Soevereiniteit
“Gegevens gehost in Europa” betekent dat de leverancier aankondigt bepaalde gegevens op te slaan in datacenters die in Europa staan. De zin is waar of onwaar afhankelijk van de lijst gegevens die hij dekt. Hij zegt niet welk recht van toepassing is op de vennootschap die ze in bezit heeft.
De vermelding staat bij bijna alle aanbiedingen voor e-mail en opslag. Ze stelt gerust, en dat is haar commerciële functie. Voor een directeur, een IT-manager of een functionaris voor gegevensbescherming is ze slechts een vertrekpunt: het register van verwerkingsactiviteiten, een vragenlijst van een klant of een aanbesteding zullen vragen waar de gegevens staan, maar ook wie er toegang toe heeft en van waaruit.
Een te ruime zin brengt twee risico’s met zich mee. Het eerste is ten onrechte verklaren dat er geen gegevens Europa verlaten. Het tweede is denken dat een vraag geregeld is terwijl dat niet zo is: die van de beheerder en van het recht dat op hem van toepassing is. De pagina een onderneming beschermen tegen de CLOUD Act behandelt dit tweede punt.
De brochures halen vier gebieden door elkaar.
Deze onderscheidingen zijn geen juridische details. Aan een aanbesteding die hosting “in de Europese Unie” eist, wordt niet noodzakelijk voldaan door een aanbod dat “Europa” aankondigt en Zwitserland of een ander EVA-land omvat. Omgekeerd kan een Zwitserse hosting geschikt zijn voor een onderneming die het toepasselijke kader heeft gecontroleerd. De veelgemaakte fout is het woord “Europa” als een antwoord te behandelen, terwijl het om een lijst vraagt.
Wanneer u “Europa” leest, vraag dan om de lijst van landen.
Een e-maildienst produceert ten minste zes soorten gegevens.
Veel aanbiedingen die “gehost in Europa” zijn, gaan over soort 1, soms over soort 2. De soorten 3 tot en met 5 zijn degene die het vaakst elders terechtkomen: follow-the-sun-support (uw verzoeken gaan afhankelijk van de tijdzone van het ene team naar het andere over de hele wereld), een Amerikaanse ticketingtool, back-up bij een verwerker, antivirus waarvan de signaturen of de samples de zone verlaten.
Deze soorten zijn niet bijkomstig. De logboeken laten zien wie met wie werkt en op welk tijdstip. Een kopie van een mailbox die voor een diagnose aan de support wordt bezorgd, bevat evenveel als de mailbox zelf. Een back-up is een tweede volledige kopie.
Microsoft documenteert, voor de diensten die onder de EU Data Boundary vallen, opslag en verwerking in de EU en de EVA van klantgegevens en gepseudonimiseerde persoonsgegevens, evenals opslag in rust van gegevens van professionele diensten, met doorgiften die blijven plaatsvinden: toegang op afstand door personeel buiten de zone voor bepaalde incidenten, opslag buiten de zone van bepaalde elementen van geëscaleerde tickets, optionele functies die door de beheerder zijn geactiveerd, Multi-Geo-klanten buiten de reikwijdte. Google documenteert dataregio’s voor gedekte inhoud (e-mail, agenda, bestanden, documenten, afhankelijk van de editie). De documentatie van Google preciseert dat niet-vermelde gegevens, zoals bepaalde logboeken, niet onder dit regiobeleid vallen.
Deze twee softwareleveranciers hebben één verdienste: ze publiceren wat wel en wat niet gedekt is. Een leverancier, van welke nationaliteit ook, die niets op papier zet over zijn back-ups, zijn logboeken en zijn support, biedt niet meer garanties; hij biedt alleen minder om te controleren.
De gedekte lijst lezen kost een uur. Dat uur geeft de zin betekenis.
Een dienstverlenend mkb-bedrijf met 40 medewerkers en twee vestigingen vergelijkt twee e-mailaanbiedingen. Beide kondigen “gegevens gehost in Europa” aan. Bij het lezen van de documentatie stelt de IT-manager vast dat de eerste de mailboxen en bestanden dekt, maar dat de ticketingtool van de support buiten Europa wordt gehost en dat de technici vanaf meerdere continenten kunnen inloggen. De tweede preciseert het land van de mailboxen, de back-ups en de logboeken, en vermeldt dat de support vanuit hetzelfde gebied werkt, met een spoor van elke toegang.
Beide zinnen waren waar. Alleen de tweede maakt het mogelijk het register zonder benaderingen in te vullen. De uiteindelijke keuze kan nog op andere criteria worden gemaakt, zoals functies of prijs, maar ze wordt met kennis van zaken gemaakt.
Hij bewijst niet dat de beheerder Europees is. Een Amerikaanse softwareleverancier kan in Ierland hosten.
Hij bewijst niet dat er geen doorgifte is. Een e-mail die naar een correspondent buiten Europa wordt gestuurd, verlaat Europa omdat de afzender dat wilde. Een bijlage die in een externe tool wordt geopend, verlaat het gebied. Tot slot: als de klant om een back-upkopie naar zijn eigen kluis vraagt, hangen de locatie en de opslagvoorwaarden van die kopie af van de plaats en de kenmerken van de door de klant gekozen kluis.
Hij bewijst niet wie kan lezen. Transportversleuteling (TLS) beschermt het traject. Versleuteling in rust beschermt de gestolen schijf. Zolang de beheerder de sleutel heeft om de dienst te leveren, kan hij technisch toegang krijgen tot de inhoud. Dat is het gebruikelijke kader van een e-maildienst, bij een Amerikaanse speler net als bij een Europese. De inzet is dan de toegangsregel, het spoor en het recht dat op de beheerder van toepassing is.
Het kader verandert wanneer de sleutel in bezit is van de klant, of in zijn account wordt bewaard achter een wachtwoord dat de beheerder niet bezit: de beheerder kan de inhoud dan niet meer lezen zonder een handeling die de klant zou opmerken. Dat is de keuze van Klytic, die hieronder wordt beschreven.
Hij bewijst de omkeerbaarheid niet. Gegevens die in Marseille worden gehost en die u niet kunt exporteren, blijven moeilijk te verlaten.
Deze vragen worden om een eenvoudige reden schriftelijk gesteld: het antwoord kan in het contract of in het register worden overgenomen.
De pagina’s AVG en Microsoft 365 en AVG en Google Workspace passen deze vragen toe op de twee meest verspreide pakketten. Voor alleen e-mail, zie een Europese zakelijke e-mail kiezen.
Geografisch wel. Juridisch maakt Zwitserland geen deel uit van de Europese Unie, maar de Commissie heeft er een adequaatheidsbesluit voor vastgesteld. Als uw contract of een aanbesteding de Europese Unie eist, moet u dit vóór de ondertekening controleren.
Niet zonder controle. Back-ups, logboeken, supporttickets en optionele functies volgen vaak andere regels dan de mailboxen. Microsoft somt zelf doorgiften op die ondanks zijn Europese gegevensgrens blijven plaatsvinden.
De vraag is verkeerd gesteld. De opslaglocatie is slechts één element; ook de grondslag voor doorgiften, de verwerkers en de toegang door support tellen. De locatie zegt bovendien niets over het recht dat op de softwareleverancier van toepassing is.
Ze beschermt het traject en de schijf. Ze maakt de gegevens niet onleesbaar voor de beheerder die de sleutel heeft. Wat telt, is dus wie de sleutel heeft, wat het contract daarover zegt en op welke functies de versleuteling van toepassing is.
Wanneer de dienst door Klytic wordt gehost voor een Europese klant, staan de gegevens in Europa. Voor een klant uit de zone Mauritius is de aangekondigde hosting Mauritius of Europa. Voor de overige klanten wordt de hosting verzorgd in een geografische zone die in overeenstemming is met het toepasselijke rechtsgebied, onder voorbehoud van de beschikbaarheid van de vereiste diensten. De klant kan ook bij zichzelf laten hosten. Voor telefonie wordt de eigen server gehost in een Europese cloud, op Mauritius of in een geografische zone die in overeenstemming is met het toepasselijke rechtsgebied, naargelang het verzoek of de behoefte van de klant. De back-ups volgen dezelfde beheerder: elk uur voor e-mail, documenten en het CRM, elke dag voor telefonie, met een bewaartermijn van 30 dagen.
Bij Klytic is de versleutelingssleutel in bezit van de klant, of wordt hij in zijn account bewaard. Klytic heeft er geen toegang toe: om hem te verkrijgen, zou Klytic het wachtwoord van het account, dat het niet bezit, moeten vernietigen of wijzigen, en de klant zou dat merken. De stappen waarin de versleuteling door Klytic wordt beheerd (quarantaine van de filtering, verwerking in het CRM, e-mails wanneer de klant zijn eigen sleutel niet heeft geactiveerd) worden beschreven op de pagina een onderneming beschermen tegen de CLOUD Act. Het contract moet dit bezit en deze versleuteling beschrijven. De gepubliceerde details staan op de pagina’s hosting en soevereiniteit en veelgestelde vragen.
Deze pagina beschrijft een algemeen kader. Ze vervangt niet de analyse van uw contract.
Juridische stand van zaken op 5 oktober 2026. Deze tekst vervangt geen analyse van een contract. Het adequaatheidsbesluit EU–VS (EU) 2023/1795 is van kracht. Het wordt aangevochten. Voor SecNumCloud is de catalogus van het ANSSI bepalend.
Geraadpleegd in oktober 2026.
E-mail, documenten, videoconferentie, CRM en telefonie, gehost in de zone die bij uw rechtsgebied past, bijvoorbeeld in Europa of op Mauritius, of bij u op locatie.
Welkomstaanbod
Proefaanbod zonder verplichtingen. Een adviseur belt u terug om uw behoeften te begrijpen en uw Klytic-omgeving voor te bereiden.
