Vedlegg 3 til databehandleravtalen. Listen over underdatabehandlere Verid bruker når Verid behandler personopplysninger på vegne av et meglerforetak.
Verid varsler meglerforetakene minst 30 dager før Verid tar i bruk en ny underleverandør eller bytter ut en. Når en underleverandør selv endrer sine underleverandører med kortere varsel (Resend varsler 14 dager i forveien), varsler Verid innen fem virkedager etter å ha fått beskjed. Se databehandleravtalen punkt 5.2.
Sist oppdatert: 28.09.2026. Leverandørenes vilkår og sertifiseringer er sjekket samme dag.
Underdatabehandlere
| Leverandør | Hva de gjør | Opplysninger | Lokasjon for behandlingen | Overføring ut av EØS |
|---|---|---|---|---|
| Neon (avtalepart: Databricks, Inc., morselskapet til Neon, LLC) | Database | All saksdata | AWS eu-central-1, Frankfurt | Ikke i normal drift. Selskapet er i USA |
| Vercel Inc. | Kjøring av applikasjonen, arkiv (Blob), PDF-konvertering (Sandbox), driftslogger | All saksdata under behandling. Godkjente rapporter. Sandbox får den godkjente rapporten som .docx | Funksjoner i fra1, Frankfurt. Blob i fra1 (valgt da lageret ble opprettet, ikke kontrollert på nytt). Sandbox i fra1 fra 28.09.2026 (før det iad1, USA) | Ikke i normal drift. Selskapet er i USA. Blob kan mellomlagre private filer i regionale knutepunkter |
| Vercel AI Gateway, videre til OpenAI | Språkmodell: sortering av søketreff, forslag til risikovurdering med utkast, forslag til svar | Navn, fødselsdato eller organisasjonsnummer, statsborgerskap, søketreff (tittel, lenke, utdrag), tekst fra observasjoner og sjekkliste, meglerens fritekstsvar, treff fra OpenSanctions (navn, fødselsår, lister). Aldri fødselsnummer | Gatewayen: hvilken som helst Vercel-region. Modellen (openai/gpt-5.6-luna): USA | Ja |
| Serper (serper.dev) | Søk i åpne kilder (Google) etter negativ omtale | Fullt navn på personer og foretak, med faste søkeord, for eksempel «konkurs». Ett søk er bare navnet | USA | Ja |
| OpenSanctions Datenbanken GmbH | Screening mot sanksjons-, PEP- og terrorlister | Navn, fødselsdato, land, organisasjonsnummer | Google Cloud, Frankfurt | Nei |
| Resend (Plus Five Five, Inc., San Francisco) | E-post | Mottakerens navn og e-postadresse. E-posten med kundeerklæringen har kundens fornavn, meglerens navn og e-postadresse, foretakets navn, adressen til eiendommen og en lenke som virker | Sendes fra eu-west-1, Irland. Konto- og e-postdata lagres i USA | Ja |
Om hver leverandør
| Leverandør | Databehandleravtale | Sikkerhet | Lagring hos leverandøren |
|---|---|---|---|
| Neon | Databricks Data Processing Addendum, https://www.databricks.com/legal/databricks-data-processing-addendum | SOC 2 Type II, ISO/IEC 27001:2022, ISO/IEC 27701. https://trust.neon.com | Vinduet for gjenoppretting er ikke dokumentert |
| Vercel | https://vercel.com/legal/dpa, med standardkontraktsklausulene fra 2021 | SOC 2 Type 2, ISO/IEC 27001. https://security.vercel.com | — |
| Vercel AI Gateway og OpenAI | Vercels AI-vilkår § 8.1 gjør OpenAIs vilkår gjeldende for innholdet. OpenAIs avtale for EØS er med OpenAI Ireland Ltd., https://openai.com/policies/data-processing-addendum/ | — | Nullretensjon er slått på for hvert kall (providerOptions.gateway.zeroDataRetention: true i apps/web/lib/kjoring/modell.ts). Vercel oppgir OpenAI som «nullretensjon med sikkerhetslagring»: forespørsler som blir merket for misbruk, kan bli lagret. Gatewayen lagrer ikke spørsmål og svar, men lagrer metadata om forespørselen |
| Serper | Ingen publisert. Juridisk enhet er ikke funnet: det britiske selskapet SERPER LIMITED (14730440) ble oppløst i 2024 | Ikke publisert | Ikke publisert |
| OpenSanctions | Del av API-vilkårene, § 15.3 (artikkel 28). Friedrichstraße 155, 10117 Berlin, HRB 251172B | ISO/IEC 27001:2022 | Lagring av spørsmål er ikke publisert. Serverlogger: 90 dager |
| Resend | https://resend.com/legal/dpa, med standardkontraktsklausulene (2021/914). Varsler nye underleverandører 14 dager i forveien | SOC 2 Type II | 30 dager |
Overføringsgrunnlag
For hver leverandør med selskap eller behandling i USA skal grunnlaget være ett av disse, i denne rekkefølgen:
- Leverandøren er sertifisert under EU–US Data Privacy Framework (kommisjonens gjennomføringsbeslutning (EU) 2023/1795 av 10. juli 2023). En anke over beslutningen er til behandling (Latombe, sak C-703/25 P).
- EUs standardkontraktsklausuler for overføring (gjennomføringsbeslutning (EU) 2021/914), med en vurdering av overføringen (TIA).
| Leverandør | Grunnlag | Status |
|---|---|---|
| Neon | Data Privacy Framework: Databricks, Inc. er aktiv, og Neon, LLC er dekket | Grunnlag finnes. Avtalen gjelder gjennom vilkårene. Kopi lagret 28.09.2026 |
| Vercel | Data Privacy Framework: aktiv. Standardkontraktsklausuler i avtalen | Grunnlag finnes. Avtalen gjelder gjennom vilkårene. Kopi lagret 28.09.2026 |
| OpenAI (via Vercel) | Ikke sertifisert under Data Privacy Framework. Grunnlaget er standardkontraktsklausuler | Gjenstår: Vercels AI-vilkår § 8.1 gjør OpenAIs vilkår gjeldende, men Verid har ingen egen konto hos OpenAI og kan ikke inngå OpenAIs avtale direkte. Be Vercel bekrefte skriftlig hvilken avtale som gjelder for innhold gjennom gatewayen, og dokumenter vurderingen av overføringen |
| Serper | Ingen. Ikke sertifisert, ingen avtale | Mangler. Be om juridisk enhet og databehandleravtale skriftlig, eller bytt leverandør |
| Resend | Data Privacy Framework: «aktiv, fornyelse under vurdering». Standardkontraktsklausuler i avtalen | Grunnlag finnes. Avtalen gjelder gjennom vilkårene. Kopi lagret 28.09.2026 |
Sjekk sertifiseringen på https://www.dataprivacyframework.gov/list og lagre en kopi av oppføringen med dato.
Kilder — ikke underdatabehandlere
Verid henter opplysninger fra disse. De behandler ingenting på vegne av Verid eller meglerforetaket, og står her for å gi et fullt bilde.
| Kilde | Hva Verid sender |
|---|---|
| Brønnøysundregistrene: Enhetsregisteret, Regnskapsregisteret, Kunngjøringer | Organisasjonsnummer, foretaksnavn. Også fritekstsøk på foretaksnavn |
| Brønnøysundregistrene: Register over reelle rettighetshavere (via Maskinporten) | Organisasjonsnummer |
| Digdir: Maskinporten | Meglerforetakets organisasjonsnummer (consumer_org) |
| Kartverket: grunnboken (Matrikkel) | Matrikkelreferanse |
| Kartverket: adressesøk (Geonorge) | Adressetekst |
| Finanstilsynet: konsesjonsregisteret | Bare meglerforetakets eget organisasjonsnummer |
Mottakere etter lov
Økokrim (Enheten for finansiell etterretning) mottar melding om mistenkelig transaksjon når meglerforetaket sender den gjennom Verid (hvitvaskingsloven § 26). Økokrim er mottaker etter lov, ikke underdatabehandler. Meldingen kan inneholde fødselsnummer, som sendes direkte og ikke lagres i Verid.