Underdatabehandlere

Dette dokumentet publiseres på flere språk. Ved avvik mellom språkversjonene er den polske versjonen bindende.

Versjon 1.1 · Sist oppdatert: 22. oktober 2026

Hvilke tredjeparter som mottar opplysninger hos formexposed, til hvilket formål, hvor og på hvilket grunnlag. Denne listen er en del av Databehandleravtalen som vedlegg 3. Godkjente underdatabehandlere etter den avtalen er bare dem som er oppført i punkt 2; punkt 3 til 6 gir informasjon om ytterligere mottakere og utgjør ingen godkjenning.

1. Det korte svaret

Vi driver selv serverne, databasen og beregningskapasiteten, inkludert for språkmodellen, i Polen. Ingen hosting-, sky- eller KI-leverandør er involvert. Underdatabehandlere etter personvernforordningen art. 28(2) og (4), det vil si tredjeparter som behandler Kundenes opplysninger på våre vegne, finnes bare for én oppgave: e-post.

I tillegg finnes mottakere som ikke er underdatabehandlere. Vi fører dem likevel opp her, atskilt etter grunnlaget, slik at bildet er fullstendig:

• mottakere som behandler opplysninger som selvstendige behandlingsansvarlige (punkt 3),
• mottakere som Kunden velger når varsler sendes dit (punkt 4),
• forespørsler til tredjeparter som inneholder ingen personopplysninger (punkt 5).

2. Underdatabehandlere

Mottaker og forretningssted	Formål	Opplysninger	Behandlingssted	Overføringsgrunnlag
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Sending av tjenestens e-poster (bekreftelser, varsler, rapporter, månedsrapporter til abonnenter i en kundeportal); postkasse for leveringskontroll	Mottakernes e-postadresser, emne og innhold i e-postene. I postkassen for leveringskontroll: kopier av skjema-e-poster fra Kundenes nettsteder med alt besøkende oppgir der, frem til vi behandler dem	Må fortsatt verifiseres	Leverandørens databehandleravtale; om opplysninger går til et tredjeland og på hvilket grunnlag, må fortsatt verifiseres, se punkt 7
Namecheap, Inc., Phoenix, Arizona, USA	Registrering av domenene, DNS; frem til postkassen hos Namecheap, Inc. (Private Email), Phoenix, Arizona, USA er satt opp, videresending av generell e-post til adresser på domenet vårt. Kontrollkopiene fra leveringskontrollen går ikke gjennom Namecheap; de går direkte til postkassen	Domeneopplysninger; ved videresending innhold og hoder i generell e-post til oss, ingen kopier av skjema-e-poster	USA, må verifiseres	Namecheaps Data Processing Addendum; standard personvernbestemmelser eller Data Privacy Framework – må verifiseres, se punkt 7

Om Kundens databehandleropplysninger i det hele tatt når disse mottakerne, avhenger av innstillingene: Uten leveringskontrollen går ingen skjema-e-poster dit; uten en kundeportal går ingen e-poster til portalens abonnenter. Vi oppgir personvernkontaktpunktet til hver underdatabehandler på forespørsel.

Ikke involvert: Ingen tredjepart er involvert i kontroller, skjermbilder, innloggingsopplysninger for skanning bak innlogging, nettleserforløp eller «Fix it for me». Språkmodellen kjører på vår egen server. Vi fastslår landet til en IP-adresse fra en lokal databasefil; ingen adresse går til en geolokaliseringstjeneste. Internettleverandøren vår videreformidler bare trafikk, for det meste kryptert, og er ikke en underdatabehandler.

3. Mottakere som handler som selvstendige behandlingsansvarlige

Mottaker og forretningssted	Formål	Opplysninger	Sted	Grunnlag
Stripe Payments Europe, Ltd., Dublin, Irland; for overføringer til USA Stripe, Inc.	Betalingsbehandling og fakturaer for kundekontoer	E-postadresse, navn, faktureringsadresse, merverdiavgiftsnummer, betalingsopplysninger (oppgis bare hos Stripe, de når aldri oss); på vår side bare kunde- og abonnements-ID og status	EU / USA	For betalingsopplysninger handler Stripe i stor grad som selvstendig behandlingsansvarlig; den nøyaktige rollefordelingen må verifiseres. Overføring til USA: Data Privacy Framework eller standard personvernbestemmelser – må verifiseres
Google Ireland Limited, Dublin, Irland; Google LLC, USA	Botbeskyttelse (reCAPTCHA) på våre egne skjemaer: registrering, innlogging, passord, gratis kontroll, verktøy for HTTP-hoder, opt-out, kundestøtte og kontakt	IP-adresse, nettleser- og enhetsopplysninger, atferd på siden, Google-informasjonskapsler. Skriptet lastes bare ved innsending. Det kjører ikke på Kundenes nettsteder	EU / USA	Googles vilkår; Data Privacy Framework eller standard personvernbestemmelser – må verifiseres

Disse mottakerne gjelder vår egen behandling, ikke databehandleropplysninger. Detaljer finnes i Personvernerklæringen.

4. Mottakere valgt av Kunden

Varsler og sammendrag går dit Kunden ønsker: per e-post (via e-postleverandøren i punkt 2), til en webhook-adresse eller til en chattjeneste. De gjeldende alternativene er:

• Slack, Discord, Microsoft Teams og Google Chat via en adresse som Kunden oppretter i kontoen sin hos denne tjenesten;
• Telegram: et mottakersted valgt av Kunden; vi sender meldingen via boten vår etter at mottakeren selv har koblet chatten til boten;
• webhooks til enhver offentlig HTTPS-adresse på standardporten, signert på forespørsel.

Opplysninger: Domene, hendelse, tidspunkt og en lenke til tjenesten, for varsler om en kontroll til rapporten, som kan leses via denne lenken uten innlogging; for webhooks de samme opplysningene i maskinlesbar form. Intet innhold fra skjema-e-poster; et varsel fra leveringskontrollen kan navngi avsenderens e-postdomene hvis det ikke tilhører nettstedet.

Rolle: Slack, Discord, Microsoft Teams, Google Chat og mottakerne av webhooks er ikke våre underdatabehandlere. Overføringen skjer bare fordi Kunden setter opp mottakerstedet; dette er Kundens instruks. For Slack, Discord, Microsoft Teams, Google Chat og webhooks ligger avtaleforholdet til den aktuelle leverandøren og et eventuelt nødvendig grunnlag for overføring til et tredjeland hos Kunden. For Telegram sender vi meldingen via vår egen bot; også her er valget av mottakerstedet Kundens uttrykkelige instruks om å overføre varslene dit. Om Telegram er vår underdatabehandler i denne sammenhengen og på hvilket grunnlag denne overføringen skjer, er ennå ikke endelig avklart og er til gjennomgang hos advokaten vår. Hvis Telegram er en underdatabehandler, regnes Kundens valg av dette mottakerstedet som Kundens særskilte tillatelse etter personvernforordningen art. 28(2) til dette formålet. Flere av disse leverandørene behandler opplysninger i USA; Telegram holder til utenfor EU i et land uten en beslutning om tilstrekkelig beskyttelsesnivå, og grunnlaget etter personvernforordningen kapittel V for overføringen til Telegram er ennå ikke endelig avklart. Den som ikke ønsker dette, velger e-post eller et annet mottakersted.

5. Forespørsler uten personopplysninger

Noen funksjoner forespør tredjeparter. Bare domenenavn, serveradresser, kontrollverdier eller versjonsnumre sendes ut, ingen opplysninger om Kunder eller besøkende. Disse tredjepartene er derfor ikke underdatabehandlere.

Mottaker	Formål	Hva som sendes ut
RDAP-tjenestene til domeneregistrene, funnet via IANA-katalogen; for kontroll av domenealder i den gratis kontrollen via videresendingstjenesten rdap.org	Et domenes alder og utløp	bare domenenavnet
WPVulnerability (wpvulnerability.net)	Kjente sikkerhetssårbarheter i WordPress, WordPress-utvidelser og temaer	bare identifikatoren til en utvidelse eller et tema, eller versjonsnummeret til WordPress
Statussider hos leverandører som Kunder bruker (som CAPTCHA- og e-posttjenester)	Melding om driftsavbrudd hos disse leverandørene	ingenting ut over selve forespørselen
Tidsstemplingstjenestene Certum (Asseco Data Systems S.A., Polen), alternativt DigiCert, Inc. (USA)	Tidsstempler for dokumentasjonslogger	bare en kontrollverdi (SHA-512) av loggen, ikke innholdet
DNS-blokkeringslister for spam: SpamCop, PSBL, Mailspike og SURBL (Spamhaus bare med egen tilgang)	Kontroll av om en Kundes e-postserver eller domene er oppført	domener og IP-adresser til servere (e-postservere, nettservere), ingen personopplysninger om besøkende
Google Web Risk, bare hvis satt opp	Kontroll av en Kundes startside for oppføringer på grunn av skadevare eller nettfisking	bare adressen til startsiden
Telegram, driftsvarslinger	Signaler til operatøren ved driftsavbrudd og nye henvendelser til kundestøtte	faste tekster uten avsender, innhold eller adresser
Sertifikatutsteder for TLS	Utstedelse av sertifikater for domenene våre	bare våre egne domenenavn

6. Forberedt, ikke i bruk for tiden

Tjenesten kan få nettleserkontroller og skjemaforespørsler bekreftet i tillegg fra et annet, uavhengig sted. Dette kontrollpunktet er foreløpig ikke satt opp. Hvis en tredjepart driver det senere, er denne parten en underdatabehandler og vil bli varslet på forhånd i samsvar med punkt 8. Vedkommende ville motta domenet, den rensede konfigurasjonen av nettleserforløpet og en jobb-ID, men ingen innloggingsopplysninger og ingen opplysninger fra besøkende.

7. Hva som fortsatt er uavklart

Denne listen er et utkast før lansering. Vi sier åpent hva som ennå ikke er avklart:

• E-postleverandør: Namecheap, Inc. (Private Email), Phoenix, Arizona, USA er tiltenkt. Hvor leverandøren behandler opplysningene, og på hvilket grunnlag de eventuelt kan gå til et tredjeland, må fortsatt verifiseres. Om leverandørens databehandleravtale er godtatt for denne bruken, hvor postkassene faktisk befinner seg, hvilke ytterligere underdatabehandlere leverandøren bruker, og hvilken modul av standard personvernbestemmelsene som gjelder, må fortsatt dokumenteres. Det offentlig tilgjengelige Data Processing Addendum alene beviser ikke at en avtale er inngått. Frem til dette er dokumentert, går ingen databehandleropplysninger ut via denne leverandøren; det må derfor avklares før lansering.
• Data Privacy Framework: For denne versjonen har vi ikke kontrollert om Namecheap, Stripe og Google er sertifisert under EU-U.S. Data Privacy Framework for de aktuelle tjenestene. Vi hevder derfor ikke at de er det; der sertifisering mangler, gjelder standard personvernbestemmelser.
• Stripes rolle for de enkelte opplysningene.
• Telegram-varsler: Grunnlaget for overføringen når en Kunde velger Telegram som mottakersted og vi sender meldingen via boten vår.

8. Endringer i denne listen

Vi engasjerer underdatabehandlere på grunnlag av den generelle tillatelsen i Databehandleravtalen. Før en ny underdatabehandler begynner behandlingen eller en eksisterende erstattes, informerer vi Kundene minst 30 dager på forhånd per e-post til kontoinnehaverens adresse og kunngjør endringen på denne siden og i oversikten Endringer i avtaledokumentene. Varselet angir mottaker, forretningssted, formål, opplysninger, sted og grunnlaget for overføringen.

Innen denne perioden kan Kunden protestere i tekstform av en rimelig personverngrunn. Frem til en løsning er funnet, bruker vi ikke den nye underdatabehandleren for Kundens databehandleropplysninger eller stanser den berørte funksjonen for Kunden. Hvis ingen løsning kan finnes, kan Kunden avslutte avtalen om tjenesten eller den berørte tjenestedelen; vi refunderer forholdsmessig eventuelle forhåndsbetalte avgifter for perioden etter opphøret. Detaljene er angitt i Databehandleravtalen. Vi er ansvarlige overfor Kunden for underdatabehandlere som for våre egne handlinger.

Endringer i punkt 3 til 5 som ikke gjelder underdatabehandlere, publiserer vi her med et nytt versjonsnummer uten forhåndsvarsel.

9. Status og versjon

• Versjon 1.1 · Sist oppdatert: 22. oktober 2026 · ved avvik mellom språkversjonene har den polske versjonen forrang i stedet for den tyske; ingen annen endring.
• Versjon 1.0 · Sist oppdatert: 11. oktober 2026 · første versjon som egen side; tidligere vedlegg 3 til Databehandleravtalen. Nytt: skille mellom underdatabehandlere, mottakere som handler som selvstendige behandlingsansvarlige, mottakersteder valgt av Kunden og forespørsler uten personopplysninger; åpne spørsmål uttrykkelig nevnt.
• Ved avvik mellom språkversjonene har den polske versjonen forrang.