Sist oppdatert: 5. september 2026 · Versjon 3.0
Endringer varsles normalt minst 30 dager i forveien. Listen finnes også maskinlesbart på /underdatabehandlere.json.
Status før produksjon
Dokumentasjon av gjeldende DPA/SCC og nødvendige overføringsvurderinger må være på plass før Vevet brukes til produksjonsbehandling av personopplysninger. Status står i de åpne kontrollpunktene på /for-personvernombud.
Slik er listen delt inn
Om en leverandør står som underdatabehandler avgjøres av rollen i behandlingen — om de behandler personopplysninger på våre vegne — ikke av at det finnes et API-kall. Værvarsel, holdeplasser og bildesøk er tekniske oppslag uten personopplysninger fra oss, og hører derfor hjemme under eksterne datakilder.
Spørsmål: kontor@dmz.no. Vil du ha varsel om endringer? Send e-post til kontor@dmz.no med emnet «Varsling om underdatabehandlere».
A. Underdatabehandlere som behandler personopplysninger på våre vegne
Lovable Labs Incorporated («Lovable»), Lovable Cloud
- Formål
- Hosting av applikasjonen, serverkjøring, bygg og utrulling, samt drifts- og sikkerhetslogger for plattformen.
- Type data
- Teknisk trafikkdata i driftslogger: IP-adresse, tidspunkt, forespurt adresse og nettlesertype. Plattformen kjører også serverkoden som behandler kundens innhold underveis.
- Lokasjon
- Primær datalagringsregion er satt til Europe i arbeidsområdets innstilling «Default data hosting region». Vi lover ikke en bestemt by.
- Overføring
- Lovable er en amerikansk juridisk leverandør med tilstedeværelse i EU. Tilgang eller overføring utenfor EØS kan forekomme ved blant annet support og drift.
- Overføringsgrunnlag
- Lovables databehandleravtale med tilhørende SCC-er, og Lovables egen underleverandørliste, regulerer eventuelle overføringer og tilganger utenfor EØS.
- Oppbevaring hos leverandøren
- Retensjon for drifts- og sikkerhetslogger følger Lovables plattformvilkår og abonnement, ikke vår egen nattlige sletterutine.
- Avtalestatus
- Åpent kontrollpunkt: Lovables offentlige DPA-side angir at databehandleravtale følger Business- og Enterprise-abonnement. Før produksjonsbehandling må DMZ DATA AS kunne dokumentere at gjeldende abonnement eller en separat avtale omfatter DPA og SCC-er.
Supabase Inc.
- Formål
- Database, filhosting for opplastet innhold, innlogging og brukeradministrasjon.
- Type data
- Brukerkonto (navn, e-postadresse), organisasjons- og avdelingsdata, alt innhold kunden laster opp, aktivitetslogg, e-postlogg, KI-hendelseslogg og skjerm-token.
- Lokasjon
- EU. Prosjektet er opprettet i en EU-region hos Supabase; gjeldende region framgår av driftsprotokollen.
- Overføring
- Databehandling og lagring skjer i EU. Selskapet er amerikansk, så support- og driftstilgang utenfor EØS kan forekomme.
- Overføringsgrunnlag
- EUs standard personvernbestemmelser (SCC) i Supabase sin databehandleravtale.
- Oppbevaring hos leverandøren
- Databasebackup og gjenoppretting følger den aktive Supabase-planen. Supabase dokumenterer at daglige sikkerhetskopier og retensjonstid varierer med plan, og at objekter i fillageret ikke inngår i databasebackup. Vi oppgir derfor ingen fast backupfrekvens eller maksimal slettetid.
- Avtalestatus
- Åpent kontrollpunkt: aktiv plan, faktisk backupoppsett og aksept av Supabase sin DPA/SCC må dokumenteres i driftsprotokollen før produksjonsbehandling.
Mistral AI SAS
- Formål
- KI-hjelpen: forbedre og forkorte tekst, foreslå farger og temaer, og lage bildebeskrivelser (alt-tekst). Kallene går kun fra vår server, aldri fra nettleseren.
- Type data
- Teksten brukeren sender til KI-hjelpen, og korte utdrag av innhold som gir kontekst. Aldri bilder, aldri kamerabilder, aldri passord eller nøkler.
- Lokasjon
- EU/EFTA-region via api.eu.mistral.ai. Leverandørens dokumentasjon for EU-endepunktet oppgir flere datasentre i EU- og EFTA-land, ikke ett bestemt land. Modellene som brukes er mistral-medium-latest og mistral-small-latest.
- Overføring
- EU-endepunktet styrer hvor inferensen kjøres. Kontrollplan- og bruksmetadata følger ikke nødvendigvis samme geografi, og vi påstår derfor ikke at all behandling hos leverandøren skjer i EØS.
- Overføringsgrunnlag
- Mistral sin databehandleravtale (Data Processing Addendum) med tilhørende SCC-er.
- Oppbevaring hos leverandøren
- Ved ordinær API-bruk brukes innsendte data ikke til å trene modeller. Oppbevaringstiden styres av kontoens personverninnstillinger og avtale — ikke av en fast periode vi kan garantere. Null retensjon (ZDR) er en separat kontroll som må være aktivert og dokumentert før den kan påberopes.
- Avtalestatus
- Åpent kontrollpunkt: gjeldende personverninnstilling for kontoen, eventuell ZDR-aktivering og aksept av Mistral sin DPA må dokumenteres.
Lettermint B.V.
- Formål
- Utsending av e-post: invitasjoner, bekreftelser, tilbakestilling av passord og varsler om skjermer.
- Type data
- Mottakerens e-postadresse og navn, emnefelt, tidspunkt og leveringsstatus. Vi sender aldri innhold fra skjermer eller særlige kategorier personopplysninger på e-post.
- Lokasjon
- Primær behandling er oppgitt til Nederland/EU.
- Overføring
- Eventuelle underleverandører og tilganger følger leverandørens gjeldende DPA.
- Overføringsgrunnlag
- Lettermint sin databehandleravtale.
- Oppbevaring hos leverandøren
- Sendt e-postinnhold og metadata oppbevares etter Lettermint sin gjeldende policy; leverandørens dokumentasjon oppgir 28 dager. Vår egen epost_logg beholdes i 90 dager og inneholder aldri meldingsinnhold.
- Avtalestatus
- Åpent kontrollpunkt: aksept av Lettermint sin DPA må dokumenteres.
B. Eksterne datakilder og tekniske oppslag
Disse tjenestene behandler normalt ikke personopplysninger på våre vegne, og er derfor ikke underdatabehandlere. Alle kallene skjer fra vår server, ikke fra nettleseren eller skjermen.
| Tjeneste | Formål | Hva som sendes | Hvor kallet skjer | Personvernkonsekvens |
|---|
| Pixabay GmbHpixabay.com | Bildesøk i bildebiblioteket, og kopiering av valgte bilder til vårt eget lager i EU. | Søkeord og IP-adressen til vår server. Søket knyttes ikke til brukerkontoen. | Server-side. Nettleseren snakker aldri direkte med Pixabay. | Ingen personopplysninger behandles på våre vegne. Operatøren skal ikke søke etter navngitte personer. |
| MET Norway (Meteorologisk institutt)api.met.no | Værvarsel på skjermen. | Avrundede koordinater for skjermens sted, og Vevets egen User-Agent. | Server-side. Sluttbrukerens eller skjermens IP-adresse sendes aldri. | Ingen personopplysninger. Koordinatene gjelder et sted, ikke en person. |
| Kartverket (Geonorge)ws.geonorge.no | Adresse- og stedsøk når en operatør setter stedet for en skjerm eller avdeling. | Søketeksten operatøren skriver inn. | Server-side. | Ingen personopplysninger sendes av oss. Operatøren må ikke skrive personopplysninger i søkefeltet. |
| Entur ASapi.entur.io | Finne nærmeste holdeplass og hente sanntids avgangstider. | Koordinater, stoppnavn eller stopp-ID, og Vevets ET-Client-Name. | Server-side. | Ingen personopplysninger. |
| icanhazdadjokeicanhazdadjoke.com | Vitseoppslag på skjermen. | Fast forespørsel uten parametre og uten kundedata. | Server-side. Bare Vevets server-IP og User-Agent er synlig for tjenesten. | Ingen personopplysninger. |
| Hva koster strømmenhvakosterstrommen.no | Strømpris på skjermen. | Dato og prissone (NO1–NO5). | Server-side. | Ingen personopplysninger. |
| Wikipedia (Wikimedia Foundation)no.wikipedia.org, en.wikipedia.org | «Dette skjedde i dag»-oppslag. | Dagens dato. | Server-side. | Ingen personopplysninger. |
| NRKwww.nrk.no | Nyhetsoppslag fra offentlige RSS-strømmer. | Fast feedkall uten kundedata. | Server-side. | Ingen personopplysninger. |
| Cloudflare DNS-over-HTTPScloudflare-dns.com | Slå opp adressen til en URL operatøren har oppgitt, før vi henter den, som del av vernet mot SSRF. | Vertsnavnet fra URL-en operatøren har lagt inn. | Server-side. | Kun et vertsnavn. Ingen brukerdata og ingen innhold sendes. |
| Google Public DNSdns.google | Kontrollere TXT-oppføring ved verifisering av kundens eget domene. | Kundens domenenavn og verifiseringstoken. | Server-side. | Domenenavn, ikke personopplysninger. |
C. Kundestyrte tredjepartstilkoblinger
Kunden velger selv om disse tas i bruk, og er behandlingsansvarlig for det som da skjer.
YouTube (youtube-nocookie.com) og Vimeo
- Hvordan det lastes
- Videoen lastes direkte fra skjermens nettleser når kunden legger inn en videolenke. Vevet formidler bare video-ID-en.
- Personvernkonsekvens
- Leverandøren kan motta skjermens offentlige IP-adresse og nettlesertype, og kan sette egne informasjonskapsler. «Ingen sporing» gjelder Vevet selv, ikke tredjepartsinnhold kunden velger.
Selvvalgt nettside i ramme (iframe)
- Hvordan det lastes
- Nettsiden lastes direkte fra skjermens nettleser til adressen kunden har lagt inn.
- Personvernkonsekvens
- Nettstedet kan motta skjermens offentlige IP-adresse og nettlesertype, og kan sette egne informasjonskapsler. Kunden er ansvarlig for personvernet i innholdet som vises.
Selvvalgt kalenderkilde (iCal)
- Hvordan det lastes
- Kalenderen hentes server-side fra adressen kunden har lagt inn, og mellomlagres.
- Personvernkonsekvens
- En kalender kan inneholde personopplysninger, for eksempel møtedeltakere. Kunden må velge en lovlig kilde og styre tilgangen til den.
Lokalt kamera eller nettverkskamera
- Hvordan det lastes
- Kamerabildet lastes og vises direkte i nettleseren på skjermen, på kundens eget nettverk. Strømmen går ikke via Vevet.
- Personvernkonsekvens
- Bildet forlater aldri skjermen og lagres aldri hos oss. Et lokalt kamera kan bruke HTTP på kundens interne nett; transporten styres da av kundens eget utstyr og nettverk.
D. Mottakere for konto, betaling og regnskap
Disse ser aldri innholdet kunden viser på skjerm. De behandler opplysninger om selve kundeforholdet: hvem som kjøper, hva som er kjøpt og at det er betalt. Betalingsmottakerne er selvstendig behandlingsansvarlige etter eget finans- og hvitvaskingsregelverk, og er derfor ikke underdatabehandlere for oss.
Paddle.com Market Limited
- Rolle
- Selvstendig behandlingsansvarlig som selger av abonnementet (merchant of record). Ikke underdatabehandler for kundens skjerminnhold.
- Formål
- Ta imot kortbetaling, håndtere merverdiavgift og sende kvittering. Vevet sender kunden videre til Paddles egen betalingsside, og får bare beskjed tilbake om hva som skjedde.
- Type data
- Fakturerings- og kontaktopplysninger kunden selv oppgir hos Paddle, og en referanse til organisasjonen i Vevet. Kortopplysninger tastes inn hos Paddle og passerer aldri Vevet.
- Lokasjon
- Paddle er et britisk/irsk selskap med globalt driftsoppsett. Behandlingen styres av Paddles egne vilkår og personvernerklæring, ikke av en instruks fra oss.
- Status
- Ikke aktivert i produksjon. Kortbetaling vises først som valgbar når API-nøkkel, pris-ID-er og webhook-hemmelighet er satt i driftsmiljøet.
Vipps MobilePay AS
- Rolle
- Selvstendig behandlingsansvarlig som betalingsforetak. Ikke underdatabehandler for kundens skjerminnhold.
- Formål
- Faste betalingsavtaler (Vipps gjentakende betaling) for abonnementet. Vevet oppretter avtaleforespørselen og mottar status tilbake.
- Type data
- Betalers Vipps-identitet og betalingsstatus behandles hos Vipps. Vevet lagrer avtale-ID, beløp og status — aldri kortnummer eller kontonummer.
- Lokasjon
- Norge/EØS.
- Status
- Ikke tilgjengelig i kassa ennå. Gjentakende belastning og verifisering av signatur på tilbakemeldinger må være produksjonsklart før Vipps kan velges.
Tripletex AS
- Rolle
- Databehandler for DMZ DATA AS i vår rolle som behandlingsansvarlig for regnskap. Ikke underdatabehandler for kundens skjerminnhold.
- Formål
- Utstede og bokføre manuelle fakturaer.
- Type data
- Organisasjonsnummer, juridisk navn, fakturaadresse, kontaktperson, faktura-e-post og beløp.
- Lokasjon
- Norge.
- Status
- Fakturaen lages manuelt av plattformteamet. Vevet har ingen automatisk integrasjon mot Tripletex; bare fakturanummeret føres tilbake i Vevet.
Kontraktskontroll før produksjon
Punktene under er åpne. De er ikke gjennomført, og skal være dokumentert før personopplysninger behandles i produksjon.
| Område | Hva som må dokumenteres | Status |
|---|
| Lovable Labs Incorporated (Lovable Cloud) | Dokumentere at gjeldende abonnement eller en separat avtale inkluderer databehandleravtale og SCC-er, jf. Lovables egen DPA-side. | Åpent |
| Supabase Inc. | Dokumentere aktiv plan, faktisk backupfrekvens og -retensjon, og aksept av Supabase sin DPA/SCC. | Åpent |
| Mistral AI SAS | Dokumentere kontoens personverninnstilling, eventuell ZDR-aktivering, og aksept av Mistral sin DPA. | Åpent |
| Lettermint B.V. | Dokumentere aksept av Lettermint sin DPA og gjeldende oppbevaringstid. | Åpent |
| Overføringsvurdering (TIA) | Ingen overføringsvurdering er utført eller dokumentert ennå. Gjeldende DPA/SCC og, der det kreves, en overføringsvurdering for Lovable Labs (USA-morselskap), Supabase Inc. og andre relevante USA-tilganger må dokumenteres før produksjon. | Åpent |
| Interesseavveiing (art. 6.1.f) | Behandling basert på berettiget interesse — sikkerhets- og aktivitetslogger, misbruksvern for KI-hjelpen og feilsøking — forutsetter en dokumentert interesseavveiing. Denne er ikke skrevet ennå. | Åpent |
| Sikkerhetsheadere på aktiv hosting | HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy og Cross-Origin-Opener-Policy er forberedt i vercel.json for en framtidig Vercel-oppsett. De må implementeres og måles på aktiv Lovable Cloud-hosting før de kan oppgis som faktisk kontroll. Content-Security-Policy er ikke innført. | Åpent |
| Paddle.com Market Limited | Avklare og dokumentere rollen som merchant of record, gjeldende avtale og vilkår, og om noen del av oppsettet medfører at Paddle behandler personopplysninger på våre vegne. | Åpent |
| Vipps MobilePay AS | Avtale om gjentakende betaling må inngås, og verifisering av signatur på tilbakemeldinger må være produksjonsklar, før Vipps tilbys i kassa. | Åpent |
| Tripletex AS | Dokumentere databehandleravtale for regnskapssystemet, og hvilke ansatte som har tilgang til fakturagrunnlaget. | Åpent |
| Årlig kontroll | Gjennomgå leverandørlistene, lenkene og retensjonspåstandene minst én gang i året, og ved hver ny integrasjon. | Åpent |
Se også personvernerklæringen.