Belangrijkste punten

• monday.com biedt een EU-dataregio, gehost op AWS in Frankfurt, voor Enterprise-accounts en voor Standard- en Pro-accounts die sinds 23 januari 2023 zijn aangemaakt. Zo blijft de data van je werkruimte binnen Europese infrastructuur.
• Een ondertekende verwerkersovereenkomst (Data Processing Agreement, DPA) en modelcontractbepalingen (Standard Contractual Clauses, SCC’s) dekken je GDPR-verplichtingen als verwerkingsverantwoordelijke tegenover monday.com als verwerker.
• De locatie van je data is maar een deel van GDPR-compliance: toegangscontrole, bewaartermijnen en rechteninstellingen vragen allemaal een bewuste configuratie.
• Alle toonaangevende projectmanagementplatformen zijn SaaS-bedrijven met hoofdzetel in de VS. Het verschil zit in hoe goed je implementatie vanaf dag één rekening houdt met de GDPR.
• Een gestructureerde implementatiepartner bouwt GDPR-conforme standaardinstellingen in je monday.com-opzet in, zodat compliance er van in het begin in zit en niet achteraf wordt vastgeschroefd.

monday.com is GDPR-compliant en biedt een EU-dataregio (AWS, Frankfurt) op Enterprise, en op Standard- en Pro-accounts die sinds 23 januari 2023 zijn aangemaakt. Dat betekent dat de data van je werkruimte binnen Europese AWS-infrastructuur kan staan in plaats van uitsluitend op Amerikaanse servers te worden verwerkt. Je kunt een ondertekende verwerkersovereenkomst (DPA) en modelcontractbepalingen (SCC’s) krijgen om aan je verplichtingen onder artikel 28 van de GDPR (AVG) te voldoen. Toch is de plek waar je data staat maar één stukje van de compliancepuzzel. Toegangsrechten, bewaartermijnen, het beheer van subverwerkers en workflow-automatisering vragen allemaal een bewuste configuratie. Een degelijke monday.com-implementatie bouwt die standaardinstellingen vanaf dag één in, niet nadat je DPO ze bij een audit aankaart.

Host monday.com data in de EU?

Ja, met een voorwaarde op abonnementsniveau. Met de EU-dataregio van monday.com kunnen accounts die daarvoor in aanmerking komen (Enterprise, en Standard- of Pro-accounts die sinds 23 januari 2023 zijn aangemaakt) de data van hun werkruimte, waaronder items op borden, bijlagen en updates, opslaan in cloudinfrastructuur in Europa. monday.com draait op Amazon Web Services (AWS), en de EU-dataregio stuurt je primaire data naar AWS in Frankfurt in plaats van naar regio’s in de VS.

Een paar zaken om te begrijpen over wat dataresidentie in de EU wel en niet dekt:

• Primaire werkruimtedata: Items op borden, kolommen, updates en geüploade bestanden die in rust zijn opgeslagen, vallen onder de keuze voor EU-residentie.
• Support en operationele toegang: Supportcontacten en bepaalde operationele processen kunnen nog steeds de wereldwijde teams van monday.com betrekken. Bekijk de DPA voor de details.
• Subverwerkers: monday.com publiceert een lijst van subverwerkers, waarvan sommige in de VS gevestigd zijn. Dat is standaard voor enterprise-SaaS. Doorgiftes van data naar die subverwerkers worden gedekt door de SCC’s in de DPA.
• Vereist abonnement: De EU-dataregio is beschikbaar op Enterprise, en op Standard- en Pro-accounts die op of na 23 januari 2023 zijn aangemaakt. Alleen bij Enterprise-accounts wordt de data, ook die bij subverwerkers, uitsluitend in de EU-regio gehost. Dateert je account van vóór die datum of heb je die volledige garantie nodig, dan hoort een abonnementswijziging bij je compliance-roadmap.

Controleer de vereisten rond dataresidentie in de aankoopfase, niet bij de livegang. Werkt je sector met gevoelige persoonsgegevens (hr, zorg, financiële dienstverlening), dan zal je DPO deze vraag stellen. Het antwoord klaar hebben, bespaart tijd.

Is monday.com GDPR-compliant?

Ja. monday.com heeft een gedocumenteerd compliancebeleid dat de belangrijkste vereisten dekt voor een SaaS-verwerker onder de GDPR:

• Verwerkersovereenkomst (DPA): Op aanvraag beschikbaar en dekt de verplichtingen van artikel 28, waaronder doelbinding, beveiligingsvereisten, controle op subverwerkers en auditbepalingen.
• Modelcontractbepalingen (SCC’s): Opgenomen in de DPA voor doorgiftes van persoonsgegevens buiten de EER, als antwoord op de vereisten voor grensoverschrijdende doorgifte die volgden op het Schrems II-arrest.
• Beveiligingscertificeringen: monday.com is ISO 27001-gecertificeerd en heeft een SOC 2 Type II-attest. Beide worden geregeld opgevraagd door aankoopteams van grote organisaties en door DPO’s als bewijs van beveiligingsmaatregelen.
• Rechten van betrokkenen: Het platform ondersteunt je bij het uitoefenen van GDPR-rechten (inzage, wissing, overdraagbaarheid) op niveau van de werkruimte en van het item.

Eén belangrijke kanttekening: de compliancedocumentatie van monday.com maakt hen een rechtmatige verwerker. Jouw organisatie is de verwerkingsverantwoordelijke. Je configuratiekeuzes bepalen of je in de praktijk aan je verplichtingen voldoet.

Wat staat er in de DPA van monday.com?

De verwerkersovereenkomst dekt de vereisten van artikel 28 die je juridische team en je DPO gedocumenteerd willen zien:

• Reikwijdte, aard en doel van de verwerking
• Categorieën van persoonsgegevens en betrokkenen
• Duur en instructies voor de bewaring van data
• Technische en organisatorische beveiligingsmaatregelen
• Lijst van subverwerkers en de plicht om wijzigingen te melden
• Auditrechten en toegang tot certificeringsrapporten van derden
• Procedures voor verzoeken tot inzage en wissing door betrokkenen

Vraag de DPA rechtstreeks aan monday.com tijdens de contractonderhandeling of de verlenging. Werk je met een monday.com-partner zoals Tryve, dan kan je implementatieteam je helpen de DPA samen met je interne juridische team door te nemen en de bepalingen te vertalen naar je specifieke configuratieplan.

Hoe configureer je monday.com GDPR-conform?

Hier hebben implementatiekeuzes een rechtstreekse invloed op je compliance. De meeste organisaties die met monday.com live gaan met standaardinstellingen of instellingen op basis van sjablonen, missen configuratiestappen die voor de GDPR van belang zijn. Veelvoorkomende hiaten:

Toegang en rechten

• Stel bordrechten in (privé, deelbaar of hoofdbord) op basis van de gevoeligheid van de data op het bord, niet op basis van wat handig is voor het team.
• Gebruik rechten op kolomniveau om de zichtbaarheid van velden met persoonsgegevens te beperken tot de rollen die ze echt nodig hebben.
• Deel gebruikers in teams in en pas rolgebaseerde toegang toe, zodat hr-data, klantgegevens en financiële informatie niet in de hele werkruimte zichtbaar zijn.

Toegang voor gasten en externen

• Gastgebruikers hebben standaard een beperktere toegang, maar controleer welke borden ze kunnen bereiken voordat je freelancers of externe medewerkers toevoegt.
• Documenteer in je verwerkingsregister (Record of Processing Activities, ROPA) waarom externe partijen toegang hebben tot een bord met persoonsgegevens.

Bewaring en verwijdering van data

• monday.com legt geen automatische bewaartermijnen op. Je bent zelf verantwoordelijk voor een proces om records na je vastgelegde bewaartermijn te verwijderen of te anonimiseren.
• De planning rond change management voor je monday.com-uitrol moet een gedocumenteerde procedure bevatten om verzoeken tot wissing van betrokkenen binnen het platform af te handelen. Wie is eigenaar van dat proces, en hoe lang duurt het?

Offboarding van gebruikers

• Wanneer een medewerker vertrekt, moet zijn monday.com-account worden gedeactiveerd en moeten persoonsgegevens in zijn items worden nagekeken. Neem dit op in je hr-checklist voor offboarding.
• Automatiseringsregels kunnen offboardingtaken starten wanneer een hr-status verandert, zodat er minder kans is dat verouderde accounts openstaan met toegang tot persoonsgegevens.

Omgaan met gevoelige data

• Gebruik privéborden voor alle data die onder artikel 9 van de GDPR als bijzondere categorie van persoonsgegevens geldt, zoals gezondheidsgegevens of biometrische gegevens.
• Breng elk bord in je werkruimte dat persoonsgegevens bevat in kaart als onderdeel van je verwerkingsregister. Dat is geen eenmalige taak: het moet actueel blijven naarmate je monday.com-omgeving evolueert.

Voor een praktijkvoorbeeld van hoe een grote Europese organisatie complexe vereisten rond data en governance in monday.com beheert, zie hoe Tryve een oplossing op maat bouwde voor Sibelga.

Hoe verhoudt monday.com zich tot Asana, ClickUp en Smartsheet op het vlak van EU-compliance?

Het eerlijke antwoord: alle vier de platformen zijn SaaS-bedrijven met hoofdzetel in de VS en een grotendeels vergelijkbare GDPR-aanpak. Elk biedt een DPA, SCC’s voor grensoverschrijdende doorgiftes en dataresidentie in de EU op enterpriseniveau. Op papier geeft geen enkel platform je een duidelijk compliancevoordeel tegenover de andere.

Het echte verschil zit in hoeveel je implementatie vanaf de start rekening houdt met de GDPR:

Waar monday.com zich onderscheidt voor Europese enterpriseteams, is de diepgang van zijn rechtenmodel en zijn automatiseringsmogelijkheden. Beide zijn van belang voor de GDPR: met fijnmazige rechten dwing je regels rond datatoegang af zonder omwegen, en met automatisering maak je complianceprocessen (offboarding, herinneringen rond bewaartermijnen, toegangsreviews) operationeel zonder handmatig toezicht.

Ook Asana, ClickUp en Smartsheet kunnen allemaal aan de basisvereisten van de GDPR voldoen. De keuze van platform weegt minder zwaar dan de kwaliteit van de implementatie. Een goed geconfigureerde monday.com-omgeving wint het van een slecht geconfigureerde versie van eender welk platform.

Wat moet je bevestigen voor je Europese uitrol?

Gebruik deze checklist met je DPO en je implementatiepartner vóór de livegang:

• Heeft je organisatie de DPA van monday.com ondertekend?
• Heb je gekozen voor dataresidentie in de EU (als je risicoanalyse dat vereist)?
• Is de lijst van subverwerkers nagekeken en aanvaard door je juridische team of je DPO?
• Heb je in je verwerkingsregister vastgelegd welke borden en kolommen persoonsgegevens bevatten?
• Zijn bordrechten ingesteld volgens de gevoeligheid van de data, niet volgens operationeel gemak?
• Heb je een vastgelegd proces voor de bewaring en verwijdering van persoonsgegevens in monday.com?
• Is er een offboardingprocedure voor gebruikers die het afsluiten van hun monday.com-account omvat?
• Heb je in kaart gebracht hoe verzoeken tot inzage en wissing van betrokkenen zullen worden afgehandeld?

Ben je de scope van het project nog aan het bepalen, hou er dan rekening mee dat de complianceconfiguratie zowel de kosten van een monday.com-implementatie als de implementatietijdlijn beïnvloedt. Sla je ze over tijdens de opzet, dan moet je het later rechtzetten, wat meer kost en onnodig risico creëert. Een gestructureerd implementatieproces dat vanaf dag één rekening houdt met je regelgevende context, is het juiste vertrekpunt.

Klaar om monday.com te implementeren met ingebouwde EU-compliance?

GDPR-compliance in monday.com is haalbaar en houdbaar. Maar ze hangt af van bewuste configuratiekeuzes, niet alleen van een ondertekende DPA in je contractenmap. Tryve werkt met middelgrote en grote teams in heel Europa om monday.com-omgevingen te bouwen die vanaf de start aan de operationele en compliancevereisten voldoen, met de documentatie en processen om dat zo te houden.

Plan een gratis kennismakingsgesprek met Tryve om je vereisten rond EU-data te bespreken en een helder beeld te krijgen van hoe een conforme monday.com-implementatie er voor je organisatie uitziet.

Praat met Tryve

Tryve is monday.com Platinum Partner. Elk traject start met een gestructureerde discovery-sessie rond je werkelijke processen, niet rond een generieke sjabloon. Senior consultants blijven betrokken tot de adoptie, niet alleen tot de livegang. Plan een gratis kennismakingsgesprek.

Bronnen

• monday.com: lancering van een EU-dataregio in Duitsland
• monday.com support: dataresidentie
• monday.com Data Processing Addendum
• monday.com Trust Center: privacy
• monday.com support: veelgestelde vragen over beveiliging en privacy
• Asana: EU-datacenter
• ClickUp Help: datahosting
• Smartsheet: dataresidentie in Smartsheet Regions