本ポリシーは、お客様がbaobabsim.comを訪問し、またはeSIMを購入する際に当社が収集する個人データ、その利用方法および保護方法、使用されるクッキー、ならびにお客様が当社に求めることができる事項について説明するものです。当社はポーランドの会社であるため、EU一般データ保護規則（GDPR）に従って個人データを取り扱います。第9項では、モロッコ、エジプトおよび南アフリカのデータ保護法に基づきお客様が有する権利についても定めています。
1. 当社について
baobabsim.comは LuKas Holdings sp. z o.o. が運営しています。同社の所在地は ul. Stefana Batorego 18/108, 02-591 Warsaw, Poland、KRS 0001233010、NIP 7011306806です（以下「BaobabSIM」または「当社」といいます）。当社は、本ポリシーに記載する個人データの管理者です。
個人データに関するすべてのご質問、ご請求および苦情は、contact@baobabsim.comまでお送りください。
2. 収集する情報
baobabsim.comを訪問した場合
- お使いのブラウザは、リクエストのたびに技術データ（IPアドレス、ブラウザおよびデバイスの種類、リクエストされたページ、参照元のページ）を送信します。当社のコンテンツ配信ネットワークであるCloudflareは、これをページの配信およびサイトを攻撃から保護するために使用します。当社自身のウェブサーバーは、アクセスログを保存しません。
分析用クッキーに同意した場合
- 閲覧したページ、参照元のサイトおよびキャンペーンパラメータ、選択したプランおよび決済手続きを開始した時点、ブラウザおよびデバイスの種類、IPアドレスから推定したおおよその所在地、ならびにクッキーに保存されるランダムな訪問者ID。分析をオフにした場合、この目的のために収集されるものはありません。また、お使いのブラウザのGlobal Privacy Controlシグナルは拒否として扱われます。
マーケティング用クッキーに同意した場合
- お使いのブラウザにMeta Pixelが読み込まれ、当社のサーバー（MetaのConversions API）とあわせて、閲覧したページ、選択したプランおよび決済手続きを開始した時点を、IPアドレス、ブラウザおよびデバイスの種類、第8項に記載のMetaのクッキー、ならびにFacebookまたはInstagramの広告から訪問した場合はその広告クリックIDとともに、Meta Platforms Ireland Limitedに伝えます。
- お客様が購入した場合、当社のサーバーはその購入をMetaに報告します。報告する内容は、プラン、価格、通貨および注文番号、一方向ハッシュ（SHA-256）の形でのみ送信するお客様のメールアドレスおよび請求先の国、ならびに決済手続きの開始時に取得したMetaのクッキー、IPアドレスおよびブラウザの情報です。
- Metaは、これらをFacebookおよびInstagram上の当社広告の効果測定および改善に使用し、お客様がMetaアカウントをお持ちの場合は、そのアカウントと結び付けることがあります。マーケティングをオフにした場合、Metaには何も送信されません。また、お使いのブラウザのGlobal Privacy Controlシグナルは拒否として扱われます。お客様のeSIMを表示する注文ページでは、ピクセルは一切読み込まれません。
eSIMを購入した場合
- お客様がStripeの決済ページに入力する情報。メールアドレス、カードの名義、請求先の国、および一部のカードについては郵便番号です。カード番号はStripeが取り扱い、当社に届くことはありません。
- 注文データ。プラン、価格、通貨、言語、購入日時、お客様が同意した販売条件の版、およびお客様に引き渡したeSIM（そのICCIDとアクティベーションコード。当社はこれらを暗号化して保存します）です。
- 注文の流入元。お客様がたどってきたリンクのキャンペーンパラメータ（例：utm_source）、参照元のサイト、購入前に閲覧したページです。どのチャネルが顧客を連れてくるかを把握するため、注文とともに保存します。
- お客様の注文ページが開かれた際、お客様のeSIMコードを不正利用から保護するため、その日時とIPアドレスの一方向ハッシュを記録します。
- お客様が決済手続きを開始した際、繰り返しの試行を制限するため、お客様のIPアドレスをメモリ上で使用します。IPアドレスは保存されません。
当社に連絡した場合
- お客様のメールアドレス、氏名、およびメッセージの内容。
3. 利用目的と法的根拠
| 目的 | GDPR上の法的根拠 |
|---|---|
| eSIMの販売および引渡し、サポートならびに返金 | お客様との契約の履行（第6条第1項(b)） |
| 会計および税務の記録 | 当社の法的義務（第6条第1項(c)） |
| 不正の防止、支払いおよびeSIMコードの安全確保、サイトの保護 | 安全なショップを運営するという当社の正当な利益（第6条第1項(f)） |
| お客様からのご質問およびパートナーシップに関するお問い合わせへの回答 | お客様に回答するという当社の正当な利益、またはお客様の求めに応じて契約締結前に講じる措置（第6条第1項(f)または(b)） |
| ウェブサイトの利用状況、ならびにどのページおよびチャネルが訪問者および顧客を連れてくるかの測定 | クッキーバナーで与えられた、お客様の同意（第6条第1項(a)）。各ページ下部の「クッキー設定」から、いつでも撤回することができます |
| FacebookおよびInstagram上の当社広告の効果測定および改善 | クッキーバナーで与えられた、マーケティング用クッキーに対するお客様の同意（第6条第1項(a)）。各ページ下部の「クッキー設定」から、いつでも撤回することができます |
当社は、個人データをこれらの目的のためにのみ使用します。当社はマーケティングメッセージを送信せず、個人データを販売しません。
4. 自動化された意思決定
Stripeは、自動化されたリスクスコアリングにより、支払いについて不正の審査を行います。高リスクと判断された支払いは、ブロックされ、または3Dセキュアなどの追加認証が必要となる場合があります。支払いが誤ってブロックされたとお考えの場合は、当社にご連絡ください。担当者が確認します。
5. データの受領者
- Stripeは、stripe.com/privacyに掲載されている同社のプライバシーポリシーに基づき、支払いを処理し、不正の審査を行います。
- Cloudflare, Inc. は、ウェブサイトを配信し、保護します。
- Meta Platforms Ireland Limited（Meta PixelおよびConversions API）は、お客様がマーケティング用クッキーに同意した場合に限り、第2項に記載のマーケティングデータを受け取ります。当社とMetaは、当該データの収集およびMetaへの提供について共同で責任を負います。その後のMetaによる取扱いは、facebook.com/privacy/policyに掲載されているMetaのプライバシーポリシーに従い、お客様は同ポリシーに基づきMetaに対して権利を行使することもできます。
- 当社のサーバーホスティング事業者は、ウェブサイトおよび注文データベースをホストするシンガポールの仮想サーバーを運用します。
- 当社のeSIM代理店は、当社から個人データを一切受け取りません。当社は、お客様の情報を送信することなくeSIMプロファイルを購入しています。
- 当社の会計士および法律顧問、ならびに法律で要求される場合は公的機関。
6. 欧州経済領域外への移転
ウェブサイトおよび注文データベースはシンガポールでホスティングされており、Stripe、CloudflareおよびMetaは米国その他の国でデータを処理する場合があります。個人データが欧州経済領域（EEA）の外に移転される場合、当社はGDPRが定める保護措置、すなわち欧州委員会の標準契約条項、またはEU-米国データプライバシーフレームワークの認証を受けた企業に関する同委員会の十分性認定に依拠します。当社は、PDPAと同等の水準で個人データを保護するよう法律または契約により義務付けられている受領者に対してのみ、個人データをシンガポール国外へ移転します。適用される保護措置の写しは、当社に請求することができます。適用される保護措置の写しは、当社に請求することができます。
7. 保存期間
当社は、上記の目的のために必要な期間、または法律で要求される期間に限り、個人データを保存します。
- 注文および支払いの記録（暗号化されたeSIM情報を含む）：会計法および税法が要求する期間。通常は購入した年の末日から5年間です。
- 注文ページへのアクセス記録（ハッシュ化されたIPアドレス）：12か月。
- メールでのやり取り：案件および関連する請求への対応に必要な期間。ただし、案件の終了後3年を超えないものとします。
- 分析データ：14か月を超えない期間。
- 注文とともに保存する分析用IDおよびMetaのID（訪問者ID、ならびに決済手続きの開始時に取得したMetaのクッキー、IPアドレスおよびブラウザの情報）：90日。
- Metaが受け取ったデータ：Metaのプライバシーポリシーに定めるところによります。
8. クッキー
baobabsim.comは、分析用またはマーケティング用のクッキーを設定する前にお客様の同意を求めます。マーケティング用クッキーはMeta Pixelにより当社のドメイン上に設定され、Metaのツールを利用する他のウェブサイト上で、Metaがお客様のブラウザを識別できるようにします。
| クッキー | 目的 | 保存期間 |
|---|---|---|
| bsim_consent | お客様が分析用クッキーを許可したかどうかを記憶します | 180日 |
| bsim_ads | お客様がマーケティング用クッキーを許可したかどうかを記憶します | 180日 |
| _bsim_id | ランダムな訪問者ID。お客様が分析を許可した後にのみ設定され、訪問数を数え、購入をその訪問に結び付けるために使用します | 400日 |
| _bsim_sid | 現在の訪問。お客様が分析を許可した後にのみ設定されます | 操作のない状態が30分続くまで |
| _fbp | Meta Pixelのブラウザ識別子。お客様がマーケティングを許可した後にのみ設定されます | 90日 |
| _fbc | お客様を当サイトに導いたFacebookまたはInstagram広告のクリックID。お客様がマーケティングを許可した後にのみ設定されます | 90日 |
各ページ下部の「クッキー設定」から、いつでも選択を変更することができます。いずれかの区分をオフにすると、その区分のクッキーは削除されます。
ブラウザのタブを開いている間、そのタブのセッションストレージに、訪問時のキャンペーンパラメータと参照元サイトを保存し、どのチャネルが購入者を連れてきたかを注文に記録できるようにします。タブを閉じると削除されます。共有されることはなく、お客様を追跡する目的では使用しません。ライトテーマまたはダークテーマの選択、および言語の案内に関する選択は、お使いのブラウザのローカルストレージに保存され、ブラウザの外に送られることはありません。
- Cloudflareは、人と自動化されたトラフィックを区別するため、厳密に必要なセキュリティ用クッキーを設定する場合があります。
- Stripeが提供するStripeの決済ページは、支払処理および不正防止のために独自のクッキーを使用します。stripe.com/legal/cookies-policyをご覧ください。
当社がその他のクッキーを追加する場合は、本項を更新し、必要な場合にはお客様の同意を求めます。クッキーは、ブラウザの設定で削除またはブロックすることができます。ただし、Stripeのクッキーをブロックすると、支払いができなくなる場合があります。
9. お客様の権利
GDPRに基づき、お客様は当社に対して次のことを求めることができます。
- 当社が保有するお客様の個人データへのアクセス、およびその写しの提供
- 誤りがある、または不完全なデータの訂正
- 当社がもはや必要としない、または保持する根拠のないデータの削除
- データに関する問題が解決するまでの間の、当社によるデータの利用の制限
- お客様が当社に提供したデータの、持ち運び可能な形式での提供
- 当社の正当な利益に基づいて処理しているデータの利用の停止（異議を申し立てることができます）
- また、お客様はいつでも同意を撤回することができます。撤回は、それ以前に行われた処理に影響しません。
contact@baobabsim.comまでご連絡ください。当社は1か月以内に回答するか、その期間内に、より長い期間を要する理由をお知らせします。
お客様は、ポーランドの個人データ保護局長官（UODO、uodo.gov.pl）、またはお客様が居住し、もしくは勤務するEU加盟国のデータ保護機関に苦情を申し立てることができます。
お客様がモロッコにいらっしゃる場合は、個人データの処理に関する個人の保護に関する法律第09-08号がお客様に与える権利も有し、Commission nationale de contrôle de la protection des données à caractère personnel（CNDP、cndp.ma）に連絡することができます。
お客様がエジプトにいらっしゃる場合は、個人データの保護に関する2020年法律第151号がお客様に与える権利も有し、個人データ保護センター（Personal Data Protection Center、pdpc.gov.eg）に連絡することができます。
お客様が南アフリカにいらっしゃる場合は、2013年法律第4号である個人情報保護法（POPIA）がお客様に与える権利も有し、情報規制機関（Information Regulator、inforegulator.org.za）に苦情を申し立てることができます。
これらの権利はすべて、当社に連絡することにより、同じ方法で行使することができます。
10. セキュリティ
カードデータはStripeが保持します。eSIMのアクティベーションコードは、保存時にAES-256-GCMで暗号化されています。注文システムへのアクセスは制限されており、eSIMコードが管理者に表示されるたびに記録されます。本サイトはHTTPSでのみ提供されます。個人データ侵害によりお客様の権利が危険にさらされるおそれがある場合、当社はGDPRの定めに従い、72時間以内に監督機関に通知し、リスクが高い場合はお客様にも通知します。
11. 子ども
baobabsim.comは16歳未満の子どもを対象としておらず、当社はその情報を故意に収集しません。
12. 変更
当社の取扱いが変更された場合は、本ポリシーおよび本ページ上部の日付を更新します。