Underdatabehandlere
En underdatabehandler er en leverandør som behandler personopplysninger på vegne av Awesome Assets AS for å levere tjenesten Opptjent. Under følger de vi bruker, med formål, hvilke data de behandler, hvor dataene ligger, og grunnlaget for eventuell overføring ut av EU/EØS. Alle er bundet av databehandleravtale. Fødselsnummer krypteres før lagring, slik at infrastrukturleverandørene aldri ser det i klartekst.
| Leverandør | Formål | Data | Region | Overføringsgrunnlag |
|---|---|---|---|---|
| Supabase | Database og fillagring | Alle kjernedata, inkludert kryptert fødselsnummer | EU (eu-north-1, Stockholm) | Databehandleravtale, data lagret i EU |
| Vercel | Hosting og kjøremiljø | Forespørsels- og loggdata | EU-region (Stockholm) for kjøring; leverandør i USA | Databehandleravtale og standardavtaleklausuler (SCC) |
| Resend | Utsending av e-post (innlogging og varsler) | E-postadresse og e-postinnhold | EU (eu-west-1) | Databehandleravtale |
| Stripe | Betaling og fakturering | Selskaps- og faktureringsdata (ikke fødselsnummer) | EU og USA | Databehandleravtale og standardavtaleklausuler (SCC) |
| PostHog | Produktanalyse (kun ved samtykke) | Pseudonyme bruks- og hendelsesdata, og sesjonsopptak av de offentlige nettsidene med alle skjemafelt maskert. Portalen tas aldri opp. | EU (Frankfurt) | Databehandleravtale |
| Google Analytics 4 | Besøksstatistikk på de offentlige nettsidene (kun ved samtykke) | Pseudonyme besøks- og hendelsesdata fra opptjent.no. Lastes aldri i portalen, som viser persondata. | EU-endepunkter for innsamling; leverandør i USA | Databehandleravtale, EU-US Data Privacy Framework (DPF) |
| Sentry | Feilovervåking og stabilitet | Feilrapporter (fødselsnummer og e-post fjernes før sending) | EU-region | Databehandleravtale |
Andre mottakere
I tillegg deles opplysninger med enkelte mottakere som ikke er våre databehandlere: Skatteetaten (lovpålagt rapportering), Brønnøysundregistrene (oppslag av selskaps- og rolledata), og eID-leverandører ved innlogging og rolleverifisering (BankID, Google, Vipps). Disse opptrer som selvstendige behandlingsansvarlige for sin del av behandlingen.
Endringer
Tar vi i bruk en ny underdatabehandler eller bytter ut en eksisterende, varsler vi behandlingsansvarlige kunder med rimelig frist, normalt minst 30 dager, slik at de kan protestere. Se ellers personvernerklæringen.