Vedlegg 3 til databehandleravtalen. Listen over underdatabehandlere Verid bruker når Verid behandler personopplysninger på vegne av et meglerforetak.
Verid varsler meglerforetakene minst 30 dager før Verid tar i bruk en ny underleverandør eller bytter ut en. Når en underleverandør selv endrer sine underleverandører med kortere varsel (Resend varsler 14 dager i forveien), varsler Verid innen fem virkedager etter å ha fått beskjed. Se databehandleravtalen punkt 5.2.
Sist oppdatert: 02.10.2026 (Sandbox tatt ut. Sentry lagt til 01.10.2026). De andre leverandørenes vilkår og sertifiseringer er sjekket 28.09.2026.
Underdatabehandlere
| Leverandør | Hva de gjør | Opplysninger | Lokasjon for behandlingen | Overføring ut av EØS |
|---|---|---|---|---|
| Neon (avtalepart: Databricks, Inc., morselskapet til Neon, LLC) | Database | All saksdata | AWS eu-central-1, Frankfurt | Ikke i normal drift. Selskapet er i USA |
| Vercel Inc. | Kjøring av applikasjonen, arkiv (Blob), driftslogger | All saksdata under behandling. Godkjente rapporter | Funksjoner i fra1, Frankfurt. PDF-en lages i applikasjonen, i fra1, fra 30.09.2026. Blob i fra1 (valgt da lageret ble opprettet, ikke kontrollert på nytt) | Ikke i normal drift. Selskapet er i USA. Blob kan mellomlagre private filer i regionale knutepunkter |
| Vercel AI Gateway, videre til OpenAI | Språkmodell: sortering av søketreff, forslag til risikovurdering med utkast, forslag til svar | Navn, fødselsdato eller organisasjonsnummer, statsborgerskap, søketreff (tittel, lenke, utdrag), tekst fra observasjoner og sjekkliste, meglerens fritekstsvar, treff fra OpenSanctions (navn, fødselsår, lister). Aldri fødselsnummer | Gatewayen: hvilken som helst Vercel-region. Modellen (openai/gpt-5.6-luna): USA | Ja |
| oxylabs, UAB (Vilnius, Litauen) | Søk i åpne kilder (Google) etter negativ omtale | Fullt navn på personer og foretak, med faste søkeord, for eksempel «konkurs». Ett søk er bare navnet | Selskapet er i EU. Behandlingssted er bedt om skriftlig | Søkestrengen sendes videre til Google-søket, som Oxylabs henter på Verids vegne |
| OpenSanctions Datenbanken GmbH | Screening mot sanksjons-, PEP- og terrorlister | Navn, fødselsdato, land, organisasjonsnummer | Google Cloud, Frankfurt | Nei |
| Resend (Plus Five Five, Inc., San Francisco) | E-post | Mottakerens navn og e-postadresse. E-posten med kundeerklæringen har kundens fornavn, meglerens navn og e-postadresse, foretakets navn, adressen til eiendommen og en lenke som virker | Sendes fra eu-west-1, Irland. Konto- og e-postdata lagres i USA | Ja |
| Sentry (Functional Software, Inc., San Francisco) | Varsel når en planlagt jobb (sletting, ny screening) ikke går. Fra tidligst 30 dager etter varselet til foretakene: feilmeldinger fra applikasjonen | I dag: bare innsjekk fra de planlagte jobbene (jobbnavn, status, varighet), ingen personopplysninger. Senere: feilmeldinger og stakkspor. De kan inneholde personopplysninger. IP-adresser lagres ikke, og tall med elleve sifre (fødselsnummer) maskeres hos Sentry | Feildata i Frankfurt (EU-region, valgt da organisasjonen ble opprettet, kan ikke endres). Konto-, organisasjons- og prosjektdata lagres i USA | Ja, for konto- og organisasjonsdata. Feildata: ikke i normal drift |
Om hver leverandør
| Leverandør | Databehandleravtale | Sikkerhet | Lagring hos leverandøren |
|---|---|---|---|
| Neon | Databricks Data Processing Addendum, https://www.databricks.com/legal/databricks-data-processing-addendum | SOC 2 Type II, ISO/IEC 27001:2022, ISO/IEC 27701. https://trust.neon.com | Historikk i 7 døgn |
| Vercel | https://vercel.com/legal/dpa, med standardkontraktsklausulene fra 2021 | SOC 2 Type 2, ISO/IEC 27001. https://security.vercel.com | — |
| Vercel AI Gateway og OpenAI | Vercels AI-vilkår § 8.1 gjør OpenAIs vilkår gjeldende for innholdet. OpenAIs avtale for EØS er med OpenAI Ireland Ltd., https://openai.com/policies/data-processing-addendum/ | — | Nullretensjon er slått på for hvert kall (providerOptions.gateway.zeroDataRetention: true i apps/web/lib/kjoring/modell.ts). Vercel oppgir OpenAI som «nullretensjon med sikkerhetslagring»: forespørsler som blir merket som misbruk, kan bli lagret. Gatewayen lagrer ikke spørsmål og svar, men lagrer metadata om forespørselen |
| Oxylabs | Del av vilkårene (General Conditions), § 6.4: «an integral part of the Agreement». Gjelder fra kontoen ble opprettet 04.10.2026, https://oxylabs.io/legal/oxylabs-data-processing-agreement. oxylabs, UAB, Švitrigailos g. 32, LT-03230 Vilnius, foretaksnr. 302166536. Underleverandører oppgis på skriftlig forespørsel (§ 3.4). Avtalen har ingen standardkontraktsklausuler | SOC 2 Type II (oppgitt av Oxylabs) | Ikke publisert |
| OpenSanctions | Del av API-vilkårene, § 15.3 (artikkel 28). Friedrichstraße 155, 10117 Berlin, HRB 251172B | ISO/IEC 27001:2022 | Lagring av spørsmål er ikke publisert. Serverlogger: 90 dager |
| Resend | https://resend.com/legal/dpa, med standardkontraktsklausulene (2021/914). Varsler nye underleverandører 14 dager i forveien | SOC 2 Type II | 30 dager |
| Sentry | Data Processing Addendum versjon 5.1.0 (29.05.2024), https://sentry.io/legal/dpa/, med standardkontraktsklausulene (2021/914). Inngått 02.10.2026 i Sentrys innstillinger (Legal & Compliance). Varsler nye underleverandører 30 dager i forveien. Sentrys egne underleverandører: https://sentry.io/legal/subprocessors/ (AWS, Cloudflare, Google Cloud og Mailgun i EU; Anthropic og OpenAI for AI-funksjonene) | Ikke sjekket | Feil: 30 dager (Developer), 90 dager (Team). Innsjekker: 30 dager |
Overføringsgrunnlag
For hver leverandør med selskap eller behandling i USA skal grunnlaget være ett av disse, i denne rekkefølgen:
- Leverandøren er sertifisert under EU–US Data Privacy Framework (kommisjonens gjennomføringsbeslutning (EU) 2023/1795 av 10. juli 2023). En anke over beslutningen er til behandling (Latombe, sak C-703/25 P).
- EUs standardkontraktsklausuler for overføring (gjennomføringsbeslutning (EU) 2021/914), med en vurdering av overføringen (TIA).
| Leverandør | Grunnlag | Status |
|---|---|---|
| Neon | Data Privacy Framework: Databricks, Inc. er aktiv, og Neon, LLC er dekket | Grunnlag finnes. Avtalen gjelder gjennom vilkårene. Kopi lagret 28.09.2026 |
| Vercel | Data Privacy Framework: aktiv. Standardkontraktsklausuler i avtalen | Grunnlag finnes. Avtalen gjelder gjennom vilkårene. Kopi lagret 28.09.2026 |
| OpenAI (via Vercel) | Ikke sertifisert under Data Privacy Framework. Grunnlaget er standardkontraktsklausuler | Gjenstår: Vercels AI-vilkår § 8.1 gjør OpenAIs vilkår gjeldende, men Verid har ingen egen konto hos OpenAI og kan ikke inngå OpenAIs avtale direkte. Be Vercel bekrefte skriftlig hvilken avtale som gjelder for innhold gjennom gatewayen, og dokumenter vurderingen av overføringen |
| Oxylabs | Selskapet er i EU, så overføring til Oxylabs trenger ikke grunnlag | Gjenstår: be om listen over underleverandører, og om søk behandles utenfor EØS |
| Resend | Data Privacy Framework: «aktiv, fornyelse under vurdering». Standardkontraktsklausuler i avtalen | Grunnlag finnes. Avtalen gjelder gjennom vilkårene. Kopi lagret 28.09.2026 |
| Sentry | Data Privacy Framework: Functional Software, Inc. oppgir at selskapet deltar (personvernerklæringen, lest 01.10.2026). Standardkontraktsklausuler i avtalen | Avtalen er inngått 02.10.2026. Gjenstår: lagre en kopi og sjekk oppføringen i listen. AI-funksjonene (Seer) er slått av 02.10.2026, så opplysninger ikke går videre til Anthropic og OpenAI |
Sjekk sertifiseringen på https://www.dataprivacyframework.gov/list og lagre en kopi av oppføringen med dato.
Kilder — ikke underdatabehandlere
Verid henter opplysninger fra disse. De behandler ingenting på vegne av Verid eller meglerforetaket, og står her for å gi et fullt bilde.
| Kilde | Hva Verid sender |
|---|---|
| Brønnøysundregistrene: Enhetsregisteret, Regnskapsregisteret, Kunngjøringer | Organisasjonsnummer, foretaksnavn. Også fritekstsøk på foretaksnavn |
| Brønnøysundregistrene: Register over reelle rettighetshavere (via Maskinporten) | Organisasjonsnummer |
| Digdir: Maskinporten | Meglerforetakets organisasjonsnummer (consumer_org) |
| Kartverket: grunnboken (Matrikkel) | Matrikkelreferanse |
| Kartverket: adressesøk (Geonorge) | Adressetekst |
| Finanstilsynet: konsesjonsregisteret | Bare meglerforetakets eget organisasjonsnummer |
Mottakere etter lov
Økokrim (Enheten for finansiell etterretning) mottar melding om mistenkelig transaksjon når meglerforetaket sender den gjennom Verid (hvitvaskingsloven § 26). Økokrim er mottaker etter lov, ikke underdatabehandler. Meldingen kan inneholde fødselsnummer, som sendes direkte og ikke lagres i Verid.
Tidligere leverandører
| Leverandør | Brukt til | Hvorfor den ble byttet ut |
|---|---|---|
| Serper (serper.dev) | Søk i åpne kilder, til 05.10.2026 | Serper svarte 05.10.2026 at de ikke tilbyr databehandleravtale eller standardkontraktsklausuler til vanlige kunder (bare fra 600 000 USD i året), at søkene logges uten tidsgrense, og at behandlingen skjer i USA og Singapore. De frarådet selv å bruke tjenesten med navn på personer. Byttet til Oxylabs |