Versie · juli 2026

1. Toepasselijkheid

Deze verwerkersovereenkomst is van toepassing wanneer en voor zover Secret Gifters persoonsgegevens verwerkt in het kader van haar dienstverlening.

Deze verwerkersovereenkomst maakt integraal onderdeel uit van de Algemene Voorwaarden van Secret Gifters. Door gebruik te maken van de dienstverlening en/of het platform van Secret Gifters stemt de klant in met deze verwerkersovereenkomst.

2. Partijen

Secret Gifters

Secret Gifters V.O.F., gevestigd aan de Kobaltstraat 26, 2544 EV ’s-Gravenhage, ingeschreven bij de Kamer van Koophandel onder nummer 86189131 (hierna: ‘Secret Gifters’).

Klant

De natuurlijke of rechtspersoon die gebruik maakt van de dienstverlening van Secret Gifters.

3. Rollen van partijen

Bij de beoordeling van de rol van partijen is onder de AVG doorslaggevend wie het doel en de middelen van de verwerking bepaalt (artikelen 4 en 24 AVG).

Secret Gifters verwerkt persoonsgegevens in verschillende rollen, afhankelijk van de aard van de verwerking.

Klant

De klant is verwerkingsverantwoordelijke voor de persoonsgegevens die via het platform worden ingevoerd en gebruikt.

De klant is verantwoordelijk voor:

• de rechtmatigheid van de verwerking;
• de juistheid en actualiteit van de gegevens;
• het gebruik van het platform en de keuzes die daarin worden gemaakt;
• het informeren van betrokkenen;
• het beoordelen van datalekken en eventuele meldplicht;
• het afhandelen van verzoeken van betrokkenen.

Secret Gifters

Secret Gifters verwerkt persoonsgegevens:

• als verwerker in opdracht van de klant; en
• als zelfstandig verwerkingsverantwoordelijke voor verwerkingen die noodzakelijk zijn voor de inrichting, werking, beveiliging en het beheer van het platform.

Partijen beogen geen gezamenlijke verwerkingsverantwoordelijkheid in de zin van de AVG. Iedere partij is verantwoordelijk voor de verwerkingen waarvoor zij als verwerkingsverantwoordelijke optreedt.

4. Onderwerp van de verwerking

De klant gebruikt het Secret Gifters platform om cadeaus te plannen en te verzenden aan medewerkers en eventueel zakelijke relaties van klant (zoals ingehuurde krachten, zzp’ers of andere relaties). In dat kader verwerkt Secret Gifters persoonsgegevens.

5. Aard, doel en duur van de verwerking

5.1 Categorieën betrokkenen

• werknemers van de klant;
• eventueel zakelijke relaties van klant.

5.2 Categorieën persoonsgegevens

• naam (voor- en achternaam);
• contactgegevens (zoals e-mailadres en optioneel telefoonnummer);
• dienstverband en levensfasegegevens (zoals geboortedatum en datum in dienst);
• adresgegevens voor verzending.

5.3 Doeleinden van verwerking

Secret Gifters verwerkt persoonsgegevens voor:

• opslag binnen het platform;
• het plannen van waarderingsmomenten (zoals verjaardagen en jubilea);
• het genereren en uitvoeren van bestellingen;
• het delen van noodzakelijke gegevens met bezorgdiensten en leveranciers;
• optionele koppelingen met systemen van de klant (bijv. HR- of CRM-systemen).

5.4 Duur

De verwerking duurt zolang de klant gebruik maakt van het platform en eindigt uiterlijk 30 dagen na beëindiging van de overeenkomst, tenzij wettelijke verplichtingen of nog uit te voeren bestellingen een langere bewaartermijn vereisen.

6. Verplichtingen van Secret Gifters

Secret Gifters:

• verwerkt persoonsgegevens in overeenstemming met:
  • de functionaliteiten van het platform; en
  • de afspraken met de klant;
• treft passende technische en organisatorische beveiligingsmaatregelen, waaronder:
  • encryptie in transit (TLS 1.2 of hoger);
  • encryptie van gevoelige gegevens;
  • logging van toegang en wijzigingen;
  • toegangsbeperking op need-to-know-basis;
  • tweefactorauthenticatie;
  • klantisolatie binnen het platform;
  • periodieke beveiligingscontroles;
• ondersteunt de klant bij verzoeken van betrokkenen (zoals inzage, correctie en verwijdering), voor zover dit binnen het platform mogelijk is;
• stelt persoonsgegevens op verzoek beschikbaar in een gangbaar gestructureerd formaat (zoals CSV);
• verwijdert of anonimiseert persoonsgegevens na beëindiging van de dienstverlening, behoudens wettelijke bewaarplichten;
• documenteert haar handelen en genomen maatregelen en stelt deze informatie beschikbaar aan de klant, zodat de klant kan voldoen aan zijn verplichtingen onder de AVG.

7. Subverwerkers

De klant geeft algemene toestemming voor het inschakelen van subverwerkers. Secret Gifters maakt onder meer gebruik van:

Sub-verwerker	Doel	Locatie data
Airtable Inc.	Database	EU
Make.com (Celonis SE)	Procesautomatisering	EU
Shopify International Ltd.	E-commerce en betalingen	EU + VS (SCCs)
Render Inc.	Hosting en infrastructuur	EU
UptimeRobot	Monitoring	Wereldwijd
Bezorgdiensten (PostNL, DHL, vergelijkbare)	Levering van cadeaus	NL/EU

Bij wijzigingen:

• informeert Secret Gifters de klant vooraf;
• heeft de klant de mogelijkheid bezwaar te maken.

Secret Gifters ziet erop toe dat met subverwerkers passende (contractuele) verplichtingen zijn overeengekomen die voldoen aan de AVG.

8. Datalekken

Indien sprake is van een datalek:

• registreert en onderzoekt Secret Gifters het incident;
• treft Secret Gifters passende maatregelen om de impact te beperken en herhaling te voorkomen;
• informeert Secret Gifters de klant zo spoedig mogelijk en zonder onredelijke vertraging;
• verstrekt Secret Gifters de beschikbare informatie die nodig is om het datalek te beoordelen.

Secret Gifters ondersteunt de klant bij de beoordeling en afhandeling van het datalek.

Bij de beoordeling wordt vastgesteld of het datalek betrekking heeft op persoonsgegevens waarvoor de klant of Secret Gifters optreedt als verwerkingsverantwoordelijke (klant bij gebruik van het platform en de ingevoerde gegevens; Secret Gifters bij eigen systemen, beveiliging en werking van het platform).

Datalekken met klantdata (klant is verwerkingsverantwoordelijke)

Indien het datalek betrekking heeft op persoonsgegevens waarvoor de klant verwerkingsverantwoordelijke is, is de klant verantwoordelijk voor de beoordeling van de meldplicht, een eventuele melding bij de Autoriteit Persoonsgegevens en het informeren van betrokkenen.

Secret Gifters verricht in deze gevallen geen meldingen en ondersteunt de klant bij het voldoen aan diens verplichtingen. Indien uitdrukkelijk overeengekomen, kan Secret Gifters de klant ondersteunen bij het doen van een melding en deze namens de klant uitvoeren.

Datalekken met eigen data van Secret Gifters (Secret Gifters is verwerkingsverantwoordelijke)

Indien het datalek betrekking heeft op persoonsgegevens waarvoor Secret Gifters zelf verwerkingsverantwoordelijke is:

• beoordeelt Secret Gifters het risico voor betrokkenen;
• bepaalt Secret Gifters of sprake is van een meldplicht;
• verricht Secret Gifters, indien vereist, een melding bij de Autoriteit Persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen de wettelijk voorgeschreven termijn;
• informeert Secret Gifters betrokkenen indien sprake is van een hoog risico;
• legt Secret Gifters de relevante afwegingen en genomen maatregelen vast.

9. Rechten van betrokkenen

Verzoeken van betrokkenen worden in beginsel door de klant afgehandeld. Secret Gifters:

• ondersteunt de klant hierbij, voor zover technisch mogelijk;
• verwijst ontvangen verzoeken door naar de klant.

10. Audits

De klant heeft het recht om, bij een gerechtvaardigd belang, de naleving van deze overeenkomst te controleren. Secret Gifters kan dit invullen door:

• documentatie te verstrekken;
• informatie te geven over maatregelen en processen.

Fysieke audits vinden alleen plaats voor zover dit redelijk en noodzakelijk is. De kosten van een audit komen voor rekening van de klant, tenzij uit de audit blijkt dat Secret Gifters wezenlijk tekortschiet in de naleving van deze overeenkomst.

11. Aansprakelijkheid

Aansprakelijkheid uit hoofde van of in verband met deze Verwerkersovereenkomst is geregeld in de Algemene Voorwaarden.

12. Beëindiging

Na beëindiging van de overeenkomst:

• verwijdert of anonimiseert Secret Gifters persoonsgegevens binnen 30 dagen, tenzij wettelijke bewaarplichten of nog uit te voeren bestellingen een langere bewaartermijn vereisen;
• kan de klant voorafgaand aan beëindiging de gegevens exporteren;
• blijven wettelijke bewaarplichten van toepassing.

13. Toepasselijk recht

Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in Den Haag.

14. Aanvaarding

Deze Verwerkersovereenkomst wordt geacht te zijn aanvaard op het moment dat de klant de Algemene Voorwaarden van Secret Gifters via het platform accepteert (bijvoorbeeld door middel van een daarvoor bestemd selectievakje) en/of een Overeenkomst met Secret Gifters aangaat. Een afzonderlijke ondertekening van deze Verwerkersovereenkomst is niet vereist. Op verzoek kan Secret Gifters een ondertekend exemplaar beschikbaar stellen.

15. Contact