Een CNIL-inspectie of een zakelijke klant vraagt uw artikel 30-register op. Hostingregel: “Cloudserviceprovider, klantgegevens, EU”. Onvoldoende: welke aanbieder? Welke exacte gegevens (IP-logs van twaalf maanden, gecodeerde back-ups waar)? Welke upstream-onderaannemers (US CDN, India-ondersteuning)?
Het register is geen formaliteit. Dit is de kaart van wat de host werkelijk doet met uw persoonlijke gegevens.
Hostrol: onderaannemer van de infrastructuur
Jij = gegevensbeheerder (site-inhoud, gebruikersdatabase). Host = onderaannemer (opslag, uitvoering, infralogs) behalve in gevallen waarin hij de doeleinden bepaalt (zeldzaam).
Document: bedrijfsnaam, DPO of privacycontact, contractuele datacenterlocatie.
Registerinhoud — nuttige velden voor de host
| Registratieveld | Hostvoorbeeld |
|---|---|
| Doel | Hosting en levering van de site |
| Gegevenscategorieën | Applicatiebestanden, klantdatabases, IP-toegangslogboeken |
| Betrokken personen | Bezoekers, klanten, beheerders |
| Ontvangers / ST | OVHcloud SAS — zie DPA + ST-lijst |
| Overdrachten buiten de EU | Nee / ja + garanties (SCC) |
| Duur | Contractduur + logbewaring (zie beleid) |
| Veiligheidsmaatregelen | Transit/rest-encryptie, back-ups, ISO indien relevant |
Subverwerkers om te traceren
CDN, transactionele e-mail, SaaS-monitoring verbonden door de host of door u op dezelfde server – elk kan een onderaannemer zijn die in DPA moet worden vermeld en zich moet registreren.
Vraag de lijst met upstream-onderaannemers op bij de host (artikel 28.3). Kruis aan met onderaannemingsovereenkomst en overdrachten buiten de EU.
Tijdens de audit vergelijkt de inspecteur register, DPA en echte architectuur. Een regel “OVH Gravelines VPS hosting” met logbewaarperiode van twaalf maanden en vermelding van het Cloudflare US CDN is beter dan een algemene paragraaf – en vermijdt niet-naleving die wordt opgemerkt door documentaire discrepantie.
Werk het register bij op de dag dat u een CDN of monitoringtool toevoegt of van regio verandert, en niet de dag vóór de jaarlijkse audit.
De top: het register onthult de gaten in de DPA
Beslis en ga vooruit zonder blinde vlek
Inventariseer persoonlijke gegevens op uw infrastructuur: applicatie, logs, back-ups. Vul de hostregel in met contractproduct, regio en bewaartermijnen. Cross-DPA en lijst met onderaannemers. Update het register elke keer dat u van stack of provider verandert – vóór de DNS-switch, niet erna. Raadpleeg onze compliancehandleidingen en de overzicht.
Veelgestelde vragen
Moet de host in het register voorkomen?
Ja zodra zij namens u persoonsgegevens verwerkt – onderaannemer artikel 28. Gedeeld of dedicated: zelfde verplichting, andere reikwijdte.
Wat moet ik precies schrijven?
Identiteit, infrastructuurdoel, gegevenscategorieën, duur, subverwerkers, contractuele locatie – geen generieke “EU-cloud”.
Gedeeld versus toegewijd?
Dezelfde logica van onderaannemers; specificeer het product en de contractregio, geen vage bewoordingen.
Verandering van host?
De gegevensbeheerder werkt het register en de DPA bij vóór de DNS-omschakeling, en niet tijdens een noodgeval na de migratie.
Een eerlijk verslag over de host dwingt de duidelijkheid af die de ‘AVG-compatibele’ quote beloofde zonder verdere details.