Hoe je checkt of software echt Europees is

Eigenlijk is het best simpel om te checken of software echt Europees is:

1. Het hoofdkantoor staat in Europa
2. Is er een moederbedrijf, dan moet dat ook in Europa zitten
3. De subverwerkers staan in Europa

Bij sommige EU-producten kun je alle drie afvinken, omdat alles Europees is, bijvoorbeeld LeaderGPU of DentroChat.

Bij de meeste is het een mix.

Het belangrijkste: hoofdkantoor en moederbedrijf

Het gaat vooral om waar het hoofdkantoor en het moederbedrijf zitten.

Zit het in de VS, dan valt het bedrijf onder de US Cloud Act. Amerikaanse instanties kunnen dan data opvragen, ook als die fysiek in Europa staat. Gehost in Europa is niet hetzelfde als EU-soeverein.

Het kan ook op elk moment gebeuren dat een president Europa afsnijdt van zijn IT-infrastructuur…

Wie soeverein wil blijven, kiest producten met een HQ in Europa. Het is geen Europees product als Microsoft (bijv. LinkedIn), Salesforce (bijv. Slack) of Google (bijv. YouTube) de eigenaar is, ook al zijn er dochterbedrijven in Europa.

Op één na belangrijkste: subverwerkers

Draait bijna alles op Google Cloud (zoals bij Mollie), dan kunnen VS-instanties de data nog steeds via de Cloud Act benaderen. En de VS kunnen Europa op elk moment afsnijden.

Een aanbieder zou echter nog naar een cloud kunnen verhuizen die echt (grotendeels) Europees is, bijvoorbeeld Scaleway of Clever Cloud. Precies dat lijkt Mollie nu te doen en ze stappen over naar een zelf gehoste stack.

Als de kern van het product op EU-soevereine subverwerkers draait en alleen hulpdiensten Amerikaans zijn, is dat voor de meeste diensten vandaag het beste wat haalbaar is.

Voorbeelden: Scaleway, Clever Cloud, BunnyCDN of Lettermint. Kerndata en productkern staan op EU-eigen machines, maar betaling, CRM en dergelijke hulpmiddelen kunnen Amerikaans zijn.

Zo achterhaal je dit bij nieuwe diensten

1. Het hoofdkantoor staat meestal in de voorwaarden of privacyverklaring, vaak in de footer. Onze Privacy Policy Analyzer helpt daarbij.
2. Soms linkt de footer ook naar de subverwerkerslijst.
3. Is het moederbedrijf of een subverwerker lastig te vinden, probeer een AI-agent. Wij gebruiken DentroChat dagelijks om snel info over nieuwe diensten te verzamelen.
4. Als jij en je agent de lijst niet vinden, mail het bedrijf achter het product en vraag om de subverwerkers. Meestal is dat de laatste stap, maar je krijgt vaak de meest actuele info. Zo ontdekten we dat PayNL Google Cloud gebruikt voor backups.
5. Soms moet je dieper graven, omdat de subverwerkerspagina verouderd is. GreenPT gebruikt de Amerikaanse subverwerker RevenueCat voor mobiele apps, maar noemt dat in geen enkel juridisch document. We moesten de APK downloaden en in de code kijken.

Meestal is het niet zo moeilijk om te zien of een dienst echt Europees is.

Als de marketing de volgende keer hard «Europees» roept, weet je waar je moet kijken om het te verifiëren.