هر رکورد کلید داده‌ی خودش (DEK) را دارد که با یک کلید رمزکننده‌ی کلید (KEK) و شناسه‌ی آن ذخیره می‌شود. چرخاندن KEK فقط DEKهای کوچک را دوباره بسته‌بندی می‌کند، نه داده را.