Privacybeleid

Surprizo is een Nederlandse dienst waarmee gebruikers verlanglijsten kunnen aanmaken en delen, kringen (groepen) van vrienden kunnen beheren, verjaardagen bijhouden, groepscadeaus coördineren en gepersonaliseerde cadeau-aanbevelingen ontvangen. Surprizo treedt op als verwerkingsverantwoordelijke voor de in dit beleid beschreven gegevensverwerking.

• Ingevoerde naam
• E-mailadres
• Geboortedatum (verplicht, voor eigen verjaardagsherinnering)
• Geslacht (optioneel)

• Titel en beschrijving van verlanglijsten en -items
• Budget-indicaties per item
• Gekoppelde productlinks (inclusief affiliatelinks)
• Aankoopstatus van items (door derden gemarkeerd als gekocht)

Je kunt contactpersonen toevoegen voor wie je cadeaus wilt kopen of waarvan je de verjaardag wilt onthouden. Dit kunnen zowel niet-Surprizo-gebruikers zijn (handmatig ingevoerd) als vrienden die je via een kring hebt toegevoegd. Van deze derden kunnen de volgende gegevens worden opgeslagen:

• Naam
• Geboortedatum
• Overige belangrijke datums (optioneel, bijv. trouwdag of jubileum)
• Relatieomschrijving (bijv. "vriend", "moeder")
• Geslacht (optioneel)
• Interesses inclusief voorkeur (leuk / niet leuk) en cadeaubudget (optioneel)
• Maten (optioneel: kledingmaat, schoenmaat, ringmaat; bij een gekoppeld contact deels overgenomen uit het profiel van die persoon, deels door jou privé aangevuld)
• Cadeau-ideeën die je bij een contact bewaart (titel, link, prijs, notitie) en cadeaugeschiedenis (welke cadeaus je eerder gaf)
• Notities (optioneel, vrij tekstveld)
• Uitnodigingsstatus: of een uitnodigingslink is verstuurd en wanneer het contact deze heeft ingevuld

Surprizo biedt de mogelijkheid om kringen aan te maken: groepen van Surprizo-gebruikers die elkaars verlanglijsten kunnen bekijken. Daarnaast kun je een mede-eigenaar (samenwerker) uitnodigen voor een specifieke verlanglijst. De volgende gegevens worden hierbij verwerkt:

• Kringnaam en optionele beschrijving
• Lidmaatschapsstatus (eigenaar / lid) en datum van toetreding
• Uitnodigingsstatus van kringleden (link verstuurd, geaccepteerd)
• Koppeling van samenwerkers (mede-eigenaren) aan een verlanglijst

Wanneer een gebruiker een groepscadeau (pool) start, wordt deze de regelaar van die pool. Surprizo slaat de volgende gegevens op voor het beheer van de pool:

• Naam van de regelaar (zichtbaar voor deelnemers op de openbare poolpagina)
• E-mailadres van de regelaar (opgeslagen als onderdeel van de pool-record; uitsluitend gebruikt voor communicatie vanuit Surprizo over de pool, zoals bevestigingen bij afronden of annuleren; niet zichtbaar voor deelnemers)
• Unieke beheertoken (organizer_token): een beveiligde sleutel waarmee de regelaar toegang krijgt tot het organizer-dashboard zonder opnieuw in te hoeven loggen. Surprizo bewaart deze token server-side; de regelaar bewaart hem client-side via localStorage in de browser. Wie de token heeft, heeft toegang tot het dashboard

Derden zonder Surprizo-account kunnen via een publieke link deelnemen aan een groepscadeau. Van deze deelnemers worden de volgende gegevens opgeslagen:

• Naam van de deelnemer (verplicht)
• E-mailadres (optioneel, uitsluitend gebruikt door Surprizo om de deelnemer per e-mail te informeren bij afsluiting van de pool). Het e-mailadres is niet zichtbaar voor de regelaar; de regelaar ziet alleen of een deelnemer een e-mailadres heeft opgegeven (ja/nee)
• Bijdragestatus: toegezegd en/of betaald (beheerd door de regelaar via het dashboard, niet geverifieerd door Surprizo)
• Optioneel bericht bij toetreding (alleen zichtbaar voor regelaar op dashboard)

De regelaar kan op het organizer-dashboard betaalinstructies opgeven. Surprizo biedt hiervoor vier specifieke opties: een Tikkie-link, een betaallink van een goedgekeurde aanbieder (Bunq, PayPal, Revolut of Wise, gevalideerd via een whitelist), een aanduiding van contante betaling, of een IBAN-nummer (vrij invulveld, bedoeld voor overmakingen). Andere betaalinstructies dan bovenstaande zijn niet mogelijk via het platform.

Deze instructies worden door Surprizo opgeslagen en uitsluitend getoond op de persoonlijke meedoener-pagina van de deelnemer, nadat de regelaar de pool als “geregeld” heeft gemarkeerd. De betaalinstructies zelf worden nooit in een e-mail opgenomen. Deelnemers met een e-mailadres ontvangen op het moment van afronden een notificatie met een persoonlijke link naar hun meedoener-pagina, waar zij de instructies kunnen inzien. Deelnemers zonder e-mailadres informeert de regelaar zelf buiten het platform. De instructies worden bewaard zolang de pool bestaat.

• Interesses (bijv. gaming, muziek, reizen, ingevoerd bij registratie of profiel)
• Gelegenheden (bijv. verjaardag, kerst, sinterklaas, ingevoerd bij registratie)
• Eigen maten (optioneel: kledingmaat, schoenmaat, ringmaat; zichtbaar voor vrienden die aan jou gekoppeld zijn, zodat zij een passend cadeau kunnen kiezen)
• Marketing-opt-in (toestemming voor tips en cadeauideeën per e-mail)

Wie een publiek gedeelde verlanglijst bekijkt, kan zonder account een vraag stellen, een suggestie achterlaten of een klein gebaar claimen. Daarbij kan worden opgeslagen:

• Het bericht dat de bezoeker zelf invult (vraag of suggestie, zichtbaar voor de lijsteigenaar)
• E-mailadres (optioneel, uitsluitend gebruikt om de bezoeker te mailen wanneer de lijsteigenaar antwoordt; niet zichtbaar voor de lijsteigenaar)
• Een anonieme bezoekerstoken zodat de "ik koop dit"-markering werkt (bevat geen persoonsgegevens; zie het cookiebeleid)

De grondslag voor deze verwerking is toestemming van de bezoeker zelf (AVG art. 6 lid 1 sub a): de bezoeker vult deze gegevens vrijwillig en op eigen initiatief in.

• Sessie-tokens (via Supabase authenticatie)
• IP-adres (technisch verwerkt door onze hostingpartijen Vercel en Supabase bij elk bezoek respectievelijk elke inlog; niet separaat opgeslagen door Surprizo)
• Tijdstip van aanmaken/wijzigen van records
• Klikgedrag op productaanbevelingen (affiliate-klikken worden server-side vastgelegd voor commissieverwerking; alleen als je analytische cookies hebt geaccepteerd wordt daarbij een tijdelijk, willekeurig sessie-ID meegestuurd om klikken binnen één bezoek te groeperen; er wordt geen persoonsgebonden profiel opgebouwd)
• Gebruiksgebeurtenissen (funnel events): stap-voor-stap acties in de app (bijv. start of voltooiing van registratie, contacttoevoeging of lijstcreatie) worden server-side vastgelegd voor productoptimalisatie. Events worden opgeslagen met een optionele verwijzing naar je account; anoniem gebruik wordt eveneens geregistreerd zonder accountkoppeling.
• Vrijwillige exitfeedback: als je je account verwijdert, kun je optioneel een reden opgeven. Deze reden wordt opgeslagen zonder koppeling aan je account of persoonsgegevens.

• Dienstverlening: het aanmaken, beheren en delen van verlanglijsten; het bijhouden van contacten en verjaardagen.
• Verjaardagsherinneringen: het automatisch versturen van e-mailherinneringen wanneer een verjaardag van een contact nadert.
• Cadeau-aanbevelingen: het tonen van gepersonaliseerde productaanbevelingen op basis van de interesses en het budget van je contacten.
• Kringen en samenwerkers: het aanmaken en beheren van groepen Surprizo-gebruikers (kringen) zodat leden elkaars verlanglijsten kunnen bekijken; het uitnodigen van mede-eigenaren (samenwerkers) voor een specifieke verlanglijst.
• Groepscadeaus: het faciliteren van gezamenlijke cadeau-aankopen via een pool-systeem. Deelnemersgegevens worden verwerkt zodat de regelaar bijdragen kan bijhouden. Betaling regelen deelnemers zelf buiten het platform om.
• Transactionele e-mails: bevestigingen, welkomstberichten, accountgerelateerde communicatie via Resend.
• Beveiliging & fraude­preventie: het detecteren van misbruik en het beschermen van je account.
• Productverbetering: het analyseren van gebruikspatronen (funnel events) en vrijwillige exitfeedback om knelpunten in de app te herkennen en de gebruikerservaring te verbeteren. Dit gebeurt uitsluitend op basis van geaggregeerde of geanonimiseerde gegevens.
• Winacties: het bepalen van deelname (verdiende lootjes op basis van je activiteit) en het trekken van een winnaar bij periodieke winacties. Zie de algemene voorwaarden, artikel 15.

Surprizo verwerkt persoonsgegevens uitsluitend op basis van een van de volgende rechtsgrondslagen:

Contactpersonen in Surprizo hebben geen eigen account. Hun gegevens worden verwerkt in het kader van de dienst die Surprizo aan jou als gebruiker levert. Er zijn drie manieren waarop gegevens van derden bij Surprizo terechtkomen:

Beperkt gebruik door Surprizo: de gegevens van je contacten worden uitsluitend gebruikt om jou de dienst te kunnen verlenen (herinneringen, aanbevelingen). Ze worden nooit voor andere doeleinden gebruikt, niet gedeeld met derden, en niet gebruikt voor profilering of marketing gericht op die contactpersonen.

Surprizo maakt gebruik van de volgende derde partijen die namens Surprizo persoonsgegevens verwerken (verwerkers):

Supabase Inc., Resend en Vercel Inc. zijn gevestigd in de Verenigde Staten. De EER doorgifte vindt bij beide partijen plaats op grond van door de Europese Commissie goedgekeurde Standard Contractual Clauses (SCC's).

Surprizo slaat geen persoonsgegevens op op servers buiten de EER anders dan via bovengenoemde verwerkers. De database draait op Supabase in de EU-regio West EU (Ierland, eu-west-1).

Op grond van de AVG heb je de volgende rechten:

Om een verzoek in te dienen, neem je contact op via het e-mailadres vermeld in artikel 12. Surprizo reageert binnen 30 dagen op je verzoek. In complexe gevallen kan deze termijn eenmalig met 60 dagen worden verlengd.

Heb je een klacht over de manier waarop Surprizo met je persoonsgegevens omgaat? Neem dan eerst contact met ons op (zie artikel 12). We lossen het graag samen op.

Ben je niet tevreden met onze reactie, dan heb je het recht een klacht in te dienen bij de toezichthoudende autoriteit:

Surprizo kan dit privacybeleid van tijd tot tijd aanpassen, bijvoorbeeld als de dienst wordt uitgebreid, wetgeving wijzigt, of nieuwe verwerkers worden ingeschakeld. De meest recente versie is altijd beschikbaar op deze pagina.

Bij wezenlijke wijzigingen zullen wij je informeren via e-mail of een melding in de applicatie, minimaal 30 dagen vóór inwerkingtreding.

Voor vragen, verzoeken of opmerkingen over dit privacybeleid: