Політика конфіденційності

Ця Політика конфіденційності («Політика») описує, як Shaolin Toys («ми», «нас», «наш», «Бренд») збирає, використовує, передає та захищає персональну інформацію, коли ви відвідуєте наш сайт https://shaolin.toys, оформлюєте замовлення, користуєтеся нашим мобільним застосунком або взаємодієте з нашим Telegram-ботом @ShaolinToysBot (разом — «Сервіси»).

Ця Політика розроблена для відповідності:

• Загальному регламенту ЄС про захист даних (GDPR) та Директиві ePrivacy;
• Загальному регламенту Великої Британії про захист даних (UK GDPR) та PECR;
• Каліфорнійському закону про конфіденційність споживачів зі змінами CPRA та Delete Act (SB 362);
• Застосовному законодавству про захист даних інших юрисдикцій, де ми пропонуємо наші Сервіси.

Користуючись Сервісами, ви підтверджуєте, що прочитали та зрозуміли цю Політику.

2.1. Для клієнтів у Європейській економічній зоні (ЄЕЗ) та Швейцарії: Контролером даних є [Legal Entity Name], компанія, зареєстрована в [Jurisdiction] за адресою [Registered Address]. Відповідно до статті 27 GDPR ми призначили такого Представника в ЄС:

• Представник у ЄС: [EU Representative Company Name]
• Адреса: [адреса в державі-члені ЄС, де перебувають наші клієнти]
• E-mail: [контактний e-mail представника в ЄС]
• Призначення: до Представника в ЄС можуть звертатися наглядові органи та суб'єкти даних додатково до контролера або замість нього з усіх питань, пов'язаних з обробкою за GDPR.

2.2. Для клієнтів у Великій Британії: Відповідно до статті 27 UK GDPR нашим Представником у Великій Британії є:

• Представник у Великій Британії: [UK Representative Company Name]
• Адреса: [адреса у Великій Британії]
• E-mail: [контактний e-mail представника у Великій Британії]

2.3. Для клієнтів у Каліфорнії (США): Суб'єктом підприємництва, відповідальним за персональну інформацію згідно з CCPA/CPRA, є [Legal Entity Name]. Права для Каліфорнії — див. розділ 9.

2.5. Загальні канали зв'язку:

• Запити щодо конфіденційності та захисту даних: legal@shaolin.toys
• Підтримка клієнтів: support@shaolin.toys
• Відповідальний із захисту даних (за наявності): dpo@shaolin.toys
• Сайт: https://shaolin.toys

3.1. Інформація, яку ви надаєте безпосередньо:

• Ім'я та прізвище, адреса доставки.
• Адреса електронної пошти та номер телефону.
• Платіжна інформація, необхідна для обробки оплати (обробляється нашими ліцензованими платіжними провайдерами; ми не зберігаємо повні номери карток).
• Зміст комунікації під час звернення до служби підтримки.
• Облікові дані акаунта, якщо ви створюєте акаунт для Digital Companion.

3.2. Інформація, що збирається автоматично:

• IP-адреса (анонімізується для аналітики, де цього вимагає місцеве законодавство).
• Тип пристрою, операційна система, тип і версія браузера.
• Ідентифікатори cookie та сесій (див. розділ 11).
• Переглянуті сторінки, тривалість, джерело переходу та загальні патерни навігації.

3.3. Інформація, пов'язана з продуктом:

• Унікальний ідентифікатор замовлення.
• Статус активації криптографічного QR/HMAC-коду, вбудованого в підошву фігурки (активовано / не активовано).
• Стан прогресу Digital Companion (рівень, розблоковані функції), що зберігається локально на вашому пристрої та за вашою згодою опційно синхронізується з акаунтом.

3.4. Інформація, яку ми НЕ збираємо:

• Адреси криптогаманців, приватні ключі, seed-фрази чи хеші блокчейн-транзакцій. Shaolin Toys не приймає криптовалютні платежі та не надає жодних блокчейн-сервісів у цьому магазині.
• Біометричні дані, інформація про здоров'я, расове чи етнічне походження, політичні погляди, релігійні переконання, сексуальна орієнтація або членство у профспілках.
• Номери фінансових рахунків, окрім тих, що тимчасово обробляються нашими платіжними провайдерами, сертифікованими за PCI DSS.

Ми обробляємо персональну інформацію лише для визначених, явних і законних цілей. Правові підстави для кожної операції обробки такі:

4.1. Виконання та доставка замовлення (виконання договору): обробка замовлення, виготовлення продукту на замовлення, організація доставки та повернень. Правова підстава: ст. 6(1)(b) GDPR; еквівалент за UK GDPR; бізнес-ціль за CCPA.

4.2. Обробка платежів (виконання договору та юридичний обов'язок): списання оплати та видача фіскальних чеків, де цього вимагає місцеве законодавство. Правова підстава: ст. 6(1)(b) та 6(1)(c) GDPR.

4.3. Підтримка клієнтів (законний інтерес і договір): відповіді на запити та вирішення спорів. Правова підстава: ст. 6(1)(b) та 6(1)(f) GDPR. Наш законний інтерес — підтримувати якість Сервісів і вирішувати проблеми клієнтів.

4.4. Активація Digital Companion (виконання договору): автентифікація фігурки за QR-кодом у підошві та активація Digital Companion. Правова підстава: ст. 6(1)(b) GDPR.

4.5. Опційне створення акаунта (згода): синхронізація Digital Companion між пристроями. Обробка ґрунтується виключно на вашій явній згоді (ст. 6(1)(a) GDPR), яку можна відкликати в будь-який час.

4.6. Маркетингові комунікації (згода): лише за вашої явної згоди. Ви можете відкликати згоду в будь-який час за посиланням для відписки в кожному листі. Правова підстава: ст. 6(1)(a) GDPR; Директива ePrivacy для електронного прямого маркетингу.

4.7. Безпека, запобігання шахрайству та дотримання законодавства (законний інтерес і юридичний обов'язок): захист Сервісів від зловживань, шахрайства та несанкціонованого доступу. Правова підстава: ст. 6(1)(c) та 6(1)(f) GDPR.

4.8. Знеособлена аналітика (законний інтерес): покращення Сервісів на основі агрегованих, неідентифікованих даних використання. Правова підстава: ст. 6(1)(f) GDPR. Анонімізація IP застосовується там, де це вимагається.

Функція Digital Companion у нашому мобільному застосунку може містити алгоритмічні або генеративні компоненти ШІ для персоналізації взаємодії, генерування реплік персонажа та адаптації прогресу. З 2 серпня 2026 року, відповідно до статті 50 EU AI Act, ми розкриваємо таке:

• Ви взаємодієте з цифровим персонажем за допомогою ШІ, а не з людиною.
• Окремі діалоги, реакції та пропозиції щодо прогресу генеруються алгоритмічно.
• Система ШІ використовується лише для розваг та інтерактивної взаємодії; вона не надає медичних, фінансових, юридичних чи професійних порад.
• Жоден результат, згенерований ШІ у Digital Companion, не має фінансових, юридичних чи реальних наслідків.
• Ви можете будь-коли вимкнути функції ШІ в налаштуваннях застосунку, не втрачаючи доступу до базової верифікації фігурки чи свого акаунта.

Digital Companion не класифікується як система ШІ високого ризику за AI Act. Ми ведемо журнали прозорості та записи версій відповідно до вимог.

6.1. Категорії отримувачів: Ми передаємо персональну інформацію лише таким категоріям постачальників послуг, кожен з яких діє за письмовою угодою про обробку даних:

• Ліцензовані платіжні провайдери: лише ідентифікатор замовлення та сума транзакції. Дані карток обробляються безпосередньо провайдером за PCI DSS.
• Служби доставки (DHL, FedEx, UPS, місцеві поштові служби): ім'я, телефон, адреса доставки.
• Хмарний хостинг та інфраструктура (сервери в ЄС, Великій Британії або інших схвалених юрисдикціях).
• Провайдери транзакційної пошти та повідомлень (SMTP, SMS): e-mail/телефон і зміст повідомлення.
• Платформи підтримки клієнтів: зміст звернень.
• Аналітичні провайдери (з увімкненою анонімізацією IP, де це вимагається).

Ми не продаємо, не здаємо в оренду, не обмінюємо та не передаємо іншим чином вашу персональну інформацію брокерам даних, рекламним мережам чи маркетинговим агрегаторам.

6.2. Міжнародні передачі: Якщо персональна інформація резидентів ЄЕЗ, Великої Британії чи Швейцарії передається до країни поза ЄЕЗ/Великою Британією без рішення про адекватність, ми покладаємося на один із таких запобіжників:

• Стандартні договірні положення (SCCs), схвалені Європейською комісією та UK ICO, залежно від застосовності;
• Рішення про адекватність (наприклад, EU-US Data Privacy Framework, де застосовно);
• Явна згода, якщо інший запобіжник недоступний і передача є разовою.

Копію застосовних SCCs можна запросити за адресою legal@shaolin.toys.

Ми зберігаємо персональну інформацію лише стільки, скільки необхідно для цілей, зазначених у розділі 4:

• Записи про замовлення та доставку — протягом строку, який вимагається податковим і комерційним законодавством юрисдикції продавця (зазвичай 6–10 років).
• Листування зі службою підтримки — 3 роки після останньої взаємодії, якщо закон не вимагає довшого строку.
• Дані акаунта — поки акаунт активний; видаляються протягом 30 днів після закриття акаунта або відкликання згоди, з урахуванням юридичних обов'язків зі зберігання.
• Записи про маркетингову згоду — 3 роки після останньої взаємодії, згідно з практикою ePrivacy.
• Ідентифікатори cookie — не довше 12 місяців для аналітичних cookie та тривалість сесії для строго необхідних cookie.
• Записи активації phygital-продукту — стан активації QR-коду зберігається протягом існування акаунта для запобігання повторним активаціям і шахрайству; видаляється після закриття акаунта.

Після завершення строку зберігання дані безпечно видаляються або незворотно знеособлюються.

Залежно від вашої юрисдикції ви можете мати наведені нижче права. Для реалізації будь-якого права звертайтеся на legal@shaolin.toys. Ми відповідаємо протягом 30 днів (GDPR: 1 місяць, з можливістю продовження на 2 місяці для складних запитів; CCPA: 45 днів, з можливістю продовження ще на 45 днів).

8.1. Права за GDPR та UK GDPR (ЄЕЗ, Велика Британія, Швейцарія):

• Право на доступ (ст. 15).
• Право на виправлення (ст. 16).
• Право на видалення / «право бути забутим» (ст. 17).
• Право на обмеження обробки (ст. 18).
• Право на переносимість даних (ст. 20).
• Право заперечувати проти обробки, включно з профілюванням (ст. 21).
• Право відкликати згоду в будь-який час без впливу на законність обробки до відкликання (ст. 7(3)).
• Право не підпадати під рішення, засноване виключно на автоматизованій обробці з юридичними чи подібно значущими наслідками (ст. 22). Digital Companion таких рішень не ухвалює.
• Право подати скаргу до місцевого наглядового органу (перелік органів ЄС — https://edpb.europa.eu; орган Великої Британії — ICO, https://ico.org.uk).

8.2. Права резидентів інших штатів США (Колорадо, Вірджинія, Коннектикут, Юта, Техас, Орегон та інші з чинними законами про конфіденційність): де застосовно, ви маєте право на доступ, виправлення, видалення та отримання переносимої копії персональної інформації, а також право відмовитися від продажу персональної інформації та таргетованої реклами. Shaolin Toys не продає персональну інформацію.

Якщо ви мешканець Каліфорнії, застосовуються такі додаткові розкриття.

9.1. Категорії персональної інформації, зібраної за попередні 12 місяців:

• Ідентифікатори (ім'я, e-mail, телефон, адреса доставки, IP).
• Комерційна інформація (історія замовлень).
• Інтернет-активність (патерни перегляду нашого сайту).
• Висновки (обмежені продуктовими вподобаннями на основі перегляду).

9.2. Категорії джерел: безпосередньо ви, автоматично через сайт, а також наші платіжні та логістичні партнери.

9.3. Ділові та комерційні цілі: виконання замовлень, підтримка клієнтів, дотримання законодавства, безпека та (за згодою) маркетинг.

9.4. Категорії третіх осіб, з якими ми ділимося інформацією: платіжні провайдери, служби доставки, хостинг-провайдери, сервіси e-mail/SMS та аналітичні провайдери — кожен для цілей, наведених у розділі 6.1.

9.5. Продаж або передача персональної інформації: Ми не продаємо персональну інформацію і не передаємо її для крос-контекстної поведінкової реклами в розумінні CCPA/CPRA.

9.6. Ваші каліфорнійські права:

• Право знати, яку персональну інформацію ми збираємо, використовуємо та розкриваємо.
• Право на видалення зібраної від вас персональної інформації з урахуванням законодавчих винятків.
• Право на виправлення неточної персональної інформації.
• Право відмовитися від продажу чи передачі персональної інформації (не застосовується, оскільки ми не продаємо і не передаємо).
• Право обмежити використання чутливої персональної інформації (ми не збираємо чутливих категорій).
• Право на недискримінацію за реалізацію своїх прав.

9.7. California Delete Act (SB 362): З 1 січня 2026 року в Каліфорнії діє централізований механізм видалення даних брокерів (DROP). Shaolin Toys не підпадає під законодавче визначення «брокера даних», оскільки ми збираємо інформацію безпосередньо від споживачів у контексті продажу продукту. Якщо ви вважаєте, що ми маємо бути зареєстровані як брокер даних, напишіть на legal@shaolin.toys.

9.8. Уповноважені агенти: Ви можете призначити уповноваженого агента для подання запитів від вашого імені, надавши підписану довіреність або письмове уповноваження та підтвердивши свою особу.

9.9. Для реалізації каліфорнійських прав: напишіть на legal@shaolin.toys з темою «California Privacy Request». Перед обробкою ми перевіримо вашу особу.

9.10. Фінансові стимули: Ми не пропонуємо фінансових стимулів в обмін на персональну інформацію.

9.11. Shine the Light (Цивільний кодекс Каліфорнії § 1798.83): Мешканці Каліфорнії, які мають з нами ділові відносини, можуть запитати інформацію про те, як ми передавали персональну інформацію третім особам для їхнього прямого маркетингу за попередній календарний рік. Ми таких передач не здійснювали.

Продукти Shaolin Toys — колекційні арт-об'єкти з рейтингом 14+, а не дитячі іграшки. Вони не призначені для дітей до 16 років (або до 13 років у юрисдикціях на кшталт США за COPPA). Ми свідомо не збираємо персональну інформацію дітей молодше застосовного вікового порогу. Якщо ви вважаєте, що ми ненавмисно зібрали таку інформацію, напишіть на legal@shaolin.toys — ми видалимо її без зволікань.

Замовлення можуть оформлювати лише особи від 18 років або неповнолітні за підтвердженої згоди батьків чи законного опікуна.

11.1. Строго необхідні cookie: підтримують сесію, безпечне оформлення замовлення та запобігають шахрайству. Їх не можна вимкнути без порушення роботи сайту.

11.2. Функціональні cookie: запам'ятовують ваші мовні та регіональні налаштування.

11.3. Аналітичні cookie: вимірюють продуктивність сайту на агрегованій, знеособленій основі. Анонімізація IP увімкнена для відвідувачів з ЄЕЗ та Великої Британії.

11.4. Маркетингові та рекламні cookie: використовуються лише за вашої явної попередньої згоди. Ми не використовуємо сторонні мережі поведінкової реклами на shaolin.toys.

11.5. Згода: Під час першого візиту з ЄЕЗ, Великої Британії чи інших юрисдикцій, що вимагають opt-in згоди, вам буде показано банер cookie з можливістю прийняти, відхилити чи налаштувати категорії. Заздалегідь відмічені чекбокси та dark patterns не використовуються, відповідно до Настанов EDPB 05/2020 і практики застосування 2026 року.

11.6. Керування cookie: Ви можете будь-коли змінити свої налаштування через посилання «Cookie Settings» у футері або в налаштуваннях браузера.

Ми впроваджуємо належні технічні та організаційні заходи захисту персональної інформації, зокрема:

• Шифрування даних у передачі TLS 1.2/1.3 (HTTPS).
• Шифрування чутливих полів у стані спокою.
• Рольовий контроль доступу та принцип мінімальних привілеїв.
• Регулярні оновлення безпеки та виправлення вразливостей.
• Журналювання та моніторинг доступу і подій безпеки.
• Обробка платежів за PCI DSS через сертифікованих сторонніх провайдерів — ми не зберігаємо дані карток на своїх серверах.
• Періодичні перевірки безпеки постачальників послуг.

Жодна система не є абсолютно безпечною. Вживаючи розумних запобіжних заходів, ми не можемо гарантувати абсолютну безпеку.

13.1. Криптографічний QR/HMAC-код у підошві: Кожна фігурка Shaolin Toys має унікальний криптографічний QR/HMAC-код, вбудований безпосередньо в підошву. Сканування цього коду в нашому мобільному застосунку або Telegram-боті підтверджує автентичність і активує Digital Companion. Цей код — сертифікат автентичності та ключ доступу; він не є криптовалютою, NFT чи фінансовим інструментом.

13.2. Активація та прив'язка до акаунта: Після сканування код назавжди прив'язується до вашого пристрою та (опційно) акаунта. Ця прив'язка необхідна для запобігання шахрайству і не може бути скинута. Відповідно, активована фігурка не підлягає поверненню за стандартною політикою повернень — повні умови див. на окремій сторінці повернень.

13.3. Мінімізація даних для Digital Companion: Digital Companion може працювати повністю локально на вашому пристрої. Створення акаунта та синхронізація прогресу з нашими серверами — опційні та потребують вашої явної згоди.

Ми можемо періодично оновлювати цю Політику. Дата «Останнє оновлення» вгорі відображає дату набрання чинності поточною версією. Якщо зміни суттєво впливають на обробку вашої персональної інформації (нові цілі, нові категорії отримувачів, нові механізми міжнародних передач), ми:

• Опублікуємо оновлену Політику на цій сторінці;
• Повідомимо зареєстрованих користувачів електронною поштою щонайменше за 14 днів до набрання змінами чинності;
• Де цього вимагає закон — запросимо оновлену згоду перед застосуванням нової обробки.

Продовження використання Сервісів після дати набрання чинності оновленою Політикою означає прийняття змін.

15.1. Для всіх запитів, звернень і скарг щодо конфіденційності:

• E-mail: legal@shaolin.toys
• Поштова адреса: [Legal Entity Name], [Registered Address]

15.2. Представник у ЄС (ст. 27 GDPR):

• Назва: [EU Representative Company Name]
• Адреса: [адреса в державі-члені ЄС, де перебувають наші клієнти]
• E-mail: [контактний e-mail представника в ЄС]

15.3. Представник у Великій Британії (ст. 27 UK GDPR):

• Назва: [UK Representative Company Name]
• Адреса: [адреса у Великій Британії]
• E-mail: [контактний e-mail представника у Великій Британії]

15.4. Наглядові органи, куди можна подати скаргу:

• Європейська економічна зона: наглядовий орган країни вашого проживання (перелік — https://edpb.europa.eu/about-edpb/about-edpb/members_en).
• Велика Британія: Information Commissioner's Office (ICO), https://ico.org.uk/make-a-complaint.
• Каліфорнія: California Privacy Protection Agency (CPPA), https://cppa.ca.gov.
• Інші штати США: генеральний прокурор штату вашого проживання.