Underleverandører
Versjon 2.1 — 19. september 2026
Primær behandling og lagring skjer i valgte EU-regioner, e-post inkludert. Dersom en leverandør får tilgang fra et tredjeland, skal overføringen ha gyldig grunnlag etter GDPR kapittel V før tilgangen skjer. Ingen underleverandør får opplysninger til egne formål, og tjenesten bruker ingen leverandør av kunstig intelligens for kundenes opplysninger. Brønnøysundregistrene brukes til oppslag på organisasjonsnummer, uten at personopplysninger sendes.
Godkjente underleverandører (databehandleravtalen, vedlegg B)
| Leverandør | Formål | Opplysninger | Behandlingssted | Eierskap og overføringsgrunnlag |
|---|---|---|---|---|
| Neon Inc. | Database (PostgreSQL) med sikkerhetskopi | Alle strukturerte opplysninger: ansatte, fravær, timer, dokument-metadata, revisjonslogg. Lønn er kryptert før lagring. | Frankfurt, Tyskland (AWS eu-central-1) | USA. Ved eventuell tilgang fra tredjeland: gyldig adekvansgrunnlag (DPF) dersom mottaker er gyldig sertifisert, ellers SCC og nødvendige tilleggstiltak. |
| Vercel Inc. | Drift av applikasjonen og privat fil-lagring (Vercel Blob) | All trafikk i transitt; opplastede dokumenter, bilder og håndbokfiler. Filene er private og hentes bare via autentiserte ruter. | Frankfurt, Tyskland (fra1) | USA. Ved eventuell tilgang fra tredjeland: gyldig adekvansgrunnlag (DPF) dersom mottaker er gyldig sertifisert, ellers SCC og nødvendige tilleggstiltak. |
| Lettermint B.V. | Utsending av e-post (invitasjoner, varsler, kalenderinvitasjoner) | Mottakers e-postadresse og navn, emne og meldingsinnhold. Varsler holdes korte og uten sensitive detaljer. | EU (Nederland). Logger slettes automatisk etter 28 dager. | Nederland. Ingen planlagt tredjelandsoverføring. Endringer varsles før ny behandlingsmåte tas i bruk. |
Interne komponenter — ikke underleverandører
Følgende funksjoner leveres av samme juridiske enhet som er databehandler for Done HRM, Done.ai Norway AS, og er derfor ikke listet som egne underleverandører:
| Komponent | Funksjon | Typiske opplysninger |
|---|---|---|
| Done ID | Innlogging og identitet (OpenID Connect). | Navn, e-post, innloggingshendelser og tofaktoroppsett. |
| Done Signatory | E-signering av arbeidsavtaler og andre dokumenter. | Mottakers navn og e-post, dokumentet som signeres og signaturbevis. |
Endringer
Ved planlagt bruk av en ny eller erstattende underleverandør varsler Done kundens administrator minst 30 dager før leverandøren begynner å behandle kundens personopplysninger. Kunden kan fremsette en saklig begrunnet innsigelse innen fristen etter reglene i databehandleravtalen punkt 6.
Dersom behandlingssted eller mekanisme for eventuell tredjelandsoverføring endres vesentlig, oppdateres denne oversikten og kunden varsles når endringen omfattes av databehandleravtalens varslingsplikt.