Bij maatwerk is dit geen vaste eigenschap van 'het systeem' zoals bij een kant-en-klaar pakket, maar een keuze die per project wordt gemaakt — en dus ook een keuze die je vooraf kunt vastleggen. Relevante vragen: op welke server of cloudprovider draait het (en in welk land/EU), welke onderliggende diensten worden gebruikt (bijvoorbeeld een AI-provider voor een documentverwerkingsstap), en wie binnen het bedrijf en bij de bouwer toegang heeft tot welke gegevens.
Voor gevoelige gegevens is de EU/EER als hosting-locatie meestal de veiligste standaardkeuze vanuit AVG-oogpunt, en zijn verwerkersovereenkomsten met alle onderliggende leveranciers nodig — zie het begrip AVG-proof automatisering. Toegang wordt idealiter beperkt tot wie het nodig heeft, met een audit trail die bijhoudt wie wat heeft geraadpleegd of gewijzigd.
Bij VrijLeven wordt dit vooraf besproken en vastgelegd, niet pas bij oplevering.