プライバシーポリシー

お客様の個人データの管理者（運営者）は、ウクライナ法に従って登録された個人事業主または法人であるPicosuプラットフォームの運営者です。管理者は、本プラットフォームを通じて行われる個人データ処理の目的および手段を決定します。

データ管理者への連絡、または個人データに関する権利の行使については、[email protected]までご連絡ください。当社は、個人データに関する請求を受領してから30暦日以内に回答します。

Picosuが写真家に代わって個人データを処理する場合（たとえば、ギャラリーを閲覧する写真家のクライアントのデータ）、Picosuはデータ処理者として、写真家はデータ管理者として行動します。この場合、処理の適法性およびデータ主体からの同意取得については、写真家が責任を負います。

本ポリシーは、picosu.comウェブサイトおよびそのすべてのサブドメイン、Picosuモバイルアプリケーション（提供されている場合）、Picosu API、メールその他の通信手段、ならびに本ポリシーを参照するその他のプラットフォームまたはサービスを通じて当社が収集する、すべての個人データに適用されます。

本ポリシーは、本プラットフォームからリンクされる第三者のウェブサイトまたはサービスには適用されません。第三者へ情報を提供する前に、当該第三者のプライバシーポリシーを確認することを推奨します。Picosuは、第三者によるデータ処理について責任を負いません。

当社は、本サービスの提供にあたり、以下の種類の個人データを収集および処理する場合があります。

• 識別情報：名、姓、スタジオ名、ユーザー名、アバター。
• 連絡先情報：メールアドレス、電話番号（提供された場合）、SNSへのリンク。
• 認証情報：ハッシュ化されたパスワード、OAuthトークン（Google）、セッショントークン、ログイン時のIPアドレス。
• 決済情報：カード名義、カードの種類、カード番号の下4桁（当社はカード番号全体を保存しません。処理はHutkoが行います）、取引履歴、選択したプラン。
• ユーザーコンテンツ：写真、ギャラリー名、説明、透かし設定、ポートフォリオの文章、料金表、ロゴ。
• 技術情報：IPアドレス、ブラウザの種類とバージョン、OS、ブラウザの言語、画面解像度、参照元、端末情報（ユーザーエージェント）、Cookieおよび類似する追跡技術。
• 利用情報：アクセス日時、閲覧ページ、ギャラリーの閲覧回数と頻度、ダウンロードした写真、閲覧地域（IPアドレスに基づく国・市区町村レベル）、画面上の操作（ギャラリー作成、設定変更）。

当社は、人種・民族的出身、政治的見解、宗教的信条、健康情報、生体情報などの「センシティブな」個人データを収集しません。お客様が誤ってそのようなデータを提供した場合、当社は発見後直ちに削除します。

当社は、以下の取得元からお客様の個人データを取得します。

• お客様から直接 — 登録、プロフィール入力、コンテンツのアップロード、サブスクリプションの支払い、サポートへの問い合わせの際に取得します。
• 自動的に — 本サービスの利用中に、Cookie、ウェブビーコン、および類似技術を通じて取得します。
• 第三者サービスから — Google OAuthで認証する場合、Googleアカウントからお客様の氏名、メールアドレス、およびアバターのURLを取得します。
• 決済処理事業者から — Hutkoから、支払い確認、取引状況、および限定的な決済情報（カード番号全体を除く）の提供を受けます。

• お客様のアカウントの作成および管理、本サービスの機能へアクセスするための本人確認および権限確認。
• 本サービスの主要機能の提供：写真のクラウド保存、ギャラリーの作成および表示、ポートフォリオページの生成。
• 支払い処理、サブスクリプション管理、請求書の発行、および金融取引の記録。
• 統計および分析の提供：ギャラリー閲覧数、訪問者の地域、流入元、ダウンロード数。
• 本サービスの安全確保：詐欺、不正利用、不正アクセス、その他の脅威の検出および防止。
• 技術サポート：お問い合わせへの対応、問題の診断、サービス品質の改善。
• 本サービスの改善：利用傾向の分析、新機能のテスト、性能およびインターフェースの最適化。
• 連絡：サービス上必要なメッセージ（登録確認、パスワードのリセット、プラン変更のお知らせ）および、お客様の同意を得たマーケティングメッセージの送信。

当社は、ウクライナ個人データ保護法およびEUユーザーに適用されるGDPRに従い、以下の法的根拠のうち1つまたは複数に基づいて個人データを処理します。

各処理区分における具体的な法的根拠は、次のとおりです。

• 契約の履行（GDPR第6条1項(b)）：本サービスの提供、アカウント管理、支払い処理、お客様に対する当社の義務の履行に必要な処理。
• 同意（GDPR第6条1項(a)）：マーケティング情報の送信、任意のCookieおよび分析ツールの利用に必要な処理。お客様はいつでも同意を撤回できます。
• 正当な利益（GDPR第6条1項(f)）：本サービスの安全確保、不正防止、本サービスの改善、および利用状況の分析に必要な処理。
• 法的義務（GDPR第6条1項(c)）：会計、税務申告、法執行機関からの適法な要請への対応など、法的要件を遵守するために必要な処理。

処理の根拠がお客様の同意である場合、お客様は[email protected]へ連絡するか、アカウント設定を変更することで、いつでも同意を撤回できます。同意の撤回は、撤回前に行われた処理の適法性には影響しません。

Picosuは、本サービスの運営、ユーザー体験の向上、および分析データの収集のために、Cookieおよび類似技術を利用します。Cookieとは、お客様の端末に保存される小さなテキストファイルです。当社は次の種類のCookieを使用します。(1) 必須Cookie — 認証、セッション設定、言語設定、ダーク／ライトモードなど、本サービスの運営に必要なCookieです。これらを無効にすることはできません。(2) 分析Cookie — 訪問数、よく閲覧されるページ、流入元など、ユーザーによる本サービスの利用状況を把握するためのCookieです。当社はGoogle Analyticsまたは同様のツールを利用する場合があります。

Cookieはブラウザ設定から管理できます。ただし、必須Cookieを無効にすると、本サービスの一部機能を利用できなくなる場合があります。また当社は、認証トークンおよびインターフェース設定を保存するため、ブラウザのlocalStorageを使用します。

お客様が作成・共有するギャラリーでは、訪問者に関する限定的な分析情報（国・市区町村レベルの地域判定に使用するIPアドレス、端末種別の判定に使用するユーザーエージェント）を収集する場合があります。このデータはギャラリーの統計にのみ使用され、第三者と共有されません。

当社は、お客様の個人データを販売、賃貸、または取引しません。以下の場合に限り、第三者とデータを共有することがあります。

• 決済処理事業者（Hutko）：サブスクリプション料金を処理するため。取引の完了に必要な最小限のデータのみを送信します。
• クラウドサービス事業者（AWS S3、Google Cloud Storage、Hetzner）：お客様の写真および本サービスのデータを保存するため。データは暗号化して保存されます。
• 認証サービス（Google OAuth）：Googleアカウントによるログインを可能にするため。
• 分析サービス（Google Analytics）：お客様の同意を得て、本サービスの利用に関する集計統計を収集するため。
• 法執行機関および政府機関：適用法令、裁判所命令、または法執行機関からの適法な要請により必要となる場合。
• 承継者：Picosuの合併、買収、組織再編、または資産譲渡が行われた場合、お客様のデータを承継者へ移転することがあります。その場合は事前に通知します。
• 専門アドバイザー：Picosuの正当な利益を保護するために必要な範囲で、弁護士、監査人、その他のコンサルタントへ提供する場合。

お客様のデータへアクセスするすべての第三者は、適用される機密保持およびセキュリティ要件を遵守する義務を負います。当社は、GDPRの要件に従い、これらの第三者と適切なデータ処理契約（DPA）を締結します。

お客様のデータは、お住まいの国以外、特に欧州連合、米国、または当社のクラウドサービス事業者が所在するその他の国のサーバーで処理・保存される場合があります。EU／EEA域外へデータを移転する際は、欧州委員会が承認した標準契約条項（SCC）、十分性認定、またはその他の適切な法的手段を用いて、十分な保護水準を確保します。

標準契約条項の写し、またはデータ移転に用いる具体的な法的手段に関する情報は、[email protected]へお問い合わせいただくことで入手できます。

当社は、本ポリシーに記載した目的を達成するために必要な期間、または適用法令によりさらに長い保存が求められる場合はその期間、個人データを保存します。具体的な保存期間は次のとおりです。

• アカウントデータ（氏名、メールアドレス、プロフィール）：アカウントの存続期間および削除後30日間。
• コンテンツ（写真、ギャラリー）：アカウントの存続期間および削除後、バックアップ内で最長90日間。
• 決済情報および財務記録：税法上の要件に従い、通常7年間。
• 技術ログおよび利用情報：収集日から最長12か月間。

保存期間の経過後、データは削除されるか、特定の個人と結び付けられないよう匿名化されます。集計・匿名化された一部のデータは、分析および本サービスの改善を目的として無期限に保持される場合があります。

ウクライナ個人データ保護法（2010年6月1日付第2297-VI号）に基づき、個人データの主体であるお客様には以下の権利があります。

• 個人データの収集元および所在地、処理目的、ならびにデータ管理者または処理者の所在地もしくは居住地を知る権利。
• 個人データの提供先となる第三者に関する情報を含め、個人データへのアクセス条件について情報を得る権利。
• ご自身の個人データへアクセスし、処理の有無について確認を受け、データの写しを取得する権利。
• データ管理者または処理者に対し、ご自身の個人データの変更または消去を求める、理由を付した請求を行う権利。
• 個人データを違法な処理、偶発的な喪失、破壊、または毀損から保護される権利。
• 個人データの処理について、ウクライナ最高会議人権オンブズマンまたは裁判所へ苦情を申し立てる権利。
• 個人データ保護法令への違反があった場合、法的救済を求める権利。
• 個人データの処理に同意する際、その処理権限の制限について留保を付す権利。

これらの権利を行使するには、[email protected]までご連絡ください。当社は30暦日以内に請求を審査します。

欧州連合または欧州経済領域にお住まいの場合、一般データ保護規則（GDPR）に基づき、以下の追加の権利があります。

• アクセス権（GDPR第15条）：処理の有無について確認を受け、個人データの写し、ならびに処理目的、データの種類および受領者に関する情報を取得する権利。
• 訂正権（GDPR第16条）：不正確な個人データの訂正、または不完全な個人データの補完を求める権利。
• 消去権／「忘れられる権利」（GDPR第17条）：一定の条件の下で、個人データの削除を求める権利。
• 処理制限権（GDPR第18条）：一定の場合に、ご自身のデータの処理を制限するよう求める権利。
• データポータビリティの権利（GDPR第20条）：構造化され、一般的に利用され、機械可読な形式でデータを受け取り、別の管理者へ移転する権利。
• 異議を述べる権利（GDPR第21条）：正当な利益を根拠とする処理、またはダイレクトマーケティングを目的とする処理に異議を述べる権利。
• 自動化された意思決定の対象とならない権利（GDPR第22条）：プロファイリングを含め、自動処理のみに基づく決定の対象とならない権利。
• 監督機関へ苦情を申し立てる権利：お住まいの国の管轄データ保護監督機関へ苦情を申し立てる権利。

これらの権利を行使するには、[email protected]までご連絡ください。当社は30日以内（法令によりさらに短い期間が求められる場合はその期間内）に回答します。例外的な場合、期間を60日まで延長することがあります。その場合はお客様へ通知します。明らかに根拠がない、または過度な請求を除き、権利の行使は無料です。

当社は、不正なアクセス、改変、開示、または破壊から個人データを保護するため、適切な技術的および組織的措置を講じます。これらには、通信時（TLS／SSL）および保存時（AES-256）の暗号化、一意のソルトを用いたPBKDF2によるパスワードのハッシュ化、定期的なデータのバックアップ、最小権限の原則に基づく従業員の個人データへのアクセス制限、セキュリティ監視、およびアクセスログの記録が含まれますが、これらに限られません。

これらの措置を講じていても、インターネット経由のデータ送信または電子的な保存方法に100％安全なものはありません。当社は、お客様のデータの絶対的な安全性を保証できません。データ侵害またはセキュリティ事故が発生した場合、当社は適用法令に従って、お客様および関係監督機関へ通知します（GDPRが適用される場合は72時間以内）。

Picosuは、18歳未満の方による利用を目的としていません。当社が子どもの個人データを認識しながら収集することはありません。親権者または保護者の方が、お子様が同意なく当社へ個人データを提供したことを知った場合は、[email protected]までご連絡ください。当社は当該データを削除するため、直ちに必要な措置を講じます。

当社は、いつでも本プライバシーポリシーを更新する権利を留保します。重要な変更がある場合は、メールまたは本プラットフォーム上で通知します。別段の定めがない限り、改定版は公開された時点から効力を生じます。

本ポリシーの最新版を確認するため、定期的にご確認ください。改定後のポリシーの発効後も本サービスの利用を継続した場合、お客様は変更に同意したものとみなされます。

本プライバシーポリシーまたは個人データの処理について、ご質問、ご提案、または苦情がある場合は、メール（[email protected]）でお問い合わせください。当社は、すべてのお問い合わせに30暦日以内に回答します。

データ保護に関する権利が侵害されたと考える場合、お客様は、ウクライナ国民についてはウクライナ最高会議人権オンブズマンへ、EU／EEA域内の方についてはお住まいの国の管轄データ保護監督機関へ、または適用法令に従って裁判所へ苦情を申し立てる権利があります。