Wat is SaaS Eigendom van Klantgegevens?

Eigenaarschap van SaaS-klantgegevens verwijst naar de wettelijke rechten die klanten hebben over de informatie die zij uploaden, creëren of beheren binnen een SaaS-platform, terwijl het platform zelf in eigendom blijft van de provider. In deze regeling fungeren klanten doorgaans als verwerkingsverantwoordelijken, die bepalen hoe hun gegevens worden verwerkt, en neemt de provider de rol van gegevensverwerker op zich, door de gegeven instructies voor het verwerken van die gegevens op te volgen.

Leveranciersovereenkomsten en regelgeving zoals de AVG beschrijven vaak deze verdeling van verantwoordelijkheden, waarbij wordt vastgelegd dat klanten beslissen hoe hun gegevens worden gebruikt en de mogelijkheid hebben om hun gegevens te openen, downloaden of verwijderen indien nodig.

Inzicht in data-eigenaarschap definieert de rechten van een bedrijf om zijn intellectuele eigendom te beschermen, verduidelijkt toegewezen verantwoordelijkheden en stelt processen vast voor het behoud van strategische flexibiliteit. Voorwaarden voor data-eigenaarschap kunnen vendor lock-in voorkomen, de naleving van regelgeving ondersteunen en garanderen dat data kan worden geopend, overgedragen of verwijderd wanneer nodig.

In de praktijk kunnen de voordelen onder meer omvatten:

• M&A due diligence kan efficiënter verlopen wanneer de herkomst van data duidelijk is vastgesteld.
• Maatregelen voor bedrijfscontinuïteit worden periodiek herzien.  
• SaaS-beveiligingsincidenten worden jaarlijks routinematig bijgehouden, waarbij organisaties dergelijke gebeurtenissen rapporteren als onderdeel van reguliere monitoringactiviteiten.

Het specificeren van data-eigenaarschap tijdens de eerste contractbesprekingen is de goedkoopste manier om meningsverschillen te verminderen, ongeplande kosten te beperken en stappen te beschrijven voor het afhandelen van data-overdrachten.

Wettelijke kaders zoals GDPR en CCPA/CPRA schetsen richtlijnen voor de rollen en verantwoordelijkheden die gepaard gaan met klantgegevens, in plaats van traditioneel eigendomsrecht toe te wijzen. Deze kaders beschrijven verantwoordelijkheden en rollen met betrekking tot het beheer van klantgegevens, waarbij klanten doorgaans worden geïdentificeerd als verwerkingsverantwoordelijken en providers als verwerkers of dienstverleners.

Het beschermen van SaaS-klantgegevens omvat over het algemeen het gebruik van een combinatie van technische en operationele beveiligingsmaatregelen:

• Het toepassen van meervoudige authenticatie
• Het instellen van op rollen gebaseerde toegangscontroles
• Het gebruik van encryptie voor dataopslag en -overdracht
• Het bijhouden van auditlogs
• Het volgen van gedocumenteerde offboarding-procedures
• Het bieden van werknemerstraining over gegevensverwerking en goedgekeurde softwaretools

Deze maatregelen worden geïmplementeerd samen met de toekenning van bepaalde rechten en plichten die gepaard gaan met data-eigenaarschap. Binnen kaders zoals GDPR en CCPA/CPRA hebben klanten doorgaans rechten zoals het openen, corrigeren, exporteren of verwijderen van hun persoonlijke gegevens, alsook het beperken van de verwerking ervan.

Klant verantwoordelijkheden omvatten doorgaans:

• Zorgen dat de gegevens worden verwerkt volgens wettelijke en contractuele normen
• Beheren van toegangsniveaus en gebruikersrechten binnen de dienst
• Opzetten en onderhouden van interne protocollen voor gegevens die aan SaaS-applicaties worden toegevoegd

SaaS-aanbieders gaan alleen met klantgegevens om zoals gespecificeerd in contracten en relevante regelgeving. Meestal omvat dit dienstverlening, technische ondersteuning, beveiliging, naleving en probleemoplossing. Andere vormen van gegevensgebruik of monetarisering worden behandeld volgens klanttoestemming.

Verschillende terugkerende overwegingen kunnen van invloed zijn op effectief gegevensbezit in SaaS-omgevingen:

• Overwegingen inzake vendor lock-in en contractuele taaldetails
• Toegangsbereik van de provider en procedures voor gegevensverwijdering
• Configuratieproblemen en toegang tussen tenants
• Overwegingen inzake derden en subverwerkers
• Eigen exportformaten of ongedocumenteerde API's

In combinatie met gebieden zoals beveiligingsbeheer of compliancevereisten, kunnen deze factoren de algehele controle beïnvloeden. Uit onderzoek blijkt dat er jaarlijks SaaS-beveiligingsincidenten plaatsvinden, terwijl organisaties hun beschermingsmaatregelen regelmatig controleren en beoordelen. Multi-tenantomgevingen, procedurele overwegingen zoals uitgestelde offboarding, en het gebruik van externe diensten kunnen allemaal bijdragen aan het landschap dat organisaties moeten aanpakken bij het overwegen van data-eigendom.

Aanbieders kunnen vereisten voor data-eigendom opnemen in zowel producten als contractuele overeenkomsten. De volgende stappen vertegenwoordigen een typische aanpak:

• Licht het data-eigendom van klanten duidelijk toe in het product en de overeenkomst.
• Beperk interne toegang tot klantgegevens en handhaaf strikte tenantisolatie.
• Behandel gegevensgerelateerde verzoeken, zoals toegang, export of verwijdering, onmiddellijk volgens vastgestelde procedures.
• Zorg ervoor dat klanten toegang hebben tot hun gegevens zoals verzocht.
• Bepaal exportformaten en aanleveringsopties die voldoen aan draagbare, niet-propriëtaire standaarden.
• Retourneer gegevens na afloop van het contract volgens overeengekomen voorwaarden, ongeacht de betalingsstatus.