Dataveiligheid en datasoevereiniteit

• Minder blootstelling aan buitenlandse jurisdictie en extraterritoriale data-vorderingen;

• Meer controle over waar data staat en welke subverwerkers toegang hebben;

• Minder afhankelijkheid van trans-Atlantische transfermechanismen en hun juridische volatiliteit;

• Support en incidentrespons in CET/CEST met korte lijnen;

• Contracten en documentatie vaak ingericht op AVG/GDPR en EU-vereisten voor doorgifte;

• Praktischer invulling van dataportabiliteit (export) en exit-scenario’s;

• Continuïteit: minder kwetsbaar voor sancties, exportcontrols, of policy shifts bij “single-country dependency”;

• Aantoonbare toetsing: McMain laat elke 12 maanden een externe pentest uitvoeren en is ISO 9001 & ISO 27001 gecertificeerd sinds 2023;

• Herstelbaarheid concreet: back-ups 1/dag met RTO max 24 uur en RPO max 24 uur (extern bewaard).

Hoe verklein je het?

• Kies leveranciers met EU/NL-entiteit én zo weinig mogelijk “non-EU control” in de keten;

• Vraag naar sleutelbeheer (customer-managed keys / BYOK/HYOK) en scheiding van rollen;

• Leg vast: transparantierapportage, “law enforcement request policy”, en notificatieprocessen.

Zo doet McMain dit:

• McMain documenteert serverlocaties (EU: Amsterdam/Delft; US: Iowa) en hostingpartijen, zodat je jurisdictierisico’s expliciet kunt beoordelen;

• Toegang tot klantdata wordt vastgelegd met MFA + audit trail; als McMain toegang nodig heeft gebeurt dit via een SA-rol (niet “alsof” men de klant is);

3 vragen aan de leverancier:

• “Welke entiteit is contractpartij en wie heeft controle over de data?”

• “Welke subverwerkers hebben (potentieel) toegang?”

• “Hoe is key management ingericht en wie kan bij de sleutels?”

Hoe verklein je het?

• Minimaliseer structurele afhankelijkheid van derde-landen transfers;

• Als transfers nodig zijn: werk met SCC’s en aanvullende maatregelen waar passend;

• Kies bij voorkeur voor EU-hosting + EU-operatie (support/monitoring) waar mogelijk.

Zo maakt McMain dataflows toetsbaar:

• McMain heeft een dataflow-overzicht beschikbaar gesteld (o.a. cloud3.mcmain.online en apps.mcmain.online), zodat je kunt beoordelen waar data en verkeer lopen.

3 vragen aan de leverancier:

• “Worden data/telemetrie/supportlogs buiten de EER verwerkt?”

• “Op basis waarvan doe je transfers (adequacy/SCC’s)?”

• “Wat is jullie plan als een transfermechanisme verandert?”

Hoe verklein je het?

• Eis een subverwerkerslijst + wijzigingsprocedure;

• Beperk “tool sprawl”: monitoring, ticketing, analytics;

• Contracteer audit- en logging-eisen (wie deed wat, wanneer).

McMain keten/transparantie:

• McMain verwerkt data voor het doel zoals in de verwerkersovereenkomst beschreven en gebruikt derden/onderaannemers zoals I.D.E. Software B.V. (ontwikkeling) en ACC-ICT B.V. (IT/hosting).

3 vragen aan de leverancier:

• “Kun je de volledige subprocessor-keten delen?”

• “Hoe snel melden jullie security-incidenten?”

• “Welke logs leveren jullie standaard en hoe lang bewaren jullie die?”

Hoe verklein je het?

• Leg een exit-plan vast (data-export, migratievenster, escrow waar relevant);

• Vraag naar BCP/DR (back-up, RTO/RPO) en Europese redundantie;

• Voorkom “black-box” afhankelijkheden: zorg dat je data altijd exporteerbaar is.

McMain continuïteit in cijfers:

• Back-up 1/dag, retentie 1 maand; RTO max 24 uur; RPO max 24 uur; back-ups extern bewaard en integriteit dagelijks steekproefsgewijs gecontroleerd;

• Beschikbaarheid zoals benoemd: Hosting 99,0% (standaard) en Infrastructuur 99,9% (maximum);

• Standaard onderhoudsvensters: 03:00–05:00 en dinsdag 17:00–19:00; noodonderhoud wordt zo snel mogelijk gecommuniceerd;

• Continuïteitsregeling: voortzetting “as is” ten minste drie maanden bij faillissement.

3 vragen aan de leverancier:

• “Wat is jullie bewezen RTO/RPO en waar staan back-ups?”

• “Hoe ziet het exit-proces eruit (formaten, doorlooptijd, kosten)?”

• “Wat gebeurt er als een subverwerker wegvalt?”