Waarom maakt het uit waar je site staat?
Bijna elke site verwerkt persoonsgegevens. Een contactformulier, een bestelling, een inlog voor je beheer: overal komen namen, adressen of e-mailadressen langs. Volgens de AVG ben jij dan de verwerkingsverantwoordelijke. Het bedrijf dat je site host, is de verwerker. Die twee maken samen afspraken in een verwerkersovereenkomst.
Waar de server staat, bepaalt mee welke regels gelden. Binnen de Europese Economische Ruimte geldt de AVG overal. Gaan gegevens naar een land daarbuiten, dan komen er extra regels bij. Het is dus fijn als je precies weet waar je gegevens staan.
Waar staat het bij ons?
Onze sites en systemen draaien op servers die we huren bij Hetzner Online GmbH, een Duits bedrijf. De server staat in een datacenter binnen de EU. In de verwerkersovereenkomst van onze websites en koppelingen staat Hetzner als enige sub-verwerker: het bedrijf dat ons helpt met de gegevens van jouw site.
Elke site en elk systeem draait apart, in een eigen afgeschermde omgeving. Wat bij een andere klant gebeurt, raakt jou niet. Je gegevens staan gescheiden van die van anderen.
Wat staat er in de verwerkersovereenkomst?
De verwerkersovereenkomst staat in onze algemene voorwaarden, in een eigen hoofdstuk. De belangrijkste afspraken:
- We werken alleen op jouw instructie. De instellingen die je in het systeem kiest, gelden ook als instructie.
- We gebruiken je gegevens niet voor onszelf, en we verkopen ze niet.
- Niet buiten de EER, tenzij je daar schriftelijk mee instemt en de AVG het toestaat.
- Een nieuwe sub-verwerker melden we minstens 30 dagen vooraf.
- Een datalek melden we je zonder onredelijke vertraging, en uiterlijk binnen 48 uur nadat we het ontdekten. Jij beslist of je het meldt bij de Autoriteit Persoonsgegevens. Wij helpen je daarbij.
- Geheimhouding voor iedereen die voor ons bij de gegevens kan.
Hoe beveiligen we het?
- Versleutelde verbindingen (https), met een certificaat dat zichzelf vernieuwt.
- Een firewall die alleen doorlaat wat moet.
- Inloggen op de server alleen met een digitale sleutel, niet met een wachtwoord.
- Updates houden we bij.
- Elke dag een back-up.
- We houden in de gaten of alles draait, en grijpen in als het nodig is.
Ook kleine dingen tellen. De sites die we bouwen, laden hun lettertypes van onze eigen server, niet van Google of een ander. Zo praat een bezoeker niet ongemerkt met andere bedrijven.
En bol, Shopify en MyParcel?
Koppel je je systeem aan bol, Shopify of MyParcel, dan zijn dat geen sub-verwerkers van ons. Met die diensten heb je zelf een overeenkomst, en we sturen gegevens daarheen op jouw instructie. Bij Shopify zie je in je eigen beheer precies welke rechten de koppeling heeft, en je kunt hem altijd intrekken.
En AI?
Wij gebruiken AI-hulpmiddelen bij het bouwen en onderhouden van onze software en sites. De aanbieder daarvan zit in de Verenigde Staten. Gegevens die onze klanten in onze systemen en sites zetten, delen we daarbij niet. Wil je AI in je eigen systemen gebruiken, met gegevens van klanten of medewerkers? Dan spreken we vooraf met je af welke AI-dienst en waar die draait. Zonder jouw akkoord gaat er niets naar een AI-dienst. Wat AI voor je kan doen, lees je in Vijf klusjes voor AI.
