Datalocatie en vertrouwen

Klantgegevens worden in de EU opgeslagen: de database in Ierland (AWS eu-west-1) en de API in Frankfurt (Duitsland) en Parijs (Frankrijk). NetSenX analyseert netwerkmetadata en ontsleutelt versleuteld verkeer nooit; een verwerkersovereenkomst (artikel 28 AVG) en de lijst met subverwerkers zijn gepubliceerd, en de functionaris gegevensbescherming is bereikbaar via dpo@netsenx.com. Subverwerkers voor betalingen en e-mail werken op basis van de EU-modelcontractbepalingen, en sommige AI Analyst-functies gebruiken alleen met uw uitdrukkelijke toestemming een aanbieder buiten de EU. AVG-naleving wordt beoordeeld voor uw verwerking als geheel; daarom claimen we er geen certificaat voor.

Klanttelemetrie en -alerts worden uitsluitend in de EU opgeslagen — objectopslag en Postgres in de EU-regio, versleuteld in rust met AES-256-GCM. Stripe (betalingen) verwerkt gegevens in de VS, en verscheidene van onze aanbieders zijn Amerikaanse bedrijven; in beide gevallen gelden de EU-standaardcontractbepalingen. Sommige AI Analyst-functies kunnen alleen met uw uitdrukkelijke toestemming gebruikmaken van een aanbieder buiten de EU. Een volledige lijst met subverwerkers wordt samen met onze DPA gepubliceerd.

Op de plannen Business en Enterprise kunt u via onze BYOK-API een AWS KMS- of HashiCorp Vault-sleutel bij uw tenant registreren.

In de EU: de database in Ierland (AWS eu-west-1), de API in Frankfurt (Duitsland) en Parijs (Frankrijk). De verwerkersovereenkomst noemt elke subverwerker met locatie en doorgiftewaarborg.

Dat kan. Meerdere subverwerkers zijn in de VS geregistreerde bedrijven en Cloudflare handelt verzoeken af op de dichtstbijzijnde edgelocatie, zodat persoonsgegevens op basis van standaardcontractbepalingen of het EU-VS-kader voor gegevensbescherming kunnen worden ingezien vanuit landen buiten de EER of daar doorheen gaan. Sommige functies van AI Analyst gebruiken een aanbieder buiten de EU, en alleen met uw uitdrukkelijke toestemming.

Nee. Residentie is één factor; naleving van de AVG wordt beoordeeld voor uw verwerking als geheel, inclusief grondslag, dataminimalisatie, bewaartermijnen en de overeenkomst met de verwerker. NetSenX publiceert zijn verwerkersovereenkomst volgens artikel 28 AVG en claimt geen AVG-certificaat.

Ja, in het Enterprise-plan. De andere plannen gebruiken het in de EU gehoste dashboard, met één agent op een SPAN- of TAP-poort per netwerksegment of op de hosts die u kiest.

Data in een EU-regio blijft fysiek in de EU, maar een in de VS opgerichte aanbieder kan onder Amerikaans recht vallen dat reikt tot data die hij beheert. Volgens hoofdstuk V van de AVG hebben doorgiften buiten de EU een rechtsgrond nodig, zoals het EU-VS Data Privacy Framework of standaardcontractbepalingen. Vraag elke leverancier waar data wordt opgeslagen, wie erbij kan en welke subverwerkers betrokken zijn. NetSenX publiceert zijn lijst van subverwerkers in de verwerkersovereenkomst.

Dat hangt af van het product; vraag elke leverancier dus wat er precies uw netwerk verlaat, in welke vorm en waar het wordt opgeslagen. Sommige tools kopiëren volledige pakketten voor latere analyse, andere sturen alleen een samenvatting van elke verbinding. NetSenX analyseert metadata en enkele protocolvelden, zoals tijdstippen, volume, bestemmingen, DNS-antwoorden en de TLS-handshake, en ontsleutelt versleuteld verkeer nooit. Het uploadt geen bestandsinhoud, e-mailtekst of wat iemand op een website intypte. Klantgegevens worden in de EU opgeslagen, met de database in Ierland en de API in Frankfurt en Parijs, en het Enterprise-abonnement biedt een on-premises-optie voor organisaties die niets buiten de deur willen laten gaan. Metadata kunnen nog steeds een apparaat en daarmee soms een persoon herkenbaar maken, dus het zijn persoonsgegevens onder de AVG: de verwerkersovereenkomst legt vast hoe ze worden verwerkt.

Dat zou moeten, maar controleer het vóór de aankoop, want het contract bepaalt hoe makkelijk het gaat. Vraag welke data u kunt exporteren (meldingen, apparatenlijsten, rapporten, configuratie), in welk formaat, of export extra kost, hoe lang u na opzegging toegang houdt en wanneer de leverancier de data verwijdert en dat bevestigt. Onder de AVG moet een verwerker persoonsgegevens aan het einde van de dienst teruggeven of verwijderen, zoals de verwerkersovereenkomst bepaalt, en u kiest welke van de twee. Plan het vertrek vanaf het begin: houd een eigen archief bij van wat u later nodig kunt hebben, zoals bewijs voor een audit of een verzekeringsclaim, in plaats van te vertrouwen op de bewaartermijn van de leverancier. Bij NetSenX kunnen meldingen vanaf het Pro-abonnement via de API worden geëxporteerd en vanaf het Business-abonnement naar een SIEM worden gestuurd, pdf-compliancerapporten zijn beschikbaar vanaf het Starter-abonnement en de verwerkersovereenkomst staat op de website.

Dataresidentie gaat over waar data wordt opgeslagen en verwerkt; datasoevereiniteit gaat over aan wiens recht en wiens zeggenschap de data onderworpen is. Ze worden vaak verward, omdat opslag in Frankfurt klinkt als data onder Europees recht houden. Dat hoeft niet zo te zijn: een aanbieder met hoofdzetel buiten de EU kan door het recht van zijn thuisland verplicht zijn data af te staan die hij beheert, waar de server ook staat. Residentie controleert u op een kaart; voor soevereiniteit moet u kijken naar het bedrijf dat de dienst levert, het moederbedrijf, de subverwerkers en wie de versleutelingssleutels heeft. Stel elke leverancier drie vragen: waar staat de data, wie kan wettelijk worden gedwongen haar te verstrekken, en wie kan haar technisch lezen? NetSenX slaat klantgegevens op in de EU, met de database in Ierland en de API in Frankfurt en Parijs, en noemt zijn subverwerkers, waarvan enkele in de VS zijn opgericht, in de verwerkersovereenkomst. Voor volledige zeggenschap biedt het Enterprise-abonnement een on-premises-optie.

Ja, maar elke doorgifte van persoonsgegevens heeft een geldige grondslag nodig, en u moet per tool weten welke dat is. In het Schrems II-arrest verklaarde het Hof van Justitie van de EU in 2020 het Privacy Shield ongeldig en eiste het dat exporteurs die op modelcontractbepalingen steunen, beoordelen of het recht van het land van bestemming die uitholt, en zo nodig extra waarborgen nemen. Nu kan een doorgifte naar de VS steunen op het EU-VS-gegevensprivacykader als de ontvanger daaronder is gecertificeerd, of op modelcontractbepalingen met een doorgifte-effectbeoordeling. Beveiligingstools verwerken vaak IP-adressen, apparaatnamen en gebruikersnamen, en dat zijn persoonsgegevens. Zoek per tool uit waar de data heen gaat, welke grondslag de leverancier gebruikt, of het bedrijf gecertificeerd is en hoe u de tool zou vervangen als die grondslag opnieuw wegvalt. NetSenX slaat klantgegevens op in de EU. De verwerkersovereenkomst noemt de subverwerkers en zegt openlijk dat sommige buiten de EER zijn gevestigd, bijvoorbeeld in de VS opgerichte bedrijven, en dat die doorgiften steunen op modelcontractbepalingen of het gegevensprivacykader.

Niet altijd; vraag dus per soort data afzonderlijk. Een leverancier kan uw hoofddatabase in de EU houden terwijl back-ups, foutrapporten, supporttickets, analyses, e-mailverzending of de medewerkers die uw tickets beantwoorden ergens anders zitten. Elk daarvan kan persoonsgegevens of details van uw netwerk bevatten, zoals IP-adressen, apparaatnamen of schermafbeeldingen. Vraag de leverancier om een lijst van datacategorieën met per categorie de locatie en de subverwerker, en controleer of de verwerkersovereenkomst ze allemaal dekt, niet alleen ‘klantgegevens’ in enge zin. Vraag ook waar medewerkers met beheerderstoegang zitten, want toegang op afstand van buiten de EU kan ook een doorgifte zijn. Bij NetSenX worden klantgegevens in de EU opgeslagen, met de database in Ierland en de API in Frankfurt en Parijs, en de subverwerkers staan in de verwerkersovereenkomst. Op die lijst controleert u waar elke dienst draait; is iets onduidelijk, vraag het ons dan vóór u tekent.

Vraag wie het zijn, wat elk van hen met uw data doet, waar dat gebeurt en hoe u van wijzigingen hoort. Een subverwerker is een bedrijf dat de leverancier inschakelt om uw persoonsgegevens te verwerken, zoals een hostingpartij, een databasedienst of een e-mailverzenddienst. Onder de AVG mag een verwerker er alleen een inschakelen met voorafgaande specifieke of algemene toestemming van de verwerkingsverantwoordelijke, en moet hij dezelfde gegevensbeschermingsverplichtingen aan die partij opleggen. Praktische vragen: is de volledige lijst gepubliceerd, met locatie en doel per vermelding? Hoe lang van tevoren hoort u van een nieuwe, en kunt u bezwaar maken? Welke zien leesbare data en welke bewaren alleen versleutelde data? Zit er een buiten de EU, en op welke doorgiftegrondslag? Wie is aansprakelijk als een subverwerker tekortschiet? NetSenX noemt zijn subverwerkers in de verwerkersovereenkomst op de website, zodat u ze kunt controleren voordat u zich aanmeldt.

Ja, als de leverancier namens u persoonsgegevens verwerkt, en netwerkmonitoring doet dat bijna altijd. IP-adressen, apparaatnamen, gebruikersnamen in hostnamen en verbindingstijden kunnen een persoon direct of indirect identificeren en zijn dus persoonsgegevens onder de AVG. Als een leverancier ze voor u verwerkt, bent u verwerkingsverantwoordelijke en de leverancier verwerker, en de AVG eist een overeenkomst of ander rechtsinstrument dat onderwerp, duur, aard en doel van de verwerking vastlegt, de soorten gegevens, uw instructies, beveiliging, subverwerkers, hulp bij datalekken en wat er aan het einde gebeurt. Lees haar zoals elk ander contract: controleer de meldtermijnen bij datalekken, auditrechten, de aankondiging van subverwerkers en verwijdering aan het einde. De verwerkersovereenkomst van NetSenX staat op de website en maakt deel uit van de gebruiksvoorwaarden, en geldt dus zodra u de dienst gebruikt; Enterprise-klanten die een ondertekend exemplaar nodig hebben, kunnen dat aanvragen.

Ja, ze staat op de website, zodat u haar kunt lezen voordat u zich aanmeldt. Ze maakt deel uit van de gebruiksvoorwaarden van NetSenX tussen TriStiX S.L. als verwerker en uw organisatie als verwerkingsverantwoordelijke, en noemt de subverwerkers met hun rol en locatie. Tot de toezeggingen behoren: NetSenX meldt u een inbreuk in verband met persoonsgegevens binnen 24 uur nadat het ervan op de hoogte is; wijzigingen in de lijst van subverwerkers worden ten minste 14 dagen vooraf aangekondigd, zodat u bezwaar kunt maken; u hebt auditrechten na aankondiging; en als u uw account sluit, worden persoonsgegevens direct verwijderd en verlopen kopieën in back-ups binnen 14 dagen, nadat u ze hebt kunnen exporteren. Ze vermeldt ook dat persoonsgegevens in de EER worden opgeslagen en dat sommige subverwerkers daarbuiten zijn gevestigd, met de gebruikte doorgiftewaarborgen. De overeenkomst valt onder Spaans recht en als toezichthouder is de Spaanse AEPD genoemd. Laat uw functionaris voor gegevensbescherming haar naast uw eigen eisen leggen; Enterprise-klanten kunnen een ondertekend exemplaar aanvragen.

In de EU, en zo lang als de meldingshistorie van uw abonnement toestaat. NetSenX legt verbindingsmetadata van de bewaakte segmenten vast: interne en externe IP-adressen, poorten, tijden, datavolumes, de servernamen die apparaten benaderen en de naam die een apparaat op het netwerk aankondigt, soms de naam van een persoon. Die gegevens staan in de database in Ierland, met de API in Frankfurt en Parijs. Meldingen worden bewaard voor de meldingshistorie van uw abonnement: 30 dagen in Free, langer in betaalde abonnementen en onbeperkt in Enterprise. NetSenX legt geen berichtinhoud, bestanden of ingetypte tekst vast, omdat het verkeer nooit ontsleutelt, en het rapporteert AI-gebruik per apparaat en programma, niet per persoon. Toch kunnen apparaatgegevens naar een medewerker wijzen; behandel ze dus als persoonsgegevens: vertel medewerkers in uw privacyverklaring wat er wordt bewaakt en waarom, beperk wie in uw bedrijf het account kan openen en ga na of het nationale recht een ondernemingsraad inspraak geeft. In Enterprise kunnen de gegevens binnen uw eigen locatie blijven.

Mogelijk, en een korte is de moeite waard, ook als ze niet strikt verplicht is. De AVG eist een gegevensbeschermingseffectbeoordeling (DPIA) als een verwerking waarschijnlijk een hoog risico voor de rechten van mensen oplevert, en noemt stelselmatige monitoring onder de gevallen om te overwegen; nationale toezichthouders publiceren daarnaast lijsten van verwerkingen die er altijd een vereisen. Het bewaken van een bedrijfsnetwerk kan daaronder vallen, vooral als het apparaten van medewerkers omvat of privégebruik raakt. Een DPIA beschrijft wat u verzamelt en waarom, toetst noodzaak en evenredigheid, noemt de risico’s voor de betrokkenen en de maatregelen die ze verkleinen, en legt het besluit vast. Vraag het uw functionaris voor gegevensbescherming, raadpleeg de lijst van uw toezichthouder en bewaar de uitkomst. Maatregelen die in uw beoordeling helpen: NetSenX legt metadata vast en geen inhoud, ontsleutelt verkeer nooit, rapporteert AI-gebruik per apparaat en programma en niet per persoon, houdt data in de EU en laat u beperken wie het account kan openen. De DPIA schrijft het niet voor u.

Dat kan, zoals bij elke leverancier; beoordeel hem dus op het exitplan en niet alleen op omvang. Een kleine leverancier is mogelijk gevoeliger voor veranderingen in financiering, personeel of een overname; een grote kan prijzen wijzigen, een product schrappen of data onder een andere rechtsorde brengen. In beide gevallen verkleint u het risico op dezelfde manier: zorg dat u uw data op elk moment in een bruikbaar formaat kunt exporteren, bewaar eigen kopieën van bewijs dat u nodig hebt voor audits, verzekeraars of toezichthouders, weet hoe lang de dienst na opzegging doorloopt en beslis vooraf waarmee u hem zou vervangen. Bedenk bij een detectietool ook wat er gebeurt als die stopt: de meldingen stoppen, maar uw systemen blijven werken, wat iets anders is dan het wegvallen van een firewall. NetSenX wordt geëxploiteerd door TriStiX S.L., een klein bedrijf in Spanje, en dat zeggen we openlijk. De verwerkersovereenkomst beschrijft export en verwijdering; meldingen kunnen vanaf het Pro-abonnement via de API en vanaf het Business-abonnement naar een SIEM worden geëxporteerd, en Enterprise kan op uw eigen locatie draaien.

Het is een Amerikaanse wet waarmee Amerikaanse autoriteiten, met een bevel of vergelijkbare beschikking, van dienstverleners onder Amerikaanse rechtsmacht kunnen eisen dat ze data verstrekken die in hun bezit, bewaring of beheer is, ook als die buiten de VS is opgeslagen. Daarom beslecht opslag in een Europees datacenter de vraag niet op zichzelf: het gaat erom of het bedrijf dat de data beheert, of het moederbedrijf, onder Amerikaanse rechtsmacht valt. Aanbieders kunnen sommige bevelen aanvechten, en EU-recht beperkt wanneer een Europees bedrijf data aan een buitenlandse autoriteit mag geven; het resultaat is dus een wetsconflict en geen automatische toegang. Versleuteling met sleutels die de aanbieder niet kan gebruiken, verkleint wat verstrekt zou kunnen worden. Vraag elke leverancier wie de data en de sleutels beheert en welke bedrijven in de keten Amerikaans zijn. NetSenX wordt geëxploiteerd door een Spaans bedrijf en slaat klantgegevens op in de EU, maar de verwerkersovereenkomst noemt enkele in de VS opgerichte subverwerkers. Moet u dat volledig uitsluiten, dan houdt de on-premises-optie van het Enterprise-abonnement de data op uw eigen systemen.