Політика конфіденційності

Дата набрання чинності: ‹effective_date›

1. Хто ми є

Контролер. Контролером персональних даних, що обробляються через платформу WAW365, є:

‹controller_name›
‹registered_address›
Контакт: ‹contact_email›

Відповідальний за захист даних. Там, де це вимагається застосовним законодавством, призначений відповідальний за захист даних (DPO):

‹dpo_name›
‹dpo_email›

Ви можете звертатися до DPO безпосередньо з будь-яких питань, що стосуються обробки ваших персональних даних або реалізації ваших прав.

2. Які дані ми збираємо і навіщо

WAW365 є торговою майданчиком у сфері бізнес-для-бізнесу (B2B) для торгівлі автозапчастинами. Нижче наведено категорії персональних даних, які ми збираємо, цілі їхнього збору та правові підстави відповідно до Статті 6 GDPR.

2.1 Реєстрація облікового запису та профіль

Дані, що збираються: Повне ім'я, назва підприємства, юридична адреса, ідентифікаційний номер платника ПДВ або інший податковий ідентифікатор, адреса електронної пошти, номер телефону, обраний пароль (зберігається у хешованому вигляді), тип облікового запису (постачальник або покупець), мовні та регіональні уподобання.

Мета: Створення та ведення вашого облікового запису; ваша автентифікація; виконання наших договірних зобов'язань перед вами як користувачем платформи; надсилання сервісних повідомлень і транзакційних листів.

Правова підстава: Стаття 6(1)(b) GDPR — обробка необхідна для виконання договору, стороною якого є суб'єкт даних, або для вжиття заходів на запит суб'єкта даних до укладення договору.

2.2 Профіль постачальника та каталог

Дані, що збираються: Комерційна назва підприємства, логотип, контактні дані, опубліковані в профілі, місцезнаходження, регіони доставки, позиції каталогу (артикули, ціни, рівні запасів), а також будь-яка додаткова інформація, добровільно надана в профілі постачальника.

Мета: Відображення пропозицій постачальника потенційним покупцям на майданчику; забезпечення пошуку, фільтрації та оформлення замовлень; ведення актуального та повного каталогу продукції.

Правова підстава: Стаття 6(1)(b) GDPR — виконання договору про використання платформи. Якщо профіль постачальника містить інформацію про конкретну фізичну особу (наприклад, фізичну особу-підприємця), обробка додатково обґрунтовується на тій самій підставі.

2.3 Замовлення, транзакції та виставлення рахунків

Дані, що збираються: Деталі замовлення (артикули, кількість, ціни, адреса доставки, примітки до доставки), ідентифікаційні дані покупця та постачальника, платіжні реквізити ⚠ підтвердити, які дані платіжного провайдера проходять через WAW365, а які передаються безпосередньо до платіжного процесора, дані рахунку-фактури, номери ПДВ, а також кореспонденція, що стосується виконання замовлення.

Мета: Обробка, виконання та облік замовлень, розміщених на платформі; виставлення рахунків-фактур і фіскальних документів; вирішення спорів; дотримання бухгалтерських і податкових зобов'язань.

Правова підстава: Стаття 6(1)(b) GDPR — виконання договору; Стаття 6(1)(c) GDPR — дотримання юридичних зобов'язань (податкового та бухгалтерського законодавства) щодо записів, які підлягають зберіганню після закінчення строку дії договору.

2.4 Месенджер і вкладення

Дані, що збираються: Повідомлення, якими обмінюються покупці та постачальники через вбудований месенджер платформи, включаючи будь-які файли, зображення або документи, прикріплені до цих повідомлень.

Мета: Забезпечення зв'язку між сторонами угоди в контексті транзакції або попереднього запиту; ведення достовірного запису узгоджених умов і заяв.

Правова підстава: Стаття 6(1)(b) GDPR — виконання договору.

Примітка щодо зберігання: Вміст повідомлень і вкладення зберігаються протягом дії облікового запису та впродовж певного часу після його закриття ⚠ підтвердити строк зберігання даних месенджера з урахуванням договірних вікон для вирішення спорів та застосовних строків позовної давності.

2.5 Завантаження прайс-листів

Дані, що збираються: Файли, завантажені постачальниками для автоматизованого наповнення каталогу (як правило, таблиці або структуровані файли даних). Ці файли можуть містити ділову контактну інформацію, вбудовану в метадані документа.

Мета: Аналіз і імпорт даних про продукцію до каталогу постачальника; виявлення та обробка помилок формату.

Правова підстава: Стаття 6(1)(b) GDPR — виконання договору.

Примітка щодо обробки: Файли прайс-листів обробляються зовнішнім сервісом обробки документів ⚠ визначити конкретного процесора, підтвердити угоду з субпроцесором та місцезнаходження даних. Зберігаються лише структуровані дані, релевантні для каталогу; вихідні файли видаляються після успішного імпорту ⚠ підтвердити строк видалення вихідних завантажених файлів.

2.6 IP-адреси, GeoIP та журнали безпеки

Дані, що збираються: IP-адреса під час входу та протягом активних сеансів, виведена геолокація (країна, рівень міста), метадані браузера та пристрою (рядок user-agent), часові мітки сеансів, а також журнали подій безпеки (невдалі спроби входу, спрацьовування обмежень запитів, сигнали зловживань).

Мета: Захист платформи від несанкціонованого доступу, підбору облікових даних, скрейпінгу, шахрайства та інших зловживань; застосування обмежень запитів; відображення регіонально відповідного контенту та валюти за замовчуванням; розслідування інцидентів безпеки.

Правова підстава: Стаття 6(1)(f) GDPR — законні інтереси контролера у підтриманні безпеки, цілісності та доступності платформи. Обробка є необхідною та пропорційною; інтерес не перевищується інтересами суб'єктів даних з огляду на контекст B2B та обмежену нав'язливість збору даних на мережевому рівні.

Примітка щодо GeoIP: Геолокація на рівні країни, отримана з IP-адреси, використовується для вибору валюти та локалізації контенту. Точність на рівні міста використовується лише для визначення початкового міста за замовчуванням у селекторі та не зберігається після завершення сеансу, якщо тільки користувач не зберігає перевагу місцезнаходження.

2.7 Реферальні та атрибуційні дані

Дані, що збираються: URL реферального джерела, UTM-параметри та реферальні коди у випадку, коли користувач переходить за відстежуваним посиланням.

Мета: Атрибуція реєстрацій партнерським програмам або маркетинговим кампаніям; адміністрування реферальних винагород там, де це застосовно.

Правова підстава: Стаття 6(1)(f) GDPR — законний інтерес у розумінні каналів залучення та дотриманні реферальних угод, з урахуванням ⚠ оцінити, чи спричиняє реферальна атрибуція зобов'язання за Директивою про конфіденційність у відповідних юрисдикціях та чи необхідна згода.

2.8 Ідентифікаційні номери транспортних засобів (VIN)

Дані, що збираються: VIN-рядки, введені покупцями під час пошуку сумісних запчастин.

Мета: Декодування технічних характеристик транспортного засобу та фільтрація результатів каталогу до сумісних запчастин; підвищення релевантності пошуку.

Правова підстава: Стаття 6(1)(b) GDPR — виконання послуги пошуку на запит суб'єкта даних. VIN-коди, введені в пошуку, не пов'язуються постійно з ідентифікованою особою після закінчення сеансу, якщо тільки користувач не зберігає транспортний засіб до свого облікового запису — у такому разі зберігання здійснюється для зручності за розпорядженням користувача.

Примітка: VIN-коди можуть дозволяти відстежити зареєстрованого власника транспортного засобу в деяких юрисдикціях. Ми не використовуємо VIN-коди для ідентифікації фізичних осіб і не передаємо їх третім особам з цією метою.

2.9 Файли cookie для аналітики та маркетингу (ОЧІКУЄТЬСЯ — Необхідна згода)

Дані, що збираються: За умови надання користувачем явної поінформованої згоди, ми можемо збирати дані про переглянуті сторінки та події через Google Analytics 4 (GA4), а також показувати або вимірювати рекламу через Google Ads.

Мета: Розуміння сукупного використання платформи; вимірювання ефективності маркетингових кампаній; вдосконалення платформи.

Правова підстава: Стаття 6(1)(a) GDPR — згода у поєднанні з вимогами Директиви про конфіденційність у телекомунікаціях, імплементованої у кожній відповідній юрисдикції. Ці файли cookie та пов'язана обробка активуються лише після того, як користувач прийняв аналітичні та/або маркетингові файли cookie через механізм управління згодою. Згода може бути відкликана будь-коли; дивіться Розділ 3.

Статус: Інтеграція Google Analytics 4 та Google Ads наразі очікує повного розгортання. Цей розділ буде оновлено після запуску інтеграції. ⚠ підтвердити статус запуску GA4/Ads та оновити це повідомлення відповідно перед публікацією

3. Файли cookie та аналітика

Ми використовуємо файли cookie та аналогічні технології на платформі WAW365. Використання нами файлів cookie регулюється нашою окремою Політикою використання файлів cookie, яка є частиною цієї Політики конфіденційності та включена до неї за посиланням.

Коротко:

• Строго необхідні файли cookie встановлюються без згоди, оскільки вони необхідні для функціонування платформи (сеанси автентифікації, захист CSRF, балансування навантаження).
• Аналітичні файли cookie (Google Analytics 4) встановлюються лише після надання вами явної згоди через банер управління файлами cookie.
• Маркетингові/рекламні файли cookie (Google Ads) встановлюються лише після надання вами явної згоди.

Ви можете відкликати згоду на необов'язкові файли cookie будь-коли, перейшовши до центру налаштувань файлів cookie або змінивши налаштування браузера. Відкликання згоди не впливає на законність обробки, здійсненої до відкликання.

Повні відомості про файли cookie, які ми використовуємо, їхнє призначення та термін дії наведено в Політиці використання файлів cookie, доступній за адресою ⚠ вставити URL Політики використання файлів cookie.

4. Одержувачі та процесори

Ми передаємо персональні дані лише в разі необхідності та з дотриманням відповідних договірних і правових гарантій. Категорії одержувачів наведено нижче.

4.1 Субпроцесори (обробники даних)

Ми залучаємо такі категорії процесорів, що діють згідно з нашими інструкціями:

Примітка щодо збагачення SEO-каталогу: Ми використовуємо сервіси шлюзу Abacus/OpenAI для генерації багатомовного описового тексту для позицій у нашому каталозі продукції. Ця обробка стосується виключно даних про продукцію та каталог (артикули, технічні характеристики, назви категорій). Персональні дані кінцевих користувачів не передаються до цих сервісів.

4.2 Інші одержувачі

• Контрагенти: Постачальники та покупці на платформі бачать ділову контактну інформацію та деталі замовлень одне одного в обсязі, необхідному для виконання транзакції. Це є невід'ємним елементом функції торгового майданчика і охоплюється договором про використання платформи.
• Судові та регуляторні органи: Ми розкриваємо персональні дані компетентним судам, правоохоронним органам або регуляторам там, де це вимагається застосовним законодавством або юридично обов'язковим приписом.
• Професійні радники: Аудитори, юристи та бухгалтери, що діють відповідно до обов'язків щодо конфіденційності, в обсязі, необхідному для виконання їхніх завдань.

Ми не продаємо персональні дані третім особам. Ми не передаємо персональні дані третім особам для їхніх власних маркетингових цілей без явної згоди.

5. Міжнародні передачі

Основна інфраструктура WAW365 розміщена в межах Європейської економічної зони (Hetzner, Німеччина). Однак певні процесори знаходяться за межами ЄЕЗ, і в ході надання їхніх послуг до них можуть передаватися дані.

5.1 Передачі до Google (США)

Якщо Google Analytics 4 або Google Ads активовані (за умови згоди користувача, див. Розділ 2.9), персональні дані, включаючи IP-адреси та поведінкові дані, можуть передаватися до Google LLC, що знаходиться в США.

Ми спираємось на такі механізми передачі ⚠ підтвердити поточний застосовний механізм — рішення про адекватність ЄС-США в рамках Програми конфіденційності даних (DPF) від липня 2023 року та/або Стандартні договірні умови відповідно до Імплементаційного рішення Комісії (ЄС) 2021/914; перевірити наявність та актуальність DPA та SCC від Google:

• Рішення Європейської Комісії про адекватність щодо Програми конфіденційності даних ЄС-США (DPF) в обсязі, в якому Google LLC є сертифікованим учасником; та/або
• Стандартні договірні умови (SCC), прийняті відповідно до Статті 46(2)(c) GDPR.

⚠ перевірити, що поточне Доповнення до угоди про обробку даних Google та пов'язані SCC/сертифікація DPF є чинними для всіх використовуваних сервісів Google; перевірити наявність оновлень відповідно до рекомендацій CJEU або наглядових органів

5.2 Передачі до зовнішнього процесора прайс-листів

⚠ після ідентифікації зовнішнього процесора документів прайс-листів підтвердити, чи він знаходиться за межами ЄЕЗ, і якщо так, задокументувати застосовний механізм передачі (рішення про адекватність, SCC або інший засіб захисту відповідно до Статті 46)

5.3 Передачі до України

У разі передачі даних суб'єктам даних, розміщеним в Україні, або якщо одержувачі в Україні беруть участь в обробці, ми спираємось на ⚠ Україна не є предметом рішення ЄС про адекватність станом на дату набрання чинності; підтвердити застосовний механізм передачі — SCC, обов'язкові корпоративні правила або вилучення відповідно до Статті 49 GDPR — і зазначити, що будь-які SCC мають бути адаптовані для передач до третіх країн в Україну. Окремі положення, що застосовуються до українських суб'єктів даних, викладено в Розділі 8.

6. Як довго ми зберігаємо ваші дані

Ми зберігаємо персональні дані лише протягом часу, необхідного для досягнення цілей їхнього збору, і в будь-якому разі не довше, ніж вимагається або дозволяється застосовним законодавством.

Нижче наведено орієнтовні строки, що підлягають уточненню відповідно до правових вимог ⚠ усі строки зберігання мають бути підтверджені юрисконсультом відповідно до застосовного бухгалтерського, податкового, договірного законодавства та законодавства про строки позовної давності у кожній відповідній юрисдикції (ЄС, Польща, Норвегія, Україна) перед публікацією:

Коли дані більше не потрібні, ми видаляємо або незворотньо знеособлюємо їх відповідно до нашого внутрішнього графіка зберігання даних.

7. Ваші права

7.1 Права відповідно до GDPR

Якщо ви знаходитесь у Європейській економічній зоні або якщо GDPR іншим чином застосовується до нашої обробки, ви маєте такі права щодо ваших персональних даних:

Право на доступ (Стаття 15 GDPR). Ви маєте право отримати підтвердження того, чи обробляємо ми персональні дані про вас, а якщо так — отримати копію цих даних разом з інформацією про те, як вони обробляються.

Право на виправлення (Стаття 16 GDPR). Ви маєте право вимагати від нас без невиправданої затримки виправлення неточних персональних даних та доповнення неповних персональних даних.

Право на видалення (Стаття 17 GDPR). Ви маєте право вимагати від нас видалення ваших персональних даних у випадках, коли, наприклад, вони більше не потрібні для цілей, для яких були зібрані; ви відкликаєте згоду і відсутня інша правова підстава; або ви заперечуєте проти обробки відповідно до Статті 21 і відсутні переважаючі законні підстави. Це право підлягає винятком, у тому числі коли обробка необхідна для виконання юридичного зобов'язання або для встановлення, здійснення чи захисту правових вимог.

Право на обмеження обробки (Стаття 18 GDPR). Ви маєте право вимагати від нас обмеження обробки ваших персональних даних у певних обставинах, наприклад коли ви оспорюєте точність даних або коли ви заперечили проти обробки в очікуванні перевірки того, чи переважають наші законні підстави ваші.

Право на перенесення даних (Стаття 20 GDPR). Якщо обробка ґрунтується на вашій згоді або договорі та здійснюється автоматизованими засобами, ви маєте право отримати ваші персональні дані у структурованому, загальноприйнятому та машиночитаємому форматі та передати їх іншому контролеру.

Право на заперечення (Стаття 21 GDPR). Якщо обробка ґрунтується на законних інтересах (Стаття 6(1)(f)), ви маєте право заперечити проти такої обробки з підстав, пов'язаних з вашою конкретною ситуацією. Ми припинимо обробку, якщо не доведемо переконливих законних підстав, що переважають ваші інтереси, права та свободи, або якщо обробка не необхідна для правових вимог. У разі обробки з метою прямого маркетингу ви маєте абсолютне право заперечити будь-коли.

Право на відкликання згоди (Стаття 7(3) GDPR). Якщо обробка ґрунтується на вашій згоді (наприклад, аналітичні файли cookie), ви можете відкликати цю згоду будь-коли. Відкликання не впливає на законність обробки до відкликання.

Право на подання скарги. Ви маєте право подати скаргу до компетентного наглядового органу. Наш провідний наглядовий орган — ‹supervisory_authority› ⚠ підтвердити компетентний провідний наглядовий орган — це має бути орган держави — члена, в якій знаходиться головний осідок контролера; якщо контролер знаходиться за межами ЄС, визначити відповідний орган. Ви також можете подати скаргу до наглядового органу держави — члена ЄС вашого звичайного місця проживання, місця роботи або місця передбачуваного порушення.

7.2 Як реалізувати свої права

Для реалізації будь-якого з прав, викладених вище, будь ласка, зв'яжіться з нами за адресою:

‹contact_email›

або написавши нам за адресою ‹registered_address›.

Ми відповімо на ваш запит без невиправданої затримки і в будь-якому разі протягом одного календарного місяця з моменту отримання. Цей строк може бути подовжено ще на два місяці в разі необхідності з урахуванням складності та кількості запитів; ми повідомимо вас про таке подовження протягом одного місяця з моменту отримання запиту разом з підставами для затримки.

Ми можемо вимагати від вас надання розумних доказів вашої особи перед відповіддю на запит з метою захисту від несанкціонованого розкриття. Ми не стягуємо плату за реалізацію ваших прав, якщо тільки запити не є явно необґрунтованими або надмірними.

8. Примітка для суб'єктів даних в Україні

Цей розділ містить додаткову інформацію для осіб, персональні дані яких обробляються у зв'язку з їхнім використанням WAW365 і які знаходяться в Україні або чиї дані обробляються відповідно до законодавства України.

Застосовне законодавство. Обробка персональних даних українських суб'єктів даних також регулюється Законом України «Про захист персональних даних» (зі змінами) («Закон України»).

Реєстрація контролера. ⚠ підтвердити, чи зобов'язаний ‹controller_name› реєструватися як контролер персональних даних у Уповноваженого Верховної Ради України з прав людини та, якщо так, підтвердити статус реєстрації

Ваші права за законодавством України. На додаток до прав за GDPR, описаних у Розділі 7 (які ми застосовуємо як базовий стандарт), українські суб'єкти даних мають права за Законом України, включаючи право:

• знати місцезнаходження бази персональних даних, що містить їхні дані, її призначення та найменування й адресу контролера;
• отримувати інформацію про умови надання доступу до персональних даних, зокрема інформацію про третіх осіб, яким передаються їхні дані;
• мати доступ до своїх персональних даних;
• отримувати відповідь про те, чи обробляються персональні дані про них, і якщо так, отримувати зміст цих даних;
• пред'являти вмотивоване заперечення проти обробки своїх персональних даних;
• вимагати видалення або блокування персональних даних, що обробляються незаконно, неповністю, неточно або є застарілими;
• захищати свої персональні дані від незаконної обробки та випадкової втрати, знищення або пошкодження;
• звертатися зі скаргою на обробку своїх персональних даних до Уповноваженого Верховної Ради України з прав людини або звертатися за судовим захистом.

Контакт для українських суб'єктів даних. Для реалізації ваших прав за Законом України, будь ласка, зв'яжіться з нами за адресою ‹contact_email›. Ви також можете звернутися до Уповноваженого Верховної Ради України з прав людини ⚠ вставити актуальні контактні дані та URL офісу Уповноваженого.

Транскордонна передача. Передача персональних даних українських суб'єктів даних до країн за межами України здійснюється відповідно до вимог Закону України ⚠ підтвердити відповідність вимогам Закону України щодо транскордонної передачі, включаючи те, чи забезпечує країна призначення належний рівень захисту або чи застосовуються інші засоби захисту; зазначити, що Закон України має власний перелік адекватних країн.

9. Безпека

Ми застосовуємо відповідні технічні та організаційні заходи для захисту персональних даних від випадкового або незаконного знищення, втрати, зміни, несанкціонованого розкриття або доступу, відповідно до ризиків, що виникають під час обробки, та характеру даних.

Заходи, що застосовуються, включають, зокрема:

• Шифрування даних під час передавання з використанням TLS.
• Шифрування даних у стані спокою ⚠ підтвердити, що шифрування в стані спокою реалізоване для всіх компонентів зберігання, включаючи томи Hetzner та MinIO.
• Засоби контролю доступу та дозволи на основі ролей, що обмежують доступ до персональних даних лише уповноваженим персоналом.
• Хешоване зберігання паролів (паролі у відкритому тексті ніколи не зберігаються).
• Обмеження запитів і засоби захисту від зловживань для кінцевих точок автентифікації та API.
• Регулярні перевірки безпеки та сканування вразливостей залежностей.
• Процедури реагування на інциденти, включаючи сповіщення компетентних наглядових органів і постраждалих суб'єктів даних відповідно до Статей 33 і 34 GDPR у разі виявлення порушення безпеки персональних даних, що відповідає відповідному порогу.

Жоден спосіб передачі через Інтернет або метод електронного зберігання не є повністю безпечним. Незважаючи на те що ми прагнемо захищати персональні дані за допомогою комерційно розумних заходів, ми не можемо гарантувати абсолютну безпеку.

10. Діти

WAW365 є торговим майданчиком B2B і не призначений для використання дітьми. Наша платформа розроблена для та доступна виключно юридичним особам і повнолітнім фізичним особам, що діють у діловому контексті. Ми свідомо не збираємо персональні дані від осіб, молодших 18 років ⚠ підтвердити застосовний віковий поріг у кожній юрисдикції — наприклад, 16 років у деяких державах — членах ЄС для обробки на основі згоди.

Якщо нам стане відомо, що ми ненавмисно зібрали персональні дані неповнолітньої особи, ми негайно вживемо заходів для їх видалення. Якщо ви вважаєте, що ми могли зібрати персональні дані дитини або що стосуються дитини, будь ласка, зв'яжіться з нами за адресою ‹contact_email›.

11. Зміни до цієї Політики

Ми можемо час від часу оновлювати цю Політику конфіденційності з урахуванням змін у нашій діяльності з обробки даних, правових зобов'язань або регуляторних рекомендацій. У разі внесення суттєвих змін ми повідомимо зареєстрованих користувачів електронною поштою або за допомогою помітного повідомлення на платформі до набрання змін чинності.

Версія цієї Політики конфіденційності, що діє на будь-який момент часу, ідентифікується за Датою набрання чинності у верхній частині документа. Рекомендуємо вам регулярно переглядати цю Політику.

Дата набрання чинності цієї версії: ‹effective_date›

Якщо у вас є запитання щодо цієї Політики конфіденційності або нашої практики захисту даних, будь ласка, зв'яжіться з нами за адресою ‹contact_email› або напишіть до ‹controller_name›, ‹registered_address›.