Soevereiniteit
Een soevereine cloud is een dienst waarvan u kunt zeggen wie de gegevens beheert, welke rechter de verstrekking ervan kan eisen en hoe u ze terugkrijgt. Het woord heeft geen eenduidige definitie in de AVG (Algemene verordening gegevensbescherming). Het is een inkoopcriterium, dat bruikbaar wordt op het moment dat u het vertaalt in toetsbare vragen.
“Soeverein” is een verkoopargument geworden. U leest het bij zeer uiteenlopende aanbiedingen: een e-maildienst in een Parijs datacenter, een Amerikaans kantoorpakket met een Europese dataregio, opensourcesoftware, een door de ANSSI gekwalificeerde infrastructuur. Al deze aanbiedingen kunnen hun kwaliteiten hebben. Ze geven geen antwoord op dezelfde vraag.
Voor een directeur, een IT-manager of een functionaris voor gegevensbescherming bestaat het risico erin een vakje aan te vinken zonder te weten wat erin zit. Op de dag dat een klant vraagt waar zijn gegevens staan, dat een auditor het register van verwerkingsactiviteiten doorneemt of dat een leverancier van eigenaar wisselt, heeft het etiket geen enkele waarde. Alleen schriftelijke antwoorden tellen: wie beheert, welk recht is van toepassing, hoe stapt u over.
Deze pagina legt het begrip uit. De criterialijst voor een aanbesteding vindt u in definitie, criteria en grenzen. De vergelijking tussen een Europese beheerder en een Amerikaanse softwareleverancier komt aan bod op de pagina Europese of Amerikaanse cloud.
Een onderneming vertrouwt haar e-mails, bestanden en klantdossiers toe aan een derde. Ze wil drie dingen weten.
Als het contract deze drie punten beantwoordt, heeft het etiket “soeverein” inhoud. Beperkt het zich tot “datacenter in Parijs” of “datacenter in Frankfurt”, dan beschrijft het een plaats. Een plaats is nuttig, met name voor het register van verwerkingsactiviteiten. Ze zegt niet wie kan worden gedwongen de gegevens te verstrekken.
In Europese aanbestedingen omvat het woord doorgaans vijf verwachtingen.
De Franse kwalificatie SecNumCloud, afgegeven door de ANSSI, legt een deel van deze verwachtingen formeel vast voor een specifiek aanbod. Ze kwalificeert noch een onderneming als geheel, noch een applicatie alleen omdat die op een gekwalificeerde infrastructuur is geïnstalleerd. De catalogus van de ANSSI is bepalend, aanbod per aanbod. Voor een mkb-bedrijf speelt de vraag vooral wanneer de aard van de gegevens of een opdrachtgever dit vereist.
Het is geen immuniteit. Een Europese operator blijft onderworpen aan het recht van zijn land, aan lokale gerechtelijke vorderingen en aan rechtshulpverdragen. Soevereiniteit verandert het juridische kader. Ze maakt niet elk verzoek om toegang onmogelijk. Wat verandert, is de rechter die de verstrekking kan bevelen, de gevolgde procedure en de rechtsmiddelen waarover de operator en zijn klant beschikken. Voor een Europese onderneming is dat een kader dat haar adviseurs kennen en waarbinnen zij kan handelen.
Het is evenmin een synoniem van “open source”. De software zegt wie het programma heeft geschreven. Soevereiniteit zegt wie de gegevens in bezit heeft en wie de sleutels heeft. Vrije software kan worden beheerd door een vennootschap die onder buitenlands recht valt. Software van een buitenlandse softwareleverancier kan worden beheerd door een Europese vennootschap die als enige de controle over de gegevens houdt.
Bij Klytic zijn de gegevens volledig in bezit van de klant, of van Klytic namens de klant, in een geografische zone die onder het toepasselijke rechtsgebied valt. Ze worden standaard versleuteld, of volgens de keuze van de klant. De sleutel is in bezit van de klant, of wordt bewaard in zijn account: Klytic heeft er geen toegang toe. Om die te verkrijgen, zou Klytic een wachtwoord dat het niet bezit moeten vernietigen of wijzigen, en de klant zou dat merken.
Bepaalde stappen blijven door Klytic versleuteld, omdat de dienst de inhoud moet verwerken: de e-mails die door de filtering in quarantaine zijn geplaatst, versleuteld in de database, en de e-mails en documenten die in het CRM worden verwerkt. Alleen de e-mails vormen daarop een uitzondering, wanneer de klant de versleuteling met zijn eigen sleutel heeft geactiveerd. De toegang tot bestanden is bovendien sterk beperkt door beperkte toegangsrechten, en een audit van de verbindingen geeft een waarschuwing bij een frauduleuze poging. De details staan op de pagina een onderneming beschermen tegen de CLOUD Act. Het contract moet dit bezit, deze versleuteling en deze voorzorgsmaatregelen beschrijven.
Het is ten slotte geen belofte van functies die gelijkwaardig zijn aan Microsoft 365 of Google Workspace. U kunt een Europese operator hebben en een minder volledig kantoorpakket. U kunt een zeer volledig kantoorpakket hebben en een Amerikaanse operator. Dat zijn twee beslissingen.
Door ze afzonderlijk te behandelen, vermijdt u twee symmetrische fouten: een tool waarvan het werk afhangt opgeven om principiële redenen, of de juridische vraag terzijde schuiven omdat de teams de tool prettig vinden. De drempel die specifiek is voor Microsoft 365 wordt uitgewerkt in Microsoft 365 tegenover een soevereine oplossing.
Hypothetisch geval. Een accountantskantoor met 25 medewerkers krijgt van een industriële klant een eenvoudige vraag: “Waar staan onze boekhoudstukken en wie heeft er toegang toe?” Het kantoor gebruikt een e-maildienst en een bestandsdeling waarvan de brochure vermeldt: “gehost in Frankrijk”.
Aan de hand van de drie vragen ontdekt de vennoot dat de factuurvennootschap Frans is, maar dat beheer en support worden verzorgd door de dochteronderneming van een buitenlandse groep, en dat de back-ups zijn toevertrouwd aan een verwerker in wiens contract het land niet wordt genoemd. De brochure was niet onjuist. Ze beantwoordde de vraag van de klant niet.
Het kantoor heeft twee redelijke opties: van de leverancier schriftelijke antwoorden verkrijgen en die aan het dossier toevoegen, of een beheerder kiezen wiens antwoorden het bevallen. In beide gevallen antwoordt het zijn klant met feiten, niet met een bijvoeglijk naamwoord.
Vraag om vier documenten, niet om een brochure.
Als een leverancier deze gegevens niet schriftelijk kan verstrekken, is dat al informatie. Vergelijk de antwoorden vervolgens met wat uw register van verwerkingsactiviteiten vermeldt: daar komen de verschillen aan het licht.
Voor het juridische kader van doorgiften buiten de Europese Unie, zie de pagina over de CLOUD Act en die over gegevens gehost in Europa. Voor de lijst van inkoopcriteria, zie definitie, criteria en grenzen.
Nee. De AVG regelt de rollen, de doorgiften buiten de Unie en de rechten van betrokkenen. Ze definieert het woord “soeverein” niet en verplicht niet tot de keuze voor een Europese operator. Ze verplicht wel te weten waar de gegevens naartoe gaan en op welke grondslag, wat een groot deel van de vragen op deze pagina overlapt.
Niet noodzakelijk. De locatie is een van de verwachte antwoorden, niet het enige. U moet ook weten welke vennootschap de dienst beheert, welk recht op haar van toepassing is, wie toegang heeft tot de gegevens en hoe u ze terugkrijgt.
Wanneer de aard van de gegevens of een opdrachtgever dit vereist, ja, en de naam van het aanbod moet in de catalogus van de ANSSI staan. Voor de e-maildienst en bestandsdeling van een mkb-bedrijf zijn de vragen over de beheerder, de toegang en de omkeerbaarheid doorgaans onderscheidender.
Nee. Open source maakt het mogelijk de code te lezen en vergemakkelijkt een overstap naar een andere hostingprovider. Het zegt niet wie de gegevens in bezit heeft, noch wie de sleutels heeft.
Nee. Een Europese operator blijft onderworpen aan het recht van zijn land en aan de vorderingen van zijn rechters. Het verschil zit in de rechter, de procedure en de rechtsmiddelen.
Klytic wordt geëxploiteerd door Dedicace Software, een Franse vennootschap. De diensten berusten op beproefde of opensourceoplossingen, en op modules en diensten die door Klytic zijn ontwikkeld. De afscherming van deze diensten wordt verzorgd en aangestuurd door Klytic-servers die hiervoor zijn ontwikkeld.
Hosting is mogelijk in elke geografische zone die overeenkomt met het toepasselijke rechtsgebied, onder voorbehoud van de beschikbaarheid van de vereiste diensten, bijvoorbeeld in Europa of op Mauritius, of op de servers van de klant. De details staan op de pagina hosting en soevereiniteit.
Klytic is geen SecNumCloud-gekwalificeerd aanbod. Zoals elke Franse operator blijft het onderworpen aan Frans recht.
Deze pagina beschrijft een algemeen kader. Ze vervangt niet de analyse van uw contract.
Juridische stand van zaken op 5 oktober 2026. Deze tekst vervangt geen analyse van een contract. Het adequaatheidsbesluit EU–VS (EU) 2023/1795 is van kracht. Het wordt aangevochten. Voor SecNumCloud is de catalogus van het ANSSI bepalend.
Geraadpleegd in oktober 2026.
E-mail, documenten, videoconferentie, CRM en telefonie, gehost in de zone die bij uw rechtsgebied past, bijvoorbeeld in Europa of op Mauritius, of bij u op locatie.
Welkomstaanbod
Proefaanbod zonder verplichtingen. Een adviseur belt u terug om uw behoeften te begrijpen en uw Klytic-omgeving voor te bereiden.
