GoooyBijlagen bij de Standaard Verwerkersovereenkomst Gemeenten
De gemeenten sluiten verwerkersovereenkomsten op basis van de Standaard Verwerkersovereenkomst Gemeenten van de VNG en de Informatiebeveiligingsdienst (IBD), versie 2.53 van december 2025, die aansluit op GIBIT 2025. De verwerker vult twee bijlagen in:
- Bijlage 1: Overzicht van te verwerken persoonsgegevens (met de subverwerkers)
- Bijlage 2: Aantonen passend niveau van beveiliging (art. 32 AVG)
Hieronder staan beide ingevuld voor Goooy. De verwerker is wie de installatie draait
(een hostingpartij, een GR of Goooy zelf, zie privacy.md).
Wat per verwerker verschilt staat tussen «». Neem de tekst over in de bijlagen van
het VNG-model; de artikelen van de overeenkomst zelf blijven ongewijzigd.
Bijlage 1. Overzicht van te verwerken persoonsgegevens
1.1 Dienst en verwerkingen
| Onderdeel | Omschrijving |
|---|---|
| Dienst | Levering en beheer van de digitale werkplek Goooy (e-mail, agenda, contactpersonen, taken, notities, bestanden en documenten, chat, videovergaderen, formulieren, gedeelde inbox, elektronisch ondertekenen) |
| Aard van de verwerking | Opslaan, doorgeven (e-mailverkeer), beschikbaar stellen, doorzoeken, back-ups maken en terugzetten, verwijderen, op verzoek van de gemeente exporteren |
| Doel | De gemeente in staat stellen te communiceren en samen te werken bij de uitvoering van haar taken; beheer, beveiliging en continuïteit van de dienst |
| Duur | De looptijd van de hoofdovereenkomst, plus de exitperiode (1.5) |
1.2 Categorieën betrokkenen en persoonsgegevens
| Betrokkenen | Persoonsgegevens |
|---|---|
| Medewerkers, bestuurders, raadsleden | Identificatie- en contactgegevens, functie, inloggegevens (wachtwoordhash, MFA, passkeys), aanmeldtijden, IP-adressen, apparaatgegevens, agenda, berichten, bestanden, chat, deelname aan vergaderingen, beveiligingslogboek |
| Burgers, bedrijven, ketenpartners | Identificatie- en contactgegevens en de inhoud van correspondentie, bijlagen, formulieren en documenten |
| Gasten | Naam, e-mailadres, chatberichten, deelname aan vergaderingen |
Bijzondere persoonsgegevens, strafrechtelijke gegevens en het BSN: kunnen voorkomen in de inhoud die de gemeente opslaat. De verwerker bepaalt die inhoud niet en neemt er geen kennis van.
Het verwerkingsregister per module, met wat in gebruik is en de ingestelde bewaartermijnen, komt uit Beheer → Privacy (AVG) → Verwerkingsregister (CSV).
1.3 Locatie
| Onderdeel | Locatie |
|---|---|
| Verwerking en opslag | «datacenter, plaats, land» |
| Back-ups | «aanbieder, plaats, land» |
| Doorgifte buiten de EER | «Geen. De installatie draait met DATA_RESIDENCY=eu-strict, die elke verbinding buiten de goedgekeurde EU-partijen weigert.» |
1.4 Subverwerkers
| Subverwerker | Dienst | Locatie | Toegang tot persoonsgegevens |
|---|---|---|---|
| «hostingaanbieder» | Rekenkracht, opslag | «» | Versleutelde opslag, geen inhoudelijke toegang |
| «back-upaanbieder» | Back-ups op een tweede locatie | «» | Versleutelde kopie |
| «alleen indien ingeschakeld: EU-aanbieder van taalmodellen» | AI-functies op verzoek van de gebruiker | «» | De tekst die de gebruiker aanbiedt, niet bewaard |
Dezelfde lijst staat, samen met wat de software zelf aan koppelingen detecteert, in
Beheer → Privacy (AVG) → Ontvangers en subverwerkers (PRIVACY_SUBPROCESSORS).
Een nieuwe subverwerker meldt de verwerker vooraf aan de gemeente.
1.5 Bewaren, teruggeven en vernietigen
- De gemeente stelt de bewaartermijnen in (Beheer → Compliance → Bewaarbeleid). De verwerker bewaart niets langer dan de gemeente instelt, behalve in back-ups: database-dumps «7» dagen, objectkopie «aantal» dagen.
- Einde overeenkomst: de gemeente krijgt haar gegevens in open formaten (e-mail als
.eml/mbox, agenda als iCalendar, contactpersonen als vCard, documenten als ODF of OOXML, bestanden in het oorspronkelijke formaat). Daarna vernietigt de verwerker de database, de objectopslag en, na het verlopen van de bewaartermijn, de back-ups, en bevestigt dat schriftelijk. - Verzoeken van betrokkenen: de gemeente behandelt ze zelf in Beheer → Privacy (AVG); de verwerker helpt waar nodig.
1.6 Contact
| Rol | Gemeente | Verwerker |
|---|---|---|
| Contactpersoon | «» | «» (PRIVACY_PROCESSOR_CONTACT) |
| FG | «» | «» |
| Melden van beveiligingsincidenten en datalekken | «» | «» |
Bijlage 2. Aantonen passend niveau van beveiliging
2.1 Certificering en toetsing
| Onderdeel | Invulling |
|---|---|
| ISO 27001 / BIO2 | «Certificaat van de verwerker, scope, geldig tot. Een datacenter-certificaat alleen dekt de dienst niet.» |
| Pentest | «Datum, uitvoerder, samenvatting beschikbaar.» |
| Toetsing | «ISAE 3402 / 3000, TPM, of eigen verantwoording via de ENSIA-vragen» |
Welke BIO2-maatregelen de software invult en welke bij de verwerker liggen, staat in bio.md.
2.2 Maatregelen in de software
| Onderwerp | Maatregel |
|---|---|
| Toegang | Aanmelden via de IdP van de gemeente (OpenID.NLGov 1.0.1 met PKCE en private_key_jwt, of SAML), MFA verplicht te stellen per organisatie, passkeys, blokkering na mislukte pogingen, sessies en app-wachtwoorden in te trekken (sso.md, security.md) |
| Autorisatie | Rollen (systeembeheerder, organisatiebeheerder, gebruiker) en beheerrollen met beperkte rechten; alle beheerqueries per organisatie afgebakend; gasten alleen chat en vergaderen |
| Scheiding van gemeenten | Per organisatie afgebakend; voor gedeelde installaties een isolatiemodus met een eigen schema of database per organisatie (tenancy.md) |
| Transport | TLS 1.2/1.3 met HSTS; e-mail met STARTTLS, DANE en MTA-STS; alleen ECDHE AEAD-suites op poort 25; security.txt (dns.md) |
| Beveiligd mailen | Naar externen volgens NTA 7516: vertrouwde domeinen alleen over gecontroleerde TLS (MTA-STS, DANE, certificaat), anderen via een beveiligde omgeving met eenmalige code (sms of e-mail), intrekken, verlopen, elke opening gelogd (secure-mail.md) |
| Inhoud | S/MIME voor e-mail, eind-tot-eindversleuteling in chat, DLP-regels op e-mail, chat en deellinks, malwarescan en detonatie van bijlagen |
| Logging | Beveiligingslogboek van aanmeldingen (ook mislukte), beheerhandelingen, delen, delegaties, inzage door anderen en exports; niet te wijzigen of te verwijderen (databasetrigger), doorsturen naar een SIEM via syslog (audit.md) |
| Bewaren en verwijderen | Bewaarbeleid per categorie, legal hold, verwijdering tot en met de objectopslag (privacy.md) |
| Buiten de EU | DATA_RESIDENCY=eu-strict weigert verbindingen buiten de goedgekeurde EU-partijen en registreert elke weigering (data-sovereignty.md) |
| Toegankelijkheid | WCAG 2.1 AA als norm, getoetst met axe in de tests (accessibility.md) |
| Broncode | Open source (EUPL-1.2), SBOM per release, npm audit op de runtime-afhankelijkheden bij elke release (security.md) |
2.3 Maatregelen van de verwerker
«In te vullen door de verwerker.» Denk aan:
- Fysieke beveiliging en certificering van het datacenter.
- Versleuteling van opslag en back-ups; beheer van sleutels en geheimen.
- Wie beheertoegang heeft, hoe die wordt verleend en ingetrokken, en dat die toegang gelogd wordt.
- Patchbeleid: updates van Goooy en het onderliggende systeem binnen «termijn», kritieke kwetsbaarheden binnen «termijn».
- Back-ups naar een tweede aanbieder en een jaarlijkse hersteltest (operations.md).
- Monitoring en alarmering (operations.md).
- Incidentprocedure: eerste melding aan de gemeente binnen 4 uur na vaststelling, bijgewerkt binnen 48 uur, eindrapport binnen 3 weken, zodat de gemeente haar eigen termijnen onder de AVG (72 uur) en de Cyberbeveiligingswet (24 uur, 72 uur, een maand) haalt (cbw.md).
- Screening van medewerkers met beheertoegang (VOG).