プライバシーポリシー

データ管理者

[会社の正式名称、住所、法人登記番号 — 日本法人 — ドラフト状態を終了する前に確定]が、本ポリシーに記載する個人データの管理者です。

EU代理人（GDPR第27条）

EU域外に拠点を置き、EU域内の個人の個人データを処理する企業として、当社はEU域内に拠点を置く代理人を指定する義務があります。[EU代理人の氏名および連絡先 — ドラフト状態を終了する前に選任]。

データ保護責任者

[データ保護責任者の氏名および連絡先、または現時点で選任が不要である旨およびその場合の連絡先 — ドラフト状態を終了する前に確定]。

収集する情報

当社はサービスの運営に必要な情報のみを収集します：

• アカウント識別情報：メールアドレスおよび端末に紐づくパスキー（WebAuthn）認証情報 — パスワードは一切収集・保存しません。
• 添付ファイル関連データ：本サービスを通じて配信される添付ファイルについて、受信者のメールアドレス、送信組織のメンバーのメールアドレス（提供された場合）、ファイル名、ファイル種別、およびファイル内容そのもの。当社は添付ファイルの内容を開封・スキャン・検査することは一切ありません — 詳細は下記「添付ファイルの内容をどのように保管・保護しているか」をご参照ください。
• 請求関連データ（組織のみ）：会社名、請求先住所、VAT ID、請求先メールアドレス。請求書発行のために使用します。
• サービス運営に厳密に必要な範囲に限定した技術データ（例：ログイン状態を維持するためのセッションクッキー）。アナリティクス、広告、またはトラッキングクッキーは使用しません。また、管理パネルへのアクセス確認のために一時的にメモリ上で使用する場合を除き、IPアドレスを記録・保存することはありません。

処理の目的

当社は、お客様または貴組織が要求したサービスを提供するために、これらのデータを処理します：アカウントの作成および保護、意図された受信者への添付ファイルの配信、および契約組織への請求。受信者の場合、当社の法的根拠は、当社と送信組織との契約の履行であり、これには意図された受信者であるお客様が必然的に関与します。送信者、組織管理者、またはメンバーの場合、当社の法的根拠は、お客様または貴組織との契約の履行、および請求記録については会計帳簿保存に関する法的義務です。

保存期間

当社は、お客様のアカウントまたは貴組織のアカウントが有効である期間、および請求記録について適用される会計・税務法令が要求する期間、アカウントおよび添付ファイルデータを保存します。現時点では、ダウンロード後の添付ファイルに対する自動削除スケジュールは設定されていません — 明確な保存期間の設定は、現在進行中のコンプライアンス対応の中で確定すべき事項の一つです。

データの保管場所

本サービスの各地域展開（例：ドイツ拠点のデプロイメントと、独立した日本拠点のデプロイメント）は、それぞれ独自のデータベースおよびファイルストレージを備えた独立したサーバー上で稼働します。あるデプロイメントを通じて収集されたデータが、別のデプロイメントにコピー、複製、または共有されることはありません。したがって実務上、特定のデプロイメント経由で送信されたデータは、そのデプロイメントのホスティング地域内にとどまります。

委託先（サブプロセッサー）

当社は、本サービスが稼働するインフラの運営に厳密に必要な範囲でのみ、少数の第三者サービスプロバイダーを利用しています：ホスティング／サーバープロバイダー、および招待リンクなどのトランザクションメール送信のみに使用するSMTPリレープロバイダーです。当社は広告、アナリティクス、またはデータブローカーサービスを一切利用していないため、お客様のデータをこれらと共有することはありません。

国際的なデータ移転

当社は日本を拠点としており、顧客にはEUおよび日本の双方の組織が含まれるため、データがEU域内のサーバーに保管されている場合であっても、状況によっては日本国内から個人データにアクセスされることがあります（例：本サービスを運営する権限を有する担当者による場合）。日本とEUは、2019年以降の相互十分性認定の枠組みの下で、互いに十分な水準の個人データ保護を提供していると認め合っており、当社はかかるアクセスの根拠としてこの枠組みに依拠しています。ただし、EU域内で発生したデータの取扱いに関する日本の補完的ルールの遵守が前提となります。法律専門家によるレビューにより、当社の具体的な取扱いがこれらの補完的ルールを満たしていることが確認され次第、本セクションを更新します。

お客様の権利

お客様の所在地に応じて、ご自身の個人データについて以下の権利の一部または全部を有する場合があります：

• 開示請求 — 当社が保有するお客様の個人データの写しを取得する権利。
• 訂正 — 不正確なデータの訂正を求める権利。
• 削除 — 法令上の保存義務を条件として、データの削除を求める権利。
• 制限または異議 — 特定の処理を制限し、またはこれに異議を申し立てる権利。
• データポータビリティ — 該当する場合、データを可搬性のある形式で受け取る権利。
• 同意の撤回 — 処理が同意に基づく場合、いつでも撤回できる権利（撤回前に行われた処理には影響しません）。
• 苦情申立て — 所在地の個人情報保護監督機関（EU域内の場合）または個人情報保護委員会（日本の場合）に苦情を申し立てる権利。

データ保護の取り組み

本サービスは設計上パスワードを使用しません — 盗まれたり推測されたりする可能性のあるパスワードデータベースは存在しません。受信者、送信組織のメンバー、プラットフォーム運営者を問わず、すべてのアカウントは端末に紐づくWebAuthnパスキーを用いて認証されます。本サービスへの管理アクセスは、さらにネットワークレベルのアクセス制御によって制限されています。セキュリティ対策の詳細な技術的説明は社内で管理されており、お客様または監査人からのご要望に応じて提供いたします。

データ侵害が発生した場合

お客様の権利および自由に対するリスクを生じさせるおそれのある個人データ侵害を認識した場合、当社は適用法が定める期限内（GDPRの下では72時間以内、日本のAPPIの下では遅滞なく）に、関係する監督機関、および必要な場合は影響を受ける個人に通知します。

児童のプライバシー

本サービスは法人利用を想定しており、児童を対象としていません。当社は児童の個人データを意図的に収集することはありません。

本ポリシーの変更

当社は、サービスまたは法的義務の変更に応じて本ポリシーを更新することがあります。重要な変更は、本ページ上部に表示されるバージョン番号に反映されます。既に提供いただいたデータの利用方法に重要な影響を及ぼす変更を行う場合、当社は合理的な方法でお客様に通知するよう努めます。

お問い合わせ

本ポリシーに関するご質問、または権利行使をご希望の場合は、[プライバシー窓口メールアドレス — ドラフト状態を終了する前に確定]までご連絡ください。