Hvem som behandler dataene deres
Alle underdatabehandlere vi bruker, hva de gjør, og hvilken jurisdiksjon de opererer under. Denne listen er hentet direkte fra kildekoden vår, så den kan ikke stille avvike fra det vi faktisk kjører.
Sist oppdatert: 2026-08-02
Generert automatisk fra vårt register over underdatabehandlere – ikke manuelt vedlikeholdt. En ny leverandør kan ikke legges til uten at det blir oppdaget, og byggeprosessen feiler hvis koden bruker en databehandler som ikke er oppført her.
Våre underdatabehandlere
Disse selskapene behandler personopplysninger på våre vegne. Lagring, generering og vektorrepresentasjoner kjøres i datasentre i EU. Flere av leverandørene nedenfor er etablert utenfor EØS, eller har et morselskap som er det, og hver slik rad er merket: jurisdiksjon angir hvor et selskap kan pålegges rettslig, noe som er en separat problemstilling fra hvor dataene fysisk ligger. Hver rad oppgir hvilket overføringsgrunnlag som gjelder, og hvem leverandøren i sin tur benytter.
Underdatabehandler
Jurisdiksjon
Overføringsgrunnlag
Status
Mistral AI SAS
LLM‑generering: svar i chat, planlegging, agentløkke, visjon og moderering av inndata. Den eneste genereringsleverandøren; det finnes ingen reserveløsning utenfor EU.
Promptene inneholder brukerforespørsler samt utdrag fra hentede dokumenter. Null retensjon og fraskrivelse av trening er kontobaserte innstillinger hos denne leverandøren, ikke per forespørsel, og er derfor registrert her i stedet for å bli påkrevd per kall.
Hvem de igjen engasjerer
- Mistral Compute (FR): Skyinfrastruktur for alle produkter. Deres egen databehandlingsenhet, ikke en ekstern part.
- Microsoft Inc. (land ikke oppgitt av dem): Skyinfrastruktur. Behandling oppgitt som Sverige og Norge.
- Google LLC (land ikke oppgitt av dem): Skyinfrastruktur. Behandling oppgitt som Nederland, Belgia og USA.
- CoreWeave Inc. (land ikke oppgitt av dem): Inferensleverandør. Behandling oppgitt som EØS.
- Cloudflare Inc. (land ikke oppgitt av dem): Sikkerhet og trafikkruting. Behandling oppgitt som verdensomspennende.
Their disclosure lists 24 parties, several scoped to products we do not use. Recorded here are the infrastructure and inference providers whose stated scope covers the API. Their page states processing regions rather than countries of incorporation, so those regions are given in each purpose and jurisdiction is left unstated.
Ifølge deres egen opplysning, kontrollert 2026-07-31
Jurisdiksjon
FR
eu-west (Frankrike)
Overføringsgrunnlag
Kun EU, ingen overføring til tredjeland
Status
AktivJina AI GmbH
Moderselskap: Elastic N.V. (US)
Tekstinnbeddings- og omrangering for gjenfinning.
Avvist for kundedata siden 31. juli 2026: Plattformen starter ikke i produksjon med denne leverandøren konfigurert for innbeddings, så den kan ikke behandle kundeinnhold. Den står fortsatt oppført fordi legitimasjonen fortsatt leses i utviklingsmiljøet, og den forblir standard for utvikling inntil erstatningen i EU er på plass: innbeddings- og omrangeringmodeller vi hoster selv på EU‑maskinvare, eller en administrert API under EU‑jurisdiksjon.
Ikke fastslått ennå. Vi har ikke bekreftet hvilke underdatabehandlere denne leverandøren bruker.
Jurisdiksjon
DE
eu-central (Berlin)
Overføringsgrunnlag
Under vurdering
Underlagt jurisdiksjon utenfor EU
Status
AktivSupabase, Inc.
Primær datalager: Postgres (dokumenter, biter, innbeddings, data‑isolasjon), autentisering og standard objektlagring.
Blir erstattet av vår egen Postgres og objektlagring på EU‑maskinvare. Migrasjonen har ikke startet ennå; inntil den er gjennomført, oppbevarer denne leverandøren dokumentkorpuset.
Hvem de igjen engasjerer
- Amazon Web Services, Inc (land ikke oppgitt av dem): Hosting.
- Cloudflare, Inc (land ikke oppgitt av dem): Hosting.
- Google, LLC (land ikke oppgitt av dem): Hosting.
- Fly.io, Inc (land ikke oppgitt av dem): Hosting.
- Upstash, Inc (land ikke oppgitt av dem): Serverløs databehandling. Også en underdatabehandler for oss i seg selv.
- Vercel, Inc (land ikke oppgitt av dem): Hosting. Også en underdatabehandler for oss i seg selv.
Their list is dated 1 June 2026 and names 19 parties without stating any country, so no jurisdiction is recorded for any of them. Recorded here are the six hosting providers; the remainder are their own support, sales and analytics tooling.
Ifølge deres egen opplysning, kontrollert 2026-07-31
Jurisdiksjon
US
aws eu-west-1 (Irland)
Overføringsgrunnlag
Under vurdering
Underlagt jurisdiksjon utenfor EU
Status
AktivUpstash, Inc.
Redis: API‑begrensning, sesjonsgjenkalling, mellomlagring av vektorer og umulig‑reise‑deteksjon.
Erstattes av en mellomlagring vi selv hoster på EU‑maskinvare. Migrasjonen har ikke startet ennå. Inntil den er på plass, håndterer denne leverandøren rate‑begrensning og mellomlagring.
Hvem de igjen engasjerer
- Amazon Web Services (US): Skyleverandør.
- Google (US): Skyleverandør.
- Cloudflare, Inc. (US): Skytjenester.
- Humio (CrowdStrike Falcon LogScale) (DK): Logging.
Their document states an address per party, used here as the jurisdiction. Several entries are scoped to products of theirs we do not use; those are excluded. Recorded here are the providers that could sit under the Redis service we consume.
Ifølge deres egen opplysning, kontrollert 2026-07-31
Jurisdiksjon
US
Region er ikke låst i koden, og leverandørens distribusjonsregion for denne databasen er ikke dokumentert. Inneholder IP‑adresser og sesjonsidentifikatorer, så artikkel 30(1)(d)–(e) kan ikke besvares for den.
Overføringsgrunnlag
Under vurdering
Underlagt jurisdiksjon utenfor EU
Status
AktivCloudflare, Inc.
DNS. Apex‑domenet er også reversert som proxy, så Cloudflare terminerer TLS for det.
Vår planlagte løsning er kun DNS, noe som ville bety at leverandøren bare håndterer navneoppløsning, ikke innholdet i forespørsler. Apex‑domenet er fortsatt proxyet i dag, så TLS termineres her og forespørselsinnhold loggføres. Denne raden beskriver dagens situasjon, ikke den tiltenkte endelige løsningen.
Hvem de igjen engasjerer
- Amazon Web Services (AWS) (land ikke oppgitt av dem): E‑postsikkerhetstjeneste. Behandling oppgis å skje i USA og EØS.
- Google LLC (land ikke oppgitt av dem): Utviklerplattform, Zero Trust og AI Gateway. Behandling oppgis å skje i EØS, USA, Australia og India.
- Oracle America, Inc. (land ikke oppgitt av dem): Utviklerplattform og Cache Reserve. Behandling oppgis å skje i USA, EØS, Storbritannia, Japan, Australia, Canada og Singapore.
- CoreWeave, Inc. (land ikke oppgitt av dem): Workers AI. Behandling oppgis å skje i USA.
- Nebius BV (land ikke oppgitt av dem): Workers AI. Behandling oppgis å skje i England.
Their list is dated 1 October 2025 and states processing regions rather than countries of incorporation, so regions are given in each purpose. It also names 16 of their own group affiliates, which are not recorded here as external parties. Every entry below is scoped by them to a specific product; none is stated to apply to DNS.
Ifølge deres egen opplysning, kontrollert 2026-07-31
Jurisdiksjon
US
globalt edge‑nettverk (anycast)
Overføringsgrunnlag
Under vurdering
Underlagt jurisdiksjon utenfor EU
Status
AktivFunctional Software, Inc.
Overvåking av applikasjonsfeil og ytelse.
EU‑innsamling er håndhevet i koden: klienten feiler i stedet for å sende til et ikke‑EU‑endepunkt, så feilhendelser, sporinger og logger lagres i Frankfurt. Sentry lagrer likevel konto‑ og driftsmetadata i USA uavhengig av valgt region (cron‑sjekker, organisasjonsinnstillinger og revisjonslogger, prosjektmetadata, DSN‑nøkler, tilgangstokener, bruksdata) og lagrer oppetidsjekker i begge regioner. Ingen av disse inneholder personopplysninger om kunder, så det oppstår ikke noen overføring etter kapittel V på grunn av dette. Det er likevel en rest av amerikansk lagring fra denne leverandøren, og som resten av oppbevaringsresten ovenfor, vil dette fases ut ved overgangen til 0F Bugsink, når feilsporing, cron‑hjerteslag og oppetidsjekker flyttes til infrastruktur vi selv hoster.
Hvem de igjen engasjerer
- Amazon Web Services, Inc. (land ikke oppgitt av dem): Skyinfrastruktur. Behandling oppgis å skje i EU og USA.
- Cloudflare, Inc. (land ikke oppgitt av dem): Skylagringsinfrastruktur. Behandling oppgitt som EU og USA.
- Google LLC (land ikke oppgitt av dem): Skylagringsinfrastruktur. Behandling oppgitt som EU og USA.
Their list is version 2.3.0 dated 1 June 2026 and states processing regions rather than countries of incorporation. Recorded here are the three cloud providers; the remainder are their email, support and group affiliates.
Ifølge deres egen opplysning, kontrollert 2026-07-31
Jurisdiksjon
US
ingest.de.sentry.io (Tyskland), US‑region (Iowa) for konto‑ og driftsmetadata som lagres utenfor valgt region uavhengig av innstilling (cron‑sjekker, organisasjonsinnstillinger og revisjonslogger, prosjektmetadata, DSN‑nøkler, tilgangstokener, bruksdata). Oppetidsjekker lagres i begge regioner. Ingen personopplysninger om kunder.
Overføringsgrunnlag
Under vurdering
Underlagt jurisdiksjon utenfor EU
Status
AktivSendinblue SAS (Brevo)
Transaksjonelle e‑poster (varsler, konto‑e‑post).
Inaktiv til BREVO_API_KEY er klargjort.
Hvem de igjen engasjerer
- Google Cloud Platform (FR): Hosting. Servere oppgitt som Belgia.
- Scaleway (Iliad) (FR): Hosting. Servere oppgitt som Frankrike.
- OVH (FR): Hosting. Servere oppgitt som Frankrike.
- Hetzner Online GmbH (DE): Hosting. Servere oppgitt som Tyskland. Er også en underdatabehandler for oss på egen hånd.
- Cloudflare (US): CDN og WAF. Servere oppgitt som USA og EU.
Their DPA annex separates infrastructure sub-processors from the rest and states a registered office for each, used here as the jurisdiction. Recorded here is that infrastructure section.
Ifølge deres egen opplysning, kontrollert 2026-07-31
Jurisdiksjon
FR
eu-west (Frankrike)
Overføringsgrunnlag
Kun EU, ingen overføring til tredjeland
Status
AktivHetzner Online GmbH
S3-kompatibel objektlagring for rå dokumentbytes.
Aktivert kun når STORAGE_PROVIDER=s3. Standard lagringsleverandør er Supabase.
Hvem de igjen engasjerer
- Hetzner Finland Oy (FI): Bygningleie og teknisk support.
- Hetzner US LLC (US): Serverleie for deres amerikanske nettside. (betjener regioner vi ikke bruker, ifølge deres opplysninger)
- NTT Global Data Centers Americas, Inc. (US): Colocation for deres amerikanske nettside. (betjener regioner vi ikke bruker, ifølge deres opplysninger)
- QTS Investment Properties Hillsboro, LLC (US): Colocation for deres amerikanske nettside. (betjener regioner vi ikke bruker, ifølge deres opplysninger)
- Hetzner Singapore Pte. Ltd. (SG): Serverleie for deres nettside i Singapore. (betjener regioner vi ikke bruker, ifølge deres opplysninger)
- NTT Global Data Centers SG1 Pte Ltd (SG): Colocation for deres nettside i Singapore. (betjener regioner vi ikke bruker, ifølge deres opplysninger)
Their annex is version 1.0 dated 6 August 2024 and names six parties, all of them infrastructure, with a location for each. They state that data on EU-located servers is processed exclusively within the EU; the non-EU entities below serve their US and Singapore sites, which we do not use.
Ifølge deres egen opplysning, kontrollert 2026-07-31
Jurisdiksjon
DE
nbg1 (Nürnberg)
Overføringsgrunnlag
Kun EU, ingen overføring til tredjeland
Status
AktivVercel Inc.
Applikasjonshosting og planlagte jobber (gjeldende distribusjonsmål).
Erstattes av applikasjonshosting vi kjører selv på EU‑maskinvare. Denne migreringen har ikke startet ennå; inntil den er på plass, leverer denne leverandøren applikasjonen.
Hvem de igjen engasjerer
- Amazon Web Services, Inc. (US): Hosting, lagring og generativ AI.
- Google LLC (US): Skyløsninger, lagring og generativ AI.
- Microsoft Corporation (US): Hosting, lagring og generativ AI.
- Upstash, Inc. (US): Serverløs lagring. Er også en underdatabehandler for oss på egen hånd.
- Neon (US): Serverløs lagring.
- Redis Labs, Inc. (US): Sanntidslogging og sikkerhet.
Their list names 28 parties with a location each, used here as the jurisdiction. Recorded here are the six providing hosting or storage; the remainder are their monitoring, support and AI-feature vendors.
Ifølge deres egen opplysning, kontrollert 2026-07-31
Jurisdiksjon
US
globalt edge‑nettverk
Overføringsgrunnlag
Under vurdering
Underlagt jurisdiksjon utenfor EU
Status
AktivUnderlagt jurisdiksjon utenfor EU
Dette selskapet, eller dets morselskap, er registrert utenfor EØS. Det kan derfor være underlagt utenlandsk tvangsmessig prosess, selv om dataene ligger i EU.
Endringer og retten til å protestere
Vi gir dere minst 30 dagers varsel før en ny underdatabehandler begynner å behandle dataene deres, og dere kan protestere. Hver oppføring viser datoen behandlingen starter, ikke når vi redigerte denne siden.
Maskinlesbar
Denne listen er hentet fra et register i kildekoden vår, så den oppdateres når koden endres – ikke når noen husker å redigere en side. Samme register publiseres som JSON på adressen nedenfor. Det inneholder alle oppføringer med status, inkludert planlagte tilføyelser i varslingsperioden og fjernede leverandører. Dermed kan alle endringer sammenlignes med en tidligere versjon i stedet for å måtte stole på ord.
/api/trust/subprocessors