Underleverandører
På denne siden
Gjelder fra: 2026-05-14 – Versjon: 1.10
Denne siden er det offisielle registeret, som du kan lenke direkte til, over hver underleverandør fremverk bruker for å levere Tjenesten. Registeret er lovet i DPA §10 og DPA vedlegg B, og innkjøpsavdelinger kan vise direkte til denne URL-en i leverandørvurderingen sin.
Forpliktelse om varsel ved endringer #
Hvert tillegg, bytte eller vesentlige endring i oversikten over underleverandører varsles 30 dager i forveien gjennom to parallelle kanaler etter DPA §10.2: (a) en e-post direkte til hver Kundes registrerte faktureringskontakt for organisasjonen (den avtalemessige kanalen – leveringen registreres i fremverks revisjonslogg med e-postleverandørens meldings-ID per mottaker), OG (b) en publisering på denne siden og på sikkerhetsutsendelsen (for å gjøre det enklere for adresser utenfor faktureringen, som sikkerhetsteam og etterlevelsesansvarlige). Kunder som protesterer mot en ny underleverandør av dokumenterte personvernhensyn, kan bruke oppsigelsesretten i DPA §10.2 med tilbakebetaling i forhold til forhåndsbetalte, ubrukte Avgifter.
Ved et akutt tillegg (f.eks. umiddelbart bytte av en underleverandør som selv er kilden til en sikkerhetshendelse) publiserer fremverk endringen innen 24 timer og forlenger fristen for innsigelser til 30 dager etter tillegget. Se DPA §10.3.
Abonner på varsler om endringer: abonner på sikkerhetsutsendelsen – svar og spørsmål utenfor utsendelsen havner på security-notices@frem.sh (aliaset videresender til compliance@frem.sh).
Gjeldende underleverandører #
| Underleverandør | Formål | Sted | Sertifiseringer | DPA / SCC-er |
|---|---|---|---|---|
| Deutsche Telekom AG (T Cloud Public) | Grunnleggende databehandling, lagring, nettverk – hver flate kunden møter | Biere & Magdeburg, DE | ISO 27001, ISO 27017, ISO 27018, BSI C5 Type 2, TISAX | T Cloud Publics DPA – kontrollert i EU, ikke noe amerikansk morselskap |
| Bunny CDN d.o.o. | Edge-levering, DDoS-beskyttelse og frekvensbegrensning for frem.sh og statiske ressurser kundene leverer (ingen Web Application Firewall er aktivert) | PoP-er i EU (hovedkontor i Slovenia) | ISO 27001 (2025), SOC 2 Type II (2023) | Bunnys DPA – kontrollert i EU, ikke noe amerikansk morselskap |
| Lettermint B.V. | Utgående transaksjonell e-post (verifisering, betalingspåminnelser, sikkerhetsmeldinger) | Zwolle, NL – upstream OVHcloud SAS (FR) + UpCloud Ltd (datasenter i Amsterdam, NL, registrert i Finland) | Leverandørens sertifiseringer venter på dokumentasjon (NL – ikke noe amerikansk morselskap) | Lettermints DPA – kontrollert i EU, ikke noe amerikansk morselskap |
| Mollie B.V. | Betalingsbehandling (opprettelse av fullmakter, gjentakende trekk, tilbakebetalinger) | Amsterdam, NL | PCI-DSS Level 1 | Mollies DPA – kontrollert i EU, ikke noe amerikansk morselskap |
| Heinlein Hosting GmbH (mailbox.org) | Hosting av delte postbokser (support@, abuse@, security@, compliance@, hello@, ops@, enterprise@, info@fremverk.com) | Berlin, Tyskland | ISO 27001, BSI C5, BSI IT-Sicherheitskennzeichen (TR 03108) | Heinlein Hostings DPA – kontrollert i EU, ikke noe amerikansk morselskap |
| Visma Dinero ApS | Utstedelse og lovpålagt oppbevaring i 5 år av fakturabilag etter Bogføringsloven §10 – mottar organisasjonens juridiske navn, faktureringskontaktens e-postadresse, MVA-nummer, fakturalinjer og referanse til Mollies betalings-ID. Ikke noe innhold fra repositoryer, ikke noe innhold fra revisjonsloggen, ingen PAN. | København, DK | ISO 27001 (utstedt i DK, ikke noe amerikansk morselskap) | Visma Dineros DPA – kontrollert i EU, ikke noe amerikansk morselskap |
Oppgitt av hensyn til åpenhet – ikke underleverandører etter artikkel 28 #
Følgende motparter berører plattformen, men behandler ikke Kundens personopplysninger på vegne av fremverk og er derfor ikke underleverandører etter artikkel 28 i GDPR. De er tatt med her slik at registeret kundene ser, er komplett:
| Motpart | Rolle | Sted | Hvorfor ikke en underleverandør |
|---|---|---|---|
| Actalis S.p.A. (Aruba Group) | Sertifikatutsteder for origin-TLS for *-origin.frem.sh (kvalifisert tilbyder av tillitstjenester etter eIDAS) | Italia, EU | Sertifikatutstederen mottar bare FQDN-er – aldri personopplysninger – under utstedelsen med ACME-DNS-01. Unntatt fra vedlegg B etter DPA §A.4. D-TRUST GmbH (Tyskland, kvalifisert tilbyder etter eIDAS) er fortsatt navngitt, betalt reserve. |
| Europakommisjonens VIES-tjeneste | Validering av MVA-nummer ved registrering (for omvendt avgiftsplikt) | EUs institusjoner | Ikke-kommersielt oppslag hos offentlig sektor; bare MVA-nummeret (et foretaksregistreringsnummer) sendes. Oppgitt i personvernerklæringen §3.3. |
| Simply.com A/S | Registrar + DNS for varemerkedomenene fremforge.{com,eu,dk} som videresendes (alle 301 → www.frem.sh) | Danmark | Ingen av Kundens personopplysninger går gjennom Simply.com – bare DNS-oppslag for videresendingsmålene. Flatene kundene møter, bruker BunnyDNS (Bunny CDN d.o.o., Slovenia – samme underleverandør som for CDN/WAF/edge, allerede oppgitt i tabellen over underleverandører i vedlegg B ovenfor). |
Dette bruker vi ikke #
- Ingen CDN- eller edge-leverandør med amerikansk morselskap er på forespørselsveien for endepunkter kundene bruker.
- Ingen databehandler for analyse eller telemetri. Fase 1 leveres helt uten produktanalyse – i tråd med det cookiepolicyen + personvernerklæringen allerede sier (ingen analyse, ingen samtykkebanner). Ingen Google Analytics, ingen Mixpanel, ingen Segment, ingen Plausible. Selvhostet Plausible (T Cloud Public
eu-de) står på veikartet etter lanseringen; hvis og når den rulles ut, vil den vises i endringsloggen nedenfor og som en førsteparts databehandler på nivå 1 i vedlegg B (opplysningene blir i fremverks T Cloud Public-konto; ingen utflyt til tredjepart). - Ingen AI-/LLM-leverandør kalles på Kundeinnhold. Funksjoner med agentfullmakt (etter DPA §11A) handler på kundens instruks under kjøring og sender ikke innhold gjennom noen modell hos tredjepart; fremverk beholder ikke noe Kundeinnhold i noe modellkorpus. Underleverandørene er avtalemessig bundet av det samme forbudet – se Forbud mot AI-trening hos underleverandører nedenfor.
- Ingen amerikansk betalingsleverandør. Mollie (NL) håndterer hvert trekk.
- Ingen leverandør av widgeter for bot-beskyttelse. Registreringen i Forgejo bruker selvhostet Altcha (MIT-lisensiert, HMAC-signert PoW) som kjører i samme prosess inne i api-monolitten på samme T Cloud Public-klynge; ingen Cloudflare Turnstile, ingen hCaptcha, ingen Google reCAPTCHA.
Posisjon overfor CLOUD Act #
Hver post ovenfor er en aktør som kontrolleres i EU og ikke har noe amerikansk morselskap. Ingen eksponering for CLOUD Act på noen behandlingsvei. Ingen vurdering av overføringer etter Schrems II er nødvendig, fordi ingen av Kundens personopplysninger overføres ut av EU/EØS.
For den fullstendige posisjonen, se DPA §11.3 og avsnittet om Schrems II på siden Tillit.
Forbud mot AI-trening hos underleverandører #
Forpliktelsen om «ingen AI-trening på Kundens data» i DPA §6A binder hver aktør blant underleverandørene. De offentlige forpliktelsene fra hver underleverandør som støtter dette, er listet opp nedenfor som referanse. Der en underleverandør tilbyr å aktivt tillate modelltrening, har fremverk ikke gjort det.
| Underleverandør | Offentlig forpliktelse vi bygger på |
|---|---|
| Deutsche Telekom AG (T Cloud Public / T Cloud Public) | T Cloud Publics tjenestebeskrivelse og DPA – IaaS-lag; plattformen har ikke tilgang til organisasjonens innhold. T Cloud Publics AI-prinsipper innebærer en forpliktelse til dataminimering og formålsbegrensning i AI-en Telekom utvikler, og IaaS-DPA-en forbyr at kundens nyttelast brukes til noe annet formål enn å levere tjenesten. |
| Bunny CDN d.o.o. | Bunnys DPA – Bunny behandler trafikk bare for bufring, TLS-terminering, DDoS-beskyttelse og frekvensbegrensning; ingen rett til modelltrening er gitt. Bunnys redegjørelse for sin AI-policy bekrefter at ingen AI-modell trenes på nyttelast i kundetrafikk. |
| Lettermint B.V. | Lettermints DPA + personvernerklæring – omfatter transaksjonell e-post; bare utgående relé. Kundenes mottakerlister brukes ikke til modelltrening på tvers av kontoer, og ingen valgmulighet for AI-/modelltrening er slått på. |
| Mollie B.V. | Mollies personvernerklæring og omfanget etter PSD2 / PCI-DSS – bare transaksjonsbehandling; Mollie trener ikke AI-modeller på transaksjonsmetadata for brukerstedet. |
| Heinlein Hosting GmbH (mailbox.org) | mailbox.orgs personvernerklæring – uttrykkelig posisjon om «ingen AI-trening, ingen profilering»; mailbox.org skriver jevnlig i markedsføringen sin «Wir trainieren keine KI mit Ihren Daten» («vi trener ikke AI på dataene dine»). |
| Visma Dinero ApS | Visma Groups policy for personvern og AI – omfatter regnskapsintegrasjonen; ingen trening på Kundens personopplysninger som går gjennom integrasjonen. fremverks regnskapsflyt mottar organisasjonens juridiske navn, faktureringskontaktens e-postadresse, MVA-nummer, fakturalinjer og Mollies betalings-ID (Kundens personopplysninger om organisasjonens administrator); ikke noe innhold fra repositoryer, ikke noe innhold fra revisjonsloggen, ingen PAN. |
| Actalis S.p.A. | Kvalifisert tilbyder av tillitstjenester etter eIDAS – mottar bare domenenavn ved utstedelse med ACME-DNS-01; rollen som sertifikatutsteder utelukker bruk som bygger på innholdet. |
| Europakommisjonens VIES-tjeneste | Oppslag hos offentlig sektor; utenfor virkeområdet for AI-trening (ingen maskinlæring for forbrukere trenes på trafikk til MVA-registeret). |
| Simply.com A/S | Registrar / DNS bare for videresendingsdomener; ingen vei for Kundens personopplysninger. |
Hvis en underleverandør endrer posisjonen sin til AI-trening, er fremverk etter DPA §6 (Underleverandører) forpliktet til å varsle Kundene på forhånd og gi dem rett til å protestere før den nye behandlingen begynner. Endringsloggen nederst på siden registrerer hver slik overgang.
Fotnote om kortnettverk #
Kortbetalinger via Mollie går teknisk gjennom PCI-DSS-attesterte kortnettverk som er underleverandører i annet ledd: Visa Europe Services Inc. (filial i Storbritannia) og Mastercard Europe SA (Belgia). Begge er europeiske driftsselskaper, men de øverste morselskapene deres (Visa Inc., Mastercard Inc.) er registrert i USA. fremverk har ingen avtaler direkte med disse nettverkene – de er Mollies underleverandører i annet ledd etter PCI-DSS-nettverksreglene. Påstanden om «ikke noe amerikansk morselskap» ovenfor gjelder fremverks egne underleverandører på driftsselskapsnivå. Kunder som vil unngå all eksponering mot amerikanske morselskaper på betalingsveien, kan betale med SEPA Direct Debit (Mollies SEPA-vei involverer ikke noe kortnettverk som underleverandør i annet ledd). Se DPA §11.3 for hele resonnementet.
Alternativer på kundens forespørsel #
Standardoppsettet av underleverandører har allerede ingen eksponering mot amerikanske morselskaper. Med Enterprise-on-Demand kan Kunder i tillegg be om:
- Vurdering av eventuelle ønsker om låsing til bestemte regioner i T Cloud Public (
eu-deer standard; andre EU-regioner er tilgjengelige på forespørsel, forutsatt at funksjonene er de samme). - Regionspesifikke forpliktelser om datalokalisering som er sterkere enn standard (f.eks. avtalemessig låsing til én enkelt tilgjengelighetssone i eu-de).
Kontakt enterprise@frem.sh for å avgrense behovet.
Tidligere endringer #
Dette avsnittet registrerer endringshistorikken for oversikten over underleverandører i omvendt kronologisk rekkefølge. Oversikten ovenfor viser alltid gjeldende status.
| Dato | Endring | Varsel publisert |
|---|---|---|
| 2026-10-04 | Formålet til Bunny CDN oppgir ikke lenger WAF: ingen Web Application Firewall har vært aktivert ved edge på noen av fremforges flater siden 2026-05-09 (DPA vedlegg A.2). Ingen endringer i underleverandør, formål med behandlingen eller datakategori; beskrivelsen stemmer nå med det Bunny gjør. | Ikke påkrevd (rettelse, ingen endring i behandlingen) |
| 2026-05-14 | Utgående transaksjonell e-post ble flyttet fra Sendinblue SAS (Brevo, FR) til Lettermint B.V. (Zwolle, NL). Brevo ble faset ut 2026-05-14. Veien for utgående e-post er fortsatt helt i EU uten databehandler med amerikansk morselskap; raden om forbud mot AI-trening ble skrevet om tilsvarende. Speiler DPA v1.9. | ikke relevant (ingen avtalekunder; før lansering) |
| 2026-05-08 | Åpenhetsrunde 7: Actalis S.p.A. (sertifikatutsteder for origin-TLS, IT, kvalifisert tilbyder etter eIDAS), EUs VIES-tjeneste (MVA-validering) og Simply.com A/S (DK, DNS for videresending av varemerkedomener) ble lagt til i et nytt avsnitt «Oppgitt av hensyn til åpenhet – ikke underleverandører etter artikkel 28». Ingen av dem mottar Kundens personopplysninger; unntatt fra vedlegg B etter DPA §A.4. | ikke relevant (ingen avtalekunder; før lansering) |
| 2026-05-06 | Visma Dinero ApS (Danmark) ble lagt til i vedlegg B som underleverandør i faktureringsflyten. Omfang av Kundens personopplysninger: organisasjonens juridiske navn, faktureringskontakt, MVA-nummer, fakturalinjer, Mollies betalings-ID. Lovpålagt oppbevaring i 5 år etter dansk Bogføringslov §10. Speiler DPA v1.4 (revidert i v1.5 – den tidligere formuleringen «ingen vei for Kundens personopplysninger» var feil). | ikke relevant (ingen avtalekunder; før lansering) |
| 2026-04-27 | Hostingen av innkommende delte postbokser ble flyttet fra Microsoft Ireland Operations Ltd. til Heinlein Hosting GmbH (mailbox.org), Berlin, Tyskland – fjerner den tidligere underleverandøren med amerikansk morselskap på veien for innkommende post | ikke relevant (ingen avtalekunder; før lansering) |
| 2026-04-25 | Første register | Ikrafttredelsesdato |
Kontakt #
Spørsmål om underleverandører:
- Personvern / omfanget av DPA-en: compliance@frem.sh
- Innkjøp / leverandørvurdering: enterprise@frem.sh
- Abonnement på sikkerhetsutsendelsen: lists.frem.sh/subscription/form (alias: security-notices@frem.sh – videresender til compliance@)
Se også: Tillit · Personvernerklæring