Underbiträdesförteckning

Version 2026.5 · Gäller från: 2026-08-15

Bilaga 3 till personuppgiftsbiträdesavtalet.

Förteckningen visar de underbiträden Elezta AB anlitar för att leverera tjänsten, och som kan behandla personuppgifter för kundföretagets räkning.

Uppgifterna om certifiering och överföringsmekanism är hämtade ur de biträdesavtal Elezta faktiskt tecknat samt ur det officiella registret för EU–US Data Privacy Framework, kontrollerat 28 juli 2026. Samtliga certifieringar är självcertifieringar — ingen av leverantörerna har genomgått oberoende granskning.

Sammanställning

Supabase är den enda leverantören utan adekvansgrund och därmed den enda som kräver en egen överföringsbedömning. En sådan är dokumenterad och lämnas ut på begäran till kundföretag och till tillsynsmyndighet — kontakta info@elezta.se.

1. Supabase — databas, inloggning och fillagring

Viktigt att förstå skillnaden mellan avtalspart och lagringsplats. Uppgifterna lagras i Stockholm, men motparten är ett bolag i Singapore. Överföringen sker alltså juridiskt till Singapore även om servrarna står i Sverige.

Regionvalet är ingen absolut garanti. Supabase har på fråga bekräftat (2026-08-06) att personal utanför EES kan nå databasinnehåll utan kundinitierat ärende, vid support- eller säkerhets- och driftsincidenter; åtkomsten styrs av minsta privilegium och loggas, men loggarna lämnas inte ut till kund. Telemetri, kontouppgifter och globalt distribuerade tjänster (CDN, Realtime) kan behandlas utanför regionen.

Underbiträden av särskild betydelse (Schedule 3): Supabase, Inc. (support), Amazon Web Services, Google LLC, Cloudflare, Fly.io, Vercel, Upstash (drift), Sentry (felövervakning), samt OpenAI, LLC för "natural language processing and generation services".

Om OpenAI. Elezta använder inte Supabases AI-funktioner — applikationens AI-assistent körs på Cloudflares egna modeller. Supabase har skriftligen bekräftat (2026-08-06) att OpenAI inte behandlar någon projektdata när AI-åtkomsten är avstängd, att inget används för träning och att inget lagras hos OpenAI. Inställningen är verifierad avstängd i Eleztas projekt samma datum.

2. Cloudflare — drift, nätverk och AI

Var AI-beräkningen sker

Cloudflares egen dokumentation anger att Workers AI inte kan bindas till en geografisk region med deras verktyg för datalokalisering. De underbiträden som tillhandahåller beräkningskapacitet är CoreWeave, Inc. (USA) och Nebius BV (England) — inget i EU/EES.

Cloudflare beskriver också att anrop dirigeras till närmaste instans med ledig kapacitet, och att bakgrundsbearbetning medvetet läggs där belastningen är låg, vilket i praktiken kan betyda en annan världsdel.

Slutsats: AI-beräkningen sker globalt utan geografisk garanti. Lagligheten vilar därför på Data Privacy Framework, inte på lokalisering.

Cloudflare har i mars 2026 beskrivit en funktion för regionala anpassningar som nämner regionalisering av AI-inferens. Den uppgiften går inte ihop med produktdokumentationen. Elezta har begärt skriftligt besked; till dess gäller beskrivningen ovan.

3. Railsware Products Studio LLC (Mailtrap) — utgående e-post

Inga dokument passerar Mailtrap. Offerter, fakturor, avvikelserapporter och ÄTA skickas som länkar till Eleztas egna sidor, där mottagaren läser och godkänner. Gruppförteckningar och egenkontrollchecklistor — som innehåller elinstallatörernas personnummer — bifogades tidigare som PDF, men laddas sedan 2026-07-28 upp till Eleztas lagring i Stockholm och mejlas som en länk giltig i 14 dagar. Filen raderas när länken slutar gälla.

Kvar hos Mailtrap är alltså mottagarens adress, ämnesrad och mejltext. Det är fortfarande personuppgifter, men inte dokument med personnummer.

Två förhållanden skiljer Mailtrap från de andra DPF-certifierade leverantörerna: standardavtalsklausulerna gäller i dag endast som reservlösning — Mailtrap har accepterat att göra dem parallella och förbereder ett ändringsavtal — och invändningsfristen för nya underbiträden är 72 timmar (avtalets punkt 8.1.1), varefter fortsatt användning räknas som godkännande.

Mailtrap anger OpenAI Global, LLC som underbiträde för skräppostdetektering. Mailtrap har bekräftat (2026-08-06) att analysen bara körs på mejl som deras interna kontroller flaggat på kritisk nivå, att metadata, rubriker och mejltext då skickas — aldrig bilagor — och att inget används för träning. Mejlinnehåll gallras enligt planens lagringstider; bilagor följer samma period som mejltexten. Radering på Eleztas begäran sker omedelbart, med full loggrensning inom 30 dagar.

4. Stripe — betalning och abonnemang

Stripe är självständigt personuppgiftsansvarig för sin egen betalningsbehandling, bland annat för att uppfylla krav mot penningtvätt. I den delen är Stripe inte underbiträde.

Stripe erbjuder ingen kundvalbar datalagring inom EU.

5. Mapbox — kartor och adressuppslag

Mapbox anger uttryckligen att behandlingen inte kan begränsas till Europa. Certifieringen var tillbakadragen mellan juli 2021 och december 2023. Bland koncernbolagen i underbiträdeskedjan finns ett bolag i Belarus.

Mapbox användningsmätning går inte att stänga av — den utgör leverantörens underlag för fakturering.

6. Google, Apple och Mozilla — leverans av aviseringar

Gäller bara användare som själva slagit på aviseringar. Innehållet begränsas till notisens rubrik och text — inga dokument eller kunduppgifter skickas.

7. Leverantörer som inte är underbiträden

PostHog Inc (San Francisco, USA) används för användningsstatistik. Det sker för Eleztas egna ändamål och endast efter samtycke — Elezta är där självständigt personuppgiftsansvarig, inte biträde för kundens räkning. Beskrivs därför i integritetspolicyn, inte här.

För fullständighetens skull: PostHog är DPF-certifierat till 2027-03-10, uppgifterna lagras i Frankfurt, och standardavtalsklausuler finns som parallell grund — dock endast modul 2, vilket är tillräckligt så länge behandlingen sker för Eleztas egen räkning.

7.1 Kundvalda AI-tjänster via MCP

AI-tjänster som Kunden själv väljer och ansluter genom MCP-tillägget är inte underbiträden som Elezta har anlitat och redovisas därför inte i denna förteckning.

Kunden ansvarar för sitt avtal med leverantören och för leverantörens behandling av personuppgifter.

Om Elezta framöver väljer eller anlitar en leverantör för att tillhandahålla MCP-funktionen kommer leverantören att redovisas som underbiträde innan den börjar behandla personuppgifter.

7.2 Kundvalda bokförings- och ekonomisystem

Bokförings- och ekonomisystem som Kunden själv har avtal med och ansluter genom Bokföringsintegrationen är inte underbiträden som Elezta har anlitat och redovisas därför inte som Eleztas underbiträden i denna förteckning.

Kunden ansvarar för sitt avtal med leverantören och för leverantörens behandling av personuppgifter.

Om Elezta anlitar en extern integrationsplattform eller annan leverantör för att tekniskt tillhandahålla Bokföringsintegrationen och leverantören därigenom behandlar personuppgifter för Eleztas räkning, kommer leverantören att redovisas som underbiträde innan behandlingen påbörjas.

8. Frågor som ställts till leverantörerna

Supabase och Mailtrap besvarade sina frågor skriftligen 2026-08-06; svaren är inarbetade ovan. Följande är obesvarat vid denna versions datum och redovisas öppet i stället för att utelämnas:

9. Bevakning

Certifieringar och avtal förändras. Följande ska kontrolleras löpande:

De två invändningsfristerna är så korta att de kräver en rutin, inte god vilja. Utan bevakning godkänns nya underbiträden automatiskt genom att tjänsten fortsätter användas.

Ändringar

Elezta får anlita nya underbiträden och byta ut befintliga. Kundföretaget informeras innan ändringen träder i kraft och har skälig tid att invända. Invänder kunden på sakliga grunder och parterna inte kommer överens, får kunden säga upp avtalet till den del det berörs.

Den aktuella versionen publiceras på Eleztas webbplats.

Version 2026.5 — 2026-08-15. Uppgifter om certifiering kontrollerade 2026-07-28 mot dataprivacyframework.gov.