Underdatabehandlere for AgentBase
| Felt | Værdi |
|---|---|
| Dokumenttitel | Liste over underdatabehandlere for AgentBase |
| Version | 1.2 |
| Senest opdateret | 2026-09-07 |
| Dokumentejer | syv.ai (kontakt: mads@syv.ai) |
| Reviewfrekvens | Ved enhver ændring i kredsen af underdatabehandlere samt mindst én gang årligt |
| Tilhørende dokumenter | Databehandleraftalen, Systembeskrivelse for AgentBase, DPIA-skabelon |
Denne side er den løbende ajourførte liste over de underdatabehandlere, som syv.ai ApS (CVR 44671247) anvender ved levering af AgentBase. Listen udgør den samlede kreds af tredjeparter, der behandler personoplysninger på vegne af den dataansvarlige under Databehandleraftalens Bilag B.1.
Underretning ved ændringer
Databehandleren skal i henhold til Bestemmelse 7.3 i Databehandleraftalen underrette den dataansvarlige skriftligt med mindst 30 dages varsel om planlagte ændringer i listen (tilføjelse eller udskiftning af underdatabehandlere). Den dataansvarlige har inden for varslet ret til at gøre indsigelse mod en påtænkt ændring.
Dataansvarlige, der ønsker at modtage e-mailunderretning om ændringer på denne liste, kan tilmelde sig ved at skrive til mads@syv.ai med emnet "Tilmelding underretning om underdatabehandlere".
1. Oversigt
AgentBase er hostet og drives inden for EU/EØS. Hosting, LLM-inference, OCR og e-mailafsendelse sker uden tredjelandsoverførsel, jf. Databehandleraftalens Bilag C.6. Undtagelsen er billedgenerering (Billedgenerering-noden og det tilsvarende chat-værktøj), som leveres af Eleven Labs Inc., et amerikansk selskab certificeret under EU-U.S. Data Privacy Framework; se 2.5 nedenfor. Billedgenerering aktiveres alene ved noder og værktøjer, der eksplicit er konfigureret hertil, og sender kun den beskrivelse og de referencebilleder, brugeren selv angiver.
| # | Underdatabehandler | Behandlingsformål | Lokalitet | DPA |
|---|---|---|---|---|
| 1 | Hetzner Online GmbH | Hosting og drift (applikation, database, lagring) | Tyskland (EU) | Indgået |
| 2 | OpenAI Ireland Ltd. | LLM-inference (sprogmodel) | EU/EØS | Indgået |
| 3 | Mistral AI SAS | LLM-inference (sprogmodel), OCR og dokumentudtræk | EU (Frankrig) | Indgået |
| 4 | Lettermint B.V. | Afsendelse af e-mails (transaktionelle og broadcast) | EU (Nederlandene / Frankrig) | Indgået |
| 5 | Eleven Labs Inc. | Billedgenerering (Billedgenerering-noden og chat-værktøjet "Generér billede") | USA (EU-U.S. Data Privacy Framework); Zero Data Retention, ingen træning | Indgået |
2. Detaljeret beskrivelse pr. underdatabehandler
2.1 Hetzner Online GmbH
| Felt | Værdi |
|---|---|
| Juridisk enhed | Hetzner Online GmbH |
| Registreringsnummer | HRB 226999 (Amtsgericht Ansbach, Nürnberg) |
| Juridisk hjemsted | Industriestr. 25, 91710 Gunzenhausen, Tyskland |
| Behandlingsformål | Hosting og drift af AgentBase-applikation, PostgreSQL-database og lagring af brugerdata, herunder kørselsdata og uploadede dokumenter |
| Hvor data behandles | Hetzner-datacentre i Tyskland (Nürnberg / Falkenstein). syv.ai anvender udelukkende Hetzners tyske region; den finske region (Helsinki) anvendes ikke for AgentBase |
| Lovligt overførselsgrundlag | Behandling sker udelukkende inden for EU/EØS ingen tredjelandsoverførsel. Behandling foregår på baggrund af Databehandleraftalen, jf. art. 28, stk. 3 |
| DPA-status | Databehandleraftale indgået med Hetzner Online GmbH (Hetzners standard "Auftragsverarbeitungsvertrag" / "Data Processing Agreement") |
| Bemærkninger | Hetzners datacentre er ISO/IEC 27001-certificerede med døgnbemandet adgangskontrol, videoovervågning og brand-/strømsikring, jf. Databehandleraftalen Bilag C.2. Backups opbevares geografisk adskilt inden for EU/EØS |
2.2 OpenAI Ireland Ltd.
| Felt | Værdi |
|---|---|
| Juridisk enhed | OpenAI Ireland Ltd. |
| Registreringsnummer | 745666 (Companies Registration Office, Irland) |
| Juridisk hjemsted | 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland |
| Behandlingsformål | LLM-inference (sprogmodel) til generering af svar, dokumenter og struktureret output. Aktiveres alene ved noder, der eksplicit er konfigureret til at kalde OpenAI |
| Hvor data behandles | EU/EØS. AgentBase anvender OpenAI's EU-data-residency-konfiguration, således at inference-anmodninger rutes til OpenAI's europæiske infrastruktur |
| Lovligt overførselsgrundlag | Behandling sker inden for EU/EØS ingen tredjelandsoverførsel i standardkonfigurationen. Behandling foregår på baggrund af Databehandleraftalen mellem OpenAI Ireland Ltd. og syv.ai, jf. art. 28, stk. 3 |
| DPA-status | Databehandleraftale indgået med OpenAI Ireland Ltd. (OpenAI's "Data Processing Addendum" på erhvervsvilkår) |
| Bemærkninger | Behandling sker under Zero Data Retention (ZDR): input og output lagres ikke hos OpenAI ud over selve transaktionen. Input fra AgentBase anvendes ikke til træning af OpenAI's modeller, jf. OpenAI's erhvervsvilkår. Den dataansvarlige kan via anonymization-noden anonymisere data inden videresendelse |
2.3 Mistral AI SAS
| Felt | Værdi |
|---|---|
| Juridisk enhed | Mistral AI SAS |
| Registreringsnummer | RCS Paris 952 418 325 |
| Juridisk hjemsted | 15 Rue des Halles, 75001 Paris, Frankrig |
| Behandlingsformål | LLM-inference (sprogmodel) samt OCR (optisk tegngenkendelse) og dokumentudtræk fra uploadede dokumenter (PDF, billeder mv.). Aktiveres alene ved noder, der eksplicit er konfigureret til at kalde Mistral — herunder byggeklodsen Anonymiser tekst, som siden anonymize-text@2 som standard kører på Mistrals EU-model |
| Hvor data behandles | Mistrals EU-hostede infrastruktur (Frankrig) |
| Lovligt overførselsgrundlag | Behandling sker inden for EU/EØS ingen tredjelandsoverførsel. Behandling foregår på baggrund af Databehandleraftalen mellem Mistral AI SAS og syv.ai, jf. art. 28, stk. 3 |
| DPA-status | Databehandleraftale indgået med Mistral AI SAS (Mistrals "Data Processing Agreement" på erhvervsvilkår "La Plateforme") |
| Bemærkninger | Behandling sker under Zero Data Retention (ZDR): input og output lagres ikke længere end nødvendigt for at generere svaret. ZDR er aktiveret på syv.ai's Mistral-konto og dækker de stateless endpoints, AgentBase bruger til LLM-inference (/v1/chat/completions) og OCR (/v1/ocr), jf. Mistrals dokumentation. I overensstemmelse med Mistrals erhvervsvilkår anvendes input ikke til træning af Mistrals modeller. Den dataansvarlige kan via anonymization-noden anonymisere data inden videresendelse; selve anonymiseringens udtrækskald går til den model, der er valgt på byggeklodsen (standard Mistral) |
2.4 Lettermint B.V.
| Felt | Værdi |
|---|---|
| Juridisk enhed | Lettermint B.V. |
| Registreringsnummer | 99337711 (Kamer van Koophandel, Nederlandene) |
| Juridisk hjemsted | Willemsvaart 16 B, 8019 AB Zwolle, Nederlandene |
| Behandlingsformål | Afsendelse af e-mails fra AgentBase (transaktionelle e-mails samt e-mails afsendt af agents via email-noden), herunder modtagerens e-mailadresse, emnefelt, indhold og eventuelle vedhæftede filer |
| Hvor data behandles | Lettermints EU/EØS-hostede infrastruktur. E-mails behandles på infrastruktur i Frankrig (OVH Cloud) og andre EU/EØS-medlemsstater (UpCloud, Nederlandene) |
| Lovligt overførselsgrundlag | Behandling sker inden for EU/EØS ingen tredjelandsoverførsel. Behandling foregår på baggrund af Databehandleraftalen mellem Lettermint B.V. og syv.ai, jf. art. 28, stk. 3 |
| DPA-status | Databehandleraftale indgået med Lettermint B.V. (Lettermints "Data Processing Agreement", offentligt tilgængelig på lettermint.co/dpa) |
| Bemærkninger | Lettermint er EU-ejet og -drevet og er GDPR-compliant. Indhold af e-mails (herunder modtageradresser, emne, brødtekst og vedhæftede filer) sendes til Lettermint udelukkende med henblik på levering. Lettermints egne underdatabehandlere fremgår af lettermint.co/subprocessors |
2.5 Eleven Labs Inc.
| Felt | Værdi |
|---|---|
| Juridisk enhed | Eleven Labs Inc. (Delaware corporation, USA). Koncernens EU-selskab, Eleven Labs Poland sp. z o.o. (Lipska 27/22, 03-908 Warszawa), er dataansvarlig for ElevenLabs' egen behandling af EØS-brugeres kontooplysninger, men aftaleparten for tjenesten er Eleven Labs Inc. |
| Registreringsnummer | US EIN 88-2721123 (Delaware corporation; registreret agent 251 Little Falls Drive, Wilmington, DE 19808) |
| Juridisk hjemsted | 169 Madison Ave #2484, New York, NY 10016, USA |
| Behandlingsformål | Generering af billeder ud fra en tekstbeskrivelse og eventuelle referencebilleder (Billedgenerering-noden image-generation og chat-værktøjet "Generér billede"). Aktiveres alene ved noder og værktøjer, der eksplicit er konfigureret hertil. Det, der sendes, er beskrivelsen, det valgte billedformat og de referencebilleder, brugeren selv vedhæfter; det genererede billede returneres og lagres i AgentBase som kørselsresultat |
| Hvor data behandles | Eleven Labs' infrastruktur hos Google Cloud Platform og AWS. For kunder uden for Enterprise-planen behandles data i USA, EU eller Singapore efter ElevenLabs' valg, og ElevenLabs' privatlivspolitik angiver, at personoplysninger overføres til USA til opbevaring. Behandlingen betragtes som en overførsel til USA. syv.ai's aftale med ElevenLabs omfatter Zero Data Retention: input og output lagres ikke hos ElevenLabs ud over selve transaktionen |
| Lovligt overførselsgrundlag | Overførsel til USA (tredjeland) på grundlag af EU-Kommissionens tilstrækkelighedsafgørelse af 10. juli 2023 for EU-U.S. Data Privacy Framework: Eleven Labs Inc. er opført som aktiv deltager i EU-U.S. DPF (samt UK-udvidelsen og Swiss-U.S. DPF) på dataprivacyframework.gov, oprindeligt certificeret 9. februar 2026 med næste fornyelse 9. februar 2027, for både HR- og ikke-HR-data. ElevenLabs' DPA supplerer med EU-Kommissionens standardkontraktbestemmelser (modul 2/3, ElevenLabs som dataimportør), som træder til, hvis DPF-grundlaget bortfalder. Behandling foregår på baggrund af Databehandleraftalen mellem Eleven Labs Inc. og syv.ai, jf. art. 28, stk. 3 |
| DPA-status | Databehandleraftale indgået med Eleven Labs Inc. (ElevenLabs' "Data Processing Addendum", elevenlabs.io/dpa, senest opdateret 8. april 2026) på erhvervsvilkår med Zero Data Retention og forbud mod træning. DPA'en indeholder 30 dages varsel og indsigelsesret ved nye underdatabehandlere, sletning af kundeindhold senest 30 dage efter ophør (Enterprise) og adgang til ElevenLabs' SOC 2 Type II-rapport på skriftlig anmodning |
| Bemærkninger | Billedmodellen (gpt-image-2) leveres via ElevenLabs' underdatabehandler OpenAI (behandling i USA/EU), jf. ElevenLabs' liste over underdatabehandlere; ElevenLabs oplyser, at dets aftaler med modeludbyderne forbyder træning på kundeindhold. I overensstemmelse med syv.ai's aftale med ElevenLabs anvendes input ikke til træning af ElevenLabs' modeller, og behandlingen sker under Zero Data Retention (ZDR): input og output lagres ikke hos ElevenLabs ud over selve transaktionen. Den dataansvarlige kan via anonymization-noden anonymisere beskrivelsen inden videresendelse, og bør ikke vedhæfte referencebilleder med personoplysninger, medmindre behandlingsgrundlaget bærer det. Billedgenerering er et tilvalg: agents uden Billedgenerering-noden og chat-samtaler, der ikke kalder værktøjet, sender intet til Eleven Labs |
3. Forhold der ikke udgør underdatabehandlere
For klarhedens skyld bemærkes, at følgende forhold ikke indgår på listen ovenfor, idet de ikke involverer underdatabehandlere efter art. 28:
- Egne medarbejdere hos syv.ai ApS (databehandleren), som er underlagt instruks og tavshedspligt, jf. Databehandleraftalens punkt 5.
- Den dataansvarliges egne integrationer: Når den dataansvarlige konfigurerer agents, der via
http_request-,email-,cvr_lookup- ellersql-noder kalder eksterne tjenester valgt af den dataansvarlige selv, sker den behandling uden for syv.ai's kontrol og under den dataansvarliges egen ansvar og databehandlerkæde. - Alternative LLM- eller OCR-leverandører ud over de godkendte underdatabehandlere ovenfor understøttes ikke. Det er ikke muligt at konfigurere AgentBase til at kalde andre LLM- eller OCR-tjenester via egne API-nøgler eller egne endpoints.
4. Tilsyn med underdatabehandlerne
Tilsynet med underdatabehandlerne sker som beskrevet i Databehandleraftalens Bilag C.8. Underdatabehandlerne (Hetzner Online GmbH, OpenAI Ireland Ltd., Mistral AI SAS, Lettermint B.V. og Eleven Labs Inc.) er større leverandører, der ikke tilbyder individuel revision eller fysisk inspektion til den enkelte kunde. syv.ai henholder sig derfor til den dokumentation herunder DPA'er, sikkerhedsvilkår og eventuelle certificeringer / tredjepartserklæringer som underdatabehandlerne offentliggør. Kopier eller henvisninger fremsendes på skriftlig anmodning fra den dataansvarlige.
Uanset ovenstående har syv.ai det fulde ansvar over for den dataansvarlige for underdatabehandlernes overholdelse af databeskyttelsesforordningen og Databehandleraftalen, jf. Bestemmelse 7.7.
5. Kontakt
Spørgsmål til denne liste, anmodning om kopi af indgåede databehandleraftaler eller tilmelding til underretning om ændringer kan rettes til:
syv.ai ApS Rosenvængets Allé 11, 1. sal, 2100 København Ø CVR 44671247 E-mail: mads@syv.ai
6. Revisionshistorik
| Version | Dato | Ændring | Ansvarlig |
|---|---|---|---|
| 1.0 | 2026-05-01 | Første udgave af den offentlige liste over underdatabehandlere, baseret på Databehandleraftalens Bilag B.1. | syv.ai |
| 1.1 | 2026-05-14 | Tilføjet Lettermint B.V. som underdatabehandler for afsendelse af e-mails. | syv.ai |
| 1.2 | 2026-09-07 | Tilføjet Eleven Labs Inc. som underdatabehandler for billedgenerering (Billedgenerering-noden og chat-værktøjet "Generér billede"). Afsnit 1 præciseret: billedgenerering er den ene behandling, der indebærer overførsel til USA. Selskabsoplysninger, DPF-certificering (aktiv siden 9. februar 2026), DPA-vilkår, behandlingslokation og underdatabehandler for billedmodellen er verificeret mod ElevenLabs' offentliggjorte dokumentation og det amerikanske DPF-register den 7. september 2026. | syv.ai |