Політика конфіденційності

Ця Політика конфіденційності (далі — «Політика») описує, які персональні дані збирає й обробляє сайт remesla.com.ua (далі — «Remesla», «Сайт») під час реєстрації, користування Сайтом і здійснення покупок, з якою метою, де вони зберігаються та які права ви маєте. Обробка персональних даних здійснюється відповідно до Закону України «Про захист персональних даних» від 01.06.2010 № 2297-VI.

Володільцем персональних даних є ФОП Сурмачевський Антон Дмитрович, код ЄДРПОУ/РНОКПП 3593800275, юридична адреса: Україна, 16600, Чернігівська область, м. Ніжин, вул. Шевченка, буд. 97. Питання щодо обробки персональних даних — на support@remesla.com.ua.

Під час реєстрації ви вказуєте email, ім’я та пароль — або реєструєтесь через Google чи Facebook. Логін і пароль обробляє й зберігає AWS Cognito, окремий сервіс автентифікації: Remesla не бачить і не зберігає ваш пароль у власній базі даних.

• У профільній базі даних (PostgreSQL) ми зберігаємо: email, ім’я, телефон і позначку про його підтвердження, фото профілю, обрані види доставки та оплати (і розмір часткової передоплати, якщо вказаний), посилання на соцмережі, статус і роль облікового запису, дату реєстрації та дату останнього входу.
• Фото профілю, види доставки, види оплати та соцмережі — необов’язкові поля; ви заповнюєте їх самостійно в «Налаштуваннях». Телефон необов’язковий для покупців, але продавцю потрібен підтверджений номер, щоб публікувати товари.
• Номер телефону підтверджується дзвінком: на нього телефонує сервіс AlphaSMS, а ви вводите останні 4 цифри номера, з якого надійшов дзвінок. Для цього ми передаємо AlphaSMS лише ваш номер телефону.
• Обрана мова інтерфейсу зберігається у профілі й у cookie-файлі браузера — див. розділ «Файли cookie».

Оформити замовлення можна як з акаунтом, так і без нього. Оформлюючи замовлення через кошик, ви вказуєте ім’я та прізвище отримувача, номер телефону, email та, залежно від способу доставки, місто, відділення чи адресу, а також обраний спосіб оплати. Ці дані стають видимими продавцю лише після підтвердження замовлення — до цього моменту вони позначені як «Дані заблоковано». Історія замовлень, статусів і торгу за ціною зберігається для обох сторін угоди та адміністрації Сайту.

Лист про замовлення надсилаємо на вказаний email. Після підтвердження замовлення покупець отримує телефон і email продавця — у деталях замовлення та в листі. Якщо продавцем товару є Remesla, дані замовлення обробляємо ми як сторона договору купівлі-продажу.

Фотографії, які ви завантажуєте до товарів, дописів чи профілю, зберігаються в об’єктному сховищі, сумісному з S3 (MinIO), і роздаються публічно через CDN Сайту — так само, як будь-яке інше публічне зображення на Сайті; окремого захисту доступом ці фото не мають, оскільки призначені для показу в каталозі.

Перед збереженням фото автоматично перекодовується, а метадані знімку — включно з даними геолокації (GPS) і моделлю пристрою (EXIF) — видаляються.

Під час входу в акаунт ми фіксуємо IP-адресу та час входу — для безпеки акаунта й запобігання зловживанням. IP-адреса та user-agent браузера також передаються Meta — див. розділи «Передача даних Meta» і «Файли cookie».

Заповнюючи форму на сторінці «Контакти», ви передаєте нам ім’я, email, за бажанням — телефон, тему й текст звернення. Ці дані використовуються лише для відповіді на ваше звернення.

• реєстрація, автентифікація та захист акаунта;
• показ товарів і профілів продавців;
• підтвердження номера телефону продавця;
• оформлення й виконання замовлень, зокрема без акаунта; передача контактів продавця покупцеві після підтвердження замовлення;
• розрахунок і стягнення комісії маркетплейсу, ведення «Балансу»;
• модерація контенту та запобігання шахрайству й порушенням правил;
• надсилання транзакційних листів (підтвердження email, скидання пароля, листи й статуси замовлень, рішення модерації);
• відповіді на звернення до підтримки;
• за вашою згодою (див. розділ «Файли cookie») — вимірювання ефективності реклами Remesla та показ вам релевантної реклами в сервісах Meta: Facebook, Instagram, Threads, WhatsApp тощо (див. розділ «Передача даних Meta»);
• виконання вимог законодавства України.

Ми не продаємо ваші дані. Для реклами й аналітики дані передаються третім особам лише так: дані про ваші дії на Сайті — Meta (див. розділ «Передача даних Meta»), дані про відвідування Сайту — Google для аналітики, записи того, як ви користуєтеся сторінками Сайту, — Microsoft, щоб ми могли робити Сайт зручнішим. Це відбувається за вашою згодою; як обмежити цю передачу — див. розділ «Файли cookie».

Для роботи Сайту ми залучаємо такі сервіси, що діють як розпорядники персональних даних:

• AWS Cognito (Amazon Web Services) — реєстрація, автентифікація, зберігання пароля.
• AWS SES (Amazon Simple Email Service) — надсилання транзакційних листів (не маркетингових розсилок).
• Об’єктне сховище, сумісне з S3 (MinIO) — зберігання фотографій.
• GlitchTip (самостійно розміщений сервіс) — фіксація технічних помилок бекенду для діагностики; паролі, токени й cookie автоматично виключаються з таких записів перед відправкою.
• AlphaSMS (ТОВ «ІНВЕСТУМ», Україна, код ЄДРПОУ 36852257) — підтвердження номера телефону дзвінком; отримує лише номер телефону.
• Google Analytics (Google LLC) — аналітика відвідуваності Сайту (див. розділ «Файли cookie»); дані обробляються за межами України.

Дані отримувача та доставки в межах конкретного замовлення передаються відповідному продавцю після підтвердження замовлення — це необхідно для виконання угоди. Телефон і email продавця стають доступні покупцю лише після підтвердження замовлення — у деталях замовлення та в листі.

Крім передачі даних Meta (див. наступний розділ), ми не передаємо персональні дані іншим третім особам, окрім випадків, прямо передбачених законодавством України (наприклад, на запит уповноваженого органу).

Ми передаємо дані про ваші дії на Сайті компанії Meta Platforms Ireland Limited або Meta Platforms, Inc. — залежно від вашого місця перебування (далі — «Meta»). Meta не є нашим розпорядником: щодо цих даних вона діє як самостійний володілець і обробляє їх відповідно до власної Політики конфіденційності (https://www.facebook.com/privacy/policy/) та Умов використання бізнес-інструментів Meta.

Підставою для передачі є ваша згода, яку ви надаєте, продовжуючи користуватися Сайтом після повідомлення про cookie. Перелік даних, які отримує Meta, наведено в розділі «Файли cookie». Meta використовує їх, щоб вимірювати ефективність реклами Remesla й показувати вам релевантну рекламу в сервісах Meta: Facebook, Instagram, Threads, WhatsApp тощо, а також — відповідно до своїх умов — для покращення власних рекламних систем.

Як обмежити роботу пікселя Meta — див. розділ «Файли cookie». Дані, які Meta вже отримала, зберігаються й обробляються за її правилами; керувати ними, зокрема вимкнути використання даних з інших сайтів для реклами, можна в Центрі облікових записів Meta (налаштування реклами та активності поза технологіями Meta).

Частина сервісів, які ми використовуємо, зберігає дані на серверах за межами України: Amazon Web Services (AWS Cognito, AWS SES), а також Meta, Google (Google Analytics) і Microsoft (Microsoft Clarity). Така передача здійснюється відповідно до статті 29 Закону України «Про захист персональних даних»: до Amazon Web Services — оскільки це необхідно для виконання угоди з вами (реєстрація, вхід, надсилання листів), до Meta, Google і Microsoft — на підставі вашої згоди.

Сайт використовує технічно необхідні cookie-файли для роботи акаунта й мовних налаштувань, а також піксель Meta (Facebook/Instagram) — для вимірювання ефективності реклами й показу вам релевантної реклами в сервісах Meta: Facebook, Instagram, Threads, WhatsApp тощо, Google Analytics — щоб аналізувати відвідуваність Сайту, і Microsoft Clarity — щоб розуміти, як відвідувачі користуються сторінками Сайту, і робити їх зручнішими. Інших інструментів веб-аналітики чи реклами на Сайті не встановлено. Піксель Meta, Google Analytics і Microsoft Clarity працюють з першого відкриття Сайту: під час першого відвідування внизу екрана показується повідомлення про cookie з посиланням на цю Політику, і, продовжуючи користуватися Сайтом, ви погоджуєтеся на їх використання. Як їх обмежити — див. наприкінці цього розділу.

Піксель Meta ніколи не завантажується на сторінках з обліковими чи персональними даними (наприклад, «Налаштування», кабінет продавця, вхід і реєстрація, підтвердження email). Він фіксує перегляди сторінок; перегляди, додавання в кошик і оформлення товарів — з ідентифікатором товару, кількістю та сумою; а також текст пошукового запиту, якщо ви скористалися пошуком на Сайті. Ті самі події ми також надсилаємо на сервер Meta напряму (Conversions API) — це підвищує точність вимірювання реклами. При цьому Meta отримує вашу IP-адресу та user-agent браузера (технічні дані будь-якого запиту до сайту) та ідентифікатори «_fbp»/«_fbc» (див. нижче). До кожної події, яку ми надсилаємо на сервер Meta, додається також країна («ua») у хешованому вигляді (SHA-256). Якщо ви ввійшли в акаунт, до подій перегляду товару, додавання в кошик, початку оформлення й замовлення додаються ще й email та телефон (лише підтверджені), ідентифікатор акаунта та місто з вашого акаунта — усе в хешованому вигляді (SHA-256); для замовлення без акаунта — хешовані телефон і email із форми замовлення. Хешування ускладнює зіставлення з іншими даними, але не робить ці дані повністю анонімними. Крім того, кожне надіслане на сервер Meta замовлення підтверджується окремим технічним підписом, який неможливо підмінити чужим замовленням.

Google Analytics (сервіс Google LLC) не працює в адмін-панелі та на сторінках підтвердження email, скидання пароля і зміни email. Він отримує: псевдонімний ідентифікатор браузера (cookie «_ga»), адреси й заголовки відвіданих сторінок (дані, які ви вводите у форми — ім’я, телефон, email, адресу — не передаються; виняток — тексти пошукових запитів, які ви вводите на Сайті: вони передаються як введено), технічні дані про пристрій і браузер, приблизне місцезнаходження, яке Google визначає за IP-адресою (саму IP-адресу Google Analytics не зберігає), дані про товари, які ви переглядаєте, додаєте в кошик і купуєте (назва, ціна, категорія, ідентифікатор і публічна назва продавця), суми замовлень та ідентифікатор оформлення, обрані способи доставки й оплати (лише їхні назви), а також автоматичні події: прокручування сторінки, кліки за зовнішніми посиланнями (адреса посилання) і завантаження файлів. Якщо ви ввійшли в акаунт, Google отримує також внутрішній ідентифікатор вашого акаунта на Сайті (не email, не телефон і не ім’я), щоб поєднувати ваші дії з різних пристроїв. Імена, телефони, email, адреси доставки, коментарі та інший текст, який ви вводите у форми (крім пошукових запитів), Google Analytics не передаються. Google обробляє ці дані за межами України. Ми зберігаємо їх у Google Analytics 14 місяців і використовуємо лише для аналізу роботи Сайту. Ресурс Google Analytics пов’язаний з нашими обліковими записами Google Ads і Google Merchant Center, але Сайт позначає всі дані як такі, що не можуть використовуватися для реклами (згоду на рекламне зберігання й персоналізацію реклами передано як «відмовлено»), а Google Signals вимкнено. Cookie Google Analytics діють до 180 днів. На ваш запит ми видалимо дані Google Analytics, пов’язані з ідентифікатором вашого акаунта.

Microsoft Clarity (сервіс Microsoft Corporation) записує, як відвідувачі користуються сторінками Сайту, і будує з цих записів теплові карти кліків і прокрутки. Clarity ніколи не працює для адміністраторів і модераторів Сайту. Clarity працює лише на публічних сторінках (головна, каталог, пошук, сторінки товарів, публічні профілі продавців — зокрема ваш власний, довідка, інформаційні сторінки, сторінки помилок), у кошику й оформленні замовлення (зокрема без акаунта та «Купити в 1 клік»), а також під час створення товару й імпорту товарів. Clarity не працює в адмін-панелі, на сторінках входу й реєстрації, підтвердження email, скидання пароля й зміни email, у налаштуваннях і на сторінці особистого профілю, у кабінеті продавця («Мої товари», «Мої дописи», «Мої продажі»), на сторінках замовлень, «Мої покупки», «Рахунок» і просування, під час редагування товарів, створення й редагування дописів і у формі зв’язку. Clarity отримує: макет сторінок і їхній публічний вміст (назви, ціни й фото товарів, назви категорій, публічні імена продавців, відгуки, тексти й заголовки сторінок Сайту); ваші кліки й дотики, прокрутку, рухи миші й розмір вікна; повні адреси відвіданих сторінок — зокрема з текстом пошукового запиту й обраними фільтрами — і адресу сайту, з якого ви перейшли; технічні дані про пристрій і браузер; помилки скриптів на сторінках; приблизне місцезнаходження, яке Microsoft визначає за IP-адресою; псевдонімні ідентифікатори браузера й сеансу (cookie «_clck» і «_clsk» та запис «_cltk» у сховищі сеансу браузера); а також позначки, які додає Сайт: тип сторінки (наприклад, «оформлення»), чи ви ввійшли в акаунт («так»/«ні») і мова сторінки. Ваші ім’я, email і телефон, ваше фото профілю в шапці сайту й меню акаунта, фото, які ви завантажуєте під час створення товару чи імпорту (до публікації), контакти продавців, дані отримувача й доставки, номери замовлень, усе, що ви вводите у форми (зокрема в поле пошуку), адреси фідів імпорту, назви й описи чернеток імпорту маскуються ще у вашому браузері — замінюються заглушкою до відправлення, тож Microsoft їх не отримує; виняток — текст пошукового запиту, який Microsoft отримує як частину адреси сторінки результатів. Сайт не передає ідентифікатор вашого акаунта як ідентифікатор користувача Clarity (функцію «identify» не використано), а позначки сторінки не містять персональних даних; ваш власний публічний профіль і сторінки ваших оголошень записуються так само, як будь-яка публічна сторінка. Згоду на рекламне зберігання Сайт завжди передає Clarity як «відмовлено»; проєкт Clarity не пов’язаний з Google Analytics, Microsoft Advertising чи іншими сервісами. Щодо даних Microsoft Clarity компанія Microsoft діє як окремий (незалежний) володілець персональних даних, а не як наш розпорядник: вона обробляє їх відповідно до Умов використання Microsoft Clarity та Заяви про конфіденційність Microsoft, може використовувати їх для власних цілей, описаних у цих документах, і обробляє їх за межами України. Записи сеансів зберігаються в Clarity 30 днів, а теплові карти й записи, які ми позначили мітками чи додали в обране для аналізу, — до 13 місяців. Записи не пов’язані з вашим акаунтом, тому знайти й видалити на ваш запит записи саме ваших відвідувань ми не можемо (Microsoft дозволяє видалити дані лише всього проєкту): вони видаляються автоматично, коли закінчується строк зберігання. Microsoft може також встановлювати власні cookie на своїх доменах (наприклад, «CLID», «MUID»); Сайт не може їх видалити — це можна зробити в налаштуваннях браузера. Cookie «_clck» діє до 1 року, «_clsk» — до 1 доби.

• «board_rt» — зашифрований токен оновлення сесії (httpOnly, недоступний для JavaScript); потрібен, щоб не виходити з акаунта; діє до 30 днів.
• «board_authed» — технічна позначка «ви ввійшли», без облікових даних (httpOnly); потрібна, щоб сторінка одразу показала правильний стан входу; діє до 30 днів.
• «board_pkce» — тимчасовий технічний cookie для входу через Google або Facebook; діє до 10 хвилин і видаляється одразу після завершення входу.
• «NEXT_LOCALE» — запам’ятовує обрану мову інтерфейсу (українська/англійська); діє до 1 року.
• «board_consent» — запам’ятовує, що ви закрили повідомлення про cookie, щоб не показувати його знову; наш власний технічний cookie, не рекламний; діє до 180 днів.
• «_fbp» — встановлюється пікселем Meta для розпізнавання браузера в рекламній системі Meta; діє до 90 днів.
• «_fbc» — встановлюється пікселем Meta або самим Сайтом для зв’язку кліку на рекламу Meta з подальшими діями на Сайті; діє до 90 днів.
• «_ga» — встановлює Google Analytics щоб розрізняти браузери відвідувачів; діє до 180 днів.
• «_ga_<ідентифікатор>» — встановлює Google Analytics щоб зберігати стан відвідування; діє до 180 днів.
• «_clck» — встановлює Microsoft Clarity щоб розпізнавати ваш браузер між відвідуваннями (псевдонімний ідентифікатор); діє до 1 року.
• «_clsk» — встановлює Microsoft Clarity щоб поєднувати перегляди сторінок одного відвідування в один запис; діє до 1 доби.

Перші чотири cookie є строго необхідними для роботи Сайту (вхід в акаунт і мовні налаштування) — окрема згода на них не потрібна, як для будь-якого технічного cookie, без якого сайт не може коректно функціонувати. «board_consent», «_fbp», «_fbc», «_ga», «_ga_<ідентифікатор>», «_clck» і «_clsk» для роботи Сайту не потрібні: вони встановлюються з першого відвідування на підставі вашої згоди, яку ви надаєте, продовжуючи користуватися Сайтом після повідомлення про cookie. Окремого перемикача згоди на Сайті немає. Якщо ви не згодні з використанням пікселя Meta, Google Analytics чи Microsoft Clarity, ви можете не користуватися Сайтом або обмежити їх засобами браузера: увімкнути захист від відстеження або блокувальник трекерів — тоді ці сервіси не завантажуються у вашому браузері; для Google Analytics також є офіційне доповнення браузера Google Analytics Opt-out; видалити їхні cookie можна в налаштуваннях браузера. Події, які Сайт сам надсилає на сервер Meta (Conversions API), засобами браузера не вимикаються. Керувати тим, як Meta використовує дані для реклами, можна в Центрі облікових записів Meta. Видалення cookie-файлів у налаштуваннях браузера може призвести до виходу з акаунта.

Дані профілю зберігаються, доки діє ваш акаунт. Дані замовлень, зокрема оформлених без акаунта, зберігаються стільки, скільки потрібно для виконання замовлення, бухгалтерського обліку та вирішення можливих спорів. Після видалення акаунта запис позначається як видалений і приховується з публічного доступу; ми можемо зберігати частину знеособлених чи агрегованих даних (наприклад, статистику замовлень) довше — для бухгалтерського обліку, вирішення спорів чи виконання вимог законодавства. Технічні журнали (логи) зберігаються обмежений строк і використовуються виключно для діагностики та безпеки. Строк дії cookie-файлів наведено в розділі «Файли cookie»; дані, передані Meta, зберігаються Meta відповідно до її Політики конфіденційності.

Ви можете видалити свій акаунт у «Налаштуваннях» → «Управління обліковим записом». Видалення — «м’яке»: акаунт і пов’язаний з ним контент приховуються з публічного доступу. Після видалення повторна реєстрація з тією самою електронною поштою чи тим самим акаунтом Google або Facebook заблокована безповоротно — це свідома технічна міра проти зловживань (наприклад, повторної реєстрації для обходу блокування).

Якщо вам потрібне повне видалення персональних даних із резервних копій, зверніться на support@remesla.com.ua.

Відповідно до Закону України «Про захист персональних даних», ви маєте право:

• знати про джерела збирання, місцезнаходження своїх персональних даних, мету їх обробки;
• отримати доступ до своїх персональних даних;
• вимагати виправлення неточних чи застарілих даних (доступно самостійно в «Налаштуваннях» для більшості полів);
• відкликати згоду на обробку даних і вимагати їх видалення (через видалення акаунта або звернення до підтримки);
• обмежити роботу пікселя Meta, Google Analytics і Microsoft Clarity засобами браузера (див. розділ «Файли cookie»);
• подати скаргу щодо обробки своїх персональних даних до Уповноваженого Верховної Ради України з прав людини.

Щоб скористатися будь-яким із цих прав, напишіть на support@remesla.com.ua або через сторінку «Контакти».

Ми застосовуємо технічні та організаційні заходи захисту: пароль зберігає й перевіряє виключно AWS Cognito, а не Сайт; з’єднання із Сайтом шифрується (HTTPS); токен сесії передається лише в захищеному httpOnly cookie; технічні помилки, які потрапляють у систему моніторингу (GlitchTip), автоматично очищаються від паролів, токенів і cookie перед відправкою. Попри вжиті заходи, жоден спосіб передачі даних через інтернет не є абсолютно безпечним.

Ми можемо оновлювати цю Політику — зокрема у зв’язку зі зміною функціоналу Сайту чи законодавства. Актуальна версія завжди доступна на цій сторінці, дата останнього оновлення вказана вгорі.

З питань цієї Політики звертайтесь на support@remesla.com.ua або через сторінку «Контакти». Володілець персональних даних: ФОП Сурмачевський Антон Дмитрович, код ЄДРПОУ/РНОКПП 3593800275, юридична адреса: Україна, 16600, Чернігівська область, м. Ніжин, вул. Шевченка, буд. 97.