REP27 · SaaS
Artikel 27 GDPR · SaaS en software
Een softwarebedrijf valt eerder onder de GDPR dan bijna elk ander soort bedrijf, en meestal zonder dat er een beslissing wordt genomen. Er is geen verzending, geen magazijn, geen Europees kantoor — alleen een aanmeldformulier dat begint met het accepteren van adressen in de Unie. Tegen de tijd dat een ondernemingsvragenlijst om de vertegenwoordiger vraagt, loopt de verplichting vaak al een jaar.
De meeste SaaS bedrijven vervullen beide rollen tegelijkertijd, en de splitsing is belangrijk voor het register dat uw vertegenwoordiger bijhoudt.
| Gegevens | Uw rol | Register |
|---|---|---|
| Rekeninghouders, facturering, marketing | Verantwoordelijke | Artikel 30(1) |
| Eindgebruikersgegevens die uw klanten uploaden | Verwerker | Artikel 30(2) |
| Ondersteuningstickets en sessielogs | Meestal verwerker | Artikel 30(2) |
| Productanalyses op uw eigen site | Verantwoordelijke | Artikel 30(1) |
| Werknemers- en contractantgegevens in de EU | Verantwoordelijke | Artikel 30(1) |
Europese kopers zijn op grond van Artikel 28 verplicht alleen verwerkers te gebruiken die voldoende garanties bieden, dus hun vragenlijsten zijn geen formaliteit. Een leeg veld waar de vertegenwoordiger zou moeten staan, stuurt het dossier terug naar de juridische afdeling, en de deal slippert een kwartaal.
Europe Services SE, Praha, met een ondertekende aanduiding die de taken van Artikel 27 voor uw bedrijf dekt.
Artikelen 13(1)(a) en 14(1)(a) tekst, gegenereerd in elke taal die uw product ondersteunt.
Een certificaat met een code die op een openbare pagina oplost, zodat een koper kan controleren zonder contact met u op te nemen.
Uw Artikel 30 registratie die binnen de Unie wordt bewaard en op verzoek aan een autoriteit wordt overlegd.
Fysieke bedrijven vallen op een moment dat ze het kunnen zien onder de GDPR: de eerste verzending naar een Europees adres. Software valt op een moment dat niemand registreert, wat de reden is dat de verplichting vaak laat en met terugwerkende kracht wordt ontdekt.
Een self-service product heeft geen poortwachter. Iemand in Rotterdam vindt de landingspagina, start een proefperiode en begint gegevens te uploaden, en het bedrijf leert er weken later, als het al zo ver is, van via een dashboard. Tegen die tijd is de verwerking al een maand continu geweest en is de uitzondering voor incidentele verwerking al niet meer beschikbaar.
Productgedreven groei maakt dit nog scherper. De strategie is ontworpen om wrijving tussen ontdekking en gebruik te verwijderen, wat ook elk punt verwijdert waarop een jurisdictievraag gesteld had kunnen worden. Bedrijven die nooit een fysiek product naar een markt zouden verzenden zonder de regels te controleren, verzenden daar standaard software, meerdere keren per dag.
Het praktische antwoord is niet om de funnel te vertragen. Het is om de aanwijzing te beschouwen als onderdeel van de lancering in Europa — dezelfde categorie als het accepteren van eurobetalingen of het publiceren van een gegevensverwerkingsovereenkomst, eenmaal gedaan en dan vergeten.
Ja. Zakelijke contacten zijn persoonsgegevens: namen, werk-e-mailadressen, functietitels en telefoonnummers van werknemers van uw klantbedrijven. B2B verandert wie de betrokkenen zijn, niet of de regelgeving van toepassing is.
Ja. Artikel 3(2)(a) dekt het aanbieden van goederen of diensten ongeacht of betaling vereist is. Een gratis proefperiode, een freemium-laag en een gratis API-sleutel zijn allemaal diensten.
Waar ze gebruikers identificeren en gedragsprofielen opbouwen, ja — dat is Artikel 3(2)(b). Geaggregeerde tellingen van paginaweergaven zonder gebruikersniveau-identificatoren zitten verder van de lijn, maar de meeste productanalyse-stacks zijn daar goed voorbij.
Nee. De reikwijdte volgt waar de mensen zijn, niet waar de gegevens zich bevinden. De locatie van de hosting is belangrijk voor overdrachten, wat een aparte vraag is die wordt beantwoord door adequaatheid of Standaardcontractbepalingen.
Meestal beide, in verschillende opzichten: verwerkingsverantwoordelijke voor uw eigen rekeninghouders, facturering en marketing; verwerker voor de eindgebruikersgegevens die uw klanten in het product invoeren. De aanwijzing dekt uw bedrijf in beide hoedanigheden.
De naam en het postadres van de vertegenwoordiger, de formulering in uw privacyverklaring, en steeds vaker een manier om de aanwijzing onafhankelijk te verifiëren. Een certificaat met een openbare code beantwoordt alle drie zonder een e-mailthread.
Binnen 24 uur na een ingevormd onboardingformulier. De formulering van de privacyverklaring komt erbij, zodat het openbare deel van de vragenlijst dezelfde dag kan worden beantwoord.
Aanwijzing en certificaat binnen 24 uur, met formulering klaar om in uw kennisgeving te plakken.
Bekijk prijzen Voer de gratis controle uit