Veiligheid, data en eigendom bij maatwerk software

Laat je software of een website bouwen waarin klantgegevens, bestellingen of bedrijfsinformatie staan? Dan wil je weten hoe het zit met eigendom, beveiliging en de AVG. Dit artikel is voor ondernemers die dat vooraf goed willen regelen.

Het korte antwoord: eigendom en afspraken voor als je ooit stopt, leg je schriftelijk vast voordat het project begint. Beveiliging is geen los onderdeel maar een reeks maatregelen, van versleutelde verbindingen tot back-ups en beperkte toegang. En zodra een leverancier persoonsgegevens voor je verwerkt, hoort daar een verwerkersovereenkomst bij.

Wie is eigenaar van de software?

Dat wordt vooraf vastgelegd in de offerte of overeenkomst, en daar moet je als opdrachtgever altijd naar vragen.

Het auteursrecht op software ligt in beginsel bij degene die de code maakt, tenzij er iets anders is afgesproken. Betalen voor maatwerk betekent dus niet automatisch dat je eigenaar bent. Daarom is een schriftelijke afspraak zo belangrijk.

Veelvoorkomende afspraken zijn:

• Overdracht van de rechten op de code die speciaal voor jou is geschreven;
• Een gebruiksrecht (licentie), waarbij de leverancier eigenaar blijft en jij de software mag gebruiken;
• Een combinatie, bijvoorbeeld overdracht van het maatwerk en een licentie op een onderliggend platform of herbruikbare onderdelen van de leverancier.

Welke variant past, hangt af van hoe de software is opgebouwd en wat je ermee wilt. Twijfel je over de juridische kant, laat dan een jurist meekijken. Bij Smoothware bespreek je dit tijdens de kennismaking, zodat het voor de start duidelijk op papier staat. Hoe dat in het hele traject past, lees je in hoe een softwaretraject werkt.

Waar wordt mijn data opgeslagen?

Je data staat op de server of in de cloudomgeving waar de software wordt gehost, en bij voorkeur is dat een locatie binnen de EU.

Hosting in de EU maakt het een stuk eenvoudiger om aan de AVG te voldoen, omdat persoonsgegevens dan de Europese Unie niet verlaten. Voor doorgifte naar landen buiten de EU gelden extra eisen.

Let er ook op dat data niet alleen in je eigen applicatie staat. Denk aan:

• de database en bestanden van de applicatie zelf;
• back-ups, die vaak op een andere locatie staan;
• gekoppelde externe diensten, zoals een e-maildienst, betaalprovider of AI-dienst;
• logbestanden, waarin soms ook gegevens terechtkomen.

Gebruik je AI-functies in je software, dan is het goed om te weten welke gegevens naar de AI-dienst worden gestuurd en wat die dienst ermee doet. Vraag je leverancier om een overzicht van waar de data staat en welke externe partijen erbij kunnen. Dat overzicht heb je ook nodig voor je eigen AVG-administratie.

Hoe veilig is maatwerk software?

Maatwerk software is zo veilig als de manier waarop ze gebouwd en onderhouden wordt.

Maatwerk is geen standaardpakket dat bij duizenden bedrijven hetzelfde draait, dus het is minder vaak doelwit van massale aanvallen op één bekend lek. Maar dat is geen beveiliging op zich. De veiligheid hangt volledig af van hoe zorgvuldig er gebouwd en onderhouden wordt.

Goede praktijken bij het bouwen en beheren van software zijn onder meer:

• Versleutelde verbindingen via HTTPS, zodat gegevens onderweg niet mee te lezen zijn;
• Bewezen frameworks zoals Laravel, die ingebouwde bescherming bieden tegen veelvoorkomende aanvallen zoals SQL-injectie en cross-site request forgery;
• Tweestapsverificatie (2FA) voor beheerders en gebruikers met toegang tot gevoelige gegevens;
• Minimale rechten: iedereen krijgt alleen toegang tot wat hij voor zijn werk nodig heeft;
• Regelmatige updates van de software, het framework en de server;
• Logging en monitoring, zodat fouten en verdachte activiteit zichtbaar worden.

Bij Smoothware worden gegevens versleuteld verzonden via HTTPS en wordt toegang beperkt tot wie het nodig heeft. Updates, back-ups en monitoring na livegang horen bij de service. Beveiliging is daarmee geen eenmalige actie, maar onderdeel van het onderhoud.

Hoe worden klantgegevens beschermd?

Klantgegevens bescherm je met een combinatie van techniek, beperkte toegang en zuinigheid: alleen verzamelen wat je echt nodig hebt.

In de praktijk betekent dat:

• Dataminimalisatie. Vraag geen gegevens uit die je niet gebruikt. Wat je niet opslaat, kan ook niet uitlekken.
• Toegang per rol. Een medewerker van de klantenservice hoeft niet dezelfde rechten te hebben als een beheerder.
• Versleuteling. Gegevens gaan versleuteld over het internet via HTTPS. Wachtwoorden worden nooit leesbaar opgeslagen, maar gehasht.
• Bewaartermijnen. Spreek af hoe lang gegevens bewaard blijven en ruim ze daarna op.
• Inzicht in toegang. Leg vast wie wanneer bij welke gegevens is geweest, zodat je achteraf kunt nagaan wat er is gebeurd.

Welke maatregelen nodig zijn, hangt af van het soort gegevens. Een contactformulier vraagt om minder dan een klantportaal met financiële of medische informatie. Bespreek bij de start welke gegevens de software verwerkt, dan kan de beveiliging daarop worden afgestemd.

Is mijn software AVG-proof?

Software kan de AVG goed ondersteunen, maar AVG-proof ben je als organisatie, niet alleen door je software.

De AVG gaat over hoe jij met persoonsgegevens omgaat: waarom je ze verzamelt, hoe lang je ze bewaart, wie erbij kan en hoe je omgaat met mensen die hun gegevens willen inzien of laten verwijderen. Software helpt daarbij, bijvoorbeeld door:

• alleen de gegevens op te vragen die nodig zijn;
• gegevens op verzoek te kunnen exporteren of verwijderen;
• toegang per rol te regelen;
• data bij voorkeur binnen de EU te hosten.

Verwerkt een leverancier persoonsgegevens namens jou, bijvoorbeeld omdat hij de software host en beheert, dan is een verwerkersovereenkomst het normale instrument. Daarin staat wat de leverancier met de gegevens mag doen, hoe ze beveiligd worden en wat er gebeurt bij een datalek. Vraag daar altijd naar.

Werk je met gevoelige gegevens of twijfel je over je verplichtingen, laat dan ook een jurist of privacyspecialist meekijken.

Hoe zijn back-ups geregeld?

Bij Smoothware zijn back-ups onderdeel van de service na livegang, samen met updates en monitoring.

Een goede back-upregeling beantwoordt een paar vragen, en het is verstandig die bij elke leverancier te stellen:

• Hoe vaak wordt er een back-up gemaakt? Bij software waarin dagelijks wordt gewerkt, wil je niet dagen aan gegevens kwijtraken.
• Waar staan de back-ups? Bij voorkeur op een andere plek dan de applicatie zelf, zodat een probleem met de server niet ook de back-ups raakt.
• Hoe lang worden ze bewaard? Soms merk je een fout pas na een tijd.
• Is terugzetten getest? Een back-up die nooit is teruggezet, is een aanname.
• Wat valt eronder? Alleen de database, of ook geüploade bestanden zoals afbeeldingen en documenten?

De precieze invulling hangt af van het project en de hosting. Bespreek bij de start welke eisen jij hebt, dan kan de back-upregeling daarop worden ingericht.

Wat gebeurt er als de samenwerking stopt?

Dat hangt af van wat je vooraf hebt afgesproken. Daarom is dit een onderwerp om te regelen voordat het project start, niet op het moment dat je wilt stoppen.

Een goede exitregeling beschrijft wat je meekrijgt en hoe de overdracht verloopt. Denk aan:

• Broncode: krijg je de code, en in welke vorm?
• Documentatie: uitleg over de opbouw, installatie en koppelingen, zodat een andere partij verder kan;
• Data-export: je gegevens in een bruikbaar formaat, zoals een database-export of CSV-bestanden;
• Toegang tot hosting en domein: staan die op jouw naam of op die van de leverancier?
• Overdrachtsperiode: helpt de leverancier bij de overstap, en onder welke voorwaarden?
• Opzegtermijn van onderhouds- en hostingafspraken.

Een tip die weinig moeite kost: zorg dat je domeinnaam op naam van je eigen bedrijf staat en dat je zelf de inloggegevens hebt. Dat voorkomt veel gedoe als je ooit van partij wisselt. Bij Smoothware kun je dit tijdens de kennismaking bespreken, zodat de afspraken helder in de overeenkomst staan.

Kan ik mijn software naar een andere hostingpartij verhuizen?

Bij software die op gangbare technologie is gebouwd, is dat technisch meestal goed mogelijk. Of het ook mag, hangt af van de afspraken in je overeenkomst.

Technisch helpt het als de software:

• is gebouwd met breed gebruikte technologie, zoals Laravel, Next.js of WordPress, die bij veel hostingpartijen draait;
• niet afhankelijk is van speciale diensten die maar bij één aanbieder bestaan;
• een beschreven installatieprocedure heeft, zodat een nieuwe partij weet wat er nodig is.

In de afspraken moet duidelijk zijn dat je de broncode, de database en de bestanden mag meenemen, en dat je toegang hebt tot je domeinnaam en DNS-instellingen. Software die op een platform of licentie van de leverancier draait, kan soms niet zomaar ergens anders worden geïnstalleerd. Ook dat hoort vooraf helder te zijn.

Wil je juist software die door een andere partij is gebouwd laten overnemen of vernieuwen? Lees dan bestaande software overnemen of moderniseren.

Persoonlijk advies over jouw situatie

Wil je vooraf weten hoe eigendom, hosting en beveiliging bij jouw project geregeld worden? Plan een kennismaking en stel je vragen. Je krijgt binnen 24 uur een reactie. Wil je eerst meer weten over wat we bouwen, kijk dan bij maatwerk software.