プライバシーポリシー

Jonotはクラウドを基盤とする順番待ち管理サービスです。本ポリシーでは、お客様またはお客様の顧客が本サービスを利用する際に当社が収集する個人データの内容、その収集理由、保持期間、そしてお客様が有する権利について説明します。

運営者について

本サービスは、フィンランドに登録された企業であるJonot Oy（法人番号 3620928-7、以下"Jonot"、"当社"）が運営しています。プライバシーに関するお問い合わせ先は以下のとおりです。

• Eメール: info@jonot.io
• 郵送先: Jonot Oy, Tenavatie 11B, 00760 Helsinki, Finland

当社はデータ保護責任者（DPO）を選任していません—これを義務付けるGDPR第37条の基準を下回っているためです—が、上記のEメールアドレスはプライバシー対応の責任者に届きます。

役割ごとに収集するデータ

Jonotは3つのグループの利用者に利用されており、それぞれについて異なるデータを収集します。

エンドユーザー（順番待ちに参加する方）

• 整理券ハッシュ: エンドユーザーの代わりとなる22文字のランダムな識別子です。エンドユーザーが持つ唯一の資格情報であり—アカウント、ログイン、初期設定でのEメール収集はありません。
• IPアドレス: レート制限と不正利用の防止のためエッジで読み取られます（例: 1つのブラウザが順番待ちを溢れさせるのを防ぐため）。IPアドレスは順番待ちのデータベースには保存されず、短期間のリクエストログにのみ保持されます。
• 任意の連絡先情報: 事業者がキオスクまたは参加フローで氏名や電話番号の入力を求めるよう設定している場合（例: 順番が来た際に連絡するため）、その値は順番待ちセッションが続く間、整理券に紐づけて保存されます。

スタッフユーザー（デスク、管理者、スーパー管理者）

• 本人情報: Eメール、氏名、アバター、ユーザーID。JonotはEU内の自社データベース上で認証を独自に行っており、パスワードはソルト付きハッシュとしてのみ保存されます—平文で保存されることはなく、当社の目にも触れません。
• 権限: ユーザーに付与された役割（例: org-manager、desk）—すべてのリクエストで検証されます。
• 操作履歴: 拠点の作成や端末の取り消しなどの管理上の変更操作の記録を、ユーザーIDに紐づけて保持します。
• リクエストのメタデータ: IPアドレスとユーザーエージェントが短期間のリクエストログに記録されます。

端末（キオスク、ディスプレイ）

• 端末セッショントークンのハッシュ: ペアリング時に発行したトークンの一方向ハッシュです。生のトークンを保存することはありません。
• ペアリングのメタデータ: 端末が紐づけられている拠点、人が読めるラベル、最終確認日時。

収集理由（法的根拠）

GDPRの下では、すべての処理活動に法的根拠が必要です。当社の場合は次のとおりです。

• 契約（GDPR第6条1項(b)）: スタッフアカウント、整理券の発行、キオスクのペアリング—いずれも、お客様（有料契約者）が申し込んだサービスを提供するために必要です。
• 正当な利益（GDPR第6条1項(f)）: レート制限、不正利用の防止、リクエストログ。サービスを稼働させ公正に保つという当社の利益は、短期間のIPログという最小限の影響によって損なわれるものではありません。
• 同意（GDPR第6条1項(a)）: エンドユーザーがキオスクのフォームに自発的に入力する任意の連絡先項目。同意はいつでもEメールで撤回できます。

デモアカウント

デモアカウントは、実際のエンドユーザーとのやり取り（例えば、実際の店頭で読み取られるQRコードなど）を含め、Jonotを最初から最後まで無料でお試しいただける手段です。デモアカウントを有効化すると、上記で説明したスタッフユーザーの本人情報と同じデータに加えて、お客様が設定する順番待ちを通じて流れるエンドユーザーのデータ、すなわち有料のお客様の場合とまったく同様に、実際の氏名や電話番号が含まれる場合があるデータが収集されます。当社は、デモアカウントの有効化に使用されたEメールアドレスを、公正で期間限定の無料提供物を運営し、その濫用を防止するための正当な利益（GDPR第6条1項(f)）に基づいて収集します。デモの順番待ちを通じて収集されたエンドユーザーのデータは、有料のお客様について上記に定めたものと同じ法的根拠に基づいて処理されます。有料のお客様の場合と同様に、当該エンドユーザーのデータについてはお客様が引き続き管理者（データ管理者）であり、当社のデータ処理補遺（DPA）が同じ基準に基づいてこれに適用されます。

デモアカウントおよびその内部のすべてのデータは、以下の有料のお客様向けのスケジュールではなく、固定された短いスケジュールに従って削除されます。稼働中の整理券データはおよそ24時間後、整理券が一度も発行されていないアカウントはおよそ48時間後（ログインおよび当社が用意するサンプルの順番待ちデータは、整理券の発行には該当しません）、そしてデモの組織全体、すなわちスタッフユーザーとエンドユーザーのデータの両方は、デモの期間が終了してからおよそ7日後です。デモアカウントは1回に限り、さらに14日間延長することができます。その延長後の終了時点が7日間のカウントダウンの起点となるため、デモアカウントとそのデータが存在し得る最長期間は、有効化からおよそ35日間です。参加した順番待ちがデモであったことが判明した場合、お客様のデータはこのスケジュールに従いますが、これに関するご質問がございましたら、info@jonot.ioまでご連絡いただけます。

デモ登録記録。デモの組織が削除される際、当社は、特定のEメールアドレスから既にデモが作成されたことを識別する記録を1件保持します。これにより、同じアドレスが期間の制限を回避するために繰り返し新しいデモアカウントを有効化することを防ぎます。この記録には、正規化されたEメールアドレスのソルト付き暗号学的ハッシュと作成日時のみが含まれ、平文のアドレスは含まれません。その根拠は正当な利益（GDPR第6条1項(f)）であり、期間限定の無料提供物が繰り返し回避されることを防止するためのものです。当社は、デモの組織自体が存続していた期間とは無関係に、作成からおよそ12か月間この記録を保持し、その期間中は当該記録に対する消去のご請求をお断りします。これは、当該記録を消去すると、まさに防止しようとしている濫用が再び可能になるため、特別に保持されているものだからです（GDPR第17条1項(c)）。特定の記録についてご質問がございましたら、お気軽にお問い合わせください。その理由をご説明いたします。

当社に代わって処理を行う者

当社は本サービスの提供にあたり、少数の副処理者に依存しています。各副処理者はデータ処理契約に拘束され、当社の指示に基づいてのみ個人データを処理できます。

• Cloudflare — ホスティング、データベース（D1）、エッジコンピューティングを提供します。順番待ちデータおよびアカウントデータはEU（西欧）に保存され、静的アセットおよびステートレスな処理はそのグローバルエッジネットワークから提供されます。

認証およびスタッフの本人確認は、第三者ではなく当社自身のEUデータベース上で内製にて処理されます。決済は、マーチャントオブレコード（Merchant of Record）であるPolarが処理します。Polarは決済データについて当社の副処理者ではなく独立した管理者（データ管理者）として機能します。組織の作成（デモを含みます）を行うと、登録時に使用されたEメールアドレスおよび組織に対する内部的な参照情報を含む顧客レコードがPolarに登録され、これにより、後にお客様が決済に進んだ場合にPolarがお客様を認識できるようになります。それ以外のもの、すなわち組織名、順番待ちデータ、エンドユーザーのデータは送信されません。デモの開始または延長自体は、サブスクリプションを発生させず、料金も課さず、決済情報を収集することもありません。副処理者に変更があった場合は、本リストを更新します。

データの処理場所

• 順番待ちデータ: EU（西欧）に保存されます。
• 静的アセットおよびアプリケーションの処理: グローバルエッジネットワークから提供されます。処理はステートレスであり、エッジに個人データが保持されることはありません。
• 本人確認および認証: 当社のEUデータベース（西欧）上で内製にて処理されます。
• 決済（マーチャントオブレコードであるPolar経由）: EU–US Data Privacy Frameworkに基づき、米国への転送を含む場合があります。

受領者がEU–US Data Privacy Frameworkの認証を受けていない場合、当該転送は代わりに欧州委員会の標準契約条項（SCC）に依拠します。条項の写しはinfo@jonot.io宛のご請求により入手できます。

保持期間

• 順番待ちの整理券: 順番待ちセッションが終了するまで保持され、その後、紛争解決のため30日間保持されたうえで削除されます。
• 端末セッション: 端末が取り消されるまで保持されます。取り消しにより、トークンハッシュは直ちに削除されます。
• スタッフアカウントデータ: 組織のサブスクリプションが継続している間、および解約後90日間保持され、その後当社のデータベースから削除されます。ソルト付きパスワードハッシュを含む本人確認記録は、このスタッフアカウントデータの一部であり、同じスケジュールで削除されます。
• 監査ログ: 12か月。
• リクエストログ: 通常7日間。
• デモアカウント: 稼働中の整理券データはおよそ24時間、整理券が一度も発行されていないアカウントはおよそ48時間、デモの組織全体はその期間（14日間の延長を1回含む場合を含みます）が終了してからおよそ7日間（有効化からの最長期間はおよそ35日間）。詳細は上記のデモアカウントをご覧ください。
• デモ登録記録: デモの組織自体の存続期間とは無関係に、作成からおよそ12か月間。

お客様の権利

EU/EEA圏にお住まいの場合（また、多くの場合は居住地にかかわらず）、以下の権利を有します。

• アクセス権: 当社が保有するお客様の個人データにアクセスする権利。
• 訂正権: 不正確なデータを訂正する権利。
• 削除権: データを削除する権利（請求書記録など、法的な保持義務に従うことを条件とします）。
• データポータビリティ権: データを持ち運び可能な形式で受け取る権利。
• 異議権: 正当な利益に基づく処理に異議を申し立てる権利。
• 同意の撤回: これまでに同意した事項について、同意を撤回する権利（すでに行われた処理には影響しません）。

これらの権利を行使するには、info@jonot.io 宛にEメールをお送りください。当社は30日以内に対応することを目指していますが、監督機関が定める法定期限は1か月であり、複雑な事案については1回に限りさらに2か月延長できます。

当社がJonotのお客様（たとえば、お客様の雇用主）に代わってデータを処理している場合は、まず当該お客様に依頼してください—当該お客様がそのデータの管理者（データ管理者）であり、当社はその指示に基づいて行動します。

クッキーとローカルストレージ

Jonotの各アプリはブラウザストレージを必要最小限に使用します。

• ログイン後のリダイレクト用セッションストレージ ログイン後、お客様を元のページに戻すために使用します。リダイレクトが完了すると直ちに削除されます。
• 本人確認トークン: IDトークンおよびリフレッシュトークンは、メモリ上、およびJonot自身の認証サービスが発行するセキュアなリフレッシュクッキーに保持されます。
• お客様の端末に保存される順番待ち履歴：カスタマーアプリは、有効な整理券と、順番待ちに参加した場所の短い一覧を保存します。整理券が終わったあとも、インストールしたアプリから戻れるようにするためです。これらのデータはブラウザー内にとどまり、当社に送信されることはありません。アプリからいつでも削除できます。

当社は、サービスの利用状況を把握するため、マーケティングサイトと申込みサイト、およびお客様向け、スタッフ向け、キオスク向け、ディスプレイ向けのアプリでGoogle Analyticsを使用しています。訪問したページ、行った操作、参照元のサイト、ブラウザと画面の情報を収集します。ページのアドレスには、組織、キュー、チケットに関連する識別子が含まれる場合があります。この測定はクッキーを使用せずに行われることもあります。また、お使いの端末がGoogleのサービスに接続すると、GoogleはIPアドレスとブラウザ情報を受け取ります。

マーケティングサイトと申込みサイトでは、ページを開いた時点から、Googleが当社の広告の効果測定も支援します。この測定では当初、広告用クッキーは有効になりませんが、訪問に関する情報や参照元の広告の情報がGoogleと共有されることがあります。マーケティングサイトは広告用クッキーを有効にしません。これらのサイトでは、独立したクッキー同意バナーは表示されません。

申込みの第2ステップ以降、Googleは広告測定とパーソナライズ広告のために、クッキーやその他のブラウザストレージを使用できます。後のステップを直接開いたり再開したりする場合も同様で、アカウントやサブスクリプションを作成する前に行われることがあります。申込みの流れでは、広告に関する独立した任意の選択肢は提供されません。一部の広告用クッキーは、他のJonotのサイトやアプリでも使用されることがあります。

サブスクリプションが確認されると、どの広告が有料サブスクリプションにつながるかを測定するため、その参照番号と取得可能な金額および通貨をGoogleと共有します。また、同じサブスクリプションを複数回集計しないように、サブスクリプションの参照番号をお使いのブラウザに保存します。Googleのデータの取扱いについては 当社のサービスを利用するサイトやアプリから収集された情報をGoogleがどのように利用するかをご覧ください。

お子様について

Jonotは企業間（B2B）向けのサービスです。当社は16歳未満のお子様のデータを意図的に収集することはありません。お客様のキオスクを通じて、存在してはならないお子様のデータが送信されたとお考えの場合は、当社にEメールでご連絡ください。当社が削除いたします。

本ポリシーの変更

当社はサービスの発展に応じて本ポリシーを更新します。ページ上部に表示される発効日は常に現在のバージョンを示しています。重要な変更については、登録済みのスタッフユーザーに対し、少なくとも14日前にEメールで通知します。

苦情

プライバシーに関するリクエストへの当社の対応にご満足いただけない場合は、監督機関に苦情を申し立てることができます。フィンランドにおいてはデータ保護オンブズマン (tietosuoja.fi). その他のEU/EEA加盟国では、お住まいの地域のDPAが管轄となります。