DPA, retentie, toestemming: een inkoopchecklist voor bureaus

Typisch: een verwerkersovereenkomst (DPA), waar data gehost wordt (EU, geen doorgifte naar derde landen?), bewaartermijnen en wie de verwijdering controleert, hoe gast toestemming wordt vastgelegd, verwijderingsmogelijkheden en — voor grotere kopers — toegangscontroles zoals SSO. Als al deze punten vooraf beantwoord zijn gaat de deal sneller. Gathmo dekt dit af met een EU-gehost platform (Frankfurt), een GDPR Art. 28 DPA op verzoek, gedefinieerde retentie, toestemming- en verwijderingstools, en SSO op Enterprise-plan.

Dit is het contract dat volgens de AVG vereist is om de relatie tussen verwerkingsverantwoordelijke en verwerker te formaliseren, en zakelijke of overheidsklanten tekenen niet zonder. Jouw klant is doorgaans de verantwoordelijke; jij en het platform staan in de verwerkingsketen. Gathmo levert de DPA op verzoek, zodat je die als bureau direct kunt aanleveren in plaats van terug te moeten naar de leverancier — vaak precies dat voorkomt dat een deal vastloopt.

Gathmo host het mediabestand van gasten in de EU (Frankfurt) zonder doorgifte naar derde landen. Voor inkoop betekent dit dat je de vraag naar datalocatie helder kunt beantwoorden zonder te verwijzen naar standaardcontractbepalingen of transfer-risicobeoordelingen. EU-hosting zonder derde-landenoverdracht is het eenvoudigste antwoord naar een Europese zakelijke koper, en wordt steeds vaker een harde eis in aanbestedingen.

Gastmedia wordt bewaard voor een vaste periode die past bij de gelegenheid en daarna verwijderd, en die verwijdering kan door de host worden gestuurd met tools om specifieke verwijderingsverzoeken uit te voeren. De AVG vereist dat gegevens niet langer worden bewaard dan nodig is, dus een duidelijke, consequent te communiceren bewaartermijn is precies waar inkoop naar luistert. Leg de periode die je hanteert vast, zodat je deze op verzoek helder kunt uitleggen.

Gasten worden bij het uploaden geïnformeerd over wat wordt verzameld en waarom, en hun akkoord wordt in de flow vastgelegd. Als bureau moeten jullie zorgen dat de borden en de uploadmelding de doelstelling duidelijk maken. Het platform legt toestemming vast en biedt verwijdertools; de beoordeling aan verantwoordelijken (rechtsgrond, formulering van de melding) blijft bij jullie of jullie klant. Dat duidelijk kunnen uitleggen geeft inkoop vertrouwen dat toestemming bewust wordt verwerkt, niet per ongeluk.

Grotere organisaties eisen vaak single sign-on (SSO) voor toegangscontrole, en soms gebranded SMS voor gastcommunicatie. Gathmo Enterprise (€699/maand-equivalent, €6.990/jaar) voegt SSO en gebranded SMS toe bovenop EU-hosting en de volledige feature set. Voor de meeste agency-opdrachten is Agency (€199/maand-equivalent) voldoende, maar als een aanbesteding SSO of enterprise identity eist, is Enterprise de juiste laag.

Zet de DPA klaar om te delen, ken je antwoord op dataklokatie (EU-hosting, geen doorgifte naar derde landen), kun je bewaartermijn en verwijderingsproces benoemen en begrijp je de toestemmingsstroom. Is de klant groot, bevestig dan of SSO nodig is zodat je eventueel Enterprise kunt quoten. Binnenkomen in het gesprek met deze punten al beantwoord – in plaats van te beloven dit nog uit te zoeken – maakt je tot een betrouwbare, goed voorbereide leverancier.