Innehållsförteckning

Gäller från: 2026-05-14 – Version: 1.10

Den här sidan är det officiella register, som går att länka direkt till, över varje underbiträde som fremverk anlitar för att leverera Tjänsten. Registret utlovas i DPA §10 och DPA bilaga B, och inköpsavdelningar kan hänvisa direkt till den här URL:en i sin leverantörsgranskning.

Åtagande om ändringsbesked #

Varje tillägg, byte eller väsentlig ändring av förteckningen över underbiträden meddelas 30 dagar i förväg via två parallella kanaler enligt DPA §10.2: (a) ett e-postmeddelande direkt till varje Kunds registrerade faktureringskontakt för organisationen (den avtalsmässiga kanalen – leveransen registreras i fremverks granskningslogg med e-postleverantörens meddelande-id per mottagare), OCH (b) en publicering på den här sidan och på säkerhetsutskicket (för att underlätta för adresser utanför faktureringen, som säkerhetsteam och efterlevnadsansvariga). Kunder som invänder mot ett nytt underbiträde med dokumenterade dataskyddsskäl kan utnyttja uppsägningsrätten i DPA §10.2 med återbetalning i proportion till förbetalda, outnyttjade Avgifter.

Vid ett akut tillägg (t.ex. omedelbart byte av ett underbiträde som självt är källan till en säkerhetsincident) publicerar fremverk ändringen inom 24 timmar och förlänger invändningsfristen till 30 dagar efter tillägget. Se DPA §10.3.

Prenumerera på ändringsbesked: prenumerera på säkerhetsutskicket – svar och frågor utanför utskicket hamnar på security-notices@frem.sh (aliaset vidarebefordrar till compliance@frem.sh).

Aktuella underbiträden #

Underbiträde	Ändamål	Placering	Certifieringar	DPA / SCC:er
Deutsche Telekom AG (T Cloud Public)	Grundläggande beräkning, lagring, nätverk – varje yta som kunden möter	Biere & Magdeburg, DE	ISO 27001, ISO 27017, ISO 27018, BSI C5 Type 2, TISAX	T Cloud Publics DPA – personuppgiftsansvarig i EU, inget amerikanskt moderbolag
Bunny CDN d.o.o.	Edge-leverans, DDoS-skydd och anropsbegränsning för `frem.sh` och statiska resurser som kunderna levererar (ingen Web Application Firewall är aktiverad)	PoP:ar i EU (huvudkontor i Slovenien)	ISO 27001 (2025), SOC 2 Type II (2023)	Bunnys DPA – personuppgiftsansvarig i EU, inget amerikanskt moderbolag
Lettermint B.V.	Utgående transaktionsmejl (verifiering, betalningspåminnelser, säkerhetsmeddelanden)	Zwolle, NL – uppströms OVHcloud SAS (FR) + UpCloud Ltd (datacenter i Amsterdam, NL, registrerat i Finland)	Leverantörens certifieringar inväntar underlag (NL – inget amerikanskt moderbolag)	Lettermints DPA – personuppgiftsansvarig i EU, inget amerikanskt moderbolag
Mollie B.V.	Betalningshantering (upprättande av medgivanden, återkommande debiteringar, återbetalningar)	Amsterdam, NL	PCI-DSS Level 1	Mollies DPA – personuppgiftsansvarig i EU, inget amerikanskt moderbolag
Heinlein Hosting GmbH (mailbox.org)	Hosting av delade brevlådor (`support@`, `abuse@`, `security@`, `compliance@`, `hello@`, `ops@`, `enterprise@`, `info@fremverk.com`)	Berlin, Tyskland	ISO 27001, BSI C5, BSI IT-Sicherheitskennzeichen (TR 03108)	Heinlein Hostings DPA – personuppgiftsansvarig i EU, inget amerikanskt moderbolag
Visma Dinero ApS	Utfärdande och lagstadgad lagring i 5 år av fakturaverifikationer enligt Bogføringsloven §10 – tar emot organisationens juridiska namn, faktureringskontaktens e-postadress, momsregistreringsnummer, fakturarader och referens till Mollies betalnings-id. Inget innehåll från repon, inget innehåll från granskningsloggen, inget PAN.	Köpenhamn, DK	ISO 27001 (utfärdat i DK, inget amerikanskt moderbolag)	Visma Dineros DPA – personuppgiftsansvarig i EU, inget amerikanskt moderbolag

Redovisas för transparensens skull – inte underbiträden enligt artikel 28 #

Följande motparter berör plattformen men behandlar inte Kundens personuppgifter för fremverks räkning och är därför inte underbiträden enligt artikel 28 i GDPR. De finns med här så att registret som kunderna ser är komplett:

Motpart	Roll	Placering	Varför inte ett underbiträde
Actalis S.p.A. (Aruba Group)	Certifikatutfärdare för origin-TLS för `*-origin.frem.sh` (kvalificerad tillhandahållare av betrodda tjänster enligt eIDAS)	Italien, EU	Certifikatutfärdaren tar bara emot FQDN:er – aldrig personuppgifter – under utfärdandet med ACME-DNS-01. Undantagen från bilaga B enligt DPA §A.4. D-TRUST GmbH (Tyskland, kvalificerad tillhandahållare enligt eIDAS) finns kvar som namngiven, betald reserv.
EU-kommissionens VIES-tjänst	Validering av momsregistreringsnummer vid registrering (för omvänd skattskyldighet)	EU:s institutioner	Icke-kommersiell uppslagning hos offentlig sektor; endast momsregistreringsnumret (ett företagsregistreringsnummer) skickas. Redovisas i integritetsmeddelandet §3.3.
Simply.com A/S	Registrar + DNS för varumärkesdomänerna `fremforge.{com,eu,dk}` som omdirigeras (alla 301 → `www.frem.sh`)	Danmark	Inga av Kundens personuppgifter passerar Simply.com – endast DNS-uppslagningar för omdirigeringsmålen. Ytorna som kunderna möter använder BunnyDNS (Bunny CDN d.o.o., Slovenien – samma underbiträde som för CDN/WAF/edge, redan redovisat i tabellen över underbiträden i bilaga B ovan).

Det här anlitar vi inte #

Ingen CDN- eller edge-leverantör med amerikanskt moderbolag finns på anropsvägen för endpoints som kunderna använder.
Inget personuppgiftsbiträde för analys eller telemetri. Fas 1 levereras helt utan produktanalys – i linje med vad cookiepolicyn + integritetsmeddelandet redan säger (ingen analys, ingen samtyckesbanner). Ingen Google Analytics, ingen Mixpanel, ingen Segment, ingen Plausible. Egenhostad Plausible (T Cloud Public eu-de) finns på roadmapen efter lanseringen; om och när den driftsätts kommer den att synas i ändringsloggen nedan och som ett förstapartsbiträde på nivå 1 i bilaga B (uppgifterna stannar i fremverks T Cloud Public-konto; inget utflöde till tredje part).
Ingen AI-/LLM-leverantör anropas på Kundinnehåll. Funktioner med agentmandat (enligt DPA §11A) agerar på kundens instruktion vid körning och skickar inte innehåll genom någon modell hos tredje part; fremverk behåller inget Kundinnehåll i någon modellkorpus. Underbiträdena är avtalsmässigt bundna av samma förbud – se Förbud mot AI-träning hos underbiträden nedan.
Ingen amerikansk betalningsleverantör. Mollie (NL) hanterar varje debitering.
Ingen leverantör av widgetar för bot-skydd. Registreringen i Forgejo använder egenhostad Altcha (MIT-licensierad, HMAC-signerad PoW) som körs i samma process inuti api-monoliten på samma T Cloud Public-kluster; ingen Cloudflare Turnstile, ingen hCaptcha, ingen Google reCAPTCHA.

Hållning till CLOUD Act #

Varje post ovan är en aktör som kontrolleras inom EU och saknar amerikanskt moderbolag. Ingen exponering för CLOUD Act på någon behandlingsväg. Ingen konsekvensbedömning av överföringar enligt Schrems II krävs, eftersom inga av Kundens personuppgifter överförs utanför EU/EES.

För den fullständiga hållningen, se DPA §11.3 och avsnittet om Schrems II på sidan Förtroende.

Förbud mot AI-träning hos underbiträden #

Åtagandet om ”ingen AI-träning på Kundens data” i DPA §6A binder varje aktör bland underbiträdena. De offentliga åtaganden från varje underbiträde som stöder det listas nedan som referens. Där ett underbiträde erbjuder att man aktivt kan tillåta modellträning har fremverk inte gjort det.

Underbiträde	Offentligt åtagande som vi förlitar oss på
Deutsche Telekom AG (T Cloud Public / T Cloud Public)	T Cloud Publics tjänstebeskrivning och DPA – IaaS-lager; plattformen kommer inte åt tenantens innehåll. T Cloud Publics AI-principer innebär ett åtagande om dataminimering och ändamålsbegränsning i den AI som Telekom utvecklar, och IaaS-DPA:n förbjuder att kundens nyttolast används för något annat ändamål än att leverera tjänsten.
Bunny CDN d.o.o.	Bunnys DPA – Bunny behandlar trafik enbart för cachning, TLS-terminering, DDoS-skydd och anropsbegränsning; ingen rätt till modellträning ges. Bunnys redovisning av sin AI-policy bekräftar att ingen AI-modell tränas på nyttolast i kundtrafik.
Lettermint B.V.	Lettermints DPA + integritetspolicy – omfattar transaktionsmejl; enbart utgående relä. Kundernas mottagarlistor används inte för modellträning över konton, och inget val om AI-/modellträning har slagits på.
Mollie B.V.	Mollies integritetspolicy och omfattningen enligt PSD2 / PCI-DSS – endast transaktionshantering; Mollie tränar inte AI-modeller på transaktionsmetadata för handlaren.
Heinlein Hosting GmbH (mailbox.org)	mailbox.orgs integritetspolicy – uttrycklig hållning om ”ingen AI-träning, ingen profilering”; mailbox.org skriver regelbundet i sin marknadsföring ”Wir trainieren keine KI mit Ihren Daten” (”vi tränar inte AI på dina data”).
Visma Dinero ApS	Visma Groups policy för integritet och AI – omfattar bokföringsintegrationen; ingen träning på Kundens personuppgifter som passerar integrationen. fremverks bokföringsflöde tar emot organisationens juridiska namn, faktureringskontaktens e-postadress, momsregistreringsnummer, fakturarader och Mollies betalnings-id (Kundens personuppgifter om organisationens administratör); inget innehåll från repon, inget innehåll från granskningsloggen, inget PAN.
Actalis S.p.A.	Kvalificerad tillhandahållare av betrodda tjänster enligt eIDAS – tar bara emot domännamn vid utfärdande med ACME-DNS-01; uppdraget som certifikatutfärdare utesluter användning som bygger på innehållet.
EU-kommissionens VIES-tjänst	Uppslagning hos offentlig sektor; utanför tillämpningsområdet för AI-träning (ingen maskininlärning för konsumenter tränas på trafik till momsregistret).
Simply.com A/S	Registrar / DNS endast för omdirigeringsdomäner; ingen väg för Kundens personuppgifter.

Om något underbiträde ändrar sin hållning till AI-träning är fremverk enligt DPA §6 (Underbiträden) skyldigt att meddela Kunderna i förväg och ge dem rätt att invända innan den nya behandlingen börjar. Ändringsloggen längst ned på sidan registrerar varje sådan övergång.

Fotnot om kortnätverk #

Kortbetalningar via Mollie går tekniskt genom PCI-DSS-attesterade kortnätverk som är underbiträden i andra led: Visa Europe Services Inc. (filial i Storbritannien) och Mastercard Europe SA (Belgien). Båda är europeiska driftbolag, men deras yttersta moderbolag (Visa Inc., Mastercard Inc.) är registrerade i USA. fremverk har inga avtal direkt med de här nätverken – de är Mollies underbiträden i andra led enligt PCI-DSS nätverksregler. Påståendet om ”inget amerikanskt moderbolag” ovan gäller fremverks egna underbiträden på driftbolagsnivå. Kunder som vill undvika all exponering mot amerikanska moderbolag på betalningsvägen kan betala med SEPA Direct Debit (Mollies SEPA-väg involverar inget kortnätverk som underbiträde i andra led). Se DPA §11.3 för hela resonemanget.

Alternativ på kundens begäran #

Standarduppsättningen av underbiträden har redan ingen exponering mot amerikanska moderbolag. Med Enterprise-on-Demand kan Kunder dessutom begära:

Granskning av eventuella önskemål om låsning till vissa regioner i T Cloud Public (eu-de är standard; andra EU-regioner finns på begäran, förutsatt att funktionerna är desamma).
Regionspecifika åtaganden om datalokalisering som är starkare än standard (t.ex. avtalsmässig låsning till en enda tillgänglighetszon i eu-de).

Kontakta enterprise@frem.sh för att avgränsa behovet.

Tidigare ändringar #

Det här avsnittet registrerar ändringshistoriken för förteckningen över underbiträden i omvänd kronologisk ordning. Förteckningen ovan visar alltid aktuellt läge.

Datum	Ändring	Besked publicerat
2026-10-04	Bunny CDN:s ändamål listar inte längre WAF: ingen Web Application Firewall har varit aktiverad vid edge på någon av fremforges ytor sedan 2026-05-09 (DPA bilaga A.2). Inga ändringar av underbiträde, ändamål med behandlingen eller datakategori; beskrivningen stämmer nu med vad Bunny gör.	Krävs inte (rättelse, ingen ändring av behandlingen)
2026-05-14	Utgående transaktionsmejl flyttades från Sendinblue SAS (Brevo, FR) till Lettermint B.V. (Zwolle, NL). Brevo avvecklades 2026-05-14. Vägen för utgående e-post är fortsatt helt inom EU utan personuppgiftsbiträde med amerikanskt moderbolag; raden om förbud mot AI-träning skrevs om i enlighet med det. Speglar DPA v1.9.	ej tillämpligt (inga avtalskunder; före lansering)
2026-05-08	Transparensomgång 7: Actalis S.p.A. (certifikatutfärdare för origin-TLS, IT, kvalificerad tillhandahållare enligt eIDAS), EU:s VIES-tjänst (momsvalidering) och Simply.com A/S (DK, DNS för varumärkesomdirigeringar) lades till i ett nytt avsnitt ”Redovisas för transparensens skull – inte underbiträden enligt artikel 28”. Ingen av dem tar emot Kundens personuppgifter; undantagna från bilaga B enligt DPA §A.4.	ej tillämpligt (inga avtalskunder; före lansering)
2026-05-06	Visma Dinero ApS (Danmark) lades till i bilaga B som underbiträde i faktureringsflödet. Omfattning av Kundens personuppgifter: organisationens juridiska namn, faktureringskontakt, momsregistreringsnummer, fakturarader, Mollies betalnings-id. Lagstadgad lagring i 5 år enligt danska Bogføringsloven §10. Speglar DPA v1.4 (reviderad i v1.5 – den tidigare formuleringen ”ingen väg för Kundens personuppgifter” var felaktig).	ej tillämpligt (inga avtalskunder; före lansering)
2026-04-27	Hostingen av inkommande delade brevlådor flyttades från Microsoft Ireland Operations Ltd. till Heinlein Hosting GmbH (mailbox.org), Berlin, Tyskland – tar bort det tidigare underbiträdet med amerikanskt moderbolag på vägen för inkommande post	ej tillämpligt (inga avtalskunder; före lansering)
2026-04-25	Första registret	Ikraftträdandedatum

Kontakt #

Frågor om underbiträden:

Integritet / DPA:ns omfattning: compliance@frem.sh
Inköp / leverantörsgranskning: enterprise@frem.sh
Prenumeration på säkerhetsutskicket: lists.frem.sh/subscription/form (alias: security-notices@frem.sh – vidarebefordrar till compliance@)

Se även: Förtroende · Integritetsmeddelande