Underdatabehandlere
På denne side
Gældende fra: 2026-05-14 – Version: 1.10
Denne side er det autoritative register over alle underdatabehandlere, som fremverk bruger til at levere tjenesten, og du kan linke direkte til den. Registret er forankret i DPA §10 og DPA bilag B, og indkøbsafdelinger kan henvise direkte til denne URL i deres dokumentation for leverandørvurdering.
Forpligtelse til varsling af ændringer #
Enhver tilføjelse, udskiftning eller væsentlig ændring af listen over underdatabehandlere varsles 30 dage i forvejen via to parallelle kanaler i henhold til DPA §10.2: (a) en direkte e-mail til den registrerede faktureringskontakt for hver kundes organisation (den kontraktlige kanal – leveringen registreres i fremverks revisionslog med e-mailudbyderens besked-id pr. modtager), OG (b) et offentligt opslag på denne side og på mailinglisten for sikkerhedsmeddelelser (som en service til adresser uden for faktureringen, fx sikkerhedsteams og compliance-ansvarlige). Kunder, der gør indsigelse mod en ny underdatabehandler med dokumenterede databeskyttelsesmæssige begrundelser, kan bruge opsigelsesretten i DPA §10.2 og få forholdsmæssig refusion af forudbetalte, ubrugte gebyrer.
Ved akut tilføjelse (fx øjeblikkelig udskiftning af en underdatabehandler, der selv er kilden til en sikkerhedshændelse) offentliggør fremverk ændringen inden for 24 timer og forlænger indsigelsesfristen til 30 dage efter tilføjelsen. Se DPA §10.3.
Abonnér på varsler om ændringer: tilmeld dig mailinglisten for sikkerhedsmeddelelser – svar og andre spørgsmål sendes til security-notices@frem.sh (aliasset videresender til compliance@frem.sh).
Aktuelle underdatabehandlere #
| Underdatabehandler | Formål | Placering | Certificeringer | DPA / SCC’er |
|---|---|---|---|---|
| Deutsche Telekom AG (T Cloud Public) | Central compute, lager og netværk – alle kundevendte flader | Biere og Magdeburg, DE | ISO 27001, ISO 27017, ISO 27018, BSI C5 Type 2, TISAX | T Cloud Public DPA – EU-kontrolleret, intet amerikansk moderselskab |
| Bunny CDN d.o.o. | Edge-levering, DDoS-afbødning og rate limiting for frem.sh og statiske filer, som kunderne leverer (ingen Web Application Firewall er slået til) | PoP’er i EU (hovedkontor i Slovenien) | ISO 27001 (2025), SOC 2 Type II (2023) | Bunny DPA – EU-kontrolleret, intet amerikansk moderselskab |
| Lettermint B.V. | Udgående transaktionsmails (verifikation, rykkere, sikkerhedsmeddelelser) | Zwolle, NL – upstream OVHcloud SAS (FR) + UpCloud Ltd (datacenter i Amsterdam, NL, registreret i Finland) | Leverandørens certificeringer afventer dokumentation (NL – intet amerikansk moderselskab) | Lettermint DPA – EU-kontrolleret, intet amerikansk moderselskab |
| Mollie B.V. | Betalingsbehandling (oprettelse af mandater, tilbagevendende træk, refusioner) | Amsterdam, NL | PCI-DSS Level 1 | Mollie DPA – EU-kontrolleret, intet amerikansk moderselskab |
| Heinlein Hosting GmbH (mailbox.org) | Hosting af fælles postkasser (support@, abuse@, security@, compliance@, hello@, ops@, enterprise@, info@fremverk.com) | Berlin, Tyskland | ISO 27001, BSI C5, BSI IT-Sicherheitskennzeichen (TR 03108) | Heinlein Hosting DPA – EU-kontrolleret, intet amerikansk moderselskab |
| Visma Dinero ApS | Udstedelse af fakturabilag og lovpligtig opbevaring i 5 år efter bogføringslovens §10 – modtager organisationens juridiske navn, faktureringskontaktens e-mail, momsnummer, fakturalinjer og Mollie-betalings-id. Intet repository-indhold, intet indhold fra revisionsloggen, intet kortnummer (PAN). | København, DK | ISO 27001 (udstedt i DK, intet amerikansk moderselskab) | Visma Dinero DPA – EU-kontrolleret, intet amerikansk moderselskab |
Oplyst af hensyn til gennemsigtighed – ikke underdatabehandlere efter artikel 28 #
Følgende parter berører platformen, men behandler ikke Kundens personoplysninger på fremverks vegne og er derfor ikke underdatabehandlere efter GDPR artikel 28. De står her, så det register, kunderne ser, er fuldstændigt:
| Part | Rolle | Placering | Hvorfor ikke en underdatabehandler |
|---|---|---|---|
| Actalis S.p.A. (Aruba Group) | Certifikatudsteder for origin-TLS til *-origin.frem.sh (eIDAS QTSP) | Italien, EU | Certifikatudstederen modtager kun FQDN’er – aldrig personoplysninger – under udstedelsen via ACME-DNS-01. Undtaget fra bilag B i henhold til DPA §A.4. D-TRUST GmbH (Tyskland, eIDAS QTSP) er bibeholdt som navngiven, betalt reserve. |
| Europa-Kommissionens VIES-tjeneste | Validering af momsnumre ved oprettelse (betingelse for omvendt betalingspligt) | EU-institutionerne | Ikke-kommercielt opslag i en offentlig tjeneste; kun momsnummeret (et virksomhedsregistreringsnummer) sendes. Oplyst i privatlivserklæringen §3.3. |
| Simply.com A/S | Registrar + DNS for brand-domænerne fremforge.{com,eu,dk}, der omdirigerer (alle 301 → www.frem.sh) | Danmark | Ingen af Kundens personoplysninger passerer Simply.com – kun DNS-opslag for omdirigeringsmålene. Kundevendte flader bruger BunnyDNS (Bunny CDN d.o.o., Slovenien – samme underdatabehandler som CDN-, WAF- og edge-laget, allerede oplyst i tabellen over underdatabehandlere i bilag B ovenfor). |
Det bruger vi ikke #
- Ingen CDN- eller edge-udbyder med amerikansk moderselskab er på vejen for forespørgsler til kundevendte endpoints.
- Ingen databehandler til analyse eller telemetri. Fase 1 har ingen produktanalyse overhovedet – i overensstemmelse med det, cookiepolitikken og privatlivserklæringen allerede siger (ingen analyse, intet samtykkebanner). Ingen Google Analytics, ingen Mixpanel, ingen Segment, ingen Plausible. Selvhostet Plausible (T Cloud Public
eu-de) er på roadmappen efter lanceringen; hvis og når det tages i brug, kommer det til at stå i ændringsloggen nedenfor og som førsteparts-databehandler på niveau 1 i bilag B (data bliver i fremverks T Cloud Public-konto; intet sendes ud til tredjepart). - Ingen AI- eller LLM-udbyder bliver kaldt med kundeindhold. Funktioner med agentmandater (jf. DPA §11A) handler efter kundens instruks på kørselstidspunktet og sender ikke indhold gennem en tredjeparts model; fremverk gemmer ikke kundeindhold i noget modelkorpus. Underdatabehandlerne er kontraktligt bundet af samme forbud – se Forbud mod AI-træning hos underdatabehandlere nedenfor.
- Ingen amerikansk betalingsudbyder. Mollie (NL) håndterer alle betalinger.
- Ingen leverandør af bot-beskyttelseswidgets. Oprettelse i Forgejo bruger selvhostet Altcha (MIT-licens, HMAC-signeret PoW), der kører i processen inde i api-monolitten på samme T Cloud Public-cluster; ingen Cloudflare Turnstile, ingen hCaptcha, ingen Google reCAPTCHA.
CLOUD Act #
Alle enheder ovenfor er EU-kontrollerede og har intet amerikansk moderselskab. Ingen eksponering for CLOUD Act på nogen behandlingsvej. Der kræves ingen Schrems II-vurdering af overførselsrisiko (TIA), fordi ingen af Kundens personoplysninger overføres uden for EU/EØS.
Hele forpligtelsen står i DPA §11.3 og i Tillid – afsnittet om Schrems II.
Forbud mod AI-træning hos underdatabehandlere #
Forpligtelsen om »ingen AI-træning på kundedata« i DPA §6A binder alle led i kæden af underdatabehandlere. De offentlige forpligtelser fra hver underdatabehandler, som understøtter den, er listet nedenfor til krydsreference. Hvor en underdatabehandler tilbyder at tilvælge modeltræning, har fremverk ikke gjort det.
| Underdatabehandler | Offentlig forpligtelse, vi baserer os på |
|---|---|
| Deutsche Telekom AG (T Cloud Public / T Cloud Public) | T Cloud Publics tjenestebeskrivelse og DPA – IaaS-laget; platformen tilgår ikke kundernes indhold. T Cloud Publics AI-principper forpligter til dataminimering og formålsbegrænsning i AI udviklet af Telekom, og IaaS-databehandleraftalen forbyder brug af kundernes data til andet end levering af tjenesten. |
| Bunny CDN d.o.o. | Bunnys DPA – Bunny behandler kun trafik til caching, TLS-terminering, DDoS-afbødning og rate limiting; der gives ingen ret til modeltræning. Bunnys oplysning om AI-politik bekræfter, at ingen AI-model trænes på indholdet af kundernes trafik. |
| Lettermint B.V. | Lettermints DPA + privatlivspolitik – omfatter transaktionsmails; relæ kun for udgående post. Kundernes modtagerlister bruges ikke til modeltræning på tværs af konti, og der er ikke slået nogen tilvalg af AI eller modeltræning til. |
| Mollie B.V. | Mollies privatlivserklæring og omfanget efter PSD2 / PCI-DSS – kun transaktionsbehandling; Mollie træner ikke AI-modeller på forhandlerens transaktionsmetadata. |
| Heinlein Hosting GmbH (mailbox.org) | mailbox.orgs privatlivserklæring – en udtrykkelig holdning om »ingen AI-træning, ingen profilering«; mailbox.org skriver gang på gang i sin markedsføring »Wir trainieren keine KI mit Ihren Daten« (»vi træner ikke AI på dine data«). |
| Visma Dinero ApS | Visma-koncernens politik for privatliv og AI – omfatter bogføringsintegrationen; ingen træning på Kundens personoplysninger, der passerer integrationen. fremverks bogføringsvej modtager organisationens juridiske navn, faktureringskontaktens e-mail, momsnummer, fakturalinjer og Mollie-betalings-id (personoplysninger om organisationens administrator); intet repository-indhold, intet indhold fra revisionsloggen, intet kortnummer (PAN). |
| Actalis S.p.A. | eIDAS QTSP – modtager kun domænenavne under udstedelsen via ACME-DNS-01; en certifikatudsteders rolle udelukker afledt brug af indhold. |
| Europa-Kommissionens VIES-tjeneste | Opslag i en offentlig tjeneste; uden for AI-træning (ingen kommerciel ML trænet på trafik til momsregistret). |
| Simply.com A/S | Kun registrar / DNS for omdirigeringsdomæner; ingen vej for Kundens personoplysninger. |
Hvis en underdatabehandler ændrer holdning til AI-træning, er fremverk efter DPA §6 (underdatabehandlere) forpligtet til at varsle kunderne på forhånd og give dem ret til at gøre indsigelse, før den nye behandling begynder. Ændringsloggen nederst på siden registrerer hver sådan overgang.
Fodnote om kortnetværk #
Kortbetalinger gennem Mollie føres teknisk via PCI-DSS-attesterede kortnetværk som under-underdatabehandlere: Visa Europe Services Inc. (britisk filial) og Mastercard Europe SA (Belgien). Begge er driftsselskaber i EU, men deres øverste moderselskaber (Visa Inc., Mastercard Inc.) er registreret i USA. fremverk har ingen direkte kontrakt med disse netværk – de er Mollies under-underdatabehandlere efter PCI-DSS-netværksreglerne. Udsagnet »intet amerikansk moderselskab« ovenfor gælder fremverks egen kæde af underdatabehandlere på driftsselskabsniveau. Kunder, der ønsker nul eksponering for amerikanske moderselskaber på betalingsvejen, kan betale med SEPA Direct Debit (Mollies SEPA-vej involverer ingen kortnetværk som under-underdatabehandler). Se DPA §11.3 for den fulde ramme.
Alternativer på kundens anmodning #
Standardsættet af underdatabehandlere har allerede nul eksponering for amerikanske moderselskaber. Under Enterprise-on-Demand kan kunder desuden anmode om:
- Revision af eventuelle ønsker om fastlåsning til bestemte regioner i T Cloud Public (
eu-deer standard; andre EU-regioner kan fås efter anmodning, så længe funktionerne er de samme). - Strengere forpligtelser om dataophold i en bestemt region end standarden (fx kontraktlig fastlåsning til én enkelt availability zone i eu-de).
Kontakt enterprise@frem.sh for at afklare omfanget.
Tidligere ændringer #
Dette afsnit viser ændringshistorikken for listen over underdatabehandlere med de nyeste øverst. Listen ovenfor viser altid den aktuelle tilstand.
| Dato | Ændring | Varsel offentliggjort |
|---|---|---|
| 2026-10-04 | Bunny CDN’s formål nævner ikke længere WAF: der har ikke været slået en Web Application Firewall til på edge for nogen af fremforges flader siden 2026-05-09 (DPA bilag A.2). Ingen ændring af underdatabehandler, behandlingsformål eller datakategori; beskrivelsen passer nu med det, Bunny gør. | Ikke påkrævet (rettelse, ingen ændring i behandlingen) |
| 2026-05-14 | Udgående transaktionsmails flyttet fra Sendinblue SAS (Brevo, FR) til Lettermint B.V. (Zwolle, NL). Brevo udfaset 2026-05-14. Vejen for udgående mail forbliver kun i EU uden databehandlere med amerikansk moderselskab; rækken om forbud mod AI-træning er omskrevet tilsvarende. Svarer til DPA v1.9. | n/a (ingen kunder med underskrevet aftale; før lancering) |
| 2026-05-08 | Gennemsigtighedsrunde 7: Actalis S.p.A. (certifikatudsteder for origin-TLS, IT, eIDAS QTSP), EU’s VIES-tjeneste (momsvalidering) og Simply.com A/S (DK, DNS for brand-omdirigering) tilføjet i et nyt afsnit »Oplyst af hensyn til gennemsigtighed – ikke underdatabehandlere efter artikel 28«. Ingen af dem modtager Kundens personoplysninger; undtaget fra bilag B i henhold til DPA §A.4. | n/a (ingen kunder med underskrevet aftale; før lancering) |
| 2026-05-06 | Visma Dinero ApS (Danmark) tilføjet i bilag B som underdatabehandler på faktureringsvejen. Omfang af Kundens personoplysninger: organisationens juridiske navn, faktureringskontakt, momsnummer, fakturalinjer, Mollie-betalings-id. Lovpligtig opbevaring i 5 år efter bogføringslovens §10. Svarer til DPA v1.4 (revideret i v1.5 – den tidligere formulering »ingen vej for Kundens personoplysninger« var forkert). | n/a (ingen kunder med underskrevet aftale; før lancering) |
| 2026-04-27 | Hosting af indgående fælles postkasser flyttet fra Microsoft Ireland Operations Ltd. til Heinlein Hosting GmbH (mailbox.org), Berlin, Tyskland – fjerner den tidligere underdatabehandler med amerikansk moderselskab på vejen for indgående post | n/a (ingen kunder med underskrevet aftale; før lancering) |
| 2026-04-25 | Første register | Ikrafttrædelsesdato |
Kontakt #
Spørgsmål om underdatabehandlere:
- Privatliv / databehandleraftalens omfang: compliance@frem.sh
- Indkøb / leverandørvurdering: enterprise@frem.sh
- Tilmelding til sikkerhedsmailinglisten: lists.frem.sh/subscription/form (alias: security-notices@frem.sh – videresender til compliance@)
Se også: Tillid · Privatlivserklæring