---
title: "Beviset bag hvert svar."
canonical: "https://nordvec.com/da/trust/evidence"
lang: "da"
claims: "https://nordvec.com/api/trust/claims"
---

# Beviset bag hvert svar.

Source: https://nordvec.com/da/trust/evidence

This file is rendered from the same message catalogue as the page, at request time; the HTML page is the canonical document. Statements about the processing chain are bound to the claim record at https://nordvec.com/api/trust/claims, which says which of them the register currently supports.

Dokumentation

Skrevet til revisorer og sikkerhedsgranskere. Hver optegnelse forklarer, hvordan du tjekker den uden at tage vores ord for det.

**Data pr.**: 19. oktober 2026. **Senest gennemgået**: 14. september 2026.

## Hvem kan få hvad

- **Offentligt**: Alle filer på denne side. Ingen konto og ingen formular.
- **På anmodning**: Dokumenter deles på mail efter anmodning. Samlingen er ved at blive færdiggjort, så skriv til os, og angiv, hvad du har brug for.

Maskinlæsbare filer til dine compliance-værktøjer. OSCAL 1.2.2 er Open Security Controls Assessment Language, et NIST-format for kontrolstatus. POA&M står for plan of action and milestones, altså handlingsplan og milepæle.

## Kontrolstatus og påstande

De filer, dine compliance-værktøjer læser. Hver fil beskriver, hvordan du kontrollerer den.

- [Vurderingsresultater](/api/trust/oscal/assessment-results.json) (OSCAL 1.2.2, Offentligt): Hver forpligtelse, dens status og den dokumentation, den henviser til, i OSCAL. Kontrollér den mod NIST's offentliggjorte OSCAL-skema, og sammenlign derefter antallene med kontroloversigten på denne side.
- [Handlingsplan og milepæle (POA&M)](/api/trust/oscal/poam.json) (OSCAL 1.2.2, Offentligt): Alle åbne mangler som en handlingsplan med milepæle. Kontrollér filen mod samme OSCAL-skema, og match derefter hvert åbent punkt med en forpligtelse, der endnu ikke er implementeret i oversigten.
- [Register over påstande, inkl. afviste](/api/trust/claims) (JSON, Offentligt): Alle påstande, vi kunne offentliggøre, og vurderingen af hver enkelt. Sammenlign hver vurdering med leverandørregistret og den oversigt, den nævner.
- [Værter, som hver connector må tilgå](/api/trust/connector-egress) (JSON, Offentligt): De værter, hver connector må kontakte, og de lag, dens indhold passerer igennem, med en tilstandshash. Beregn hashen igen over dokumentet uden feltet stateHash, og sammenlign.
- [Tilgængelighedskonformitetsrapport (WCAG 2.2 AA)](/api/trust/accessibility) (JSON, Offentligt): Vores rapport om overholdelse af WCAG 2.2 AA. Hvert kriterium viser sit resultat, så du kan teste dem, der betyder noget for dig, igen.

## Signerede registreringer og historik

Registreringer, der er signeret eller tidsstemplet, og det feed, der fortæller dig, når en fil her ændres.

- [Signeret implementeringsstatus](/api/trust/posture) (JSON, signeret med Ed25519, Offentligt): En erklæring om, hvordan denne installation er sat op, signeret med Ed25519. Hent den offentlige nøgle fra /api/trust/provenance-key, og verificér signaturen over dokumentet.
- [Signeret historik over implementeringsstatus](/api/trust/posture-log) (JSON, signeret med Ed25519, Offentligt): Alle signerede sikkerhedserklæringer, vi har offentliggjort, i rækkefølge og hver især koblet til den forrige. Verificér hver signatur med den samme nøgle, og tjek, at koblingerne holder.
- [Kontrolpunkter og tidsstempler i revisionsloggen](/api/trust/audit-chain) (JSON, tidsstemplet med RFC 3161, Offentligt): Kontrolpunkter i vores revisionslog, hver stemplet med et RFC 3161-token, internetstandarden for pålidelige tidsstempler. Genberegn hvert kontrolpunkt, og tjek derefter tokenet med et vilkårligt RFC 3161-værktøj.
- [Følg med i ændringer i disse dokumenter](/api/trust/changes.atom) (Atom, Offentligt): Et Atom-feed, der giver besked, når en fil på denne side ændres. Abonnér i en feedlæser i stedet for at tjekke manuelt.

## Alle forpligtelser med status og dokumentation

*Kontroloversigten*

De tekniske forpligtelser, vi har udledt af de regler, vi bygger efter, grupperet efter land eller region. Åbn et regelsæt for at se hver forpligtelse, dens status og dens dokumentation.

Vi genererer oversigten ud fra en versioneret kopi af reglerne og kobler hver forpligtelse til de kontroller, der opfylder den. Koblingen køres igen ved hver ændring, så en kontrol, der omdøbes, svækkes eller slettes, mister sin status.

Forpligtelsernes tekster vises på engelsk, det sprog, de er udledt og verificeret på.

- 382 forpligtelser, udledt af 39 rammeværker
- 239 af 382 er underbygget af dokumentation i koden
- 94 af 382 er verificeret som implementeret

Offentliggjort kontrolstatus sidst ændret 19. oktober 2026

### Sådan læser du oversigten

#### Hvad hver status betyder

- **Implementeret**: Dokumenteret i vores kode med en test, et automatisk tjek ved hver ændring eller en live registrering, ikke kun med en henvisning til koden.
- **Delvis**: En del af det er på plads. Vi har ikke tjekket alle elementer endnu, eller det eneste bevis indtil videre er en henvisning til koden.
- **Ubekræftet**: Vi har identificeret reglen og kortlagt den. Vi har endnu ikke kontrolleret vores kode op imod den. Dette er vores ærlige liste over mangler.
- **Planlagt**: På vores roadmap, endnu ikke bygget.

#### Hvor stærk dokumentationen er

- **Vurderet**: Vi testede kontrollen på det kørende system på en registreret dato, og den holdt. Det er det eneste bevis, der viser det live system.
- **Artefakt**: Et dokument eller en registrering, der er selve kontrollen og viser, at den er i drift: en offentliggørelseskanal, der stadig er tilgængelig, eller en politik eller procedure med en gennemgangsdato inden for det seneste år. Et udkast eller en udateret fil tæller ikke.
- **Gate**: En automatisk kontrol, der kører ved hver kodeændring og blokerer ændringen, hvis kontrollen bryder sammen.
- **Test**: En automatisk test, der afprøver kontrollen og viser, at den virker.
- **Kode**: Kontrollen findes i vores kode. Det viser, at den er skrevet, ikke at den håndhæves, så alene holder det en kontrol på delvis.

### Den Europæiske Union (21 rammeværker)

#### Critical Entities Resilience Directive (Niveau A, 3 forpligtelser)

Ubekræftet: 3

- **Notify incidents if designated**: Ubekræftet. Ingen kodedokumentation endnu
- **Take resilience measures if designated**: Ubekræftet. Ingen kodedokumentation endnu
- **Determine critical-entity applicability**: Ubekræftet. Ingen kodedokumentation endnu

#### Cyber Resilience Act (Niveau A, 10 forpligtelser)

Implementeret: 3, Delvis: 4, Ubekræftet: 2, Planlagt: 1

- **Conformity assessment, EU declaration, and CE marking**: Planlagt. Ingen kodedokumentation endnu
- **Maintain technical documentation**: Ubekræftet. Ingen kodedokumentation endnu
- **Protect confidentiality and integrity of data**: Delvis. Dokumentation: Kode
- **Secure by design and secure by default**: Delvis. Dokumentation: Kode
- **Report actively exploited vulnerabilities and severe incidents**: Delvis. Dokumentation: Artefakt
- **Coordinated vulnerability disclosure policy**: Implementeret. Dokumentation: Artefakt
- **Provide security updates over the support period**: Ubekræftet. Ingen kodedokumentation endnu
- **Identify and document components (SBOM)**: Implementeret. Dokumentation: Gate
- **Monitor upstream components for advisories and record each decision**: Delvis. Dokumentation: Gate
- **Identify and address vulnerabilities without delay**: Implementeret. Dokumentation: Gate

#### Misleading and Comparative Advertising Directive (Niveau A, 6 forpligtelser)

Implementeret: 4, Delvis: 2

- **Compare only products that meet the same needs or serve the same purpose**: Delvis. Dokumentation: Test
- **Make no comparison that is misleading about either product**: Implementeret. Dokumentation: Test
- **Neither discredit the competitor nor trade on its marks**: Delvis. Dokumentation: Test
- **Compare material, relevant, verifiable and representative features, objectively**: Implementeret. Dokumentation: Test
- **Keep every comparison current, because cessation needs no proof of loss**: Implementeret. Dokumentation: Gate
- **Treat any sentence that identifies another product as comparative advertising**: Implementeret. Dokumentation: Gate

#### EU Cybersecurity Act (Niveau A, 4 forpligtelser)

Delvis: 2, Ubekræftet: 2

- **Monitor the certification framework for a relevant or mandatory scheme**: Ubekræftet. Ingen kodedokumentation endnu
- **Understand the basic-level self-assessment route**: Ubekræftet. Ingen kodedokumentation endnu
- **Publish supplementary cybersecurity information if certified**: Delvis. Dokumentation: Kode
- **Hold the security objectives a certification scheme would require**: Delvis. Dokumentation: Artefakt

#### Data Governance Act (Niveau A, 3 forpligtelser)

Delvis: 1, Ubekræftet: 2

- **Notify and meet neutrality conditions if providing intermediation**: Ubekræftet. Ingen kodedokumentation endnu
- **Determine data-intermediation / altruism applicability**: Ubekræftet. Ingen kodedokumentation endnu
- **Safeguard protected data against unlawful international transfer**: Delvis. Dokumentation: Kode

#### Digital Operational Resilience Act (Niveau A, 10 forpligtelser)

Delvis: 4, Ubekræftet: 5, Planlagt: 1

- **ICT governance and accountability**: Ubekræftet. Ingen kodedokumentation endnu
- **Anomalous-activity detection**: Delvis. Dokumentation: Kode
- **Protection and prevention controls**: Delvis. Dokumentation: Kode
- **Response, recovery, and backup**: Ubekræftet. Ingen kodedokumentation endnu
- **Classify and report major incidents to customers**: Delvis. Dokumentation: Artefakt
- **ICT incident management process**: Delvis. Dokumentation: Artefakt
- **Cyber-threat information sharing (optional)**: Ubekræftet. Ingen kodedokumentation endnu
- **Support digital operational resilience testing**: Ubekræftet. Ingen kodedokumentation endnu
- **Subcontracting and concentration-risk transparency**: Ubekræftet. Ingen kodedokumentation endnu
- **DORA Art 30 contractual provisions**: Planlagt. Ingen kodedokumentation endnu

#### Digital Services Act (Niveau A, 7 forpligtelser)

Implementeret: 5, Ubekræftet: 2

- **Let anyone notify allegedly illegal content**: Implementeret. Dokumentation: Artefakt Kendt begrænsning: A failed notification mail is not retried automatically.
- **Report suspected threats to life or safety**: Implementeret. Dokumentation: Artefakt
- **Give a statement of reasons for every restriction**: Implementeret. Dokumentation: Artefakt Kendt begrænsning: A failed notification mail is not retried automatically.
- **Classify the service: hosting service, not an online platform**: Ubekræftet. Ingen kodedokumentation endnu
- **Publish single points of contact for authorities and for users**: Implementeret. Dokumentation: Artefakt
- **State usage restrictions and moderation in the terms**: Implementeret. Dokumentation: Test Kendt begrænsning: The translated terms have no clause-by-clause legal review.
- **Annual transparency report, exempt while a micro or small enterprise**: Ubekræftet. Ingen kodedokumentation endnu

#### Data Act (Niveau A, 6 forpligtelser)

Delvis: 4, Ubekræftet: 2

- **Use open, documented formats for exported data**: Delvis. Ingen kodedokumentation endnu
- **Export customer data in a structured, common, machine-readable format**: Delvis. Dokumentation: Kode
- **Safeguard against unlawful third-country governmental access**: Delvis. Dokumentation: Kode
- **Remove switching and data-egress charges**: Ubekræftet. Ingen kodedokumentation endnu
- **Enable customers to switch or terminate the service**: Ubekræftet. Ingen kodedokumentation endnu
- **Publish where customer data is processed and stored**: Delvis. Dokumentation: Kode

#### European Accessibility Act (Niveau A, 5 forpligtelser)

Delvis: 3, Ubekræftet: 2

- **Design and provide the service to the accessibility requirements**: Delvis. Dokumentation: Gate
- **Document any disproportionate-burden or fundamental-alteration claim**: Ubekræftet. Ingen kodedokumentation endnu
- **Meet the harmonised standard once it is cited, for presumption of conformity**: Delvis. Dokumentation: Gate
- **Publish an accessibility statement (how the service meets the requirements)**: Delvis. Dokumentation: Kode
- **Determine EAA scope and the microenterprise service-provider exemption**: Ubekræftet. Ingen kodedokumentation endnu

#### EU Artificial Intelligence Act (Niveau A, 16 forpligtelser)

Implementeret: 1, Delvis: 5, Ubekræftet: 10

- **Ensure accuracy, robustness and cybersecurity (Art 15)**: Delvis. Ingen kodedokumentation endnu
- **Data and data governance for high-risk (Art 10)**: Ubekræftet. Ingen kodedokumentation endnu
- **Promote a sufficient level of AI literacy in staff operating the AI system**: Implementeret. Dokumentation: Artefakt
- **Deployer obligations for high-risk use (Art 26)**: Ubekræftet. Ingen kodedokumentation endnu
- **Consume upstream GPAI provider documentation**: Ubekræftet. Ingen kodedokumentation endnu
- **Design for human oversight (Art 14)**: Ubekræftet. Ingen kodedokumentation endnu
- **Fundamental-rights impact assessment (Art 27)**: Ubekræftet. Ingen kodedokumentation endnu
- **Registration and post-market monitoring (Art 49, 72)**: Ubekræftet. Ingen kodedokumentation endnu
- **Never implement prohibited AI practices**: Delvis. Ingen kodedokumentation endnu
- **Provide instructions and information to deployers (Art 13)**: Ubekræftet. Ingen kodedokumentation endnu
- **Automatic record-keeping / logging (Art 12)**: Delvis. Dokumentation: Kode
- **Classify the system's risk tier and record it**: Ubekræftet. Ingen kodedokumentation endnu
- **Mark AI-generated content (Art 50)**: Delvis. Dokumentation: Test
- **Disclose AI interaction to users (Art 50)**: Delvis. Dokumentation: Kode
- **Support the right to explanation (Art 86)**: Ubekræftet. Ingen kodedokumentation endnu
- **Determine and manage our AI-value-chain role**: Ubekræftet. Ingen kodedokumentation endnu

#### Data Protection Regulation for EU Institutions (Niveau A, 5 forpligtelser)

Implementeret: 1, Delvis: 3, Ubekræftet: 1

- **Support data-subject access and erasure**: Implementeret. Dokumentation: Test
- **Maintain records of processing activities**: Delvis. Ingen kodedokumentation endnu
- **Support EU-institution customers as an EUDPR processor**: Ubekræftet. Ingen kodedokumentation endnu
- **Apply appropriate security of processing**: Delvis. Dokumentation: Kode
- **Restrict international transfers to lawful bases**: Delvis. Dokumentation: Kode

#### EU Employee-Monitoring and Works-Council Requirements (Niveau A, 6 forpligtelser)

Implementeret: 3, Delvis: 2, Ubekræftet: 1

- **Give the controller the technical facts it needs for its DPIA and works-council process**: Implementeret. Dokumentation: Artefakt
- **Design org-wide connection as a deliberate, acknowledged administrator action**: Ubekræftet. Ingen kodedokumentation endnu
- **Offer minimization levers the controller can invoke to keep its assessment defensible**: Delvis. Dokumentation: Artefakt
- **Allocate employment-law compliance to the controller in the DPA and name the instruments**: Implementeret. Dokumentation: Artefakt
- **Process connected employee data only on documented controller instruction**: Implementeret. Dokumentation: Artefakt
- **Provide in-product transparency surfaces and an admin compliance kill-switch**: Delvis. Dokumentation: Test

#### General Data Protection Regulation (Niveau A, 32 forpligtelser)

Implementeret: 10, Delvis: 16, Ubekræftet: 4, Planlagt: 2

- **Demonstrate controller accountability**: Delvis. Ingen kodedokumentation endnu
- **Data protection by design and by default**: Delvis. Ingen kodedokumentation endnu
- **Run a DPIA for high-risk processing**: Ubekræftet. Ingen kodedokumentation endnu
- **Assess and document whether a Data Protection Officer must be designated**: Delvis. Ingen kodedokumentation endnu
- **Synthetic or anonymised data outside production**: Implementeret. Dokumentation: Artefakt Kendt begrænsning: The check reads the repository, not a running database.
- **Maintain records of processing activities (ROPA)**: Implementeret. Dokumentation: Artefakt
- **Constrain solely-automated decisions**: Ubekræftet. Ingen kodedokumentation endnu
- **Communicate erasure and rectification to every recipient**: Delvis. Ingen kodedokumentation endnu
- **Suspend erasure under a legal hold, fail-closed**: Planlagt. Ingen kodedokumentation endnu
- **Fulfil right of access (export of a data subject's data)**: Implementeret. Dokumentation: Test
- **Fulfil right to erasure across all stores**: Delvis. Dokumentation: Test
- **Honour objection to processing**: Delvis. Dokumentation: Test
- **Fulfil right to data portability**: Implementeret. Dokumentation: Test
- **Fulfil right to rectification**: Delvis. Dokumentation: Test
- **Fulfil right to restriction of processing**: Delvis. Dokumentation: Test
- **Document whether the service is offered to children and gate consent accordingly**: Delvis. Ingen kodedokumentation endnu
- **Capture and allow withdrawal of consent**: Implementeret. Dokumentation: Artefakt
- **Record a lawful basis per processing purpose**: Ubekræftet. Ingen kodedokumentation endnu
- **Bind processors and subprocessors**: Delvis. Dokumentation: Kode
- **Return or delete all personal data on contract termination**: Planlagt. Ingen kodedokumentation endnu
- **Enforce storage limitation and retention**: Delvis. Dokumentation: Kode
- **Detect and notify personal data breaches**: Delvis. Dokumentation: Artefakt
- **Continuously assure access-control enforcement**: Delvis. Dokumentation: Test
- **Scope ingestion credentials to least privilege**: Implementeret. Dokumentation: Vurderet
- **Enforce document permissions at query time**: Implementeret. Dokumentation: Test
- **Resolve group access at query time**: Implementeret. Dokumentation: Test
- **Apply appropriate technical + organisational security**: Implementeret. Dokumentation: Artefakt Kendt begrænsning: A database timing side channel is an accepted residual risk, with compensating controls.
- **Enforce tenant isolation as a security measure**: Implementeret. Dokumentation: Vurderet
- **Attribute customer-directed transfers (webhook destinations) correctly**: Delvis. Dokumentation: Artefakt
- **Keep personal data in the EU / lawful-transfer only**: Delvis. Dokumentation: Kode
- **State the AI processing of personal data in the privacy notice**: Ubekræftet. Ingen kodedokumentation endnu
- **Serve a transparent privacy notice**: Delvis. Dokumentation: Kode

#### Network and Information Security Directive 2 (Niveau A, 12 forpligtelser)

Implementeret: 1, Delvis: 6, Ubekræftet: 5

- **Management accountability for cybersecurity**: Ubekræftet. Ingen kodedokumentation endnu
- **Report significant incidents on the NIS2 clock**: Delvis. Dokumentation: Artefakt
- **Register as an entity where required**: Ubekræftet. Ingen kodedokumentation endnu
- **Access control, MFA, and asset management**: Delvis. Dokumentation: Kode
- **Business continuity, backup, and crisis management**: Ubekræftet. Ingen kodedokumentation endnu
- **Cryptography and encryption**: Delvis. Ingen kodedokumentation endnu
- **Cyber hygiene and training**: Ubekræftet. Ingen kodedokumentation endnu
- **Incident handling**: Delvis. Dokumentation: Artefakt
- **Assess effectiveness of security measures**: Delvis. Dokumentation: Vurderet
- **Risk analysis and information-security policy**: Ubekræftet. Ingen kodedokumentation endnu
- **Secure development and vulnerability handling**: Implementeret. Dokumentation: Artefakt
- **Supply-chain security**: Delvis. Dokumentation: Kode

#### NIS2 Technical and Methodological Measures (Implementing Regulation) (Niveau A, 5 forpligtelser)

Delvis: 1, Ubekræftet: 4

- **Apply the cloud/managed-service availability + integrity thresholds**: Ubekræftet. Ingen kodedokumentation endnu
- **Aggregate recurring minor incidents into one significant incident**: Ubekræftet. Ingen kodedokumentation endnu
- **Classify incidents against the significant-incident criteria (starts the Art 23 clock)**: Ubekræftet. Ingen kodedokumentation endnu
- **Count user impact per the prescribed method**: Ubekræftet. Ingen kodedokumentation endnu
- **Apply the Annex technical and methodological measures, proportionately and documented**: Delvis. Dokumentation: Artefakt

#### Product Liability Directive (revised) (Niveau A, 6 forpligtelser)

Delvis: 4, Ubekræftet: 2

- **Safeguard user data against corruption and loss**: Delvis. Dokumentation: Kode
- **Preserve records so relevant evidence can be disclosed**: Delvis. Dokumentation: Artefakt
- **Track substantial modifications and manufacturer-role changes**: Ubekræftet. Ingen kodedokumentation endnu
- **Meet safety-relevant cybersecurity requirements to avoid presumed defectiveness**: Delvis. Dokumentation: Artefakt
- **Determine PLD scope for the software product and related services**: Ubekræftet. Ingen kodedokumentation endnu
- **Supply the security updates needed to maintain safety**: Delvis. Dokumentation: Kode

#### Unfair Commercial Practices Directive (Niveau A, 6 forpligtelser)

Implementeret: 4, Delvis: 2

- **Market without creating confusion with a competitor's products or marks**: Implementeret. Dokumentation: Test
- **Publish none of the per-se unfair practices**: Implementeret. Dokumentation: Artefakt
- **Publish no false or deceptive statement about the product, the price or the trader**: Delvis. Dokumentation: Test
- **State the material information at the invitation to purchase**: Delvis. Dokumentation: Kode
- **Treat every published marketing sentence as a B2C commercial practice**: Implementeret. Dokumentation: Gate
- **Hold the evidence for every factual marketing claim, ready on demand**: Implementeret. Dokumentation: Gate

#### Voluntary Sustainability Reporting Standard for SMEs (VSME) (Niveau A, 30 forpligtelser)

Implementeret: 1, Ubekræftet: 29

- **B3: report total energy consumption**: Ubekræftet. Ingen kodedokumentation endnu
- **B3: report estimated gross scope 1 and scope 2 greenhouse gas emissions**: Ubekræftet. Ingen kodedokumentation endnu
- **B4: report pollution of air, water and soil**: Ubekræftet. Ingen kodedokumentation endnu
- **B5: disclose sites in or near biodiversity-sensitive areas**: Ubekræftet. Ingen kodedokumentation endnu
- **B6: report water withdrawal and, where relevant, consumption**: Ubekræftet. Ingen kodedokumentation endnu
- **B7: report circular economy practice and waste**: Ubekræftet. Ingen kodedokumentation endnu
- **B1: state the basis for preparation**: Ubekræftet. Ingen kodedokumentation endnu
- **B1: describe sustainability certifications and labels held**: Ubekræftet. Ingen kodedokumentation endnu
- **B1: report the undertaking's identifying and size data**: Ubekræftet. Ingen kodedokumentation endnu
- **B2: state sustainability practices, policies and future initiatives**: Ubekræftet. Ingen kodedokumentation endnu
- **B11: report anti-corruption and anti-bribery convictions and fines**: Ubekræftet. Ingen kodedokumentation endnu
- **B10: report pay floor, collective bargaining and training**: Ubekræftet. Ingen kodedokumentation endnu
- **B8: report workforce characteristics**: Ubekræftet. Ingen kodedokumentation endnu
- **B9: report work-related accidents**: Ubekræftet. Ingen kodedokumentation endnu
- **Comprehensive module: consider scope 3 emissions alongside B3**: Ubekræftet. Ingen kodedokumentation endnu
- **C3: report greenhouse gas reduction targets and any transition plan**: Ubekræftet. Ingen kodedokumentation endnu
- **C4: report climate-related hazards and transition risks**: Ubekræftet. Ingen kodedokumentation endnu
- **C1: describe the business model and strategy**: Ubekræftet. Ingen kodedokumentation endnu
- **C2: describe the B2 practices, policies and initiatives in more detail**: Ubekræftet. Ingen kodedokumentation endnu
- **C8: report revenues from sensitive sectors**: Ubekræftet. Ingen kodedokumentation endnu
- **C9: report the gender diversity ratio of the governance body**: Ubekræftet. Ingen kodedokumentation endnu
- **C5: report employee turnover and optional workforce detail**: Ubekræftet. Ingen kodedokumentation endnu
- **C6: report human rights policies and the complaints mechanism**: Ubekræftet. Ingen kodedokumentation endnu
- **C7: report confirmed human rights incidents**: Ubekræftet. Ingen kodedokumentation endnu
- **Keep what a sustainability report says apart from what marketing may claim**: Implementeret. Dokumentation: Gate
- **Prepare a report that is relevant, comparable and consistent with the financial statements**: Ubekræftet. Ingen kodedokumentation endnu
- **Use the standard only as a voluntary, modular framework**: Ubekræftet. Ingen kodedokumentation endnu
- **Track the dates the regulation and its cap apply from**: Ubekræftet. Ingen kodedokumentation endnu
- **Treat Recommendation (EU) 2025/1710 as no longer in effect**: Ubekræftet. Ingen kodedokumentation endnu
- **Answer reporting customers within the value chain cap**: Ubekræftet. Ingen kodedokumentation endnu

#### Electronic Identification and Trust Services Regulation (Niveau A, 4 forpligtelser)

Delvis: 3, Planlagt: 1

- **Say which checkpoints carry a stamp, and claim nothing more**: Delvis. Dokumentation: Test
- **Anchor audit-chain checkpoints with a qualified electronic time stamp**: Delvis. Dokumentation: Test
- **Verify the stamp's binding to the data before relying on it**: Delvis. Dokumentation: Test
- **Take stamps only from a provider on an EU trusted list**: Planlagt. Ingen kodedokumentation endnu

#### ePrivacy Directive (Niveau A, 6 forpligtelser)

Implementeret: 2, Delvis: 2, Ubekræftet: 2

- **Confidentiality of communications and usage**: Delvis. Dokumentation: Kode
- **Consent before non-essential storage or access on the user's device**: Implementeret. Dokumentation: Artefakt
- **Erase or anonymise traffic data when no longer needed**: Ubekræftet. Ingen kodedokumentation endnu
- **Opt-in for unsolicited electronic marketing**: Implementeret. Dokumentation: Artefakt
- **Apply GDPR where ePrivacy is silent**: Ubekræftet. Ingen kodedokumentation endnu
- **Security of the service**: Delvis. Dokumentation: Artefakt

#### EN 301 549 Accessibility Requirements for ICT (Niveau B, 1 forpligtelser)

Delvis: 1

Forankret via det offentlige wcag-2-2‑krydsreferencemærke; den proprietære standards tekst gemmes aldrig.

- **Meet the clause 9 web requirements of the version we engineer to**: Delvis. Dokumentation: Gate

### International (10 rammeværker)

#### OWASP Application Security Verification Standard (Niveau A, 10 forpligtelser)

Implementeret: 4, Delvis: 5, Ubekræftet: 1

- **Rate limiting and anti-automation controls**: Implementeret. Dokumentation: Test
- **Protect authentication against brute force and offer MFA**: Ubekræftet. Ingen kodedokumentation endnu
- **Enforce function- and data-level authorization at a trusted layer**: Implementeret. Dokumentation: Vurderet
- **Classify sensitive data and bound its retention**: Delvis. Dokumentation: Kode
- **Validate uploaded files by type, extension, and size**: Implementeret. Dokumentation: Test
- **Prevent injection via parameterized queries and safe OS calls**: Delvis. Ingen kodedokumentation endnu
- **Protect against Server-Side Request Forgery**: Implementeret. Dokumentation: Test
- **Structured security logging with correlation and no sensitive data**: Delvis. Dokumentation: Kode
- **Context-aware output encoding and sanitization of rendered content**: Delvis. Ingen kodedokumentation endnu
- **Manage third-party components with remediation timeframes and an SBOM**: Delvis. Dokumentation: Gate

#### OWASP Top 10 for Large Language Model Applications (Niveau A, 10 forpligtelser)

Implementeret: 3, Delvis: 7

- **Constrain agent functionality, permissions, and autonomy**: Delvis. Dokumentation: Kode
- **Protect training/RAG data integrity against poisoning**: Delvis. Dokumentation: Gate
- **Prevent unauthorized retrieval of sensitive data from the knowledge base**: Implementeret. Dokumentation: Test
- **Partition the vector store per tenant with permission-aware retrieval**: Implementeret. Dokumentation: Test
- **Ground answers and surface source citations to counter hallucination**: Delvis. Dokumentation: Kode
- **Mitigate direct and indirect prompt injection**: Delvis. Dokumentation: Gate
- **Handle model output as untrusted before downstream use**: Delvis. Dokumentation: Kode
- **Keep secrets and authorization out of the system prompt**: Delvis. Dokumentation: Test
- **Bound inference consumption with rate limits and quotas**: Implementeret. Dokumentation: Test Kendt begrænsning: Three AI-specific threat classes are ranked low and are not addressed.
- **Secure the model and dependency supply chain**: Delvis. Dokumentation: Gate

#### OWASP Top 10 (Niveau A, 10 forpligtelser)

Implementeret: 3, Delvis: 7

- **Prevent broken access control**: Implementeret. Dokumentation: Vurderet
- **Harden identification and authentication**: Delvis. Dokumentation: Kode
- **Avoid security misconfiguration**: Delvis. Dokumentation: Kode
- **Protect data with sound cryptography**: Delvis. Ingen kodedokumentation endnu
- **Prevent injection**: Delvis. Ingen kodedokumentation endnu
- **Protect software and data integrity**: Delvis. Dokumentation: Kode
- **Ensure security logging and monitoring**: Delvis. Dokumentation: Artefakt
- **Address insecure design**: Delvis. Ingen kodedokumentation endnu
- **Prevent Server-Side Request Forgery**: Implementeret. Dokumentation: Test
- **Manage vulnerable and outdated components**: Implementeret. Dokumentation: Gate

#### Web Content Accessibility Guidelines 2.2 (Niveau A, 2 forpligtelser)

Delvis: 1, Ubekræftet: 1

- **Enforce an automated WCAG 2.2 AA scan over key surfaces in CI**: Delvis. Dokumentation: Gate
- **Audit key user journeys with assistive technology**: Ubekræftet. Ingen kodedokumentation endnu

#### CIS Critical Security Controls (Niveau B, 33 forpligtelser)

Implementeret: 13, Delvis: 16, Planlagt: 4

Forankret via det offentlige nist-800-53‑krydsreferencemærke; den proprietære standards tekst gemmes aldrig.

- **Defined process for granting and revoking access**: Delvis. Dokumentation: Test
- **Account inventory, dormancy sweep and separated administrative accounts**: Delvis. Dokumentation: Gate
- **Multi-factor authentication on exposed and administrative access**: Delvis. Dokumentation: Test
- **Role-based access control that is defined, not implied**: Delvis. Ingen kodedokumentation endnu
- **Application security testing on every change**: Delvis. Dokumentation: Gate
- **A secure development process with root-cause analysis and secure design defaults**: Implementeret. Dokumentation: Artefakt
- **Vetted components for security functions rather than hand-rolled ones**: Implementeret. Dokumentation: Test
- **Audit logs collected somewhere other than the host that wrote them**: Planlagt. Ingen kodedokumentation endnu
- **Stated logging requirements, a retention window, and review of what is logged**: Delvis. Dokumentation: Gate
- **Audit logging of access to sensitive data**: Delvis. Dokumentation: Test
- **Data classification and documented data flows**: Delvis. Dokumentation: Artefakt
- **A data-management process and an inventory of the sensitive data held**: Implementeret. Dokumentation: Artefakt
- **Enforced retention and disposal**: Implementeret. Dokumentation: Test Kendt begrænsning: A cached copy of derived data can briefly outlive a deleted document.
- **Encryption of data at rest**: Delvis. Dokumentation: Test
- **Encryption of data in transit**: Delvis. Dokumentation: Test
- **Encryption of data at rest on end-user devices**: Implementeret. Dokumentation: Test
- **Access control lists scoped to the data owner**: Implementeret. Dokumentation: Vurderet
- **Automated backups with recovery actually tested**: Planlagt. Ingen kodedokumentation endnu
- **Authenticated sending domain for outbound mail**: Planlagt. Ingen kodedokumentation endnu
- **Routine exercises of the incident-response process**: Implementeret. Dokumentation: Artefakt
- **An incident-response process with a named owner, a reporting route and a review step**: Delvis. Dokumentation: Artefakt
- **Malware defences over the content the product ingests**: Implementeret. Dokumentation: Test
- **A penetration-testing programme, including as an authenticated user**: Planlagt. Ingen kodedokumentation endnu
- **Separated production, staging and development environments**: Delvis. Dokumentation: Test
- **Standard hardening templates for the application infrastructure**: Delvis. Ingen kodedokumentation endnu
- **Assessment of service providers against their classification**: Implementeret. Dokumentation: Artefakt
- **Decommissioning a service provider**: Implementeret. Dokumentation: Gate
- **Risk classification of service providers**: Implementeret. Dokumentation: Artefakt
- **Security requirements in service provider arrangements**: Delvis. Dokumentation: Gate
- **Inventory of third-party components and service providers**: Delvis. Dokumentation: Gate
- **Vulnerability management process for the software we ship**: Implementeret. Dokumentation: Artefakt
- **Patching and vulnerability scanning of the hosts we will run**: Delvis. Ingen kodedokumentation endnu
- **A published intake channel for vulnerability reports, and a severity scale behind it**: Implementeret. Dokumentation: Artefakt

#### ISO 15489 Records Management (Niveau B, 6 forpligtelser)

Implementeret: 6

Forankret via det offentlige nist-800-53‑krydsreferencemærke; den proprietære standards tekst gemmes aldrig.

- **Audit records cannot be silently altered once captured**: Implementeret. Dokumentation: Test
- **Every auditable event is captured with typed, enumerated metadata**: Implementeret. Dokumentation: Test
- **Records stay retrievable to authorised reviewers throughout retention**: Implementeret. Dokumentation: Test
- **Audit logs are purged on a fixed, floored schedule**: Implementeret. Dokumentation: Test
- **Every destructive action leaves a reason-coded, honest receipt**: Implementeret. Dokumentation: Test
- **Raw telemetry is frozen to a long-lived ledger before it is purged**: Implementeret. Dokumentation: Test

#### ISO/IEC 25012 Data Quality Model (Niveau B, 6 forpligtelser)

Implementeret: 5, Delvis: 1

Forankret via det offentlige gdpr‑krydsreferencemærke; den proprietære standards tekst gemmes aldrig.

- **Data accuracy: extracted content faithfully represents the source**: Implementeret. Dokumentation: Test
- **Data completeness: every ingested document is searchable or visibly failed**: Implementeret. Dokumentation: Test
- **Data consistency: derived stores agree with the document they describe**: Implementeret. Dokumentation: Test
- **Data currentness: the index tracks the source over time**: Implementeret. Dokumentation: Test Kendt begrænsning: No measured target yet for how old the search index may be.
- **Data confidentiality: content is reachable only by authorised principals**: Delvis. Dokumentation: Kode
- **Data traceability: retrieved content is attributable to its source**: Implementeret. Dokumentation: Test

#### ISO/IEC 27001 Information Security Management Systems (Niveau B, 16 forpligtelser)

Implementeret: 5, Delvis: 9, Ubekræftet: 2

Forankret via det offentlige nist-800-53‑krydsreferencemærke; den proprietære standards tekst gemmes aldrig.

- **Access control on a need-to-use basis**: Implementeret. Dokumentation: Vurderet
- **ICT readiness for business continuity**: Ubekræftet. Ingen kodedokumentation endnu
- **Security for the use of cloud services**: Ubekræftet. Ingen kodedokumentation endnu
- **Provision and revoke access rights over the lifecycle**: Delvis. Dokumentation: Artefakt
- **Information security incident management**: Delvis. Dokumentation: Artefakt
- **Security requirements inside supplier agreements**: Implementeret. Dokumentation: Gate
- **Security in supplier and subprocessor relationships**: Delvis. Dokumentation: Artefakt
- **Encrypt data in transit and at rest under managed key policy**: Delvis. Ingen kodedokumentation endnu
- **Prevent leakage of information**: Delvis. Dokumentation: Artefakt
- **Restrict access to information within applications**: Implementeret. Dokumentation: Vurderet
- **Security-relevant event logging**: Delvis. Dokumentation: Kode
- **Monitoring for anomalous behaviour**: Delvis. Dokumentation: Kode
- **Secure authentication including MFA**: Delvis. Dokumentation: Artefakt
- **Secure coding and application security testing**: Implementeret. Dokumentation: Gate
- **Secure development lifecycle**: Delvis. Dokumentation: Kode
- **Track and remediate technical vulnerabilities on a defined cadence**: Implementeret. Dokumentation: Artefakt

#### ISO/IEC 27701 Privacy Information Management (Niveau B, 10 forpligtelser)

Implementeret: 1, Delvis: 3, Ubekræftet: 5, Planlagt: 1

Forankret via det offentlige nist-800-53‑krydsreferencemærke; den proprietære standards tekst gemmes aldrig.

- **Obtain and allow withdrawal of consent**: Ubekræftet. Ingen kodedokumentation endnu
- **Fulfil PII principals' access, correction, and erasure rights**: Implementeret. Dokumentation: Test
- **Record and control transfers of PII**: Ubekræftet. Ingen kodedokumentation endnu
- **Privacy by design and by default**: Delvis. Dokumentation: Kode
- **Identify purposes and lawful basis for processing PII**: Ubekræftet. Ingen kodedokumentation endnu
- **Limit retention and dispose of PII**: Delvis. Dokumentation: Kode
- **Provide transparency information to PII principals**: Ubekræftet. Ingen kodedokumentation endnu
- **Notify controllers of privacy incidents**: Delvis. Dokumentation: Artefakt
- **Maintain records of PII processing**: Ubekræftet. Ingen kodedokumentation endnu
- **Process customer PII only on documented instructions**: Planlagt. Ingen kodedokumentation endnu

#### ISO/IEC 42001 AI Management System (Niveau B, 10 forpligtelser)

Delvis: 6, Ubekræftet: 4

Forankret via det offentlige eu-ai-act‑krydsreferencemærke; den proprietære standards tekst gemmes aldrig.

- **Manage the AI system life cycle responsibly**: Ubekræftet. Ingen kodedokumentation endnu
- **Keep records and logs of AI operation**: Delvis. Dokumentation: Kode
- **Ensure AI robustness, accuracy, and security**: Delvis. Dokumentation: Kode
- **Govern data used by AI systems**: Delvis. Dokumentation: Kode
- **Provide information about AI systems to interested parties**: Delvis. Dokumentation: Kode
- **Assess impacts of AI systems on individuals and society**: Ubekræftet. Ingen kodedokumentation endnu
- **Establish an AI management policy**: Delvis. Ingen kodedokumentation endnu
- **Assign AI roles, responsibilities, and accountability**: Delvis. Ingen kodedokumentation endnu
- **Ensure human oversight of AI use**: Ubekræftet. Ingen kodedokumentation endnu
- **Manage third-party and model-provider relationships**: Ubekræftet. Ingen kodedokumentation endnu

### USA (6 rammeværker)

#### NIST Generative AI Profile (AI 600-1) (Niveau A, 5 forpligtelser)

Implementeret: 2, Delvis: 3

- **Prevent tenant data and system-prompt leakage through generated output**: Delvis. Dokumentation: Test
- **Gate abusive and jailbreak input before generation**: Delvis. Dokumentation: Test
- **Verify generated claims against the retrieved sources they cite**: Implementeret. Dokumentation: Test
- **Mark AI-generated artifacts with machine-readable provenance**: Implementeret. Dokumentation: Test
- **Defend the generation pipeline against direct and indirect prompt injection**: Delvis. Dokumentation: Gate

#### NIST AI Risk Management Framework (Niveau A, 17 forpligtelser)

Delvis: 11, Ubekræftet: 6

- **Document the AI system's capabilities, knowledge limits, and failure modes**: Ubekræftet. Ingen kodedokumentation endnu
- **Document the system's intended purpose, context, and requirements**: Ubekræftet. Ingen kodedokumentation endnu
- **Evaluate fairness and bias in AI output**: Ubekræftet. Ingen kodedokumentation endnu
- **Maintain an inventory of AI systems and models in use**: Delvis. Ingen kodedokumentation endnu
- **Establish a documented AI risk-management process with periodic review**: Ubekræftet. Ingen kodedokumentation endnu
- **Encode the trustworthy-AI characteristics into engineering policy**: Delvis. Ingen kodedokumentation endnu
- **Understand and document the AI legal and regulatory requirements we are subject to**: Delvis. Dokumentation: Kode
- **Define and document human oversight of AI output**: Delvis. Dokumentation: Kode
- **Provide feedback channels and communicate AI incidents**: Ubekræftet. Ingen kodedokumentation endnu
- **Measure AI performance with defined test sets and metrics**: Delvis. Dokumentation: Kode
- **Monitor the AI system after deployment**: Delvis. Dokumentation: Kode
- **Examine the AI system's privacy risk**: Delvis. Dokumentation: Kode
- **Assign roles, accountability, and training for AI risk**: Delvis. Ingen kodedokumentation endnu
- **Evaluate AI system security and resilience**: Ubekræftet. Ingen kodedokumentation endnu
- **Handle failures and incidents in third-party AI dependencies**: Delvis. Dokumentation: Artefakt
- **Manage third-party and pre-trained model risk**: Delvis. Dokumentation: Kode
- **Make AI output explainable and traceable to its sources**: Delvis. Dokumentation: Kode

#### NIST Cybersecurity Framework 2.0 (Niveau A, 6 forpligtelser)

Delvis: 5, Ubekræftet: 1

- **Detect: monitor for and analyze adverse events**: Delvis. Dokumentation: Artefakt
- **Govern: understand obligations and manage cybersecurity + supply-chain risk**: Delvis. Dokumentation: Artefakt
- **Identify: inventory assets and identify vulnerabilities**: Delvis. Dokumentation: Kode
- **Protect: identity, access control, and data security**: Delvis. Dokumentation: Kode
- **Recover: restore services after an incident**: Ubekræftet. Ingen kodedokumentation endnu
- **Respond: execute incident response and root-cause analysis**: Delvis. Dokumentation: Artefakt

#### NIST SP 800-160 Vol. 1 Rev. 1 Engineering Trustworthy Secure Systems (Niveau A, 30 forpligtelser)

Implementeret: 3, Delvis: 19, Ubekræftet: 6, Planlagt: 2

Forankret via det offentlige nist-800-53‑krydsreferencemærke; den proprietære standards tekst gemmes aldrig.

- **Apply engineering rigor in proportion to the worst consequence**: Delvis. Dokumentation: Gate
- **Base every trustworthiness judgment on evidence**: Implementeret. Dokumentation: Gate Kendt begrænsning: Most evidence shows a control is written, not that it runs.
- **Detect departures from design intent early enough to respond**: Delvis. Dokumentation: Gate
- **Match the force and speed of a response to the loss scenario**: Delvis. Dokumentation: Artefakt
- **Give each element the functions it needs and no more**: Delvis. Dokumentation: Test
- **Keep resources available only while they are needed**: Implementeret. Dokumentation: Test Kendt begrænsning: Copies held by providers follow their terms, not our erasure ledger.
- **Depend on as few trusted elements as practicable**: Delvis. Dokumentation: Gate
- **Reveal as little about the system as practicable**: Delvis. Dokumentation: Kode
- **Keep the design as simple as practicable**: Delvis. Dokumentation: Gate
- **Require more than one party for the most consequential operations**: Ubekræftet. Ingen kodedokumentation endnu
- **Separate domains with different protection needs**: Implementeret. Dokumentation: Vurderet Kendt begrænsning: Tenants share one database cluster; separation is logical.
- **Protect an element only from less trustworthy elements**: Ubekræftet. Ingen kodedokumentation endnu
- **Allocate each element only the privileges its functions need**: Delvis. Dokumentation: Gate
- **Share resources among as few elements as necessary**: Delvis. Dokumentation: Test
- **Mediate every access to and operation on an element**: Delvis. Dokumentation: Gate
- **Route control functions through a reference monitor**: Delvis. Dokumentation: Vurderet
- **Scale protection to the worst failure of the element protected**: Delvis. Dokumentation: Test
- **Trust an element only as far as its failure could cost**: Delvis. Dokumentation: Artefakt
- **Keep protection unbroken for as long as it is needed**: Delvis. Dokumentation: Test
- **Layer independent mechanisms so one failure is not the loss**: Delvis. Dokumentation: Test
- **Operate well clear of the threshold where loss begins**: Delvis. Dokumentation: Kode
- **Ship the most protective configuration as the default**: Delvis. Dokumentation: Test
- **Fail into a safe state**: Delvis. Dokumentation: Test
- **Recover without causing or leading to loss**: Planlagt. Ingen kodedokumentation endnu
- **Replicate critical functions where loss would be severe**: Planlagt. Ingen kodedokumentation endnu
- **Keep the abstractions that describe the system simple and exact**: Delvis. Dokumentation: Kode
- **Establish trustworthiness of each composition of elements**: Ubekræftet. Ingen kodedokumentation endnu
- **Deliver critical capability through varied structure where it pays**: Ubekræftet. Ingen kodedokumentation endnu
- **Make an element trustworthy with minimal dependence on others**: Ubekræftet. Ingen kodedokumentation endnu
- **Manage complexity by decomposing and composing in a structured way**: Ubekræftet. Ingen kodedokumentation endnu

#### NIST SP 800-218 Secure Software Development Framework (Niveau A, 9 forpligtelser)

Implementeret: 5, Delvis: 3, Ubekræftet: 1

- **Deploy and operate a secure development toolchain**: Delvis. Dokumentation: Kode
- **Acquire and verify well-secured third-party components**: Implementeret. Dokumentation: Gate
- **Review and analyze code against secure coding standards**: Implementeret. Dokumentation: Gate
- **Test executable code and triage findings**: Implementeret. Dokumentation: Gate
- **Ship secure-by-default settings**: Delvis. Dokumentation: Kode
- **Protect stored code from unauthorized access and tampering**: Delvis. Dokumentation: Kode
- **Archive releases with integrity and provenance data**: Ubekræftet. Ingen kodedokumentation endnu
- **Maintain a vulnerability disclosure and remediation policy**: Implementeret. Dokumentation: Artefakt
- **Identify vulnerabilities in code and third-party components on an ongoing basis**: Implementeret. Dokumentation: Artefakt

#### SOC 2 Trust Services Criteria (Niveau B, 11 forpligtelser)

Implementeret: 2, Delvis: 8, Ubekræftet: 1

Forankret via det offentlige nist-800-53‑krydsreferencemærke; den proprietære standards tekst gemmes aldrig.

- **Maintain availability through backup and recovery**: Ubekræftet. Ingen kodedokumentation endnu
- **Monitor the system for anomalies and security events**: Delvis. Dokumentation: Kode
- **Protect system boundaries against external threats**: Delvis. Dokumentation: Kode
- **Authorize, test, and control changes**: Delvis. Dokumentation: Artefakt
- **Respond to and recover from security incidents**: Delvis. Dokumentation: Artefakt
- **Logical access is restricted to authorized identities**: Implementeret. Dokumentation: Vurderet
- **The system, its boundary and its data flows are described from the code**: Delvis. Dokumentation: Artefakt
- **Encrypt data in transmission**: Delvis. Ingen kodedokumentation endnu
- **Manage vendor and subprocessor risk**: Delvis. Dokumentation: Kode
- **Detect and remediate vulnerabilities and misconfiguration**: Implementeret. Dokumentation: Artefakt
- **Protect confidential information over its lifecycle**: Delvis. Dokumentation: Artefakt

### Tyskland (1 rammeværk)

#### BSI Cloud Computing Compliance Criteria Catalogue (Niveau B, 6 forpligtelser)

Implementeret: 5, Delvis: 1

Forankret via det offentlige nist-800-53‑krydsreferencemærke; den proprietære standards tekst gemmes aldrig.

- **Encrypt customer data in transit and at rest**: Delvis. Dokumentation: Test
- **Isolate tenants with database-enforced logical access control**: Implementeret. Dokumentation: Vurderet
- **Operate a reachable security-incident intake channel**: Implementeret. Dokumentation: Artefakt
- **Record security-relevant events in a tamper-protected audit trail**: Implementeret. Dokumentation: Test
- **Detect and remediate known vulnerabilities in dependencies**: Implementeret. Dokumentation: Artefakt
- **Disclose subservice providers with per-entity transfer basis and enforce the register in CI**: Implementeret. Dokumentation: Gate

### Danmark (1 rammeværk)

#### Danish Bookkeeping Act (Bogføringsloven) (Niveau A, 2 forpligtelser)

Implementeret: 2

- **Store accounting records so they cannot be altered or lost within the retention period**: Implementeret. Dokumentation: Test
- **Retain accounting records for at least five years after the financial year ends**: Implementeret. Dokumentation: Test

Sammenhænge mellem regelsæt går gennem en krydsreference med 32 knudepunkter, så en kontrol, der er bevist én gang, tæller for alle standarder, der deler den.

## Det, EU‑løftet ikke dækker

Alt nedenfor ligger uden for EU‑løftet i dag eller har leverandører under sig, der gør. Hver række viser, hvad det er, hvor det sendes hen, og hvad det gemmer.

### Mistral AI SAS

- **Hvad det er**: Sprogmodelgenerering (svar i chat, planlægning, værktøjsbrug, læsning af billeder, inputmoderation) og tekst-embeddings til søgning. Den eneste managed inference-udbyder; der er ingen fallback uden for EU. Leverandører under den ligger uden for EØS eller oplyser intet land: Microsoft Inc. (land ikke oplyst), Google LLC (land ikke oplyst), CoreWeave Inc. (land ikke oplyst) og Cloudflare Inc. (land ikke oplyst).
- **Hvor det sendes hen**: Frankrig
- **Hvad der gemmes, og hvor længe**: ukendt. Vi har ingen primær kilde.

### Supabase, Inc.

- **Hvad det er**: Primært datalager: Postgres (dokumenter, tekststykker, embeddings, tenants), autentificering og standard-objektlagring. Registreret uden for EØS eller ejet uden for EØS. Leverandører under den ligger uden for EØS eller oplyser intet land: Amazon Web Services, Inc (land ikke oplyst), Cloudflare, Inc (land ikke oplyst), Google, LLC (land ikke oplyst), Fly.io, Inc (land ikke oplyst), Upstash, Inc (land ikke oplyst) og Vercel, Inc (land ikke oplyst).
- **Hvor det sendes hen**: Irland
- **Hvad der gemmes, og hvor længe**: ukendt. Vi har ingen primær kilde.

### Upstash, Inc.

- **Hvad det er**: Redis: rate limiting af API'et, tilbagekaldelse af sessioner, embedding-cache og registrering af umulige rejser. Registreret uden for EØS eller ejet uden for EØS. Regionen er ikke låst til EU. Leverandører under den ligger uden for EØS eller oplyser intet land: Amazon Web Services (USA), Google (USA) og Cloudflare, Inc. (USA).
- **Hvor det sendes hen**: ingen fastlåst region
- **Hvad der gemmes, og hvor længe**: ukendt. Vi har ingen primær kilde.

### Cloudflare, Inc.

- **Hvad det er**: DNS til vores domæne. Registreret uden for EØS eller ejet uden for EØS. Regionen er ikke låst til EU. Hvem der ligger under den, er ikke fastslået for det produkt, vi bruger.
- **Hvor det sendes hen**: ingen fastlåst region
- **Hvad der gemmes, og hvor længe**: ukendt. Vi har ingen primær kilde.

### Functional Software, Inc.

- **Hvad det er**: Overvågning af applikationsfejl og ydeevne. Registreret uden for EØS eller ejet uden for EØS. Regionen er ikke låst til EU. Leverandører under den ligger uden for EØS eller oplyser intet land: Amazon Web Services, Inc. (land ikke oplyst), Cloudflare, Inc. (land ikke oplyst) og Google LLC (land ikke oplyst).
- **Hvor det sendes hen**: Tyskland og USA
- **Hvad der gemmes, og hvor længe**: 90-day rolling event retention (vendor-documented: 90 days on paid plans, 30 on free; mirrored in docs/compliance/data-retention-policy.md); event.user.email attaches for consent-granted users and has no erasure hook, so it outlives an erasure request until the 90-day roll-off. Named residual in the erasure-propagation register; closes at the 0F Bugsink cutover. Kilde læst 22. juli 2026.

### Sendinblue SAS (Brevo)

- **Hvad det er**: Transaktionsmails (notifikationer, kontomails). Leverandører under den ligger uden for EØS eller oplyser intet land: Cloudflare (USA).
- **Hvor det sendes hen**: Frankrig
- **Hvad der gemmes, og hvor længe**: Transactional EVENT logs (recipient, subject, delivery events) are stored indefinitely by default until an account retention rule is set (1 month to 5 years); email BODIES are not stored by default ("Never store previews" is the default). Provisioning checklist sets the 1-3 month rule in the same session as the key. Kilde læst 22. juli 2026.

### Vercel Inc.

- **Hvad det er**: Hosting af applikation og planlagte jobs (tidligere implementeringsmål). Registreret uden for EØS eller ejet uden for EØS. Regionen er ikke låst til EU. Leverandører under den ligger uden for EØS eller oplyser intet land: Amazon Web Services, Inc. (USA), Google LLC (USA), Microsoft Corporation (USA), Upstash, Inc. (USA), Neon (USA) og Redis Labs, Inc. (USA).
- **Hvor det sendes hen**: ingen fastlåst region
- **Hvad der gemmes, og hvor længe**: ukendt. Vi har ingen primær kilde.

### Websøgninger

- **Hvad det er**: Teksten i en søgning, som vores søgetjeneste sender til de søgemaskiner, den spørger.
- **Hvor det sendes hen**: Søgemaskiner uden for vores kontrol.
- **Hvad der gemmes, og hvor længe**: ukendt. Vi har ingen primærkilde.

## Påstande, som registret afviser

*Hvad vi afstår fra at påstå*

Hver markedsføringspåstand, vi kunne fremsætte, er defineret som en logisk betingelse over registret over underdatabehandlere og denne kontroloversigt og evalueres ved hvert commit. Sætningerne i dette afsnit er dem, evalueringen afviser i dag, hver med den kendsgerning, der modbeviser den, så du kan se, hvad vi ikke påstår, og hvorfor.

### Vi påstår ikke: "Nordvec overholder den harmoniserede standard EN 301 549 og anses derfor for at opfylde kravene i European Accessibility Act."

Ville være afgørende efter Directive (EU) 2019/882, Art. 15

**Modbevist i dag af**

- Ingen version af EN 301 549 er offentliggjort i Den Europæiske Unions Tidende under Directive (EU) 2019/882, så ingen giver en formodning om overensstemmelse under det.

### Vi påstår ikke: "Nordvec opfylder alle forpligtelser i EU's AI‑forordning."

Ville være afgørende efter Regulation (EU) 2024/1689

**Modbevist i dag af**

- 15 af 16 udledte EU Artificial Intelligence Act‑forpligtelser er endnu ikke implementeret

### Vi påstår ikke: "Ingen leverandør, der behandler kundeindhold, og intet moderselskab til en sådan, er registreret uden for EØS."

Ville være afgørende efter GDPR Chapter V

**Modbevist i dag af**

- Supabase, Inc., registreret i USA
- Upstash, Inc., registreret i USA
- Cloudflare, Inc., registreret i USA
- Functional Software, Inc., registreret i USA
- Vercel Inc., registreret i USA

**Hvad vi forpligter os til i stedet**

Længere nede i stacken udskifter vi leverandører, hvis moderselskab ligger uden for EØS, og vi går ikke i luften, før ingen af dem længere behandler kundedata. Vores fortegnelse over underdatabehandlere viser præcis, hvem der er på vej ud, hvad der erstatter dem, og hvor langt arbejdet er kommet.

Vurderinger pr. 5. oktober 2026, beregnet af den samme evaluator, der kontrollerer hvert commit.

## Spørg os

Sikkerhedsspørgeskemaer og anmodninger om dokumentation går til én adresse. Send dit spørgeskema dertil, så besvarer vi det på e‑mail.

[trust@nordvec.com](mailto:trust@nordvec.com)

[Databehandleraftale](/da/dpa)

Databehandleraftale, SLA og fakturering [Tal med os](/da/request-access)

Denne side er ikke juridisk rådgivning.