| JuiceFactory AB | AI-inferens och valfria embeddings; dokumentbild, text och nödvändiga metadata. För skannade fakturor omfattar inferensen förslag till radbeskrivning, mängd, enhet, radbelopp samt exakt textutdrag och sid-, tabell- eller radposition | API-gateway i Stockholm, Sverige. JuiceFactory anger Hetzner Online GmbH som underbiträde för dedikerad GPU-beräkning i Helsingfors, Finland, samt nollagring av prompt, svar, filer och embeddings | Enda tillåtna AI-processorn. Kunddata är spärrad tills Emitly har laddat ned eller signerat DPA i leverantörsportalen och verifierat konto, modellväg och kostnadsmätning |
| BunnyWay d.o.o. (bunny.net) | CDN, TLS-terminering och reverse proxy; IP-adress, URL, tekniska headers, cookies och begärandedata som passerar edge-nätet | Globalt edge-nät; EU-begränsad routning finns men den aktiva zonens behandling och loggplats är ännu inte verifierad | Aktiv i den verifierade ingresskedjan för emitly.se och app.emitly.se via b-cdn.net. BunnyWay erbjuder ett kontospecifikt DPA och publicerar en underbiträdeslista. Emitlys kontoacceptans, zoninställningar, IP-anonymisering, cache, loggning och EU-routing är fortfarande obevisade och spärrar verklig kunddata |
| Sinch Email / Mailjet | Transaktionsmeddelanden och pilotförfrågningar; mottagaradress, namn och meddelandeinnehåll | Mailjet anger datacenter uteslutande inom EU. Avtalspart bestäms av aktuell order; Sinch Email omfattar Mailjet, Mailgun och Email on Acid | Valfri funktion. Det publika bokningsformuläret är tekniskt spärrat tills konto, juridisk avtalspart, DPA, underleverantörer, mottagare och högst 12 månaders lagring är godkända |
| Stripe Payments Europe, Limited | Betalning, abonnemang och fakturering; kund-, kontakt-, order- och betalningsmetadata | Irland med globala Stripe-bolag och tjänsteleverantörer. För konton utanför Nord- och Sydamerika anger DPA Stripe Payments Europe, Limited som avtalspart | Valfri betalningsfunktion. Stripe kan ha både personuppgiftsbiträdes- och självständigt personuppgiftsansvar; betalningsdata hålls utanför dokumentanalysen |
| Google Ireland Limited (Google Analytics 4) | Samtyckesbaserad analys av publika marknadssidor; pseudonymt klient-ID, minimerad sidadress och hänvisarursprung, händelser, ungefärlig geografi samt enhets- och webbläsardata. Sidadressen saknar frågeparametrar och fragment och hänvisaren begränsas till ursprungsdomänen | Insamling för besökare i EU/EES sker enligt Google via regionala servrar innan data går vidare till Analytics-behandling. Google kan anlita globala koncernbolag och tjänsteleverantörer; överföringsskydd följer Googles dataskyddsvillkor | Valfri och tekniskt spärrad. Ingen Google-tagg före samtycke. Endast publika marknadssidor; Enhanced Measurement, automatisk sidvisning, Google Signals, annonslagring, annonsanpassning och annonsrelaterad datadelning är avstängda. Två månaders användar- och händelseretention krävs |
| Produktionshosting, databas och backup | Lagring och drift av konto-, dokument-, beräknings- och loggdata | PostgreSQL och lokal backupyta finns på samma origin-VM. Juridisk leverantör, land, region och datacenterort är inte verifierade | Origin- och lokal backuptopologi är verifierad utan leverantörs- eller platsanspråk. Juridisk avtalspart, DPA, krypterad off-site-kopia, dess plats och lyckad återläsning saknar evidens och måste verifieras före verklig kunddata |