Політика конфіденційності

1. Контролер даних

Cross.ge — онлайн-маркетплейс автомобілів у Грузії, доступний за адресою cross.ge. Як контролер даних, ми несемо відповідальність за обробку ваших персональних даних відповідно до Закону Грузії про захист персональних даних.

2. Які дані ми збираємо

• Номер телефону — для верифікації акаунта та публікації оголошень (SMS-код)
• Email — для автентифікації, підтвердження реєстрації, скидання пароля та транзакційних сповіщень
• Ім'я — відображається іншим користувачам у ваших оголошеннях
• Дані оголошень — інформація про автомобіль, фото, ціни, які ви публікуєте
• Повідомлення — листування між користувачами через вбудований чат
• Псевдонімізовані сигнали використання — переглянуті оголошення та пошукові запити, що зберігаються на вашому пристрої (localStorage) для персоналізації рекомендацій. Якщо ви даєте згоду на аналітику (див. розділ 6), ми також використовуємо сторонні сервіси веб-аналітики — деталі в розділі 5.1.
• Хеш IP-адреси — односторонній криптографічний хеш вашої IP-адреси (не сама IP-адреса), що використовується для запобігання маніпуляціям лічильником переглядів

3. Мета обробки

• Створення акаунта та автентифікація через OTP
• Публікація оголошень та керування ними
• Забезпечення зв'язку між покупцями та продавцями
• Забезпечення безпеки платформи та запобігання шахрайству
• Покращення сервісу на основі агрегованих даних використання

4. Правові підстави

Ми обробляємо ваші дані на підставі: (а) вашої згоди під час створення акаунта; (б) виконання договору — надання послуг маркетплейсу; (в) законного інтересу — безпеки платформи та запобігання шахрайству.

5. Зберігання даних

Ваші дані зберігаються на захищених серверах у ЄС (інфраструктура Supabase). Дані зберігаються, поки ваш акаунт активний. Після видалення акаунта всі персональні дані остаточно видаляються протягом 30 днів.

5.1. Субобробники даних

Для надання сервісу ми використовуємо наступних обробників даних, кожен з яких пов'язаний зобов'язаннями конфіденційності та забезпечує належний рівень захисту:

• Supabase (ЄС, Ірландія) — база даних, зберігання файлів, автентифікація.
• Vercel (США, SCC) — хостинг фронтенду та serverless-функцій. Передача даних до США здійснюється на підставі Standard Contractual Clauses.
• Cloudflare (США, SCC) — DNS, захист від DDoS, капча Turnstile. Turnstile збирає анонімізовані поведінкові сигнали браузера (рухи миші, тайминги, fingerprint) для відрізнення людей від ботів; ці сигнали не пов'язуються з вашим акаунтом. Cloudflare також обробляє IP-адреси та метадані запитів з міркувань безпеки.
• Resend (ЄС, Ірландія) — транзакційні листи (підтвердження реєстрації, скидання пароля).
• Twilio (США, SCC) — SMS для верифікації телефону під час першої публікації оголошення.
• Anthropic (США, SCC) — обробка запитів AI-пошуку та AI-асистента (лише текст запиту, без прив'язки до акаунта), а також уточнення розташування номерних знаків на фото автомобілів перед автоматичним приховуванням.
• OpenAI (США, SCC) — автоматичне приховування номерних знаків на фотографіях оголошень (обробляються лише фото автомобіля, без даних акаунта).
• Telegram — службові сповіщення адміністраторам платформи про реєстрації та помилки.
• PostHog (США) — веб-аналітика та запис сесій для авторизованих користувачів; активується лише після вашої згоди на аналітику через cookie-банер.
• Google Analytics (Google Ireland Ltd., ЄС/США) — аналітика відвідуваності сайту; активується лише після вашої згоди на аналітику через cookie-банер.
• top.ge — грузинський лічильник відвідуваності сайту; активується лише після вашої згоди на аналітику через cookie-банер.
• Sentry (США) — відстеження технічних помилок і збоїв для забезпечення надійності сервісу.
• Upstash (США) — тимчасове зберігання даних для обмеження частоти запитів (rate limiting) та даних реєстрації до підтвердження email.
• PlateRecognizer (обробка зображень) — автоматичне розпізнавання номерних знаків на фото автомобілів для їх подальшого приховування перед публікацією оголошення.

6. Cookie та локальне сховище

Ми використовуємо строго необхідні cookie для керування сесією та автентифікації (cross_session). Якщо ви приймаєте необов'язкову аналітику, окрім локального збереження сигналів перегляду (localStorage), ми також використовуємо сторонні сервіси веб-аналітики — PostHog і Google Analytics — щоб розуміти використання сайту; вони активуються лише після вашої згоди і не запускаються до цього моменту. Ми не використовуємо сторонні рекламні cookie і не передаємо дані рекламним мережам — реклама на сайті розміщується напряму, без сторонніх рекламних технологій. Ви можете змінити свої налаштування в будь-який час через cookie-банер або посилання у футері сайту.

7. Збір хешу IP-адреси для відстеження переглядів

8. Ваші права

Відповідно до Закону Грузії про захист персональних даних, ви маєте такі права:

• Право на доступ — запросити копію ваших персональних даних
• Право на виправлення — виправити неточні дані
• Право на видалення — видалити акаунт і всі пов'язані дані
• Право на обмеження — обмежити обробку ваших даних
• Право на перенесення даних — отримати ваші дані у структурованому форматі
• Право на заперечення — заперечити проти обробки даних
• Право на відкликання згоди — у будь-який час без впливу на попередню обробку

9. Міжнародна передача даних

Основне зберігання даних здійснюється в ЄС (Supabase, Ірландія). Частина обробки виконується сторонніми постачальниками у США (Vercel, Cloudflare, Twilio, Anthropic, OpenAI) — див. розділ 5.1. Передача до США здійснюється на підставі Standard Contractual Clauses (SCC), що забезпечують рівень захисту, еквівалентний законодавству ЄС і Грузії. Дані не передаються в юрисдикції без таких гарантій.

10. Конфіденційність дітей

Наш сервіс призначений для користувачів віком від 18 років. Ми свідомо не збираємо дані дітей молодше 18 років. Якщо ми виявимо акаунт дитини молодше 18 років, ми негайно його видалимо.

11. Повідомлення про інциденти безпеки

У разі порушення безпеки, що становить ризик для ваших прав і свобод, ми повідомимо вас і наглядовий орган (Службу захисту персональних даних Грузії, PDPS) протягом 72 годин з моменту виявлення інциденту, як того вимагає Закон Грузії про захист персональних даних. Повідомлення міститиме характер інциденту, категорії постраждалих даних, ймовірні наслідки та вжиті заходи.

12. Наглядовий орган

Ви маєте право подати скаргу до Служби захисту персональних даних Грузії (PDPS) на pdps.ge, якщо вважаєте, що ваші права на захист даних було порушено.

Контакти

З питань щодо персональних даних звертайтеся до нас: support@cross.ge