Retningslinjen sier hvordan Verid velger, vurderer og følger opp underleverandører som behandler personopplysninger. Selve listen over underleverandører står i ../underleverandorer (vedlegg 3 til databehandleravtalen). Dette dokumentet er regelen bak listen.
Sist oppdatert: 28.09.2026.
1. Hvem dette gjelder
- Underdatabehandlere: leverandører som behandler personopplysninger på vegne av Verid når Verid er databehandler for et meglerforetak. I dag: Neon, Vercel, Vercel AI Gateway med OpenAI, Serper, OpenSanctions og Resend.
- Kilder: offentlige registre Verid slår opp i (Brønnøysundregistrene, Kartverket, Finanstilsynet). De er ikke underdatabehandlere, men står i listen for å gi et fullt bilde.
- Andre verktøy: GitHub og leverandører som ikke får personopplysninger. De følger punkt 2, men krever ikke databehandleravtale.
2. Krav før en ny leverandør tas i bruk
| Krav | Hva vi sjekker |
|---|---|
| Behov | Leverandøren løser noe Verid ikke bør gjøre selv. Den får bare de opplysningene oppgaven krever |
| Lokasjon | Lagring og behandling i EU/EØS er førstevalget. Neon og Vercel er satt til Frankfurt |
| Databehandleravtale | Skriftlig avtale etter artikkel 28, med minst de samme pliktene som Verid har overfor foretakene (databehandleravtalen punkt 5.3) |
| Overføringsgrunnlag | Ved selskap eller behandling utenfor EØS: EU–US Data Privacy Framework, ellers EUs standardkontraktsklausuler (2021/914) med vurdering av overføringen (TIA) |
| Sikkerhet | SOC 2 Type II eller ISO 27001, eller en tilsvarende beskrivelse av tiltak |
| Lagring hos leverandøren | Hvor lenge leverandøren beholder data, og om den bruker dem til trening eller andre formål |
| Varsling | Leverandøren varsler Verid om brudd, så Verid kan holde sin frist på 48 timer |
| Utgang | Data kan hentes ut og slettes når avtalen slutter |
Resultatet skrives ned før leverandøren tas i bruk i produksjon.
3. Varsel til meglerforetakene
- Verid varsler foretakene skriftlig minst 30 dager før en ny underdatabehandler tas i bruk, eller en byttes ut (databehandleravtalen punkt 5.2).
- Foretaket kan protestere på saklig grunnlag i den perioden. Blir partene ikke enige, kan foretaket si opp uten kostnad.
- ../underleverandorer og
/tillitoppdateres samme dag som varselet sendes (apps/web/lib/tillit.ts,UNDERLEVERANDORER). - Behandlingsprotokollen og DPIA-en oppdateres før leverandøren tas i bruk (../dpia, «Revisjon»).
4. Oppfølging
Minst én gang i året, og når en leverandør endrer vilkår:
- Er databehandleravtalen fortsatt gjeldende, og har vi kopien?
- Står leverandøren fortsatt på listen over Data Privacy Framework? Lagre en kopi av oppføringen med dato (https://www.dataprivacyframework.gov/list).
- Er sertifiseringen fornyet? Neon og Vercel publiserer rapportene i egne tillitssentre (lenkene står i
apps/web/lib/tillit.ts). - Har leverandøren endret region, underleverandører eller lagringstid?
- Har leverandøren hatt et brudd som gjelder Verid?
Resultatet skrives inn i ../underleverandorer med dato.
5. Når en leverandør avsluttes
- Varsle foretakene etter punkt 3 hvis en annen tar over.
- Flytt data, og kontroller at alt er flyttet.
- Be leverandøren slette data, og ta vare på bekreftelsen.
- Fjern nøklene hos leverandøren og i Vercel (kryptering-og-nokler).
- Oppdater ../underleverandorer,
/tillitog behandlingsprotokollen.
6. Status per leverandør
| Leverandør | Region | Databehandleravtale | Overføringsgrunnlag |
|---|---|---|---|
| Neon (Databricks, Inc.) | AWS eu-central-1 | Databricks-avtalen finnes. Kopi ikke lagret | Data Privacy Framework, aktiv (sjekket 28.09.2026) |
| Vercel | fra1. Sandbox i fra1 fra 28.09.2026 | Finnes, med standardkontraktsklausuler. Kopi ikke lagret | Data Privacy Framework, aktiv (sjekket 28.09.2026) |
| OpenAI via Vercel AI Gateway | Gatewayen: hvilken som helst Vercel-region. Modellen: USA | OpenAIs avtale for EØS (OpenAI Ireland Ltd.) gjelder gjennom Vercels AI-vilkår § 8.1. Kopi ikke lagret | Ikke sertifisert. Standardkontraktsklausuler, ikke dokumentert. Nullretensjon slått på, med sikkerhetslagring hos OpenAI |
| Serper | USA | Ingen. Juridisk enhet ikke funnet | Mangler |
| OpenSanctions | Google Cloud, Frankfurt | Del av API-vilkårene, § 15.3. Kopi ikke lagret | Ikke nødvendig |
| Resend | Sendes fra eu-west-1. Data lagres i USA | Finnes, med standardkontraktsklausuler. Kopi ikke lagret | Data Privacy Framework, «aktiv, fornyelse under vurdering» (sjekket 28.09.2026) |
Kilden for status er ../underleverandorer og sjekklisten i ../README.md.
Gjenstår
| Mangel | Risiko | Plan |
|---|---|---|
| Avtalen for OpenAI gjennom Vercel AI Gateway er ikke avklart. De andre avtalene gjelder gjennom vilkårene, og kopier er lagret 28.09.2026 | Verid kan ikke vise at pliktene i punkt 5.3 er videreført for språkmodellen | Be Vercel bekrefte skriftlig hvilken avtale som gjelder |
| Serper har ingen kjent juridisk enhet, ingen databehandleravtale og ikke noe overføringsgrunnlag | Søk med fullt navn går til USA uten grunnlag | Be om enhet og avtale skriftlig, eller bytt leverandør |
| Grunnlaget for OpenAI (standardkontraktsklausuler) er ikke dokumentert | Overføringen kan ikke vises å ha gyldig grunnlag | Dokumenter grunnlaget og vurderingen av overføringen |
| OpenAI kan lagre forespørsler som blir merket for misbruk, selv med nullretensjon | Spørsmål med navn kan bli lagret hos OpenAI i USA | Vurder en modell i EU |
| Kopi av oppføringene i Data Privacy Framework er ikke lagret | Sjekken 28.09.2026 kan ikke vises senere | Lagre en kopi med dato for Databricks, Vercel og Resend |
| Resend varsler nye underleverandører 14 dager i forveien | Løst i utkastet: avtalen punkt 5.2 gir 30 dager for Verids egne bytter, og fem virkedager når en leverandør gir kortere varsel | Advokaten bekrefter ordlyden |
| Ingen skriftlig vurdering etter punkt 2 for dagens leverandører | Valget kan ikke dokumenteres | Skriv vurderingen for hver leverandør i tabellen over |
| Ingen årlig gjennomgang er gjort | Endringer hos leverandøren oppdages ikke | Første gjennomgang før første kunde signerer |