# Underdatabehandlere for Klarkunde

Denne liste er bilag til databehandleraftalen mellem Kunden (dataansvarlig) og NordiskSoft ApS (databehandler). Ændringer varsles mindst 30 dage i forvejen, jf. databehandleraftalens § 8.2.

| Underdatabehandler | Formål | Lokation | Overførselsgrundlag | Status |
|---|---|---|---|---|
| Supabase Pte. Ltd. (Supabase) | Database, login og fillagring | EU (Irland, AWS eu-west-1) | Databehandleraftale med SCC (Supabase er ikke certificeret under EU-US Data Privacy Framework) | I brug |
| Cloudflare, Inc. | Hosting af websider og serverlogik (Workers), netværk og beskyttelse mod angreb | Globalt netværk; kundedata lagres hos Supabase i EU | Databehandleraftale med SCC; certificeret under EU-US Data Privacy Framework | I brug |
| Anthropic Ireland, Limited (Anthropic) | AI-forslag: risikovurdering, egenvurdering, PEP- og mediesøgning (aldrig CPR-numre) | USA (behandling hos Anthropic PBC) | Databehandleraftale med SCC (Anthropic er ikke certificeret under EU-US Data Privacy Framework) | I brug |
| Plus Five Five, Inc. (Resend) | Transaktionelle e-mails (spørgeskemaer, påmindelser, fakturaer) | USA (afsendelse fra AWS us-east-1) | Databehandleraftale med SCC; certificeret under EU-US Data Privacy Framework | I brug |
| Criipto A/S (Idura) | MitID-identifikation i kundeportalen | Danmark | Databehandleraftale (EU) | I brug |
| Stripe Payments Europe, Limited | Kortbetaling af Klarkundes fakturaer (kun abonnentens betalingsdata) | Irland (EU); Stripe kan overføre data til Stripe, LLC i USA | Databehandleraftale; overførsel til USA med SCC og EU-US Data Privacy Framework (Stripe, LLC er certificeret) | I brug |
| one.com | E-mail til og fra support@klarkunde.dk (supporthenvendelser) | Danmark (København) | Databehandleraftale (EU) | I brug |
| OpenSanctions Datenbanken GmbH eller dilisense GmbH | Opslag i PEP- og sanktionsdatabase (navn, fødselsdato, nationalitet) | EU | Databehandleraftale (EU) | Ikke i brug endnu. Tages først i brug efter 30 dages varsel. |

"EU-US Data Privacy Framework" er kun angivet for udbydere, der står som aktivt certificerede på dataprivacyframework.gov. For alle overførsler uden for EU/EØS gælder desuden EU-Kommissionens standardkontraktbestemmelser (SCC) i udbyderens databehandleraftale.

Data fra offentlige registre (Erhvervsstyrelsens CVR-register og de officielle sanktions- og PEP-lister fra EU, FN, OFAC, Storbritannien og Finanstilsynet) hentes af NordiskSoft ApS og er ikke underdatabehandlere: der sendes ingen personoplysninger om Kundens kunder til dem.