AVG/GDPR en de CLOUD Act bij feedbacksoftware

Wat vraagt de AVG van een feedbackprogramma?

Feedback kan persoonsgegevens bevatten, ook in open antwoorden of wanneer een kleine groep herkenbaar is. Bepaal het doel, de rechtsgrond, welke gegevens nodig zijn, wie toegang krijgt en hoe lang je ze bewaart. Informeer klanten of medewerkers voordat je hun feedback verwerkt.

Leg de afspraken met de softwareleverancier vast in een verwerkersovereenkomst. Controleer de subverwerkers, de beveiligingsafspraken en eventuele doorgiften buiten de Europese Economische Ruimte. De AVG is de Nederlandse naam voor dezelfde verordening als de GDPR.

Wat verandert de Amerikaanse CLOUD Act?

De CLOUD Act kan aanbieders die onder Amerikaanse jurisdictie vallen verplichten gegevens te verstrekken die zij in hun bezit, bewaring of controle hebben, ook wanneer die gegevens buiten de Verenigde Staten zijn opgeslagen. Dat betekent niet dat ieder verzoek zonder voorwaarden geldig is of dat iedere aanbieder gegevens verstrekt.

Artikel 48 AVG behandelt verzoeken van autoriteiten uit derde landen. Een dergelijk verzoek is niet op zichzelf een algemene grondslag voor een doorgifte: de verwerking en eventuele doorgifte moeten ook aan de AVG voldoen. De EDPB-richtlijnen leggen deze verhouding uit.

Wat controleer je bij je leverancier?

Vraag waar gegevens en back-ups worden verwerkt, welke partijen toegang kunnen krijgen en onder welke wetgeving die partijen vallen. Beoordeel dit samen met de contracten en technische maatregelen, niet alleen op basis van de vestigingsplaats van de verkoper.

GrowPromoter noemt Europese hosting en AVG/GDPR als uitgangspunten van het platform. Vraag voor jouw selectie de actuele verwerkersafspraken en hosting- en subverwerkersinformatie op. Deze uitleg is algemene informatie, geen juridisch advies of garantie tegen overheidsverzoeken.

• Locatie van opslag, back-ups en supporttoegang
• Subverwerkers en mogelijke internationale doorgiften
• Bewaartermijnen, toegangsrechten en procedure bij gegevensverzoeken