VirtualCraft, Inc.// CRAFTING VALUE TOGETHER

第１条（事業者情報・データ管理者）

当社は、本ポリシーに基づき取得・利用する個人情報の管理者（GDPR上のデータ管理者）です。

• 名称：株式会社バーチャルクラフト
• 住所：〒169-0075 東京都新宿区高田馬場1-28-10 バンフォーレ三慶ビル4F
• 連絡先：お問い合わせフォーム

当社は、GDPR第37条に基づくデータ保護責任者（DPO）の設置義務に該当しない場合がありますが、個人情報の適切な管理のため、社内に個人情報保護責任者を任命しています。

第２条（適用範囲）

1. １）本ポリシーは、本サービスの利用に関連して当社が取得する個人情報等に適用されます。
2. ２）本サービスからリンクされた第三者のウェブサイト・サービス（例：SNS、外部クラウドサービス等）における情報の取扱いは、当該第三者の定めるポリシーに従います。
3. ３）採用応募者、当社の取引先の役職員その他本サービスの利用によらずに当社が取得する個人情報については、本ポリシーではなく、取得の際に個別にお示しする利用目的その他当社が別途定める基準に従って取り扱います。

第３条（定義）

1. １）「個人情報」とは、個人情報保護法およびGDPRにいう個人データをいい、氏名、住所、電話番号、メールアドレスその他の記述等により特定の個人を識別できる情報、または他の情報と容易に照合することにより特定の個人を識別できる情報を含みます。
2. ２）「個人関連情報」とは、Cookie等により取得される閲覧履歴・識別子等であって、それ単体では個人を特定しないものの、第三者において個人データとして利用され得る情報をいいます。
3. ３）「利用者」とは、本サービスを閲覧または利用するすべての個人をいいます。

第４条（取得する情報）

当社は、本サービスの提供のため、以下の情報を取得することがあります。

1. １）利用者が入力・送信する情報
   　氏名、会社名、メールアドレス、お問い合わせの種別、お問い合わせ内容、その他利用者が任意に入力する情報
2. ２）本サービスの利用に伴い自動的に取得される情報
   　IPアドレス、ブラウザ・端末情報、OS、アクセス日時、閲覧ページ、参照元URL、通信ログ、端末識別子等
3. ３）Cookieおよび類似技術により取得される情報
   　Cookie識別子、閲覧履歴、サイト内行動情報等（第７条に定める同意の範囲で取得します）
4. ４）不正アクセスの検知のために当社が生成する情報
   　ハッシュ化したIPアドレス、アクセス元の国、ブラウザ情報、アクセス先のパス、およびこれらに基づき当社が算出する検知スコアおよび遮断状態（第１４条）

第５条（利用目的）

当社は、取得した個人情報等を、以下の目的の範囲で利用します。

1. １）お問い合わせへの対応、連絡、本人確認、必要な手続の実施
2. ２）本サービスの提供、維持、保護および改善（不具合対応・品質向上、新機能の開発を含む）
3. ３）セキュリティ確保、不正利用の防止および検知、アクセス解析、障害対応
4. ４）法令上の義務履行、紛争・トラブル対応、権利行使・防御のための対応
5. ５）利用者の同意がある場合の、サービス・イベント等の案内（メール配信等）
6. ６）個人を特定できない形式に加工した統計データの作成、および当該データのAI（人工知能）等の機械学習モデルの学習・精度向上への利用。なお、当社が個人情報保護法上の匿名加工情報を作成する場合には、同法に従い、当該匿名加工情報に含まれる個人に関する情報の項目を公表します。
7. ７）上記に付随する目的

第６条（個人情報の処理の法的根拠）

当社は、GDPRが適用される場合、以下の法的根拠に基づき個人情報を処理します。

1. １）同意：利用者が明示的に同意した場合（任意であり、いつでも撤回可能です）
2. ２）契約の履行：お問い合わせ対応、契約または契約前措置に必要な場合
3. ３）法的義務：適用法令を遵守するために必要な場合
4. ４）正当な利益：サービス改善、セキュリティ確保、業務運営上合理的に必要な場合（利用者の権利・利益を不当に侵害しない範囲）

第７条（Cookie・アクセス解析・外部送信）

1. １）当社は、利便性の向上およびサイトの改善のため、Cookieおよび類似技術を使用します。
2. ２）当社は、本サービスの提供に不可欠な必須Cookieを除き、利用者の事前の同意を得た場合にのみCookie等を使用します。この取扱いは、利用者の所在地を問わず、すべての利用者に適用されます。当社は同意管理機能により同意状況を記録・管理し、利用者はいつでも同意を変更・撤回することができます。
3. ３）利用者は、ブラウザの設定によりCookieを無効化することもできますが、その場合、本サービスの一部機能が利用できなくなることがあります。
4. ４）電気通信事業法に基づき公表すべき外部送信（利用者の端末から第三者のサーバーへ情報が送信されること）に関する事項は、次項のとおりです。

※ Google アナリティクスによる情報収集は、Googleが提供するオプトアウト アドオンによっても無効化できます。

※ 上記の送信先の追加・変更を行う場合には、本ポリシーの改定により事前に公表します。

第８条（第三者提供・委託・共同利用）

１．第三者提供
当社は、法令に基づく場合を除き、利用者の同意なく第三者に個人データを提供しません。

２．取扱いの委託
当社は、本サービス運営のため、クラウド事業者、アクセス解析事業者、メール配信・サポートツール事業者等に対し、個人情報の取扱いを委託することがあります。この場合、当社は委託先を適切に選定し、契約等により必要かつ適切な監督を行います。主な委託先および所在国は第９条に記載のとおりです。

３．共同利用
当社は、現時点では個人データの共同利用は行っていません。共同利用を行う場合は、共同利用する項目、利用目的、共同利用の範囲、管理責任者等を本ポリシーにてあらかじめ公表します。

４．個人関連情報の第三者提供
当社が取得するCookie等の情報が、第三者において個人データとして利用されることが想定される場合には、個人情報保護法その他適用法令に従い、必要な同意取得または確認を行います。

５．事業の承継
当社は、合併、会社分割、事業譲渡その他の事由により事業を承継する場合、本ポリシーに基づく義務を承継人に引き継がせることを条件として、個人データを承継人に提供することがあります。

第９条（個人データの保存先および国際データ移転）

1. １）当社は、本サービスの運営にあたり、以下の事業者のクラウドサービスを利用しており、個人データはこれらの事業者が管理する設備において保存・処理されます。
   • ・Cloudflare, Inc.（アメリカ合衆国）：本サービスの配信基盤、Cookie同意記録、アクセスログおよびセキュリティ関連情報の保存
   • ・Google LLC（アメリカ合衆国）：お問い合わせ内容の受付・保存、アクセス解析
   • ・株式会社microCMS（日本）：お知らせ記事および画像の管理・配信
2. ２）上記のとおり、当社は個人データの取扱いの一部をアメリカ合衆国に所在する事業者に委託しており、個人データが日本国外に移転されます。当社は、これらの委託先を適切に選定し、契約等により必要かつ適切な監督を行うとともに、当該国の個人情報の保護に関する制度を把握したうえで安全管理措置を実施します（第１２条）。
3. ３）GDPRが適用される場合において、当社が十分性認定を受けていない第三国に個人データを移転するときは、GDPR第46条に基づく標準契約条項（SCC）の締結その他法令上必要な適切な保護措置を講じます。なお、日本国は、欧州委員会により、GDPR上の十分なデータ保護水準を有しているとの認定（十分性認定）を受けています。
4. ４）上記の委託先を変更する場合には、本ポリシーの改定により公表します。

第１０条（EEA域内の代表者）

当社は、現時点において、EEA（欧州経済領域）域内の個人に対して継続的に商品・サービスを提供し、またはその行動を監視することを目的とした事業活動を行っていません。今後、GDPR第27条により代表者の選任が求められる場合には、EEA域内の代表者を選任し、その連絡先を本ポリシーにて公表します。

第１１条（保管期間）

当社は、利用目的の達成に必要な期間に限り個人情報を保管し、不要となった場合は、復元困難な方法で削除または匿名化等の措置を行います。目安として、以下の期間を設定します。

1. １）お問い合わせ情報：対応完了後３年間
2. ２）取引関連情報：法令等で求められる期間
3. ３）アクセスログおよびCookie同意記録：１年間（ただし、セキュリティ調査等で必要な場合は合理的範囲で延長することがあります）
4. ４）不正アクセスの検知に関する情報（第１４条）：遮断の解除後、最長１年間

当社は、上記の期間を経過した情報について、定期的に削除を行う運用を実施します。

第１２条（安全管理措置）

当社は、個人情報の漏えい、滅失または毀損等を防止するため、合理的な安全管理措置を講じます。

1. １）組織的安全管理措置：個人情報保護責任者の設置、取扱状況の記録および点検、漏えい等の事案に対応する体制の整備
2. ２）人的安全管理措置：従業者に対する定期的な教育の実施、秘密保持義務の明確化
3. ３）物理的安全管理措置：機器および電子媒体等の盗難・紛失を防止するための措置
4. ４）技術的安全管理措置：アクセス制御および権限管理、通信の暗号化、ログの取得および監査、脆弱性対策、不正アクセスの検知および遮断
5. ５）委託先の監督：委託先の適切な選定および契約等による監督
6. ６）外的環境の把握：当社は、第９条に記載のとおりアメリカ合衆国に所在する事業者に個人データの取扱いを委託しており、同国における個人情報の保護に関する制度を把握したうえで、上記の安全管理措置を実施しています。

第１３条（セキュリティインシデント対応）

当社は、個人情報の漏えい等の事故が発生した場合、適用法令に従い、事実関係の調査、被害拡大防止、再発防止策の実施、関係当局への報告および必要な通知を行います。

第１４条（不正アクセスの自動的な検知および遮断）

1. １）当社は、本サービスへの不正アクセス、攻撃および不正利用を防止するため、アクセスの内容を自動的に検知・評価し、一定の基準に該当する場合には、人の関与を経ずに当該アクセス元からの接続を一時的に遮断する措置を講じています。
2. ２）前項の措置にあたり、当社は、ハッシュ化したIPアドレス、アクセス元の国、ブラウザ情報、アクセス先のパスおよびこれらに基づく検知スコアを記録します。当社は、これらの情報を不正アクセスの検知および遮断の目的にのみ利用し、利用者の趣味・嗜好の分析や広告配信には利用しません。
3. ３）本条の処理の法的根拠は、本サービスの保護および安全確保という当社の正当な利益（GDPRが適用される場合、同規則第6条1項(f)）です。
4. ４）利用者は、正当な利用にもかかわらず遮断された場合、第１６条のお問い合わせ窓口を通じて、遮断の解除を申し出ることができます。当社は、当該申出について当社の担当者による確認を行い、遮断が誤りであると判断した場合は速やかに解除します。

第１５条（利用者の権利・請求手続）

1. １）GDPRが適用される利用者は、法令に基づき、アクセス、訂正、削除、処理制限、データポータビリティ、異議申立、同意撤回等の権利を有します。
2. ２）個人情報保護法が適用される利用者は、保有個人データに関する利用目的の通知、開示、訂正・追加・削除、利用停止・消去、第三者提供の停止等の請求を行うことができます。
3. ３）請求手続
   請求は第１６条のお問い合わせ窓口までご連絡ください。ご本人確認のため、合理的な範囲で追加情報（例：登録メールアドレス等）の提示をお願いすることがあります。
4. ４）手数料
   当社は、利用目的の通知および開示の請求について、手数料を申し受けません。

第１６条（お問い合わせ窓口・苦情の申出）

本ポリシーに関するご質問、開示等のご請求、遮断の解除のお申出は、以下までご連絡ください。

• 株式会社バーチャルクラフト 個人情報保護事務局
• （管理責任者：代表取締役 小寺竹春）
• 住所：〒169-0075 東京都新宿区高田馬場1-28-10 バンフォーレ三慶ビル4F
• 連絡先：お問い合わせフォーム

※ ご本人確認のため、公的証明書の写し等の送付をお願いする場合があります。

当社の個人情報の取扱いに関する苦情について、当社の対応にご納得いただけない場合には、個人情報保護委員会に対して申出を行うことができます。

第１７条（本ポリシーの変更）

1. １）当社は、法令の改正やサービス内容の変更等に応じて、本ポリシーを改定することがあります。
2. ２）変更後の本ポリシーは、本サービス上に掲示した時点から効力を生じます。ただし、利用者の権利に重要な影響を及ぼす変更を行う場合には、効力発生日を定めたうえで、相当な期間をおいて本サービス上での掲示その他当社が適切と判断する方法により周知します。
3. ３）当社は、改定の経緯を確認できるよう、本ポリシーの改訂履歴および過去のバージョンを本サービス上で公開します。

第１８条（準拠言語）

本ポリシーは日本語を正文とし、英語版その他の言語による版は参考訳です。日本語版と他の言語による版との間に相違がある場合には、日本語版が優先します。