Versie 4 september 2026
In het kort
De gegevens van je medewerkers blijven 100% eigendom van jouw organisatie (de Verwerkingsverantwoordelijke). Hoeray is uitsluitend Verwerker: we gebruiken de gegevens alleen om de attenties te versturen die jij instelt en verkopen of delen ze nooit voor eigen doeleinden. Na het einde van de overeenkomst verwijderen we alle persoonsgegevens: op jouw verzoek binnen 30 dagen, en anders automatisch uiterlijk 90 dagen na het einde van de klantrelatie — alleen de financiële administratie bewaren we 7 jaar omdat de Belastingdienst dat vereist (zie Artikel 12).
1.1 Deze Verwerkersovereenkomst (hierna: “Overeenkomst”) maakt op grond van de Algemene Voorwaarden integraal deel uit van de hoofdovereenkomst tussen de volgende partijen:
Verwerkingsverantwoordelijke — de Klant: de organisatie die gebruikmaakt van de diensten van Hoeray, hierna: “Klant”.
Verwerker — Hoeray (handelsnaam van The Circle of 10 B.V.), gevestigd aan de Danzigerbocht 45S, 1013 AM Amsterdam, ingeschreven in het Handelsregister onder KvK-nummer 92475809, btw-id NL866064485B01, hierna: “Hoeray” of “Verwerker”.
Betrokkenen — de medewerkers van de Klant wier persoonsgegevens door Hoeray worden verwerkt.
1.2 Begrippen die in deze Overeenkomst met een hoofdletter worden geschreven en hier niet zijn gedefinieerd, hebben de betekenis zoals gedefinieerd in de Algemene Verordening Gegevensbescherming (AVG) dan wel in de Algemene Voorwaarden van Hoeray.
2.1 Deze Overeenkomst heeft betrekking op de verwerking van persoonsgegevens van medewerkers van de Klant door Hoeray in het kader van de hoofdovereenkomst.
2.2 De duur van deze Overeenkomst is gelijk aan de looptijd van de hoofdovereenkomst tussen partijen.
2.3 Verplichtingen uit deze Overeenkomst die naar hun aard bestemd zijn om ook na beëindiging voort te duren — waaronder in ieder geval de verplichtingen inzake geheimhouding (Artikel 5 sub b), teruggave en verwijdering (Artikel 12) en het aantonen van nakoming ten aanzien van de periode waarin verwerkt is (Artikel 11) — blijven na beëindiging van de hoofdovereenkomst van kracht totdat zij volledig zijn nagekomen.
3.1 Hoeray verwerkt persoonsgegevens van medewerkers van de Klant met als doel het op basis van HR-gegevens versturen van attenties (waaronder kaarten en bloemen) bij mijlpalen, waaronder verjaardagen, jubilea, promoties, indiensttreding en uitdiensttreding — telkens na goedkeuring door de Klant via de maandelijkse goedkeuringsronde.
3.2 De verwerking omvat het verzamelen (via de door de Klant geactiveerde HR-koppeling of handmatige invoer), opslaan, structureren, raadplegen, gebruiken en verstrekken aan de in Artikel 6 genoemde subverwerkers, voor zover noodzakelijk om de dienstverlening uit te voeren, alsmede het wissen overeenkomstig Artikel 12.
3.3 Hoeray verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Klant, tenzij een op Hoeray rustende wettelijke verplichting anders vereist; in dat geval stelt Hoeray de Klant hiervan vóór de verwerking op de hoogte, tenzij die wetgeving deze kennisgeving verbiedt.
3.4 Als gedocumenteerde instructies van de Klant gelden in ieder geval: de hoofdovereenkomst en deze Overeenkomst, de configuratie die de Klant in het dashboard vastlegt (waaronder de geactiveerde gelegenheden en attentietypes), het activeren van een HR-koppeling door de Klant, de maandelijkse goedkeuringen en afkeuringen van de Klant, en aanvullende schriftelijke (waaronder per e-mail gegeven) instructies.
3.5 Is Hoeray van mening dat een instructie van de Klant inbreuk oplevert op de AVG of op andere Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen, dan stelt Hoeray de Klant daarvan onmiddellijk in kennis en is Hoeray gerechtigd de uitvoering van die instructie op te schorten totdat partijen tot overeenstemming zijn gekomen.
4.1 De volgende categorieën persoonsgegevens worden verwerkt:
4.2 Daarnaast bewaart Hoeray namens de Klant de toegangsgegevens (credentials) voor de door de Klant geactiveerde HR-koppeling. Deze worden versleuteld opgeslagen (zie Bijlage 1) en uitsluitend gebruikt om de door de Klant geactiveerde synchronisatie uit te voeren.
4.3 De betrokkenen zijn medewerkers in dienst van de Klant. Dit omvat huidige medewerkers en, voor zover relevant voor de dienstverlening, medewerkers die recentelijk uit dienst zijn getreden.
Hoeray verbindt zich tot de volgende verplichtingen:
a) Instructies
Hoeray verwerkt persoonsgegevens uitsluitend overeenkomstig Artikel 3.
b) Geheimhouding
Hoeray waarborgt dat alle personen die onder haar gezag toegang hebben tot persoonsgegevens zich tot geheimhouding hebben verbonden of aan een passende wettelijke geheimhoudingsplicht zijn gebonden.
c) Beveiliging (art. 32 AVG)
Hoeray treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen. De actuele maatregelen zijn beschreven in Bijlage 1 (Beveiligingsmaatregelen, opgenomen in Artikel 9), die onderdeel is van deze Overeenkomst.
d) Subverwerkers
Hoeray schakelt subverwerkers uitsluitend in overeenkomstig het regime van Artikel 6.
e) Bijstand bij verzoeken van betrokkenen (art. 28 lid 3 sub e AVG)
Hoeray verleent de Klant, rekening houdend met de aard van de verwerking, bijstand door middel van passende technische en organisatorische maatregelen bij het vervullen van diens plicht om verzoeken van betrokkenen te beantwoorden (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar). Ontvangt Hoeray een dergelijk verzoek rechtstreeks van een betrokkene, dan stuurt Hoeray het onverwijld door aan de Klant en handelt Hoeray het niet zelfstandig af.
f) Bijstand bij beveiliging, datalekken, DPIA en voorafgaande raadpleging (art. 28 lid 3 sub f AVG)
Hoeray verleent de Klant, rekening houdend met de aard van de verwerking en de aan Hoeray beschikbare informatie, bijstand bij het nakomen van diens verplichtingen uit de artikelen 32 tot en met 36 AVG: beveiliging van de verwerking, melding van inbreuken aan de toezichthouder en aan betrokkenen, gegevensbeschermingseffectbeoordelingen (DPIA) én voorafgaande raadpleging van de toezichthouder (art. 36 AVG).
g) Melding van datalekken
Overeenkomstig Artikel 8.
h) Informatie en audits (art. 28 lid 3 sub h AVG)
Hoeray stelt de Klant alle informatie ter beschikking die nodig is om aan te tonen dat de verplichtingen uit artikel 28 AVG worden nagekomen, en maakt audits mogelijk overeenkomstig Artikel 11.
6.1 De Klant verleent Hoeray hierbij een algemene schriftelijke toestemming voor het inschakelen van subverwerkers voor de uitvoering van de dienstverlening.
6.2 De actuele lijst van subverwerkers is opgenomen in lid 6.6 en wordt actueel gehouden op hoeray.com/dpa.
6.3 Hoeray informeert de Klant ten minste dertig (30) dagen vóór de beoogde inzet van een nieuwe subverwerker of de vervanging van een bestaande subverwerker per e-mail aan de accounteigenaren van de Klant.
6.4 De Klant kan binnen deze termijn van dertig (30) dagen schriftelijk en gemotiveerd bezwaar maken tegen de voorgenomen wijziging. Partijen treden in dat geval in overleg over een redelijke oplossing. Wordt geen oplossing bereikt en zet Hoeray de wijziging door, dan heeft de Klant het recht de hoofdovereenkomst op te zeggen tegen de datum waarop de nieuwe subverwerker wordt ingezet, zonder gehouden te zijn aan de reguliere opzegtermijn; reeds vooruitbetaalde abonnementskosten over de periode na beëindiging worden in dat geval naar rato gerestitueerd.
6.5 Hoeray legt aan iedere subverwerker bij overeenkomst dezelfde verplichtingen inzake gegevensbescherming op als in deze Overeenkomst zijn opgenomen, in het bijzonder het bieden van afdoende garanties voor passende technische en organisatorische maatregelen. Komt de subverwerker zijn verplichtingen niet na, dan blijft Hoeray jegens de Klant volledig aansprakelijk voor de nakoming van de verplichtingen van die subverwerker.
6.6 Bij het aangaan van deze Overeenkomst zijn de volgende subverwerkers ingeschakeld:
| Subverwerker | Dienst | Vestiging/regio | Doorgiftemechanisme |
|---|---|---|---|
| Stripe | Betalingsverwerking (uitsluitend klant- en betaalgegevens) | Ierland/VS | DPF-gecertificeerd (EU-VS, inclusief UK- en Zwitserse extensie; certificering actief) |
| Print.one B.V. | Kaarten drukken en versturen | Nederland | n.v.t. (EER) |
| Fleurop Interflora Nederland B.V. | Bloembezorging | Nederland | n.v.t. (EER) |
| Neon Inc. | Databasehosting | VS-vennootschap, dataregio EU | Geen DPF — SCC's met aanvullende maatregelen op basis van een Transfer Impact Assessment, via de DPA van Neon; dataregio EU |
| Resend Inc. | E-mailbezorging (waaronder de bestelmail met ontvangergegevens aan Fleurop) | VS | DPF-gecertificeerd (EU-VS, inclusief UK-extensie) |
| Vercel Inc. | Applicatiehosting | VS-vennootschap, EU-edge-netwerk | DPF-gecertificeerd, met SCC's als contractuele terugval |
De doorgiftemechanismen in deze tabel zijn geverifieerd op 27 augustus 2026.
7.1 Hoeray draagt persoonsgegevens uitsluitend over naar landen buiten de Europese Economische Ruimte (EER) indien daarvoor een passend beschermingsniveau is gewaarborgd op basis van:
7.2 Het per subverwerker gehanteerde doorgiftemechanisme is vermeld in de tabel in Artikel 6.6. De Klant kan een kopie van de gehanteerde waarborgen opvragen via hello@hoeray.com.
8.1 Hoeray meldt een inbreuk in verband met persoonsgegevens (datalek) die de onder deze Overeenkomst verwerkte gegevens betreft zonder onredelijke vertraging, uiterlijk 72 uur na vaststelling, aan de Klant, per e-mail aan de accounteigenaren.
8.2 De melding bevat, voor zover op dat moment bekend: de aard van de inbreuk, waar mogelijk de categorieën en het geschatte aantal betrokkenen en persoonsgegevensregisters, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen, en een contactpunt voor nadere informatie. Informatie die nog niet beschikbaar is, verstrekt Hoeray in stappen zodra deze beschikbaar komt.
8.3 Hoeray documenteert alle inbreuken, ondersteunt de Klant bij een eventuele melding aan de Autoriteit Persoonsgegevens en aan betrokkenen, en meldt een inbreuk niet zelfstandig aan de toezichthouder of aan betrokkenen namens de Klant, tenzij de Klant daarom verzoekt of een wettelijke plicht van Hoeray dat vereist.
De volgende technische en organisatorische maatregelen zijn getroffen. Deze bijlage beschrijft uitsluitend maatregelen die daadwerkelijk geïmplementeerd zijn en wordt bij materiële wijziging geactualiseerd.
Versleuteling
Toegangsbeheer
Monitoring en continuïteit
Organisatorisch
10.1 Hoeray stelt de Klant op eerste verzoek alle informatie ter beschikking die redelijkerwijs nodig is om aan te tonen dat de verplichtingen uit artikel 28 AVG en deze Overeenkomst worden nagekomen.
10.2 De eerste redelijke bijstand bij de in deze Overeenkomst bedoelde verplichtingen is inbegrepen in de dienstverlening; daarvoor brengt Hoeray geen kosten in rekening. Voor bijstand die daarbovenuit stijgt (zoals omvangrijke DPIA-trajecten of herhaalde uitgebreide informatieverzoeken) kan Hoeray de werkelijke redelijke kosten in rekening brengen, mits vooraf aangekondigd.
11.1 De Klant heeft het recht om audits uit te voeren of te laten uitvoeren door een onafhankelijke, aan geheimhouding gebonden deskundige, om de naleving van deze Overeenkomst te controleren, onder de volgende voorwaarden:
11.2 Hoeray werkt aan audits mee en verstrekt de auditor de informatie die redelijkerwijs voor de audit nodig is.
12.1 Op schriftelijk verzoek van de Klant, gedaan bij of na beëindiging van de hoofdovereenkomst, zal Hoeray binnen dertig (30) dagen, naar keuze van de Klant:
12.2 Doet de Klant geen verzoek, dan verwijdert of anonimiseert Hoeray alle persoonsgegevens van betrokkenen — inclusief de bezorggegevens (ontvangernaam en bezorgadres) in de verzendhistorie — automatisch, uiterlijk negentig (90) dagen na het einde van de klantrelatie.
12.3 Hoeray bevestigt de verwijdering schriftelijk aan de Klant.
12.4 In afwijking van het voorgaande bewaart Hoeray uitsluitend de gegevens die onder de wettelijke (fiscale) bewaarplicht van zeven (7) jaar vallen: facturen, de betaal- en tegoedadministratie en de daarvoor noodzakelijke boekingsgegevens. Deze financiële administratie bevat na de verwijdering conform 12.1 of 12.2 geen ontvangernamen of bezorgadressen van betrokkenen meer.
12.5 Verwijdert de Klant tijdens de looptijd van de overeenkomst zelf gegevens van een individuele betrokkene (bijvoorbeeld na uitdiensttreding), dan verwerkt Hoeray die gegevens niet langer, behoudens de fiscale uitzondering van lid 12.4.
13.1 De aansprakelijkheid van partijen onder deze Overeenkomst is onderworpen aan de beperkingen en voorwaarden zoals opgenomen in de hoofdovereenkomst (Algemene Voorwaarden van Hoeray), met dien verstande dat niets in deze Overeenkomst de rechten van betrokkenen onder de AVG beperkt en de wettelijke aansprakelijkheidsverdeling van artikel 82 AVG onverlet blijft. Bij strijd tussen deze Overeenkomst en de Algemene Voorwaarden gaat, voor zover het schade in verband met de verwerking van persoonsgegevens betreft, deze Overeenkomst voor (artikel 2.5 van de Algemene Voorwaarden).
14.1 Hoeray kan deze Overeenkomst wijzigen, bijvoorbeeld bij gewijzigde wetgeving of gewijzigde dienstverlening. Wijzigingen worden minimaal dertig (30) dagen van tevoren per e-mail aan de Klant medegedeeld, overeenkomstig het wijzigingsartikel in de Algemene Voorwaarden. Actualisering van de subverwerkerslijst verloopt via het regime van Artikel 6.
14.2 Van iedere versie bewaart Hoeray een gedateerde kopie; eerdere versies zijn opvraagbaar via hello@hoeray.com.
15.1 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen die voortvloeien uit of verband houden met deze Overeenkomst worden voorgelegd aan de bevoegde rechter te Amsterdam.
Bijlage bij de Algemene Voorwaarden (artikel 9.4). Met deze kant-en-klare tekst informeert een werkgever (de Klant, verwerkingsverantwoordelijke) zijn medewerkers dat naam, geboortedatum en privéadres met Hoeray (verwerker) en diens bezorgpartners worden gedeeld voor het versturen van attenties. Deze modeltekst wordt via het Platform aan klanten beschikbaar gesteld.
Attenties bij bijzondere momenten — wat betekent dit voor jouw gegevens?
[Organisatienaam] laat bijzondere momenten van medewerkers niet ongemerkt voorbijgaan. Bij gelegenheden zoals verjaardagen, werkjubilea, indiensttreding en uitdiensttreding versturen wij een attentie — bijvoorbeeld een kaart of bloemen — naar je huisadres. Voor het versturen daarvan gebruiken wij Hoeray, een dienst van The Circle of 10 B.V. (hoeray.com).
Welke gegevens delen wij? Wij delen jouw naam, geboortedatum en privéadres met Hoeray. Hoeray verwerkt deze gegevens uitsluitend in onze opdracht (als verwerker onder een verwerkersovereenkomst) en deelt jouw naam en adres alleen met haar bezorgpartners — de kaartendrukkerij en de bloemist — voor zover dat nodig is om de attentie bij je te bezorgen. Hoeray gebruikt je gegevens nooit voor eigen doeleinden en verkoopt ze niet.
Op welke grondslag? Wij doen dit op grond van ons gerechtvaardigd belang als werkgever (art. 6 lid 1 sub f AVG): het tonen van waardering en persoonlijke aandacht voor onze medewerkers bij bijzondere momenten.
Hoe lang worden de gegevens bewaard? Hoeray bewaart je gegevens zolang wij van de dienst gebruikmaken. Verwijderen wij jouw gegevens uit het platform, dan verwerkt Hoeray ze niet langer. Uiterlijk 90 dagen na het einde van onze klantrelatie met Hoeray worden alle medewerkergegevens — inclusief de bezorghistorie — verwijderd of geanonimiseerd.
Jouw rechten. Wil je inzage in je gegevens, wil je ze laten corrigeren of verwijderen, of wil je liever géén attenties ontvangen? Neem dan contact op met [contactpunt HR, bijvoorbeeld hr@organisatie.nl]. Wij regelen je verzoek direct in het platform; je hoeft hiervoor niet zelf contact op te nemen met Hoeray. Ontvangt Hoeray toch rechtstreeks een verzoek van jou, dan stuurt Hoeray dat naar ons door en ondersteunt het de afhandeling.
Bezwaar. Je kunt te allen tijde bezwaar maken tegen het delen van jouw gegevens voor dit doel. Maak je bezwaar, dan zetten wij je op “geen attenties”: je gegevens worden dan niet langer voor dit doel met Hoeray en de bezorgpartners gedeeld.
Meer weten over hoe Hoeray met persoonsgegevens omgaat? Zie de privacyverklaring op hoeray.com/privacy en de verwerkersovereenkomst op hoeray.com/dpa.
Gifts on special occasions — what this means for your personal data
[Organisation name] does not let its employees’ special moments pass unnoticed. On occasions such as birthdays, work anniversaries, joining the company and leaving the company, we send a small gift — for example a card or flowers — to your home address. To send these, we use Hoeray, a service provided by The Circle of 10 B.V. (hoeray.com).
Which data do we share? We share your name, date of birth and home address with Hoeray. Hoeray processes this data solely on our instructions (as a processor under a data processing agreement) and shares your name and address only with its delivery partners — the card printer and the florist — to the extent necessary to deliver the gift to you. Hoeray never uses your data for its own purposes and never sells it.
On what legal basis? We do this on the basis of our legitimate interest as an employer (Art. 6(1)(f) GDPR): showing appreciation and personal attention to our employees on special occasions.
How long is the data kept? Hoeray keeps your data for as long as we use the service. If we delete your data from the platform, Hoeray no longer processes it. No later than 90 days after the end of our customer relationship with Hoeray, all employee data — including the delivery history — is deleted or anonymised.
Your rights. Would you like to access, correct or delete your data, or would you prefer not to receive any gifts? Please contact [HR contact point, e.g. hr@organisation.com]. We will handle your request directly in the platform; you do not need to contact Hoeray yourself. If Hoeray nevertheless receives a request directly from you, Hoeray will forward it to us and support the handling of it.
Objection. You may object at any time to the sharing of your data for this purpose. If you object, we will set you to “no gifts”: your data will then no longer be shared with Hoeray and its delivery partners for this purpose.
Want to know more about how Hoeray handles personal data? See the privacy statement at hoeray.com/privacy and the data processing agreement at hoeray.com/dpa.
Versie 4 september 2026 — vervangt versie 1.0 (maart 2026)