Underdatabehandlere

Dette dokument er offentliggjort på flere sprog. I tilfælde af uoverensstemmelser mellem sprogversionerne er den polske version bindende.

Version 1.1 · Senest opdateret: 22. oktober 2026

Hvilke tredjeparter der modtager data hos formexposed, til hvilket formål, hvor og på hvilket grundlag. Denne liste udgør en del af databehandleraftalen som bilag 3. Godkendte underdatabehandlere i denne aftales forstand er kun dem, der er opført i afsnit 2; afsnit 3 til 6 giver oplysninger om yderligere modtagere og udgør ikke en godkendelse.

1. Det korte svar

Vi driver selv servere, database og regnekraft, også til sprogmodellen, i Polen. Ingen hosting-, cloud- eller AI-udbyder er involveret. Underdatabehandlere i den betydning, der er fastsat i art. 28(2) og (4) GDPR, dvs. tredjeparter, der behandler vores Kunders data på vores vegne, findes kun til én opgave: e-mail.

Derudover er der modtagere, der ikke er underdatabehandlere. Vi opfører dem alligevel her, opdelt efter grunden, så billedet er fuldstændigt:

• modtagere, der behandler data som selvstændige dataansvarlige (afsnit 3),
• modtagere, som Kunden vælger, når Kunden får alarmer sendt dertil (afsnit 4),
• forespørgsler til tredjeparter, der ikke indeholder personoplysninger (afsnit 5).

2. Underdatabehandlere

Modtager og hjemsted	Formål	Data	Behandlingssted	Grundlag for overførsel
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Afsendelse af tjenestens e-mails (bekræftelser, alarmer, rapporter, månedlige rapporter til abonnenter på en kundeportal); postkasse til leveringskontrollen	Modtagernes e-mailadresser, emne og indhold af e-mailene. I postkassen til leveringskontrollen: kopier af formular-e-mails fra Kunders websites med alt, hvad besøgende indtaster der, indtil vi behandler dem	Skal stadig verificeres	Udbyderens databehandleraftale; om data går til et tredjeland og på hvilket grundlag, skal stadig verificeres, se afsnit 7
Namecheap, Inc., Phoenix, Arizona, USA	Registrering af domænerne, DNS; indtil postkassen hos Namecheap, Inc. (Private Email), Phoenix, Arizona, USA er sat op, videresendelse af generelle e-mails til adresser på vores domæne. Kontrolkopierne fra leveringskontrollen går ikke via Namecheap; de går direkte til postkassen	Domænedata; ved videresendelse indhold og headers i generelle e-mails til os, ingen kopier af formular-e-mails	USA, skal verificeres	Namecheaps Data Processing Addendum; standardkontraktbestemmelser eller Data Privacy Framework – skal verificeres, se afsnit 7

Om en Kundes databehandlerdata overhovedet når disse modtagere, afhænger af Kundens indstillinger: uden leveringskontrollen går der ingen formular-e-mails dertil; uden en kundeportal går der ingen e-mails til dens abonnenter. Vi oplyser efter anmodning kontaktpunktet for databeskyttelse hos hver underdatabehandler.

Ikke involveret: Ingen tredjepart er involveret i kontroller, skærmbilleder, loginoplysninger til scanningen bag login, browserforløb eller »Fix it for me«. Sprogmodellen kører på vores egen server. Vi bestemmer landet for en IP-adresse ud fra en lokal databasefil; ingen adresse sendes til en geolokaliseringstjeneste. Vores internetudbyder leder kun trafik igennem, for det meste krypteret, og er ikke underdatabehandler.

3. Modtagere som selvstændige dataansvarlige

Modtager og hjemsted	Formål	Data	Placering	Grundlag
Stripe Payments Europe, Ltd., Dublin, Irland; for overførsler til USA Stripe, Inc.	Betalingsbehandling og fakturaer for kundekonti	E-mailadresse, navn, faktureringsadresse, momsnummer, betalingsoplysninger (indtastes kun hos Stripe og når aldrig os); hos os kun kunde- og abonnements-ID og status	EU / USA	For betalingsdata handler Stripe i vid udstrækning som selvstændig dataansvarlig; den nøjagtige rollefordeling skal verificeres. Overførsel til USA: Data Privacy Framework eller standardkontraktbestemmelser – skal verificeres
Google Ireland Limited, Dublin, Irland; Google LLC, USA	Botbeskyttelse (reCAPTCHA) på vores egne formularer: registrering, login, adgangskode, gratis kontrol, header-værktøj, opt-out, support og kontakt	IP-adresse, browser- og enhedsdata, adfærd på siden, Google-cookies. Scriptet indlæses først ved indsendelse. Det kører ikke på Kunders websites	EU / USA	Googles vilkår; Data Privacy Framework eller standardkontraktbestemmelser – skal verificeres

Disse modtagere vedrører vores egen behandling, ikke databehandlerdata. Detaljer findes i privatlivspolitikken.

4. Modtagere valgt af Kunden

Alarmer og sammendrag sendes derhen, hvor Kunden ønsker dem: pr. e-mail (via mailtjenesteudbyderen i afsnit 2), til en webhook-adresse eller til en chattjeneste. De nuværende muligheder er:

• Slack, Discord, Microsoft Teams og Google Chat via en adresse, som Kunden opretter på sin konto hos den pågældende tjeneste;
• Telegram: en modtager valgt af Kunden; vi sender beskeden via vores bot, efter at modtageren selv har forbundet chatten med botten;
• webhooks til en hvilken som helst offentlig HTTPS-adresse på standardporten, signeret efter ønske.

Data: domæne, hændelse, tidspunkt og et link ind i tjenesten, for alarmer om en kontrol til dens rapport, som kan læses via dette link uden login; for webhooks de samme oplysninger i maskinlæsbar form. Intet indhold fra formular-e-mails; en alarm fra leveringskontrollen kan nævne afsenderens e-maildomæne, hvis det ikke hører til websitet.

Rolle: Slack, Discord, Microsoft Teams, Google Chat og modtagerne af webhooks er ikke vores underdatabehandlere. Overførslen sker kun, fordi Kunden opretter modtageren; det er Kundens instruks. For Slack, Discord, Microsoft Teams, Google Chat og webhooks ligger aftaleforholdet med den pågældende udbyder og et eventuelt nødvendigt grundlag for overførsel til et tredjeland hos Kunden. For Telegram sender vi beskeden via vores egen bot; også her er valget af modtageren Kundens udtrykkelige instruks om at overføre alarmerne dertil. Om Telegram i den henseende er vores underdatabehandler, og på hvilket grundlag denne overførsel sker, er endnu ikke endeligt afklaret og ligger til gennemgang hos vores advokat. Skulle Telegram være underdatabehandler, anses Kundens valg af denne modtager for Kundens specifikke godkendelse efter art. 28(2) GDPR til dette formål. Flere af disse udbydere behandler data i USA; Telegram har hjemsted uden for EU i et land uden afgørelse om tilstrækkeligheden af beskyttelsesniveauet, og det grundlag efter kapitel V GDPR, som overførslen til Telegram sker på, er endnu ikke endeligt afklaret. Den, der ikke ønsker dette, vælger e-mail eller en anden modtager.

5. Forespørgsler uden personoplysninger

Nogle funktioner sender forespørgsler til tredjeparter. Kun domænenavne, serveradresser, kontrolværdier eller versionsnumre sendes ud, ingen oplysninger om Kunder eller besøgende. Disse tredjeparter er derfor ikke underdatabehandlere.

Modtager	Formål	Hvad der sendes ud
Domæneregistrenes RDAP-tjenester, fundet via IANA-kataloget; til kontrol af domænets alder i den gratis kontrol via relætjenesten rdap.org	Et domænes alder og udløb	kun domænenavnet
WPVulnerability (wpvulnerability.net)	Kendte sikkerhedssårbarheder i WordPress, WordPress-udvidelser og -temaer	kun identifikatoren for en udvidelse eller et tema eller WordPress' versionsnummer
Statussider hos udbydere, som Kunder bruger (såsom CAPTCHA- og mailtjenester)	Varsel om nedbrud hos disse udbydere	intet ud over selve forespørgslen
Tidsstemplingsmyndighederne Certum (Asseco Data Systems S.A., Polen), alternativt DigiCert, Inc. (USA)	Tidsstempler til dokumentationslogs	kun en kontrolværdi (SHA-512) af loggen, ikke dens indhold
DNS-blokeringslister for spam: SpamCop, PSBL, Mailspike og SURBL (Spamhaus kun med egen adgang)	Kontrol af, om en Kundes mailserver eller domæne er opført	domæner og IP-adresser på servere (mailservere, webservere), ingen personoplysninger om besøgende
Google Web Risk, kun hvis det er sat op	Kontrol af en Kundes forside for opførelser på grund af malware eller phishing	kun forsidens adresse
Telegram, driftsnotifikationer	Signaler til operatøren ved nedbrud og nye supportanmodninger	faste tekster uden afsender, indhold eller adresser
Certifikatudsteder til TLS	Udstedelse af certifikaterne til vores domæner	kun vores egne domænenavne

6. Forberedt, ikke i brug i øjeblikket

Tjenesten kan få browserkontroller og formularforespørgsler bekræftet yderligere fra en anden, uafhængig placering. Dette kontrolpunkt er i øjeblikket ikke sat op. Hvis en tredjepart senere driver det, er denne underdatabehandler og vil blive varslet forinden i henhold til afsnit 8. Den ville modtage domænet, den rensede konfiguration af browserforløbet og et job-ID, men ingen loginoplysninger og ingen oplysninger fra besøgende.

7. Hvad der stadig er åbent

Denne liste er et udkast fra før lanceringen. Vi siger åbent, hvad der endnu ikke er afklaret:

• Mailtjenesteudbyder: Namecheap, Inc. (Private Email), Phoenix, Arizona, USA er påtænkt. Hvor udbyderen behandler dataene, og på hvilket grundlag de kan gå til et tredjeland, skal stadig verificeres. Om udbyderens databehandleraftale er accepteret til denne anvendelse, hvor postkasserne faktisk befinder sig, hvilke yderligere underdatabehandlere udbyderen bruger, og hvilket modul af standardkontraktbestemmelserne der finder anvendelse, skal endnu dokumenteres. Det offentligt tilgængelige Data Processing Addendum alene beviser ikke, at der er indgået en aftale. Indtil dette er dokumenteret, sendes der ingen databehandlerdata ud via denne udbyder; det skal derfor være afklaret før lanceringen.
• Data Privacy Framework: Vi har for denne version ikke kontrolleret, om Namecheap, Stripe og Google er certificeret under databeskyttelsesrammen mellem EU og USA (EU-U.S. Data Privacy Framework) for de pågældende tjenester. Vi hævder det derfor ikke; hvor certificering mangler, gælder standardkontraktbestemmelser.
• Stripes rolle for de enkelte data.
• Telegram-alarmer: grundlaget for overførslen, når en Kunde vælger Telegram som modtager, og vi sender beskeden via vores bot.

8. Ændringer af denne liste

Vi gør brug af underdatabehandlere på grundlag af den generelle godkendelse i databehandleraftalen. Før en ny underdatabehandler begynder at behandle data, eller en eksisterende udskiftes, underretter vi Kunderne mindst 30 dage i forvejen pr. e-mail til kontoindehaverens adresse og varsler ændringen på denne side og i oversigten Ændringer af aftaledokumenterne. Underretningen angiver modtager, hjemsted, formål, data, placering og grundlag for overførslen.

Inden for denne frist kan Kunden gøre indsigelse i tekstform af en rimelig grund vedrørende databeskyttelse. Indtil der er fundet en løsning, bruger vi ikke den nye underdatabehandler til Kundens databehandlerdata eller suspenderer den berørte funktion for Kunden. Hvis der ikke kan findes en løsning, kan Kunden opsige aftalen om tjenesten eller den berørte del af tjenesten; vi refunderer forholdsmæssigt forudbetalte gebyrer for perioden efter opsigelsen. Detaljerne fremgår af databehandleraftalen. Vi er over for Kunden ansvarlige for underdatabehandlere som for vores egne handlinger.

Ændringer i afsnit 3 til 5, der ikke vedrører underdatabehandlere, offentliggør vi her med nyt versionsnummer uden forudgående varsel.

9. Status og version

• Version 1.1 · Senest opdateret: 22. oktober 2026 · i tilfælde af uoverensstemmelser mellem sprogversionerne har den polske version forrang i stedet for den tyske; ingen anden ændring.
• Version 1.0 · Senest opdateret: 11. oktober 2026 · første version som separat side; tidligere bilag 3 til databehandleraftalen. Nyt: opdeling i underdatabehandlere, modtagere som selvstændige dataansvarlige, modtagere valgt af Kunden og forespørgsler uden personoplysninger; åbne punkter udtrykkeligt nævnt.
• I tilfælde af uoverensstemmelser mellem sprogversionerne har den polske version forrang.