GDPR
Databehandleravtale (DPA)
Standard avtale for behandling av personopplysninger i henhold til GDPR artikkel 28.
Versjon 2.3 · Sist oppdatert: 19. oktober 2026
Databehandler
Hva er en databehandleravtale?
En databehandleravtale (DPA) er en juridisk avtale som kreves av GDPR når en bedrift (behandlingsansvarlig) bruker en tjenesteleverandør (databehandler) til å behandle personopplysninger på sine vegne.
Når du bruker OpenClaw til å håndtere e-post, kalender, kundekontakter eller andre data som inneholder personopplysninger, trenger du en DPA med oss for å være i samsvar med GDPR.
Vår DPA dekker
Behandlingens formål
Hva vi behandler og hvorfor
Sikkerhetstiltak
Tekniske og organisatoriske tiltak
Dataoverføring
USA/EU via DPF eller SCC
Underdatabehandlere
Liste over alle leverandører vi bruker
Sletting
Hva som skjer med data ved opphør
Revisjon
Din rett til å kontrollere vår etterlevelse
Underdatabehandlere
Vi bruker følgende tredjeparter til å levere tjenestene:
| Leverandør | Formål | Lokasjon |
|---|---|---|
| Hetzner Online GmbH | Hosting, servere & lagring | EU (Finland/Tyskland) |
| Google Cloud (Firebase) | Brukerdata, autentisering, applikasjonsdata | EU (Belgia) |
| Cloudflare Inc | CDN, tunneler, edge-sikkerhet | USA/EU (DPF) |
| Pipedream, LLC | Appkoblinger, kontometadata, tilgangsopplysninger, bruker-ID og personopplysninger i verktøykall og svar Brukes bare når kunden kobler en app via Pipedream. | USA (AWS us-east-1), SCC modul 3 |
| Google (Gemini Flash 2.5) | AI-prosessering (alle planer) | USA/EU (DPF) |
| Anthropic PBC (Claude Opus 5.5, Sonnet 5.5, Haiku 4.5) | AI-prosessering (beta-planene) | USA (DPF) |
| Kundevalgt LLM (Basis)* | AI-prosessering (BYOK, etter prøveperiode) | Avhenger av leverandør |
| OpenRouter Inc | API-gateway for AI-modeller (alle planer) | USA (DPF) |
| Moonshot AIIkke i bruk | AI-prosessering (standardmodell, OpenRouter-planer) Moonshot AI er et kinesisk-eid selskap, og leverandørens egne endepunkter driftes i Singapore. Det foreligger ingen EU adekvat-beslutning for Singapore, og leverandørens eget endepunkt er derfor utelukket fra rutingen: modellen betjenes kun av de USA-baserte leverandørene i Lokasjon-kolonnen. Utelukkelsen hviler på en rutingbegrensning som må være aktiv før modellen tas i bruk. | USA (Together AI, Fireworks AI, Baseten) |
| DeepSeek | AI-prosessering (standardmodell, alle OpenRouter-planer) DeepSeek er et kinesisk selskap, og leverandørens egne endepunkter driftes i Kina. Leverandørens eget endepunkt er utelukket fra rutingen og er i tillegg blokkert av OpenRouters datapolicy. Modellen betjenes derfor kun av de USA-baserte leverandørene i Lokasjon-kolonnen. Utelukkelsen håndheves av OpenRouter, som bare slipper forespørsler gjennom til godkjente leverandører. | USA (Together AI, Fireworks AI, Baseten, DeepInfra) |
| OpenAI OpCo, LLC (GPT Image 2.5 Sunburst) | Bildegenerering (interne agenter) Brukes bare når en intern agent lager et bilde. Eksterne agenter har ikke tilgang til bildegenerering. Forespørselen går til OpenRouter, som sender den videre til OpenAI. OpenAI er den eneste leverandøren av bildemodellen. | USA (DPF via OpenRouter) |
| Resend Inc | Transaksjonell e-post | USA (DPF) |
| Vipps MobilePay AS | Betaling | Norge |
| Stripe Inc | Betaling | USA/EU (DPF) |
Appkoblinger via Pipedream
Pipedream, LLC er et selskap registrert i Delaware i USA og er en del av Workday. Kunden velger selv hvilke apper og kontoer som kobles via Pipedream. Pipedream lagrer og forvalter tilgangsopplysningene til disse kontoene, blant annet OAuth-tokener. Disse lagres ikke på kundens server hos OpenClaw. Verktøykall og svar mellom kundens interne agenter og den tilkoblede appen går gjennom Pipedream og kan inneholde personopplysninger. Ifølge Pipedreams sikkerhetsdokumentasjon lagrer eller logger Pipedream ikke innholdet i verktøykall og svar via Connect API eller MCP.
OpenClaw sender kontoeierens interne bruker-ID som ekstern brukeridentifikator til Pipedream. Pipedream behandler og lagrer opplysninger i USA. Overføringen bygger på EU-kommisjonens standard personvernbestemmelser, SCC modul 3, for overføring mellom databehandlere, jf. Pipedreams databehandleravtale punkt 11. Pipedreams egne underdatabehandlere fremgår av leverandørens underdatabehandlerliste.
Nye underdatabehandlere varsles per e-post minst 30 dager før bruk. Kunden kan protestere skriftlig innen 14 dager etter varsel, jf. DPA punkt 7.1.
Slik får du DPA
For nye kunder
DPA signeres automatisk som del av onboarding-prosessen for alle bedriftskunder.
Book demoFor eksisterende kunder
Kontakt oss for å få tilsendt DPA for signering hvis du ikke allerede har signert.
Send e-postVanlige spørsmål
Trenger jeg en DPA?
Ja, hvis du bruker OpenClaw til å behandle personopplysninger (f.eks. e-post, kundekontakter, ansattdata). Dette er et krav under GDPR.
Koster det noe?
Nei, DPA er inkludert for alle bedriftskunder uten ekstra kostnad.
Brukes mine data til å trene AI-modeller?
Nei. Aldri. OpenClaw bruker aldri kundedata til å trene, finjustere eller forbedre AI-modeller. Dette er kontraktfestet i DPA-en og i avtalene med alle modell-leverandører.
Kan jeg bruke min egen DPA?
Vi foretrekker å bruke vår standard DPA, men for større kunder kan vi vurdere tilpasninger. Kontakt oss for å diskutere.
Hvordan håndterer dere dataoverføring utenfor EU?
For USA-baserte leverandører (Anthropic, Google, OpenRouter, Stripe, Cloudflare, Resend) er overføring dekket av EU-US Data Privacy Framework (DPF), en adekvat-beslutning godkjent sept. 2025. DeepSeek-modellene kjøres av USA-baserte leverandører, og overføringen går via OpenRouter. All AI-prosessering skjer i USA/EU. Primærlagring hos OpenClaw er i EU: kundeservere i Finland og Tyskland, plattformdata i Belgia. For valgfrie appkoblinger via Pipedream lagres tilgangsopplysninger i USA. Verktøykall og svar går også gjennom Pipedream og kan inneholde personopplysninger. Overføringen bygger på EU-kommisjonens standard personvernbestemmelser, SCC modul 3, i Pipedreams databehandleravtale.
Hva skjer med data når jeg avslutter?
Du kan eksportere alle data innen 30 dager etter opphør. Deretter slettes alt permanent, inkludert backup innen 60 dager.
Spørsmål om DPA eller GDPR?
Vi hjelper deg gjerne med å forstå hvordan OpenClaw håndterer personvern og compliance.
Kontakt oss