Dit is een vertaling uit beleefdheid. De juridisch bindende versie is de Italiaanse; bij afwijkingen gaat de Italiaanse tekst voor.
Giffit ("de Dienst") wordt ontwikkeld en beheerd door Michele Furgeri.
Dit Privacybeleid beschrijft hoe we je persoonsgegevens verzamelen, gebruiken en
beschermen op grond van Verordening (EU) 2016/679 (AVG) en het Italiaanse
Wetsbesluit 196/2003 (Italiaanse Privacywet), zoals gewijzigd door Wetsbesluit 101/2018.
In het kort: we verzamelen alleen de gegevens die nodig zijn om Giffit te laten werken. We verkopen je gegevens niet aan derden. De geavanceerde personalisatie op basis van je surfgedrag is altijd optioneel en je kunt die op elk moment intrekken via de instellingen van de app.
1. Verwerkingsverantwoordelijke
Michele Furgeri
E-mail: info@giffit.me
Er is geen functionaris voor gegevensbescherming (FG) aangesteld. Voor vragen over je persoonsgegevens, of om je rechten uit te oefenen, kun je de Verwerkingsverantwoordelijke schrijven op het bovenstaande e-mailadres.
2. Verzamelde gegevens
Gegevens die je zelf verstrekt
- Registratiegegevens: e-mailadres, wachtwoord (niet in leesbare vorm opgeslagen — gehasht met bcrypt)
- Profielgegevens: gebruikersnaam, weergavenaam, profielfoto, geslacht, geboortedatum, interesses, negatieve voorkeuren ("dingen die je niet leuk vindt"), maten en afmetingen (optioneel)
- Maten en afmetingen: maten voor bovenkleding, broeken, ondergoed en bh's, ringmaat en schoenmaat. Elk veld is optioneel, is in het begin alleen voor jou zichtbaar en jij kiest welke contacten het mogen zien. Deze gegevens worden nooit naar aanbieders van kunstmatige intelligentie gestuurd: het model krijgt alleen te horen dat er een maat beschikbaar is, nooit de waarde ervan. We bewaren er geen geschiedenis van: alleen de huidige waarde wordt opgeslagen en latere wijzigingen overschrijven die.
- Aangemaakte inhoud: wishlists, items in wishlists, levensgebeurtenissen, chatberichten
- Relatiegegevens: connecties met andere gebruikers, verzonden en ontvangen uitnodigingen
Automatisch verzamelde gegevens
- Gebruiksgegevens: tijdstippen van inloggen, themavoorkeuren, sessielogs
- Pushtoken: apparaat-ID dat wordt gebruikt om pushmeldingen te sturen
- Diagnostische en analytische gegevens: technische foutmeldingen (voor de stabiliteit van de Dienst) en geaggregeerde, gepseudonimiseerde gebruiksstatistieken (om de Dienst te verbeteren). Gebruiksanalyse in de app staat alleen aan met je voorafgaande toestemming.
Gegevens verzameld met uitdrukkelijke toestemming (optioneel)
- Surfgegevens van de ingebouwde browser: URL, titel en beschrijving van producten die je via de ingebouwde browser van Giffit bezoekt. Deze gegevens worden uitsluitend verwerkt om de AI-cadeausuggesties te personaliseren. Ze worden nooit aan derden doorgegeven. Je kunt deze toestemming op elk moment weigeren of intrekken.
Gegevens ontvangen van inlogaanbieders (Google, Apple)
Als je ervoor kiest om in te loggen met Google of Apple, vindt de authenticatie plaats op de systemen van de aanbieder: Giffit ziet nooit het wachtwoord van je Google- of Apple-account. We ontvangen alleen:
- Google: e-mailadres (geverifieerd), naam, profielfoto en een unieke identificatie;
- Apple: e-mailadres en naam. Apple stuurt de naam alleen bij de eerste keer inloggen. Als je "Verberg mijn e-mailadres" kiest, geeft Apple een anoniem doorstuuradres (
@privaterelay.appleid.com) en blijft je echte adres onbekend voor Giffit.
Dit zijn dezelfde gegevens die je bij een registratie zou moeten opgeven, en ze worden uitsluitend gebruikt om je account aan te maken en te identificeren: de rechtsgrond is de uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG). We ontvangen niet je contacten, agenda, foto's, berichten of andere inhoud van je Google- of Apple-account, en we plaatsen nooit iets namens jou.
Google en Apple verwerken de authenticatiegegevens als zelfstandige verwerkingsverantwoordelijken, volgens hun eigen privacyverklaringen (Google, Apple). Je kunt de toegang van Giffit op elk moment intrekken via de instellingen van je Google- of Apple-account; om gegevens te wissen die Giffit al heeft, gebruik je de accountverwijdering beschreven onder "Je rechten".
3. Doeleinden en rechtsgrond van de verwerking
| Doel | Rechtsgrond (AVG) | Betrokken gegevens |
|---|---|---|
| Registratie en accountbeheer | Art. 6 lid 1 sub b — Uitvoering van een overeenkomst | E-mail, wachtwoord, profiel |
| Levering van de Dienst (wishlists, gebeurtenissen, connecties, chat) | Art. 6 lid 1 sub b — Uitvoering van een overeenkomst | Alle profielgegevens en inhoud |
| Je maten tonen aan de contacten die je hebt toegestaan | Art. 6 lid 1 sub b — Uitvoering van een overeenkomst | Maten en afmetingen (optioneel) |
| AI-cadeausuggesties op basis van je profiel | Art. 6 lid 1 sub b — Uitvoering van een overeenkomst | Interesses, voorkeuren, leeftijd, geslacht |
| Pushmeldingen en transactionele e-mails | Art. 6 lid 1 sub b — Uitvoering van een overeenkomst | Pushtoken, e-mail |
| Personalisatie van suggesties via surfgegevens | Art. 6 lid 1 sub a — Toestemming (optioneel) | URL's en beschrijvingen van bekeken producten |
| Beveiliging, voorkomen van fraude en misbruik | Art. 6 lid 1 sub f — Gerechtvaardigd belang | Toegangslogs, gebruiksgegevens |
| Verbetering van de Dienst (geaggregeerde analyse) | Art. 6 lid 1 sub f — Gerechtvaardigd belang | Anonieme/geaggregeerde gegevens |
| Naleving van wettelijke verplichtingen | Art. 6 lid 1 sub c — Wettelijke verplichting | Toestemmingslogs, door autoriteiten opgevraagde gegevens |
Verwerking op basis van gerechtvaardigd belang (art. 6 lid 1 sub f) wordt altijd afgewogen tegen de rechten van de betrokkene. Je kunt op elk moment bezwaar maken tegen zulke verwerking door contact op te nemen met de Verwerkingsverantwoordelijke.
4. Geautomatiseerde besluitvorming en AI-profilering
De Dienst gebruikt systemen van kunstmatige intelligentie om gepersonaliseerde cadeausuggesties te maken op basis van je profielgegevens (interesses, negatieve voorkeuren, geslacht, leeftijd) en — als je daarvoor toestemming hebt gegeven — de producten die je in de ingebouwde browser bekijkt. Verzoeken lopen via OpenRouter, dat ze doorstuurt naar AI-modellen van derden en daarbij eigen rekencapaciteitsleveranciers (subverwerkers) kan inschakelen. Volgens het beleid van OpenRouter wordt de inhoud van verzoeken niet gebruikt om modellen te trainen. Het gebruikte model kan in de loop van de tijd veranderen zonder dat de doeleinden van de verwerking of de categorieën betrokken gegevens wijzigen.
Zulke suggesties zijn louter indicatief en hebben geen rechtsgevolgen en treffen je ook niet anderszins in aanmerkelijke mate in de zin van art. 22 AVG. Er wordt geen bindend geautomatiseerd besluit genomen. Je hebt het recht om de resultaten aan te vechten en menselijke tussenkomst te vragen door te schrijven naar info@giffit.me.
5. Lokale opslag (AsyncStorage)
De app gebruikt AsyncStorage (lokale opslag op het apparaat) om sessievoorkeuren, authenticatietokens, thema-instellingen en toestemmingslogs te bewaren. Deze gegevens staan uitsluitend op je apparaat en worden niet aan derden doorgegeven. Ze worden automatisch verwijderd bij uitloggen of bij het verwijderen van de app.
6. Dienstverleners (subverwerkers)
Je gegevens kunnen worden verwerkt door de volgende aanbieders, met wie we passende verwerkersovereenkomsten (DPA's) hebben gesloten overeenkomstig art. 28 AVG:
| Aanbieder | Locatie | Doel | Waarborg bij doorgifte |
|---|---|---|---|
| Supabase Inc. | VS | Database, authenticatie, opslag | SCC (art. 46 lid 2 sub c AVG) |
| OpenRouter, Inc. | VS | Doorsturen van AI-verzoeken naar AI-modellen van derden; volgens het beleid van OpenRouter wordt de inhoud niet voor training gebruikt. Kan eigen rekencapaciteitsleveranciers (subverwerkers) inschakelen | SCC (art. 46 lid 2 sub c AVG) |
| Resend Inc. | VS | Transactionele e-mails | SCC (art. 46 lid 2 sub c AVG) |
| Expo / 650 Industries Inc. | VS | Distributie van de app, pushmeldingen | DPF + SCC |
| Render Services Inc. | VS | Hosting van de backend | SCC (art. 46 lid 2 sub c AVG) |
| Cloudflare Inc. | VS | Hosting van de statische website (Cloudflare Pages), CDN en DDoS-bescherming | DPF + SCC |
| Functional Software, Inc. (Sentry) | EU (Duitsland) | Foutbewaking en technische diagnostiek voor de stabiliteit van de Dienst (geen IP-adres of persoonlijke inhoud van verzoeken) | Gegevens in de EU — geen doorgifte buiten de EU |
| PostHog, Inc. | EU | Geaggregeerde, gepseudonimiseerde gebruiksanalyse om de Dienst te verbeteren (analyse in de app alleen met toestemming) | Gegevens in de EU — geen doorgifte buiten de EU |
EU-U.S. Data Privacy Framework (DPF): adequaatheidskader goedgekeurd door de
Europese Commissie bij Besluit 2023/1795 van 10 juli 2023.
Standaardcontractbepalingen (SCC): model goedgekeurd door de Europese Commissie
bij Besluit 2021/914 van 4 juni 2021.
Voor meer informatie over de toegepaste waarborgen kun je contact opnemen met de Verwerkingsverantwoordelijke.
7. Bewaartermijnen
| Gegevenscategorie | Bewaartermijn |
|---|---|
| Account- en profielgegevens | Tot de verwijdering van het account, daarna gewist binnen 30 dagen. Als je de app 30 maanden niet opent, wordt het account automatisch verwijderd, na twee waarschuwingen per e-mail na 12 en 24 maanden. |
| Onvoltooide registraties of nooit aanvaarde Voorwaarden | Automatische verwijdering: 30 dagen als de registratie nooit is afgerond, 60 dagen als de Voorwaarden nooit zijn aanvaard. |
| Surfgegevens van de ingebouwde browser | Tot 12 maanden na verzameling (of tot de toestemming wordt ingetrokken) |
| Toestemmingslogs (bewijs van aanvaarding van de Voorwaarden) | 5 jaar na aanvaarding (wettelijke bewaarplicht) |
| Beveiligings- en toegangslogs | 90 dagen |
| Chatberichten | Tot de verwijdering van het account of het gesprek |
Na verwijdering van het account worden persoonsgegevens binnen 30 dagen gewist of geanonimiseerd, met uitzondering van toestemmingslogs die om wettelijke redenen worden bewaard.
8. Je rechten
Op grond van art. 15–21 AVG heb je de volgende rechten:
- Inzage (art. 15): een kopie krijgen van de persoonsgegevens die we over je hebben en informatie over de verwerking ervan
- Rectificatie (art. 16): onjuiste gegevens corrigeren of onvolledige gegevens aanvullen
- Wissing ("recht op vergetelheid") (art. 17): je account en alle bijbehorende gegevens verwijderen — rechtstreeks beschikbaar in de app (Profiel → Instellingen → Account verwijderen)
- Beperking van de verwerking (art. 18): in bepaalde gevallen vragen om de verwerking op te schorten
- Overdraagbaarheid (art. 20): je gegevens ontvangen in een gestructureerd, machineleesbaar formaat (JSON/CSV)
- Bezwaar (art. 21): bezwaar maken tegen verwerking op basis van gerechtvaardigd belang
- Intrekking van toestemming (art. 7 lid 3): op elk moment je toestemming voor personalisatie via surfgegevens intrekken, zonder dat dit de rechtmatigheid van de verwerking vóór de intrekking aantast — rechtstreeks beschikbaar in de app (Profiel → Instellingen → Privacy)
Om je rechten uit te oefenen schrijf je naar info@giffit.me met je verzoek. We antwoorden binnen 30 dagen na ontvangst (in complexe gevallen te verlengen met nog eens 60 dagen, met opgave van de reden).
9. Minimumleeftijd
De Dienst is bedoeld voor gebruikers van minstens 16 jaar, overeenkomstig art. 8 AVG en art. 2-quinquies van Wetsbesluit 196/2003. We verzamelen niet bewust gegevens van minderjarigen onder de 16. Mochten we ontdekken dat we gegevens van een minderjarige hebben verzameld zonder toestemming van de drager van het ouderlijk gezag, dan verwijderen we die onmiddellijk.
10. Beveiliging van gegevens
We nemen de volgende technische en organisatorische maatregelen (art. 32 AVG):
- Hashing van wachtwoorden met bcrypt (saltfactor ≥ 10)
- Versleutelde verbindingen via HTTPS/TLS 1.2+
- Authenticatie op basis van JWT met vervaldatum
- Row-Level Security (RLS) op de database om gegevens per gebruiker te isoleren
- Toegang tot gegevens beperkt tot bevoegd personeel
- Regelmatige back-ups met versleuteling in rust
Bij een inbreuk in verband met persoonsgegevens die waarschijnlijk een risico inhoudt voor je rechten en vrijheden, stellen we je zonder onredelijke vertraging op de hoogte overeenkomstig art. 34 AVG. De melding aan de toezichthoudende autoriteit (art. 33 AVG) gebeurt binnen 72 uur nadat we van de inbreuk kennis hebben genomen.
11. Klachten
Je hebt het recht om een klacht in te dienen bij de Italiaanse toezichthouder voor gegevensbescherming
(Garante Privacy):
www.garanteprivacy.it
Garante per la Protezione dei Dati Personali
Piazza Venezia, 11 — 00187 Rome, Italië
Tel: +39 06.69677.1
We moedigen je wel aan om eerst contact met ons op te nemen voordat je een formele klacht indient, zodat we het probleem rechtstreeks kunnen oplossen.
12. Wijzigingen in dit Privacybeleid
We behouden ons het recht voor om dit Privacybeleid bij te werken bij wijzigingen in regelgeving, technologie of de Dienst. Wijzigingen worden ingedeeld als:
- Wezenlijke wijzigingen (nieuwe doeleinden, nieuwe aanbieders, nieuwe gegevenscategorieën): melding in de app en per e-mail met een aankondiging minstens 15 dagen vooraf. Waar nodig wordt opnieuw om toestemming gevraagd.
- Niet-wezenlijke wijzigingen (correcties, verduidelijkingen): bijwerken van de versie zonder specifieke melding.
De bijgewerkte versie is altijd beschikbaar op giffit.me/nl/privacy.html en in de app onder Profiel → Instellingen.