Політика конфіденційності TradeOn b2b Merchant

01Загальні положення

Ця Політика конфіденційності (далі — «Політика») регулює порядок збору, використання, зберігання, передачі та захисту персональних і корпоративних даних у зв'язку з наданням B2B-послуг TradeOn b2b Merchant (далі — «Послуги», «Сервіс», «Платформа») юридичним особам-клієнтам (далі — «Клієнт») через програмний інтерфейс (API) та особистий кабінет.

Оператором обробки даних є TradeOn b2b Merchant Pte. Ltd. (далі — «ми», «Оператор», «TradeOn b2b Merchant»). Контакти Оператора та Data Protection Officer (DPO) зазначені в розділі 14 цієї Політики.

Політика застосовується до всіх категорій суб'єктів і даних, що обробляються у зв'язку з Послугами:

• Клієнт — юридична особа, яка уклала з нами B2B-угоду на використання Послуг;
• Представники Клієнта — директори, бенефіціари, уповноважені особи, контактні особи, доступ яких до особистого кабінету та листування передбачений договором;
• Customer Data — дані кінцевих споживачів Клієнта (фізичних осіб, що користуються сервісом Клієнта), які передаються нам Клієнтом для цілей виконання замовлень на доставку скінів.

Стосовно персональних даних Представників Клієнта ми виступаємо як Data Controller (контролер) і визначаємо цілі та способи обробки. Стосовно Customer Data ми виступаємо як Data Processor (обробник) і здійснюємо обробку винятково за дорученням Клієнта, який зберігає роль Data Controller. Детальне розмежування ролей наведено в розділі 5.

Ця Політика є невід'ємною частиною Користувацької угоди TradeOn b2b Merchant. Використання Послуг означає ознайомлення та згоду Клієнта і його Представників з умовами Політики. Якщо застосовне право вимагає отримання окремої згоди — вона запитується додатково через особистий кабінет або іншим юридично значимим способом.

У разі суперечності між цією Політикою та підписаним сторонами індивідуальним договором (Master Services Agreement, Data Processing Agreement) переважну силу мають положення індивідуального договору в частині прямо врегульованих у ньому питань.

02Які дані ми збираємо

У межах надання Послуг ми збираємо та обробляємо такі категорії даних. Обсяг даних визначається цілями обробки (розділ 3) і принципом мінімально необхідного обсягу (data minimization).

2.1. Корпоративні дані Клієнта

Для укладення договору, проходження KYC/KYB-процедур та виконання зобов'язань перед Клієнтом ми збираємо відомості про юридичну особу:

• Установчі документи (Certificate of Incorporation, Articles of Association, статут, реєстраційні свідоцтва);
• Реєстраційний номер, юрисдикція, дата реєстрації, юридична та фактична адреси;
• Структура власності та реєстр акціонерів (shareholders register);
• Відомості про бенефіціарних власників (Ultimate Beneficial Owners — UBO) відповідно до вимог AML/CFT-законодавства;
• Податкові ідентифікатори (Tax ID, VAT/GST, EIN, ІПН та аналоги);
• Банківські реквізити для проведення білінгових операцій (IBAN/SWIFT, найменування банку, валюта рахунку);
• Ліцензії, дозволи, регуляторні статуси (якщо застосовно до діяльності Клієнта).

2.2. Персональні дані Представників Клієнта

Для верифікації повноважень та забезпечення комунікації ми обробляємо дані фізичних осіб — Представників Клієнта (директорів, бенефіціарів, контактних осіб):

• Прізвище, ім'я, по батькові (за наявності);
• Посада та роль у структурі Клієнта;
• Корпоративний email і телефон;
• Громадянство та країна податкового резидентства;
• Копії документів, що посвідчують особу (паспорт, ID-картка, водійське посвідчення), — для директорів і UBO в межах KYC;
• Підтвердження адреси проживання (utility bill, bank statement) — для UBO;
• Зразок підпису та копії довіреностей — за необхідності.

2.3. Технічні та поведінкові дані

У процесі використання Платформи та API автоматично збираються технічні відомості, необхідні для забезпечення безпеки, моніторингу та поліпшення сервісу:

• IP-адреса, User-Agent, тип пристрою та операційної системи;
• Логи автентифікації в особистому кабінеті (час, IP, успіх/невдача);
• API request logs — журнали запитів до API: метод, endpoint, статус відповіді, час обробки, ідентифікатор Клієнта;
• Transaction logs — журнали транзакцій за депозитом, замовленнями, поверненнями, виведенням коштів;
• Webhook delivery logs — журнали відправлення webhook-сповіщень (timestamp, статус доставки, повторні спроби);
• Security/access logs — події доступу до конфіденційної інформації та адміністративних функцій;
• Дані про взаємодію з інтерфейсом особистого кабінету (переглянуті розділи, час сесій) — у знеособленому вигляді.

2.4. Customer Data (опосередковано — через Клієнта)

Для виконання замовлень на доставку скінів Клієнт передає нам обмежений обсяг даних своїх кінцевих споживачів (Customer'ів):

• Steam ID Customer'а — публічний ідентифікатор облікового запису Steam;
• Trade URL — публічне посилання для відправки Steam Trade Offer;
• Ідентифікатор Customer'а в системі Клієнта (внутрішній user_id) — для цілей зіставлення замовлень;
• Метадані замовлення: тип гри, перелік предметів, цінові параметри, час замовлення.

Ми не отримуємо від Клієнта і не запитуємо ім'я, email, телефон, платіжні реквізити чи інші прямі ідентифікатори Customer'ів. Докладніше про ролі сторін і сфери відповідальності — див. розділ 5.

2.5. Cookies та аналогічні технології

Особистий кабінет TradeOn b2b Merchant використовує cookies та similar tracking technologies (LocalStorage, SessionStorage) для автентифікації, збереження користувацьких налаштувань і збору знеособленої аналітики. Склад та категорії cookies розкрито в розділі 11.

2.6. Дані, які ми НЕ збираємо

З метою мінімізації ризиків та дотримання принципу data minimization ми цілеспрямовано не збираємо:

• Біометричні дані;
• Дані про стан здоров'я, расове чи етнічне походження, політичні погляди, релігійні переконання, сексуальну орієнтацію (особливі категорії даних за GDPR);
• Повні реквізити платіжних карток — дані обробляються безпосередньо платіжними провайдерами (PCI DSS compliant);
• Дані неповнолітніх — див. розділ 12.

03Цілі обробки даних

Ми обробляємо дані винятково для прямо визначених, законних та сумісних цілей. Кожна ціль має відповідну правову підставу (розділ 4) і визначає обсяг даних, що збираються, та строк їх зберігання (розділ 8).

3.1. Виконання договору та надання Послуг

Обробка даних Клієнта і його Представників необхідна для реєстрації в Сервісі, відкриття та поповнення депозиту, обробки замовлень на скіни, проведення trade offers через Steam Web API, розрахунку комісій, виставлення рахунків-фактур та повернень. Без обробки цих даних надання Послуг неможливе.

3.2. AML / KYC / KYB та протидія фінансуванню тероризму

Відповідно до вимог застосовного AML/CFT-законодавства ми зобов'язані проводити процедури ідентифікації Клієнта (Know Your Business — KYB), його бенефіціарних власників (Know Your Customer — KYC), здійснювати перевірку джерел коштів (Source of Funds) і source of wealth, моніторити транзакції на предмет аномалій, формувати та зберігати документацію compliance, надсилати повідомлення до уповноважених органів за наявності підстав.

3.3. Безпека та протидія шахрайству

Ми обробляємо технічні дані (IP, User-Agent, логи) та поведінкові індикатори для запобігання несанкціонованому доступу, виявлення підозрілої активності, виявлення спроб обходу KYC, протидії шахрайству, захисту від DDoS-атак та автоматизованого abuse. Використовуються ризик-скорингові моделі та алгоритми поведінкової аналітики.

3.4. Білінг та фінансова звітність

Транзакційні дані використовуються для розрахунків з Клієнтом, формування інвойсів та актів звірки, обліку депозитів, бонусів, комісій та повернень, а також для цілей бухгалтерського і податкового обліку відповідно до вимог застосовного фінансового законодавства.

3.5. Експлуатація та поліпшення Сервісу

Технічні та поведінкові дані використовуються для моніторингу працездатності API, вимірювання rate-limits і SLA, виявлення performance-проблем, capacity planning, розробки нових функцій та поліпшення наявних. Застосовується знеособлена аналітика на агрегованих даних.

3.6. Маркетингові комунікації

За прямою згодою Представника Клієнта ми можемо надсилати маркетингові матеріали: інформацію про нові продукти, акції, зміни цінової політики, галузеву аналітику. Згода може бути в будь-який момент відкликана через посилання «відписатися» в листі або через особистий кабінет. Транзакційні та сервісні сповіщення (про операції, зміни умов, інциденти безпеки) надсилаються незалежно від маркетингової згоди як частина виконання договору.

3.7. Виконання вимог закону та захист наших прав

Ми обробляємо дані для виконання обов'язкових вимог застосовного законодавства (податкове, AML, регуляторне), для відповідей на запити уповноважених державних органів у встановленому порядку, для захисту наших прав у досудових та судових процедурах, а також для виконання судових рішень і приписів.

04Правові підстави обробки

Обробка даних здійснюється на таких правових підставах відповідно до GDPR, PDPA Сингапуру та інших застосовних нормативних актів про захист даних:

4.1. Виконання договору (Article 6(1)(b) GDPR)

Обробка даних Клієнта та його Представників, необхідна для укладення і виконання B2B-договору: реєстрація, відкриття депозиту, обробка замовлень, білінг, доставка скінів через Steam, підтримка. Без цієї обробки Послуги не можуть бути надані.

4.2. Дотримання юридичних обов'язків (Article 6(1)(c) GDPR)

Обробка для виконання вимог застосовного законодавства: AML/CFT, податкова звітність, відповіді на запити уповноважених органів, зберігання документації у встановлені строки.

4.3. Законні інтереси (Article 6(1)(f) GDPR)

Обробка для реалізації наших обґрунтованих та збалансованих законних інтересів: забезпечення безпеки Платформи, протидія шахрайству, захист від abuse, моніторинг мережі, захист наших активів і прав у досудовому та судовому порядку, проведення внутрішньої звітності та аудитів, знеособлена бізнес-аналітика. При обробці на цій підставі ми оцінюємо баланс наших інтересів і прав суб'єктів даних (Legitimate Interests Assessment).

4.4. Згода (Article 6(1)(a) GDPR)

Обробка для цілей, які потребують явної згоди суб'єкта: маркетингові розсилки, необов'язкові cookies (аналітика, функціональні), окремі категорії даних, не покриті іншими підставами. Згода може бути відкликана в будь-який момент без шкоди для законності обробки, здійсненої до відкликання.

4.5. Обробка Customer Data на підставі доручення Клієнта

Стосовно Customer Data ми виступаємо як Data Processor і обробляємо дані винятково за документованим дорученням Клієнта (B2B-угода, API-документація, індивідуальний Data Processing Addendum) у межах, необхідних для виконання Клієнтом зобов'язань перед своїми Customer'ами. Правові підстави обробки Customer Data щодо Customer'ів визначає Клієнт як Data Controller (див. розділ 5).

05Customer Data та ролі сторін

Цей розділ є ключовим для B2B-моделі TradeOn b2b Merchant і описує розмежування відповідальності між Клієнтом та Оператором при обробці даних кінцевих споживачів Клієнта (Customer'ів).

5.1. Обсяг обробки Customer Data

Стосовно кожного замовлення ми отримуємо від Клієнта мінімально необхідний набір даних: steam_id, trade_url, internal_user_id Клієнта (для звірки), параметри замовлення (гра, items, ціна). Обробка обмежена життєвим циклом замовлення: підбір/підготовка предмета → надсилання Steam Trade Offer → підтвердження прийняття Customer'ом → закриття замовлення.

5.2. Гарантії Клієнта (warranties)

Передаючи нам Customer Data, Клієнт гарантує, що:

• Customer належним чином проінформований про обробку своїх даних, включно з фактом передачі Steam ID / Trade URL третій особі (TradeOn b2b Merchant) для виконання замовлення;
• Отримано всі необхідні правові підстави обробки (informed consent або інша підстава за застосовним законодавством);
• Customer досяг повноліття у своїй юрисдикції;
• Customer проінформований про свої права (доступ, виправлення, видалення тощо) і про порядок їх реалізації через Клієнта;
• Privacy policy Клієнта розкриває використання процесингових послуг TradeOn b2b Merchant як sub-processor.

5.3. Sub-processors

Для виконання функцій Processor ми залучаємо технічних sub-processor'ів (хостинг, моніторинг, antifraud — див. розділ 6). Список sub-processor'ів та їхні ролі розкриваються Клієнту на запит через особистий кабінет або email. Клієнт повідомляється про істотні зміни у складі sub-processor'ів не менше ніж за 30 днів.

5.4. Реалізація прав Customer'ів

Запити Customer'ів на реалізацію їхніх прав (data subject requests) надсилаються Клієнту як Data Controller. Якщо такий запит отриманий безпосередньо нами, ми перенаправляємо його Клієнту і надаємо розумне сприяння в його обробці в межах Data Processing Addendum.

5.5. Сповіщення про інциденти

У разі інциденту безпеки, що зачіпає Customer Data, ми повідомляємо Клієнта протягом 72 (сімдесяти двох) годин з моменту виявлення з описом характеру інциденту, обсягу зачеплених даних, вжитих та запланованих заходів. Клієнт несе відповідальність за повідомлення наглядових органів і зачеплених Customer'ів відповідно до застосовного законодавства.

06Передача даних третім особам

Ми передаємо дані третім особам лише на підставах, прямо передбачених застосовним законодавством та цією Політикою. Усі одержувачі проходять оцінку надійності (vendor due diligence), з ними укладаються угоди про конфіденційність та Data Processing Agreement, де це застосовно.

6.1. Категорії одержувачів

• Платіжні провайдери — для обробки депозитів і виплат Клієнту. Передаються банківські реквізити Клієнта та метадані операцій. Повні реквізити карток зберігаються на стороні провайдера в PCI DSS-compliant середовищі.
• AML/KYC/KYB-провайдери — для верифікації Клієнта та UBO, перевірки санкційних і PEP-списків, оцінки ризиків. Передаються реєстраційні документи Клієнта, документи UBO.
• Хостинг-провайдери — Hetzner (Німеччина), Amazon Web Services (локації EU/SG) — для розміщення інфраструктури, баз даних та обробки трафіку. Укладено Data Processing Agreement.
• Моніторинг та observability — Sentry (для error monitoring), журналювання продуктивності. Дані передаються у знеособленому вигляді, без PII за можливості.
• Steam Web API (Valve Corporation) — для проведення trade offers, отримання даних про інвентар, підтвердження доставки. Передаються Steam ID та параметри trade offer Customer'а.
• Підрядники та консультанти — зовнішні юридичні, аудиторські, податкові консультанти в межах їхньої професійної діяльності за NDA.
• Уповноважені органи — податкові, регуляторні, правоохоронні органи — винятково за обґрунтованими запитами відповідно до застосовного законодавства.
• Правонаступники — у разі реорганізації, злиття, продажу бізнесу або активів із забезпеченням збереження рівня захисту даних.

6.2. Що ми НЕ робимо з вашими даними

• Ми не продаємо персональні та корпоративні дані третім особам;
• Ми не передаємо дані в рекламних цілях без явної згоди суб'єкта;
• Ми не використовуємо Customer Data для власних маркетингових цілей чи для цілей, не пов'язаних з виконанням замовлення Клієнта;
• Ми не обмінюємося даними між Клієнтами без їхньої явної згоди (за винятком знеособленої агрегованої галузевої аналітики).

6.3. Розкриття за вимогою закону

У разі отримання обґрунтованого запиту від уповноваженого державного органу ми оцінюємо правомірність запиту, обсяг даних, що запитуються, та застосовне законодавство. У разі підтвердження правомірності ми надаємо мінімально необхідний обсяг даних, фіксуємо факт передачі в реєстрі розкриттів і, де це дозволено законом, повідомляємо зачепленого Клієнта або суб'єкта даних.

07Транскордонна передача даних

У зв'язку з глобальним характером інфраструктури TradeOn b2b Merchant і розподіленою природою хмарних сервісів дані можуть передаватися, зберігатися та оброблятися за межами країни знаходження Клієнта або суб'єкта даних.

7.1. Юрисдикції обробки

Основні юрисдикції, в яких може здійснюватися обробка даних:

• Сингапур — основна юрисдикція Оператора, головний офіс, основний центр compliance і підтримки;
• Європейська економічна зона (EEA) — для розміщення серверних потужностей і сервісів моніторингу в європейських провайдерів;
• Сполучені Штати Америки — для окремих хмарних сервісів (Steam Web API, низка SaaS-інструментів моніторингу та комунікації);
• Інші юрисдикції — у разі залучення профільних підрядників з повідомленням Клієнта.

7.2. Правові механізми транскордонної передачі

Для забезпечення адекватного рівня захисту при транскордонній передачі ми застосовуємо правові механізми, визнані GDPR та іншим застосовним законодавством:

• Standard Contractual Clauses (SCC) — типові договірні клаузули Європейської Комісії (Decision 2021/914), що включаються в угоди з одержувачами даних за межами EEA;
• Adequacy decisions — передача до країн, визнаних такими, що забезпечують адекватний рівень захисту (наприклад, рішення про адекватність щодо Сингапуру, якщо буде ухвалене на момент передачі);
• Додаткові технічні та організаційні заходи — шифрування at rest і in transit, псевдонімізація, контроль доступу, регулярний аудит;
• Privacy Frameworks — де застосовно (наприклад, EU-US Data Privacy Framework для одержувачів у США).

7.3. Рівень захисту

Незалежно від юрисдикції обробки ми забезпечуємо рівень захисту даних, не нижчий за стандарти GDPR та інших застосовних норм. Технічні та організаційні заходи безпеки, описані в розділі 9, застосовуються до всіх середовищ обробки.

7.4. Право на інформацію

Клієнт та його Представники мають право запитати деталізовану інформацію про юрисдикції обробки своїх даних, про застосовувані правові механізми та про можливість отримати копію SCC через email DPO (розділ 14).

08Строки зберігання даних

Ми зберігаємо дані не довше, ніж це необхідно для цілей їх обробки, і не довше, ніж передбачено застосовним законодавством. Після закінчення строків зберігання дані безповоротно видаляються або анонімізуються (з втратою зв'язку із суб'єктом).

8.1. Конкретні строки

• KYC/KYB-документація (установчі документи, документи UBO, source of funds, скоринг) — 7 (сім) років з моменту припинення ділових відносин з Клієнтом, відповідно до вимог AML/CFT-законодавства;
• Транзакційні логи (депозити, замовлення, виведення, комісії) — 5 (п'ять) років з моменту здійснення операції, відповідно до фінансового та податкового законодавства;
• Контактні дані Представників Клієнта — на період дії договору плюс 1 (один) рік після його припинення для цілей постдоговірної комунікації та захисту прав;
• API request logs — 90 (дев'яносто) днів, далі — знеособлення та агрегація для цілей capacity-планування;
• Webhook delivery logs — 30 (тридцять) днів, далі — видалення;
• Security / access / audit logs — 90 (дев'яносто) днів в активному зберіганні, 1 (один) рік в архівному зберіганні для розслідування інцидентів;
• Customer Data (Steam ID, Trade URL, метадані замовлення) — до моменту закриття замовлення плюс 30 днів для цілей вирішення спорів; після — видалення або знеособлення (за винятком транзакційних логів, що утримуються за фінансовим законодавством);
• Маркетингові дані (згоди, історія комунікацій) — до відкликання згоди плюс 3 (три) роки для підтвердження факту наявності згоди;
• Cookies — згідно з типом cookie (розділ 11): сесійні — до закриття браузера, постійні — до 12 місяців.

8.2. Утримання даних за вимогами законодавства або для захисту прав

Якщо дані потрібні для захисту наших прав у досудовому або судовому порядку, для виконання судових приписів, розслідування інцидентів або регуляторних перевірок, строк зберігання може бути продовжений до завершення відповідних процедур та закінчення строків позовної давності.

8.3. Процедура видалення

Видалення здійснюється з використанням безповоротних методів (overwrite + crypto-erase для зашифрованих сховищ). Резервні копії містять дані до їх природної ротації (як правило, 90 днів); відновлення з резервної копії з метою повернути видалені дані не здійснюється.

09Безпека даних

Захист даних є нашим пріоритетом. Ми застосовуємо багаторівневий комплекс технічних та організаційних заходів безпеки, що регулярно переглядається з урахуванням сучасних загроз, найкращих галузевих практик (ISO 27001, SOC 2 Type II як орієнтири) та характеру даних, що обробляються.

9.1. Технічні заходи

• TLS 1.2+ — усі з'єднання з Платформою та API захищені примусовим TLS 1.2 або вище (TLS 1.3 — де підтримується); HSTS-заголовки; застарілі протоколи вимкнено;
• Шифрування at rest — чутливі дані (KYC документи, банківські реквізити, секрети, токени) зберігаються в зашифрованому вигляді з використанням AES-256 або еквівалентних алгоритмів; ключовий матеріал керується через KMS;
• Шифрування in transit — внутрішні сервісні комунікації в інфраструктурі захищені mutual TLS або еквівалентними механізмами;
• Ізоляція середовищ — production, staging і development середовища ізольовані; production-дані не використовуються в non-production середовищах в ідентифікованому вигляді;
• Резервне копіювання — регулярне автоматичне резервне копіювання з шифруванням; періодичні перевірки відновлення;
• Web Application Firewall та DDoS-protection — фільтрація шкідливого трафіку, захист від автоматизованих атак.

9.2. Організаційні заходи

• Role-Based Access Control (RBAC) — доступ до даних розмежований за принципом мінімальних привілеїв і необхідності знання (need-to-know basis);
• Багатофакторна автентифікація — обов'язкова для всіх співробітників, які мають доступ до production-систем та особистих кабінетів з правами адміністратора;
• Журналювання та алертинг — дії з конфіденційними даними журналюються; налаштовані автоматичні сповіщення при аномаліях;
• Навчання персоналу — регулярне навчання співробітників з питань захисту даних, ІБ-гігієни та соціальної інженерії;
• Угоди про конфіденційність — з усіма співробітниками та підрядниками укладено NDA і data protection commitments;
• Внутрішні аудити безпеки — регулярна самоперевірка відповідності внутрішнім стандартам та застосовному законодавству;
• Vendor risk management — оцінка надійності підрядників і періодичний перегляд.

9.3. Incident response

Ми підтримуємо формалізований процес реагування на інциденти безпеки (Incident Response Plan):

1. Виявлення та фіксація інциденту (Detection);
2. Стримування та запобігання поширенню (Containment);
3. Розслідування та аналіз причин (Root Cause Analysis);
4. Усунення наслідків та відновлення сервісів (Eradication & Recovery);
5. Сповіщення зачеплених Клієнтів протягом 72 (сімдесяти двох) годин з моменту виявлення витоку персональних даних, з описом характеру інциденту, обсягу даних, вжитих заходів;
6. Post-mortem та поліпшення процесів (Lessons Learned).

10Права суб'єктів даних

Стосовно персональних даних, які обробляються нами як Data Controller (дані Представників Клієнта), суб'єкти даних мають такі права відповідно до застосовного законодавства про захист даних (GDPR, PDPA Сингапуру, інші акти).

10.1. Перелік прав

• Право на доступ — отримати підтвердження факту обробки та копію даних, що обробляються, у структурованій формі;
• Право на виправлення — вимагати виправлення неточних чи доповнення неповних даних;
• Право на видалення («право бути забутим») — вимагати видалення даних, якщо підстави для їх обробки відпали, з урахуванням юридичних зобов'язань щодо утримання (розділ 8);
• Право на обмеження обробки — вимагати призупинення певних операцій обробки у встановлених законом випадках;
• Право на переносимість даних — отримати свої дані у структурованому, машиночитаному, загальноприйнятому форматі (JSON / CSV) і передати їх іншому контролеру;
• Право на заперечення — проти обробки на підставі законних інтересів або для цілей прямого маркетингу;
• Право на відкликання згоди — у будь-який момент, без шкоди для законності обробки, здійсненої до відкликання;
• Право не підлягати рішенням, що ґрунтуються винятково на автоматизованій обробці, якщо така обробка має правові наслідки для суб'єкта;
• Право подати скаргу до уповноваженого наглядового органу із захисту даних у країні проживання, роботи чи передбачуваного порушення.

10.2. Порядок реалізації прав

Для реалізації будь-якого з прав суб'єкт даних надсилає письмовий запит на email DPO: privacy@tradeon.market. Запит повинен містити:

• Ідентифікацію суб'єкта (ПІБ, корпоративний email, найменування Клієнта);
• Чіткий опис реалізованого права та суті запиту;
• Контактні дані для відповіді;
• Документи, що підтверджують особу (за необхідності верифікації).

10.3. Строки та умови розгляду

Ми розглядаємо запити протягом 30 (тридцяти) календарних днів з моменту отримання. У складних випадках строк може бути продовжений на додаткові 60 днів з попереднім повідомленням суб'єкта. Відповіді надаються безкоштовно, за винятком явно необґрунтованих або надмірних (повторюваних) запитів, для яких може бути встановлена розумна адміністративна плата або у виконанні може бути відмовлено з обґрунтуванням.

10.4. Обмеження

Реалізація прав може бути обмежена у випадках, коли обробка необхідна для виконання юридичного обов'язку, захисту наших прав у суді, проведення регуляторних процедур або необхідності утримання даних за AML/податковим законодавством. У кожному випадку відмови надається обґрунтування.

10.5. Запити Customer'ів

Запити кінцевих споживачів Клієнта (Customer'ів) на реалізацію прав щодо Customer Data надсилаються Клієнту як Data Controller. Див. розділ 5.4.

11Cookies та трекінг

Особистий кабінет TradeOn b2b Merchant використовує cookies та аналогічні технології (LocalStorage, SessionStorage) для забезпечення базової функціональності, збереження налаштувань і знеособленої аналітики. Промо-сайт може використовувати додаткові cookies для аналітики відвідуваності.

11.1. Категорії використовуваних cookies

• Strictly necessary (обов'язкові) — сесійні cookies, токени автентифікації, CSRF-захист, балансування навантаження. Без них Платформа не може функціонувати. Не потребують згоди відповідно до GDPR / ePrivacy Directive;
• Functional (функціональні) — налаштування мови, валюти, формату відображення, обраних табів і фільтрів. Строк зберігання — до 12 місяців;
• Analytics (аналітичні) — знеособлена статистика використання (кількість запитів, час сесії, відвідані розділи), використовується для поліпшення інтерфейсу. Не використовується для ідентифікації конкретного суб'єкта. Може бути вимкнена через налаштування cookies або браузера;
• Третьосторонні — Sentry (для error monitoring) та інші технічні інструменти. Склад розкривається в cookie-банері або на запит.

11.2. Що ми НЕ використовуємо

• Рекламні cookies;
• Tracking pixels для ретаргетингу;
• Крос-сайтовий трекінг для рекламних цілей;
• Cookies, що продають дані третім особам.

11.3. Керування cookies

Користувач може керувати cookies такими способами:

• Через cookie-банер (якщо застосовно) — при першому відвідуванні промо-сайту;
• Через налаштування особистого кабінету (для функціональних та аналітичних cookies);
• Через налаштування браузера — блокування, видалення, режим інкогніто;
• Через спеціальні browser extensions (Privacy Badger, uBlock Origin та аналоги).

Вимкнення strictly necessary cookies може призвести до неможливості використання окремих функцій Платформи (включно з автентифікацією).

11.4. Do Not Track

Ми поважаємо сигнал Do Not Track (DNT) браузера і не застосовуємо поведінковий трекінг для користувачів, які висловили відповідне уподобання, у частині, що не стосується strictly necessary cookies.

12Захист даних неповнолітніх

Послуги TradeOn b2b Merchant призначені винятково для юридичних осіб і повнолітніх фізичних осіб (Представників Клієнта), що діють у комерційних цілях. Сервіс не спрямований на використання неповнолітніми і не передбачає такого.

12.1. Вікові обмеження

Усі Представники Клієнта, які мають доступ до особистого кабінету та API, повинні бути повнолітніми у своїй юрисдикції (як правило, 18 років, в окремих країнах — 21 рік). Клієнт підтверджує дотримання цієї вимоги при укладенні договору.

12.2. Гарантії Клієнта щодо Customer'ів

Клієнт гарантує, що його сервіс не спрямований на неповнолітніх, що Клієнт застосовує належні процедури age verification для своїх Customer'ів і що Customer Data, яка передається нам, не стосується неповнолітніх. Сервіс Клієнта повинен відповідати вимогам вікових обмежень Steam, Valve Subscriber Agreement та застосовного законодавства про захист дітей в Інтернеті (COPPA, GDPR-K та аналоги).

12.3. Виявлення та реакція

При виявленні нами факту обробки даних неповнолітнього (через скаргу, звернення батьків/опікунів, внутрішній моніторинг або в інший спосіб) ми:

• Невідкладно припиняємо обробку відповідних даних;
• Безповоротно видаляємо такі дані (за винятком мінімуму, потрібного для compliance та розслідування);
• Сповіщаємо Клієнта, чиї дії призвели до передачі таких даних;
• Вживаємо заходів щодо запобігання повторенню інциденту, аж до призупинення Послуг.

12.4. Звернення батьків та опікунів

Батьки та законні представники, які вважають, що дані їхньої неповнолітньої дитини були оброблені у зв'язку з Послугами TradeOn b2b Merchant, можуть звернутися на адресу privacy@tradeon.market. Запити розглядаються в пріоритетному порядку.

13Зміни політики

Ми залишаємо за собою право вносити зміни до цієї Політики конфіденційності в односторонньому порядку, відображаючи зміни в законодавстві, інфраструктурі, переліку sub-processor'ів, операційних процесах та інших факторах.

13.1. Категорії змін

• Material changes (істотні) — зміни, що зачіпають правові підстави обробки, обсяг даних, що збираються, цілі обробки, склад sub-processor'ів, строки зберігання, юрисдикції транскордонної передачі, права суб'єктів даних;
• Non-material changes (неістотні) — редакторські правки, уточнення формулювань, оновлення контактних даних, форматування, виправлення друкарських помилок.

13.2. Повідомлення про зміни

Про істотні зміни ми повідомляємо Клієнта не менше ніж за 30 (тридцять) календарних днів до набрання чинності одним або декількома способами:

• Лист на корпоративний email Представника Клієнта, зазначений при реєстрації;
• Повідомлення в особистому кабінеті при наступному вході;
• Публікація оновленої Політики на промо-сайті з позначкою про зміни.

Неістотні зміни набирають чинності з моменту публікації оновленої версії.

13.3. Дата оновлення та версіонування

У верхній частині документа завжди зазначається актуальна дата набрання чинності та номер версії. Архівні версії Політики можуть бути надані на запит через DPO email.

13.4. Згода з оновленою Політикою

Продовження використання Послуг після набрання чинності змін означає згоду Клієнта і його Представників з оновленою редакцією Політики. Якщо Клієнт не згоден зі змінами, він зобов'язаний припинити використання Послуг і має право розірвати Угоду відповідно до умов Користувацької угоди.

13.5. Право на заперечення

Якщо зміни істотно зачіпають права суб'єкта даних (наприклад, розширення цілей обробки, що потребує нової правової підстави), ми запитуємо окрему згоду або надаємо альтернативні способи реалізації Послуг зі збереженням попередніх умов обробки, де це технічно та юридично можливо.

14Контакти Data Protection Officer

З усіх питань, пов'язаних з обробкою персональних даних, реалізацією прав суб'єктів даних, інцидентами безпеки та цією Політикою, звертайтеся до Data Protection Officer (DPO).

14.1. Контактні дані DPO

• Email DPO (приватність та реалізація прав): privacy@tradeon.market
• Email Compliance (AML / KYC / регуляторні питання): compliance@tradeon.market
• Email загальних питань: b2b@tradeon.market
• Сповіщення про інциденти безпеки (24/7): security@tradeon.market

14.2. Реквізити оператора

Юридична особа: TradeOn b2b Merchant Pte. Ltd.
Юридична адреса: 1 Raffles Place, #20-61, One Raffles Place Tower 2, Singapore 048616
Реєстраційний номер: буде вказано при офіційній реєстрації
Юрисдикція: Сингапур

14.3. Строки розгляду

Строки відповіді на звернення:

• Запити на реалізацію прав суб'єктів даних — не більше 30 (тридцяти) календарних днів з моменту отримання; у складних випадках — продовження на 60 днів з повідомленням;
• Сповіщення про істотні інциденти — не пізніше 72 (сімдесяти двох) годин з моменту виявлення;
• Загальні compliance-запити та запити Клієнтів — не більше 10 (десяти) робочих днів;
• Запити уповноважених органів — у порядку та строки, встановлені застосовним законодавством.

14.4. Скарги до наглядових органів

Якщо суб'єкт даних вважає, що обробка його даних порушує застосовне законодавство, і не задоволений нашою реакцією на скаргу, він має право звернутися до уповноваженого наглядового органу із захисту даних:

• Сингапур: Personal Data Protection Commission (PDPC) — pdpc.gov.sg;
• Європейський Союз: компетентний наглядовий орган за місцем проживання, роботи або передбачуваного порушення (перелік — на сайті edpb.europa.eu);
• Інші юрисдикції: уповноважений орган відповідної країни.

Ми надаємо розумне сприяння у встановленні компетентного наглядового органу та наданні необхідної документації.