---
title: "Connect - GDPR"
url: "https://www.prusa3d.com/fr/p/prusa-connect/prusa-connect-privacy-policy-2026-09-09/"
lang: "fr"
---

# Personal Data Processing Policy PRUSA CONNECT

PART A — PERSONAL DATA PROCESSING POLICY FOR THE PRUSA CONNECT SERVICE

## 1\. Introduction and relationship to the general Privacy Policy

1\. La présente politique de traitement des données personnelles pour l'utilisation du service Prusa Connect (ci-après la « **Politique de traitement des données Connect** ») complète la [Politique de confidentialité Prusa](https://www.prusa3d.com/fr/page/conditions-generales-dutilisation-des-sites-web-prusa_231226/) (ci-après la « **Politique de confidentialité générale** »), disponible sur le site web de l'Opérateur, en ce qui concerne les Services Connect. La Politique de confidentialité générale n'est pas affectée par la Politique de traitement des données Connect et s'applique à tout traitement de données personnelles dans le cadre de l'offre des services PRUSA ; la Politique de traitement des données Connect ne réglemente et ne complète que les spécificités découlant de la nature des Services Connect.

2\. Les termes capitalisés qui ne sont pas définis dans la présente Politique de traitement des données Connect ont la signification énoncée dans les [Conditions générales de Prusa Connect](https://www.prusa3d.com/fr/p/prusa-connect/prusa-connect-terms-and-conditions-2026-09-09/) (ci-après les « **Conditions Connect** ») ou dans la Politique de confidentialité générale.

3\. This Connect Data Processing Policy applies to all Users who activate, order or use the Connect Services, for the duration of their use. In the event of a conflict between the General Privacy Policy and this Connect Data Processing Policy, the Connect Data Processing Policy shall prevail in relation to the Connect Services.

4\. Le responsable du traitement des données personnelles émettant la présente Politique de traitement des données Connect est **Prusa Research a.s.**, numéro d'identification : 06649114, dont le siège social est situé à Partyzánská 188/7a, Holešovice, 170 00 Prague 7, République tchèque (ci-après l'« **Opérateur** »). Adresse de contact pour les questions de protection des données : privacy@prusa3d.com.

## 2\. Nature of the service and allocation of roles (controller / processor)

Prusa Connect et Prusa Connect Farm sont des services cloud (SaaS) au sein desquels les données personnelles transitent par les serveurs de l'Opérateur. Du point de vue de la protection des données, ce qui est décisif n'est pas de savoir si le service de base Prusa Connect ou Prusa Connect Farm est utilisé, mais plutôt la nature de leur utilisation. Si une personne physique utilise ces services exclusivement pour une activité personnelle ou domestique, l'exception pour l'activité purement personnelle ou domestique s'applique et l'Opérateur, en relation avec les données de cette personne, agit en tant que responsable du traitement indépendant. Si, en revanche, le service est utilisé au sein d'une Organisation (activité commerciale, professionnelle, éducative, de recherche, de loisir ou autre qu'une activité personnelle ou domestique), il est nécessaire de distinguer **deux rôles distincts** dans lesquels l'Opérateur agit en relation avec les données personnelles :

### 2.1 The Operator as an independent controller

In relation to personal data for which the Operator itself determines the purposes and means of processing, it acts as an independent controller. This concerns, in particular:

-   la maintenance et la sécurisation du PRUSA ACCOUNT et l'accès au service ;
-   operation, maintenance, security, incident resolution and technical support of the service;
-   invoicing, subscription management and fulfilment of related legal (in particular tax and accounting) obligations;
-   development, improvement and ensuring the stability and security of the service (in aggregated or pseudonymised form where possible);
-   communication with the User about the service and fulfilment of the Operator’s obligations under legal regulations.

This processing is governed by the General Privacy Policy and this Connect Data Processing Policy. The legal bases and retention periods are based on the General Privacy Policy.

### 2.2 The Operator as a processor on behalf of the Organisation

In relation to personal data that the User enters into, uploads to, or processes through the service on behalf of the Organisation within an activity other than personal or household activity, and for which the Organisation determines the purposes and means, the Operator acts as a processor and the Organisation as a controller. This concerns, in particular:

-   personal data of Team members (e.g. name, e-mail, login identifier, role, permissions, activity and usage records) processed for the purposes of the internal organisation of the Team as set by the Organisation Representative;
-   content and operational data entered by the Organisation Representative or Team members (print tasks, files, orders, material and production data), if they contain personal data;
-   personal data contained in data transmitted via API integrations and marketplace connectors configured by the Organisation Representative (e.g. data of end customers in orders);
-   camera streams and recordings made available within the service, if they capture identifiable natural persons;
-   outputs of analytical functions, usage statistics and performance evaluation relating to the activity of Team members.

Pour ce traitement, l'Organisation est le responsable du traitement, qui détermine les finalités et les moyens et supporte, vis-à-vis des personnes concernées, notamment l'obligation d'information en vertu des articles 13 et 14 du RGPD. La relation entre l'Organisation (responsable du traitement) et l'Opérateur (sous-traitant) est régie par un accord de traitement des données personnelles conformément à l'article 28 du RGPD (ci-après également le « **DPA** ») ; voir l'annexe de la présente Politique de traitement des données Connect.

_**Avis important pour le représentant de l'Organisation :**_ _Si vous saisissez dans le service des données personnelles de tiers (en particulier des membres de l'équipe en tant qu'employés ou collaborateurs, des clients finaux d'une place de marché ou des personnes capturées par un système de caméra), l'organisation pour le compte de laquelle vous agissez est le responsable du traitement de ces données. L'organisation est responsable de la base légale du traitement, du respect de l'obligation d'information envers les personnes concernées et du respect des réglementations en matière de protection des données et de droit du travail. L'opérateur ne traite ces données que conformément aux instructions de l'organisation sur la base de l'accord de traitement des données (voir l'annexe à la présente politique de traitement des données Connect)._

## 3\. Categories of personal data processed within the Connect Services

The overview below summarises the main categories of personal data processed in connection with the service and the Operator’s role:

## Category of data

|  | Examples | Operator’s role |
| --- | --- | --- |
| Identification and accounting (account) | nom, e-mail, ID du PRUSA ACCOUNT, données de facturation, abonnement | Controller |
| Operational and security | access logs, IP address, technical identifiers | Controller |
| Team member data | name, e-mail, role, permissions, activity and usage records within the Team | Processor\* |
| Content and production data | tâches d'impression, fichiers, commandes, données des matériaux (s'ils contiennent des données personnelles) | Processor\* |
| API / marketplace data | data of end customers in orders transmitted via the connector | Processor\* |
| Camera streams and recordings | video streams from printers / workplace capturing persons | Processor\* |

### Identification and accounting (account)

Examples

nom, e-mail, ID du PRUSA ACCOUNT, données de facturation, abonnement

Operator’s role

Controller

### Operational and security

Examples

access logs, IP address, technical identifiers

Operator’s role

Controller

### Team member data

Examples

name, e-mail, role, permissions, activity and usage records within the Team

Operator’s role

Processor\*

### Content and production data

Examples

tâches d'impression, fichiers, commandes, données des matériaux (s'ils contiennent des données personnelles)

Operator’s role

Processor\*

### API / marketplace data

Examples

data of end customers in orders transmitted via the connector

Operator’s role

Processor\*

### Camera streams and recordings

Examples

video streams from printers / workplace capturing persons

Operator’s role

Processor\*

\* _Sous-traitant au nom de l'Organisation — l'Organisation est le responsable du traitement ; le régime est régi par le DPA (voir l'annexe de la présente Politique de traitement des données Connect)._

## 4\. Purposes, legal bases and retention period (Operator as controller)

The following applies to processing for which the Operator is the controller:

## Purpose

|  | Legal basis (GDPR) | Retention period |
| --- | --- | --- |
| Provision and operation of the Connect Services | exécution d'un contrat ; Art. 6(1)(b) | for the duration of the use of the service and 5 years from the last login (see General Privacy Policy) |
| Security, prevention of misuse, stability of the service | intérêt légitime ; Art. 6(1)(f) | as a rule up to 12 months, unless a longer period is necessary |
| Invoicing and fulfilment of legal obligations | obligation légale ; Art. 6(1)(c) | for the period laid down by law (tax/accounting regulations) |
| Development and improvement of the service | intérêt légitime ; Art. 6(1)(f) ; de préférence des données agrégées/pseudonymisées | for the period necessary for the given purpose |

### Provision and operation of the Connect Services

Legal basis (GDPR)

exécution d'un contrat ; Art. 6(1)(b)

Retention period

for the duration of the use of the service and 5 years from the last login (see General Privacy Policy)

### Security, prevention of misuse, stability of the service

Legal basis (GDPR)

intérêt légitime ; Art. 6(1)(f)

Retention period

as a rule up to 12 months, unless a longer period is necessary

### Invoicing and fulfilment of legal obligations

Legal basis (GDPR)

obligation légale ; Art. 6(1)(c)

Retention period

for the period laid down by law (tax/accounting regulations)

### Development and improvement of the service

Legal basis (GDPR)

intérêt légitime ; Art. 6(1)(f) ; de préférence des données agrégées/pseudonymisées

Retention period

for the period necessary for the given purpose

## 5\. Automated functions and exclusion of decision-making about persons

1\. Prusa Connect Farm contains functions for the automatic distribution of print tasks, planning, analytics and performance evaluation of production resources. These functions serve exclusively for the coordination of printers and production resources and are of a supporting nature.

2\. L'Opérateur n'exploite pas ces fonctions dans le but de prendre des décisions individuelles automatisées ou de profiler des personnes physiques au sens de l'article 22 du RGPD. **Toute utilisation des résultats de ces fonctions pour l'évaluation, la surveillance ou la gestion de personnes physiques (en particulier les membres de l'équipe) relève exclusivement de la décision et de la responsabilité du représentant de l'Organisation** ; dans un tel cas, l'Organisation est le responsable du traitement et est responsable du respect du RGPD et des réglementations en matière d'emploi (voir l'article 5.5 des Conditions Connect).

## 6\. Camera systems, API integrations and marketplace data

1\. For camera streams and recordings made available within the service, the Organisation is the controller. The Organisation is responsible in particular for the lawful basis for operating the camera system, for fulfilling the information obligation towards the persons concerned, and for setting the scope and retention period of the recordings.

2\. For data transmitted via API integrations and marketplace connectors, the Operator provides only a technical interface and acts as a processor on behalf of the Organisation. The Operator does not verify the content or accuracy of such data and does not process it for its own purposes.

## 7\. Recipients, sub‑processors and transfers outside the EEA

1\. L'éventail des destinataires et des catégories de destinataires, ainsi que les conditions de tout transfert de données à caractère personnel en dehors de l'Espace économique européen, sont régis par la Politique générale de confidentialité. Pour les traitements où l'Opérateur est un sous-traitant pour le compte de l'Organisation, l'engagement de sous-traitants et les transferts en dehors de l'EEE sont régis par l'ADD ; voir l'annexe à la présente Politique de traitement des données Connect.

2\. For any transfer of personal data outside the EEA, the Operator shall ensure appropriate safeguards pursuant to Chapter V of the GDPR, in particular the standard contractual clauses adopted by the European Commission.

## 8\. Rights of data subjects

1\. The rights of data subjects (access, rectification, erasure, restriction, portability, objection, withdrawal of consent, complaint to a supervisory authority) and the manner of their exercise are governed by the General Privacy Policy.

2\. If the rights concern personal data for which the Operator is a processor on behalf of the Organisation (in particular Team member data), the Organisation, as controller, is competent to handle them. If such a person contacts the Operator, the Operator shall, without undue delay, refer them to the Organisation and provide the Organisation with cooperation under the DPA (see the annex to this Connect Data Processing Policy).

## 9\. Effectiveness and changes

1\. This Connect Data Processing Policy becomes effective on 01.10.2026. The Operator is entitled to update the Connect Data Processing Policy to a reasonable extent; it shall inform the User of material changes in a manner similar to Article 10.2 of the Connect Terms.

2\. The current version of the Connect Data Processing Policy is always available on the Operator’s website together with the Connect Terms and the General Privacy Policy.

## DATA PROCESSING AGREEMENT

Le présent **Accord de traitement des données** (le « **DPA** ») fait partie intégrante de la **Politique de traitement des données Connect**, dont il constitue une annexe, et complète les Conditions générales de Prusa Connect, Prusa Link et Prusa Connect Farm (les « **Conditions Connect** »). Il régit le traitement des données personnelles par **Prusa Research a.s.**, dont le siège social est situé Partyzánská 188/7A, 170 00 Prague 7, République tchèque (le « Sous-traitant »), au nom de l'Organisation (le « **Responsable du traitement** ») en relation avec l'utilisation des **Services Prusa Connect** (les « **Services** »).

Aux fins du présent DPA, « Organisation » et « Représentant de l'Organisation » ont la signification qui leur est donnée dans les Conditions générales de Connect. Le Responsable du traitement est l'Organisation pour le compte de laquelle les Services sont utilisés à des fins professionnelles ou autres non personnelles/non domestiques. Le présent DPA est conclu au nom de l'Organisation par le Représentant de l'Organisation.

Le présent DPA prend effet dès l'activation ou la commande des Services par le Représentant de l'Organisation au nom de l'Organisation. En activant, commandant ou utilisant les Services au nom de l'Organisation, le Représentant de l'Organisation accepte le présent DPA et confirme qu'il est autorisé à représenter l'Organisation et à l'engager par le présent DPA. Si vous n'êtes pas autorisé à le faire, n'acceptez pas le présent DPA et ne fournissez pas de données à caractère personnel au nom de l'Organisation. Lorsqu'une personne physique utilise les Services exclusivement à des fins personnelles ou domestiques, aucune relation responsable du traitement-sous-traitant n'est établie et le présent DPA ne s'applique pas.

Les Parties concluent le présent DPA afin d'assurer la conformité avec les lois applicables de l'UE en matière de protection des données, en particulier le Règlement général sur la protection des données (RGPD), dans le cadre de la fourniture des Services par le Sous-traitant en vertu des Conditions générales de Connect (l'« Accord principal »).

## 1\. Definitions

Les termes énumérés dans le présent DPA auront les significations qui leur sont attribuées ci-dessous.

« **RGPD** » désigne le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données).

« **Lois de l'UE sur la protection des données** » désigne les lois et règlements relatifs au traitement des données personnelles en vertu du droit applicable qui peuvent s'appliquer aux Parties au présent DPA, y compris, mais sans s'y limiter, le RGPD et toute mise en œuvre nationale du RGPD.

« **Sous-traitant** » désigne Prusa Research a.s., dont le siège social est situé Partyzánská 188/7A, 170 00 Prague 7, République tchèque, en tant qu'opérateur du service PRUSA CONNECT. Ce terme a également la signification énoncée dans les lois de l'UE sur la protection des données.

« **Responsable du traitement** » désigne l'Organisation qui détermine l'étendue et les finalités du traitement des données personnelles effectué par le Sous-traitant par le biais des Services, et au nom de laquelle le présent DPA est conclu par le Représentant de l'Organisation. Le Responsable du traitement a la signification de « responsable du traitement » en vertu des lois de l'UE sur la protection des données.

« **Organisation** » et « Représentant de l'Organisation » ont la signification donnée dans les Conditions Connect.

« **Traitement** », « **Autorité de contrôle** » et « **Violation de données personnelles** » ont chacun la signification énoncée dans les lois de l'UE sur la protection des données.

« **Personne concernée** » a la signification donnée dans les lois de l'UE sur la protection des données et inclut toute terminologie correspondante qui fait référence à une personne physique dont les données personnelles sont traitées.

« **Sous-traitant ultérieur** » a la signification énoncée dans les lois de l'UE sur la protection des données et désigne un sous-traitant ultérieur du Sous-traitant autorisé par le Responsable du traitement tel que décrit ci-dessous.

« **Données personnelles** » désigne toute donnée personnelle (telle que définie dans les lois de l'UE sur la protection des données) qui est fournie et/ou transférée au Sous-traitant par ou au nom du Responsable du traitement conformément au présent DPA.

« **Services** » désigne les services Prusa Connect et Prusa Connect Farm, des solutions d'impression à distance basées sur le cloud développées en interne et exploitées par le Sous-traitant. Les Services font partie des Services Connect tels que définis dans les Conditions Connect.

« **Clauses contractuelles types** » désigne les clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers, telles qu'approuvées par la Commission européenne dans la décision d'exécution (UE) 2021/914 de la Commission, ou tout ensemble de clauses approuvées par la Commission européenne qui les modifie ou les remplace.

« **UE** » désigne l'Union européenne.

« **EEE** » désigne l'Espace économique européen.

## 2\. Purpose

2.1 In the course of providing the Services to the Controller pursuant to the Master Agreement, the Processor has access and need to process the Personal Data. Therefore, the Controller hereby commissions the Processor to process the Personal Data, as further specified herein, on behalf and in accordance with the instructions of the Controller as set forth herein.

2.2 Accordingly, the Processor shall, on behalf of the Controller, process the Personal Data.

2.3 Pour éviter tout doute, les Parties conviennent que le Sous-traitant ne sera pas autorisé à traiter les Données à caractère personnel à d'autres fins que celles spécifiées dans le présent DPA, et en particulier à ses propres fins.

## 3\. Subject matter

3.1 Le Sous-traitant ne traitera les Données à caractère personnel fournies par le Responsable du traitement que conformément aux instructions documentées et aux dispositions contenues dans le présent DPA et aux instructions spécifiques que le Responsable du traitement pourra émettre à sa discrétion à tout moment. Le Responsable du traitement peut notamment donner des instructions concernant le type, l'étendue et la méthode du traitement des données, dans les limites de la technologie utilisée.

3.2 If the Processor is of the opinion that an instruction infringes the EU Data Protection Laws, it shall immediately notify the Controller.

## 4\. Processing of the Personal Data

4.1 The Processor shall only process the types of Personal Data relating to the categories of data subjects and for the specific purposes set out in Annex 1 hereto and shall not process, transfer, modify, amend or alter the Controller’s Personal Data or disclose or permit the disclosure of the Controller’s Personal Data to any third party other than in accordance with the Controller’s documented instructions, unless the processing is required by EU law or the law of an EU Member State to which the Processor is subject, in which case the Processor shall to the extent permitted by such law inform the Controller of that legal requirement before processing that Personal Data.

## 5\. Duration

5.1 Le DPA prendra effet à compter de la Date d'entrée en vigueur jusqu'à la résiliation des Services nécessitant le traitement de Données à caractère personnel pour le compte du Responsable du traitement, en tout état de cause au plus tard jusqu'à la résiliation de l'Accord principal, sous réserve des points 5.2 et 5.3.

5.2 Si le Sous-traitant commet une violation substantielle d'une disposition du présent DPA, le Responsable du traitement peut demander par écrit au Sous-traitant de remédier à la violation dans un délai spécifié par le Responsable du traitement. Si la violation n'est pas réparée après l'expiration du délai de préavis susmentionné, le Responsable du traitement sera en droit, mais non contraint, en plus de ses droits en vertu du présent DPA et de la loi applicable, de résilier le présent DPA avec effet immédiat par un nouvel avis écrit au Sous-traitant. Une violation substantielle de toute disposition du présent DPA sera également considérée comme une violation substantielle de l'Accord principal.

5.3 L'expiration ou la résiliation du présent DPA n'affectera pas les dispositions du présent DPA qui sont expressément prévues pour s'appliquer après une telle expiration ou résiliation, ou qui doivent nécessairement continuer à avoir effet après une telle expiration ou résiliation, nonobstant le fait que les dispositions pertinentes elles-mêmes ne le prévoient pas. Sans déroger ou limiter ce qui précède, le présent point 5.3 et les sections 13, 15 et 16 resteront pleinement en vigueur après l'expiration ou la résiliation du présent DPA.

## 6\. Security

6.1 Taking into account the state of the art, the costs of implementation and the nature, scope, context and purposes of processing as well as the risk of varying likelihood and severity for the rights and freedoms of natural persons, within the Processor’s area of responsibility the Processor shall structure their internal corporate organisation to ensure compliance with the specific requirements of the protection of the Personal Data. The Processor shall take at its own cost and expense the appropriate technical and organisational measures to adequately protect the Personal Data against misuse and loss in accordance with the requirements of applicable data protection regulations. In relation to the Personal Data measures hereunder shall include, but not be limited to:

6.1.1 the ability to ensure the ongoing security, confidentiality, integrity, availability and resilience of processing systems, networks and services;

6.1.2 the ability to restore the availability and access to the Personal Data in a timely manner in the event of a physical or technical incident;

6.1.3 a process for regularly monitoring, testing, assessing and evaluating the effectiveness of technical and organisational measures for ensuring the security of the processing;

6.1.4 the prevention of unauthorised persons’ gaining access to data processing systems (physical access control),

6.1.5 the prevention of data processing systems being used without authorisation (logical access control),

6.1.6 the Processor shall keep Personal Data logically separate from data processed on behalf of any third party,

6.1.7 applying encryption and pseudonymisation of the Personal Data, where appropriate;

6.1.8 ensuring that persons entitled to use a data processing system gain access only to such Personal Data as they are entitled to access in accordance with their legitimate access rights, and that, in the course of processing or use and after storage, Personal Data cannot be read, copied, modified or deleted without authorisation (data access control),

6.1.9 ensuring that the Personal Data cannot be read, copied, modified or deleted without authorisation during electronic transmission, transport or storage on storage media, and that the target entities for any transfer of the Personal Data by means of data transmission facilities can be established and verified (data transfer control),

6.1.10 ensuring the establishment of logging and an audit trail to document whether and by whom the Personal Data have been entered into, modified in, or removed from data processing systems (entry control),

6.1.11 maintaining an information security policy and security incident management and continuity plans, consisting of, among others, a clarification with regard to the analysis performed and the risk management of personal data, a description of various responsibilities and organisational rules, description of how security incidents are managed, the measure that were introduced to keep the security system up-to-date after installation;

6.1.12 organising information security by means of selection of an information security lead who has the necessary competences, is adequately trained, ensures that various responsibilities with regard to information security have been clearly, ensures that the responsibilities defined in the information policy are performed and who cannot discharge any function nor take up any responsibility that is incompatible with the information security governance role;

6.1.13 ensuring physical environment security, for instance by means of security and surveillance regarding building, premises and installations where carriers of personal data and computer systems processing the data are positioned, as well as prevention, detection and operating procedure in the case of fire, intrusion and water damage,

6.1.14 maintaining complete and up-to-date documentation proportionate to the risk profile of the processing operations, including, but not limited to, technical documentation of implemented security measures and other information necessary to demonstrate compliance with the requirements of this DPA,

6.1.15 ensuring that the Personal Data is processed solely in accordance with the relevant Controller’s instructions (control of instructions).

6.2 A measure as referred to in point 6.1 above shall be in particular, but shall not be limited to, the use of state-of-the-art encryption technology.

6.3 In assessing the appropriate level of security, account shall be taken in particular of the risks that are presented by processing, in particular from accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to personal data transmitted, stored or otherwise processed.

6.4 The Processor shall assist the Controller in ensuring compliance with the obligations set forth in Articles 32 to 36 of the GDPR and maintain a record of processing activities under the Processor's responsibility, with relation to the Personal Data (in accordance and on terms as specified in Article 30 of the GDPR).

6.5 Without prejudice to point 10.1, the Processor shall, without undue delay, inform the Controller in case of a serious interruption of operations, suspicion of breaches of data protection, and any other irregularity in processing the Data.

6.6 The Processor shall, without undue delay, inform the Controller on controls/checks and other measures conducted by a data protection authority, unless the Processor is prohibited to do so under statutory law.

6.7 The Processor shall conduct regular control checks concerning its compliance with its obligations towards data protection and security hereunder.

## 7\. The Processor Personnel

7.1 The Processor shall take reasonable steps to ensure the reliability of any employee, agent or contractor who may have access to the Personal Data, ensuring in each case that access is strictly limited to those individuals who need to access the Personal Data, as strictly necessary for performance of that person’s duties, ensuring that all such individuals:

7.1.1 are informed of the confidential nature of the Personal Data and are aware of the Processor's obligations under this DPA in relation to the Personal Data;

7.1.2 have undertaken appropriate training in relation to information security and privacy, in particular the relevant EU Data Protection Laws;

7.1.3 are subject to confidentiality undertakings or professional or statutory obligations of confidentiality; and

7.1.4 are subject to user authentication and log-on processes when accessing the Personal Data.

7.2 The undertakings described above shall continue for a reasonable period after the termination of the relevant person’s access to the Personal Data.

## 8\. Subprocessing

8.1 For the purposes of providing the Services, the Controller hereby authorises the named Subprocessors and grants the Processor general written consent to engage new Subprocessors in connection with the provision of the Services, including for the processing and onward transfer of Personal Data on behalf of the Controller, subject to the following requirements:

8.1.1 le Sous-traitant tiendra une liste à jour de ses Sous-traitants utilisés pour traiter les Données personnelles en vertu du présent DPA, qui est disponible à l'adresse [https://www.prusa3d.com/p/prusa-connect/subprocessor/](https://www.prusa3d.com/p/prusa-connect/subprocessor/). Cette liste peut être révisée périodiquement et mise à jour de temps à autre par le Sous-traitant à sa seule discrétion conformément au présent DPA ;

8.1.2 before the Processor allows the Subprocessor(s) access to the Personal Data, the Processor shall make the necessary update on the relevant website of the Processor at least 10 days in advance. The Controller reserves the right to raise reasoned objections in writing within five (5) days of such delegation. Otherwise, the Controller shall be deemed to have consented to the processing of Personal Data by the relevant Subprocessor(s). If the Controller reasonably objects to the appointment of the Subprocessor(s), the parties shall discuss such objections in good faith with a view to reaching a resolution, provided that if this is not possible, the Controller reserves the right to suspend or terminate the Master Agreement.

8.2 With respect to each Subprocessor, the Processor shall:

8.2.1 provide the Controller, on request, with full details of the processing to be undertaken by each Subprocessor;

8.2.2 carry out adequate due diligence on each Subprocessor to ensure that it is capable of providing the level of protection for the Personal Data as is required by this DPA including, without limitation, sufficient guarantees to implement appropriate technical and organisational measures in such a manner that the processing will meet the requirements of GDPR and this DPA;

8.2.3 include terms in the contract between the Processor and each Subprocessor which are the same as those set out in this DPA. Upon request, the Processor shall provide a copy of its agreements with Subprocessors to the Controller for its review;

8.2.4 insofar as that contract involves the transfer of the Personal Data outside of the EEA, incorporate the Standard Contractual Clauses or such other mechanism as directed by the Controller into the contract between the Processor and each Subprocessor to ensure the adequate protection of the transferred Personal Data; and

8.2.5 remain fully liable to the Controller for any failure by each Subprocessor to fulfil its obligations in relation to the processing of the Personal Data.

## 9\. Data Subject Rights

9.1 The Processor shall promptly notify the Controller if it receives a request from a data subject under any EU Data Protection Laws in respect of the Personal Data.

9.2 Le Sous-traitant coopérera, à ses frais, comme demandé par le Responsable du traitement pour permettre au Responsable du traitement de se conformer à tout exercice de droits par une personne concernée en vertu des lois de l'UE sur la protection des données en ce qui concerne les Données personnelles et se conformer à toute évaluation, enquête, notification ou investigation en vertu des lois de l'UE sur la protection des données en ce qui concerne les Données personnelles ou le présent DPA, ce qui inclura :

9.2.1 the provision of all data requested by the Controller within any reasonable timescale specified by the Controller in each case but in any case not longer than three (3) days, including full details and copies of the complaint, communication or request and any the Personal Data it holds in relation to a data subject;

9.2.2 where applicable, providing such assistance as is reasonably requested by the Controller to enable the Controller to comply with the relevant request within the timescales prescribed by the relevant EU Data Protection Laws; and

9.2.3 implementing any additional technical and organisational measures as may be reasonably required by the Controller to allow the Controller to respond effectively to relevant complaints, communications or requests.

9.3 The Processor shall assist the Controller by appropriate technical and organisational measures with the fulfilment of the Controller’s obligation to respond to requests for exercising a data subject's rights as set out in Chapter III of the GDPR. In particular, the Processor undertakes that to take appropriate technical and organisational measures in order to be able to respond to data access requests, requests for data rectification and erasure, requests for restriction of processing as well as requests to exercise the right to data portability. The Processor shall satisfy such requests not later than within three (3) days as of the Controller’s request in this respect.

## 10\. Personal Data Breach

10.1 The Processor shall notify the Controller promptly, and in any case within forty eight (48) hours, upon becoming aware of or reasonably suspecting a Personal Data Breach providing the Controller with sufficient information which allows the Controller to meet any obligations to report a Personal Data Breach under the relevant EU Data Protection Laws. Such notification shall as a minimum:

10.1.1 describe the nature of the Personal Data Breach, the categories and numbers of data subjects concerned, and the categories and numbers of Personal Data records concerned, as well as information when the data breach occurred and when the Processor became aware thereof;

10.1.2 communicate the name and contact details of the Processor's data protection officer (if designated) or other relevant contact from whom more information may be obtained;

10.1.3 describe the likely consequences of the Personal Data Breach; and

10.1.4 describe the measures taken or proposed to be taken to address the Personal Data Breach.

Unless the Parties agree otherwise in writing, notification from the Processor to the Controller under this section 10. shall be made via the email address registered in connection with the execution of the Master Agreement.

If the Controller does not confirm receipt of the e-mail with notification within 1 hour as of sending the email and the Processor fails to contact the Controller using the phone at the number registered in connection with the execution of the Master Agreement, the Processor shall use its all efforts to immediately notify the Controller about the breach using other methods of communication.

10.2 The Processor shall co-operate at its own cost and expense with the Controller and take such reasonable steps as are directed by the Controller to assist in the investigation, mitigation and remediation of each Personal Data Breach.

10.3 In the event of a Personal Data Breach, the Processor shall not inform any third party without first obtaining the Controller’s prior written consent, unless notification is required by EU law or the law of an EU Member State to which the Processor is subject, in which case the Processor shall to the extent permitted by such law inform the Controller of that legal requirement, provide a copy of the proposed notification and consider any comments made by the Controller before notifying the Personal Data Breach.

## 11\. Data Protection Impact Assessment and Prior Consultation

11.1 The Processor shall provide reasonable assistance to the Controller with any data protection impact assessments in relation to the processing of the Personal Data by the Processor, which are required under Article 35 GDPR and with any prior consultations to any supervisory authority of the Controller which are required under Article 36 GDPR.

## 12\. Deletion or return of the Personal Data

12.1 The Processor shall promptly and in any event within 60 (sixty) calendar days of the earlier of: (i) cessation of processing of Personal Data by Processor; or (ii) termination of the DPA, at the choice of the Controller (such choice to be notified to the Processor in writing) either:

12.1.1 return a complete copy of all Personal Data to the Controller by secure file transfer in such format as notified by the Controller to the Processor and securely wipe all other copies of Personal Data Processed by Processor or any Authorised Subprocessor; or

12.1.2 securely wipe all copies of Personal Data Processed by Processor or any Authorised Subprocessor, and in each case provide written certification to the Controller that it has complied fully with this point 12.1.

12.2 Processor may retain Personal Data to the extent required by EU law or the law of an EU Member State and only to the extent and for such period as required by EU law or EU Member State law and always provided that Processor shall ensure the confidentiality of all such Personal Data and shall ensure that such Personal Data is only Processed as necessary for the purpose(s) specified in the EU law or EU Member State law requiring its storage and for no other purpose.

## 13\. Audit rights

13.1 The Processor shall make available to the Controller on request information reasonable to demonstrate compliance with this DPA and allow for and contribute to audits, including inspections by the Controller or another auditor mandated by the Controller of any premises where the processing of Personal Data takes place. The Processor shall permit the Controller or another auditor mandated by the Controller to inspect, audit and copy any relevant records, processes and systems in order that the Controller may satisfy itself that the provisions of this DPA are being complied with. The Processor shall provide full co-operation to the Controller in respect of any such audit and shall at the request of the Controller, provide the Controller with evidence of compliance with its obligations under this DPA. The Processor shall immediately inform the Controller if, in its opinion, an instruction pursuant to this section 13. (Audit Rights) infringes the GDPR or other EU Data Protection Laws.

## 14\. International Transfers of the Personal Data

14.1 The Processor shall process the Personal Data or permit any Subprocessor to process the Personal Data in a third (non-EEA) country on the basis of mechanisms permitted under the GDPR Chapter V.

## 15\. Indemnity

15.1 The Processor shall indemnify and hold harmless the Controller against proven losses, fines and sanctions arising from a claim by a third party or Supervisory Authority that arises as a direct result of the Processor's breach of its obligations under this DPA, including administrative fines imposed upon the Controller pursuant to Article 83 of the GDPR and penalties imposed in accordance with Article 84 of the GDPR, to the extent that such losses, fines and sanctions arise from reasons attributable to the Processor or its Subprocessors. The Processor's obligation to indemnify under this paragraph shall be limited in accordance with the limitation of liability provisions of the Connect Terms; this limitation shall not apply in the case of damage caused intentionally or by gross negligence, nor to the extent that the limitation of liability is not permitted by mandatory provisions of applicable law.

## 16\. Communication

16.1 Subject to section 10. and unless otherwise agreed by the Parties, the contact details related to the day-to-day communication regarding the matters related to the performance of this agreement shall be as follows:

**Pour le Responsable du traitement :**

Courriel : _adresse enregistrée en relation avec l'exécution de l'Accord-cadre_ ;

_numéro enregistré en relation avec l'exécution de l'Accord-cadre_.

**Pour le Sous-traitant :**

Courriel : privacy@prusa3d.com ; Téléphone : +420 222 263 718.

## 17\. Miscellaneous

17.1 Neither the rights nor the obligations of any Party may be assigned in whole or in part without the prior written consent of the other Party, provided, however, that this DPA may be transferred or assigned on the terms and conditions set out in the Master Agreement.

17.2 Each Party shall remain responsible for its compliance and the compliance of all its employees, agents and third parties with the obligations under this DPA. Each Party shall make or obtain and maintain so long as it is a party to this DPA all necessary licences or notifications which such Party is obliged to obtain and maintain pursuant to applicable EU Data Protection Laws.

17.3 In the event of any dispute arising between the Parties in connection with this DPA, the Parties shall negotiate in good faith to resolve their dispute. If the dispute cannot be resolved by good faith negotiations by the Parties, the dispute shall be finally settled by a public court as stipulated in the Master Agreement.

17.4 This DPA and any disputes relating to it are governed by and shall be construed in accordance with the laws of the Czech Republic, without regard to choice of governing law principles, and each Party submits itself to the exclusive jurisdiction of the courts of the Czech Republic.

17.5 Should any provision of this DPA be invalid or unenforceable, then the remainder of this DPA shall remain valid and in force. The invalid or unenforceable provision shall be either (i) amended as necessary to ensure its validity and enforceability, while preserving the Parties’ intentions as closely as possible or, if this is not possible, (ii) construed in a manner as if the invalid or unenforceable part had never been contained therein.

17.6 Any amendments to this DPA shall only be valid in a written form.

## ANNEX 1

## DETAILS OF PROCESSING OF THE PERSONAL DATA

This Annex 1 includes certain details of the Processing of the Personal Data as required by Article 28(3) GDPR.

### Subject matter and duration of the processing of the Personal Data

_L'objet et la durée du traitement des Données personnelles sont définis dans le présent DPA._

### The nature and purpose of the processing of the Personal Data

_Les Données personnelles sont traitées dans le but de fournir les Services au Responsable du traitement en vertu de l'Accord-cadre, tels que ces termes sont définis dans le DPA, en particulier pour l'exploitation et la fourniture des services cloud PRUSA CONNECT et PRUSA CONNECT FARM développés et exploités par le Sous-traitant._

_Le Traitement est nécessaire pour assurer le bon fonctionnement des Services, en particulier pour la connexion et la gestion des appareils, l'authentification des utilisateurs, la gestion des organisations, des équipes, des rôles et des autorisations des utilisateurs, la gestion des fichiers d'impression, des commandes et des tâches d'impression, la planification et le suivi de la production, la gestion des matériaux, la surveillance de l'état des appareils, l'enregistrement de la qualité, de la maintenance et des événements opérationnels, et l'assurance de la sécurité, des diagnostics et du support des Services, le tout conformément aux instructions documentées du Responsable du traitement et aux lois applicables de l'Union européenne en matière de protection des données._

### The types of the Personal Data to be processed

_Données d'identification, de contact, d'organisation et descriptives enregistrées ou traitées via les services PRUSA ACCOUNT, PRUSA CONNECT et PRUSA CONNECT FARM, telles que :_

-   _adresse e-mail ;_
-   _identifiants de connexion et d'authentification ;_
-   _nom et titre ;_
-   _nom public ou de profil ;_
-   _date d'enregistrement ;_
-   _identifiant utilisateur ;_
-   _nom et détails d'identification de l'organisation, de l'équipe ou de la ferme d'impression ;_
-   _appartenance à une organisation ou une équipe ;_
-   _rôle et autorisations de l'utilisateur ;_
-   _informations sur la propriété de l'organisation ;_
-   _historique des invitations, ajouts, suppressions ou modifications des rôles d'utilisateur ;_
-   _informations concernant l'activité de l'utilisateur au sein des Services._

_**Données techniques et opérationnelles nécessaires à la fourniture du service PRUSA CONNECT**_ _, telles que :_

-   _données fournies aux Services, y compris les noms et contenus des fichiers d'impression, les aperçus d'images, les noms et emplacements des imprimantes, les dossiers, les fichiers, les documents, les notes et tout autre contenu soumis par le Responsable du traitement ;_
-   _données opérationnelles et techniques obtenues par le Sous-traitant via la communication entre le terminal du Responsable du traitement, les appareils connectés et les Services, y compris le type d'imprimante et le numéro de série, l'adresse IP et MAC, les paramètres réseau, la version du firmware, les informations concernant les accessoires, la date à laquelle l'imprimante a été ajoutée aux Services, les clés API, le nom d'utilisateur local et le mot de passe sous forme cryptée, l'état actuel de l'appareil, les valeurs de fonctionnement de l'imprimante, l'état des consommables, les paramètres techniques, les paramètres utilisateur, les données de diagnostic et les messages d'erreur ;_
-   _données concernant les organisations, les fermes d'impression, les lieux de travail, les emplacements et les imprimantes, y compris leur affectation, leur statut, leur configuration, leur maintenance et leurs interventions opérationnelles ;_
-   _données concernant les commandes et leur exécution, y compris les noms, descriptions et articles des commandes, les quantités, les priorités, les délais, le statut d'approbation et d'exécution, les fichiers, imprimantes, matériaux et capacités de production assignés, l'historique des modifications, les notes et les documents joints ;_
-   _les enregistrements des tâches d'impression, y compris les métadonnées du fichier d'impression, l'imprimante et le matériau attribués, la progression de la tâche d'impression, l'état de la mesure du plateau d'impression avant l'impression, les événements survenant pendant l'impression, le résultat de la tâche d'impression et les informations concernant la répétition ou la remise en file d'attente de la tâche d'impression ;_
-   _les données concernant la planification, la gestion et le suivi de la production, les priorités de production, les capacités et les résultats de production ;_
-   _les données concernant les matériaux et les opérations d'inventaire, y compris le type de matériau ou d'emballage, le fabricant, la variante et les détails d'identification, les niveaux d'inventaire, les mouvements de matériaux, la consommation, l'affectation à une imprimante ou à une tâche d'impression, et l'identification de l'utilisateur effectuant l'opération pertinente ;_
-   _les données concernant le contrôle qualité et la gestion de la qualité, y compris le résultat d'une inspection ou d'une tâche d'impression, la classification qualité, la catégorie et la raison du défaut, les commentaires de l'opérateur, l'action corrective, la date d'inspection, l'identification de l'utilisateur et les liens vers la commande, la tâche d'impression, l'imprimante, le matériau ou l'article imprimé pertinents ;_
-   _les enregistrements visuels des tâches d'impression et des inspections de qualité, y compris les images capturant la progression d'une tâche d'impression ou un défaut, le nom de la caméra, la date à laquelle l'image a été prise et son association avec une tâche d'impression, une commande ou un enregistrement de qualité ;_
-   _les journaux opérationnels, de sécurité et d'audit, y compris les enregistrements des connexions, des changements de rôles et de permissions, du transfert de propriété de l'organisation, de l'ajout ou de la suppression d'utilisateurs, de l'ajout ou de la modification d'appareils, et des changements apportés aux commandes, aux tâches d'impression, aux fichiers, aux paramètres et aux données de qualité, y compris la date, l'heure, l'identification de l'utilisateur, l'adresse IP, les informations sur l'appareil et le résultat de l'opération pertinente ;_
-   _les Données Personnelles contenues dans les noms, descriptions, notes, fichiers, documents, images et autres contenus soumis par le Responsable du traitement, y compris toute donnée d'identification, de contact, liée à la commande, contractuelle ou autre concernant les clients, employés, fournisseurs ou partenaires commerciaux du Responsable du traitement ;_
-   _les autres données descriptives, opérationnelles et techniques relatives à l'utilisation active des services PRUSA CONNECT et PRUSA CONNECT FARM, de leurs interfaces web ou d'application, de l'impression et de la gestion des organisations, des appareils, des commandes, des processus de production, des matériaux, de la qualité et de la maintenance._

_Les Services ne sont pas principalement destinés au Traitement de catégories spéciales de Données Personnelles au sens de l'article 9 du RGPD ou de Données Personnelles relatives aux condamnations pénales et aux infractions au sens de l'article 10 du RGPD._

### The categories of data subject to whom the Personal Data related

_Les responsables des Services, les employés du Responsable du traitement, les sous-traitants externes, les fournisseurs, les clients et les clients potentiels, les personnes de contact des clients, fournisseurs et partenaires commerciaux du Responsable du traitement, les personnes capturées dans les enregistrements visuels, et d'autres personnes physiques dont les Données Personnelles sont soumises aux Services par le Responsable du traitement._

### The obligations and rights of the Controller

_Les obligations et les droits du Responsable du traitement sont énoncés dans le présent DPA._