Waarom Aardlijn
Europese bedrijven krijgen doorgaans te horen dat ze soeverein kunnen zijn óf in Amerika kunnen verkopen. Aardlijn bestaat omdat dat grotendeels een schijnkeuze is, en grotendeels een architectuurvraagstuk.
De keuze die u wordt voorgelegd
U wilt data en beheer binnen Europa houden. U wilt ook Amerikaanse klanten, en zodra het om zorg gaat betekent dat HIPAA. Het gangbare advies is een Amerikaanse omgeving op te zetten en de data over te brengen — waarmee het eerste doel wordt opgegeven om het tweede te bereiken, en u twee omgevingen beheert in plaats van één.
Dat advies wordt meestal gegeven omdat achteraf ombouwen duur is, niet omdat de regels het voorschrijven.
HIPAA vraagt niet waar uw data staat
HIPAA stelt geen eis aan de vestigingsplaats van gegevens. SOC 2 evenmin. Wat zij verlangen zijn aantoonbare maatregelen, een gedocumenteerde risicoanalyse, afspraken met de partijen die de gegevens verwerken, en bewijs dat dat alles ook daadwerkelijk werkt. Dat zijn verplichtingen op het gebied van architectuur en proces, geen geografische.
Amerikaanse afnemers vrágen wel om opslag in de VS, vaak uit gewoonte en niet uit verplichting. Dat is een onderhandelingspositie, en die is een stuk beter vol te houden wanneer de maatregelen er al zijn en al bewijs opleveren — het verschil tussen een security questionnaire beantwoorden en verbouwen om hem te kunnen doorstaan.
Daar zijn complianceprofielen voor: één omgeving, uitgedrukt tegen SOC 2, HIPAA, PCI-DSS of FedRAMP als configuratie, in plaats van als document dat achteraf wordt samengesteld om die omgeving te beschrijven.
Soevereiniteit is een bouwkeuze, geen hostingkeuze
Een omgeving die vanaf de eerste commit is gebouwd om data en beheer binnen de EU te houden kost nauwelijks extra. Diezelfde omgeving later ombouwen kost veel, omdat de aannames dan dragend zijn geworden. Soevereiniteit wordt vaak beschreven als een hostingkeuze, en juist die voorstelling maakt het duur.
Waar uw leveranciers gevestigd zijn hoort bij dezelfde vraag. Aardlijn is een Nederlandse vennootschap, onderworpen aan Europees recht en aan een toezichthouder die verwacht het te kunnen controleren — zodat het gereedschap waarmee een bedrijf Europees blijft niet zelf van buiten Europa wordt beheerd.
Deze site is daar een klein bewijs van. Er wordt niets van derden geladen, er draaien geen scripts en er worden geen cookies gezet, en de build slaat af zodra dat niet meer klopt. Op de privacyverklaring staat elke partij die bij het uitleveren betrokken is.
Wat dat vandaag betekent
Aardlijn ontwikkelt de software en licentieert die aan delivery partners, die de opdracht uitvoeren. Directe EU-dienstverlening — consultancy, migraties, compliance-trajecten — is beoogd zodra de onderneming vanuit Nederland wordt gevoerd en is op dit moment niet beschikbaar. Op de dienstenpagina staat wat wat is.
Laatst bijgewerkt: