ROOTSY MARKETPLACE INC.

Effective Date: July 2026 | Last Updated: July 2026

1. Purpose, Scope, and Applicable Laws This Privacy Policy and Cookie Policy ('Policy') explains how Rootsy Marketplace Inc. ('Rootsy,' 'we,' 'our,' 'us') collects, uses, discloses, retains, and protects personal information when users access or use the Rootsy website, marketplace platform, mobile applications, buyer accounts, seller dashboards, checkout tools, shipping tools, support channels, and related services (collectively, the 'Platform'). This Policy applies to buyers, sellers, seller applicants, visitors, newsletter subscribers, and anyone accessing or interacting with the Platform. Rootsy operates in compliance with applicable privacy laws. Nothing in this Policy limits or excludes rights under applicable privacy, consumer protection, or anti-spam legislation that cannot be contracted away. If there is a conflict between this Policy and a more specific privacy commitment made to you in writing, the more specific commitment governs. This Policy is incorporated into Rootsy's Buyer Terms & Conditions and Seller Terms & Conditions. In the event of a conflict between this Policy and a more specific privacy commitment made to you in writing, the more specific commitment governs.

2. Who We Are and Privacy Contact Rootsy Marketplace Inc. is an Ontario-based company operating an online marketplace platform connecting independent Canadian sellers with buyers across Canada. Rootsy has designated a Privacy Officer responsible for overseeing personal information practices and responding to privacy inquiries and complaints. Privacy Officer Contact: contact@rootsy.ca | Rootsy Marketplace Inc., 1218 Mineola Gardens, Mississauga, ON, L5G 3Y3 You may contact our Privacy Officer to: request access to your personal information; request correction of inaccurate information; withdraw consent (subject to legal or contractual restrictions); submit a privacy complaint; or exercise any applicable rights under applicable privacy law.

3. Personal Information We Collect

3.1 Information You Provide Directly • Account registration: name, email address, phone number, password, and province or region • Buyer information: shipping address, delivery instructions, order preferences, payment method details (processed by Stripe — Rootsy does not store full card numbers) • Seller information: business name, business address, GST/HST number, bank account details (collected and verified by Stripe), business registration information, product category information, insurance and licence documents for regulated product categories and required compliance documents • Support and communications: messages, support tickets, return requests, dispute submissions, photos or videos submitted as evidence, and communications with Rootsy • Reviews, ratings, and feedback submitted through the Platform • Marketing consent and communication preferences • Age verification information for age-restricted products (e.g., alcohol)

3.2 Information Collected Automatically • Device and browser: IP address, device type, device identifier, browser type and version, operating system, app version, and screen resolution • Usage data: pages visited, products viewed, search queries, links clicked, referral source, session duration, cart and checkout activity, and navigation patterns • Cookies and similar technologies: as described in Section 10 of this Policy • Location data: approximate location derived from IP address; precise location only where you have expressly enabled this • Transaction data: order history, payment status, shipping records, return and refund history, and dispute records

3.3 Information from Third Parties • Payment processors: transaction status, payment authorization results, and fraud signals from Stripe • Logistics providers: delivery status, carrier tracking events, and delivery confirmation from third-party carriers and logistics providers • Fraud prevention providers: risk signals to help detect and prevent fraudulent orders and account misuse • Identity verification: where verification is required for restricted categories (e.g., alcohol), identity verification providers may share verification results

4. How We Use Personal Information Rootsy uses personal information for the following purposes: • Operating the Platform: creating and managing buyer and seller accounts; processing orders and payments; coordinating shipping and logistics; facilitating returns, refunds, and dispute resolution; and providing customer support • Communicating with you: sending transactional and operational communications (order confirmations, shipping notifications, refund updates, account alerts, and support responses) • Verifying identity and preventing fraud: verifying buyer and seller identity; confirming business registration, licences, and tax information; detecting and preventing fraudulent orders, payment misuse, chargeback abuse, and account takeover • Regulatory compliance: complying with legal obligations including tax reporting, product safety requirements, recall notifications, regulatory requests, court orders, and law enforcement requests • Improving the Platform: analyzing how users interact with the Platform to improve search, navigation, checkout, listings, and seller tools; diagnosing technical errors; and measuring platform performance • Marketing and promotional communications: sending commercial electronic messages, promotional offers, newsletters, and seller outreach, but only where you have provided CASL-compliant consent • Age verification and regulated product compliance: verifying buyer age for alcohol and other age-restricted products and maintaining compliance records as required by law • Personalizing your experience: displaying relevant product recommendations, promotional content, and marketplace features based on your browsing and purchase history • Seller performance monitoring: monitoring seller fulfilment rates, shipment timeliness, seller-caused cancellation rates, inventory accuracy, return and refund rates, dispute and chargeback rates, response times, listing quality, and product compliance, for the purpose of maintaining marketplace standards and account health • Subscription, billing, and payout administration: processing seller subscription fees, commissions, payout calculations, refund and chargeback deductions, negative balance recovery, and related financial administration Rootsy will not use your personal information for a purpose other than those described above without your consent or as required or permitted by law.

5. Consent and Legal Basis Rootsy relies on consent as the primary legal basis for collecting and using personal information, except where another legal ground applies (e.g., legal obligation or legitimate interest, to the extent recognized under applicable law). Where consent is required, Rootsy will obtain it before or at the time of collection. You may withdraw consent at any time, subject to legal or contractual restrictions. Withdrawal of consent may affect Rootsy's ability to provide services to you. To withdraw consent, contact our Privacy Officer or use the relevant account, unsubscribe, or preference controls on the Platform.

6. How We Disclose Personal Information Rootsy may share personal information with: • Sellers: to facilitate order fulfilment, shipping, return, refund, and dispute processes. Sellers receive buyer name, shipping address, order details, and return reason as needed for transaction purposes. Sellers are prohibited from using buyer information for off-platform marketing or non-transaction purposes. Sellers must not add buyer contact information to mailing lists, SMS lists, or marketing systems without a valid legal basis, and must protect buyer information with reasonable security measures. Sellers must immediately notify Rootsy of any actual or suspected breach involving buyer information. • Buyers: where sharing seller contact information is necessary to resolve disputes, coordinate returns, or for other transaction-related purposes • Service providers (as detailed in Section 7): for payment processing, logistics, communications, customer support, analytics, fraud prevention, and other operational functions • Legal and regulatory authorities: where required by law, court order, regulatory requirement, or government request; where necessary to prevent fraud, criminal activity, or harm; or where required to cooperate with product safety recalls or investigations, or to payment processors, logistics providers, or intellectual property rights holders where disclosure is necessary in connection with fraud, unsafe products, intellectual property infringement, or other enforcement action • Business transactions: in connection with a merger, acquisition, corporate restructuring, sale of assets, or financing, personal information may be transferred as part of the transaction, subject to appropriate confidentiality protections Rootsy does not sell or rent personal information for money, and does not trade personal information for advertising value. Rootsy does not share personal information with advertisers for the purpose of targeted advertising based on personal profiles.

7. Third-Party Service Providers Rootsy uses the following service providers to operate the Platform. Each provider processes personal information on Rootsy's behalf and in accordance with contractual data processing requirements. Some providers process data in the United States or other countries outside Canada. Service Provider: Stripe Purpose: Payment processing, seller payouts, fraud prevention Data Processed: Payment card data (PCI-DSS compliant), bank account details, transaction records, identity verification results Processing Location: United States Service Provider: Resend Purpose: Transactional and marketing email delivery Data Processed: Email address, name, email content, open/click tracking data Processing Location: United States Service Provider: Twilio Purpose: SMS and communication services (OTP, notifications) Data Processed: Phone number, SMS message content Processing Location: United States Service Provider: Freshdesk (or equivalent) Purpose: Customer support, ticketing, and helpdesk management Data Processed: Support ticket content, order details, contact information, communications Processing Location: United States Service Provider: Analytics Provider (e.g., Google Analytics) Purpose: Website and platform analytics, performance monitoring Data Processed: Device data, browsing behavior, session data, IP address (anonymized) Processing Location: United States Service Provider: Logistics Providers / Carriers Purpose: Shipping coordination, tracking, label generation, delivery Data Processed: Buyer name, shipping address, order details, tracking events, delivery confirmation Processing Location: Canada and United States Service Provider: Fraud Prevention Provider Purpose: Risk scoring, bot detection, account protection Data Processed: IP address, device data, behavioral signals, transaction patterns Processing Location: United States or Canada Service Provider: Email Marketing Provider (e.g., Klaviyo / Mailchimp) Purpose: Marketing and promotional email campaigns, audience segmentation, campaign performance tracking Data Processed: Email address, name, marketing consent status, purchase history, open/click tracking data Processing Location: Canada, United States Rootsy may add, remove, or replace service providers at any time. Material changes to providers who handle personal information will be reflected in an updated version of this Policy. Each provider's privacy practices are governed by their own privacy policies; links are available on request. When personal information is transferred to service providers outside Canada, it may be subject to the laws of the country where it is processed, including lawful access by courts, regulators, law enforcement, or government authorities. Rootsy uses contractual, technical, and organizational safeguards appropriate to the nature of the information and the service provider.

8. No Sale of Personal Information Rootsy does not sell, rent, or trade your personal information to third parties for their own commercial purposes. This applies to buyers, sellers, and all users of the Platform.

9. Marketing, CASL Compliance, and Communications Rootsy may send commercial electronic messages (CEMs) — including promotional emails, newsletters, platform updates, and seller campaign communications — only where you have provided express or implied consent as required under CASL.

9.1 Express Consent Express consent is obtained through a clear, unchecked opt-in at account registration or another designated consent mechanism. The consent request will describe what types of commercial messages you will receive.

9.2 Implied Consent Where you have made a purchase through the Platform, implied consent to receive commercial messages may exist for a period of 2 years from the date of your most recent transaction, as permitted under CASL. Implied consent does not extend beyond this period without your express consent. Seller CASL obligations: Sellers who obtain buyer contact information through the Platform may only send commercial electronic messages to buyers where a valid CASL basis exists. Implied consent arising from a buyer transaction expires 2 years from the date of the most recent transaction. Sellers must maintain documented consent records and must not use Rootsy-obtained buyer information to send commercial messages without a valid legal basis.

9.3 Required Elements in Commercial Messages Every commercial electronic message sent by Rootsy will include: (a) identification of Rootsy as the sender; (b) Rootsy's mailing address or web address; and (c) a clearly displayed, functional unsubscribe mechanism.

9.4 Unsubscribe You may unsubscribe from marketing and promotional emails at any time by: (a) clicking the unsubscribe link in any commercial electronic message; or (b) contacting us at contact@rootsy.ca. All unsubscribe requests are processed within 10 business days as required under CASL. Unsubscribing from marketing communications does not affect transactional and operational messages, which we may continue to send in connection with your orders, account, shipping, refunds, disputes, security, legal notices, or support.

9.5 Consent Records Rootsy maintains records of marketing consent, including consent type (express or implied), consent date, and consent source, for the period required under CASL. Sellers may not use buyer information obtained through Rootsy to send their own commercial electronic messages without a valid independent CASL basis.

10. Cookies and Similar Technologies

10.1 What Cookies Are Cookies are small text files placed on your device, browser, or application when you visit the Platform. Rootsy also uses similar technologies including pixels, web beacons, tracking URLs, local storage, session storage, device identifiers, analytics scripts, security scripts, and consent-management tools. For simplicity, this section refers to all of these as 'cookies.' Cookies help Rootsy recognize your browser or device, keep you logged in, remember preferences, operate the shopping cart and checkout, protect account security, prevent fraud, understand how users interact with the Platform, and support marketing where permitted.

10.2 Cookies We Use — Categories and Purposes Cookie Category: Strictly Necessary Purpose: Required for the Platform to function — login, authentication, cart, checkout, payment flow, fraud prevention, consent storage Examples: Session tokens, cart identifiers, security cookies, consent preference storage Can You Opt Out?: No — required for Platform operation Cookie Category: Security & Fraud Prevention Purpose: Detect and prevent fraud, account takeover, bot activity, payment abuse, and suspicious behavior Examples: Risk scoring tools, bot detection scripts, login security cookies, device fingerprinting Can You Opt Out?: No — required for Platform security Cookie Category: Functional Purpose: Remember user preferences — language, region, display settings, recently viewed products, delivery location, seller dashboard preferences Examples: Preference cookies, recently viewed product cookies Can You Opt Out?: Yes — affects convenience features Cookie Category: Analytics & Performance Purpose: Understand Platform usage, diagnose errors, measure performance, and improve features — e.g., Google Analytics Examples: Page view tracking, session duration, error logging, checkout flow analytics Can You Opt Out?: Yes — opt in via cookie preferences Cookie Category: Marketing & Advertising Purpose: Measure campaign effectiveness, retargeting, and promotional performance where consent is provided Examples: Advertising pixels, campaign tracking, referral source tracking Can You Opt Out?: Yes — opt in via cookie preferences Cookie Category: Personalization Purpose: Display relevant product recommendations, promotions, and content based on browsing and purchase history Examples: Browsing history cookies, recommendation engine identifiers Can You Opt Out?: Yes — opt in via cookie preferences Cookie Category: Consent Management Purpose: Store your cookie consent choices and prevent repeated prompts Examples: Consent banner preference cookie, consent timestamp Can You Opt Out?: No — required to remember your choices

10.3 Cookie Consent Where required by applicable law, Rootsy will request consent before setting non-essential cookies. Strictly necessary and security cookies may be used without consent because they are required to operate the Platform and provide services you have requested. You may manage your cookie preferences using Rootsy's cookie preference tool where available, or through your browser or device settings (see Section 10.4).

10.4 Browser and Device Controls Most browsers allow you to view, block, delete, and manage cookies. Mobile devices allow you to reset advertising identifiers, limit ad tracking, manage app permissions, and control location permissions. Disabling cookies may affect Platform functionality including login, shopping cart, checkout, seller dashboard, shipping calculations, fraud prevention, and account security. Rootsy is not responsible for Platform issues caused by your browser or device privacy settings.

10.5 Effect of Disabling Cookies If you disable or block cookies, some parts of the Platform may not function properly, including: account login; cart retention; checkout; payment processing; seller dashboard access; fraud prevention; and account security. Unsubscribing from marketing emails does not disable website cookies — manage website cookies separately through your cookie preferences or browser settings.

11. Security Safeguards Rootsy uses reasonable administrative, technical, and organizational safeguards to protect personal information against unauthorized access, use, disclosure, loss, theft, alteration, or misuse. Safeguards include: access controls; encryption in transit and at rest where appropriate; secure transmission protocols; monitoring and logging; authentication mechanisms; vendor security requirements; and security review procedures. Payment card data is processed by Stripe in accordance with PCI-DSS standards. Rootsy does not store full credit card numbers, CVV codes, or payment card security codes on Rootsy-controlled systems. No method of online transmission or storage is completely secure. Rootsy cannot guarantee absolute security. You are responsible for protecting your account credentials, password, and device access. If Rootsy becomes aware of a security breach or confidentiality incident involving your personal information that may create a real risk of significant harm, Rootsy will notify you and the applicable regulator as required by law.

12. Data Retention Rootsy retains personal information for as long as reasonably necessary to fulfill the purposes for which it was collected, or as required or permitted by law. Retention periods depend on: the purpose of collection; the type of information; legal obligations (including tax record-keeping requirements under the Income Tax Act); dispute and chargeback risk periods; fraud prevention needs; consent-management requirements; and audit requirements. General retention guidelines: active account information is retained for the duration of your account plus a reasonable post-closure period; order, payment, and transaction records are retained for a minimum of 7 years for tax and accounting purposes; marketing consent records are retained for the period required under CASL; and cookie-related analytics records are retained for periods appropriate to their purpose. When personal information is no longer required, Rootsy will delete or anonymize it in accordance with its data disposal procedures. Note for sellers: Rootsy's platform records do not replace sellers' independent obligations to maintain business, tax, accounting, order, inventory, shipment, and compliance records as required by applicable law. Certain categories of personal information collected by Rootsy are treated with heightened care, including government-issued identity documents, financial account information, and age verification information. Rootsy limits the collection of sensitive personal information to what is necessary for the applicable purpose, restricts access to authorized personnel and systems, and applies additional security controls proportionate to the sensitivity of the information. Rootsy may use de-identified or aggregated information — from which all personal identifiers have been removed — for analytics, platform improvement, research, and business reporting purposes. De-identified information is not personal information and is not subject to this Policy. Rootsy will not attempt to re-identify de-identified information and will require by contract that any service provider receiving de-identified information refrain from doing so as well. Rootsy uses automated processing in connection with certain Platform functions, including fraud detection and prevention, seller performance monitoring, and product recommendation personalization. These processes may involve the automated analysis of personal information to assess risk, evaluate account health, or deliver personalized content. Where a decision is made exclusively by automated means and produces legal or similarly significant effects on you, you may, to the extent required by applicable privacy law, request that the decision be reviewed by a person with the authority to modify it. To make such a request, contact our Privacy Officer at contact@rootsy.ca.

13. Seller Privacy Obligations Sellers who receive personal information about buyers through the Platform act as independent controllers of that information with respect to their own business activities and bear their own independent obligations under applicable privacy law. Rootsy is not responsible for how sellers handle buyer personal information once it has been shared for transaction purposes. Sellers who receive buyer personal information through the Platform must: (a) Use buyer personal information only for the transaction purposes for which it was disclosed — including order fulfilment, shipping, returns, refunds, and dispute resolution — and not for any off-platform marketing, solicitation, or other non-transaction purpose without a valid independent legal basis; (b) Not add buyer contact information to any mailing list, SMS list, marketing platform, or commercial messaging system without a valid, documented legal basis under applicable law; (c) Maintain their own privacy policy to the extent required by applicable law governing their business; (d) Implement reasonable technical and organizational security measures to protect buyer personal information against unauthorized access, use, disclosure, loss, or misuse; (e) Immediately notify Rootsy's Privacy Officer at contact@rootsy.ca upon becoming aware of any actual or suspected breach or unauthorized access involving buyer personal information obtained through the Platform; (f) Maintain documented records of any consent obtained from buyers in connection with commercial or marketing communications, and provide those records to Rootsy upon request; (g) Not transfer or disclose buyer personal information to third parties except as required for transaction fulfilment or as permitted by applicable law; and (h) Comply with all applicable privacy laws in connection with their handling of buyer personal information received through the Platform. Rootsy reserves the right to suspend or terminate seller accounts where Rootsy reasonably believes a seller has violated these obligations. Sellers are solely responsible for any losses, claims, regulatory proceedings, fines, or penalties arising from their own mishandling of buyer personal information.

14. Cross-Border Processing Rootsy is a Canadian business. Some service providers (including Stripe, Resend, Twilio, Freshdesk, and analytics providers) process personal information in the United States. When information is processed outside Canada, it may be subject to the laws of the processing country, including lawful access by courts, law enforcement, and government authorities under those laws. Rootsy uses contractual protections (such as data processing agreements), technical safeguards, and appropriate organizational controls when sharing personal information with service providers outside Canada. Some of Rootsy's service providers are companies incorporated or operating in the United States and are subject to US federal and state laws that may permit US government authorities, courts, or law enforcement agencies to compel access to personal information held by those providers, including information about Canadian users, without notice to the affected individual. By using the Platform, you acknowledge that personal information transferred to US-based service providers may be subject to such access. Rootsy conducts appropriate due diligence and implements contractual and technical safeguards when engaging US-based service providers, but cannot guarantee that such access will not occur.

15. Your Rights and Choices Subject to applicable law, you have the following rights regarding your personal information: • Access: request access to the personal information Rootsy holds about you and how it is used • Correction: request correction of inaccurate, incomplete, or outdated personal information • Withdrawal of consent: withdraw consent to uses of your personal information where Rootsy relies on consent, subject to legal or contractual restrictions and reasonable notice • Complaint: submit a privacy complaint to Rootsy's Privacy Officer or, if not resolved, to the Office of the Privacy Commissioner of Canada (www.priv.gc.ca) or other applicable government privacy office To exercise these rights, contact our Privacy Officer at contact@rootsy.ca. Rootsy will respond within a reasonable timeframe as required by applicable law. Rootsy may require identity verification before processing a request. Rootsy may decline a request where permitted by law (e.g., where granting access would reveal third-party personal information or where the request would compromise an investigation).

16. Children and Minors The Platform is intended for users who are at least 18 years old. Rootsy does not knowingly collect personal information from anyone under 18. If Rootsy becomes aware that a minor has used the Platform, Rootsy may delete or restrict related information, close the account, cancel orders, and take appropriate action. For age-restricted products (including alcohol), Rootsy uses age gates, date-of-birth confirmation, and identity verification. Completion of an age gate does not replace identity verification required at delivery.

17. Privacy Incidents and Breach Notification Rootsy has a Privacy Incident Response process for managing confidentiality incidents involving personal information. In the event of a breach or confidentiality incident: • Rootsy will assess whether the incident creates a real risk of significant harm to affected individuals Rootsy will notify affected individuals and report to applicable regulatory authorities where and as required by applicable privacy law; Rootsy will comply with all applicable timelines for regulatory notification and individual notification as required under applicable privacy law. • Rootsy will maintain records of all privacy incidents, including incidents that do not meet the notification threshold, for a minimum of 2 years or longer if required under applicable law. If you believe that a privacy incident has occurred affecting your personal information, please contact our Privacy Officer immediately at contact@rootsy.ca. Sellers who become aware of any actual or suspected breach or unauthorized access to buyer personal information obtained through the Platform must notify Rootsy's Privacy Officer immediately at contact@rootsy.ca.

18. Changes to This Policy Rootsy may update this Policy from time to time to reflect changes in law, business operations, Platform features, service providers, cookies, analytics tools, security practices, or consent requirements. Updates take effect when posted on the Platform or otherwise communicated, unless a later effective date is stated. Where required by applicable privacy law, Rootsy will notify you of material changes and, where required, seek renewed consent. Continued use of the Platform after updates take effect constitutes acceptance of the updated Policy, to the extent permitted by law. We recommend reviewing this Policy periodically.

19. Contact Information For privacy inquiries, access requests, correction requests, consent withdrawal, privacy complaints, or any questions about this Policy: Rootsy Marketplace Inc. Privacy Officer: Sameer Hinduja  contact@rootsy.ca Buyer and Seller Support: support@rootsy.ca Mailing Address: 1218 Mineola Gardens, Mississauga, ON, L5G 3Y3