Een leverancier vraagt een volledige klantenexport

Vraag de leverancier schriftelijk om een concreet doel in één zin: wat gaat er met de gegevens gebeuren, door wie en hoelang? Een antwoord als "om je beter te kunnen helpen" is te vaag. Een bruikbaar antwoord klinkt als: "We versturen de maandelijkse nieuwsbrief aan klanten die zich daarvoor hebben aangemeld."

Controleer daarna of dat doel past bij wat je klanten bij het verzamelen van hun gegevens is meegedeeld. Neem je privacyverklaring en de aanmeldformulieren erbij. Een gegeven dat voor een bestelling werd gevraagd, mag niet automatisch voor elk ander doel worden doorgegeven. Of een bepaalde toestemming of grondslag nodig is, beoordeelt je jurist; dit artikel veronderstelt geen algemene toestemming.

Ga de kolommen van je klantenbestand één voor één na en schrap alles wat het doel niet nodig heeft. Gebruik deze matrix als werkblad:

Beslis ook welke rijen meegaan. Klanten die zich hebben afgemeld of bezwaar maakten horen niet in de export, tenzij de leverancier ze moet uitsluiten. Dan lever je enkel de uitsluitingslijst.

Mail geen bestand rond met een volledig klantenbestand. De MDN-pagina over webbeveiliging (https://developer.mozilla.org/en-US/docs/Web/Security) benoemt voor webontwikkelaars kernpraktijken zoals HTTPS, beperkte toegang tot cookies en veilig omgaan met geheimen. Die pagina gaat niet over het delen van klantenbestanden. De volgende stappen zijn dus een eigen controleprocedure, losjes geïnspireerd op die principes: versleuteld transport, beperkte toegang en controle over wie bij de gegevens kan.

1. Kies een kanaal met versleuteling en toegangscontrole dat jij en de leverancier allebei bevestigen.
2. Geef de ontvanger leesrechten voor een beperkte periode, geen blijvende toegang tot je systeem.
3. Stuur het wachtwoord of de sleutel via een ander kanaal dan het bestand.
4. Laat de leverancier schriftelijk ontvangst bevestigen en noteer datum, velden en aantal rijen.

De export vertrekt vaak uit een account met brede rechten, zoals je e-mailtool of webshop. Zet daarom extra verificatie aan voor wie exports kan maken. Google beschrijft in zijn hulppagina over tweestapsverificatie (https://support.google.com/accounts/answer/185839) dat je zo een extra beveiligingslaag toevoegt voor het geval een wachtwoord wordt gestolen, en dat toegangssleutels een alternatief zijn voor wachtwoorden. Die pagina gaat over Google-accounts; voor andere systemen controleer je zelf welke opties bestaan.

Beperk bovendien wie überhaupt een volledige export mag maken. Is dat recht bij meerdere medewerkers of externe partijen aanwezig, schrap het dan waar het niet nodig is. Bekijk de logboeken van het systeem, voor zover dat ze bijhoudt, om te zien wie recent exporteerde.

Stel: een webshop wil overstappen naar een nieuwe nieuwsbriefleverancier die vraagt om het volledige klantenbestand. De eigenaar stelt als doel: maandelijkse nieuwsbrief voor aangemelde abonnees. Het bestand bevat in dit voorbeeld kolommen voor e-mail, voornaam, adres, geboortedatum, aankoophistoriek en aanmeldstatus.

Verwachte controles: alleen de kolommen e-mail, voornaam en aanmeldstatus gaan mee; afgemelde contacten worden uitgesloten of enkel als uitsluitingslijst geleverd; het bestand gaat via een versleuteld kanaal met aparte wachtwoordoverdracht; de leverancier bevestigt schriftelijk ontvangst. Er worden geen aantallen of resultaten voorspeld; het voorbeeld toont alleen de invoer en de controles.

Zet de afspraken op papier voordat het bestand vertrekt: doel, velden, bewaartermijn, wie toegang heeft en wat er gebeurt bij het einde van de samenwerking. Vraag of de leverancier onderaannemers inschakelt en waar de gegevens worden opgeslagen. Of een verwerkersovereenkomst of ander contract vereist is, beoordeelt je jurist.

Plan het einde mee: de leverancier verwijdert of retourneert de gegevens en bevestigt dat schriftelijk. Wil je nagaan welke openbare signalen je website nu toont, bekijk die dan via Marketing Scan. Een publieke scan ziet geen interne exportprocessen en toont dus niet of jouw overdracht correct verliep.