De GDPR-pagina van een provider kan je op weg helpen. Het contract en de beheerprocedures moeten de lastigere vragen beantwoorden: welke gegevens verwerkt de provider, wie kan erbij en wat gebeurt er wanneer iets misloopt?

Laat de verantwoordelijke voor gegevensbescherming en de applicatiebeheerder samen naar het voorstel kijken. De ene beoordeelt de verplichtingen; de andere kan nagaan of de afgesproken werkwijze uitvoerbaar is.

Leg het verwerkerscontract naast de dienst

Als een provider namens jou persoonsgegevens verwerkt, zijn de bindende afspraken uit artikel 28 nodig. De EDPB-gids over verantwoordelijken en verwerkers beschrijft wat die afspraken moeten dekken, waaronder instructies, vertrouwelijkheid, beveiliging en het inschakelen van verdere verwerkers.

Lees de dienstbeschrijving naast die afspraken. Vallen back-ups, monitoring, support en incidentonderzoek onder dezelfde voorwaarden? Bekijk de lijst met subverwerkers en hoe wijzigingen worden gemeld. Vraag uitleg waar het contract een beperktere dienst beschrijft dan degene die je koopt.

Onderzoek supporttoegang en opslag samen

Een opslaglocatie in de EU beantwoordt niet elke vraag over doorgifte. Kan een afzonderlijke organisatie buiten de EER persoonsgegevens bereiken via support, logging of een andere dienst? Controleer bij een doorgifte het toepasselijke mechanisme en de vereiste beoordeling. De EDPB-gids over internationale doorgiften licht de voorwaarden toe.

Neem die toegangspaden op in het overzicht van datastromen. Laat de provider de locaties en toegangsafspraken bevestigen voor de diensten die je werkelijk gaat gebruiken.

Spreek de eerste incidentmelding af

De verwerker moet een inbreuk op persoonsgegevens zonder onredelijke vertraging aan de verwerkingsverantwoordelijke melden. Die heeft een afzonderlijke meldingsplicht aan de toezichthouder: zonder onredelijke vertraging en waar mogelijk binnen 72 uur na kennisname, tenzij een risico voor de rechten en vrijheden van personen onwaarschijnlijk is. De EDPB-uitleg over datalekken maakt dat onderscheid.

Het contract moet een snelle eerste melding mogelijk maken, ook als het onderzoek nog loopt. Spreek een contactkanaal, escalatiecontacten en verdere updates af. Een mailbox die in het weekend niemand leest, is een praktisch probleem dat je vóór ondertekening kunt oplossen.

Doorloop een inzage- of wisverzoek

Gebruik een testaccount om te zoeken waar de bijbehorende gegevens terechtkomen: applicatieopslag, zoekindexen, bestanden, logs en gekoppelde systemen. Bepaal wie een export zou verzamelen of een verwijdering zou uitvoeren.

Voor verzoeken geldt doorgaans een antwoordtermijn van één maand. Waar nodig wegens de complexiteit of het aantal verzoeken kan die met maximaal twee maanden worden verlengd, met bericht en motivering binnen de eerste maand. Rechten zoals wissing kennen uitzonderingen; de EDPB-gids over rechten beschrijft de toepassing.

Leg met je adviseur voor gegevensbescherming vast hoe je met back-ups en bewaarplichten omgaat. Beschrijf ook wat na een restore moet gebeuren, zodat gegevens die al voor verwijdering waren aangeduid niet ongemerkt weer actief worden.

Lees wat het bewijs precies dekt

Vraag welke diensten, locaties en periode een auditrapport omvat. Lees de uitsluitingen en de maatregelen die je als klant zelf moet nemen. Controleer hoe het contract informatie over naleving en audits, inclusief inspecties, regelt. Artikel 28 behandelt die verplichtingen in de GDPR-tekst.

Een certificeringslogo beantwoordt die vragen niet. Een kleinere provider geeft evenmin automatisch betere toegang tot bewijs. Vraag de documenten aan elke kandidaat, ook aan Anchras, en noteer welke vragen nog openstaan voordat je beslist.