Privacybeleid

1.1De verwerkingsverantwoordelijke is Antonio Sasso, een Italiaanse zelfstandige beroepsbeoefenaar, btw-nummer IT04607290717, Via Giuseppe di Vittorio 171/B, 71043 Manfredonia (FG), Italia (de “Exploitant”, “wij”, “ons”), die het Manuroute-platform exploiteert (het “Platform”).

1.2Contact voor elke vraag of elk verzoek over privacy: hello@manuroute.com.

1.3Klanten en producenten. Wanneer een bestelling wordt toegewezen, ontvangt de producent de klantgegevens die nodig zijn om de bestelling te produceren en te verzenden (naam, verzendadres, telefoonnummer als de vervoerder dat vereist, en het bestand). Voor deze gegevens treedt de producent op als zelfstandige verwerkingsverantwoordelijke: hij beslist hoe het pakket wordt verpakt en verzonden en heeft een eigen overeenkomst met de vervoerder. De producent is op grond van de producentenvoorwaarden verplicht de gegevens alleen te gebruiken om die bestelling uit te voeren, ze vertrouwelijk te houden, ze niet voor enig ander doel te hergebruiken (ook niet voor marketing of om buiten de opdrachtchat contact op te nemen met de klant), en ze, samen met het bestand, 30 dagen na voltooiing van de bestelling te verwijderen. Wij blijven verwerkingsverantwoordelijke voor alle gegevens die op het Platform zelf worden verwerkt.

2.1Accountgegevens. Naam, e-mailadres, telefoonnummer (producenten, voor verificatie), wachtwoord of inloggen via een externe aanbieder (bijvoorbeeld Google of GitHub), taal, land, rol (klant, producent of beide), uw bevestiging dat u 18 jaar of ouder bent, en uw voorkeur voor marketing-e-mails (opt-in-status en de datum van de bevestiging via dubbele opt-in).

2.2Verificatie van producenten (KYC/KYB). Producenten verifiëren hun identiteit en, op hogere vertrouwensniveaus, hun onderneming via Stripe Connect. Identiteitsdocumenten en bankgegevens worden door Stripe verzameld en verwerkt; wij ontvangen de verificatiestatus en de informatie die Stripe aan platforms beschikbaar stelt (zoals naam, adres, gegevens van de uitbetalingsrekening). Wij verzamelen ook machinegegevens, verificatiefoto's van machines (inclusief foto's van het serienummer en van de testprint), materialen en de landen waarnaar producenten verzenden.

2.3DAC7-belastinggegevens. Voor producenten, zoals vereist door Richtlijn (EU) 2021/514 van de Raad (“DAC7”) en de Italiaanse uitvoeringsregels: naam, woonadres, fiscaal identificatienummer of btw-nummer, geboortedatum voor natuurlijke personen, identificatie van de uitbetalingsrekening, en de totale betaalde vergoeding en het aantal transacties per rapportageperiode.

2.4Bestelgegevens. Geüploade printbestanden en de daaruit gehaalde gegevens (printermodel, nozzle, filamenten, gewicht, tijd, voorbeelden van de bouwplaat), opgegeven gebruik van het onderdeel, acceptatiecriteria, prijzen, vergoedingen, betaalstatus, bestelgeschiedenis en gebeurtenissen.

2.5Betaalgegevens. Betalingen worden verwerkt door Stripe. Wij slaan geen volledige kaartnummers op; wij ontvangen betalingsidentificatoren en de status.

2.6Foto's. Foto's die zijn geüpload door producenten (bouwplaat, onderdeel, onderdeel op een weegschaal, pakket) en door klanten (bij een geschil).

2.7Verzendgegevens. Verzendadres van de klant, het afzenderadres van de producent waar dit op het pakket staat, vervoerder en trackingnummer.

2.8Communicatie. Berichten in de opdrachtchat, verklaringen en bewijs in geschillen, supportverzoeken, beoordelingen.

2.9Technische en loggegevens. IP-adres, apparaat- en browserinformatie, inloggebeurtenissen, downloadlogs van bestanden, beveiligings- en auditlogs, foutrapporten. Om geautomatiseerd misbruik weg te houden van de inloglink, de wachtlijst en de prijsopgave zonder account, gebruiken die formulieren Cloudflare Turnstile: dit controleert signalen van uw browser en de verbinding daarvan (zoals het IP-adres, browserkenmerken en de manier waarop de pagina wordt gebruikt) om mensen van bots te onderscheiden, zonder trackingcookies, en geeft een eenmalig token terug dat onze server bij Cloudflare verifieert. Voor rate limiting worden alleen gezouten hashes van IP- en e-mailadressen opgeslagen, en tellingen van geweigerde verzoeken, nooit de adressen zelf.

2.9.1Bestanden die wij niet kunnen lezen. Wanneer een upload wordt geweigerd (bijvoorbeeld een STL of een bestand uit een slicer die wij nog niet lezen), bewaren wij alleen het type, de slicer die in de eerste regels wordt genoemd, de grootte, de dag en het land waar uw verbinding vandaan komt, en uw antwoord als u ervoor kiest te vertellen wat u wilde printen. Het bestand zelf wordt direct verwijderd, of verlaat uw browser nooit. Deze gegevens worden niet aan uw account gekoppeld.

2.10Analysegegevens. Gebeurtenissen over productgebruik, alleen als u toestemming geeft (artikel 8).

2.11Wachtlijstgegevens. E-mailadres, of u zich hebt aangemeld als klant of als producent, taal en land indien opgegeven, en de datum waarop u het adres hebt bevestigd. Aanmelding voor de wachtlijst wordt bevestigd via dubbele opt-in: wij e-mailen een bevestigingslink en schrijven u pas over de lancering nadat u hebt bevestigd.

2.12Feedback en hulpverzoeken. Wat u schrijft in het hulp- en feedbackpaneel of antwoordt op een korte vraag wanneer u bij een stap stopt (bijvoorbeeld bij een prijsopgave die u niet bestelt), de pagina vanaf waar het is verzonden, de taal, de venstergrootte en de browser, een screenshot als u die toevoegt, en, als u niet bent ingelogd, het e-mailadres dat u achterlaat zodat wij u kunnen antwoorden. Een hulpverzoek zonder account vereist dat adres.

2.13Catalogusaccounts en hun kopers. Wanneer een klant met een catalogus (een handelaar) bestelt voor een van zijn eigen kopers, verwerken wij de naam, het verzendadres en het telefoonnummer van de koper, verstrekt door de handelaar, om die bestelling te maken en te verzenden, en bewaren wij ze bij de bestelling. Het is de handelaar die zijn koper hierover informeert; wij nemen nooit contact op met de koper. Van de handelaar zelf bewaren wij ook de handelsnaam, de optionele bedrijfsnaam en het btw-nummer, zijn catalogusartikelen, zijn API-sleutels (opgeslagen als hashes), zijn webhook-endpoint en het log van de gebeurtenissen die ernaar zijn verzonden, en de identificatoren van de opgeslagen kaart bij Stripe. De JSON-download van de accountgegevens (artikel 7.1) bevat het catalogusprofiel, de artikelen, de sleutels (zonder hun hash) en de bestellingen.

Marketing-e-mails. Wij sturen marketing-e-mails alleen naar personen die daarvoor een afzonderlijke, uitdrukkelijke opt-in hebben gegeven, los van de accountregistratie en van transactionele e-mails. Elke opt-in wordt bevestigd via dubbele opt-in: u ontvangt een bevestigingsmail en wordt pas aan de marketinglijst toegevoegd nadat u op de link daarin hebt geklikt. Dit geldt voor iedereen, in elk land. Elke marketing-e-mail bevat een afmeldlink die met één klik werkt; afmelden stopt de marketing-e-mails, maar niet de transactionele e-mails die nodig zijn om uw bestellingen en uw account te laten werken.

Geautomatiseerde verwerking. De koppeling van een bestelling aan een producent, de vertrouwensniveaus, de bestellimieten en de betrouwbaarheidsscore worden automatisch berekend op basis van de criteria die in de Voorwaarden zijn beschreven.

4.1Andere gebruikers. De toegewezen producent ontvangt het bestand en de gegevens die nodig zijn om de bestelling te produceren en te verzenden. De klant ziet het vertrouwensniveau van de producent, en kan de afzendergegevens van de producent op het pakket zien. Contact verloopt uitsluitend via de opdrachtchat.

4.2Verwerkers. Wij maken gebruik van de volgende aanbieders, die namens ons gegevens verwerken op grond van verwerkersovereenkomsten:

4.3Inlogaanbieders. Als u inlogt met Google of GitHub, deelt die aanbieder basisprofielgegevens met ons onder zijn eigen privacybeleid.

4.4Autoriteiten. De Agenzia delle Entrate (DAC7-rapportage en belastingen), en andere autoriteiten of rechtbanken waar de wet dat vereist.

4.5Adviseurs. Onze accountant en advocaat, gebonden aan hun beroepsgeheim, waar nodig.

4.6Wij verkopen geen persoonsgegevens en wij gebruiken geüploade bestanden voor geen ander doel dan de bestelling.

4.7De kopers van een handelaar. Voor een bestelling die een handelaar voor zijn koper plaatst, ontvangen de toegewezen producent en de vervoerder de naam, het adres en het telefoonnummer van de koper om de bestelling te produceren en te verzenden, zoals bij elke bestelling (4.1); de handelaar ziet ze bij zijn bestellingen. Het webhook-endpoint van de handelaar ontvangt de status en de tracking van zijn bestellingen, nooit het adres van de koper.

5.1Sommige verwerkers zijn gevestigd in, of kunnen gegevens benaderen vanuit, landen buiten de Europese Economische Ruimte, met name de Verenigde Staten. Waar dit gebeurt, berusten doorgiften op een adequaatheidsbesluit (zoals het EU-VS-gegevensprivacykader, voor aanbieders die daaronder zijn gecertificeerd) of op de modelcontractbepalingen van de Europese Commissie, zoals vastgelegd in de verwerkersovereenkomst van elke aanbieder.

5.2Bij bestellingen kunnen ook producenten betrokken zijn die buiten de EER zijn gevestigd (bijvoorbeeld in het Verenigd Koninkrijk of de Verenigde Staten). Een dergelijke producent ontvangt alleen de verzendgegevens die nodig zijn om de bestelling uit te voeren (naam, verzendadres, telefoonnummer als de vervoerder dat vereist, en het bestand), en verder niets over de klant. De doorgifte berust op de modelcontractbepalingen van de Europese Commissie, die zijn opgenomen in de producentenvoorwaarden die elke producent aanvaardt, samen met de verplichtingen inzake vertrouwelijkheid, geen hergebruik en verwijdering na 30 dagen die in artikel 1.3 zijn beschreven. Voor producenten in het Verenigd Koninkrijk kan de doorgifte ook berusten op het adequaatheidsbesluit van de Commissie voor het VK.

5.3Hostingregio's. Alles wat het Platform beheert, wordt gehost in de Europese Unie: de database bij Neon in een EU-regio, de bestandsopslag bij Cloudflare R2 onder EU-jurisdictie, de productanalyse in de EU-cloud van PostHog, en de serverfuncties van de webapplicatie bij Vercel in een EU-regio. Doorgiften buiten de EER zijn daarom beperkt tot de gevallen in de artikelen 5.1 en 5.2, voornamelijk support, beveiliging en verwerking op accountniveau door aanbieders die in de Verenigde Staten zijn gevestigd.

7.1Op grond van de AVG hebt u recht op:

• inzage in uw gegevens en ontvangst van een kopie;
• rectificatie van onjuiste gegevens;
• wissing van uw gegevens, tenzij wij ze wettelijk moeten bewaren of nodig hebben voor de afhandeling van een openstaande bestelling of een lopend geschil;
• beperking van de verwerking in de gevallen die de wet bepaalt;
• gegevensoverdraagbaarheid: u kunt uw accountgegevens als JSON-bestand downloaden via uw accountinstellingen;
• bezwaar tegen verwerking op grond van gerechtvaardigd belang;
• intrekking van uw toestemming op elk moment (voor analyse, de wachtlijst en marketing-e-mails), zonder gevolgen voor eerdere verwerking. E-mails die u kunt stoppen, bevatten een afmeldlink die met één klik werkt, en e-mailprogramma's die dat ondersteunen, tonen hun eigen afmeldknop.

7.2U kunt uw account sluiten via uw accountinstellingen. Openstaande bestellingen, geschillen en uitbetalingen worden eerst afgerond of opgelost. U wordt direct uitgelogd en kunt het account behouden door binnen 30 dagen in te loggen; daarna worden de accountgegevens verwijderd of geanonimiseerd, en worden wettelijk vereiste gegevens bewaard gedurende de hierboven genoemde termijnen.

7.3Om uw rechten uit te oefenen, schrijft u naar hello@manuroute.com. Wij antwoorden binnen één maand, een termijn die kan worden verlengd waar de wet dat toestaat. Wij kunnen u vragen uw identiteit te bevestigen.

7.4U hebt het recht een klacht in te dienen bij de Italiaanse toezichthoudende autoriteit voor gegevensbescherming (Garante per la protezione dei dati personali, www.garanteprivacy.it) of bij de autoriteit van het land waar u woont of werkt.

8.1Technische cookies. Wij gebruiken alleen de cookies en vergelijkbare technologieën die strikt noodzakelijk zijn voor de werking van het Platform: inlogsessie, beveiliging, taalvoorkeur en het opslaan van uw toestemmingskeuze. Hiervoor is geen toestemming nodig. Wanneer u zonder account een bestand uploadt voor een prijsopgave, koppelt een willekeurige sleutel in een technische cookie (mr_guest, 7 dagen) het bestand en de bijbehorende prijsopgave aan uw browser; wij slaan daarvan alleen een hash op. Wanneer u inlogt om te reserveren of te betalen, gaat het bestand over naar uw account en doet de sleutel er niet meer toe. Een first-party cookie (mr_attr, 30 dagen) registreert waar uw eerste bezoek vandaan kwam: de campagneparameters van de link (utm_source, utm_medium, utm_campaign), een verwijzingscode, de pagina waarop u binnenkwam, de host van de verwijzende site en de dag. Deze cookie bevat geen identificator, wordt nooit gedeeld en wordt gekopieerd naar een bestelling of reservering die u plaatst, zodat wij bestellingen per kanaal geaggregeerd kunnen tellen.

8.2PostHog-analyse. Met uw toestemming gebruiken wij PostHog om te begrijpen hoe het Platform wordt gebruikt en om het te verbeteren. PostHog wordt pas geladen nadat u het in de toestemmingsbanner hebt geaccepteerd, en u kunt uw keuze op elk moment wijzigen via de cookie-instellingen.

8.3Wij gebruiken geen advertentie- of profileringscookies.

9.1Wij beschermen gegevens met maatregelen waaronder: versleuteling van opgeslagen bestanden; uploads alleen via ondertekende URL's, met een limiet van 200 MB en controles aan de serverzijde van het werkelijke bestandstype; downloadlinks die na 24 uur verlopen; toegang tot bestanden beperkt tot de toegewezen producent zolang de bestelling geaccepteerd of in productie is; een log van elke download; rate limiting; een botcontrole (Cloudflare Turnstile) op de openbare formulieren; een dagelijkse limiet voor e-mails; geheimen die buiten de code worden gehouden; tweefactorauthenticatie voor beheerders; een onveranderlijk auditlog; dagelijkse databaseback-ups.

9.2Als zich een inbreuk in verband met persoonsgegevens voordoet, melden wij dit aan de bevoegde autoriteit en aan de betrokken gebruikers waar de AVG dat vereist.

Het Platform is uitsluitend bestemd voor volwassenen: u moet ten minste 18 jaar oud zijn om een account te openen, en u bevestigt dit bij uw registratie. Het Platform is niet bedoeld voor minderjarigen en wij verzamelen niet bewust hun gegevens. Als wij vernemen dat een accounthouder jonger is dan 18 jaar, sluiten wij het account en verwijderen wij de gegevens ervan, behalve wat wij wettelijk moeten bewaren. Als u denkt dat een minderjarige ons persoonsgegevens heeft verstrekt, schrijf dan naar hello@manuroute.com en wij verwijderen ze.

Wij kunnen dit beleid bijwerken. Wij informeren geregistreerde gebruikers per e-mail of op het Platform over wezenlijke wijzigingen voordat die van kracht worden.

Antonio Sasso, Via Giuseppe di Vittorio 171/B, 71043 Manfredonia (FG), Italia, hello@manuroute.com.