Op een bepaald moment zal iemand u vragen te verantwoorden waarom u personeelsdossiers in een nieuw systeem zet. Dat kan een ondernemingsraad zijn, een auditor, de beveiligingsvragenlijst van een klant, of een medewerker die het simpelweg wil weten. Deze les geeft u de antwoorden, en is even duidelijk over de twee plaatsen waar het eerlijke antwoord een antwoord met voorbehoud is.

Waar de gegevens staan, en wie er verder in zit

Uw HR- en medewerkersgegevens worden opgeslagen en verwerkt in de EU, in Ierland. U krijgt een eigen single-tenant-omgeving: uw eigen databases en opslag, geen gedeelde database, met encryptiesleutels die uitsluitend voor uw eigen tenancy zijn aangemaakt. Voor een mkb-bedrijf dat de vraag krijgt of zijn medewerkersgegevens vermengd zijn met die van andere bedrijven, is dat een duidelijk en nuttig antwoord.

Gegevens worden tijdens verzending versleuteld met TLS 1.2 of beter, en in rust met AES-256. Standaard beheert C2 de encryptiesleutels voor u, met jaarlijkse rotatie, en dat vraagt niets van u. Wilt u het sleutelmateriaal liever zelf houden, dan is tenant custody op aanvraag beschikbaar op elk plan, als optionele uitbreiding met prijs op aanvraag: u genereert het materiaal op uw eigen computer in een ceremonie in de browser die ongeveer vijftien minuten duurt, en C2 ziet het nooit. Begrijp de afweging voordat u ervoor kiest: uw eigen sleutels houden betekent dat als u zowel uw sleutelmateriaal als uw exportsleutel kwijtraakt, niets uw gegevens kan herstellen en C2 geen van beide opnieuw kan aanmaken. Dat is de prijs van de controle, en die controle is beperkter dan hij eerst klinkt: het betekent dat uw opgeslagen gegevens niet gelezen kunnen worden zonder uw sleutelmateriaal. Het betekent niet dat C2 uw gegevens helemaal niet kan zien, want de actieve dienst verwerkt ze nog steeds. De alinea hieronder over juridisch bereik is de andere helft hiervan.

De overeenkomst, en de subverwerkers

De verwerkersovereenkomst is een overeenkomst op grond van artikel 28 AVG naar Nederlands recht, en zij wordt automatisch aanvaard wanneer u uw abonnement ondertekent — u hoeft geen aparte overeenkomst te ondertekenen, tenzij uw interne beleid een medeondertekend exemplaar vereist. De versiegeschiedenis ervan is openbaar.

Vier subverwerkers staan openbaar vermeld: Amazon Web Services voor compute, opslag en databases, en afzonderlijk voor transactionele e-mail en voor monitoring, alle in Ierland; en Mistral AI in Frankrijk als standaardaanbieder van het taalmodel voor de AI-assistent. U krijgt ten minste 30 dagen vooraf bericht voordat die lijst verandert, en 10 kalenderdagen om bezwaar te maken tegen een nieuwe. Vraagt een beveiligingsvragenlijst wie er nog aan uw gegevens komt, dan is dat register uw startpunt. Twee dingen om toe te voegen wanneer u die beantwoordt: wijzigingen die deze aanbieders in hun eigen subverwerkers doorvoeren, worden aan u doorgegeven zodra C2 daarvan op de hoogte is gesteld, en Frappe HelpDesk, dat de supportdesk verzorgt, is onderdeel van het product en wordt door C2 gehost in plaats van een afzonderlijke subverwerker te zijn.

Bewaartermijnen, verzoeken en datalekken

Bewaartermijnen worden per gegevenscategorie ingesteld. Kandidaat-, helpdesk-, CRM- en interne supportgegevens worden automatisch gewist of geanonimiseerd wanneer hun termijn verstrijkt; andere categorieën worden gerapporteerd voor beoordeling in plaats van op een timer verwijderd, dus iemand moet nog steeds de beslissing nemen. Precies daarom stelt u in les 2 termijnen per categorie vast.

Verzoeken van betrokkenen — een medewerker die om zijn gegevens vraagt, of vraagt die te corrigeren of te wissen — moet u zelf beantwoorden, niet C2. U bent de verwerkingsverantwoordelijke voor de gegevens van uw medewerkers; C2 verwerkt die voor u. Het verzoek gaat dus naar uw eigen aangewezen contactpersoon, en de contactpersoon gegevensbescherming van C2 is degene bij wie u aanklopt als u hulp nodig hebt bij het afhandelen ervan. Aan deze verzoeken zitten wettelijke termijnen vast, dus stuur ze onmiddellijk door in plaats van eerst te onderzoeken, en zorg ervoor dat uw mensen weten naar wie ze die moeten sturen.

Bij datalekken geldt de verplichting in twee richtingen. C2 stelt u zonder onnodige vertraging en in elk geval binnen 24 uur na kennisname op de hoogte van een datalek dat uw gegevens treft, en dat bestaat zodat u uw eigen termijn van 72 uur naar uw toezichthouder kunt halen. Uw kant daarvan is dat u nu weet wie die melding doet en wie beslist dat die nodig is.

Beschikbaarheid en herstel

99,5% maandelijkse beschikbaarheid, rond de klok gemeten, exclusief aangekondigd onderhoud. Dagelijkse back-ups met een bewaartermijn van 30 dagen, herstelprocedures die elk kwartaal worden geoefend tegen een hersteltijd van maximaal één uur en een herstelpunt van maximaal 24 uur.

Twee dingen die u nauwkeurig moet formuleren, niet optimistisch

Deze komen aan de orde, en ze verkeerd opgeven in een vragenlijst is erger dan ze niet weten.

C2 is niet ISO 27001-gecertificeerd. Certificering is in voorbereiding met een externe partner en wordt beoogd voor het tweede kwartaal van 2027. De hosting vindt plaats in ISO 27001-datacenters, en dat is een uitspraak over de datacenters, niet over C2. Interne beveiligingsaudits tegen OWASP ASVS Level 2 zijn afgerond, en een onafhankelijke penetratietest is gepland en nog niet uitgevoerd. Zeg dat, in plaats van te suggereren dat er een certificaat bestaat.

Hosting in de EU is niet hetzelfde als buiten juridisch bereik zijn. C2 draait op AWS, een aanbieder met hoofdkantoor in de VS, in EU-regio's. C2 kan uw gegevens tijdens normale werking ontsleutelen, want het beheert het platform voor u. Tenant custody betekent dat u dat naar eigen inzicht kunt beëindigen; het betekent niet dat die toegang nooit heeft bestaan. Komt er een juridisch verzoek om uw gegevens, dan wordt u daarover geïnformeerd voor zover de wet dat toestaat.

Moet u een vragenlijst goed beantwoorden, werk dan vanuit het Trust Center en niet uit het hoofd. Dat is openbaar, dus u kunt een beoordelaar er direct naartoe sturen.