Underdatabehandlere og tekniske leverandører
Version: 20. juli 2026
Listen dækker leverandører, som Webfalken bruger eller planlægger at bruge til behandling af personoplysninger. Den angiver også leverandører, der efter det tekniske design ikke må modtage websitebesøgendes samtykkedata, men som er relevante for gennemsigtigheden om Webfalkens samlede drift.
| Leverandør | Ydelse | Datatyper | Lokation/region | Overførselsgrundlag |
|---|---|---|---|---|
| Supabase | Database, autentifikation og storage | Samtykkelog-data; kunde-, bruger- og siteoplysninger; login- og driftsdata; private scanartefakter | AWS Frankfurt, eu-central-1; eventuel supportadgang skal verificeres | EU-behandling som udgangspunkt; SCC'er og supplerende vurdering ved eventuel tredjelandsadgang |
| Vercel | Hosting af dashboard og serverless/compute | Kunde- og dashboardbrugerdata, session-/requestdata, viste site- og scanningsdata samt tekniske logs | Frankfurt (fra1) for serverless/compute; Vercel er et amerikansk selskab, og edge-netværk og supportadgange skal verificeres | DPA og EU-Kommissionens SCC'er; vurder support, edge-netværk og eventuelle underleverandører |
| Hetzner | Hosting af scan-worker | Offentligt websiteindhold, scaninput/-resultater, site-id og nødvendige driftslogs; adgang til samtykkedata kun hvis teknisk nødvendigt og instrueret | Helsinki, Finland | Behandling i EU/EØS; DPA efter artikel 28 |
| Anthropic | Agentklassificering af tekniske fund | Begrænset teknisk scanmateriale. Ingen personoplysninger i prompts er designmålet; secrets og websitebesøgendes samtykkedata må ikke sendes | Anthropic er et amerikansk selskab; konkrete behandlingsregioner og supportadgange skal verificeres | DPA og EU-Kommissionens SCC'er; transfer impact assessment og teknisk dataminimering |
| Resend | Transaktionelle mails, herunder magic links, statusmails og varsler | Kunders og dashboardbrugeres e-mailadresser, navn/virksomhed hvis medtaget, mailindhold og leveringsmetadata. Aldrig websitebesøgendes samtykkedata | EU-sendingsregion; Resend er et amerikansk selskab, og øvrige behandlings-/supportlokationer skal verificeres | DPA og EU-Kommissionens SCC'er; vurdering af tredjelandsoverførsel |
Afgrænsning
- Resend må kun bruges til kundemails og dashboardbrugeres autentifikationsmails. Samtykkelog-data om kundens websitebesøgende må ikke indgå i mailpayloads, templates eller metadata.
- Anthropic-input skal dataminimeres og filtreres. Hvis personoplysninger undtagelsesvis er nødvendige, kræver det en dokumenteret vurdering, instruks og opdatering af behandlingsbeskrivelsen.
- En leverandør er kun underdatabehandler i en konkret kunderelation, hvis leverandøren behandler personoplysninger på Webfalkens vegne under kundens instruks. Listen bruges bredere som samlet leverandøroversigt.
- Nye eller udskiftede underdatabehandlere varsles efter databehandleraftalens punkt 7 og bilag B.