Ugovor o obradi osobnih podataka

3D Print Manager · verzija 1.0 · vrijedi od 25. rujna 2026.

Ovaj ugovor uređuje obradu osobnih podataka koju dD Tech kao izvršitelj obrade obavlja u ime korisnika usluge 3D Print Manager kao voditelja obrade. Primjenjuje se kada korisnik u uslugu unosi osobne podatke drugih osoba, osobito svojih kupaca u narudžbama i radnim nalozima te članova svog tima. Sastavni je dio Uvjeta korištenja.

Ugovor čine Standardne ugovorne klauzule iz Provedbene odluke Komisije (EU) 2021/915 (EUR-Lex), preuzete doslovno. Odabrane su opcije za Uredbu (EU) 2016/679 i opće pisano odobrenje podizvršitelja obrade. Prilozi I. do IV. popunjeni su za ovu uslugu.

Voditelj obrade može na info@ddtech.hr zatražiti primjerak ovog ugovora koji je potpisao izvršitelj obrade. O izmjeni priloga, uključujući novog podizvršitelja obrade, obavještavamo voditelje obrade e-poštom najmanje 30 dana unaprijed.

ODJELJAK I.

Klauzula 1.: Svrha i područje primjene

(a) Svrha je ovih Standardnih ugovornih klauzula (dalje u tekstu: „Klauzule”) osiguravanje usklađenosti s člankom 28. stavcima 3. i 4. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka).

(b) Voditelji obrade i izvršitelji obrade s popisa u Prilogu I. suglasili su se s ovim Klauzulama kako bi se osigurala usklađenost s člankom 28. stavcima 3. i 4. Uredbe (EU) 2016/679 i/ili člankom 29. stavcima 3. i 4. Uredbe (EU) 2018/1725.

(c) Ove se Klauzule primjenjuju na obradu osobnih podataka kako je navedeno u Prilogu II.

(d) Prilozi od I. do IV. čine sastavni dio Klauzula.

(e) Ovim se Klauzulama ne dovode u pitanje obveze voditelja obrade iz Uredbe (EU) 2016/679 i/ili Uredbe (EU) 2018/1725.

(f) Ove Klauzule same po sebi ne osiguravaju usklađenost s obvezama povezanima s međunarodnim prijenosima iz poglavlja V. Uredbe (EU) 2016/679 i/ili Uredbe (EU) 2018/1725.

Klauzula 2.: Nepromjenjivost Klauzula

(a) Stranke se obvezuju da neće mijenjati Klauzule, osim radi dodavanja informacija u priloge ili ažuriranja informacija u njima.

(b) To ne sprječava stranke da uključe standardne ugovorne klauzule iz ovih Klauzula u širi ugovor ili da dodaju druge klauzule ili dodatne zaštitne mjere, pod uvjetom da one izravno ili neizravno ne proturječe Klauzulama te da ne dovode u pitanje temeljna prava ili slobode ispitanika.

Klauzula 3.: Tumačenje

(a) Ako se u ovim Klauzulama upotrebljavaju termini definirani u Uredbi (EU) 2016/679 odnosno Uredbi (EU) 2018/1725, ti termini imaju isto značenje kao i u tim uredbama.

(b) Ove se Klauzule tumače u svjetlu odredaba Uredbe (EU) 2016/679 odnosno Uredbe (EU) 2018/1725.

(c) Ove se Klauzule ne smiju tumačiti na način koji je protivan pravilima i obvezama iz Uredbe (EU) 2016/679 / Uredbe (EU) 2018/1725 ili na način kojim se dovode u pitanje temeljna prava ili slobode ispitanika.

Klauzula 4.: Hijerarhija

U slučaju proturječnosti između ovih Klauzula i odredaba povezanih sporazuma između Stranaka koji postoje u trenutku kada su ove Klauzule dogovorene ili su sklopljeni nakon toga, ove Klauzule imaju prednost.

Klauzula 5. – neobavezna: Klauzula o pristupanju

(a) Svaki subjekt koji nije Stranka ovih Klauzula može, ako se sve stranke s time slažu, pristupiti ovim Klauzulama u bilo kojem trenutku kao voditelj obrade ili kao izvršitelj obrade, popunjavanjem prilogâ i potpisivanjem Priloga I.

(b) Nakon što su prilozi iz točke (a) popunjeni i potpisani, subjekt koji pristupa smatra se Strankom ovih Klauzula i ima prava i obveze voditelja obrade ili izvršitelja obrade, u skladu s imenovanjem iz Priloga I.

(c) Subjekt koji pristupa nema prava ni obveze koje proizlaze iz ovih Klauzula za razdoblje prije nego što je postao Stranka.

ODJELJAK II. OBVEZE STRANAKA

Klauzula 6.: Opis obrade

Detalji postupaka obrade, a posebno kategorije osobnih podataka i svrhe za koje se osobni podaci obrađuju u ime voditelja obrade, navode se u Prilogu II.

Klauzula 7.: Obveze Stranaka

7.1. Upute

(a) Izvršitelj obrade obrađuje osobne podatke samo prema dokumentiranim uputama voditelja obrade, osim ako to nalaže pravo Unije ili pravo države članice kojem podliježe izvršitelj obrade. U tom slučaju izvršitelj obrade obavješćuje voditelja obrade o tom pravnom zahtjevu prije obrade, osim ako se pravom to zabranjuje zbog važnih razloga od javnog interesa. Voditelj obrade može dati daljnje upute tijekom cijelog trajanja obrade osobnih podataka. Te upute uvijek moraju biti zabilježene.

(b) Izvršitelj obrade odmah obavješćuje voditelja obrade ako izvršitelj obrade smatra da se uputama voditelja obrade krše Uredba (EU) 2016/679 / Uredba (EU) 2018/1725 ili primjenjive odredbe Unije ili države članice o zaštiti podataka.

7.2. Ograničavanje svrhe

Izvršitelj obrade obrađuje osobne podatke samo za svrhe obrade koje su navedene u Prilogu II., osim ako od voditelja obrade dobije daljnje upute.

7.3. Trajanje obrade osobnih podataka

Obrada koju obavlja izvršitelj obrade traje samo onoliko dugo koliko je navedeno u Prilogu II.

7.4. Sigurnost obrade

(a) Kako bi se zajamčila sigurnost osobnih podataka, izvršitelj obrade primjenjuje barem tehničke i organizacijske mjere navedene u Prilogu III. To obuhvaća zaštitu podataka od kršenja sigurnosti koje vodi do slučajnog ili nezakonitog uništenja, gubitka, promjene, neovlaštenog otkrivanja ili pristupa podacima (povreda osobnih podataka). Pri ocjenjivanju odgovarajuće razine sigurnosti Stranke moraju voditi računa o tehnologiji, troškovima provedbe, prirodi, opsegu, kontekstu i svrhama obrade te rizicima za ispitanike.

(b) Izvršitelj obrade daje pristup osobnim podacima koji se obrađuju svojem osoblju samo u mjeri u kojoj je to nužno kako bi se proveo ugovor, upravljalo ugovorom i nadzirao ugovor. Izvršitelj obrade osigurava da su se osobe ovlaštene za obradu zaprimljenih osobnih podataka obvezale na poštovanje povjerljivosti ili da podliježu zakonskim obvezama o povjerljivosti.

7.5. Osjetljivi podaci

Ako obrada uključuje otkrivanje osobnih podataka koji otkrivaju rasno ili etničko podrijetlo, politička mišljenja, vjerska ili filozofska uvjerenja ili članstvo u sindikatu, genetske ili biometrijske podatke u svrhu jedinstvene identifikacije fizičke osobe, podatke koji se odnose na zdravlje ili spolni život ili seksualnu orijentaciju pojedinca, ili kaznene osude i kažnjiva djela („osjetljivi podaci”), izvršitelj obrade primjenjuje posebna ograničenja i/ili dodatne zaštitne mjere.

7.6. Dokumentacija i poštovanje obveza

(a) Stranke moraju moći dokazati da poštuju ove Klauzule.

(b) Izvršitelj obrade mora bez odgode i na odgovarajući način reagirati na upite voditelja obrade o obradi podataka u skladu s ovim Klauzulama.

(c) Izvršitelj obrade stavlja voditelju obrade na raspolaganje sve informacije koje su potrebne za dokazivanje poštovanja obveza iz ovih Klauzula i koje proizlaze izravno iz Uredbe (EU) 2016/679 i/ili Uredbe (EU) 2018/1725. Na zahtjev voditelja obrade izvršitelj obrade dopušta revizije aktivnosti obrade obuhvaćenih ovim Klauzulama te doprinosi tim revizijama, u razumnim intervalima ili ako postoje naznake kršenja obveza. Pri odluci o preispitivanju ili reviziji voditelj obrade može uzeti u obzir relevantne certifikate izvršitelja obrade.

(d) Voditelj obrade može odlučiti da će reviziju provesti sam ili je povjeriti neovisnom revizoru. Revizije mogu također obuhvaćati inspekcije u prostorijama ili fizičkim objektima izvršitelja obrade i, prema potrebi, obavljati se uz prethodnu obavijest u razumnom roku.

(e) Na zahtjev nadležnog nadzornog tijela/nadležnih nadzornih tijela, stranke tom tijelu/tim tijelima stavljaju na raspolaganje informacije iz ove Klauzule, uključujući i rezultate eventualnih revizija.

7.7. Angažiranje podizvršitelja obrade

(a) OPĆE PISANO ODOBRENJE: Izvršitelj obrade ima opće odobrenje voditelja obrade da može angažirati podizvršitelje obrade s popisa koji je voditelj odobrio. Izvršitelj obrade posebno, u pisanom obliku, najmanje 30 dana unaprijed obavještava voditelja obrade o svim izmjenama tog popisa ako namjerava dodati ili zamijeniti podizvršitelje obrade, kako bi voditelj obrade imao dovoljno vremena da podnese prigovor prije angažiranja predmetnog podizvršitelja obrade. Izvršitelj obrade pruža voditelju obrade informacije koje su mu potrebne da bi mogao ostvariti svoje pravo na prigovor.

(b) Ako izvršitelj obrade angažira drugog podizvršitelja obrade za izvođenje određenih aktivnosti obrade (u ime voditelja obrade), za to mora s podizvršiteljem obrade sklopiti ugovor kojim se podizvršitelj obvezuje da u suštini ima iste obveze zaštite podataka kao i izvršitelj obrade u skladu s ovim Klauzulama. Izvršitelj obrade mora osigurati da podizvršitelj obrade poštuje obveze kojima podliježe izvršitelj obveze u skladu s ovim Klauzulama te Uredbom (EU) 2016/679 i/ili Uredbom (EU) 2018/1725.

(c) Izvršitelj obrade na zahtjev voditelja obrade stavlja voditelju obrade na raspolaganje kopiju ugovora s podizvršiteljem obrade i sve naknadne izmjene tog ugovora. Izvršitelj obrade smije, u mjeri u kojoj je to potrebno da bi se zaštitile poslovne tajne i druge povjerljive informacije te osobni podaci, izbrisati dijelove teksta ugovora prije stavljanja kopije na raspolaganje.

(d) Izvršitelj obrade ostaje u potpunosti odgovoran prema voditelju obrade za izvršavanje obveza podizvršitelja obrade u skladu s njegovim ugovorom s izvršiteljem obrade. Izvršitelj obrade obavješćuje voditelja obrade o svakom nepostupanju podizvršitelja obrade u skladu s ugovornim obvezama.

(e) Izvršitelj obrade s podizvršiteljem obrade ugovara klauzulu u korist treće strane, u kojoj se navodi da ako izvršitelj obrade u praksi nestane, pravno prestane postojati ili postane nesolventan, voditelj obrade ima pravo raskinuti ugovor s podizvršiteljem obrade i naložiti podizvršitelju obrade da izbriše ili vrati osobne podatke.

7.8. Međunarodni prijenos podataka

(a) Ako izvršitelj obrade prenosi bilo kakve podatke trećoj zemlji ili međunarodnoj organizaciji, to smije učiniti samo na temelju dokumentiranih uputa voditelja obrade ili ako je to potrebno radi ispunjavanja određene odredbe prava Unije ili prava države članice kojem izvršitelj obrade podliježe, a taj se prijenos obavlja u skladu s poglavljem V. Uredbe (EU) 2016/679 ili Uredbe (EU) 2018/1725.

(b) Voditelj obrade se slaže da ako izvršitelj obrade angažira podizvršitelja obrade u skladu s Klauzulom 7.7. radi izvršavanja određenih aktivnosti obrade (u ime voditelja obrade) i te aktivnosti obrade uključuju prijenos osobnih podataka u smislu poglavlja V. Uredbe (EU) 2016/679, izvršitelj obrade i podizvršitelj obrade mogu osigurati usklađenost s poglavljem V. Uredbe (EU) 2016/679 upotrebom standardnih ugovornih klauzula koje je donijela Komisija u skladu s člankom 46. stavkom 2. Uredbe (EU) 2016/679, pod uvjetom da su ispunjeni uvjeti za upotrebu tih standardnih ugovornih klauzula.

Klauzula 8.: Pomoć voditelju obrade

(a) Izvršitelj obrade odmah obavješćuje voditelja obrade o svakom zahtjevu koji zaprimi od ispitanika. Izvršitelj obrade sam ne odgovara na taj zahtjev, osim ako ga za to ne ovlasti voditelj obrade.

(b) Izvršitelj obrade pomaže voditelju obrade u ispunjavanju njegovih obveza da odgovori na zahtjeve ispitanika da ostvare svoja prava, uzimajući u obzir prirodu obrade. Pri ispunjavanju svojih obveza u skladu s točkama (a) i (b) izvršitelj obrade pridržava se uputa voditelja obrade.

(c) Uz obvezu da pomaže voditelju obrade u skladu s Klauzulom 8. točkom (b), izvršitelj obrade pomaže voditelju obrade i u osiguravanju usklađenosti sa sljedećim obvezama, uzimajući u obzir prirodu obrade i informacije koje su dostupne izvršitelju obrade:

(1) obveza provođenja procjene učinka predviđenih postupaka obrade na zaštitu osobnih podataka („procjena učinka na zaštitu podataka”) kada je vjerojatno da će vrsta obrade prouzročiti visok rizik za prava i slobode fizičkih osoba;

(2) obveza savjetovanja s nadležnim nadzornim tijelom/nadležnim nadzornim tijelima prije obrade ako procjena učinka na zaštitu podataka pokazuje da bi, u slučaju da voditelj obrade ne donese mjere za ublažavanje rizika, obrada dovela do visokog rizika;

(3) obveza osiguravanja da su osobni podaci točni i ažurni, obavješćivanjem voditelja obrade bez odgode ako izvršitelj obrade sazna da su osobni podaci koji se obrađuju netočni ili zastarjeli;

(4) obveze iz članka 32. Uredbe (EU) 2016/679.

(d) Stranke u Prilogu III. utvrđuju odgovarajuće tehničke i organizacijske mjere s pomoću kojih izvršitelj obrade pomaže voditelju obrade u primjeni ove Klauzule te opseg i razmjere potrebne pomoći.

Klauzula 9.: Izvješćivanje o povredi osobnih podataka

U slučaju povrede osobnih podataka izvršitelj obrade surađuje s voditeljem obrade i pomaže mu u poštovanju obveza iz članaka 33. i 34. Uredbe (EU) 2016/679 ili članaka 34. i 35. Uredbe (EU) 2018/1725, ovisno što je primjenjivo, uzimajući u obzir prirodu obrade i informacije koje su dostupne izvršitelju obrade.

9.1. Povreda podataka koja se odnosi na podatke koje obrađuje voditelj obrade

U slučaju povrede osobnih podataka koja se odnosi na podatke koje obrađuje voditelj obrade, izvršitelj obrade pomaže voditelju obrade:

(a) u obavješćivanju nadležnog nadzornog tijela/nadležnih nadzornih tijela o povredi osobnih podataka, bez nepotrebne odgode nakon što je voditelj obrade za tu povredu saznao, prema potrebi/(osim ako nije vjerojatno da će ta povreda osobnih podataka prouzročiti rizik za prava i slobode fizičkih osoba);

(b) u dobivanju sljedećih informacija koje se, u skladu s člankom 33. stavkom 3. Uredbe (EU) 2016/679, navode u obavijesti voditelja obrade i moraju uključivati barem:

(1) prirodu osobnih podataka, uključujući, ako je to moguće, kategorije i približan broj ispitanika o kojima je riječ te kategorije i približan broj evidencija osobnih podataka o kojima je riječ;

(2) vjerojatne posljedice povrede osobnih podataka;

(3) mjere koje je voditelj obrade poduzeo ili predložio poduzeti za rješavanje problema povrede osobnih podataka, uključujući prema potrebi mjere umanjivanja njezinih mogućih štetnih posljedica.

Ako nije moguće istodobno pružiti sve te informacije, i u onoj mjeri u kojoj to nije moguće, početna obavijest sadržava informacije koje su u tom trenutku dostupne, a daljnje informacije se, bez nepotrebne odgode, šalju kada postanu dostupne.

(c) u poštovanju, u skladu s člankom 34. Uredbe (EU) 2016/679, obveze da se ispitanika bez nepotrebne odgode obavijesti o povredi osobnih podataka, ako je vjerojatno da će ta povreda osobnih podataka prouzročiti visok rizik za prava i slobode fizičkih osoba.

9.2. Povreda podataka koja se odnosi na podatke koje obrađuje izvršitelj obrade

U slučaju povrede osobnih podataka koja se odnosi na podatke koje obrađuje izvršitelj obrade, izvršitelj obrade nakon što sazna za povredu osobnih podataka o tome bez nepotrebnog odgađanja obavještava voditelja obrade. Ta obavijest sadržava barem:

(a) opis prirode povrede (uključujući, ako je moguće, kategorije i približan broj ispitanika i evidencija podataka o kojima je riječ);

(b) podatke o kontaktnoj točki gdje se može dobiti više informacija o povredi osobnih podataka;

(c) vjerojatne posljedice povrede i mjere koje su poduzete ili predložene za rješavanje problema povrede, uključujući mjere za umanjivanje njezinih mogućih štetnih posljedica.

U Prilogu III. stranke utvrđuju sve druge elemente koje izvršitelj obrade treba staviti na raspolaganje kada pomaže voditelju obrade da ispuni obveze voditelja obrade iz članka 33. i članka 34. Uredbe (EU) 2016/679.

ODJELJAK III. ZAVRŠNE ODREDBE

Klauzula 10.: Neusklađenost s Klauzulama i raskid

(a) Ne dovodeći u pitanje odredbe Uredbe (EU) 2016/679 i/ili Uredbe (EU) 2018/1725, ako izvršitelj obrade prekrši obveze iz ovih Klauzula, voditelj obrade može naložiti izvršitelju obrade da prekine obradu osobnih podataka dok izvršitelj obrade ne osigura pridržavanje ovih Klauzula ili do raskida ugovora. Izvršitelj obrade bez odgode obavješćuje voditelja obrade ako se zbog bilo kojeg razloga ne može pridržavati ovih Klauzula.

(b) Voditelj obrade ima pravo raskinuti ugovor u mjeri u kojoj se to odnosi na obradu osobnih podataka u skladu s ovim Klauzulama ako je:

(1) voditelj obrade u skladu s točkom (a) prekinuo izvršitelja obrade u obradi osobnih podataka i ako usklađenost s ovim Klauzulama nije uspostavljena u razumnom vremenskom razdoblju, a u svakom slučaju u roku od mjesec dana nakon prekida;

(2) izvršitelj obrade znatno ili uporno krši ove Klauzule ili svoje obveze iz Uredbe (EU) 2016/679 i/ili Uredbe (EU) 2018/1725;

(3) izvršitelj obrade ne poštuje obvezujuću odluku nadležnog suda ili nadležnog nadzornog tijela/nadležnih nadzornih tijela koja se odnosi na njegove obveze iz ovih Klauzula ili Uredbe (EU) 2016/679 i/ili Uredbe (EU) 2018/1725.

(c) Izvršitelj obrade smije raskinuti ugovor u mjeri u kojoj se to odnosi na obradu osobnih podataka u skladu s ovim Klauzulama ako, nakon što je obavijestio voditelja obrade da njegove upute krše primjenjive pravne zahtjeve iz Klauzule 7.1. točke (b), voditelj obrade ustrajava na poštovanju tih uputa.

(d) Nakon raskida ugovora izvršitelj obrade mora, prema izboru voditelja obrade, izbrisati sve osobne podatke koje je obrađivao u ime voditelja obrade i potvrditi voditelju obrade da je to učinio, ili vratiti voditelju obrade sve osobne podatke i izbrisati sve kopije, osim ako je pravom Unije ili države članice propisana obveza pohrane osobnih podataka. Dok se podaci ne izbrišu ili ne vrate, izvršitelj obrade nastavlja osiguravati usklađenost s ovim Klauzulama.

PRILOG I. Popis stranaka

Voditelj obrade

Ime i kontaktni podaci: korisnik usluge 3D Print Manager, vlasnik korisničkog računa, s podacima navedenim u korisničkom računu.
Aktivnosti povezane s podacima koji se prenose: vođenje narudžbi, radnih naloga, ponuda i računa te rad tima u usluzi 3D Print Manager.
Potpis i datum pristupanja: prihvaćanjem Uvjeta korištenja pri narudžbi ili korištenju usluge. Primjerak koji je potpisao izvršitelj obrade dostavlja se na zahtjev.
Uloga: voditelj obrade.

Izvršitelj obrade

Ime i kontaktni podaci: dD Tech, obrt za proizvodnju i usluge, vl. Damir Druško, Vrtna ulica 24, 42202 Trnovec Bartolovečki, Hrvatska, OIB 60172908285, info@ddtech.hr, +385 95 398 2442. Službenik za zaštitu podataka nije imenovan jer obveza iz članka 37. Uredbe (EU) 2016/679 ne postoji; kontakt za zaštitu podataka je info@ddtech.hr.
Aktivnosti povezane s podacima koji se prenose: pružanje usluge 3D Print Manager.
Potpis i datum pristupanja: objavom ovog ugovora uz Uvjete korištenja.
Uloga: izvršitelj obrade.

PRILOG II. Opis obrade

Kategorije ispitanika

kupci voditelja obrade (fizičke osobe i kontaktne osobe pravnih osoba) čiji se podaci unose u narudžbe i radne naloge, ručno ili uvozom iz web trgovine voditelja obrade;
članovi tima voditelja obrade koje je voditelj obrade pozvao u uslugu.

Kategorije osobnih podataka

kupci: ime i prezime ili naziv, adresa e-pošte, naziv tvrtke, porezni broj ili PDV identifikacijski broj, država; podaci o narudžbi (izvor i broj narudžbe u trgovini, dostavna služba, cijena dostave, napomene); radni nalozi (model, količine, cijene); ponude i računi u PDF-u;
članovi tima: adresa e-pošte, uloga, naziv organizacije i zapis aktivnosti (e-pošta osobe koja je radnju izvršila, radnja, predmet, vrijeme).

Osjetljivi podaci

Ne obrađuju se. Voditelj obrade ne unosi posebne kategorije osobnih podataka ni podatke o kaznenim osudama, uključujući u polja za napomene.

Priroda obrade

Pohrana i prikaz podataka; izrada ponuda i računa u PDF-u; na nalog voditelja obrade (plan FARM Connect): slanje ponuda i računa e-poštom kupcima voditelja obrade, uvoz narudžbi iz web trgovine voditelja obrade (WooCommerce, PrestaShop, Shopify) i prijenos podataka o kupcu u Minimax račun voditelja obrade; izrada sigurnosnih kopija; brisanje.

Svrha obrade

Pružanje usluge 3D Print Manager voditelju obrade prema Uvjetima korištenja.

Trajanje obrade

Za vrijeme trajanja korisničkog računa. Zapisi aktivnosti tima brišu se nakon 90 dana, a najviše 500 zapisa po farmi. Brisanjem korisničkog računa podaci se brišu odmah, uključujući ponude i račune u PDF-u i dnevnike integracija, a iz sigurnosnih kopija nestaju u roku od 14 dana. Kupci i narudžbe koje voditelj obrade izbriše u usluzi brišu se odmah, zajedno s radnim nalozima i dokumentima narudžbe, a iz sigurnosnih kopija nestaju u istom roku. Dnevnici integracija s uključenim načinom za otklanjanje grešaka brišu se s korisničkim računom, a zapisi u njima najkasnije nakon 90 dana.

PRILOG III. Tehničke i organizacijske mjere

Lokacija: poslužitelji, baza podataka, datoteke i sigurnosne kopije nalaze se kod podizvršitelja iz Priloga IV., u Europskoj uniji. Osobni podaci iz ovog ugovora ne prenose se izvan EGP-a.
Šifriranje u prijenosu: usluga je dostupna preko HTTPS-a (TLS), a otvaranje aplikacije preko http:// preusmjerava se na https://.
Autentikacija: lozinke se pohranjuju samo kao jednosmjerni hash (PHP password_hash); token trajne prijave vrijedi najviše 30 dana; poveznica za pozivnicu u tim vrijedi 14 dana.
Odvajanje podataka: svaki upit nad podacima ograničen je na korisnički račun kojem podaci pripadaju; pristup tuđim podacima automatski se testira.
Kontrola pristupa u timu: uloge vlasnik, upravitelj, operater i promatrač; promatrač može samo čitati, a ovlasti se provjeravaju na poslužitelju.
Datoteke: ponude i računi u PDF-u pohranjeni su u mapi kojoj poslužitelj zabranjuje izravan pristup s interneta.
Osoblje: pristup poslužitelju i bazi podataka ima samo vlasnik obrta, koji podliježe obvezi povjerljivosti. Radna kopija baze za razvoj i testiranje čuva se na računalu vlasnika obrta u Hrvatskoj.
Sigurnosne kopije: dnevna kopija baze podataka, čuva se 14 dana, u okviru istog hosting paketa.
Obavijest o povredi (Klauzula 9.): izvršitelj obrade obavještava voditelja obrade e-poštom na adresu korisničkog računa bez nepotrebne odgode, a najkasnije u roku od 48 sati nakon što sazna za povredu, s podacima iz Klauzule 9.2.
Pomoć voditelju obrade (Klauzula 8.): voditelj obrade podatke o kupcima i narudžbama može sam pregledati, ispraviti i izbrisati u usluzi. Na zahtjev poslan na info@ddtech.hr izvršitelj obrade dostavlja podatke o kupcima i narudžbama u strojno čitljivom obliku u roku od 30 dana.
Kraj obrade (Klauzula 10. točka (d)): voditelj obrade prije brisanja računa može zatražiti povrat podataka kao u prethodnoj točki; brisanjem računa podaci se brišu kako je navedeno u Prilogu II.

PRILOG IV. Popis podizvršitelja obrade

Plus Hosting Grupa d.o.o. (Optima Hosting), Valturska 82, 52100 Pula, Hrvatska, OIB 25444746329. Opis obrade: smještaj poslužitelja, baze podataka i datoteka, sigurnosne kopije te poslužitelj za odlaznu e-poštu kojim se kupcima voditelja obrade šalju ponude i računi. Lokacija: Europska unija.

Web trgovina i Minimax račun koje voditelj obrade poveže s uslugom njegove su vlastite usluge i nisu podizvršitelji izvršitelja obrade. Stripe (naplata pretplate), Google Analytics (posjećenost stranica i web aplikacije, samo uz pristanak) i Anthropic (prepoznavanje boja filamenta iz naziva boje) ne primaju osobne podatke obuhvaćene ovim ugovorom.

Data Processing Agreement

3D Print Manager · version 1.0 · effective 25 September 2026

This agreement governs the processing of personal data that dD Tech, as processor, carries out on behalf of the user of the 3D Print Manager service as controller. It applies whenever the user enters personal data of other people into the service, in particular their customers in orders and work orders and the members of their team. It forms part of the Terms of Use.

The agreement consists of the Standard Contractual Clauses of Commission Implementing Decision (EU) 2021/915 (EUR-Lex), reproduced verbatim. The options for Regulation (EU) 2016/679 and for general written authorisation of sub-processors are selected. Annexes I to IV are completed for this service.

A controller may request a copy signed by the processor at info@ddtech.hr. We notify controllers by email at least 30 days in advance of any change to the annexes, including a new sub-processor.

SECTION I

Clause 1: Purpose and scope

(a) The purpose of these Standard Contractual Clauses (the Clauses) is to ensure compliance with Article 28(3) and (4) of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation).

(b) The controllers and processors listed in Annex I have agreed to these Clauses in order to ensure compliance with Article 28(3) and (4) of Regulation (EU) 2016/679 and/or Article 29(3) and (4) of Regulation (EU) 2018/1725.

(c) These Clauses apply to the processing of personal data as specified in Annex II.

(d) Annexes I to IV are an integral part of the Clauses.

(e) These Clauses are without prejudice to obligations to which the controller is subject by virtue of Regulation (EU) 2016/679 and/or Regulation (EU) 2018/1725.

(f) These Clauses do not by themselves ensure compliance with obligations related to international transfers in accordance with Chapter V of Regulation (EU) 2016/679 and/or Regulation (EU) 2018/1725.

Clause 2: Invariability of the Clauses

(a) The Parties undertake not to modify the Clauses, except for adding information to the Annexes or updating information in them.

(b) This does not prevent the Parties from including the standard contractual clauses laid down in these Clauses in a broader contract, or from adding other clauses or additional safeguards provided that they do not directly or indirectly contradict the Clauses or detract from the fundamental rights or freedoms of data subjects.

Clause 3: Interpretation

(a) Where these Clauses use the terms defined in Regulation (EU) 2016/679 or Regulation (EU) 2018/1725 respectively, those terms shall have the same meaning as in that Regulation.

(b) These Clauses shall be read and interpreted in the light of the provisions of Regulation (EU) 2016/679 or Regulation (EU) 2018/1725 respectively.

(c) These Clauses shall not be interpreted in a way that runs counter to the rights and obligations provided for in Regulation (EU) 2016/679 / Regulation (EU) 2018/1725 or in a way that prejudices the fundamental rights or freedoms of the data subjects.

Clause 4: Hierarchy

In the event of a contradiction between these Clauses and the provisions of related agreements between the Parties existing at the time when these Clauses are agreed or entered into thereafter, these Clauses shall prevail.

Clause 5 - Optional: Docking clause

(a) Any entity that is not a Party to these Clauses may, with the agreement of all the Parties, accede to these Clauses at any time as a controller or a processor by completing the Annexes and signing Annex I.

(b) Once the Annexes in (a) are completed and signed, the acceding entity shall be treated as a Party to these Clauses and have the rights and obligations of a controller or a processor, in accordance with its designation in Annex I.

(c) The acceding entity shall have no rights or obligations resulting from these Clauses from the period prior to becoming a Party.

SECTION II OBLIGATIONS OF THE PARTIES

Clause 6: Description of processing(s)

The details of the processing operations, in particular the categories of personal data and the purposes of processing for which the personal data is processed on behalf of the controller, are specified in Annex II.

Clause7: Obligations of the Parties

7.1. Instructions

(a) The processor shall process personal data only on documented instructions from the controller, unless required to do so by Union or Member State law to which the processor is subject. In this case, the processor shall inform the controller of that legal requirement before processing, unless the law prohibits this on important grounds of public interest. Subsequent instructions may also be given by the controller throughout the duration of the processing of personal data. These instructions shall always be documented.

(b) The processor shall immediately inform the controller if, in the processor’s opinion, instructions given by the controller infringe Regulation (EU) 2016/679 / Regulation (EU) 2018/1725 or the applicable Union or Member State data protection provisions.

7.2. Purpose limitation

The processor shall process the personal data only for the specific purpose(s) of the processing, as set out in Annex II, unless it receives further instructions from the controller.

7.3. Duration of the processing of personal data

Processing by the processor shall only take place for the duration specified in Annex II.

7.4. Security of processing

(a) The processor shall at least implement the technical and organisational measures specified in Annex III to ensure the security of the personal data. This includes protecting the data against a breach of security leading to accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access to the data (personal data breach). In assessing the appropriate level of security, the Parties shall take due account of the state of the art, the costs of implementation, the nature, scope, context and purposes of processing and the risks involved for the data subjects.

(b) The processor shall grant access to the personal data undergoing processing to members of its personnel only to the extent strictly necessary for implementing, managing and monitoring of the contract. The processor shall ensure that persons authorised to process the personal data received have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality.

7.5. Sensitive data

If the processing involves personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union membership, genetic data or biometric data for the purpose of uniquely identifying a natural person, data concerning health or a person’s sex life or sexual orientation, or data relating to criminal convictions and offences (“sensitive data”), the processor shall apply specific restrictions and/or additional safeguards.

7.6. Documentation and compliance

(a) The Parties shall be able to demonstrate compliance with these Clauses.

(b) The processor shall deal promptly and adequately with inquiries from the controller about the processing of data in accordance with these Clauses.

(c) The processor shall make available to the controller all information necessary to demonstrate compliance with the obligations that are set out in these Clauses and stem directly from Regulation (EU) 2016/679 and/or Regulation (EU) 2018/1725. At the controller’s request, the processor shall also permit and contribute to audits of the processing activities covered by these Clauses, at reasonable intervals or if there are indications of non-compliance. In deciding on a review or an audit, the controller may take into account relevant certifications held by the processor.

(d) The controller may choose to conduct the audit by itself or mandate an independent auditor. Audits may also include inspections at the premises or physical facilities of the processor and shall, where appropriate, be carried out with reasonable notice.

(e) The Parties shall make the information referred to in this Clause, including the results of any audits, available to the competent supervisory authority/ies on request.

7.7. Use of sub-processors

(a) GENERAL WRITTEN AUTHORISATION: The processor has the controller’s general authorisation for the engagement of sub-processors from an agreed list. The processor shall specifically inform in writing the controller of any intended changes of that list through the addition or replacement of sub-processors at least 30 days in advance, thereby giving the controller sufficient time to be able to object to such changes prior to the engagement of the concerned sub-processor(s). The processor shall provide the controller with the information necessary to enable the controller to exercise the right to object.

(b) Where the processor engages a sub-processor for carrying out specific processing activities (on behalf of the controller), it shall do so by way of a contract which imposes on the sub-processor, in substance, the same data protection obligations as the ones imposed on the data processor in accordance with these Clauses. The processor shall ensure that the sub-processor complies with the obligations to which the processor is subject pursuant to these Clauses and to Regulation (EU) 2016/679 and/or Regulation (EU) 2018/1725.

(c) At the controller’s request, the processor shall provide a copy of such a sub-processor agreement and any subsequent amendments to the controller. To the extent necessary to protect business secret or other confidential information, including personal data, the processor may redact the text of the agreement prior to sharing the copy.

(d) The processor shall remain fully responsible to the controller for the performance of the sub-processor’s obligations in accordance with its contract with the processor. The processor shall notify the controller of any failure by the sub-processor to fulfil its contractual obligations.

(e) The processor shall agree a third party beneficiary clause with the sub-processor whereby - in the event the processor has factually disappeared, ceased to exist in law or has become insolvent - the controller shall have the right to terminate the sub-processor contract and to instruct the sub-processor to erase or return the personal data.

7.8. International transfers

(a) Any transfer of data to a third country or an international organisation by the processor shall be done only on the basis of documented instructions from the controller or in order to fulfil a specific requirement under Union or Member State law to which the processor is subject and shall take place in compliance with Chapter V of Regulation (EU) 2016/679 or Regulation (EU) 2018/1725.

(b) The controller agrees that where the processor engages a sub-processor in accordance with Clause 7.7. for carrying out specific processing activities (on behalf of the controller) and those processing activities involve a transfer of personal data within the meaning of Chapter V of Regulation (EU) 2016/679, the processor and the sub-processor can ensure compliance with Chapter V of Regulation (EU) 2016/679 by using standard contractual clauses adopted by the Commission in accordance with of Article 46(2) of Regulation (EU) 2016/679, provided the conditions for the use of those standard contractual clauses are met.

Clause 8: Assistance to the controller

(a) The processor shall promptly notify the controller of any request it has received from the data subject. It shall not respond to the request itself, unless authorised to do so by the controller.

(b) The processor shall assist the controller in fulfilling its obligations to respond to data subjects’ requests to exercise their rights, taking into account the nature of the processing. In fulfilling its obligations in accordance with (a) and (b), the processor shall comply with the controller’s instructions

(c) In addition to the processor’s obligation to assist the controller pursuant to Clause 8(b), the processor shall furthermore assist the controller in ensuring compliance with the following obligations, taking into account the nature of the data processing and the information available to the processor:

(1) the obligation to carry out an assessment of the impact of the envisaged processing operations on the protection of personal data (a ‘data protection impact assessment’) where a type of processing is likely to result in a high risk to the rights and freedoms of natural persons;

(2) the obligation to consult the competent supervisory authority/ies prior to processing where a data protection impact assessment indicates that the processing would result in a high risk in the absence of measures taken by the controller to mitigate the risk;

(3) the obligation to ensure that personal data is accurate and up to date, by informing the controller without delay if the processor becomes aware that the personal data it is processing is inaccurate or has become outdated;

(4) the obligations in Article 32 of Regulation (EU) 2016/679.

(d) The Parties shall set out in Annex III the appropriate technical and organisational measures by which the processor is required to assist the controller in the application of this Clause as well as the scope and the extent of the assistance required.

Clause 9: Notification of personal data breach

In the event of a personal data breach, the processor shall cooperate with and assist the controller for the controller to comply with its obligations under Articles 33 and 34 of Regulation (EU) 2016/679 or under Articles 34 and 35 of Regulation (EU) 2018/1725, where applicable, taking into account the nature of processing and the information available to the processor.

9.1 Data breach concerning data processed by the controller

In the event of a personal data breach concerning data processed by the controller, the processor shall assist the controller:

(a) in notifying the personal data breach to the competent supervisory authority/ies, without undue delay after the controller has become aware of it, where relevant/(unless the personal data breach is unlikely to result in a risk to the rights and freedoms of natural persons);

(b) in obtaining the following information which, pursuant to Article 33(3) of Regulation (EU) 2016/679, shall be stated in the controller’s notification, and must at least include:

(1) the nature of the personal data including where possible, the categories and approximate number of data subjects concerned and the categories and approximate number of personal data records concerned;

(2) the likely consequences of the personal data breach;

(3) the measures taken or proposed to be taken by the controller to address the personal data breach, including, where appropriate, measures to mitigate its possible adverse effects.

Where, and insofar as, it is not possible to provide all this information at the same time, the initial notification shall contain the information then available and further information shall, as it becomes available, subsequently be provided without undue delay.

(c) in complying, pursuant to Article 34 of Regulation (EU) 2016/679, with the obligation to communicate without undue delay the personal data breach to the data subject, when the personal data breach is likely to result in a high risk to the rights and freedoms of natural persons.

9.2 Data breach concerning data processed by the processor

In the event of a personal data breach concerning data processed by the processor, the processor shall notify the controller without undue delay after the processor having become aware of the breach. Such notification shall contain, at least:

(a) a description of the nature of the breach (including, where possible, the categories and approximate number of data subjects and data records concerned);

(b) the details of a contact point where more information concerning the personal data breach can be obtained;

(c) its likely consequences and the measures taken or proposed to be taken to address the breach, including to mitigate its possible adverse effects.

The Parties shall set out in Annex III all other elements to be provided by the processor when assisting the controller in the compliance with the controller’s obligations under Articles 33 and 34 of Regulation (EU) 2016/679.

SECTION III FINAL PROVISIONS

Clause 10: Non-compliance with the Clauses and termination

(a) Without prejudice to any provisions of Regulation (EU) 2016/679 and/or Regulation (EU) 2018/1725, in the event that the processor is in breach of its obligations under these Clauses, the controller may instruct the processor to suspend the processing of personal data until the latter complies with these Clauses or the contract is terminated. The processor shall promptly inform the controller in case it is unable to comply with these Clauses, for whatever reason.

(b) The controller shall be entitled to terminate the contract insofar as it concerns processing of personal data in accordance with these Clauses if:

(1) the processing of personal data by the processor has been suspended by the controller pursuant to point (a) and if compliance with these Clauses is not restored within a reasonable time and in any event within one month following suspension;

(2) the processor is in substantial or persistent breach of these Clauses or its obligations under Regulation (EU) 2016/679 and/or Regulation (EU) 2018/1725;

(3) the processor fails to comply with a binding decision of a competent court or the competent supervisory authority/ies regarding its obligations pursuant to these Clauses or to Regulation (EU) 2016/679 and/or Regulation (EU) 2018/1725.

(c) The processor shall be entitled to terminate the contract insofar as it concerns processing of personal data under these Clauses where, after having informed the controller that its instructions infringe applicable legal requirements in accordance with Clause 7.1 (b), the controller insists on compliance with the instructions.

(d) Following termination of the contract, the processor shall, at the choice of the controller, delete all personal data processed on behalf of the controller and certify to the controller that it has done so, or, return all the personal data to the controller and delete existing copies unless Union or Member State law requires storage of the personal data. Until the data is deleted or returned, the processor shall continue to ensure compliance with these Clauses.

ANNEX I List of parties

Controller

Name and contact details: the user of the 3D Print Manager service, owner of the account, with the details held in the account.
Activities relevant to the data transferred: managing orders, work orders, quotes and invoices, and team work in the 3D Print Manager service.
Signature and accession date: by accepting the Terms of Use when ordering or using the service. A copy signed by the processor is provided on request.
Role: controller.

Processor

Name and contact details: dD Tech, obrt za proizvodnju i usluge, owner Damir Druško, Vrtna ulica 24, 42202 Trnovec Bartolovečki, Croatia, OIB 60172908285, info@ddtech.hr, +385 95 398 2442. No data protection officer is appointed because the obligation under Article 37 of Regulation (EU) 2016/679 does not apply; the data protection contact is info@ddtech.hr.
Activities relevant to the data transferred: providing the 3D Print Manager service.
Signature and accession date: by publishing this agreement with the Terms of Use.
Role: processor.

ANNEX II Description of the processing

Categories of data subjects

customers of the controller (natural persons and contact persons of legal persons) whose data is entered into orders and work orders, manually or by import from the controller's web shop;
members of the controller's team invited into the service by the controller.

Categories of personal data

customers: name or company name, email address, company, tax or VAT identification number, country; order details (shop source and order number, courier, shipping price, notes); work orders (model, quantities, prices); quotes and invoices as PDF;
team members: email address, role, organisation name and activity log (email of the person who acted, action, subject, time).

Sensitive data

None is processed. The controller does not enter special categories of personal data or data relating to criminal convictions, including in note fields.

Nature of the processing

Storage and display of data; creating quotes and invoices as PDF; on the controller's instruction (FARM Connect plan): emailing quotes and invoices to the controller's customers, importing orders from the controller's web shop (WooCommerce, PrestaShop, Shopify) and transferring customer data to the controller's Minimax account; backups; deletion.

Purpose of the processing

Providing the 3D Print Manager service to the controller under the Terms of Use.

Duration of the processing

For as long as the account exists. Team activity records are deleted after 90 days, with at most 500 records per farm. When the account is deleted, the data is deleted immediately, including PDF quotes and invoices and integration logs, and disappears from backups within 14 days. Customers and orders the controller deletes in the service are deleted immediately, together with the order's work orders and documents, and disappear from backups within the same period. Integration logs written in debug mode are deleted with the account, and their entries after 90 days at the latest.

ANNEX III Technical and organisational measures

Location: servers, database, files and backups are hosted by the sub-processor in Annex IV, in the European Union. Personal data under this agreement is not transferred outside the EEA.
Encryption in transit: the service is available over HTTPS (TLS), and opening the application over http:// redirects to https://.
Authentication: passwords are stored only as a one-way hash (PHP password_hash); a remember-me token is valid for at most 30 days; a team invitation link is valid for 14 days.
Separation of data: every query is limited to the account the data belongs to; access to other accounts' data is tested automatically.
Access control within a team: roles owner, manager, operator and viewer; a viewer can only read, and permissions are checked on the server.
Files: PDF quotes and invoices are stored in a folder that the server does not serve directly to the internet.
Personnel: only the owner of the business, who is bound by confidentiality, has access to the server and the database. A working copy of the database for development and testing is kept on the owner's computer in Croatia.
Backups: daily database backup, kept for 14 days, within the same hosting package.
Breach notification (Clause 9): the processor notifies the controller by email to the account address without undue delay and no later than 48 hours after becoming aware of a breach, with the information listed in Clause 9.2.
Assistance to the controller (Clause 8): the controller can view, correct and delete customer and order data in the service. On a request sent to info@ddtech.hr the processor provides customer and order data in a machine-readable format within 30 days.
End of processing (Clause 10(d)): before deleting the account the controller may request the return of data as in the previous point; deleting the account deletes the data as set out in Annex II.

ANNEX IV List of sub-processors

Plus Hosting Grupa d.o.o. (Optima Hosting), Valturska 82, 52100 Pula, Croatia, OIB 25444746329. Processing: hosting of servers, database and files, backups, and the outgoing mail server used to send quotes and invoices to the controller's customers. Location: European Union.

The web shop and the Minimax account a controller connects to the service are the controller's own services and are not sub-processors of the processor. Stripe (subscription billing), Google Analytics (traffic on the pages and the web application, only with consent) and Anthropic (recognising filament colours from a colour name) receive no personal data covered by this agreement.

Auftragsverarbeitungsvertrag

3D Print Manager · Version 1.0 · gültig ab 25. September 2026

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten, die dD Tech als Auftragsverarbeiter im Auftrag des Nutzers des Dienstes 3D Print Manager als Verantwortlichem durchführt. Er gilt, sobald der Nutzer personenbezogene Daten anderer Personen in den Dienst eingibt, insbesondere seiner Kunden in Bestellungen und Arbeitsaufträgen sowie seiner Teammitglieder. Er ist Bestandteil der Nutzungsbedingungen.

Der Vertrag besteht aus den Standardvertragsklauseln des Durchführungsbeschlusses (EU) 2021/915 der Kommission (EUR-Lex) im Wortlaut. Gewählt sind die Optionen für die Verordnung (EU) 2016/679 und für die allgemeine schriftliche Genehmigung von Unterauftragsverarbeitern. Die Anhänge I bis IV sind für diesen Dienst ausgefüllt.

Der Verantwortliche kann unter info@ddtech.hr ein vom Auftragsverarbeiter unterzeichnetes Exemplar anfordern. Über Änderungen der Anhänge, einschließlich eines neuen Unterauftragsverarbeiters, informieren wir die Verantwortlichen mindestens 30 Tage im Voraus per E-Mail.

ABSCHNITT I

Klausel 1: Zweck und Anwendungsbereich

(a) Mit diesen Standardvertragsklauseln (im Folgenden „Klauseln“) soll die Einhaltung von Artikel 28 Absätze 3 und 4 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) sichergestellt werden.

(b) Die in Anhang I aufgeführten Verantwortlichen und Auftragsverarbeiter haben diesen Klauseln zugestimmt, um die Einhaltung von Artikel 28 Absätze 3 und 4 der Verordnung (EU) 2016/679 und/oder Artikel 29 Absätze 3 und 4 der Verordnung (EU) 2018/1725 zu gewährleisten.

(c) Diese Klauseln gelten für die Verarbeitung personenbezogener Daten gemäß Anhang II.

(d) Die Anhänge I bis IV sind Bestandteil der Klauseln.

(e) Diese Klauseln gelten unbeschadet der Verpflichtungen, denen der Verantwortliche gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 unterliegt.

(f) Diese Klauseln stellen für sich allein genommen nicht sicher, dass die Verpflichtungen im Zusammenhang mit internationalen Datenübermittlungen gemäß Kapitel V der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 erfüllt werden.

Klausel 2: Unabänderbarkeit der Klauseln

(a) Die Parteien verpflichten sich, die Klauseln nicht zu ändern, es sei denn, zur Ergänzung oder Aktualisierung der in den Anhängen angegebenen Informationen.

(b) Dies hindert die Parteien nicht daran die in diesen Klauseln festgelegten Standardvertragsklauseln in einen umfangreicheren Vertrag aufzunehmen und weitere Klauseln oder zusätzliche Garantien hinzuzufügen, sofern diese weder unmittelbar noch mittelbar im Widerspruch zu den Klauseln stehen oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneiden.

Klausel 3: Auslegung

(a) Werden in diesen Klauseln die in der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725 definierten Begriffe verwendet, so haben diese Begriffe dieselbe Bedeutung wie in der betreffenden Verordnung.

(b) Diese Klauseln sind im Lichte der Bestimmungen der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725 auszulegen.

(c) Diese Klauseln dürfen nicht in einer Weise ausgelegt werden, die den in der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 vorgesehenen Rechten und Pflichten zuwiderläuft oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneidet.

Klausel 4: Vorrang

Im Falle eines Widerspruchs zwischen diesen Klauseln und den Bestimmungen damit zusammenhängender Vereinbarungen, die zwischen den Parteien bestehen oder später eingegangen oder geschlossen werden, haben diese Klauseln Vorrang.

Klausel 5 – fakultativ: Kopplungsklausel

(a) Eine Einrichtung, die nicht Partei dieser Klauseln ist, kann diesen Klauseln mit Zustimmung aller Parteien jederzeit als Verantwortlicher oder als Auftragsverarbeiter beitreten, indem sie die Anhänge ausfüllt und Anhang I unterzeichnet.

(b) Nach Ausfüllen und Unterzeichnen der unter Buchstabe a genannten Anhänge wird die beitretende Einrichtung als Partei dieser Klauseln behandelt und hat die Rechte und Pflichten eines Verantwortlichen oder eines Auftragsverarbeiters entsprechend ihrer Bezeichnung in Anhang I.

(c) Für die beitretende Einrichtung gelten für den Zeitraum vor ihrem Beitritt als Partei keine aus diesen Klauseln resultierenden Rechte oder Pflichten.

ABSCHNITT II PFLICHTEN DER PARTEIEN

Klausel 6: Beschreibung der Verarbeitung

Die Einzelheiten der Verarbeitungsvorgänge, insbesondere die Kategorien personenbezogener Daten und die Zwecke, für die die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet werden, sind in Anhang II aufgeführt.

Klausel 7: Pflichten der Parteien

7.1. Weisungen

(a) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder nach dem Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Verantwortliche kann während der gesamten Dauer der Verarbeitung personenbezogener Daten weitere Weisungen erteilen. Diese Weisungen sind stets zu dokumentieren.

(b) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass vom Verantwortlichen erteilte Weisungen gegen die Verordnung (EU) 2016/679, die Verordnung (EU) 2018/1725 oder geltende Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstoßen.

7.2. Zweckbindung

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur für den/die in Anhang II genannten spezifischen Zweck(e), sofern er keine weiteren Weisungen des Verantwortlichen erhält.

7.3. Dauer der Verarbeitung personenbezogener Daten

Die Daten werden vom Auftragsverarbeiter nur für die in Anhang II angegebene Dauer verarbeitet.

7.4. Sicherheit der Verarbeitung

(a) Der Auftragsverarbeiter ergreift mindestens die in Anhang III aufgeführten technischen und organisatorischen Maßnahmen, um die Sicherheit der personenbezogenen Daten zu gewährleisten. Dies umfasst den Schutz der Daten vor einer Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu den Daten führt (im Folgenden „Verletzung des Schutzes personenbezogener Daten“). Bei der Beurteilung des angemessenen Schutzniveaus tragen die Parteien dem Stand der Technik, den Implementierungskosten, der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung sowie den für die betroffenen Personen verbundenen Risiken gebührend Rechnung.

(b) Der Auftragsverarbeiter gewährt seinem Personal nur insoweit Zugang zu den personenbezogenen Daten, die Gegenstand der Verarbeitung sind, als dies für die Durchführung, Verwaltung und Überwachung des Vertrags unbedingt erforderlich ist. Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der erhaltenen personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7.5. Sensible Daten

Falls die Verarbeitung personenbezogene Daten betrifft, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, oder die genetische Daten oder biometrische Daten zum Zweck der eindeutigen Identifizierung einer natürlichen Person, Daten über die Gesundheit, das Sexualleben oder die sexuelle Ausrichtung einer Person oder Daten über strafrechtliche Verurteilungen und Straftaten enthalten (im Folgenden „sensible Daten“), wendet der Auftragsverarbeiter spezielle Beschränkungen und/oder zusätzlichen Garantien an.

7.6. Dokumentation und Einhaltung der Klauseln

(a) Die Parteien müssen die Einhaltung dieser Klauseln nachweisen können.

(b) Der Auftragsverarbeiter bearbeitet Anfragen des Verantwortlichen bezüglich der Verarbeitung von Daten gemäß diesen Klauseln umgehend und in angemessener Weise.

(c) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die für den Nachweis der Einhaltung der in diesen Klauseln festgelegten und unmittelbar aus der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 hervorgehenden Pflichten erforderlich sind. Auf Verlangen des Verantwortlichen gestattet der Auftragsverarbeiter ebenfalls die Prüfung der unter diese Klauseln fallenden Verarbeitungstätigkeiten in angemessenen Abständen oder bei Anzeichen für eine Nichteinhaltung und trägt zu einer solchen Prüfung bei. Bei der Entscheidung über eine Überprüfung oder Prüfung kann der Verantwortliche einschlägige Zertifizierungen des Auftragsverarbeiters berücksichtigen.

(d) Der Verantwortliche kann die Prüfung selbst durchführen oder einen unabhängigen Prüfer beauftragen. Die Prüfungen können auch Inspektionen in den Räumlichkeiten oder physischen Einrichtungen des Auftragsverarbeiters umfassen und werden gegebenenfalls mit angemessener Vorankündigung durchgeführt.

(e) Die Parteien stellen der/den zuständigen Aufsichtsbehörde(n) die in dieser Klausel genannten Informationen, einschließlich der Ergebnisse von Prüfungen, auf Anfrage zur Verfügung.

7.7. Einsatz von Unterauftragsverarbeitern

(a) ALLGEMEINE SCHRIFTLICHE GENEHMIGUNG: Der Auftragsverarbeiter besitzt die allgemeine Genehmigung des Verantwortlichen für die Beauftragung von Unterauftragsverarbeitern, die in einer vereinbarten Liste aufgeführt sind. Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens 30 Tage im Voraus ausdrücklich in schriftlicher Form über alle beabsichtigten Änderungen dieser Liste durch Hinzufügen oder Ersetzen von Unterauftragsverarbeitern und räumt dem Verantwortlichen damit ausreichend Zeit ein, um vor der Beauftragung des/der betreffenden Unterauftragsverarbeiter/s Einwände gegen diese Änderungen erheben zu können. Der Auftragsverarbeiter stellt dem Verantwortlichen die erforderlichen Informationen zur Verfügung, damit dieser sein Widerspruchsrecht ausüben kann.

(b) Beauftragt der Auftragsverarbeiter einen Unterauftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen), so muss diese Beauftragung im Wege eines Vertrags erfolgen, der dem Unterauftragsverarbeiter im Wesentlichen dieselben Datenschutzpflichten auferlegt wie diejenigen, die für den Auftragsverarbeiter gemäß diesen Klauseln gelten. Der Auftragsverarbeiter stellt sicher, dass der Unterauftragsverarbeiter die Pflichten erfüllt, denen der Auftragsverarbeiter entsprechend diesen Klauseln und gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 unterliegt.

(c) Der Auftragsverarbeiter stellt dem Verantwortlichen auf dessen Verlangen eine Kopie einer solchen Untervergabevereinbarung und etwaiger späterer Änderungen zur Verfügung. Soweit es zum Schutz von Geschäftsgeheimnissen oder anderen vertraulichen Informationen, einschließlich personenbezogener Daten notwendig ist, kann der Auftragsverarbeiter den Wortlaut der Vereinbarung vor der Weitergabe einer Kopie unkenntlich machen.

(d) Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen in vollem Umfang dafür, dass der Unterauftragsverarbeiter seinen Pflichten gemäß dem mit dem Auftragsverarbeiter geschlossenen Vertrag nachkommt. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen, wenn der Unterauftragsverarbeiter seine vertraglichen Pflichten nicht erfüllt.

(e) Der Auftragsverarbeiter vereinbart mit dem Unterauftragsverarbeiter eine Drittbegünstigtenklausel, wonach der Verantwortliche – im Falle, dass der Auftragsverarbeiter faktisch oder rechtlich nicht mehr besteht oder zahlungsunfähig ist – das Recht hat, den Untervergabevertrag zu kündigen und den Unterauftragsverarbeiter anzuweisen, die personenbezogenen Daten zu löschen oder zurückzugeben.

7.8. Internationale Datenübermittlungen

(a) Jede Übermittlung von Daten durch den Auftragsverarbeiter an ein Drittland oder eine internationale Organisation erfolgt ausschließlich auf der Grundlage dokumentierter Weisungen des Verantwortlichen oder zur Einhaltung einer speziellen Bestimmung nach dem Unionsrecht oder dem Recht eines Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, und muss mit Kapitel V der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 im Einklang stehen.

(b) Der Verantwortliche erklärt sich damit einverstanden, dass in Fällen, in denen der Auftragsverarbeiter einen Unterauftragsverarbeiter gemäß Klausel 7.7 für die Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen) in Anspruch nimmt und diese Verarbeitungstätigkeiten eine Übermittlung personenbezogener Daten im Sinne von Kapitel V der Verordnung (EU) 2016/679 beinhalten, der Auftragsverarbeiter und der Unterauftragsverarbeiter die Einhaltung von Kapitel V der Verordnung (EU) 2016/679 sicherstellen können, indem sie Standardvertragsklauseln verwenden, die von der Kommission gemäß Artikel 46 Absatz 2 der Verordnung (EU) 2016/679 erlassen wurden, sofern die Voraussetzungen für die Anwendung dieser Standardvertragsklauseln erfüllt sind.

Klausel 8: Unterstützung des Verantwortlichen

(a) Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich über jeden Antrag, den er von der betroffenen Person erhalten hat. Er beantwortet den Antrag nicht selbst, es sei denn, er wurde vom Verantwortlichen dazu ermächtigt.

(b) Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Erfüllung von dessen Pflicht, Anträge betroffener Personen auf Ausübung ihrer Rechte zu beantworten. Bei der Erfüllung seiner Pflichten gemäß den Buchstaben a und b befolgt der Auftragsverarbeiter die Weisungen des Verantwortlichen.

(c) Abgesehen von der Pflicht des Auftragsverarbeiters, den Verantwortlichen gemäß Klausel 8 Buchstabe b zu unterstützen, unterstützt der Auftragsverarbeiter unter Berücksichtigung der Art der Datenverarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen zudem bei der Einhaltung der folgenden Pflichten:

(1) Pflicht zur Durchführung einer Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten (im Folgenden „Datenschutz-Folgenabschätzung“), wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat;

(2) Pflicht zur Konsultation der zuständigen Aufsichtsbehörde(n) vor der Verarbeitung, wenn aus einer Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft;

(3) Pflicht zur Gewährleistung, dass die personenbezogenen Daten sachlich richtig und auf dem neuesten Stand sind, indem der Auftragsverarbeiter den Verantwortlichen unverzüglich unterrichtet, wenn er feststellt, dass die von ihm verarbeiteten personenbezogenen Daten unrichtig oder veraltet sind;

(4) Verpflichtungen gemäß Artikel 32 der Verordnung (EU) 2016/679.

(d) Die Parteien legen in Anhang III die geeigneten technischen und organisatorischen Maßnahmen zur Unterstützung des Verantwortlichen durch den Auftragsverarbeiter bei der Anwendung dieser Klausel sowie den Anwendungsbereich und den Umfang der erforderlichen Unterstützung fest.

Klausel 9: Meldung von Verletzungen des Schutzes personenbezogener Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten arbeitet der Auftragsverarbeiter mit dem Verantwortlichen zusammen und unterstützt ihn entsprechend, damit der Verantwortliche seinen Verpflichtungen gemäß den Artikeln 33 und 34 der Verordnung (EU) 2016/679 oder gegebenenfalls den Artikeln 34 und 35 der Verordnung (EU) 2018/1725 nachkommen kann, wobei der Auftragsverarbeiter die Art der Verarbeitung und die ihm zur Verfügung stehenden Informationen berücksichtigt.

9.1. Verletzung des Schutzes der vom Verantwortlichen verarbeiteten Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den vom Verantwortlichen verarbeiteten Daten unterstützt der Auftragsverarbeiter den Verantwortlichen wie folgt:

(a) bei der unverzüglichen Meldung der Verletzung des Schutzes personenbezogener Daten an die zuständige(n) Aufsichtsbehörde(n), nachdem dem Verantwortlichen die Verletzung bekannt wurde, sofern relevant (es sei denn, die Verletzung des Schutzes personenbezogener Daten führt voraussichtlich nicht zu einem Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen);

(b) bei der Einholung der folgenden Informationen, die gemäß Artikel 33 Absatz 3 der Verordnung (EU) 2016/679 in der Meldung des Verantwortlichen anzugeben sind, wobei diese Informationen mindestens Folgendes umfassen müssen:

(1) die Art der personenbezogenen Daten, soweit möglich, mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;

(2) die wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;

(3) die vom Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Wenn und soweit nicht alle diese Informationen zur gleichen Zeit bereitgestellt werden können, enthält die ursprüngliche Meldung die zu jenem Zeitpunkt verfügbaren Informationen, und weitere Informationen werden, sobald sie verfügbar sind, anschließend ohne unangemessene Verzögerung bereitgestellt;

(c) bei der Einhaltung der Pflicht gemäß Artikel 34 der Verordnung (EU) 2016/679, die betroffene Person unverzüglich von der Verletzung des Schutzes personenbezogener Daten zu benachrichtigen, wenn diese Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

9.2. Verletzung des Schutzes der vom Auftragsverarbeiter verarbeiteten Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den vom Auftragsverarbeiter verarbeiteten Daten meldet der Auftragsverarbeiter diese dem Verantwortlichen unverzüglich, nachdem ihm die Verletzung bekannt wurde. Diese Meldung muss zumindest folgende Informationen enthalten:

(a) eine Beschreibung der Art der Verletzung (möglichst unter Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und der ungefähren Zahl der betroffenen Datensätze);

(b) Kontaktdaten einer Anlaufstelle, bei der weitere Informationen über die Verletzung des Schutzes personenbezogener Daten eingeholt werden können;

(c) die voraussichtlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten, einschließlich Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Die Parteien legen in Anhang III alle sonstigen Angaben fest, die der Auftragsverarbeiter zur Verfügung zu stellen hat, um den Verantwortlichen bei der Erfüllung von dessen Pflichten gemäß Artikel 33 und 34 der Verordnung (EU) 2016/679 zu unterstützen.

ABSCHNITT III SCHLUSSBESTIMMUNGEN

Klausel 10: Verstöße gegen die Klauseln und Beendigung des Vertrags

(a) Falls der Auftragsverarbeiter seinen Pflichten gemäß diesen Klauseln nicht nachkommt, kann der Verantwortliche – unbeschadet der Bestimmungen der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 – den Auftragsverarbeiter anweisen, die Verarbeitung personenbezogener Daten auszusetzen, bis er diese Klauseln einhält oder der Vertrag beendet ist. Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, wenn er aus welchen Gründen auch immer nicht in der Lage ist, diese Klauseln einzuhalten.

(b) Der Verantwortliche ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft, wenn

(1) der Verantwortliche die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter gemäß Buchstabe a ausgesetzt hat und die Einhaltung dieser Klauseln nicht innerhalb einer angemessenen Frist, in jedem Fall aber innerhalb eines Monats nach der Aussetzung, wiederhergestellt wurde;

(2) der Auftragsverarbeiter in erheblichem Umfang oder fortdauernd gegen diese Klauseln verstößt oder seine Verpflichtungen gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 nicht erfüllt;

(3) der Auftragsverarbeiter einer bindenden Entscheidung eines zuständigen Gerichts oder der zuständigen Aufsichtsbehörde(n), die seine Pflichten gemäß diesen Klauseln, der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 zum Gegenstand hat, nicht nachkommt.

(c) Der Auftragsverarbeiter ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft, wenn der Verantwortliche auf der Erfüllung seiner Anweisungen besteht, nachdem er vom Auftragsverarbeiter darüber in Kenntnis gesetzt wurde, dass seine Anweisungen gegen geltende rechtliche Anforderungen gemäß Klausel 7.1 Buchstabe b verstoßen.

(d) Nach Beendigung des Vertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten und bescheinigt dem Verantwortlichen, dass dies erfolgt ist, oder er gibt alle personenbezogenen Daten an den Verantwortlichen zurück und löscht bestehende Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Bis zur Löschung oder Rückgabe der Daten gewährleistet der Auftragsverarbeiter weiterhin die Einhaltung dieser Klauseln.

ANHANG I Liste der Parteien

Verantwortlicher

Name und Kontaktdaten: der Nutzer des Dienstes 3D Print Manager, Inhaber des Kontos, mit den im Konto hinterlegten Angaben.
Tätigkeiten im Zusammenhang mit den übermittelten Daten: Verwaltung von Bestellungen, Arbeitsaufträgen, Angeboten und Rechnungen sowie Teamarbeit im Dienst 3D Print Manager.
Unterschrift und Beitrittsdatum: durch Annahme der Nutzungsbedingungen bei der Bestellung oder Nutzung des Dienstes. Ein vom Auftragsverarbeiter unterzeichnetes Exemplar wird auf Anfrage zur Verfügung gestellt.
Rolle: Verantwortlicher.

Auftragsverarbeiter

Name und Kontaktdaten: dD Tech, obrt za proizvodnju i usluge, Inhaber Damir Druško, Vrtna ulica 24, 42202 Trnovec Bartolovečki, Kroatien, OIB 60172908285, info@ddtech.hr, +385 95 398 2442. Ein Datenschutzbeauftragter ist nicht benannt, da keine Pflicht nach Artikel 37 der Verordnung (EU) 2016/679 besteht; Kontakt für Datenschutz ist info@ddtech.hr.
Tätigkeiten im Zusammenhang mit den übermittelten Daten: Bereitstellung des Dienstes 3D Print Manager.
Unterschrift und Beitrittsdatum: durch Veröffentlichung dieses Vertrags zusammen mit den Nutzungsbedingungen.
Rolle: Auftragsverarbeiter.

ANHANG II Beschreibung der Verarbeitung

Kategorien betroffener Personen

Kunden des Verantwortlichen (natürliche Personen und Ansprechpartner juristischer Personen), deren Daten manuell oder durch Import aus dem Webshop des Verantwortlichen in Bestellungen und Arbeitsaufträge eingegeben werden;
Mitglieder des Teams des Verantwortlichen, die der Verantwortliche in den Dienst eingeladen hat.

Kategorien personenbezogener Daten

Kunden: Name oder Firmenname, E-Mail-Adresse, Firma, Steuer- oder Umsatzsteuer-Identifikationsnummer, Land; Bestelldaten (Shop-Quelle und Bestellnummer, Versanddienst, Versandpreis, Anmerkungen); Arbeitsaufträge (Modell, Mengen, Preise); Angebote und Rechnungen als PDF;
Teammitglieder: E-Mail-Adresse, Rolle, Name der Organisation und Aktivitätsprotokoll (E-Mail der handelnden Person, Handlung, Gegenstand, Zeitpunkt).

Sensible Daten

Werden nicht verarbeitet. Der Verantwortliche gibt keine besonderen Kategorien personenbezogener Daten und keine Daten über strafrechtliche Verurteilungen ein, auch nicht in Anmerkungsfelder.

Art der Verarbeitung

Speicherung und Anzeige der Daten; Erstellung von Angeboten und Rechnungen als PDF; auf Weisung des Verantwortlichen (Plan FARM Connect): Versand von Angeboten und Rechnungen per E-Mail an die Kunden des Verantwortlichen, Import von Bestellungen aus dem Webshop des Verantwortlichen (WooCommerce, PrestaShop, Shopify) und Übertragung von Kundendaten in das Minimax-Konto des Verantwortlichen; Sicherungskopien; Löschung.

Zweck der Verarbeitung

Bereitstellung des Dienstes 3D Print Manager für den Verantwortlichen gemäß den Nutzungsbedingungen.

Dauer der Verarbeitung

Für die Dauer des Kontos. Einträge im Team-Aktivitätsprotokoll werden nach 90 Tagen gelöscht, höchstens 500 Einträge je Farm. Mit der Löschung des Kontos werden die Daten sofort gelöscht, einschließlich der Angebote und Rechnungen als PDF und der Integrationsprotokolle, und verschwinden innerhalb von 14 Tagen aus den Sicherungskopien. Kunden und Bestellungen, die der Verantwortliche im Dienst löscht, werden sofort gelöscht, zusammen mit den Arbeitsaufträgen und Dokumenten der Bestellung, und verschwinden innerhalb derselben Frist aus den Sicherungskopien. Integrationsprotokolle im Debug-Modus werden mit dem Konto gelöscht, ihre Einträge spätestens nach 90 Tagen.

ANHANG III Technische und organisatorische Maßnahmen

Standort: Server, Datenbank, Dateien und Sicherungskopien befinden sich beim Unterauftragsverarbeiter aus Anhang IV in der Europäischen Union. Personenbezogene Daten aus diesem Vertrag werden nicht außerhalb des EWR übermittelt.
Verschlüsselung bei der Übertragung: der Dienst ist über HTTPS (TLS) erreichbar, und ein Aufruf der Anwendung über http:// wird auf https:// umgeleitet.
Authentifizierung: Passwörter werden nur als Einweg-Hash gespeichert (PHP password_hash); ein Token für dauerhafte Anmeldung gilt höchstens 30 Tage; ein Einladungslink für das Team gilt 14 Tage.
Datentrennung: jede Abfrage ist auf das Konto beschränkt, dem die Daten gehören; der Zugriff auf fremde Daten wird automatisch getestet.
Zugriffskontrolle im Team: Rollen Inhaber, Manager, Operator und Betrachter; ein Betrachter kann nur lesen, Berechtigungen werden auf dem Server geprüft.
Dateien: Angebote und Rechnungen als PDF liegen in einem Verzeichnis, das der Server nicht direkt ins Internet ausliefert.
Personal: Zugang zu Server und Datenbank hat nur der Inhaber des Unternehmens, der zur Vertraulichkeit verpflichtet ist. Eine Arbeitskopie der Datenbank für Entwicklung und Tests liegt auf dem Rechner des Inhabers in Kroatien.
Sicherungskopien: tägliche Sicherung der Datenbank, Aufbewahrung 14 Tage, innerhalb desselben Hosting-Pakets.
Meldung von Verletzungen (Klausel 9): der Auftragsverarbeiter benachrichtigt den Verantwortlichen per E-Mail an die Adresse des Kontos unverzüglich, spätestens 48 Stunden nachdem ihm die Verletzung bekannt geworden ist, mit den Angaben nach Klausel 9.2.
Unterstützung des Verantwortlichen (Klausel 8): der Verantwortliche kann Kunden- und Bestelldaten im Dienst selbst einsehen, berichtigen und löschen. Auf Anfrage an info@ddtech.hr stellt der Auftragsverarbeiter Kunden- und Bestelldaten innerhalb von 30 Tagen in einem maschinenlesbaren Format bereit.
Ende der Verarbeitung (Klausel 10 Buchstabe d): vor der Löschung des Kontos kann der Verantwortliche die Rückgabe der Daten wie im vorigen Punkt verlangen; mit der Löschung des Kontos werden die Daten wie in Anhang II beschrieben gelöscht.

ANHANG IV Liste der Unterauftragsverarbeiter

Plus Hosting Grupa d.o.o. (Optima Hosting), Valturska 82, 52100 Pula, Kroatien, OIB 25444746329. Verarbeitung: Hosting von Servern, Datenbank und Dateien, Sicherungskopien sowie Postausgangsserver, über den Angebote und Rechnungen an die Kunden des Verantwortlichen versendet werden. Standort: Europäische Union.

Der Webshop und das Minimax-Konto, die ein Verantwortlicher mit dem Dienst verbindet, sind eigene Dienste des Verantwortlichen und keine Unterauftragsverarbeiter des Auftragsverarbeiters. Stripe (Abrechnung des Abonnements), Google Analytics (Besuche der Seiten und der Webanwendung, nur mit Einwilligung) und Anthropic (Erkennung von Filamentfarben anhand des Farbnamens) erhalten keine personenbezogenen Daten, die unter diesen Vertrag fallen.