プライバシーポリシー

1. データ管理者

RetreatsMapは Competly, UAB（法人コード 308157857、VAT番号 LT100020947016、所在地 Svajonių al. 4, Jonučių II k., Garliavos apyl. sen., LT-53272 Kauno r. sav., Lithuania）が運営しています。当社は本ポリシーに記載する個人データの管理者です。

プライバシーに関するご質問や権利の行使については、[email protected] までご連絡ください。

イベントを予約すると、主催者が予約情報を受け取り、その利用について責任を負います。オンラインで支払う場合、決済はStripeが処理します（第5条参照）。

2. 収集する個人データ

お客様が提供する情報

• アカウント情報 — 氏名、メールアドレス、パスワード（一方向ハッシュとしてのみ保存）、任意のプロフィール画像。
• 掲載するコンテンツ — イベント、会場、講師プロフィール、説明、スケジュール、画像、連絡先、追加を選択したSNSアカウント。
• 予約 — イベントに申し込む際の氏名、メールアドレス、電話番号（任意）、参加人数、選択した日付、主催者へのメッセージ。
• 支払いと請求 — オンライン予約とプランの定期購読における金額、通貨、支払い状況、Stripeの参照番号。プランについては請求先の名前、住所、VAT番号も含みます。カード情報はStripeの安全なページで入力されるため、当社がカード番号の全桁を見たり保存したりすることはありません。
• 入金用アカウント（主催者） — オンライン決済を設定すると、Stripeが本人確認のために身元・事業・銀行情報を直接収集します。当社が受け取るのはStripeアカウントID、国、決済と入金が有効かどうかのみです。
• 連絡 — お問い合わせフォームのメッセージ、主催者や講師へのメッセージ、サポートへのお問い合わせ。

自動的に収集する情報

• 技術データ — IPアドレス、ブラウザの種類とバージョン、端末の種類、OS、言語設定、参照元ページ。予約時には、不正防止のため予約に使われたIPアドレスとブラウザも保存します。
• 利用データ — 閲覧ページ、滞在時間、検索、クリック。分析Cookieを許可した場合のみ収集します。
• おおよその位置 — 近くのイベントを提案するためIPアドレスから推定します。ご自身で入力した場合（会場の掲載時など）を除き、正確なGPS座標は保存しません。

その他の情報源から得る情報

• 公開情報 — 地図を最初から役立つものにするため、リトリートセンター、スタジオ、講師、イベントの掲載を、各自のウェブサイトや公開企業ディレクトリ（Google マップを含む）などの公開情報から作成しています。事業者名、住所、公開されている連絡先メールや電話番号、写真、イベント詳細が含まれることがあります。掲載があなたに関するものであれば、記載のメールアドレスで登録して引き継ぐ、修正する、またはいつでも削除を依頼することができます。
• ログインサービス — 第三者のアカウントでログインした場合、そのサービスから氏名とメールアドレスを受け取ります。
• Stripe — 支払い、返金、紛争の状況、および主催者についてはStripeアカウントの状況。

3. データの利用目的と法的根拠

当社は、明確に定めた目的のためにのみ、GDPR第6条に基づく法的根拠により個人データを取り扱います。

• アカウントの作成と管理 — 契約の履行。
• お客様が投稿したコンテンツの掲載 — 契約の履行。
• 予約の主催者への送付、予約確認と状況通知の送信 — ご依頼の手続きを行うための契約の履行。
• Stripeを通じたオンライン決済・返金・定期購読の処理と請求書の発行 — 契約の履行。
• 会計・税務記録の保管 — 法的義務。
• リトリートセンター、スタジオ、講師の公開掲載の作成 — 充実したディレクトリを提供する当社の正当な利益と、見つけてもらう事業者側の利益。いつでも異議を申し立てられます。
• 掲載コンテンツの自動翻訳 — 契約の履行、および掲載を誰もが読めるようにする当社の正当な利益。
• お問い合わせへの回答 — サポートを提供する当社の正当な利益。
• サイトの保護、不正防止、エラー監視 — 安全で信頼できるサービスを維持する当社の正当な利益。
• アクセス解析とサイト改善 — お客様の同意。
• パーソナライズされたマーケティングと広告効果の測定 — お客様の同意。
• その他の法的義務の遵守 — 法律で求められる場合。

4. Cookieおよび類似技術

Cookieとは、ウェブサイトを訪問した際に端末に保存される小さなテキストファイルです。当社はブラウザのローカルストレージなどの類似技術も使用しており、本条ではこれらをまとめて「Cookie」と呼びます。

初回訪問時に、許可するCookieの種類を選択できます。選択はフッターの「Cookie設定」リンクからいつでも変更できます。同意を撤回しても、それ以前の取り扱いには影響しません。

必須（常に有効）

• authjs.session-token — ログイン状態を維持します。提供者: RetreatsMap。期間: 最長30日。
• cookie-consent-v1（ブラウザのローカルストレージ） — Cookieの選択を記憶します。提供者: RetreatsMap。期間: ブラウザのストレージを消去するまで。
• Cloudflare Turnstile — フォームが人によって送信されたことを確認します。提供者: Cloudflare, Inc.。期間: セッション。
• Stripe — Stripeの支払いページや請求ページを開くと、Stripeは決済処理と不正防止のため自社ドメインに独自のCookieを設定します。これらにはStripeのCookieポリシーが適用されます。

分析（任意 — 同意が必要）

• _ga と _ga_<ID> — 訪問者を区別し、セッション状態を保持します。提供者: Google Analytics 4（Google Ireland Ltd.）。期間: 2年。
• Sentryのセッションストレージ — 不具合修正のためエラーの状況を記録します。提供者: Functional Software, Inc.（Sentry、EUリージョン）。期間: セッション。

マーケティング（任意 — 同意が必要）

• _gcl_au — Google広告キャンペーンの成果を測定します。提供者: Google Ireland Ltd.。期間: 90日。
• _uetsid と _uetvid — Microsoft広告キャンペーンの成果を測定します。提供者: Microsoft Ireland Operations Ltd.。期間: 1日および13か月。
• __kla_id — ニュースレターやメールのパーソナライズのためにお客様を識別します。提供者: Klaviyo, Inc.。期間: 2年。

Cookieはブラウザの設定から削除することもできます。必須Cookieを無効にすると、ログインなどの基本機能が使えなくなります。

5. Stripeによるオンライン決済

RetreatsMapでのオンライン決済は、Stripe（Stripe Payments Europe, Ltd.（アイルランド）およびその関連会社）が処理します。

• 予約の支払い — イベントの代金は、主催者自身のStripeアカウントへ直接支払われます。販売者は主催者です。RetreatsMapはプラットフォーム手数料をお客様ではなく主催者から受け取ります。Stripeは、決済処理、不正防止、および自社の法的義務のため、独立した管理者としてお客様のカード情報と支払い情報を取り扱います。
• プランの定期購読 — 主催者がRetreatsMapのプランを購入すると、Stripeが当社に代わって支払いと請求情報を処理し、付加価値税を計算して請求書を発行します。Stripeの請求ポータルでは、カードの変更、請求書のダウンロード、解約ができます。
• 主催者の本人確認 — 入金を受け取るため、主催者はStripeの規約に従い、Stripeで身元と事業の確認を行います。当社が身分証明書や口座番号の全桁を受け取ることはありません。
• 返金と紛争 — 主催者が自身のStripeアカウントで対応します。当社は返金状況を受け取り、予約を更新してお客様にメールでお知らせします。

Stripeによる個人データの取り扱いは stripe.com/privacy でご確認いただけます。

6. データの共有先

当社は個人データを販売しません。サービス提供に必要な場合に限り共有します。

• イベント主催者 — お客様が送信した予約情報。
• Stripe — オンライン決済、プランの定期購読、請求書（第5条参照）。
• ホスティング — EU内にサーバーを置くホスティング事業者。
• メール配信 — アカウントや予約のメールを送信するメール事業者。
• Cloudflare（Cloudflare, Inc.） — コンテンツ配信、DDoS対策、ボット検知（Turnstile）。
• 翻訳サービス — 掲載コンテンツ（アカウント情報は含みません）は、OpenAIを含むAI翻訳サービスで自動翻訳されます。
• Google（Google Ireland Ltd.） — 公開掲載のためのGoogle マップの場所データ。Google AnalyticsとGoogle広告は同意がある場合のみ。
• Sentry（Functional Software, Inc.、EUリージョン） — エラー監視。同意がある場合のみ。
• Microsoft Ireland Operations Ltd.、Klaviyo, Inc. — 広告とメールマーケティング。同意がある場合のみ。

委託先は、お客様のデータ保護を義務付ける契約のもと、当社の指示に従って業務を行います。また、裁判所の命令や公的機関からの正当な要請など、法律で求められる場合にはデータを開示することがあります。

7. 国外へのデータ移転

一部の委託先は米国など欧州経済領域外の国にあります。こうした移転には、GDPR第44〜49条に定める保護措置を用います。

• 欧州委員会の標準契約条項
• 受領者が認証を受けている場合のEU-米国データプライバシーフレームワーク
• その他の法的に認められた保護措置

8. データの保存期間

• アカウント情報 — アカウント削除まで。その後、暗号化されたバックアップに最長30日間。
• 掲載コンテンツ — 削除されるまで、またはイベント終了後最長24か月。
• 予約 — イベント日から最長24か月。主催者は自身の方針に基づき独自に控えを保管する場合があります。
• 支払い・請求・会計の記録 — 会計法および税法で定められた期間（リトアニアでは最長10年）。
• 公開掲載 — 事業者が掲載を引き継ぐまで（以降はアカウントの規則が適用）、または削除を求められるまで。
• お問い合わせフォームのメッセージ — 24か月。
• サーバーログと技術データ — 30日。
• 分析データ — 14か月。

9. お客様の権利

GDPR（および英国・スイスの同等の法律）に基づき、お客様には次の権利があります。

• アクセス — 当社が保有する個人データの写しを受け取る権利。
• 訂正 — 不正確または不完全なデータを訂正する権利。
• 削除 — 法定の保存義務を除き、データの削除を求める権利。
• 制限 — 特定の場合に取り扱いの制限を求める権利。
• データポータビリティ — 構造化された機械可読形式でデータを受け取る権利。
• 異議 — ダイレクトマーケティングや公開掲載を含む、正当な利益に基づく取り扱いに異議を述べる権利。
• 同意の撤回 — 同意に基づく取り扱いについて、いつでも同意を撤回する権利（それ以前の取り扱いには影響しません）。

これらの権利を行使するには [email protected] までご連絡ください。データ保護当局に苦情を申し立てることもできます。リトアニアでは国家データ保護監督局（vdai.lrv.lt）、またはお住まいの国の当局（日本では個人情報保護委員会）です。

10. 子ども

RetreatsMapは16歳未満の子どもを対象としておらず、子どもの個人データを意図的に収集することはありません。子どもが当社に個人データを提供したと思われる場合はご連絡ください。削除いたします。

11. セキュリティ

当社は、HTTPS暗号化、パスワードのハッシュ化、役割に応じたデータベースへのアクセス制御、継続的な監視など、業界標準の対策でデータを保護しています。カード決済はすべて、決済セキュリティの最高水準であるPCI DSSレベル1の認証を受けたStripeが処理します。完全に安全なシステムはありませんが、リスクを最小限に抑え、問題には迅速に対応します。

12. 本ポリシーの変更

当社は本ポリシーを随時更新することがあります。冒頭の日付が最新の変更日です。新しい種類のデータや新たな提供先など重要な変更がある場合は、施行前にメールまたはサイト上のわかりやすい通知でお知らせします。