Політика конфіденційності

1. Хто є контролером даних

Контролер ваших персональних даних — ФОП Кравченко Яна Андріївна (РНОКПП 3631108945), що діє від імені маркетплейсу Krammo (krammo.com.ua). Поштова адреса: Україна, м. Одеса, Гагарінське Плато, 5. Усі питання щодо персональних даних — на [email protected].

2. Які дані ми збираємо

Ми збираємо тільки ті дані, без яких неможливо обробити замовлення, надати підтримку або покращити сервіс. Жодних надлишкових даних.

• Контактні дані: ім'я, email, номер телефону. Збираємо при оформленні замовлення або реєстрації акаунта.
• Адреси доставки: місто, відділення Нової Пошти / Розетки Делівері / Укрпошти або вулична адреса. Зберігаємо в адресній книзі вашого акаунта для повторних замовлень.
• Історія замовлень: список товарів, суми, статуси, дати. Потрібно для гарантії, повернення та повторної покупки.
• Список бажань (wishlist) і кошик: товари які ви додали для майбутньої покупки.
• IP-адреса та user-agent браузера: збираємо тимчасово для обмеження зловживань (rate limiting), захисту від DDoS і діагностики помилок через Sentry. Не пов'язуємо з персональним профілем.
• Cookies: технічні (auth, кошик), аналітичні (Google Analytics 4), маркетингові (Meta Pixel, Google Ads, TikTok Pixel) — детально в Cookie Policy.

3. Навіщо ми використовуємо дані

• Виконати замовлення: передати дані доставки перевізнику, надіслати email-підтвердження, обробити повернення.
• Зв'язатися з вами: відповісти на ваше питання у support, повідомити про статус замовлення.
• Покращити сервіс: аналітика поведінки (анонімізована) показує які категорії товарів користуються попитом, які сторінки повільні, де ламається UX.
• Маркетинг (тільки за вашою згодою): персоналізовані рекламні оголошення в Google, Meta, TikTok на основі ваших переглядів.
• Захист сервісу: виявляти ботів, спроби brute-force на вхід, спам у відгуках.
• Виконання правових вимог: податковий облік, відповіді на запити правоохоронних органів за наявності законних підстав.

4. Кому ми передаємо дані

Ми не продаємо ваші дані. Передаємо тільки тим сервісам без яких неможливо надати послугу:

• Нова Пошта, Розетка Делівері, Укрпошта — адреса і телефон отримувача для доставки замовлення.
• Monobank, WayForPay — обробка карткових платежів. Ці сервіси отримують суму, валюту, ідентифікатор замовлення; реквізити карти ми не бачимо.
• Resend — надсилання email-підтверджень про замовлення.
• Hetzner (хостинг сайту і бази даних, дата-центр у Німеччині, ЄС) — зберігання вашого акаунта, замовлень і обробка запитів до сайту.
• Cloudflare (CDN та захист, edge у Європі) — прискорення і фільтрація трафіку.
• Sentry — реєстрація помилок для діагностики (не містить чутливих даних).
• Google Analytics 4, Google Ads, Meta Pixel, TikTok Pixel — аналітика і ретаргетинг (тільки за вашою згодою на cookies).

Усі ці сервіси сертифіковані за GDPR / SOC 2 і мають власні зобов'язання щодо захисту даних. Ми ніколи не передаємо дані третім сторонам для маркетингу за межами цього списку.

5. Скільки ми зберігаємо дані

• Дані замовлень — 3 роки після останньої покупки. Це необхідно для гарантійних випадків, повернень і податкового обліку.
• Контактні дані акаунта (ім'я, email, телефон) — поки ваш акаунт активний. Якщо ви видалите акаунт — видаляються одразу (окрім даних, що повинні зберігатися за законом).
• Cookies — від кількох хвилин (сесійні) до 2 років (analytics). Деталі в Cookie Policy.
• IP-адреси для rate-limit — до 1 години.
• Логи помилок (Sentry) — до 90 днів.
• Email-розсилка — поки ви підписані. Відписатися можна в кожному листі.

6. Ваші права

Як суб'єкт персональних даних ви маєте право:

• Отримати інформацію про те, які дані ми про вас зберігаємо — напишіть на [email protected], відповімо протягом 30 днів.
• Виправити неточні дані — у налаштуваннях акаунта або через support.
• Видалити дані («право бути забутим») — через [email protected]. Видалимо протягом 30 днів, окрім даних, які зобов'язані зберігати за законом (податкові документи).
• Обмежити обробку — наприклад, відмовитися від маркетингових cookies через Cookie banner.
• Передати дані іншому сервісу (data portability) — надамо у машиночитаному форматі (JSON).
• Подати скаргу до Уповноваженого Верховної Ради України з прав людини — якщо вважаєте, що ми порушили ваші права.

7. Безпека даних

• Усі з'єднання шифруються через HTTPS / TLS 1.3.
• Бази даних розміщені на Supabase з шифруванням at-rest (AES-256).
• Доступ до бази має тільки наша система через service-role токен; персонал доступу не має.
• Паролі акаунтів зберігаються тільки у вигляді криптографічного хешу (bcrypt). Ми ніколи не бачимо вашого пароля у відкритому вигляді.
• Регулярні security audits через Sentry, HTTP security headers, Cloudflare.

8. Cookies та трекінг

Ми використовуємо технічні cookies (необхідні для роботи сайту), аналітичні і маркетингові. Перші — без вашої згоди (сайт без них не працює). Другі — тільки після вашої згоди у банері. Деталі — в Cookie Policy.

9. Зміни до політики

Ми можемо оновлювати цю політику при змінах у законодавстві або у наших сервісах. Дату останнього оновлення ви бачите вгорі сторінки. Якщо зміни суттєві — повідомимо email-розсилкою для зареєстрованих користувачів.

10. Контакти

Усі питання щодо персональних даних — на [email protected]. Особа відповідальна за обробку: Кравченко Яна Андріївна, ФОП. Адреса для листування: Україна, м. Одеса, Гагарінське Плато, 5.