本ポリシーは、お客様がeuropesim.euを訪問するとき、またはeSIMを購入するときに当社が収集する個人データ、その使用と保護の方法、サイトの測定方法、お客様が当社に求めることができることを説明します。当社はポーランドの会社であり、EU一般データ保護規則（GDPR）に基づいて個人データを扱います。第9条では、イギリスとスイスのデータ保護法に基づいてお客様が持つ権利も定めています。
1. 当社について
europesim.euは、LuKas Holdings sp. z o.o.（ul. Stefana Batorego 18/108, 02-591 Warsaw, Poland、KRS 0001233010、NIP 7011306806）が運営しています（以下「EuropeSIM」または「当社」）。当社は、ここに記載する個人データの管理者です。
個人データに関するすべての質問、要求、苦情は、contact@europesim.euまでお送りください。
2. 収集する情報
europesim.euを訪問するとき
- お使いのブラウザは、すべてのリクエストとともに技術データを送信します：IPアドレス、ブラウザとデバイスの種類、要求されたページ、参照元のページ。当社のコンテンツ配信ネットワークであるCloudflareが、ページの配信と攻撃からのサイト保護にこれを使用します。
サイトを利用するとき
- 閲覧したページ、参照元のサイトとキャンペーンパラメータ、ブラウザとデバイスの種類、IPアドレスから推定されるおおよその位置。当社はこれを、自社サーバーで運用するUmamiで測定します：分析会社にデータが渡ることはなく、UmamiはIPアドレスを保存せず、当社は訪問者のプロファイルを作りません。サイトはそのためにCookieを使用せず、お客様のデバイスに何も保存しません。ブラウザがGlobal Privacy Controlシグナルを送信している場合、その訪問は一切測定されません。
eSIMを購入するとき
- Stripeの支払いページに入力する情報：メールアドレス、カード名義、請求先国、一部のカードでは郵便番号。カード番号はStripeが扱い、当社には届きません。
- 注文データ：プラン、価格、通貨、言語、購入時刻、同意した利用規約の版、お客様に配信されたeSIM（ICCIDとアクティベーションコード。暗号化して保存します）。
- 注文の経路：お客様を導いたリンクのキャンペーンパラメータ（たとえばutm_source）、参照元のサイト、購入前に閲覧したページ。どのチャネルが顧客を連れてくるかを知るために、注文とともに保存します。
- 注文ページが開かれると、eSIMコードを不正使用から守るために、時刻とIPアドレスの一方向ハッシュを記録します。
- 決済を開始すると、IPアドレスが、繰り返しの試行を制限するためにメモリ内で使用されます。保存はされません。
当社に連絡するとき
- メールアドレス、氏名、メッセージの内容。
3. 使用目的と法的根拠
| 目的 | GDPRに基づく法的根拠 |
|---|---|
| eSIMの販売と配信、サポート、返金 | お客様との契約の履行（第6条(1)(b)） |
| 会計と税務の記録 | 当社の法的義務（第6条(1)(c)） |
| 不正の防止、支払いとeSIMコードの安全、サイトの保護 | 安全なストアに対する当社の正当な利益（第6条(1)(f)） |
| お客様の質問や提携の問い合わせへの回答 | 回答に対する当社の正当な利益、またはお客様が求める契約前の措置（第6条(1)(f)または(b)） |
| ウェブサイトの利用状況、およびどのページやチャネルが訪問者と顧客を連れてくるかの測定 | 自社ウェブサイトを理解し改善するための当社の正当な利益（第6条(1)(f)）。Cookieも訪問者プロファイルも使いません。いつでも異議を述べることができ、Global Privacy Controlシグナルは測定を直ちに止めます |
当社は、個人データをこれらの目的にのみ使用します。マーケティングメッセージを送信することはなく、個人データを販売することもありません。
4. 自動化された決定
Stripeは、自動リスクスコアリングで支払いの不正を検査します。高リスクと判断された支払いはブロックされるか、3Dセキュアなどの追加確認が必要になることがあります。支払いが誤ってブロックされたと思われる場合は、ご連絡ください。担当者が確認します。
5. データを受け取る相手
- Stripeは支払いを処理し、不正を検査します。stripe.com/privacyのプライバシーポリシーに従います。
- **Cloudflare, Inc.**はウェブサイトを配信し、保護します。
- 当社のホスティング会社は、ウェブサイト、注文データベース、当社のUmamiをホストする欧州連合内のサーバーと、シンガポールの待機サーバーを運用しています。
- 当社のメールを送信する会社は、注文ページへのリンクを含むメールを配信します。
- 当社のeSIM販売代理店は、当社から個人データを受け取りません。当社は、お客様の詳細を送ることなくeSIMプロファイルを購入します。
- 当社の会計士と法律顧問、および法律が求める場合の公的機関。
6. 欧州経済領域外への移転
ウェブサイト、注文データベース、当社の分析は、欧州連合内のサーバーでホストされ、シンガポールに待機サーバーがあります。Stripe、Cloudflare、当社のメールを送信する会社は、アメリカ合衆国やその他の国でデータを処理することがあります。個人データが欧州経済領域を離れる場合、当社はGDPRが定める保護措置に依拠します：欧州委員会の標準契約条項、またはEU-米国データプライバシーフレームワークの認定企業に対する十分性決定です。適用される保護措置の写しは、当社に請求できます。
7. 保存期間
当社は、上記の目的に必要な期間、または法律が求める期間だけ個人データを保存します：
- 注文と支払いの記録（暗号化されたeSIMの詳細を含む）：会計・税法が求める期間、通常は購入年の翌年から5年間。
- 注文ページのアクセス記録（ハッシュ化されたIPアドレス）：12か月。
- メールのやり取り：案件と関連する請求を処理するのに必要な期間、および終了後3年以内。
- 分析データ：14か月以内。
- 注文と一緒に保存される訪問番号（匿名の訪問者番号と訪問番号、決済時に記録したIPアドレスとブラウザ）：90日。
8. Cookie
europesim.eu は自社の Cookie を使用せず、お客様のデバイスに何も保存しません。 Cookie バナーもありません。お尋ねする事柄がないからです。Cookie も、ローカルストレージも、デバイスのフィンガープリントもありません。
それでも当社はサイトの使われ方を測定し、それを Cookie なしで行います。測定対象のページは短い匿名のメッセージを当社のサーバーに送り、サーバーがその件数を自社インフラ上の Umami に渡します。
- 閲覧したページ、参照元のサイトとリンク内のキャンペーンパラメータ、確認したプラン、決済を始めた時刻
- ブラウザとデバイスの種類、および IP アドレスから推定されるおおよその位置
- 訪問者番号と訪問番号。どちらも当社のサーバーで、お客様の IP アドレスとブラウザ名に秘密のソルトを加えて計算し、毎月切り替わります。数字だけです。お客様のデバイスに書き込まれることはなく、氏名、メールアドレス、注文とは結び付かず、当社がプロファイルを作ることもありません。当社のホスティング基盤の外にこれらを見る者はいません。
サイトを配信する Cloudflare は、配信したリクエストを見ます。また当社のサーバーは通常のアクセスログを保持します。どちらも当社のホスティング契約と上記の各条項に含まれます。
お客様のデバイスに Cookie を置く可能性のあるものは他に二つあり、いずれも当社のものではありません。
- Cloudflare は、人と自動化されたトラフィックを区別するために厳密に必要なセキュリティ Cookie を設定することがあります。
- Stripe が提供する Stripe の決済ページは、決済処理と不正防止のために独自の Cookie を使用します。詳しくは stripe.com/legal/cookies-policy をご覧ください。
Cookie はブラウザの設定で削除またはブロックできます。Stripe の Cookie をブロックすると決済ができなくなることがあります。
9. お客様の権利
GDPRに基づき、お客様は当社に次のことを求めることができます：
- 当社が保持するお客様の個人データへのアクセスと、その写しの提供
- 誤った、または不完全なデータの訂正
- 当社が不要になった、または保持する根拠のないデータの削除
- データに関する問題が解決するまでの、使用方法の制限
- お客様が提供したデータの、持ち運び可能な形式での提供
- 当社の正当な利益に基づいて処理するデータの使用停止（異議を述べることができます）
- 同意のいつでも撤回（撤回前に行われたことには影響しません）
ご連絡はcontact@europesim.euまで。1か月以内に返信します。それ以上が必要な場合は、その期間内に理由をお伝えします。
ポーランドの個人データ保護庁長官（UODO、uodo.gov.pl）またはお住まい・お勤めのEU加盟国のデータ保護機関に苦情を申し立てることができます。
イギリスにお住まいの場合、UK GDPRと2018年データ保護法が与える権利もあり、情報コミッショナー事務局（ICO、ico.org.uk）に苦情を申し立てることができます。
スイスにお住まいの場合、連邦データ保護法（FADP）が与える権利もあり、連邦データ保護・情報コミッショナー（FDPIC、edoeb.admin.ch）に連絡できます。
これらの権利はすべて、当社に連絡するという同じ方法で使用できます。
10. セキュリティ
カードデータはStripeに留まります。eSIMアクティベーションコードは、AES-256-GCMで保存時に暗号化されます。注文システムへのアクセスは制限され、管理者にeSIMコードが表示されるたびに記録されます。サイトはHTTPS経由でのみ配信されます。データ侵害がお客様の権利を危険にさらす可能性が高い場合は、GDPRの求めに従い、72時間以内に監督機関に通知し、リスクが高い場合はお客様にも通知します。
11. 子供
europesim.euは16歳未満の子供を対象としておらず、子供のデータを故意に収集することはありません。
12. 変更
処理内容が変わった場合は、本ポリシーとこのページ上部の日付を更新します。