Controller

[Full legal name], an individual entrepreneur (ИП) registered in Georgia. Email: [•]. Data-protection contact: [•].

EU representative (GDPR Art. 27): [to be appointed — insert name and address].

Appoint an EU Art. 27 representative. GDPR Art. 3(2) reaches this platform because it offers services to data subjects in the EU, and the "occasional processing" exemption is doubtful given that account data and uploaded geometry are processed on an ongoing basis. Failure to appoint falls in the lower fine tier (up to €10M or 2% of worldwide turnover).

Confirm the DPO exemption under the PDPS order effective 1 June 2024 (processing of personal data of less than 3% of Georgia's population; special-category data of less than 1%; no systematic large-scale behaviour monitoring). The exemption most likely applies, but a voluntary contact point should still be named.

Confirm whether a Data Protection Impact Assessment is required. It most likely is not — there is no large-scale or special-category processing here — but the device-fingerprint quota and the storage of customer design IP should be assessed explicitly rather than assumed out, and the conclusion recorded. Re-open this if processing scale changes.

1. What we process and why

Note on fingerprinting: we use a device fingerprint only to apply the free-use quota and prevent abuse — not for advertising, cross-site profiling, or data sale.

Note on performance measurements: parts of a quote happen in your browser — sending the file up, and drawing the 3D preview — and our servers cannot time either of them. So your browser reports those durations back to us. What it sends is a short, fixed list: elapsed milliseconds for each stage, the byte size of the upload, how the attempt ended (preview shown, no preview, or failed), which process the quote used (machining or sheet cutting), your position in a multi-file batch, and two short identifiers — one your browser generates for the row being measured, and the reference of the current quote (also browser-generated when you quote online) — which let a measurement be matched to the request it belongs to. It does not send the file, its name, its contents, any geometry, any dimension, or anything you typed about the part — a filename alone can disclose your design, and none is transmitted. These measurements are used for our own performance statistics: no advertising, no profiling, no third-party analytics service, and no sale. They are not used to make any decision about you or about your price.

Confirm the lawful basis and notice requirement for EU visitors under ePrivacy Art. 5(3) and EDPB Guidelines 2/2023. Treating the quota fingerprint as exempt from consent is defensible but not guaranteed; a just-in-time notice or lightweight banner may be prudent.

2. No ads, no sale, no marketing email

We do not sell personal data, run advertising, or send marketing email at launch. If this changes we will update this policy and obtain consent where required — direct-marketing consent is mandatory under both Georgian law and the GDPR.

3. Processors & subprocessors

• Resend — transactional email delivery. GDPR Art. 28 processor, certified under the EU-US Data Privacy Framework; subprocessor list published at resend.com/legal/subprocessors.
• Cloudflare R2 — file storage. Processor/subprocessor under a DPA incorporating EU Standard Contractual Clauses and the UK Addendum, with DPF certification and a published subprocessor list.
• Hosting — primary application and database hosting, EU-based; location [TBD].

Finalize the server location, execute or accept the Resend and Cloudflare DPAs, and keep a DPA + subprocessor registry. Confirm that no Georgian "technical means" trigger arises, which would require appointing a registered local representative.

4. International transfers

Primary storage is EU-hosted. Where data flows to a country not recognized as adequate, we rely on Standard Contractual Clauses and, under Georgian law, assess whether a PDPS transfer permit is required. EU transfers rely on adequacy, SCCs or the Data Privacy Framework as applicable.

Confirm the transfer mechanism for the Cloudflare R2 configuration and whether a PDPS permit is required.

5. Retention

These are the periods the system actually enforces:

• Uploaded CAD files (STEP and DXF) and the geometry we derive from them are kept while a Deal is active, and for 90 days after the Deal reaches a final state (completed, cancelled or rejected). These are the files your quote was calculated from: our engineers open them while pricing or reviewing your part, and a manufacturing partner selected for that part can download that part's file while the Deal is in progress. Where an upload is never attached to a Deal, the original file is not kept at all — it is read to extract the measurements and deleted at the end of the request — and the derived geometry is removed 90 days after the quote it belongs to was created.
• Derived 3D previews are a regenerable cache. Where the source file is still present, a cached preview is removed after 30 days without access and rebuilt on demand. Where the source has already been deleted the preview cannot be rebuilt, so it is removed on the same schedule as the source itself — while the Deal is active, and for 90 days after the Deal reaches a final state. Where no Deal is involved, the preview is removed 90 days after the quote it belongs to was created — the same basis as the upload itself; a preview that no quote refers to at all is removed 90 days after its last access. A preview is held to the same retention rule as the file it was derived from, and is not exempt from deletion because that file is already gone.
• Account data is kept while your account is open and for a reasonable period afterwards for legal and accounting needs.
• Acceptance records are kept for as long as needed to evidence the agreement.

There is no self-service erasure or account-deletion function. Erasure requests under section 6 are executed manually, and the automated schedules above run on their own clocks regardless of any request. Confirm the operational procedure and the response time, and confirm that the manual process reaches derived previews and cached copies as well as the primary records.

Set the accounting-retention period for account and transaction records under Georgian tax law. Keep that number separate from the 90-day geometry figure so the two do not get conflated.

We now retain the customer's ORIGINAL uploaded CAD file (STEP and DXF), not only the derived geometry, and we disclose that file to the manufacturing partner selected for that specific part. Confirm: (a) that the licence granted in the Terms covers storing the original design file and disclosing it to a selected Provider, and that no separate consent is required; (b) whether that disclosure needs to be named explicitly in section 4 (recipients) rather than only here; (c) whether a customer may demand deletion of the original file while the Deal is still active, given the Provider may be manufacturing from it; and (d) whether the 90-day post-close figure is the right window for a design file that constitutes the customer's IP, or whether it should be shorter than the derived-geometry window.

6. Your rights

Under the Georgian Law on Personal Data Protection and the GDPR you may request access, rectification, erasure, restriction, objection and portability, and may withdraw consent where processing rests on it. You may lodge a complaint with the Personal Data Protection Service of Georgia (personaldata.ge) or with your EU supervisory authority. Contact us at [•]. We respond within the timeframes required by law.

7. Security & breaches

We use technical and organizational measures appropriate to the risk. We record incidents and, where required, notify the PDPS within 72 hours and affected individuals where the breach is likely to cause significant harm. Where the GDPR applies we follow its 72-hour rule as well.

8. Children

The Platform is for business users and is not directed to children.

9. Governing language

English controls; the Russian text is a courtesy translation.

Оператор данных

[Полное юридическое наименование], индивидуальный предприниматель (ИП), зарегистрированный в Грузии. Email: [•]. Контакт по вопросам защиты данных: [•].

Представитель в ЕС (ст. 27 GDPR): [подлежит назначению — указать имя и адрес].

Назначить представителя в ЕС по ст. 27 GDPR. Ст. 3(2) GDPR распространяется на Платформу, поскольку услуги предлагаются субъектам данных в ЕС, а исключение для «эпизодической обработки» сомнительно: данные аккаунтов и загруженная геометрия обрабатываются на постоянной основе. Отсутствие представителя относится к нижнему уровню штрафов (до 10 млн евро или 2% мирового оборота).

Подтвердить применимость исключения по DPO согласно приказу PDPS, действующему с 1 июня 2024 г. (обработка персональных данных менее 3% населения Грузии; данных особой категории — менее 1%; отсутствие систематического крупномасштабного мониторинга поведения). Исключение, вероятнее всего, применимо, но контактное лицо всё равно следует назвать.

Подтвердить, требуется ли оценка воздействия на защиту данных (DPIA). Вероятнее всего нет — крупномасштабной обработки и данных особой категории здесь не ведётся, — но отпечаток устройства для квоты и хранение конструкторской ИС заказчиков следует оценить явно, а не исключить по умолчанию, зафиксировав вывод. Пересмотреть при изменении масштабов обработки.

1. Какие данные мы обрабатываем и зачем

Примечание об отпечатке устройства: мы используем его только для применения бесплатной квоты и защиты от злоупотреблений — не для рекламы, не для межсайтового профилирования и не для продажи данных.

Примечание об измерениях производительности: часть расчёта происходит в вашем браузере — передача файла на сервер и отрисовка 3D-превью, — и наши серверы не могут замерить ни то, ни другое. Поэтому браузер сообщает эти длительности нам. Передаётся короткий фиксированный перечень: затраченные миллисекунды по этапам, размер загрузки в байтах, чем закончилась попытка (превью показано, превью нет, ошибка), вид обработки в расчёте (механообработка или листовой раскрой), ваша позиция в пакете при загрузке нескольких файлов и два коротких идентификатора — один формирует ваш браузер для измеряемой строки, второй представляет собой обозначение текущего расчёта (при онлайн-расчёте его также формирует браузер), — позволяющие сопоставить измерение с тем запросом, к которому оно относится. Не передаются ни сам файл, ни его имя, ни его содержимое, ни геометрия, ни какие-либо размеры, ни введённые вами сведения о детали: одно только имя файла способно раскрыть вашу разработку, и оно не отправляется. Эти измерения используются для нашей собственной статистики производительности: без рекламы, без профилирования, без сторонних аналитических сервисов и без продажи данных. Они не применяются для принятия каких-либо решений о вас или о вашей цене.

Подтвердить правовое основание и требование об уведомлении для посетителей из ЕС по ст. 5(3) ePrivacy и Guidelines 2/2023 EDPB. Трактовка отпечатка для квоты как не требующего согласия защитима, но не гарантирована; может оказаться разумным уведомление в момент использования или облегчённый баннер.

2. Без рекламы, продажи данных и маркетинговых рассылок

Мы не продаём персональные данные, не размещаем рекламу и не рассылаем маркетинговые письма на старте. Если это изменится, мы обновим настоящую Политику и получим согласие там, где оно требуется: согласие на прямой маркетинг обязательно и по праву Грузии, и по GDPR.

3. Обработчики и субобработчики

• Resend — доставка транзакционных писем. Обработчик по ст. 28 GDPR, сертифицирован по EU-US Data Privacy Framework; перечень субобработчиков опубликован на resend.com/legal/subprocessors.
• Cloudflare R2 — хранение файлов. Обработчик/субобработчик по DPA со стандартными договорными условиями ЕС (SCC) и британским дополнением, с сертификацией DPF и опубликованным перечнем субобработчиков.
• Хостинг — основной хостинг приложения и базы данных на территории ЕС; локация [уточняется].

Окончательно определить локацию сервера, заключить или принять DPA с Resend и Cloudflare, вести реестр DPA и субобработчиков. Подтвердить отсутствие основания «технические средства на территории Грузии», которое потребовало бы назначения зарегистрированного местного представителя.

4. Трансграничная передача

Основное хранение осуществляется на территории ЕС. Если данные передаются в страну, не признанную обеспечивающей надлежащий уровень защиты, мы применяем стандартные договорные условия (SCC) и по праву Грузии оцениваем необходимость разрешения PDPS на передачу. Передачи в ЕС опираются на решение об адекватности, SCC либо Data Privacy Framework — в зависимости от применимости.

Подтвердить механизм передачи для конфигурации Cloudflare R2 и необходимость разрешения PDPS.

5. Сроки хранения

Ниже — сроки, которые система фактически применяет:

• Загруженные файлы CAD (STEP и DXF) и производная от них геометрия хранятся пока Сделка активна и в течение 90 дней после перехода Сделки в финальное состояние (завершена, отменена или отклонена). Это файлы, по которым был сделан ваш расчёт: наши инженеры открывают их при расчёте и проверке детали, а производственный партнёр, выбранный для этой детали, может скачать файл этой детали, пока Сделка в работе. Если загрузка не привязана к Сделке, исходный файл не сохраняется вообще — он читается для извлечения размеров и удаляется по завершении запроса, — а производная геометрия удаляется через 90 дней после создания расчёта, к которому она относится.
• Производные 3D-превью — регенерируемый кэш. Если исходный файл сохранён, кэшированное превью удаляется после 30 дней без обращений и строится заново по запросу. Если исходник уже удалён, превью невозможно построить заново, поэтому оно удаляется по тому же графику, что и сам исходник: пока Сделка активна и в течение 90 дней после перехода Сделки в финальное состояние. Если Сделки нет, превью удаляется через 90 дней после создания расчёта, к которому оно относится, — на том же основании, что и сама загрузка; превью, на которое не ссылается ни один расчёт, удаляется через 90 дней после последнего обращения к нему. К превью применяется то же правило хранения, что и к файлу, из которого оно построено, и оно не исключается из удаления из-за того, что этот файл уже удалён.
• Данные аккаунта хранятся, пока аккаунт открыт, и разумный срок после этого для юридических и бухгалтерских нужд.
• Записи о принятии условий хранятся столько, сколько необходимо для подтверждения договорённости.

Функции самостоятельного удаления аккаунта или данных нет. Запросы на удаление по разделу 6 выполняются вручную, а автоматические сроки, указанные выше, отсчитываются независимо от таких запросов. Подтвердить операционную процедуру и срок ответа, а также то, что ручная процедура охватывает производные превью и кэшированные копии наравне с основными записями.

Установить срок бухгалтерского хранения данных аккаунта и операций по налоговому праву Грузии. Держать этот срок отдельно от 90-дневного срока по геометрии, чтобы не смешивать их.

Теперь мы храним ИСХОДНЫЙ загруженный CAD-файл заказчика (STEP и DXF), а не только производную геометрию, и раскрываем этот файл производственному партнёру, выбранному для конкретной детали. Подтвердить: (a) что лицензия из Условий покрывает хранение исходного конструкторского файла и его раскрытие выбранному Поставщику и отдельного согласия не требуется; (b) нужно ли называть это раскрытие явно в разделе 4 (получатели), а не только здесь; (c) вправе ли заказчик требовать удаления исходного файла, пока Сделка активна, если Поставщик уже изготавливает по нему; (d) верен ли 90-дневный срок после закрытия для конструкторского файла, являющегося ИС заказчика, или он должен быть короче срока для производной геометрии.

6. Ваши права

По Закону Грузии о защите персональных данных и GDPR вы вправе запросить доступ, исправление, удаление, ограничение обработки, заявить возражение и потребовать переносимости данных, а также отозвать согласие, если обработка основана на нём. Вы вправе подать жалобу в Службу защиты персональных данных Грузии (personaldata.ge) или в надзорный орган вашей страны ЕС. Наш контакт: [•]. Мы отвечаем в сроки, установленные законом.

7. Безопасность и инциденты

Мы применяем технические и организационные меры, соразмерные риску. Мы фиксируем инциденты и, где это требуется, уведомляем PDPS в течение 72 часов, а также затронутых лиц, если нарушение с высокой вероятностью причинит существенный вред. Там, где применим GDPR, мы также соблюдаем его правило 72 часов.

8. Дети

Платформа предназначена для деловых пользователей и не адресована детям.

9. Язык документа

Преимущественную силу имеет английская версия; русский текст является переводом для удобства.