Dataveiligheid: checklist voor je softwareleverancier

Waarom moet je een softwareleverancier toetsen op dataveiligheid?

Je moet een softwareleverancier toetsen omdat je als kantoor verantwoordelijk blijft voor de persoonsgegevens van je klanten, ook als een leverancier ze voor je verwerkt. Facturen, bonnen en banktransacties bevatten namen, adressen, IBAN's en soms gevoelige informatie over gezondheid of privéuitgaven. Onder de AVG is het kantoor verwerkingsverantwoordelijke en de leverancier verwerker.

Volgens de Autoriteit Persoonsgegevens zijn beide partijen verplicht een verwerkersovereenkomst te hebben, en ontbreekt die, dan zijn ze allebei in overtreding. Als verwerkingsverantwoordelijke blijf je verantwoordelijk, ook als de leverancier de overeenkomst heeft opgesteld. Een checklist helpt om bij elke leverancier dezelfde vragen te stellen en de antwoorden te bewaren, zodat je bij vragen van klanten of een toezichthouder kunt laten zien wat je hebt gecontroleerd.

Wat leg je vast in de verwerkersovereenkomst met de leverancier?

In de verwerkersovereenkomst leg je vast welke gegevens de leverancier verwerkt, waarvoor, onder welke beveiligingsmaatregelen en wat er gebeurt na afloop. De Autoriteit Persoonsgegevens noemt onder meer: de verwerking alleen op jouw instructies, geheimhouding, passende beveiliging, regels voor subverwerkers, hulp bij datalekken en privacyrechten, verwijderen of teruggeven van gegevens na afloop en medewerking aan audits.

Let in het bijzonder op subverwerkers en de locatie van de data. De leverancier schakelt volgens de AP geen subverwerkers in zonder jouw voorafgaande schriftelijke toestemming, of je spreekt vooraf af onder welke voorwaarden dat mag. Worden gegevens doorgegeven naar een land buiten de Europese Economische Ruimte, dan mag dat alleen naar een land met een passend beschermingsniveau of met passende waarborgen, zoals een modelcontract van de Europese Commissie. Vraag dus:

• Is er een verwerkersovereenkomst (DPA), en wie stelt die op?
• Welke subverwerkers zijn er, waarvoor, en hoe word je geïnformeerd over wijzigingen?
• In welke landen worden de gegevens opgeslagen en verwerkt, en blijft dat binnen de EU of EER?
• Welke waarborgen gelden bij doorgifte buiten de EER?
• Worden de gegevens na afloop verwijderd of teruggegeven, inclusief kopieën?
• Werkt de leverancier mee aan audits en stelt hij de informatie daarvoor beschikbaar?

Welke technische beveiligingsmaatregelen vraag je na?

Vraag na hoe de data technisch is beschermd: versleuteling, toegangsbeheer, logging, back-ups en de toegang van de leverancier zelf. Versleuteling hoort zowel tijdens transport als in opslag te gelden. Toegang hoort per rol en per administratie in te stellen te zijn, zodat een medewerker alleen ziet wat hij nodig heeft en een klant alleen zijn eigen bedrijf.

Vraag ook naar het inloggen zelf. Meervoudige authenticatie (MFA), waarbij naast een wachtwoord een tweede factor nodig is, maakt een gestolen wachtwoord veel minder waardevol. Een auditlog laat zien wie wat wanneer heeft gedaan, wat onmisbaar is bij een incident of een vraag van een klant. Back-ups en herstelprocedures bepalen hoe snel je weer kunt werken na een storing. De vragen op een rij:

• Is data versleuteld tijdens transport en in opslag, en hoe is het sleutelbeheer geregeld?
• Zijn rollen en rechten per gebruiker en per administratie in te stellen?
• Is meervoudige authenticatie (MFA) of Single Sign-On beschikbaar of verplicht?
• Worden acties van gebruikers, beheerders en automatische processen vastgelegd in een auditlog?
• Hoe vaak worden back-ups gemaakt en hoe is herstel na een storing geregeld?
• Wie bij de leverancier heeft toegang tot productiedata, en hoe is die beperkt?
• Welke certificeringen heeft de leverancier daadwerkelijk, en kun je de rapporten inzien?

Wat moet een leverancier doen bij een datalek?

Bij een datalek moet de leverancier jou als verwerkingsverantwoordelijke zo snel mogelijk informeren, zodat jij op tijd kunt melden. Volgens de Autoriteit Persoonsgegevens meldt de verwerkingsverantwoordelijke een datalek binnen 72 uur na kennisname bij de AP, tenzij het niet waarschijnlijk is dat het een risico oplevert voor de betrokkenen. Bij een waarschijnlijk hoog risico moet je ook de betrokkenen zelf informeren. Controleer de actuele regels altijd op autoriteitpersoonsgegevens.nl.

Je kunt de leverancier schriftelijk machtigen om datalekken namens jou te melden, maar je blijft zelf wettelijk verantwoordelijk voor een tijdige melding. Leg in de verwerkersovereenkomst daarom concreet vast binnen welke termijn de leverancier je informeert, via welk contactpunt en hoe je op de hoogte wordt gehouden. Een gedeelde mailbox voor datalekmeldingen voorkomt dat een melding blijft liggen omdat één persoon afwezig is.

1. 1Spreek een vaste termijn af waarbinnen de leverancier een datalek aan je meldt.
2. 2Leg een bereikbaar contactpunt voor datalekken vast, bijvoorbeeld een gedeelde mailbox.
3. 3Bepaal of de leverancier namens jou mag melden en leg dat schriftelijk vast.
4. 4Vraag welke informatie de leverancier bij een melding aanlevert.
5. 5Beoordeel binnen 72 uur na kennisname of je bij de AP en de betrokkenen moet melden.

Welke vragen stel je over AI en het verwijderen van data?

Over AI vraag je vooral of klantdata wordt gebruikt om AI-modellen te trainen, en zo ja, welke modellen en voor wie. Er is een groot verschil tussen software die leert van correcties binnen jouw eigen omgeving en een leverancier die klantdata gebruikt om publieke of gedeelde modellen te verbeteren. Vraag ook hoe je kunt zien wat de AI heeft gedaan, en of je kunt vastleggen welke acties altijd een mens vereisen.

Over vertrek vraag je wat er met de data gebeurt als je de dienst opzegt: wordt die verwijderd, kun je hem eerst exporteren en hoe lang blijven back-ups bestaan. Houd daarbij rekening met je eigen bewaarplicht: de boekingen staan in het boekhoudpakket, maar bronbestanden en vraagpostenhistorie wil je mogelijk zelf bewaren voordat de leverancier ze verwijdert.

• Wordt klantdata gebruikt om AI-modellen te trainen, en zo ja, welke?
• Wordt klantdata verkocht of gedeeld met derden?
• Is elke automatische actie uitlegbaar en terug te vinden?
• Kun je vastleggen welke bedragen of acties nooit automatisch mogen?
• Wordt data bij beëindiging verwijderd, en kun je die vooraf exporteren?

Hoe beantwoordt Autoboeker deze vragen?

Autoboeker zegt op zijn securitypagina dat het is gebouwd met moderne encryptie, strikte toegangscontrole en vastgelegde interne procedures, en dat beleid, subprocessors en documentatie in het Trust Center op trust.autoboeker.nl staan. Er is een DPA-overeenkomst beschikbaar. Data is versleuteld tijdens transport met TLS en in opslag met AES-256, met veilig sleutelbeheer. Toegang is rolgebaseerd en administratie-specifiek, gebruikersactiviteit wordt gelogd en elke actie van gebruikers en AI is herleidbaar in auditlogs. Daarnaast noemt Autoboeker dagelijkse back-ups, redundante infrastructuur, monitoring, continuïteits- en disaster-recoveryprocedures, incident-responseprocedures en beperkte toegang tot productie.

Over data en AI zegt Autoboeker dat klantdata nooit wordt verkocht of gedeeld, alleen wordt gebruikt om de dienst te leveren, wordt verwijderd bij beëindiging van het account en niet wordt gebruikt om publieke AI-modellen te trainen. Je stelt een zekerheidsdrempel in, legt vast welke bedragen, grootboeken of acties nooit automatisch mogen, en elke boeking toont zekerheidsscore, bronnen en de toegepaste regel. Autoboeker is ontwikkeld met security-principes uit ISO/IEC 27001, SOC 2 en de AVG; dat is geen certificering, en de certificeringsstatus staat in het Trust Center. Details over de locatie van de data, MFA en de termijn voor het melden van datalekken vind je in het Trust Center, of vraag ze na in een gesprek, waarin het team de maatregelen, de DPA en de subprocessors met je doorloopt. Single Sign-On is op aanvraag beschikbaar.