Het probleem dat je niet kende
Als je bedrijf facturen, bestellingen, afleveringsbonnen of andere documenten met klantgegevens verstuurt via een conventionele berichtenapp, gaan die gegevens via servers die waarschijnlijk niet in Europa staan. Of als ze dat wel doen, behoren ze tot een bedrijf dat onderworpen is aan buitenlandse wetgeving. De AVG heeft daar iets over te zeggen.
De Europese gegevensbeschermingsregels vereisen dat je weet waar je gegevens zijn, wie er toegang toe heeft en onder welke jurisdictie. Wanneer je een berichtenapp met een centrale server gebruikt, gaan je documenten via infrastructuur die je niet controleert. De gegevens van je klanten worden opgeslagen — al is het tijdelijk — op machines van een ander bedrijf, in een ander land, onder andere wetten.
Wat er verandert als er geen server is
Bij punt-naar-punt-communicatie gaan de gegevens rechtstreeks van het apparaat van de verzender naar dat van de ontvanger. Ze worden op geen enkele server opgeslagen. Wanneer een directe verbinding niet mogelijk is, passeren ze versleuteld via onze spiegel, die ze niet opslaat en niet kan lezen. Het document verlaat jouw computer in Lugo en komt aan op die van je klant in Barcelona, Berlijn of Lissabon.
Dit is belangrijk voor de AVG (GDPR). De accountgegevens die we bewaren, staan op servers in Duitsland, binnen de Europese Unie. Je berichten slaan we op geen enkele server op.
Voor wie dit belangrijk is
Als je advocaat bent en een contract naar een klant stuurt via berichten, gaan de gegevens van dat contract via een server. Als je belastingadviseur bent en een belastingaangifte deelt, gaan die gegevens via een server. Als je arts bent en een rapport naar een patiënt stuurt, gaan de gezondheidsgegevens via een server. In al die gevallen vertrouw je de bewaring van vertrouwelijke informatie toe aan een bedrijf dat je niet hebt gekozen en niet controleert.
Je doet dit niet met slechte bedoelingen. De tool die je gebruikt geeft je simpelweg geen andere keuze. Om ervoor te zorgen dat je zakelijke berichten op geen enkele server worden bewaard, moet de communicatie rechtstreeks van jouw scherm naar dat van hen gaan.
Automatische naleving
Met P2P-communicatie hoef je niet te controleren waar de servers van je berichtenprovider staan. Je hoeft de naleving van Privacy Shield of de standaardcontractbepalingen van de EU niet te verifiëren. Je hoeft geen clausule toe te voegen aan je privacybeleid die uitlegt dat je gegevens 'buiten de Europese Economische Ruimte verwerkt kunnen worden'. Niets van dat alles is van toepassing, omdat geen enkele derde partij je gegevens verwerkt.
Naleving hangt niet af van iemands goede wil. Het hangt niet af van een gegevensverwerkingsovereenkomst met een provider. Het hangt niet af van een Amerikaans bedrijf dat zijn toezegging aan Europese wetgeving handhaaft. Het hangt af van de architectuur. En architectuur is verifieerbaar, onveranderlijk en verandert niet van gedachten.
De vraag voor je volgende audit
De volgende keer dat iemand je vraagt waar de gegevens van je klanten staan, kun je antwoorden: «De berichten staan op mijn apparaat en op dat van hen. Ze worden op geen enkele server opgeslagen.»