Hoppa till huvudinnehåll

Vilka underleverantörer som behandlar era data

Alla underleverantörer vi anlitar, vad de används till och vilken jurisdiktion de lyder under. Den här listan genereras från vår källkod, så den kan inte tyst avvika från vad vi faktiskt använder.

Senast uppdaterad: 2026-08-02

Genereras från vårt register över underleverantörer, inte manuellt underhållet: en ny leverantör kan inte läggas till i det tysta, och vår byggprocess misslyckas om kod når en databehandlare som inte är offentliggjord här.

Våra underleverantörer

Dessa företag behandlar personuppgifter för vår räkning. Lagring, generering och inbäddningar sker i EU‑datacenter. Flera av leverantörerna nedan är registrerade utanför Europeiska ekonomiska samarbetsområdet (EES), eller har ett moderbolag som är det, och varje sådan rad är markerad: jurisdiktionen anger var ett företag kan tvingas att lämna ut uppgifter, vilket är en separat fråga från var data fysiskt lagras. Varje rad anger vilken överföringsgrund som gäller, samt vilka underleverantörer respektive leverantör i sin tur anlitar.

Mistral AI SAS

LLM‑generering: chatt­svar, planering, agentloop, bildanalys och moderering av indata. Den enda genereringsleverantören; det finns ingen reservlösning utanför EU.

Promptar innehåller användarfrågor samt utdrag från hämtade dokument. Noll­lagring och utbildnings­avstående är konto­nivå­inställningar hos denna leverantör, inte per förfrågan, så de registreras här snarare än att bekräftas vid varje anrop.

Vilka de i sin tur anlitar

  • Mistral Compute (FR): Moln­infrastruktur för alla produkter. Deras egen beräknings­enhet, inte en extern part.
  • Microsoft Inc. (land anges inte av dem): Moln­infrastruktur. Bearbetning sker i Sverige och Norge.
  • Google LLC (land anges inte av dem): Moln­infrastruktur. Bearbetning sker i Nederländerna, Belgien och USA.
  • CoreWeave Inc. (land anges inte av dem): Slutlednings­leverantör. Bearbetning sker inom EES.
  • Cloudflare Inc. (land anges inte av dem): Säkerhet och trafik­dirigering. Bearbetning sker globalt.

Their disclosure lists 24 parties, several scoped to products we do not use. Recorded here are the infrastructure and inference providers whose stated scope covers the API. Their page states processing regions rather than countries of incorporation, so those regions are given in each purpose and jurisdiction is left unstated.

Enligt deras egen redogörelse, kontrollerat 2026-07-31

Jurisdiktion

FR

eu-west (Frankrike)

Överföringsgrund

Endast EU, ingen överföring till tredje land

Status

Aktiv

Jina AI GmbH

Moderbolag: Elastic N.V. (US)

Text­inbäddningar och omrankning för informations­hämtning.

Avvisat för kunddata sedan 31 juli 2026: plattformen startar inte i produktion med denna leverantör konfigurerad för inbäddningar, så den kan inte bearbeta kundinnehåll. Den finns kvar i listan eftersom inloggnings­uppgifterna fortfarande läses i utvecklings­miljö, och den är standard i utveckling tills ersättningen inom EU är på plats: inbäddnings- och omranknings­modeller som vi själva hostar på EU‑hårdvara, eller en hanterad API under EU‑jurisdiktion.

Inte fastställt ännu. Vi har inte bekräftat vilka underleverantörer denna leverantör anlitar.

Jurisdiktion

DE

EU-central (Berlin)

Överföringsgrund

Under utredning

Underlagd icke‑EU‑jurisdiktion

Status

Aktiv

Supabase, Inc.

Primär datalagring: Postgres (dokument, textavsnitt, inbäddningar, tenant­data), autentisering och standard­objektlagring.

Ersätts av vår egen Postgres och objektlagring på EU‑hårdvara. Migrationen har inte påbörjats; tills den är klar lagrar denna leverantör dokument­korpusen.

Vilka de i sin tur anlitar

  • Amazon Web Services, Inc (land anges inte av dem): Hosting.
  • Cloudflare, Inc (land anges inte av dem): Hosting.
  • Google, LLC (land anges inte av dem): Hosting.
  • Fly.io, Inc (land anges inte av dem): Hosting.
  • Upstash, Inc (land anges inte av dem): Serverlös datalagring. Även en underleverantör till oss i egen rätt.
  • Vercel, Inc (land anges inte av dem): Hosting. Även en underleverantör till oss i egen rätt.

Their list is dated 1 June 2026 and names 19 parties without stating any country, so no jurisdiction is recorded for any of them. Recorded here are the six hosting providers; the remainder are their own support, sales and analytics tooling.

Enligt deras egen redogörelse, kontrollerat 2026-07-31

Jurisdiktion

US

aws eu-west-1 (Irland)

Överföringsgrund

Under utredning

Underlagd icke‑EU‑jurisdiktion

Status

Aktiv

Upstash, Inc.

Redis: API‑frekvensbegränsning, sessionsåterkallning, inbäddningscache och omöjlig‑rese‑detektion.

Ersätts av en cache som vi själva hostar på EU‑hårdvara. Migrationen har ännu inte påbörjats; tills dess hanterar denna leverantör frekvensbegränsnings- och cachelagret.

Vilka de i sin tur anlitar

  • Amazon Web Services (US): Molntjänstleverantör.
  • Google (US): Molntjänstleverantör.
  • Cloudflare, Inc. (US): Molntjänster.
  • Humio (CrowdStrike Falcon LogScale) (DK): Loggning.

Their document states an address per party, used here as the jurisdiction. Several entries are scoped to products of theirs we do not use; those are excluded. Recorded here are the providers that could sit under the Redis service we consume.

Enligt deras egen redogörelse, kontrollerat 2026-07-31

Jurisdiktion

US

Regionen är inte fastställd i koden och leverantörens distributionsregion för denna databas har inte dokumenterats. Innehåller IP‑adresser och sessionsidentifierare, så uppgifter enligt artikel 30(1)(d)–(e) kan inte lämnas.

Överföringsgrund

Under utredning

Underlagd icke‑EU‑jurisdiktion

Status

Aktiv

Cloudflare, Inc.

DNS. Apex‑domänen är för närvarande även omvänd proxyserver, så Cloudflare terminerar TLS för den.

Vår beslutade policy är DNS‑only, vilket skulle innebära att leverantören endast hanterar namnupplösning och inte förfrågningsinnehåll. Apex‑domänen är fortfarande proxyserad idag, så den terminerar TLS och ser förfrågningsinnehåll. Denna rad beskriver nuläget, inte det avsedda slutläget.

Vilka de i sin tur anlitar

  • Amazon Web Services (AWS) (land anges inte av dem): E‑postsäkerhetsprodukt. Bearbetning anges som USA och EES.
  • Google LLC (land anges inte av dem): Utvecklarplattform, Zero Trust och AI Gateway. Bearbetning anges som EES, USA, Australien och Indien.
  • Oracle America, Inc. (land anges inte av dem): Utvecklarplattform och Cache Reserve. Bearbetning anges i USA, EES, Storbritannien, Japan, Australien, Kanada och Singapore.
  • CoreWeave, Inc. (land anges inte av dem): Workers AI. Bearbetning anges som USA.
  • Nebius BV (land anges inte av dem): Workers AI. Bearbetning anges som England.

Their list is dated 1 October 2025 and states processing regions rather than countries of incorporation, so regions are given in each purpose. It also names 16 of their own group affiliates, which are not recorded here as external parties. Every entry below is scoped by them to a specific product; none is stated to apply to DNS.

Enligt deras egen redogörelse, kontrollerat 2026-07-31

Jurisdiktion

US

global edge‑nätverk (anycast)

Överföringsgrund

Under utredning

Underlagd icke‑EU‑jurisdiktion

Status

Aktiv

Functional Software, Inc.

Övervakning av applikationsfel och prestanda.

EU‑ingest är tvingat i koden: klienten misslyckas stängt istället för att skicka till en icke‑EU‑slutpunkt, så felhändelser, spans och loggar lagras i Frankfurt. Sentry lagrar ändå konto- och driftsmetadata i USA oavsett vald region (cron‑kontroller, organisationsinställningar och granskningsloggar, projektmetadata, DSN‑nycklar, åtkomsttoken, användningsdata) och lagrar tillgänglighetskontroller i båda regionerna. Inget av detta innehåller kunders personuppgifter, så inget kapitel V‑överföringsproblem uppstår från den delen; det är ändå en rest av amerikansk lagring från denna leverantör, och precis som kvarhållningsresten ovan upphör den vid övergången till 0F Bugsink, när feldetektering, cron‑hjärtslag och tillgänglighetskontroller alla flyttas till infrastruktur som vi själva hostar.

Vilka de i sin tur anlitar

  • Amazon Web Services, Inc. (land anges inte av dem): Molninfrastruktur. Bearbetning anges som EU och USA.
  • Cloudflare, Inc. (land anges inte av dem): Molninfrastruktur. Bearbetning anges som EU och USA.
  • Google LLC (land anges inte av dem): Molninfrastruktur. Bearbetning anges som EU och USA.

Their list is version 2.3.0 dated 1 June 2026 and states processing regions rather than countries of incorporation. Recorded here are the three cloud providers; the remainder are their email, support and group affiliates.

Enligt deras egen redogörelse, kontrollerat 2026-07-31

Jurisdiktion

US

ingest.de.sentry.io (Tyskland), US‑region (Iowa) för konto- och driftsmetadata som lagras utanför den valda regionen oavsett inställning (cron‑kontroller, organisationsinställningar och granskningsloggar, projektmetadata, DSN‑nycklar, token, användningsdata); tillgänglighetskontroller lagras i båda regionerna. Inga kunders personuppgifter.

Överföringsgrund

Under utredning

Underlagd icke‑EU‑jurisdiktion

Status

Aktiv

Sendinblue SAS (Brevo)

Transaktionsmejl (aviseringar, kontomejl).

Inaktivt tills BREVO_API_KEY är konfigurerad.

Vilka de i sin tur anlitar

  • Google Cloud Platform (FR): Värdtjänst. Servrar anges som Belgien.
  • Scaleway (Iliad) (FR): Värdtjänst. Servrar anges som Frankrike.
  • OVH (FR): Värdtjänst. Servrar anges som Frankrike.
  • Hetzner Online GmbH (DE): Värdtjänst. Servrar anges som Tyskland. Även en egen underleverantör till oss.
  • Cloudflare (US): CDN och WAF. Servrar anges som USA och EU.

Their DPA annex separates infrastructure sub-processors from the rest and states a registered office for each, used here as the jurisdiction. Recorded here is that infrastructure section.

Enligt deras egen redogörelse, kontrollerat 2026-07-31

Jurisdiktion

FR

eu-west (Frankrike)

Överföringsgrund

Endast EU, ingen överföring till tredje land

Status

Aktiv

Hetzner Online GmbH

S3-kompatibel objektlagring för råa dokumentfiler.

Används endast när STORAGE_PROVIDER=s3; standardlagringen är Supabase.

Vilka de i sin tur anlitar

  • Hetzner Finland Oy (FI): Lokaluthyrning och teknisk support.
  • Hetzner US LLC (US): Serveruthyrning för deras amerikanska webbplats. (betjänar regioner vi inte använder, enligt deras upplysningar)
  • NTT Global Data Centers Americas, Inc. (US): Colocation för deras amerikanska webbplats. (betjänar regioner vi inte använder, enligt deras upplysningar)
  • QTS Investment Properties Hillsboro, LLC (US): Colocation för deras amerikanska webbplats. (betjänar regioner vi inte använder, enligt deras upplysningar)
  • Hetzner Singapore Pte. Ltd. (SG): Serveruthyrning för deras webbplats i Singapore. (betjänar regioner vi inte använder, enligt deras upplysningar)
  • NTT Global Data Centers SG1 Pte Ltd (SG): Colocation för deras webbplats i Singapore. (betjänar regioner vi inte använder, enligt deras upplysningar)

Their annex is version 1.0 dated 6 August 2024 and names six parties, all of them infrastructure, with a location for each. They state that data on EU-located servers is processed exclusively within the EU; the non-EU entities below serve their US and Singapore sites, which we do not use.

Enligt deras egen redogörelse, kontrollerat 2026-07-31

Jurisdiktion

DE

nbg1 (Nürnberg)

Överföringsgrund

Endast EU, ingen överföring till tredje land

Status

Aktiv

Vercel Inc.

Applikationsvärd och schemalagda jobb (aktuell driftsmiljö).

Ersätts av applikationshosting som vi själva kör på EU‑hårdvara. Migrationen har inte påbörjats ännu; tills dess tillhandahåller denna leverantör applikationen.

Vilka de i sin tur anlitar

  • Amazon Web Services, Inc. (US): Hosting, lagring och generativ AI.
  • Google LLC (US): Molntjänster, lagring och generativ AI.
  • Microsoft Corporation (US): Hosting, lagring och generativ AI.
  • Upstash, Inc. (US): Serverlös lagring. Är även en underleverantör till oss i egen rätt.
  • Neon (US): Serverlös lagring.
  • Redis Labs, Inc. (US): Realtidsloggning och säkerhet.

Their list names 28 parties with a location each, used here as the jurisdiction. Recorded here are the six providing hosting or storage; the remainder are their monitoring, support and AI-feature vendors.

Enligt deras egen redogörelse, kontrollerat 2026-07-31

Jurisdiktion

US

global edge

Överföringsgrund

Under utredning

Underlagd icke‑EU‑jurisdiktion

Status

Aktiv

Underlagd icke‑EU‑jurisdiktion

Detta företag, eller dess moderbolag, är registrerat utanför EES och kan därför vara underkastat utländsk tvångsprocess även om uppgifterna lagras inom EU.

Ändringar och er rätt att invända

Vi meddelar er minst 30 dagar innan en ny underleverantör börjar behandla era data, och ni kan invända. Varje post visar startdatum, inte när vi redigerade den här sidan.

Maskinläsbar

Den här listan genereras automatiskt från ett register i vår kodbas, så den uppdateras när koden ändras – inte när någon kommer ihåg att redigera en sida. Samma register publiceras som JSON på adressen nedan. Det innehåller alla poster med status, inklusive planerade tillägg under varselperioden och borttagna leverantörer. På så sätt kan alla ändringar jämföras med en tidigare version istället för att tas på förtroende.

/api/trust/subprocessors