Waar staat je klantdata eigenlijk? Drie vragen aan elke tool

Bijna elk bedrijf draait op een handvol tools waarvan niemand precies weet waar de gegevens staan.

Dat is geen verwijt. Je kiest een tool omdat hij een probleem oplost, niet omdat je zin hebt in een gesprek over datacenters. Maar zodra je klantgegevens invoert, ben jij verantwoordelijk voor wat de leverancier ermee doet. Dat is geen mening, dat is de wet.

Ook een naam en een e-mailadres zijn persoonsgegevens

Een veelgehoorde gedachte is dat de AVG pas begint bij medische dossiers of identiteitsbewijzen. Zo werkt het niet. De AVG noemt persoonsgegevens "any information relating to an identified or identifiable natural person". Een naam met een e-mailadres is dus al genoeg, en je nieuwsbriefabonnees, je offerteaanvragen en de contactpersonen in je CRM vallen daar allemaal onder.

Een leverancier die die gegevens voor jou opslaat, is een verwerker: een partij die "processes personal data on behalf of the controller". En voor een verwerker geldt dat de verwerking geregeld moet zijn in een overeenkomst. Daarom is de vraag "waar staat het?" geen vraag voor alleen grote bedrijven met gevoelige dossiers. Hij geldt voor iedereen met een klantenlijst.

Dit is uitleg en geen juridisch advies. Twijfel je over een specifieke situatie, vraag het dan aan iemand die dat vak heeft.

Vraag 1: wie kan erbij?

Niet "is het veilig", want dat zegt iedere leverancier. Concreet: welke mensen hebben toegang, en wat gebeurt er als er iemand weggaat.

Dit zijn de plekken waar het meestal rommelig wordt:

• Een gedeeld account. Vijf mensen op één inlog. Achteraf is niet te zien wie wat deed, en het wachtwoord verandert niet snel.
• Een oud-medewerker die nog in de lijst staat.
• Koppelingen die niemand meer kent. Een automatisering die ooit is aangezet en sindsdien met dezelfde rechten meedraait.
• Een account dat op naam van iemand staat die er niet meer werkt.

Dat vraagt geen nieuw systeem. Dat vraagt een vast moment om de lijst met gebruikers en koppelingen door te lopen, en per persoon eigen rechten in plaats van een gedeelde inlog.

Vraag 2: wat gebeurt er als je stopt?

Stel dat je morgen weg wilt bij de tool. Krijg je je gegevens er dan uit, en in welke vorm?

Een export naar CSV of JSON is genoeg. Een export die alleen een PDF geeft is dat niet, want daar kun je niets mee inlezen. En een tool zonder exportmogelijkheid is een tool waar je in vastzit, hoe goed hij verder ook is.

Ook de wet kijkt hiernaar. In een verwerkersovereenkomst hoort te staan dat de verwerker na afloop van de dienst alle gegevens verwijdert of teruggeeft, naar keuze van jou. Vraag dus ook hoe lang de gegevens daarna nog blijven staan, en of je een bevestiging van het verwijderen krijgt.

Je hoeft niet weg te willen. Je moet weten dat het kan.

Vraag 3: waar staat het en wie heeft het in handen?

Dit is de vraag die het vaakst als eerste gesteld wordt, en het antwoord is minder eenvoudig dan "in Europa". Het gaat om drie dingen:

• In welk land staan de servers, en staat dat in de overeenkomst of alleen op de marketingpagina?
• Welke andere partijen verwerken de gegevens voor de leverancier, zoals een hostingbedrijf, een mailservice of een analysetool?
• Ligt er een verwerkersovereenkomst, en heb je hem ook echt gelezen en bewaard?

Een leverancier die dit niet kan uitleggen, heeft het waarschijnlijk ook voor zichzelf nooit op een rij gezet.

Het mooie voorbeeld is de lijst van partijen achter deze site. In de privacyverklaring staat per dienst waarvoor die wordt gebruikt, en ook waar het niet ideaal is: bij het mailverkeer via Resend bestaat er geen EU-only optie, en dat staat er gewoon bij. Zo'n lijst is wat je van elke leverancier mag vragen.

Waarom vooraf makkelijker is

Achteraf staat er data in. Dan is elke verandering een migratie, en migraties zijn precies het werk waar niemand budget voor heeft, omdat er niets nieuws uit komt.

Vooraf zijn het drie vragen bij het kiezen. Ze gelden ook als het antwoord Notion, Airtable of gewoon een spreadsheet is, want die keuze kan prima zijn. Alleen wel met open ogen: je zet je proces op het platform van iemand anders, en dan wil je weten hoe je er weer af komt.

Een eigen webapp is niet automatisch het veiliger antwoord. Dan ben jij of je bouwer verantwoordelijk voor hosting, back-ups en toegang, en dat werk verdwijnt niet. Of dat de moeite loont hangt af van wat het alternatief kost, en dat reken je na in wanneer een eigen webapp goedkoper is dan drie SaaS-tools. Wat een eigen app wel geeft is dat je zelf bepaalt waar de data staat en hoe hij eruit komt.

Staat je klantdata nu verspreid over tools waar je geen overzicht van hebt? Dan is dat een goed moment om te kijken wat een webapp op maat kan overnemen.