プライバシーポリシー（個人情報保護方針）
Japan Trade合同会社（以下「当社」）は、Card Secret（cardsecret.jp、以下「本サイト」）における個人情報の取扱いについて、個人情報の保護に関する法律（以下「個人情報保護法」）を遵守します。本サイトは欧州経済領域（EEA）および英国のお客様にも商品を販売するため、EU一般データ保護規則（GDPR）および英国GDPRが適用される範囲においてこれらにも従います。
1. 事業者の情報
- 事業者名：Japan Trade合同会社（Japan Trade LLC）
- 所在地：〒170-0013 東京都豊島区東池袋1-23-9 THE KINDAI 10 IKEBUKURO 4F
- 代表者：Camilleri Andrew
- 個人情報保護管理者：Camilleri Andrew
- 連絡先：support@cardsecret.jp
- 古物商許可：東京都公安委員会許可 第305501907029号
- データ保護オフィサー（GDPR第37条）：選任していません。当社の処理は大規模な系統的監視にも特別カテゴリの大規模処理にも該当しないと判断しています。
2. 取得する個人情報
| 区分 | 具体的な項目 | 取得元 |
|---|---|---|
| アカウント情報 | 氏名（姓・名）、フリガナ、メールアドレス、パスワード（ハッシュ化して保管）、会社名、表示言語、表示通貨 | ご本人の入力 |
| 任意のプロフィール情報 | 性別、生年月日、国籍、年齢層、アバター画像 | ご本人の入力（任意。商品の購入に必要な情報ではありません） |
| 配送先情報 | 受取人氏名・フリガナ、郵便番号、都道府県、市区町村、番地、建物名、国、電話番号 | ご本人の入力 |
| 取引情報 | 注文番号、注文商品（商品名・数量・価格）、金額、通貨、為替レート、支払方法、支払状況、配送方法、追跡番号、返品・契約解除の申出 | ご利用に伴い自動的に発生 |
| お問い合わせ情報 | お名前、メールアドレス、注文番号、件名、お問い合わせ内容 | ご本人の入力 |
| 閲覧履歴（仮名の識別子に紐づくもの） | 閲覧した商品と閲覧日時。cs_vid クッキー（ランダムな128ビットの値）に紐づきます。ログイン前は氏名等と結び付きません。 | 自動取得（機能性クッキーに同意された場合のみ） |
| 広告配信等の希望 | メールマガジン受信の希望、希望を設定・変更した日時と設定元の画面 | ご本人の選択 |
| 同意の記録 | 同意したカテゴリ、同意／撤回の別、対象となった規程のスラッグとバージョン、言語、取得元、ユーザーエージェント、日時 | 自動取得 |
本サイトは、人種、信条、社会的身分、病歴、犯罪歴等の要配慮個人情報を意図的に取得しません。性別・生年月日・国籍・年齢層は任意であり、入力しなくても商品の購入に支障はありません。未成年の方は、保護者の同意を得たうえでご利用ください（おおむね12歳から15歳以下の方については、法定代理人の同意をいただきます）。EU・英国のお客様については、GDPR第8条により16歳未満の方は法定代理人の同意を要します。
3. 利用目的（個人情報保護法第17条・第21条）
- 会員登録の受付、本人確認、アカウントの管理
- 商品の販売、注文の受付、代金の決済、配送および配送状況のご連絡
- 領収書・帳簿書類の作成および保存（法令上の義務の履行）
- お問い合わせ、返品・返金、契約解除（撤回権の行使）のお申出への対応
- 不正利用・不正決済の防止、セキュリティの確保、紛争への対応
- 表示設定（言語・通貨）の保持および「最近見た商品」の表示
- 商品・サービスおよび本サイトの改善
- メールマガジン等の広告宣伝（ご同意いただいた場合に限ります）
- アクセス解析（サイトの利用状況の把握。ご同意いただいた場合に限ります）
- 法令に基づく開示および行政機関・裁判所等への協力
4. 法的根拠（GDPR第6条）
| 目的 | 法的根拠 |
|---|---|
| 注文の履行、決済、配送、アカウントの管理、注文に関するご連絡 | 契約の履行（第6条1項(b)） |
| 帳簿・税務書類の保存、法令に基づく開示 | 法的義務の遵守（第6条1項(c)） |
| 不正利用・不正決済の防止、セキュリティの確保、権利の主張・行使・防御 | 正当な利益（第6条1項(f)）。取引の安全を守る当社および他のお客様の利益と、お客様の権利利益とを比較衡量しています。 |
| 機能性クッキー、閲覧履歴（cs_vid）、アクセス解析、メールマガジン | 同意（第6条1項(a)）。いつでも撤回できます。 |
| ログイン・カート・言語・通貨など、サービス提供に不可欠なクッキー | 契約の履行（第6条1項(b)）およびeプライバシー指令第5条3項の「厳密に必要」な例外 |
同意を撤回されても、撤回前に行われた処理の適法性には影響しません。
5. 第三者への提供・委託
当社はお客様の個人情報を販売しません。次の委託先・提供先に対し、以下に記載する範囲でのみ提供します。同じ一覧を委託先・第三者提供先一覧でも公開しています。
| 提供先 | 所在国・保管場所 | 提供する情報 | 目的 | 越境移転の根拠と当該国の制度 |
|---|---|---|---|---|
| KOMOJU（株式会社デジカ／Degica） | 日本 | メールアドレス、当社の内部顧客参照ID（external_customer_id）、注文ID、金額、通貨、注文明細ごとの商品名 | 決済ページの提供、決済処理、返金、不正決済の検知 | 国内の委託先です（法第27条第5項第1号）。越境移転には該当しません。EEA・英国から日本への移転は、日本に対する十分性認定に基づきます。 |
| Ship&Co（株式会社BERTRAND、京都府京都市） | 日本 | 送料見積時：受取人氏名、郵便番号、都道府県、市区町村、番地、国、電話番号。配送ラベル作成時は追加でメールアドレスと会社名、および商品名・数量・価格・重量 | 送料の算出、配送ラベル（送り状）の作成 | 国内の委託先です（法第27条第5項第1号）。EEA・英国から日本への移転は十分性認定に基づきます。 |
| ヤマト運輸、日本郵便、DHL | 日本およびお届け先の国 | 受取人氏名、住所、電話番号。国際便では内容品の税関申告情報（品名・数量・価格） | 商品の配送、通関手続 | お届け先の国への移転は、ご本人が指定した配送先へ商品を届けるという契約の履行に必要な範囲で行われます（GDPR第49条第1項(b)）。到着国では当該国の税関・郵便事業者に関する法令が適用されます。 |
| Resend（Resend, Inc.） | 米国 | メールアドレス、および送信するメールの本文（注文番号、金額、発送状況など） | 取引に関するメールの送信、およびSupabase Authが送信するアカウント確認メール・パスワード再設定メールの送信 | 米国は、個人情報保護委員会が日本と同等の水準にあると認めた国ではありません。米国には包括的な個人情報保護法がなく、分野別の連邦法と州法（カリフォルニア州CCPA/CPRA等）により規律され、政府機関によるアクセスに関する制度が存在します。当社は規則第16条の基準適合体制（契約による相当措置）を根拠とし、規則第18条に基づき実施状況を継続的に確認します。GDPRについてはSCC（標準契約条項）およびResendのEU–US Data Privacy Framework認証に依拠します。 |
| Supabase（Supabase, Inc.） | データは東京リージョン（ap-northeast-1）に保管。ただし会社は米国に所在し、運用・サポート要員が日本国外からアクセスする可能性があります。 | ログイン用メールアドレス、ハッシュ化されたパスワード、認証メタデータ（氏名、フリガナ、生年月日、性別、国籍、年齢層）、セッション、およびショップのデータベース全体 | データベース、認証、セッション管理 | 保管地は日本ですが、運営会社が米国に所在するため米国からのアクセスを前提とします。個人情報保護法上の根拠はResendの行と同じです（規則第16条の契約による相当措置と第18条の確認）。GDPRについてはSCC（標準契約条項）に依拠します。 |
| Supabase Authが認証メールの送信に用いるメール事業者：Resend（Resend, Inc.） | 米国 | メールアドレス、および確認メール・パスワード再設定メールの本文 | アカウント確認メール、パスワード再設定メールの送信 | 上記のResendの行と同一の事業者であり、根拠も同一です（規則第16条の基準適合体制＝契約による相当措置、および規則第18条に基づく実施状況の確認。GDPRについてはSCCおよびResendのEU–US Data Privacy Framework認証）。 |
| Fly.io（Fly.io, Inc.） | アプリケーションサーバーは東京（nrt）。会社は米国に所在。 | リクエストの処理中にアプリケーションを通過するすべてのデータ | アプリケーションの実行環境（ホスティング） | 個人情報保護法上の根拠はResendの行と同じです（規則第16条の契約による相当措置と第18条の確認）。GDPRについてはSCC（標準契約条項）およびFly.ioのEU–US Data Privacy Framework認証に依拠します。 |
| Cloudflare R2（Cloudflare, Inc.） | 米国（会社所在地） | 商品画像および社内の商品取込用ファイル。現時点でお客様の個人データは保管していません。 | 画像の配信、社内ファイルの保管 | 個人情報保護法上の根拠はResendの行と同じです（規則第16条の契約による相当措置と第18条の確認）。GDPRについてはSCC（標準契約条項）に依拠します。同社はGlobal CBPRシステムの認証も取得しています。 |
| PostHog（PostHog, Inc.） | EU（フランクフルト）に保管。会社は米国に所在します。 | ブラウザで生成したランダムな端末識別子（localStorage）、あらかじめ定めた7つのページのパス、商品・カート・注文の金額（円）、配送方法と配送先の区分、User-Agent。ご注文確定時にはサーバーから、注文番号のハッシュ値と合計金額・通貨・決済手段の種別。氏名・メールアドレス・住所・電話番号・注文番号は送信しません。IP アドレスは保存しない設定にしています。 | サイトの利用状況の把握（同意いただいた場合のみ） | 保管はEU域内です。会社が米国に所在するため、米国からのアクセスを前提に、規則第16条の契約による相当措置と第18条の確認を行います。GDPRについてはSCC（標準契約条項）およびPostHogのEU–US Data Privacy Framework認証に依拠します（当社はEUリージョンを利用しています）。EEA・英国からEU域内への移転は越境移転に該当しません。 |
| zipcloud（株式会社アイビーエスネット／ibsnet.co.jp） | 日本 | 住所入力欄に入力された7桁の郵便番号のみ。氏名・番地・アカウント情報は送信しません。 | 都道府県・市区町村・町域の自動入力 | 国内の第三者です。郵便番号による検索を使わず住所を手入力された場合、この送信は発生しません。 |
| 為替レートAPI（open.er-api.com） | 米国（サービス運営者） | 個人データを送信しません。公表されている為替レートを取得するだけです。 | 日本円で計算した価格の他通貨表示 | 個人データの移転がないため、法第28条の適用はありません。 |
このほか、法令に基づく場合、人の生命・身体・財産の保護に必要な場合、事業承継に伴う場合には、法令の定めに従って提供することがあります。
当社は、個人データの取扱いを委託するにあたり、委託先を安全管理措置の水準により選定し、秘密保持および安全管理を内容とする契約を締結したうえで、取扱状況を定期的に確認します（個人情報保護法第25条）。当社は、オプトアウトによる第三者提供および共同利用は行っていません。また、仮名加工情報および匿名加工情報を作成していません。
6. 外国にある第三者への提供（個人情報保護法第28条）
上表のとおり、当社は米国に所在する事業者（Resend, Inc.、Supabase, Inc.、Fly.io, Inc.、Cloudflare, Inc.）に個人データを提供します。また国際配送では、お届け先の国の配送事業者および税関当局に受取人情報が渡ります。米国は、個人情報保護委員会が日本と同等の水準にあると認めた国ではありません。米国には包括的な個人情報保護法が存在せず、分野別の連邦法と州法により規律され、政府機関によるアクセスに関する制度があります。当社は、これらの事業者との契約により相当措置を継続的に講じ（規則第16条）、その実施状況を定期的に確認します（規則第18条）。各国の制度の詳細は、個人情報保護委員会が公表する外国制度の調査結果をご参照ください。ご請求いただければ、講じている措置の内容を書面でご説明します。
7. クッキー
本サイトが使用するクッキーの一覧、目的、保存期間および区分はクッキーポリシーに記載しています。必須以外のクッキーは、同意バナーで同意された場合にのみ使用します。とりわけcs_vid は、機能性クッキーに同意されない限り発行されません。
本サイトでは、サイトの利用状況を把握するために PostHog（PostHog, Inc.、保管場所はEU・フランクフルト）を利用します。読み込むのは、お客様が「分析」カテゴリに同意された場合のみです。同意がない間は、スクリプトの取得すら行いません。
広告タグは一切設置していません。Google Analytics、広告ネットワークのピクセル、ソーシャルプラグインのいずれも使用していません。
送信する情報は、ブラウザで生成したランダムな端末識別子（Cookie ではなく localStorage に保存）、あらかじめ定めた7つのページのパス（トップ、商品一覧、商品詳細、カート、ご注文手続き、決済完了、ログイン）、商品・カート・注文の金額（円）、配送方法と配送先の区分（国内／海外／店頭受取）、ブラウザの User-Agent です。氏名・メールアドレス・住所・電話番号・注文番号は送信しません。マイページ、配信停止、パスワード再設定、データダウンロードの各ページは、パス自体を送信しません。IP アドレスは PostHog 側の設定で保存しないようにしています。
これとは別に、ご注文が確定した時点で、注文番号をハッシュ化した値と合計金額・通貨・決済手段の種別を当社サーバーから送信します。コンビニ決済や銀行振込は数日後にブラウザを介さずお支払いいただくため、同意の状態を読み取ることができません。この送信には個人を特定できる情報が一切含まれないため、同意の対象外としています。
同意はいつでも撤回できます。撤回した時点で送信は直ちに停止し、ブラウザに保存された端末識別子は削除されます。PostHog に既に送信済みのイベントの削除をご希望の場合は support@cardsecret.jp までご連絡ください。当社が削除を手配します。
8. 保存期間
| データ | 保存期間 | 理由 |
|---|---|---|
| アカウントのプロフィール（氏名、フリガナ、メールアドレス、電話番号、住所帳、任意項目） | 退会されるまで。退会のお申出により当社の記録は即時に匿名化し、認証用アカウントの削除はその後速やかに（通常は同日中に）完了します。 | 契約の履行、および消去の権利 |
| 注文・注文明細・決済・請求の記録 | 注文の属する事業年度の終了後7年。会社法第432条第2項の会計帳簿およびその事業に関する重要な資料については10年保存します。 | 法人税法・会社法上の帳簿保存義務。退会後も保存しますが、受取人氏名・電話番号・番地は消去し、国と注文との紐づけのみ残します（GDPR第17条3項(b)）。 |
| 閲覧履歴（cs_vid に紐づく閲覧商品） | 180日 | 「最近見た商品」機能のため |
| 解析イベント（PostHog に送信されたもの） | 取得から24か月以内に削除します。 | サイトの利用状況の把握。当社のデータベースには保存していません。同意を撤回された時点で送信は直ちに停止し、ブラウザに保存された端末識別子は削除されます。送信済みのイベントの削除をご希望の場合は、当社が削除を手配します。 |
| お問い合わせの内容 | 3年 | お問い合わせへの対応および紛争への備え |
| KOMOJUから受信した決済イベントの生データ | 約400日 | 入金消込およびチャージバックへの対応 |
| メールマガジン受信の希望 | 撤回されるまで。撤回した事実自体は記録として保存します。 | 同意の証明（GDPR第7条1項） |
| 同意の記録 | 同意の終了から5年 | 同意を得たことの証明（GDPR第7条1項） |
| ご請求いただいたデータのエクスポートファイル | ダウンロードリンクの有効期限が切れた時点で削除 | 不要な複製を残さないため |
| サーバーログ・セキュリティログ | 30日以内 | 不正アクセスの検知と障害調査 |
9. 安全管理措置（個人情報保護法第23条）
- 基本方針の策定：本ポリシーおよび社内規程を定め、質問・苦情の窓口を明示しています。
- 取扱いに係る規律の整備：取得・利用・保存・提供・消去の各段階の手順を文書化しています。
- 組織的安全管理措置：個人情報保護管理者を置き、取扱い状況を記録し、漏えい等の事案に対応する体制を整えています。
- 人的安全管理措置：業務に関わる者に守秘義務を課し、取扱方法の周知を行っています。
- 物理的安全管理措置：個人データを取り扱う端末は当社が管理する業務用端末に限り、画面ロックを設定しています。個人データへのアクセスは、業務上必要とする者に限定しています。
- 技術的安全管理措置：通信のTLS暗号化、パスワードのハッシュ化、セッションクッキーのhttpOnly化、データベースの行レベルセキュリティ、管理画面の権限分離、金銭に関わる処理のサーバー側限定、決済通知の署名検証、アクセス制御および監査ログを実施しています。
- 外的環境の把握：個人データは日本（東京リージョン）に保管していますが、委託先の運営会社が米国に所在するため、米国の制度を把握したうえで上記6.の措置を講じています。
10. お客様の権利
個人情報保護法に基づく請求：利用目的の通知（第32条）、開示（第33条。電磁的記録による提供を含みます）、訂正・追加・削除（第34条）、利用停止・消去・第三者への提供の停止（第35条）を請求できます。
第三者提供記録の開示（第33条第5項）を請求できます。また、利用する必要がなくなった場合、漏えい等が生じた場合、その他ご本人の権利又は正当な利益が害されるおそれがある場合にも、利用停止・消去・第三者提供の停止を請求できます（第35条第5項）。
GDPR／英国GDPRに基づく権利：アクセス権（第15条）、訂正権（第16条）、消去権（第17条）、処理の制限を求める権利（第18条）、データポータビリティの権利（第20条）、異議を述べる権利（第21条。ダイレクトマーケティングに対しては無条件です）、同意を撤回する権利（第7条3項）、および法的効果その他重大な影響を生じさせる自動化された意思決定・プロファイリングの対象とされない権利（第22条）。当社は、法的効果その他重大な影響を生じさせる自動化された意思決定を行っておらず、プロファイリングも行っていません。ただし、ご注文の受付にあたっては、お届け先の国が配送対象外でないか、および選択された配送方法について運送会社が定める重量・価格の上限を超えていないかを自動的に判定しており、これに該当する場合はご注文をお受けできません。これは、あらかじめ定められた配送可否の判定であり、お客様個人の評価に基づく決定ではありません。
11. 請求の方法・手数料・回答期限
ログイン後のプライバシー設定から、ご自身でデータのダウンロードおよびアカウントの削除を行えます。その他のご請求は support@cardsecret.jp までご連絡ください。ご本人確認のため、登録メールアドレスからのご連絡をお願いする場合があります。手数料は無料です。回答は遅滞なく行い、GDPRが適用される場合は1か月以内に回答します（内容が複雑な場合はさらに2か月延長することがあり、その場合は1か月以内にその旨をご連絡します）。
ご本人に代わって法定代理人または委任による代理人が請求される場合は、代理権を確認できる書面をご提出ください。
12. 苦情の申出先
- 当社窓口：support@cardsecret.jp
- 認定個人情報保護団体：該当なし（加入していません）
- 個人情報保護委員会（PPC）：個人情報保護法相談ダイヤル 03-6457-9849 / https://www.ppc.go.jp/
- EEAにお住まいの方：お住まいの国の監督機関に苦情を申し立てる権利があります（GDPR第77条）。
- 英国にお住まいの方：Information Commissioner’s Office（https://ico.org.uk/）
13. 漏えい等が発生した場合
個人データの漏えい、滅失または毀損が発生し、個人情報保護法施行規則第7条に該当する場合、個人情報保護委員会に速やかに報告し、ご本人に通知します。GDPRが適用される場合は、認識から72時間以内に監督機関へ通知し、権利利益への高いリスクが認められるときはご本人にも遅滞なく通知します（第33条・第34条）。
14. 本ポリシーの改訂
本ポリシーはバージョン管理され、過去の版も本サイトで参照できます。重要な変更を行う場合は施行日を明示し、同意を要する事項については改めて同意をお伺いします（同意の記録には、同意時点のポリシーのバージョンが記録されます）。