Resumé
På almindeligt dansk
Baslic kører på et bevidst lille sæt af underdatabehandlere: otte aktive, plus en mere (Backblaze for krypterede off-site backups) der tilslutter sig inden for de næste 7 dage. Hosting forbliver på EU-servere i Tyskland; vores analyse er cookiefri (Plausible, EU-hostet). Vi har ingen chat-widget, ingen reklamesporing, ingen sessionsoptagelse og ingen adfærdsprofilering.
Ændringsmeddelelser
Vi underretter kunder via e-mail mindst 30 dage før en ny underdatabehandler begynder at behandle kundedata, medmindre et akut sikkerheds- eller compliance-behov kræver hurtigere handling (i hvilket tilfælde vi underretter så hurtigt som muligt og dokumenterer årsagen i ændringsloggen). For at modtage disse meddelelser, klik på knappen nedenfor — vi tilføjer din e-mailadresse til underdatabehandler-meddelelseslisten. Den samme forpligtelse er skrevet ind i vores Databehandleraftale.
Infrastruktur
Hvor Baslics servere, databaser og lagring befinder sig.
Hetzner
Hetzner Online GmbH
Formål
Cloud-infrastruktur (compute, storage, netværk) til produktions- og beta-miljøer
Behandlede data
Alle kundedata i hvile, herunder databaseposter og uploadede kvitteringsfiler
Placering
Falkenstein og Nürnberg, Tyskland (EU)
Overførselsmekanisme
Inden for EØS (ingen overførselsmekanisme krævet)
Cloudflare
Cloudflare, Inc. (US) — EU contracting via Cloudflare Ireland Ltd (Dublin)
Formål
DNS-opløsning (autoritative navneservere for baslic.com). Proxy er i øjeblikket SLUKKET — Cloudflare opfanger ikke HTTPS-trafik; kun DNS-forespørgsler passerer igennem.
Behandlede data
DNS-forespørgselsmetadata (resolver-IP, forespørgselsnavn, svar). Ingen HTTPS-payload-data.
Placering
Globalt edge for DNS; EU-kontrahering via Cloudflare Irland
Overførselsmekanisme
Cloudflare standard DPA + EU-USA Data Privacy Framework
Backblaze B2
Backblaze, Inc. (California, USA) — EU (Amsterdam) region
Formål
Off-site krypteret backup af kundekvitteringsfiler
Behandlede data
Krypterede backup-arkiver. Krypteringsnøgler holdes kun af Baslic — Backblaze kan ikke dekryptere.
Placering
Amsterdam, Holland (EU)
Overførselsmekanisme
EU-region valgt — inden for EØS
AI-motorer
AI-modeller der parser kvitteringer, fakturaer og Z-rapporter. OCR-trinnet (udtrækning af rå tekst fra kvitteringsbilleder og PDF'er) er self-hostet på vores egen infrastruktur — se afsnittet Interne komponenter nedenfor. Kun den udtrukne tekst, plus de dokumentmetadata, der er nødvendige for klassificering, sendes til AI-modellen til linje-strukturering, momsklassificering og Z-rapport-parsing.
Anthropic
Anthropic Ireland Ltd.
Formål
AI-parsing af kvitteringer, fakturaer og Z-rapporter — Timos NLU, linje-momsklassificering og Matkalasku-rejseparser (Claude-modeller)
Behandlede data
Udtrukken tekst fra kvitteringer og fakturaer, plus de dokumentmetadata der er nødvendige for klassificering. Kvitteringsbilleder selv forlader ikke vores infrastruktur (OCR-trinnet er self-hostet, se Interne komponenter).
Placering
Anthropic Ireland Ltd. (Dublin) fungerer som EU-dataansvarlig for europæiske kunder. Inferens behandles på Anthropic-driften infrastruktur i USA. EU-datarealitet er kun tilgængelig som en enterprise-mulighed og er i øjeblikket ikke konfigureret for Baslic. Standard Kontraktklausuler (Modul 3) dækker EU-til-US-overførslen.
Overførselsmekanisme
EU Standard Kontraktklausuler (Modul 3) plus enterprise nul-tilbageholdelsesaftale.
Platformtjenester
Godkendelse, e-mail-levering og domænetjenester.
Postmark
ActiveCampaign, LLC
Formål
Udgående transaktions-e-mail-levering (modtagelsesbekræftelser, login-links, faktureringsmeddelelser, underdatabehandler-ændringsmeddelelser)
Behandlede data
Modtagerens e-mailadresse, emnelinje og meddelelsens indhold for hver afsendt transaktions-e-mail
Placering
EU-servere med US fallback
Overførselsmekanisme
EU Standard Kontraktklausuler (Modul 3)
Clerk
Clerk Inc. (Delaware, USA)
Formål
Brugergodkendelse, sessionsstyring, multi-faktor godkendelse
Behandlede data
E-mailadresse, adgangskode-hash (bcrypt), sessions-tokens, seneste login-metadata
Placering
USA
Overførselsmekanisme
EU-USA Data Privacy Framework (aktiv)
Simply.com
Simply.com A/S (Denmark)
Formål
Domæneregistrator (baslic.com) og apex-e-mail-postkasse-hosting
Behandlede data
Domæneregistreringsmetadata (WHOIS), apex-postkasseindhold
Placering
Danmark, EU
Overførselsmekanisme
Inden for EØS (ingen overførselsmekanisme krævet)
Analyse
Vi bruger en enkelt cookiefri analysetjeneste til at forstå trafikmønstre på et aggregeret niveau. Ingen individuel besøgende kan identificeres, ingen cookies sættes, og ingen data deles med reklamenetværk.
Plausible Analytics
Plausible Insights OÜ (Estonia)
Formål
Cookiefri webstedsanalyse — kun aggregerede sidevisninger og trafikkilder
Behandlede data
Anonymiserede sidestier, brugeragent-kategori, henviser. Ingen IP-lagring, ingen fingeraftryk, ingen individuel sporing.
Placering
Tyskland (EU)
Overførselsmekanisme
Inden for EØS (ingen overførselsmekanisme krævet)
Forretningsdrift
Den eneste underdatabehandler der understøtter fakturering.
Stripe
Stripe Payments Europe Ltd.
Formål
Betalingsbehandling, abonnementsfakturering og skattehåndtering for betalte planer
Behandlede data
Betalingsmetode-tokens, transaktionsmetadata, faktureringsadresse, momsidentifikatorer
Placering
Dublin, Irland (EU) med USA som dataimportør for global betalingsinfrastruktur
Overførselsmekanisme
EU Standard Kontraktklausuler (Modul 3) plus Stripes sikkerhedsprogram
Kort
MapTiler
MapTiler AG (Zug, Switzerland) — map-tile data centres in France (EU)
Formål
Kortfliseudbyder — gengiver baggrundskortet til rutekortene i rejseudgifts-PDF'er (matkalasku). PDF'en, inklusive rutelinjen og stopmarkører, sammensættes på Baslics server; MapTiler leverer kun baggrundskortfliserne.
Behandlede data
Ingen af den Dataansvarliges kundepersonoplysninger. MapTiler modtager kun standard kortfliseanmodninger (flise-x/y/z-koordinater for rejsens geografiske område) samt vores API-nøgle, sendt fra Baslics server. Den modtager ikke rutelinjen, præcise start- eller slutpunkter, identiteter, navne, beløb, rejseformål eller nogen slutbruger-IP-adresse. Højst angiver de anmodede fliser rejsens omtrentlige geografiske område, ikke knyttet til nogen enkeltperson.
Placering
MapTiler AG, Zug, Schweiz (hovedkontor); kortflise-datacentre i Frankrig (EU).
Overførselsmekanisme
Schweiz er omfattet af en tilstrækkelighedsafgørelse fra Europa-Kommissionen (artikel 45 GDPR), så anmodninger til MapTilers schweiziske enhed er lovlige uden standardkontraktbestemmelser. Kortflise-datacentrene ligger i Frankrig (EU/EØS — ingen overførselsmekanisme påkrævet).
Afventende tilføjelser
Underdatabehandlere vi har forpligtet os til, men endnu ikke aktiveret. Disse vil flytte til deres respektive aktive sektioner, når de er integreret, og vi vil offentliggøre en ændringslog-post.
Interne komponenter
Ikke alle dele af Baslic kører på en tredjepartstjeneste. Disse komponenter drives af os direkte:
- OCR-motor — vi self-hoster den open-source Tesseract OCR-motor på vores Hetzner-infrastruktur for at konvertere kvitteringsfotos, PDF'er og HEIC-filer til rå tekst før linje-udtrækningstrinnet. Kvitteringsbilleder forbliver i vores infrastruktur gennem dette trin.
- Applikationsservere, databaser, køer, caches — alle drevet af Baslic på infrastrukturen anført ovenfor; ingen tredjeparts SaaS-lag sidder mellem dig og dine data.
- Kundechat-widgets, sessionsoptagelse og adfærdsprofilering — ingen af disse er i brug. Produktanalyse er begrænset til aggregerede, cookiefri sideoptællinger via Plausible (anført ovenfor). Fejlovervågning beregnes fra vores egne server-logs.
Sådan gør du indsigelse
Hvis du gør indsigelse mod en specifik underdatabehandler af legitime grunde, kontakt os på privacy@baslic.com inden for 30 dage efter meddelelsen. Vi vil svare inden for 14 hverdage, og vi vil arbejde sammen med dig for at finde en acceptabel ordning (f.eks. at fravælge den berørte funktion). Hvis ingen løsning er mulig, kan du opsige den berørte tjeneste med en pro-rata refusion af enhver forudbetalt periode, i overensstemmelse med vores Databehandleraftale.
Hvorfor denne korte liste
Ændringslog
- 24. juni 2026 — Tilføjet MapTiler (MapTiler AG, Schweiz) som kortfliseudbyder (ny Kort-sektion) — gengiver baggrundskortet til rutekort i rejseudgifts-PDF'er (matkalasku). Kun områdefliser, hentet på serversiden fra Baslics server; ingen kundepersonoplysninger sendes. Overførselsgrundlag: Schweiz' tilstrækkelighedsafgørelse (artikel 45 GDPR); fliser-datacentre i Frankrig (EU).
- 11. juni 2026 — Backblaze B2 aktiveret som vores krypterede off-site backup-underdatabehandler (Infrastruktur) og flyttet fra afventende til aktiv. Sikkerhedskopier af kundekvitteringer krypteres på klientsiden med age, før de uploades til Backblaze B2's EU-region (Amsterdam), og opbevares med 30 dages Object Lock-uforanderlighed.
- 24. maj 2026 — (Bonus) Ledsagersider tilføjet: /legal/cookies (fuld cookie-offentliggørelse), /legal/security (sikkerhedspraksisser og hændelseshåndtering).
- 24. maj 2026 — Udvidet offentliggørelse: tilføjet Cloudflare (DNS, Infrastruktur), Clerk (godkendelse, Platform), Simply.com (domæne + apex-mail, Platform) og Plausible (cookiefri analyse, ny Analyse-sektion). Backblaze B2 anført som afventende (LS3 off-site backup). Resumé og interne komponenter-erklæringer afstemt med den nye stak.
- 17. maj 2026 — Første offentliggørelse af underdatabehandler-listen, der dækker lanceringsstakken: Hetzner (infrastruktur), Anthropic (AI), Postmark (e-mail) og Stripe (fakturering).
Relaterede dokumenter: