Underbiträden och underleverantörer
Förteckning över de bolag som behandlar personuppgifter för Hajpas räkning, och deras underleverantörer.
Senast uppdaterad:
Hajpa använder ett fåtal leverantörer för drift, BankID-verifiering, sms och pushnotiser. Alla uppgifter om dig lagras och behandlas inom EU/EES. Det enda som lämnar EU/EES är den tekniska kod som behövs för att leverera pushnotiser till din telefon. Listan uppdateras när något ändras.
1. Underbiträden vi anlitar
Bolag som behandlar personuppgifter för Punkt Fyra ABs räkning.
| Bolag | Org.nr / Land | Tjänst | Behandlingens art | Lagringsplats | Utanför EU/EES |
|---|---|---|---|---|---|
| Scaleway S.A.S. | 433 115 904 / Frankrike | Infrastruktur | Beräkning, lagring och nätverk. Får enligt avtal inte ta del av applikationsdata | Paris, Frankrike | Nej |
| OnlineCity.io ApS (GatewayAPI) | DK-27364276 / Danmark | Sms-utskick | Verifieringskoder och notiser via sms. Anonymiseras efter 30 dagar | Tyskland (Hetzner) | Nej |
| Svensk e-identitet AB (GrandID) | 556776-6992 / Sverige | Förmedling av BankID-verifiering | Förmedlar BankID-signatur vid verifiering av kontaktperson | Sverige (Amazon Web Services) | Nej |
| 650 Industries, Inc. (Expo) | Delaware, USA | Förmedling av pushnotiser | Tar emot telefonens pushkod och vidarebefordrar notiser till Apple och Google. Ser pushkod, installations-id och nätverksadress. Notiserna innehåller bara fast text, inga personuppgifter. Expo använder enligt sina villkor även uppgifterna i sammanställd eller avidentifierad form för att utveckla sina egna tjänster och ansvarar själv för den användningen | USA (Google Cloud Platform, Amazon Web Services) | Ja. EU-U.S. Data Privacy Framework och standardavtalsklausuler |
| Apple Inc. | Kalifornien, USA | Leverans av pushnotiser till iPhone (APNs) | Levererar notisen till telefonen. Ser den enhetskod Apple själv utfärdat och notisens fasta text | USA, global tjänst | Ja. Standardavtalsklausuler enligt Apple Developer Program License Agreement |
| Google LLC | Delaware, USA | Leverans av pushnotiser till Android (Firebase Cloud Messaging) | Levererar notisen till telefonen. Ser den enhetskod Google själv utfärdat och notisens fasta text | USA, global tjänst | Ja. EU-U.S. Data Privacy Framework och standardavtalsklausuler |
Om pushnotiser. Notiser till telefonen kan bara levereras genom Apples och Googles egna tjänster. Det som lämnar EU/EES är en teknisk kod som identifierar telefonen, inte personen, och en fast text. Vad notisen gäller hämtar appen från Punkt Fyras servrar i EU. Den som stänger av pushnotiser i appen får sin kod borttagen, och inget skickas till Expo, Apple eller Google. Vill du ha en kopia av standardavtalsklausulerna kan du mejla dataskydd@punktfyra.se.
2. Underbiträdenas egna underleverantörer
Nästa led i kedjan: bolag som våra underbiträden i sin tur anlitar.
| Underbiträde | Underleverantör | Land | Uppgift |
|---|---|---|---|
| Scaleway | Opcore | Frankrike | Datacenter (colocation) för regionen fr-par |
| GatewayAPI | Hetzner Online GmbH | Tyskland | Drift och lagring av sms-databas (Tier 4-datacenter) |
| Svensk e-identitet | Amazon Web Services | Sverige | Serverdrift och lagring |
| Svensk e-identitet | Zendesk | Irland | Supportverktyg, serverdrift och lagring |
| Svensk e-identitet | Lekab (21st Century Mobile) | Sverige | Sms-utskick |
| Expo | Amazon Web Services | USA | Drift av pushtjänsten |
| Expo | Google Cloud Platform | USA | Drift av pushtjänsten |
| Expo | Cloudflare | USA | Nätverk och skydd mot överbelastning |
| Expo | Redis Labs | USA | Kö för notiser |
Scaleways fullständiga förteckning över underleverantörer finns på scaleway.com/en/subprocessorlist. Tabellen ovan tar upp den datacenteroperatör som gäller för regionen där Hajpa körs.
Svensk e-identitet får enligt sitt biträdesavtal därutöver anlita bolag inom Visma-koncernen som är etablerade inom EU/EES. Sådana bolag omfattas av samma krav på lagring inom EU/EES och redovisas här när vi får kännedom om dem.
Expos fullständiga förteckning finns på expo.dev/privacy/subprocessors (senast uppdaterad av Expo 2026-08-17, kontrollerad 2026-09-11). Tabellen ovan tar upp de led som rör pushflödet. Expo meddelar ändringar med en veckas varsel, därför kontrolleras listan vid varje avtalsuppdatering.
3. Självständigt personuppgiftsansvariga
Dessa aktörer är inte underbiträden. De ansvarar själva för sin behandling när en kontaktperson verifierar sig med BankID.
| Aktör | Roll |
|---|---|
| Kontaktpersonens utfärdande bank | Personuppgiftsansvarig för behandlingen i BankID |
| Finansiell ID-Teknik BID AB | Bankens biträde, ansvarig för registret över utfärdade BankID |
Frågor
Hur vi hanterar personuppgifter i övrigt beskrivs i vår integritetspolicy.