Volgens de AVGbestandsoverdracht.Zonder mitsen en maren.

Ja, met een technische toelichting: SecureFiles vult de technische en organisatorische maatregelen uit art. 32 AVG standaard in. Versleuteling met TLS 1.3 onderweg en AES-256 in rust, pseudonimisering doordat het IP-adres versleuteld wordt opgeslagen, controle op integriteit met ondertekende links, weerbaarheid door spreiding over meerdere locaties en toegangsbeheer met eenmalig aanmelden via Entra ID en met rollen. Een kant-en-klare verwerkersovereenkomst volgens art. 28 AVG is op aanvraag beschikbaar.

Art. 32 AVG over de beveiliging van verwerking verlangt passende technische en organisatorische maatregelen volgens de stand van de techniek. Uitdrukkelijk genoemd worden pseudonimisering en versleuteling, het waarborgen van vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht, het tijdig kunnen herstellen na een incident en het regelmatig toetsen en beoordelen van de maatregelen. SecureFiles vult die vier punten in.

De Amerikaanse CLOUD Act uit 2018 verplicht ondernemingen die onder Amerikaans recht vallen om gegevens af te geven op verzoek van Amerikaanse opsporingsdiensten, ongeacht waar die gegevens fysiek staan. Ook wanneer een aanbieder in de EU host, geldt de wet voor zijn Amerikaanse moederbedrijf. Voor gegevens die onder de AVG vallen is dat een structureel punt, dat alleen wordt opgelost met een aanbieder die zelf volledig binnen de EU valt. SecureFiles valt binnen het rechtsgebied van de EU.

Voor persoonlijk gebruik kan dat volstaan. Voor een organisatie met plichten onder de AVG zijn drie punten van belang: wie de sleutels beheert, of het moederbedrijf onder de CLOUD Act valt en of er een verwerkersovereenkomst volgens art. 28 AVG is die u kunt aantonen. Beantwoordt een dienst die drie punten niet, dan draagt de organisatie het risico zelf.

Een verwerkersovereenkomst volgens art. 28 AVG is verplicht zodra u persoonsgegevens door een dienstverlener laat verwerken. Elk gebruik van SecureFiles voor zakelijke communicatie vraagt er dus om. Wij stellen een standaardvoorbeeld beschikbaar dat voor vrijwel elke situatie past. Aanpassingen zijn mogelijk.

Niet met zoveel woorden, maar feitelijk wel. Art. 32 AVG noemt versleuteling uitdrukkelijk als voorbeeld van een passende maatregel. Bij de bijzondere categorieën uit art. 9, zoals gezondheid, geloof, herkomst en seksuele gerichtheid, is versleuteling in de praktijk onmisbaar. Ook overweging 83 bij de AVG wijst op de rol van versleuteling bij het beperken van risico.

NIS2 verplicht essentiële en belangrijke entiteiten in art. 21 tot maatregelen voor risicobeheer in de informatiebeveiliging; in België is dat omgezet met de wet van 26 april 2024, met het CyberFundamentals Framework van het CCB als weg om die maatregelen te tonen. SecureFiles dekt daarvan af: toegangsbeheer met eenmalig aanmelden via Entra ID en met rollen, cryptografie met versleuteling van begin tot eind en AES-256, de afhandeling van incidenten met het auditlogboek en waarschuwingen, herstel en beschikbaarheid door spreiding binnen Europa, en beveiliging van de keten door verwerkersovereenkomsten met subverwerkers. Een overzicht van die koppeling is beschikbaar.

Dat sturen wij u op aanvraag per e-mail; neem contact op via het formulier. Wij zetten het bewust niet openbaar, zodat wij de bepalingen kunnen afstemmen op uw eigen situatie, bijvoorbeeld de lijst met subverwerkers, extra locaties en maatregelen die in uw sector gelden.