AVG, SOC2 en de B2B SaaS Checklist die Inkoop blokkades wegneemt

Wanneer een koper vraagt "bent u AVG-compliant?", dan is dat geen ja-of-nee-vraag. Ze vragen zich af of uw bedrijf de tien documenten, vier registers en één auditlog kan overleggen die hun inkoper nodig heeft om bij het contract te voegen. De onderstaande checklist is degene die we aan een B2B-prospect overhandigen wanneer zij willen verifiëren.

De tien documenten

Dit is geen juridisch advies, maar het koppelt de typische EU B2B-inkoopchecklist aan het engineering- en beleidswerk dat elk item ondersteunt:

1. Een ondertekende Verwerkersovereenkomst (DPA). Counter-executable template op aanvraag. Weerspiegelt AVG Art. 28.
2. Een register van verwerkingsactiviteiten. Interne ROPA met vermelding van doeleinden, gegevenscategorieën, ontvangers, bewaartermijnen en de juridische grondslag.
3. Een lijst met subverwerkers. Elke leverancier die met kopergegevens werkt, inclusief namen en een proces voor wijzigingsmeldingen.
4. Een Transfer Impact Assessment (TIA). Voor alle gegevens die de EER verlaten — zelfs voor een Amerikaanse SaaS-leverancier met een subverwerker aan de Westkust.
5. Een proces voor melding van datalekken. 72-uurs deadline naar de toezichthoudende autoriteit; deadline zonder onnodige vertraging naar betrokkenen bij datalekken met een hoog risico.
6. Een proces voor de rechten van betrokkenen. DSAR-intake, identiteitsverificatie, respons-SLA (30 dagen) en het engineering-werk om een verwijderings- of exportverzoek uit te voeren.
7. Een bewaartermijnoverzicht. Wat we bewaren, hoe lang, hoe het wordt verwijderd en welk systeem verantwoordelijk is voor de verwijdering.
8. Een cookie- en trackingbeleid. Wat er draait op de marketingwebsite, de product-app, het admin-dashboard en waarom elke cookie bestaat.
9. Een beveiligingsoverzicht. Versleuteling tijdens verzending (in transit), versleuteling in rust (at rest), sleutelbeheer, toegangscontrole, incident response.
10. Een beschikbaarheidspositie. Uptime-beloftes, wat is uitgesloten (een redelijke SLA) en het disaster-recovery scenario.

Het engineering-werk dat elk item ondersteunt

A koper die de tien documenten heeft gelezen, zal het engineering-team vragen om de implementatie toe te lichten. De niet-voor de hand liggende items, in volgorde van hoe vaak ze daadwerkelijk voorkomen:

Uitvoering van Data Subject Access Requests (DSAR)

De koper wil uw verwijderings- en export-endpoints zien, met auditlogs en afgedwongen identiteitsverificatie. Het engineering-werk:

• Een DELETE /api/users/{id} die het account annuleert, persoonsgegevens wist en een auditlog-entry bijhoudt zonder de persoonsgegevens zelf.
• Een GET /api/users/{id}/export die een machine-leesbaar archief retourneert van elke entiteit die naar de gebruiker verwees.
• Identiteitsverificatie op beide — bcrypt timing-equalized, zelfs wanneer het e-mailadres niet bestaat (zodat de responstijd de gebruikersenumeratie niet lekt).

Beheer van subverwerkers

De koper wil een lijst en een proces voor wijzigingsmeldingen. Engineering-werk:

• Een versiebeheerbare lijst met subverwerkers in de documentatie, met een RSS-feed of webhook voor wijzigingen.
• Een codepad dat afhankelijkheden weigert die gegevens buiten de gedocumenteerde lijst verzenden (een CI-check of een runtime allowlist).

EU-residentie voor inferentie en opslag

Veel B2B-kopers kopen geen SaaS waarvan de primaire database in de VS staat. Het engineering-werk:

• Pin de MongoDB-regio naar de EU (eu-west-1 of vergelijkbaar).
• Pin elke externe inferentie-provider aan een EU-endpoint en vermeld dit in de DPA.
• Documenteer gegevensresidentie in het beveiligingsoverzicht.

Handhaving van bewaartermijnen

De meeste startups kunnen een bewaarbeleid opstellen. De moeilijkere vraag is: "wordt het afgedwongen?" Engineering-werk:

• Een geplande taak (scheduled job) die zoekt naar records die hun bewaartermijn hebben overschreden en deze verwijdert.
• Een log van de taak, toegankelijk voor de koper op aanvraag.
• Een expliciete test dat de taak draait (niet alleen een CI-assertie dat het compileert).

Audit logging

Bijna elke beveiligingsvragenlijst vraagt hierom. Engineering-werk:

• Een centrale auditlog-entiteit, append-only, gevoed door een interceptor of middleware.
• Bewaartermijn: langer dan de koper verwacht (standaard 90 dagen, configureerbaar omhoog). Nooit korter.

Toegangscontrole op het admin-dashboard

Kopers willen weten wie er binnen uw bedrijf gegevens kan inzien. Engineering-werk:

• Een gedocumenteerd toegangsbeleid dat de rollen, de personen in elke rol en het auditspoor van toegang benoemt.
• Een korte TTL op productie-toegang (wij gebruiken een 4-uurs TTL die op aanvraag wordt uitgegeven met een rechtvaardigingscommentaar).

De valstrik: SOC 2 als bestemming vs. een continue praktijk

De fout die de meeste B2B SaaS-bedrijven in een vroege fase maken, is het behandelen van SOC 2 als een eindstreep. Dat is het niet. SOC 2-audits zijn momentopnames; de koper zal uw continue controle-status lezen, niet alleen het meest recente auditrapport. Engineering-werk dat dit continu maakt:

• De bewaarplanner draait in CI als een verificatietaak (geeft de query geen verouderde resultaten?).
• De auditlog-schrijfacties voeden een dashboard dat daadwerkelijk door iemand wordt bekeken.
• De lijst met subverwerkers wordt bij elke release automatisch gegenereerd vanuit het dependency lockfile.

A koper leest deze signalen direct. Ze zullen vragen: "laat me het dashboard zien." Zorg dat het dashboard er is.

Waar de koper echt om geeft

In onze ervaring over vijf B2B-inkoopcycli geven kopers om drie dingen, in deze volgorde:

• Zichtbaarheid. "Als er iets verandert, kan ik dat dan zien?" (wijzigingen in subverwerkers, meldingen van datalekken, beleidswijzigingen).

• Omkeerbaarheid. "Als ik wegga, kan ik dan mijn gegevens krijgen en kun jij ze verwijderen?" (gegevensexport, gegevensverwijdering, bewaartermijnoverzicht).

• Proportionaliteit. "Is de beveiligingsstatus proportioneel aan de gegevens die we aan u toevertrouwen?" (versleuteling, toegangscontrole, auditlog).

Alles in de bovenstaande checklist dat niet aan een van deze drie dient, is decoratie. Schrap het.