloggen ovenfor mindst 30 dage før den dato, hvor ændringen træder i kraft, og [ændringsfeedet](/api/trust/changes.atom) indeholder de samme poster. Vil I gøre indsigelse, så skriv til [trust@nordvec.com](mailto:trust@nordvec.com) inden den dato og angiv udbyderen. En rettelse eller en indsnævring, der ikke tilføjer behandling, logføres med begrundelsen for, at der ikke skulle varsles. ## Maskinlæsbar Denne side og dens JSON-kopi genereres ud fra ét register i vores kildekode. JSON-filen oplister alle poster med deres status, herunder planlagte tilføjelser i varslingsperioden og fjernede leverandører, så enhver ændring kan sammenlignes med en tidligere kopi. JSON: https://nordvec.com/api/trust/subprocessors ## Spørg os Sikkerhedsspørgeskemaer og anmodninger om dokumentation går til én adresse. Send dit spørgeskema dertil, så besvarer vi det på e‑mail. [trust@nordvec.com](mailto:trust@nordvec.com) [Databehandleraftale](/da/dpa) Databehandleraftale, SLA og fakturering [Tal med os](/da/request-access) Denne side er ikke juridisk rådgivning.