Documenten delen voor non-profits: subsidies en donoren

Non-profitorganisaties verwerken per euro budget meer gevoelige documenten dan vrijwel elke andere sector. Een maatschappelijke gezondheidsorganisatie beheert donoregegevens, subsidieaanvragen, financiële audits, bestuursnotulen en cliëntdossiers — allemaal binnen een team van drie medewerkers. De Autoriteit Persoonsgegevens (AP) maakt geen uitzondering voor non-profits: de AVG geldt volledig, ook voor vrijwilligers­organisaties die persoonsgegevens van begunstigden verwerken. Het NCSC wijst er in zijn publicaties voor het mkb en non-profitsector op dat organisaties zonder dedicated IT-staf bijzonder kwetsbaar zijn voor datalekken via e-mail en onbeveiligde cloudopslag. Dit document beschrijft hoe kleine organisaties documenten veilig kunnen verplaatsen zonder een enterprise-IT-budget of een speciale IT-afdeling.

Waar het bij non-profits mis gaat met bestandsdeling

Het meest voorkomende patroon is een mix van Gmail-bijlagen, gratis Dropbox-accounts en Google Drive-mappen die worden gedeeld met wie toevallig actief is. Dit breekt op drie voorspelbare manieren. Donateurpersoonsgegevens (namen, adressen, schenkingsgeschiedenis) zitten in onversleutelde e-mailthreads. Subsidiedocumenten belanden op persoonlijke accounts die verdwijnen wanneer een medewerker vertrekt. En subsidieaanvraagbijlagen worden in stukken van 50 MB naar accountants ge-e-maild omdat Gmail het volledige auditbestand weigert. Betere tools bestaan, veel ervan gratis voor kleine organisaties, maar de overstap vereist iemand die het initiatief neemt.

Subsidie­aanvraagpakketten

Een federale subsidieaanvraag via Grants.gov kan 200 MB overschrijden met steunbrieven, logische modellen, budgetonderbouwingen en bijgevoegde rapporten. Stichtingen die via Common Grant Application of Fluxx indieningen accepteren, hanteren doorgaans een limiet van 50 MB per bestand. Wanneer het indieningsportal uitvalt of een programmacoördinator halverwege de review een aanvullend document vraagt, heeft u een betrouwbaar versleuteld pad nodig. Stuur via een versleutelde overdrachtslink met wachtwoordbeveiliging en een vervaldatum die aansluit op de beslissingstermijn van de subsidie. Bewaar een interne kopie in uw documentbeheersysteem voor de zevenjarige AVG-bewaarplicht.

Donorrapporten en communicatie over grote giften

Grote donateurs verwachten op maat gemaakte impactrapporten. Een jaareindsrapport voor een donateur van zes cijfers kan een PDF van 30 pagina's omvatten, fotogalerijen van 200 MB en financiële overzichten. Een bijlage van 200 MB aan e-mail stuit op de 25 MB-limieten van de meeste zakelijke e-mailsystemen. Stuur in plaats daarvan een versleutelde downloadlink met de naam van de donateur, een persoonlijke noot en een kort vervalvenster. Houd bevestiging van levering bij. Voor plannedgiving-documenten (testamenten, begunstigde­aanduidingen, schenkingstrusts) zijn de inzetten hoger en beschermt end-to-end versleuteling met AES-256-GCM tegen een platform­zijdige inbreuk die donateur­intenties blootlegt.

Bestuur en vertrouwelijke vergaderstukken

Boardpakketten beslaan vaak 50 tot 150 pagina's met financiën, executive session-notulen, CEO-beoordelingen en strategiedocumenten. Bestuursleden zijn verspreid over tijdzones en apparaten. Pakketten plaatsen in een BoardEffect- of OnBoard-portal werkt als de organisatie het kan betalen (€2.000 tot €10.000 per jaar). Voor kleinere organisaties werkt een versleutelde overdrachtsservice die één link met wachtwoord produceert prima. Stuur het pakket 72 uur voor de vergadering, met een duidelijke bestandsnaam (Bestuurspakket_2026-11-21.pdf) en een readme als er meerdere bestanden zijn. Bewaring van bestuursnotulen is doorgaans verplicht onder de statuten en de Wet bestuur en toezicht rechtspersonen (WBTR), dus archiveer ondertekende versies in permanente opslag, niet in de overdrachtsservice.

AVG-naleving en documentatie van verwerkingsactiviteiten

Op grond van de AVG moeten non-profits een register van verwerkingsactiviteiten bijhouden (artikel 30 AVG). Dat geldt ook voor het verwerken van persoonsgegevens van donateurs, begunstigden en vrijwilligers. Wanneer u documenten deelt met externe partners, evaluatoren of aanneem­diensten, vereist de AVG een verwerkersovereenkomst of een overdrachtsgrondslag. De AP publiceert handhavingsrichtlijnen die ook van toepassing zijn op non-profits. Voor organisaties die als ANBI geregistreerd staan, geldt bovendien de publicatieplicht van de jaarrekening. Stuur gecontroleerde jaarrekeningen naar subsidieverleners via versleutelde kanalen en log elk verzoek.

Begunstigden- en programmaregistraties

Non-profits in de menselijke dienstverlening bezitten persoonsgegevens en soms bijzondere persoonsgegevens van de mensen die zij bedienen. Cliënt­intakeformulieren, casenotities en uitkomstgegevens vallen onder de AVG (artikel 9 voor bijzondere gegevens zoals gezondheidsgegevens), FERPA (voor onderwijsgerelateerde diensten) en sectorspecifieke regelgeving. Overdracht aan evaluatoren, partnerorganisaties of een factureringsdienst vereist een verwerkersovereenkomst en versleuteling in transit en in rust. Stuur alleen geanonimiseerde gegevens wanneer dat mogelijk is. Voor geïdentificeerde gegevens: gebruik E2EE met ontvanger-specifieke wachtwoorden en tijdbeperkte toegang. Een gedeelde Google Drive-map met "iedereen met de link"-deling is een datalek dat wacht om te gebeuren.

Budgetvriendelijke toolcombinaties

De meeste non-profits komen in aanmerking voor TechSoup-prijzen of directe non-profitkorting. Google Workspace voor non-profits biedt Business Starter gratis voor in aanmerking komende organisaties met 30 GB per gebruiker. Microsoft 365 Business Premium loopt voor gekwalificeerde non-profits €5,50 per gebruiker per maand. Voor bestandsoverdracht specifiek biedt Dropbox gratis slechts 2 GB. Proton Drive biedt 200 GB voor €3,99 per maand met end-to-end versleuteling. SwissTransfer is gratis tot 50 GB per verzending met Zwitserse gegevensresidentie. HexaTransfer biedt gratis E2EE-overdrachten van 10 GB zonder accountvereiste, wat goed werkt bij het sturen naar een partnerorganisatie die niet nog een aanmelding wil. Combineer meerdere tools in plaats van alles op één te zetten.

Vrijwilligers- en aannemersworkflows

Vrijwilligers en kortetermijnaannemers moeten trainingsmateriaal ontvangen en soms getekende vrijwaringsformulieren, toestemmingen voor achtergrondcontroles en onkostandeclaraties terugsturen. Accounts aanmaken in een documentsysteem voor een vrijwilliger van twee weken is verspilling. Een overdrachtslink met wachtwoordbeveiliging en een vervaldatum van zeven dagen laat een vrijwilliger een oriëntatiepakket downloaden zonder frictie, en een eenrichtings-uploadlink laat hem of haar getekende documenten terugsturen. Voor achtergrondcontroleresultaten die uiterst gevoelige persoonsgegevens bevatten: vereist end-to-end versleuteling en verwijder ontvangen bestanden uit de overdrachtsservice binnen 30 dagen.

Documentbewaartermijnen en verwijderingsschema's

Stel kalenderherinneringen in voor bewaarschoonmaak. Donateursregistraties met fiscale aftrekbaarheidsimplicaties bewaren zeven jaar. Arbeidsregistraties bewaren conform de Archiefwet. Subsidieregistraties bewaren conform de subsidieconditie­eis, doorgaans vijf tot zeven jaar na afloop. Begunstigden­registraties volgen sectorspecifieke regels. Maak oude overdrachten die de bewaartermijn overschrijden ongedaan. Een versleutelde service met automatisch verlopen doet dit werk voor u bij gedeelde kopieën; uw intern archief vereist een afzonderlijke bewaarkalender. Schrijf het schema op in uw gegevensbeschermingsbeleid en evalueer het jaarlijks bij de bestuursvergadering.

Probeer het via https://hexatransfer.com — gratis, geen account, maximaal 10 GB.