Digitale soevereiniteit begint klein. Bijvoorbeeld bij je bestelbevestiging.

Wat er eigenlijk in zo'n mailtje zit

Een bestelling is geplaatst. Een nieuw account is aangemaakt. Iemand vraagt een nieuw wachtwoord aan. Op zulke momenten moet er meteen een e-mail de deur uit. Niet morgen, ook niet over tien minuten.

Dat noemen we transactionele e-mail: berichten die automatisch volgen op een handeling op je website of in je applicatie. Order- en betaalbevestigingen, facturen en verzendupdates, wachtwoordresets, accountactivaties, afspraakbevestigingen en systeemmeldingen. Iets anders dan een nieuwsbrief dus. De ontvanger verwacht ze en heeft ze nodig om verder te kunnen.

Er zit ook meer in dan een e-mailadres. In een bestelbevestiging staan namen, adressen, producten en bedragen. In een systeemmelding staat soms een dossiernummer of informatie over de klantrelatie. Al die inhoud gaat langs de partij die het bericht voor je verstuurt. Dat is precies de reden om even stil te staan bij wie die partij is.

Mailgun heeft ons jarenlang goed geholpen

Bij Kobalt versturen we al lang transactionele e-mail via Mailgun. Een volwassen platform met een prima API, goede aflevering en nette afhandeling van bounces. Mailgun biedt een Europese omgeving en is ISO 27001-gecertificeerd. Er staat dus niets in de fik en dat willen we ook niet suggereren. Toch is het goed om die keuze eens opnieuw tegen het licht te houden.

Europese servers maken een leverancier nog niet Europees

Mailgun Technologies, Inc. is een Amerikaans bedrijf. Het moederbedrijf, Sinch, is Zweeds. Je e-mail kan via de Europese omgeving worden verwerkt, alleen blijft die Amerikaanse entiteit erbij betrokken. In het privacybeleid staat dat gegevens binnen de Sinch-groep gedeeld kunnen worden en dat internationale doorgifte onder meer leunt op het EU-U.S. Data Privacy Framework en Europese modelcontracten. Lees het privacybeleid van Mailgun.

Juridisch klopt dat op dit moment. Het is alleen niet hetzelfde als volledige zeggenschap over je data. Valt een leverancier onder Amerikaanse jurisdictie, dan blijft Amerikaanse wetgeving relevant. Het Amerikaanse ministerie van Justitie legt bij de CLOUD Act uit dat een dienstverlener verplicht kan worden gegevens af te geven die in zijn bezit of onder zijn controle vallen, ongeacht waar die gegevens fysiek staan. Lees de uitleg van het Department of Justice.

Ons Nederlandse alternatief: AhaSend

Voor klanten die hun transactionele e-mail liever via een Nederlandse partij laten lopen, gebruiken we AhaSend. Een Nederlandse B.V. uit Amsterdam die zich volledig richt op transactionele e-mail. De verwerkersovereenkomst valt onder Nederlands recht en de bevoegde rechter zit in Amsterdam. Verwerken gebeurt standaard binnen de EER, verdeeld over datacenters in onder meer Duitsland, Finland, Bulgarije en Noorwegen. Er is ook een Amerikaanse regio, alleen als je daar zelf voor kiest. Bekijk de verwerkersovereenkomst van AhaSend.

Technisch krijg je wat je van een moderne verzenddienst mag verwachten: een snelle API naast de vertrouwde SMTP-koppeling, SPF, DKIM en DMARC, automatische afhandeling van bounces en heldere statistieken. Met webhooks hoort je applicatie direct of een bericht is afgeleverd.

Wat wij het interessantst vinden, zijn de instelbare bewaartermijnen. Op het betaalde plan kun je de inhoud van een bericht direct na verwerking laten verwijderen, of tot maximaal veertien dagen bewaren. Dataminimalisatie is dan gewoon een instelling die aanstaat. Bekijk de bewaarmogelijkheden van AhaSend.

Tot en met 1.000 e-mails per maand is AhaSend gratis. Daarboven kost het op dit moment € 9 per maand voor 25.000 e-mails. Je zit nergens aan vast en je weet waar je berichten verwerkt worden. Bekijk de actuele tarieven. Voor dat bedrag heb je een afhankelijkheid minder.

Eerlijk is eerlijk

Nederlands recht betekent niet dat elke server in Nederland staat. De infrastructuur is Europees, de juridische en organisatorische basis is Nederlands. Houd dat onderscheid scherp als je het aan een klant of een auditor uitlegt.

AhaSend is bovendien een kleinere en jongere partij dan Mailgun. De ISO 27001-certificering loopt nog. Stelt jouw organisatie dat certificaat als harde eis, dan is dit vandaag nog niet je antwoord. Daar zijn we liever vooraf duidelijk over.

Overstappen zonder je applicatie te verbouwen

Omdat AhaSend zowel een API als SMTP aanbiedt, zetten we een standaard Mailgun-koppeling meestal binnen een uur om. We passen de verzendgegevens aan, zetten SPF, DKIM en DMARC goed in je DNS en testen of de belangrijkste berichten netjes aankomen. Je hoeft je website of applicatie niet opnieuw te bouwen. Voor je gebruikers verandert er niets, alleen loopt de route voortaan anders.

Klein, concreet en haalbaar

Soevereiniteit is geen knop die je omzet. Het is weten welke partijen bij je gegevens kunnen, onder welk recht ze vallen en welk alternatief klaarstaat als je wilt overstappen. Dat kan prima onderdeel voor onderdeel.

Mailgun blijft een prima dienst en overstappen is niet voor iedereen nodig. Verwerk je gevoelige klantgegevens of wil je minder Amerikaanse afhankelijkheden, dan is dit een van de makkelijkste stappen die je kunt zetten.