Waar staat de data van je klanten, en wie kan erbij?

Op een server ergens staan de namen, de adressen, de berichten en soms de betaalgegevens van jouw gebruikers. Wie daar bij kan is zelden een technische vraag. Het gaat over zeggenschap: wie bepaalt de voorwaarden waaronder die gegevens bewaard worden, en wie kan er buiten jou om iets mee.

Voor iemand die een platform bouwt waar anderen hun werk op doen is dat geen bijzaak. Jij doet de belofte aan je gebruikers dat hun gegevens bij jou veilig zijn, en die belofte kun je alleen waarmaken als je weet wat er onder je platform ligt.

Het land van het bedrijf weegt zwaarder dan het land van de server

Hier gaat het het vaakst mis. Een Amerikaanse cloudpartij heeft datacentra in Frankfurt, Dublin en Amsterdam, je kiest bij het aanmaken netjes een Europese regio, en daarmee lijkt de zaak geregeld.

Dat is niet zo. Onder de Amerikaanse Cloud Act kan de Amerikaanse overheid gegevens opvragen bij een Amerikaans bedrijf, ook als die gegevens op een schijf in Europa staan. De wet volgt het bedrijf, niet het gebouw. Een Europese regio verandert daar niets aan, en een Europese dochteronderneming van een Amerikaans moederbedrijf evenmin.

Dat geldt voor de drie grote cloudpartijen, en het geldt net zo goed voor de diensten die je er bijna ongemerkt naast hangt. Een platform dat volgens de eigen documentatie in Europa draait, heeft in de praktijk vaak een Amerikaanse mailverzender, een Amerikaanse foutmelder, een Amerikaanse statistiekendienst en een Amerikaanse betaalpartij. Elk van die diensten ziet een stuk van je gebruikers. Bij de een is dat hun mailadres, bij de ander hun gedrag op je site en bij de betaalpartij hun aankopen en hun bankgegevens. Bij elkaar opgeteld is dat een aardig compleet beeld, verdeeld over vier partijen die geen van alle onder jouw voorwaarden werken.

Waarom dit jouw vraagstuk is en niet dat van je bouwer

Je bouwer kiest de servers, maar jij bent degene die de belofte doet. Als jouw platform straks wordt gebruikt door een zorginstelling, een gemeente of gewoon door mensen die je vertrouwen, dan word jij aangesproken op waar hun gegevens staan. Je bouwer staat dan al lang niet meer in beeld.

Er zit ook een kant aan die verder gaat dan risico. Een platform waarvan jij de voorwaarden kent, is een platform waarover je iets kunt beloven aan je eigen klanten. Die belofte kun je doorgeven. Wat jij hebt geregeld met de partij die je servers draait, geef jij op jouw beurt door aan de mensen die jouw platform gebruiken. Dat is een verkoopargument dat je concurrent met een standaard cloudaccount niet zomaar kan maken.

Zo zoek je uit waar je nu staat

Vier vragen leveren het meeste op, en je hoeft er geen techneut voor te zijn.

De eerste is de lijst met subverwerkers. Iedereen die persoonsgegevens verwerkt hoort die lijst te hebben en op verzoek te overhandigen. Daar staat in welke partijen er allemaal aan je platform hangen. Krijg je die lijst niet binnen een week, dan weet je genoeg over hoe scherp het geregeld is.

De tweede gaat over back-ups. Die staan opvallend vaak bij een andere partij dan de hoofdserver, en soms in een ander werelddeel. Een keurig Europese productieomgeving met een back-up bij een Amerikaanse opslagdienst is geen zeldzaamheid.

De derde is de vraag welke diensten je platform aanroept terwijl het draait. Mail, statistieken, foutmeldingen, betalingen, bestandsopslag, chat. Vraag per dienst waar die zit en wat die te zien krijgt.

De vierde is de vraag wie er toegang heeft tot de servers zelf. Niet alleen welk bedrijf, maar welke personen, en of daar onderaannemers tussen zitten die jij niet kent.

Wanneer het minder zwaar weegt

Ik ga niet doen alsof dit voor elk project even hard telt. Een marketingsite met een contactformulier is een ander verhaal dan een ledenomgeving met dossiers, of een platform waar bedrijven hun eigen klantgegevens in kwijt kunnen. Hoe gevoeliger wat je bewaart, en hoe meer je gebruikers erop moeten kunnen rekenen, hoe zwaarder de vraag weegt.

De grote Amerikaanse cloudpartijen leveren trouwens uitstekend spul, daar gaat het niet over. Waar het wel over gaat is wie de voorwaarden bepaalt. Zij kunnen morgen hun prijzen aanpassen, hun voorwaarden wijzigen of besluiten dat een dienst in jouw land anders werkt, en jij mag het ermee doen.

Wat het kost om het anders te doen

Minder dan de meeste mensen denken. Europese servers zijn niet duurder dan Amerikaanse, en voor een platform in de eerste jaren gaat het om bedragen per maand waar je niet wakker van ligt.

Het verschil zit in het beheer. Bij de grote cloudpartijen koop je gemak: een dienst die zichzelf bijwerkt en waar je verder niet naar omkijkt. Bij eigen servers moet iemand dat werk doen. Updates, back-ups, bewaking, en iemand die er ’s nachts bij kan als het misgaat. Dat is de echte afweging. Wie het beheert, en of die partij het serieus doet.

Kies je voor het gemak van de grote partijen, dan is dat een verdedigbare keuze zolang je hem bewust maakt en aan je gebruikers kunt uitleggen. Waar het misgaat, is wanneer niemand het ooit heeft gekozen en het antwoord op de vraag waar de data staat gewoon niet bekend is.

Wil je zien hoe ik het zelf doe en waarom, dan staat dat op de pagina over digitale soevereiniteit. En als je nog aan het rekenen bent aan wat een platform kost om te bouwen en te draaien, dan helpt wat maatwerksoftware kost je verder.