クッキーポリシー
本ポリシーは、Card Secret（cardsecret.jp）が使用するクッキーおよび類似の技術について説明するものです。個人情報全般の取扱いはプライバシーポリシーをご覧ください。
1. クッキーとは
クッキーは、ブラウザに保存される小さなテキストデータです。本サイトは、ログイン状態の維持、カートの保持、表示言語・通貨の記憶、および（ご同意いただいた場合に）「最近見た商品」の表示のために使用します。
2. 区分
- 必須：ログイン、決済、セキュリティなど、サービスの提供に不可欠なもの。同意の対象ではありませんが、内容は以下に開示します。
- 機能性：利便性を高めるもの（言語・通貨・最近見た商品）。ご同意いただいた場合にのみ使用します。
- 解析：サイトの利用状況の把握。PostHog（EU・フランクフルト保管）を、ご同意いただいた場合にのみ読み込みます。識別子は Cookie ではなく localStorage に保存するランダムな値です。
- 広告：使用していません。広告ネットワークのクッキーやピクセルは一切設置していません。
3. 使用するクッキーおよび類似技術の一覧
| 名称 | 目的 | 保存期間 | 区分 |
|---|---|---|---|
| sb-<プロジェクト参照>-auth-token | ログインセッションの維持（Supabase Auth）。httpOnly のため、ページのスクリプトからは読み取れません。 | 30日 | 必須 |
| locale | 表示言語（日本語／英語）の記憶 | 1年 | 機能性 |
| currency_code | 表示通貨コードの記憶 | 1年 | 機能性 |
| currency_symbol | 表示通貨記号の記憶 | 1年 | 機能性 |
| cs_vid | ブラウザごとのランダムな識別子。「最近見た商品」の表示にのみ使用します。氏名・メールアドレスは含まれず、httpOnly です。機能性クッキーに同意された場合にのみ発行されます。 | 180日 | 機能性 |
| buy_now | 「今すぐ購入」で選んだ1商品を決済完了まで保持 | 30分 | 必須 |
| pw_recovery | パスワード再設定の一時的なチケット | 15分 | 必須 |
| cs_checkout_token | ご注文手続きの画面ごとに発行する使い捨てのトークン。二重のご注文および注文内容の改ざんを防ぎます。httpOnly で、/checkout にのみ送信されます。 | 30分 | 必須 |
| cs_cart_intent_done | カートへの追加が一度だけ適用されるようにするための印。メール内のリンクを開き直したときに、同じ商品が重ねてカートに入ることを防ぎます。httpOnly で、/cart にのみ送信されます。 | 約24時間 | 必須 |
| hasProductHidden | 閲覧中の商品が非公開になった際に、次の画面で一度だけお知らせを表示するための印 | ブラウザを閉じるまで（セッション） | 機能性 |
| cs_consent | お客様が選択したクッキーの同意内容と、その時点のポリシーのバージョン | 12か月 | 必須 |
| （クッキーではありません）PostHog の端末識別子 | ブラウザの localStorage に保存されるランダムな値です。アクセス解析のイベントをまとめるためだけに使用し、氏名・メールアドレスは含みません。「分析」カテゴリに同意された場合にのみ作成されます。 | 同意を撤回されるまで、またはブラウザで本サイトのデータを削除されるまで | 解析 |
cs_vid について：ランダムな128ビットの値であり、氏名・メールアドレス・IPアドレスを含みません。かつて閲覧履歴はIPアドレスで管理されていましたが、これを廃止し、機能性クッキーに同意された場合にのみ発行される仮名の識別子に置き換えました。紐づく閲覧履歴は180日で削除されます。
4. 同意の管理と撤回
初回アクセス時のバナーでは「すべて同意する」と「すべて拒否する」を同等の操作として選択でき、カテゴリごとの設定も行えます。設定はいつでもフッターの「クッキー設定」から変更でき、同意の撤回は同意と同じ手軽さで行えます（GDPR第7条3項）。同意内容は cs_consent クッキーに保存するとともに、同意の記録（カテゴリ、同意の有無、ポリシーのバージョン、日時）をサーバーに保存します。ポリシーのバージョンが上がった場合は、改めて同意をお伺いします。
なお、日本の法令はクッキーの利用に事前の同意を義務付けていません（クッキー単体は個人情報保護法上の個人関連情報であり、個人情報には当たりません）。本サイトが同意をお伺いしているのは、EU一般データ保護規則およびeプライバシー指令に従うためです。第三者に送信する情報の内容・送信先・利用目的は、電気通信事業法の外部送信規律に準じて本ページで公表しています。
5. ブラウザ側の設定
ブラウザの設定でクッキーを削除・ブロックすることもできます。ただし必須クッキーを無効にすると、ログインや購入手続きが正しく動作しません。
6. 第三者への送信
クッキーそのものを第三者に送信することはありません。本サイトが第三者に送信する情報の一覧は委託先・第三者提供先一覧をご覧ください。
ボット対策（Cloudflare Turnstile）による外部送信
- 送信先：Cloudflare, Inc.（米国）
- 送信される情報：IPアドレス、ユーザーエージェント、ブラウザ環境の技術情報
- 利用目的：不正な自動送信（ボット）の防止
会員登録、パスワードの再設定、お問い合わせの各フォームでは、自動化された送信を防ぐための確認用の表示（ウィジェット）を読み込みます。その際に上記の情報が送信されます。フォームにご入力いただいた内容（氏名・メールアドレス・お問い合わせ本文など）は送信しません。この確認はサービスを保護するために必要な措置であり、同意の対象とはしていません。ウィジェットのために当社がクッキーを発行することもありません。
本サイトでは、サイトの利用状況を把握するために PostHog（PostHog, Inc.、保管場所はEU・フランクフルト）を利用します。読み込むのは、お客様が「分析」カテゴリに同意された場合のみです。同意がない間は、スクリプトの取得すら行いません。
広告タグは一切設置していません。Google Analytics、広告ネットワークのピクセル、ソーシャルプラグインのいずれも使用していません。
送信する情報は、ブラウザで生成したランダムな端末識別子（Cookie ではなく localStorage に保存）、あらかじめ定めた7つのページのパス（トップ、商品一覧、商品詳細、カート、ご注文手続き、決済完了、ログイン）、商品・カート・注文の金額（円）、配送方法と配送先の区分（国内／海外／店頭受取）、ブラウザの User-Agent です。氏名・メールアドレス・住所・電話番号・注文番号は送信しません。マイページ、配信停止、パスワード再設定、データダウンロードの各ページは、パス自体を送信しません。IP アドレスは PostHog 側の設定で保存しないようにしています。
これとは別に、ご注文が確定した時点で、注文番号をハッシュ化した値と合計金額・通貨・決済手段の種別を当社サーバーから送信します。コンビニ決済や銀行振込は数日後にブラウザを介さずお支払いいただくため、同意の状態を読み取ることができません。この送信には個人を特定できる情報が一切含まれないため、同意の対象外としています。
同意はいつでも撤回できます。撤回した時点で送信は直ちに停止し、ブラウザに保存された端末識別子は削除されます。PostHog に既に送信済みのイベントの削除をご希望の場合は support@cardsecret.jp までご連絡ください。当社が削除を手配します。