Vragen over dataresidentie voor inkopers in het onderwijs in het Midden-Oosten

Vraag een leverancier van onderwijssoftware waar uw data staat opgeslagen en u krijgt meestal de naam van een regio terug. Daarmee is ongeveer een vijfde van de vraag beantwoord. Data in rust staat op de ene plek; de verwerking gebeurt ergens anders; back-ups staan weer ergens anders; en de subverwerkers achter de eigen functies van de leverancier — het AI-model, de e-mailverzender, de foutmelder, de supportafdeling — zitten elk in een eigen land. Een residentietoezegging die alleen het eerste daarvan dekt, is geen residentietoezegging. Het is een voorkeur voor hosting.

Dit weegt in de Golf zwaarder dan vijf jaar geleden, omdat de regels concreet zijn geworden. De Saoedische Personal Data Protection Law, gehandhaafd door SDAIA, stelt voorwaarden aan het buiten het Koninkrijk brengen van persoonsgegevens. De VAE heeft een federale wet die naast afzonderlijke regimes binnen de DIFC en de ADGM loopt. Qatar, Bahrein, Oman en Egypte hebben elk hun eigen wet, en sectortoezichthouders leggen daar classificatieregels overheen. Inkoopteams stellen vragen die ze in 2019 niet stelden.

Residentie, soevereiniteit en jurisdictie zijn drie verschillende beloftes

Ze staan los van elkaar, en een leverancier kan aan de ene voldoen en op de andere twee tekortschieten.

Datasoevereiniteit is de sterkere claim: dat de data valt onder het recht van het land waar ze staat, en alleen onder dat recht. Het is een juridische positie en geen technische, en ze hangt af van wie de infrastructuur exploiteert, wie de encryptiesleutels houdt, en waar de exploiterende entiteit is gevestigd.

Jurisdictie volgt de rechtspersoon, niet de schijf. Een leverancier die in de Verenigde Staten is gevestigd en uw dossiers in een datacenter in Riyad opslaat, is nog steeds een Amerikaans bedrijf, nog steeds bereikbaar voor een Amerikaanse rechter, en valt nog steeds onder de Amerikaanse CLOUD Act van 2018, die Amerikaanse autoriteiten toestaat een in de VS gevestigde aanbieder te dwingen data te overleggen waarover die zeggenschap heeft, waar die data ook is opgeslagen. Het verplaatsen van de schijf heeft het bedrijf niet verplaatst.

Waarom "de cloud" geen antwoord is

"De cloud" is geen plek. Het is een inkoopmodel over een wereldwijde vloot datacenters heen, en die vloot is precies waar het om gaat. Wanneer een leverancier zegt "wij draaien op AWS", staat elke vraag die ertoe doet nog open.

• Welke regio? Eén account kan tegelijk resources in twintig regio's houden, en het antwoord geldt per dienst, niet per account.
• Staat elke dienst in die regio? Sommige repliceren standaard over regio's heen; sommige hebben een control plane die permanent elders staat.
• Waar draaien de applicatieservers, in tegenstelling tot de database?
• Waar gaan logs, foutmeldingen en productanalytics heen? Die bevatten namen, e-mailadressen en soms antwoorden van cursisten in vrije tekst.
• Waar zit het supportteam, en wat kunnen zij van daaruit zien?
• Waar landen de back-ups, en hoe lang blijven ze bestaan na verwijdering?

Elk daarvan is een gewone technische beslissing, vroeg genomen, om latency of kosten en niet om het recht, door iemand die niet bij het inkoopgesprek zat. Daarom zijn de antwoorden zo vaak vaag: niemand heeft ze opgeschreven.

De zeven vragen

Stuur deze schriftelijk en hecht de antwoorden aan het contract. Een leverancier die niet schriftelijk wil antwoorden, kan niet aan het antwoord worden gehouden.

1. Waar staat data in rust, en in welke met name genoemde regio?

Vraag het per gegevenssoort, niet per platform. Cursistdossiers, toetspogingen, geüploade bestanden, video, certificaten en auditlogs staan vaak in verschillende systemen, en de leverancier heeft misschien alleen over het eerste nagedacht. Vraag om een tabel: per gegevenssoort het land, de aanbieder en de regiocode.

2. Waar wordt ze verwerkt?

Opslag is de makkelijke helft; verwerking is waar data zich verplaatst. Zoekindexering, het genereren van rapporten, PDF-rendering, videotranscodering en alles wat AI-ondersteund is, lezen de data en draaien ergens. AI is op dit moment het scherpste geval in onderwijssoftware: een tutor, een schrijfassistent of een conceptbeoordeling stuurt tekst van cursisten naar een modelleverancier, en de inferentieregio van die leverancier is een ander feit dan de hostingregio van de leverancier zelf. Vraag welke aanbieder, in welke regio, of content voor training wordt gebruikt, en vraag de bewaartermijn in dagen.

3. Welke subverwerkers komen ermee in aanraking, en in welk land?

Vraag erom als een lijst, met drie kolommen: naam, functie, land van verwerking. Een platform heeft er in 2026 doorgaans acht tot vijftien — een cloudhoster, een databaseaanbieder, een objectopslag, een e-mailverzender, een AI-modelleverancier, een foutmelder, een analyticstool, een supportafdeling, en een betaalprovider als er geld wordt geïnd.

Twee vervolgvragen scheiden een serieuze leverancier van een hoopvolle. Hoe wordt u geïnformeerd wanneer een subverwerker verandert, en kunt u bezwaar maken? En welke van hen ontvangen persoonsgegevens in plaats van metadata? Een leverancier die dit nooit heeft opgeschreven, doet er een week over om het te leveren, en die vertraging is zelf informatie.

4. Waar gaan back-ups en uitwijkkopieën heen?

Back-ups zijn de gebruikelijkste manier waarop een residentietoezegging stilletjes sneuvelt. Replicatie over regio's heen is de standaardaanbeveling in elke gids voor cloudarchitectuur, om redenen die niets met uw toezichthouder te maken hebben. Vraag waar back-ups worden weggeschreven, of er een replica de regio verlaat, en hoe lang een verwijderd gegeven daarin blijft bestaan. Is uw wisverplichting 30 dagen en de bewaartermijn van back-ups 90, dan hoort dat gat in een beleidsstuk thuis en niet in een auditbevinding.

5. Wie kan erbij, en vanwaar?

Residentie wordt ongedaan gemaakt door toegang op afstand. Vraag waar de support- en engineeringteams zitten, of toegang tot productie van buiten de regio mogelijk is, of daar goedkeuring voor nodig is, en of u het log kunt inzien. "Onze engineers kunnen klantdata overal vandaan lezen, zonder logging" is een echt antwoord dat sommige leveranciers geven als u het gewoon vraagt.

6. Wat is het doorgiftemechanisme?

Als er data het land verlaat, en bij de meeste leveranciers gebeurt dat met een deel ervan, dan moet er een benoemde rechtsgrond voor de doorgifte zijn en geen schouderophalen. Vraag op welke bepaling van welke lokale wet die steunt.

Een veelvoorkomend signaal: de leverancier stuurt u de EU-modelcontractbepalingen. Dat is een EU-instrument, gemaakt voor doorgiften uit de Europese Economische Ruimte. Het is een redelijke contractuele basis en het is op zichzelf geen Saoedisch of Emiraats doorgiftemechanisme. Een leverancier die een GDPR-overeenkomst behandelt als universele naleving, heeft de lokale wet niet gelezen.

7. Wat gebeurt er als de wet verandert?

Dit is de vraag die bijna niemand stelt en de vraag waar het meeste geld aan hangt. Het gegevensbeschermingsrecht in de regio is jong en in beweging: een toezichthouder kan een nieuwe classificatie uitvaardigen, en een positie die bij ondertekening conform was, houdt in jaar twee van een vijfjarig contract op conform te zijn. Zet vier dingen in het contract:

1. Als de wet zo verandert dat onze afspraak niet langer rechtmatig is, wat moet u dan doen, en binnen welke termijn?
2. Wie betaalt de migratie — u, wij, of verdeeld naar oorzaak?
3. Kunnen wij zonder boete opzeggen als u binnen die termijn niet kunt voldoen?
4. Bij vertrek: in welk formaat krijgen wij de data, hoe lang duurt de export, en wanneer wordt ze uit uw systemen en uw back-ups verwijderd?

Waar Lurno staat, ronduit

Hier is ons eigen antwoord op onze eigen vragenlijst, in de vorm waarin wij het van ieder ander zouden willen.

Augmental Learning Inc. is een Amerikaans bedrijf, en onze standaardinfrastructuur en subverwerkers zitten in de Verenigde Staten. Daaruit volgen twee dingen, en een koper in de Golf hoort ze allebei rechtstreeks te horen. Standaard staan uw dossiers in de Verenigde Staten. En het bedrijf is in de VS gevestigd, dus de Amerikaanse jurisdictie reikt ertoe, waar elke afzonderlijke byte ook staat. Geen enkele instelling verandert dat tweede — niet bij ons, en niet bij welke andere Amerikaanse leverancier ook.

Wat vandaag werkelijk instelbaar is, is de opslag van media. Die wordt per organisatie ingesteld over Supabase, Amazon S3, Azure en Google Cloud Storage — uw eigen bucket, in uw eigen regio — en erft door de organisatieboom naar beneden, zodat een uitgever de bestanden van één land in dat land kan houden zonder het op te splitsen in een aparte tenant. Dat dekt het grootste deel van de payload: geüploade documenten, opnames, inzendingen van cursisten en bewijsbestanden. Hoe het wordt ingesteld, staat op de pagina over authoring.

Wat wij niet claimen: een deployment van de primaire database en de applicatielaag binnen de regio is vandaag niet iets wat u op een orderformulier kunt aanvinken. Valt dat onder uw eis, dan is het een afgebakend gesprek met een tijdlijn eraan, geen vinkje in een vakje — en u zou bij elke leverancier op die precisie moeten aandringen, ook bij de leveranciers wier presentatie "soeverein" zegt.

Wij zijn niet SOC 2-gecertificeerd en niet ISO 27001-gecertificeerd, en dat schrijven we liever op dan dat we het laten suggereren door een badge op een dia. Wat er wel is: een verwerkersovereenkomst, een FERPA-addendum, een auditlog met hashketen, GDPR-stromen voor toestemming en wissen met een vierogenprincipe, en scheiding tussen tenants die wordt afgedwongen door 868 row-level security-policies in de database in plaats van alleen in applicatiecode. Scheiding is een andere garantie dan residentie: het betekent dat een andere klant niet bij uw rijen kan. Een leverancier die een vraag over residentie beantwoordt met een antwoord over scheiding, is van onderwerp veranderd — wij inbegrepen.

De eis zo formuleren dat u een echt antwoord krijgt

Leveranciers geven vage antwoorden omdat de vraag dat toeliet. "Ondersteunt u dataresidentie?" nodigt uit tot een ja, en niemand heeft daar ooit nee op gezegd. Vervang de vraag door vragen waarop een fout antwoord bestaat.

1. Vraag om een tabel, geen alinea: gegevenssoort, land van opslag, land van verwerking, aanbieder, regiocode.
2. Vraag om de lijst met subverwerkers als bijlage, met landen en een termijn voor het melden van wijzigingen.
3. Vraag naar de locaties van back-ups, de bewaartermijn in dagen, en hoe lang verwijderde gegevens daarin blijven bestaan.
4. Vraag op welke bepaling van welke lokale wet elke grensoverschrijdende doorgifte steunt.
5. Vraag wat er contractueel gebeurt als de wet verandert, inclusief wie de verhuizing betaalt.

Beoordeel de antwoorden daarna op precisie en niet op enthousiasme. Zolang de regels in de regio nog uitkristalliseren, is een leverancier die u precies vertelt waar uw data staat — inclusief de delen die u niet wilde horen — makkelijker om conform mee te blijven dan een leverancier die overal ja op zegt. Onze eigen versie staat op de securitypagina. Houd die aan dezelfde maatstaf als die van ieder ander.