Verwerkersovereenkomst

Gebruik je Goldmary voor je administratie, dan verwerkt Goldmary persoonsgegevens voor jou, bijvoorbeeld van je klanten. Deze overeenkomst regelt hoe.

Versie 1.0, 28 september 2026.

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van Goldmary. Ze geldt automatisch voor elk account, ook als je Goldmary gratis gebruikt. Je hoeft niets te tekenen.

Ze geldt tussen:

jou, de ondernemer die Goldmary gebruikt: de verwerkingsverantwoordelijke;
Het Accu Huis B.V. (KvK 88977757), die Goldmary aanbiedt: de verwerker.

Een vraag over deze overeenkomst stuur je naar hello@goldmary.eu.

1. Onderwerp en duur

Als je Goldmary gebruikt, zet je persoonsgegevens in de app, bijvoorbeeld van je klanten. Goldmary verwerkt die gegevens voor jou, zoals bedoeld in artikel 28 van de AVG.
Deze overeenkomst loopt zolang je een account hebt. Daarna loopt ze door zolang Goldmary nog gegevens van je heeft (zie artikel 10).

2. Welke gegevens, van wie

Je klanten en hun contactpersonen: naam, bedrijfsnaam, adres, e-mailadres, telefoonnummer, KvK- en btw-nummer, IBAN en klantreferentie.
Mensen die je toegang geeft tot een administratie: e-mailadres, rol en passkeys.
Jijzelf: naam, e-mailadres en de gegevens van je bedrijf, zoals je IBAN.
Iedereen die op een bon, factuur of offerte staat: wat er op de bon of in het bestand staat dat je uploadt, en wat je zelf in een factuur of offerte zet.
Wie een offerte van je accepteert via een link: naam, functie als die is ingevuld, het moment van akkoord en het IP-adres.

Goldmary is niet bedoeld voor bijzondere persoonsgegevens, zoals gegevens over iemands gezondheid, en niet voor burgerservicenummers. Zet die er niet in.

3. Doel

Goldmary verwerkt de gegevens alleen om de dienst te leveren: je administratie bijhouden, facturen en offertes maken en versturen, bonnen bewaren, overzichten en aangiftes voorbereiden en je helpen als je een vraag hebt. Goldmary gebruikt ze niet voor eigen doelen of voor reclame, en verkoopt ze niet.

Goldmary houdt een kort technisch logboek bij om fouten en misbruik te vinden. Daar staat geen inhoud van je administratie in.

4. Instructies

Goldmary volgt je instructies. Die geef je door hoe je de app gebruikt, en met deze overeenkomst.
Vindt Goldmary dat een instructie in strijd is met de AVG, dan laten we je dat direct weten.
Moet Goldmary gegevens afgeven omdat de wet dat eist, dan laten we je dat vooraf weten, tenzij de wet dat verbiedt.
Vraag je iets wat de app niet doet, dan doen we dat alleen als we het samen afspreken. We mogen daar redelijke kosten voor vragen.

5. Geheimhouding en toegang

Iedereen die voor Goldmary bij je gegevens kan, heeft een geheimhoudingsplicht. Die toegang is beperkt tot wie hem nodig heeft voor beheer of om je te helpen.
Goldmary kijkt alleen in je administratie als jij daarom vraagt, om een storing of een beveiligingsprobleem op te lossen, om misbruik te voorkomen of te stoppen, of als de wet dat van ons vraagt.
Alleen de eigen beheerders van Goldmary kunnen bij het Cloudflare-account waarin Goldmary draait.

6. Beveiliging

Goldmary neemt passende technische en organisatorische maatregelen. Op dit moment zijn dat:

de database en de bestanden staan in de EU, bij Cloudflare (D1 en R2 met EU-jurisdictie);
elke verbinding met de site en de app is versleuteld (TLS);
Cloudflare slaat de database en de bestanden versleuteld op, sleutels voor een betaalkoppeling versleutelt Goldmary daarnaast zelf, en van een sessie bewaart Goldmary alleen een hash;
je logt in met een passkey of met een inloglink die één keer werkt en na 15 minuten verloopt;
elke administratie is afgeschermd: alleen de eigenaar en de mensen die de eigenaar toegang geeft, zien de gegevens;
Cloudflare bewaart herstelpunten van de database, hooguit 30 dagen;
er is een procedure voor datalekken (artikel 8).

Goldmary mag deze maatregelen aanpassen, zolang de beveiliging daardoor niet minder wordt.

7. Subverwerkers

Je geeft Goldmary algemene toestemming om subverwerkers in te zetten, zoals artikel 28, lid 2, van de AVG dat toestaat. Welke dat zijn, wat ze krijgen en waar het staat, lees je in de bijlage.
De bijlage noemt ook subverwerkers die nu nog uit staan: Storecove, Mollie, Stripe en de KvK-API. Met deze overeenkomst kondigen we ze aan. Goldmary mag ze aanzetten zonder nieuwe aankondiging en zonder wachttermijn. Heb je bezwaar tegen een van hen, dan kun je dat nu al maken.
Komt er een subverwerker bij die niet in de bijlage staat, dan melden we dat minstens 14 dagen vooraf per e-mail of in de app, en op deze pagina.
Heb je een gegrond bezwaar tegen een subverwerker, mail dan naar hello@goldmary.eu. Kunnen we het bezwaar niet wegnemen, dan kun je de overeenkomst opzeggen.
Goldmary legt elke subverwerker minstens dezelfde plichten op als in deze overeenkomst, en blijft tegenover jou verantwoordelijk voor die subverwerkers.
Gaan gegevens buiten de Europese Economische Ruimte, dan alleen met een geldige grondslag, zoals een adequaatheidsbesluit of de standaardcontractbepalingen van de Europese Commissie.

8. Datalekken

Ontdekt Goldmary een datalek met je gegevens, dan laten we je dat zonder onredelijke vertraging weten. We streven naar een melding binnen 48 uur.
We geven je de informatie die je nodig hebt om het lek binnen 72 uur bij de Autoriteit Persoonsgegevens te melden: wat er gebeurde, welke gegevens, hoeveel mensen, de gevolgen en wat we eraan deden.
De melding bij de Autoriteit Persoonsgegevens, en aan de betrokkenen als dat nodig is, doe jij als verwerkingsverantwoordelijke. Goldmary helpt je daarbij.

9. Rechten van betrokkenen

Vraagt een klant van je om inzage, correctie of verwijdering, dan regel je dat meestal zelf in Goldmary. Lukt dat niet, dan helpen we je. Komt zo'n verzoek bij Goldmary binnen, dan sturen we het naar je door. Goldmary helpt je ook bij een gegevensbeschermingseffectbeoordeling (DPIA) of bij een vraag van de Autoriteit Persoonsgegevens, als je daarbij hulp nodig hebt. Kost die hulp meer dan een kleine inspanning, dan mogen we de redelijke kosten in rekening brengen, tenzij je de hulp nodig hebt door een fout van ons.

10. Einde: teruggeven en verwijderen

Zolang je account bestaat, kun je je gegevens downloaden, zoals je auditfile en je facturen. Wil je stoppen, download dan eerst wat je nodig hebt: als ondernemer heb je een bewaarplicht van zeven jaar.
Je wist je account zelf in de app, onder Instellingen en Account. Goldmary wist dan je login, sessies, passkeys en persoonsgegevens, en elke administratie waarvan jij de enige gebruiker bent, met de bonnen en het logo. De herstelpunten van de database verlopen daarna binnen 30 dagen.
Eindigt de overeenkomst op een andere manier, dan kun je daarna nog 30 dagen je gegevens downloaden. Daarna wist Goldmary ze.
Moet Goldmary iets bewaren omdat de wet dat eist, dan bewaren we alleen dat.

11. Audit

Op verzoek laat Goldmary zien dat het deze overeenkomst naleeft, eerst met documentatie, zoals een beschrijving van de beveiliging en de certificaten van Cloudflare en Microsoft.
Is dat niet genoeg, dan mag een onafhankelijke auditor met een geheimhoudingsplicht een audit doen. Dat kan hooguit één keer per jaar, met 30 dagen aankondiging, tijdens kantooruren en zonder de dienst te verstoren.
De kosten van een audit zijn voor jou, ook de redelijke kosten van de tijd die Goldmary eraan besteedt.

12. Aansprakelijkheid

Voor de aansprakelijkheid tussen jou en Goldmary gelden de algemene voorwaarden, ook voor schade onder de AVG. Dat verandert niets aan de rechten die betrokkenen zelf hebben onder artikel 82 van de AVG.

13. Rangorde, wijzigingen en recht

Spreken deze overeenkomst en de algemene voorwaarden elkaar tegen over persoonsgegevens, dan gaat deze overeenkomst voor.
Goldmary mag deze overeenkomst wijzigen zoals de algemene voorwaarden dat regelen: minstens 30 dagen vooraf per e-mail of in de app, en je kunt opzeggen voordat de wijziging ingaat. Een wijziging die de wet ons oplegt, mag eerder ingaan. De datum van de laatste versie staat op deze pagina.
Op deze overeenkomst is Nederlands recht van toepassing. Voor geschillen geldt de rechter die de algemene voorwaarden aanwijzen.

Bijlage: subverwerkers

Deze partijen krijgen gegevens uit Goldmary. De lijst volgt wat de code vandaag doet. Wat nu uit staat, staat er ook bij, met die status.

Subverwerkers die nu meedoen

Cloudflare, Inc. Staat aan

Waarvoor
Draait de site en de app (Workers). Slaat de database (D1) en de bestanden op, zoals bonnen en logo's (R2). Maakt de antwoorden van de assistent op de site en van de hulp in de app (Workers AI). Het bonnen-mailadres (Email Routing) staat nog niet aan.
Welke gegevens
Alles wat in Goldmary staat. Voor de assistent en de hulp: je vraag en het gesprek.
Waar
De database en de bestanden staan in de EU (EU-jurisdictie van Cloudflare). Een bezoek komt binnen op de dichtstbijzijnde server van Cloudflare, ook buiten de EU. Workers AI draait niet gegarandeerd in de EU.
Buiten de EU
Cloudflare, Inc. is een Amerikaans bedrijf. Voor doorgifte buiten de EU gelden de standaardcontractbepalingen van de Europese Commissie uit de verwerkersovereenkomst van Cloudflare.
Microsoft Ireland Operations Limited Staat aan

Waarvoor
Ontvangt de mail aan hello@goldmary.eu (Microsoft 365) en verstuurt de mail van de app, zoals facturen, offertes en herinneringen, vanaf no.reply.invoice@goldmary.eu.
Welke gegevens
Naam en e-mailadres van de ontvanger, de tekst van de mail en de bijlage, zoals de factuur als pdf. Bij een mail aan hello@goldmary.eu: wat je ons schrijft.
Waar
Microsoft Ireland Operations Limited, in Ierland, is onze contractpartij voor Microsoft 365.
Buiten de EU
Komen gegevens buiten de EU, bijvoorbeeld als Microsoft zelf een storing onderzoekt, dan gelden de standaardcontractbepalingen van de Europese Commissie uit de verwerkersovereenkomst van Microsoft (het Products and Services Data Protection Addendum). Die hoort bij elk Microsoft 365-abonnement.

Subverwerkers die nu uit staan

De code is er, maar de functie staat nu uit. Artikel 7 kondigt deze partijen aan: Goldmary mag ze aanzetten zonder nieuwe aankondiging. Bezwaar maken kan nu al.

Storecove Staat nu uit

Waarvoor
Verstuurt e-facturen over het Peppol-netwerk.
Welke gegevens
De factuur met de gegevens van jou en je klant: naam, adres, KvK- en btw-nummer, e-mailadres, IBAN en de factuurregels.
Waar
Leggen we vast voordat Peppol aangaat.
Mollie B.V. Staat nu uit

Waarvoor
Een betaallink op je factuur, als je je eigen Mollie-account koppelt.
Welke gegevens
Wat nodig is om de betaling klaar te zetten, zoals het bedrag. Wie betaalt, vult de rest bij Mollie in.
Waar
Mollie zit in Nederland.
Stripe Payments Europe, Limited Staat nu uit

Waarvoor
Een betaallink op je factuur, als je je eigen Stripe-account koppelt.
Welke gegevens
Wat nodig is om de betaling klaar te zetten, zoals het bedrag. Wie betaalt, vult de rest bij Stripe in.
Waar
Stripe Payments Europe zit in Ierland.
Buiten de EU
Stripe geeft gegevens door aan Stripe, Inc. in de VS. Daarvoor gelden de standaardcontractbepalingen uit de verwerkersovereenkomst van Stripe.
Kamer van Koophandel (KvK-API) Staat nu uit

Waarvoor
Zoekt een bedrijf op in het Handelsregister als je bij een nieuwe klant de KvK-zoekfunctie gebruikt.
Welke gegevens
Wat je intypt: een bedrijfsnaam of een KvK-nummer.
Waar
Nederland.

Openbare registers die de app raadpleegt

Dit zijn geen subverwerkers. De app vraagt er iets op en krijgt openbare gegevens terug.

PDOK (Kadaster) Staat aan

Waarvoor
Vult straat en plaats in als je in de app een postcode en huisnummer intypt.
Welke gegevens
Alleen de postcode en het huisnummer.
Waar
Nederland. PDOK is een dienst van de overheid.

Welke gegevens Goldmary over jou zelf heeft, staat op de privacypagina.