Een AVG-proof samenwerkingstool kiezen: de checklist

• Is er een verwerkersovereenkomst (DPA) volgens art. 28 AVG, en hoe sluit je die af?
• Wie is voor welke gegevens verwerkingsverantwoordelijke en wie verwerker?
• Zijn de technische en organisatorische maatregelen beschreven?
• Is er een lijst van subverwerkers met hun locatie?
• Hoe hoor je over nieuwe subverwerkers?

• Waar staan database, bestanden, back-ups en de mediaservers voor gesprekken?
• Welke gegevens verlaten de EU – en waarom?
• Op welke grondslag gebeurt doorgifte: adequaatheidsbesluit, EU-VS Data Privacy Framework, modelcontractbepalingen?
• Aan welk recht is de aanbieder onderworpen, en waar is hij gevestigd?

• Zijn verbindingen versleuteld, en is inhoud in rust versleuteld?
• Is end-to-end-versleuteling beschikbaar – en wat werkt dan niet meer (zoeken, AI, opnemen)?
• Wie beheert de sleutels?
• Zijn er rollen en rechten tot op het niveau van afzonderlijke ruimtes?
• Single sign-on, tweestapsverificatie, zo nodig verplicht voor iedereen?
• Is er een auditlog van beheeracties en toegang?

• Waar draaien transcriptie, vertaling en samenvattingen – bij de aanbieder of bij een externe AI-dienst?
• Wordt inhoud gebruikt om modellen te trainen?
• Kun je AI-functies per organisatie, space of vergadering uitzetten?
• Kunnen personen bezwaar maken tegen transcriptie?
• Zien mensen welke AI-functies hun inhoud hebben verwerkt?

• Kun je bewaartermijnen instellen, bijvoorbeeld voor opnames?
• Is er een verwijderbeleid – ook voor back-ups?
• Kan iedereen zijn eigen gegevens exporteren (art. 15 en 20 AVG)?
• Kun je een hele werkomgeving exporteren, en in welke formaten?
• Wat gebeurt er met je gegevens als het contract afloopt?

Verwerkersovereenkomst

Voor inhoud in spaces van organisaties is Coviqo verwerker volgens art. 28 AVG. Bij Business en Enterprise lezen, downloaden en sluiten beheerders de DPA af in de organisatie-instellingen.

Locatie

Database, bestanden, back-ups, mediaservers voor gesprekken en de AI draaien in datacenters in Duitsland. De exploitant is gevestigd in Luxemburg. Details bij Waarom Europa.

Subverwerkers

Met doel en locatie vermeld bij Waarom Europa en in de privacyverklaring – op beide plekken dezelfde lijst.

Derde landen

Cloudflare (VS) beschermt website en app en verwerkt daarbij verbindingsgegevens. Betalingen lopen via Stripe. Inlogaanbieders en integraties alleen als je ze kiest. Grondslag: Data Privacy Framework of modelcontractbepalingen.

Versleuteling

TLS voor alle verbindingen. Inhoud wordt versleuteld opgeslagen met een eigen sleutel per space (AES-256-GCM) – aan de serverkant, niet end-to-end. Directe berichten kunnen in elk plan end-to-end versleuteld worden, hele ruimtes vanaf Business.

Toegangsbeheer

Rollen en rechten per space, categorie en ruimte, tweestapsverificatie, auditlog. Single sign-on (SAML, OIDC, SCIM) en verplichte MFA vanaf Business.

AI

Transcriptie, vertaling en samenvattingen draaien op de eigen servers van Coviqo. Inhoud gaat niet naar externe AI-aanbieders en traint geen modellen van derden. Iedereen kan bezwaar maken tegen transcriptie.

Verwijdering

Verwijderde accounts worden na een wachttijd gewist (standaard 14 dagen). Back-ups worden hoogstens 12 maanden bewaard. Wordt een space definitief verwijderd, dan ook zijn sleutel. Organisaties kunnen de bewaartermijn voor opnames verkorten.

Export

Iedereen kan zijn gegevens exporteren als ZIP-archief met een PDF-rapport. Eigenaren en beheerders van een space exporteren de hele space – ruimtes, berichten, notities, taken, afspraken, leden en bestanden.

Meer over de technische maatregelen: Beveiliging.