Политика конфиденциальности

1. Контролёр данных

Cross.ge — онлайн-маркетплейс автомобилей в Грузии, доступный по адресу cross.ge. Как контролёр данных, мы несём ответственность за обработку ваших персональных данных в соответствии с Законом Грузии о защите персональных данных.

2. Какие данные мы собираем

• Номер телефона — для верификации аккаунта и публикации объявлений (SMS-код)
• Email — для аутентификации, подтверждения регистрации, сброса пароля и транзакционных уведомлений
• Имя — отображается другим пользователям в ваших объявлениях
• Данные объявлений — информация об автомобиле, фото, цены
• Сообщения — переписка с другими пользователями в чате
• Псевдонимизированные сигналы использования — просмотренные объявления и поисковые запросы, хранящиеся на вашем устройстве (localStorage) для персонализации рекомендаций. При вашем согласии на аналитику (см. раздел 6) мы также используем сторонние сервисы веб-аналитики — подробности в разделе 5.1.
• Хеш IP-адреса — односторонний криптографический хеш вашего IP-адреса (не сам IP-адрес), используемый для предотвращения манипуляции счётчиком просмотров

3. Цели обработки

• Создание и аутентификация аккаунта через OTP
• Публикация и управление объявлениями
• Обеспечение связи между покупателями и продавцами
• Безопасность платформы и предотвращение мошенничества
• Улучшение сервиса на основе агрегированных данных использования

4. Правовые основания

Мы обрабатываем ваши данные на основании: (а) вашего согласия при создании аккаунта; (б) исполнения договора — предоставления услуг маркетплейса; (в) законного интереса — безопасности платформы.

5. Хранение данных

Ваши данные хранятся на защищённых серверах в ЕС (инфраструктура Supabase). Данные хранятся, пока ваш аккаунт активен. При удалении аккаунта все персональные данные безвозвратно удаляются в течение 30 дней.

5.1. Сторонние обработчики (sub-processors)

Для предоставления сервиса мы используем следующих обработчиков данных, каждый из которых связан договором о конфиденциальности и обеспечивает адекватный уровень защиты:

• Supabase (ЕС, Ирландия) — хранение базы данных, файлов, аутентификация.
• Vercel (США, SCC) — хостинг фронтенда и serverless функций. Передача данных в США осуществляется на основании Standard Contractual Clauses.
• Cloudflare (США, SCC) — DNS, защита от DDoS, капча Turnstile. Turnstile собирает анонимизированные поведенческие сигналы браузера (движения мыши, тайминги, fingerprint) для отличия людей от ботов; эти сигналы не связываются с вашим аккаунтом. Cloudflare также обрабатывает IP-адреса и метаданные запросов для целей безопасности.
• Resend (ЕС, Ирландия) — отправка транзакционных писем (подтверждение регистрации, сброс пароля).
• Twilio (США, SCC) — отправка SMS для верификации телефона при первой публикации объявления.
• Anthropic (США, SCC) — обработка запросов AI-поиска и AI-ассистента (только текст запроса, без привязки к аккаунту), а также уточнение расположения номерного знака на фотографиях автомобилей перед его автоматическим скрытием.
• Telegram — служебные уведомления администратору платформы о регистрациях и ошибках.
• PostHog (США) — веб-аналитика и запись сессий использования сайта для авторизованных пользователей; активируется только после согласия на аналитику через cookie-баннер.
• Google Analytics (Google Ireland Ltd., ЕС/США) — веб-аналитика посещаемости сайта; активируется только после согласия на аналитику через cookie-баннер.
• Sentry (США) — отслеживание технических ошибок и сбоев для обеспечения стабильности сервиса.
• Upstash (США) — временное хранение данных для ограничения частоты запросов (rate limiting) и данных регистрации до подтверждения email.
• PlateRecognizer (обработка изображений) — автоматическое распознавание номерных знаков на фотографиях автомобилей для их последующего скрытия перед публикацией объявления.

6. Cookies и локальное хранилище

Мы используем строго необходимые cookies для управления сессией и аутентификации (cross_session). Если вы принимаете необязательную аналитику, мы, помимо локального сохранения сигналов просмотра (localStorage), также используем сторонние сервисы веб-аналитики — PostHog и Google Analytics — для понимания использования сайта; они активируются только после вашего согласия и не запускаются до этого момента. Мы не используем сторонние рекламные cookies и не передаём данные рекламным сетям — реклама на сайте размещается напрямую, без сторонних рекламных технологий. Вы можете изменить свои предпочтения через cookie-баннер или ссылку в футере сайта в любое время.

7. Сбор хеша IP-адреса для отслеживания просмотров

8. Ваши права

Согласно Закону Грузии о защите персональных данных, у вас есть следующие права:

• Право на доступ — запросить копию ваших персональных данных
• Право на исправление — исправить неточные данные
• Право на удаление — удалить аккаунт и все связанные данные
• Право на ограничение — ограничить обработку ваших данных
• Право на переносимость — получить данные в структурированном формате
• Право на возражение — возразить против обработки данных
• Право на отзыв согласия — в любое время без влияния на предшествующую обработку

9. Международная передача данных

Основное хранение данных осуществляется в ЕС (Supabase, Ирландия). Часть обработки выполняется сторонними поставщиками в США (Vercel, Cloudflare, Twilio, Anthropic) — см. раздел 5.1. Передача в США осуществляется на основании Standard Contractual Clauses (SCC), обеспечивающих уровень защиты, эквивалентный законодательству ЕС и Грузии. Данные не передаются в юрисдикции без таких гарантий.

10. Конфиденциальность детей

Наш сервис предназначен для пользователей от 18 лет. Мы не собираем данные детей младше 18 лет. При обнаружении аккаунта ребёнка младше 18 лет мы незамедлительно его удалим.

11. Уведомление об инцидентах безопасности

В случае нарушения безопасности, представляющего риск для ваших прав и свобод, мы уведомим вас и надзорный орган (Служба защиты персональных данных Грузии, PDPS) в течение 72 часов с момента обнаружения инцидента, согласно требованиям Закона Грузии о защите персональных данных. Уведомление будет содержать характер инцидента, категории затронутых данных, возможные последствия и принимаемые меры.

12. Надзорный орган

Вы имеете право подать жалобу в Службу защиты персональных данных Грузии (PDPS) на pdps.ge, если считаете, что ваши права были нарушены.

Контакты

По вопросам о персональных данных обращайтесь: support@cross.ge