本プライバシーポリシーでは、お客様が当社のウェブサイト、顧客アカウント、およびサービスをご利用になる際に、当社がどのような個人データをどのような目的で、どのような法的根拠に基づいて処理するか、またお客様がどのような権利を有しているかについて説明しています。
本プライバシーポリシーは、当社のウェブサイト「ecso.cloud」、そのすべてのサブドメイン（status.ecso.cloud、share.ecso.cloud、free.ecso.cloudなど）、および当社の顧客専用エリアに適用されます。一般データ保護規則（GDPR）における「管理者」は以下の通りです：
当社に関する詳細情報は、版権表示 をご覧ください。
データ保護に関するご質問や、お客様の権利の行使については、data-privacy@ecso.cloud まで、または上記の住所宛てに「データ保護」と明記の上、郵送にて、いつでもご連絡いただけます。
当社のウェブサイトにアクセスすると、お客様のブラウザから当社のサーバーへ自動的に情報が送信されます。処理されるデータは以下の通りです：IPアドレス、リクエストの日時、リクエストされたURL、リファラーURL、HTTPステータスコード、転送データ量、ブラウザの種類とバージョン、およびオペレーティングシステム。
当社は、本ウェブサイトの提供、その安定性およびセキュリティの確保、ならびに攻撃や不正利用の検知および防御を目的として、このデータを処理しています。 GDPR第6条第1項(f)
当社の正当な利益は、ウェブサイトを安全かつエラーなく提供することにあります。ログファイルは、特定のセキュリティインシデントに関連して証拠として必要とされる場合を除き、遅くとも14日後に削除されます。
セキュリティ上の脆弱性を自動検索するなど、明らかに悪意のあるリクエストが送信されているIPアドレスについては、当社のサーバー上で24時間自動的にブロックされます。 GDPR第6条第1項(f)
当社のウェブサイトおよびカスタマーエリアは、複数のサーバー上で並行して稼働しています。お客様のリクエストにどのサーバーが応答するかは、お客様の地域やサーバーの稼働状況に応じて自動的に決定されます。すべてのサーバーがお客様のリクエストに応答できるよう、サーバー間でデータは常に同期されています。
現在、当社は以下のプロバイダーのサーバーを利用しています：group.one（one.com Group AB、Carlsgatan 3、211 20 マルメ、スウェーデン）、OVH GmbH（Christophstraße 19、50670 ケルン、ドイツ）、および自社サーバーです。 当社は、あるプロバイダーに障害が発生した場合でもサービスの可用性を維持できるよう、意図的にインフラを複数の独立したプロバイダーに分散させています。すべてのサーバーは現在、ドイツのデータセンターに設置されています。各プロバイダーは、サーバーの運用を目的として、当社の委託に基づきデータを処理しており、当社は各プロバイダーとGDPR第28条に基づくデータ処理契約を締結しています。 GDPR第6条第1項(f)
当社の正当な利益は、当社のウェブサイトおよびサービスを確実かつ障害なく提供することにあります。
当ドメインのDNSレコードは、Cloudflare, Inc.（所在地：101 Townsend St, San Francisco, CA 94107, USA）によって管理されています。 また、当社はCloudflareのロードバランシング機能も利用しています。当社のドメイン名が照会されると、Cloudflareは現在利用可能な適切なサーバーのIPアドレスを返します。このため、Cloudflareは当社のサーバーに接続できるかどうかを定期的に確認しています。 GDPR第6条第1項(f)
Cloudflare が受け取るのは DNS クエリのみです。このクエリは通常、お客様のインターネットプロバイダーの DNS リゾルバーから送信されるものであり、お客様のデバイスから直接送信されるものではありません。リゾルバーによっては、お客様の IP アドレスの一部が短縮されて含まれる場合があります。 当社のウェブサイトのコンテンツおよびお客様からのリクエストは Cloudflare を経由しないため、Cloudflare は、お客様が当社のウェブサイトで閲覧または入力したデータを一切受け取りません。
Cloudflareは、欧州委員会が十分性認定（GDPR第45条）を採択した「EU・米国データプライバシー・フレームワーク」の認定を受けています。 さらに、当社とCloudflareとの契約には、EU標準契約条項（GDPR第46条第2項(c)）に基づくデータ処理契約が含まれています。
技術的なエラーを迅速に検出して修正するため、当社のサーバーは、ドイツのフランクフルト・アム・マインにあるサーバー上で運用されているPostHogのEUクラウドにエラーレポートを送信します。エラーレポートには、エラーメッセージ、影響を受けたプログラムファイル、およびお客様のセッションから導き出された仮名化された識別子が含まれますが、この識別子からはPostHogがお客様を直接特定することはできません。 お客様のIPアドレスは送信されません。 GDPR第6条第1項(f)
当社の正当な利益は、当社のサービスを安定的かつエラーなく運用することにあります。プロバイダーは、PostHog Inc.（住所：2261 Market St., San Francisco, CA 94114, USA）であり、当社は同社とデータ処理契約を締結しています。 米国からのアクセスに対する予防措置として、EU標準契約条項が合意されています（GDPR第46条第2項(c)）。
当社のウェブサイトおよびカスタマーエリアに掲載されているすべてのフォント、スクリプト、アイコン、画像は、すべて当社のサーバーからのみ配信されています。外部のコンテンツ配信ネットワークは使用していないため、ページの読み込み時に第三者にデータが送信されることはありません。
お客様がアカウントを登録し、ご利用になる際、当社は、お客様から提供されたデータ（特に氏名、会社名、住所、メールアドレス、電話番号、VAT登録番号、お支払い情報）のほか、お客様がご予約されたサービスに関連する契約情報、利用状況、および請求情報を処理いたします。
当社は、お客様のアカウントの設定および管理、契約の締結および履行、サービスの提供、ならびに請求書の発行を行うために、このデータを処理します。 GDPR第6条第1項(b)
ログインのたびに、IPアドレス、ブラウザおよびデバイスの種類、ならびにIPアドレスから推測されるおおよその位置情報（都市および国）を保存しています。アカウント設定から、いつでもアクティブなセッションを確認・終了することができます。 位置情報は、DB-IP（IP Geolocation by DB-IP、CC BY 4.0ライセンス）のIPジオロケーションデータベースを使用して、当社のサーバー上でローカルに判定されます。この目的のために、お客様のIPアドレスが第三者に送信されることはありません。当社は、不正アクセスからお客様のアカウントを保護するために、このデータを処理しています。 GDPR第6条第1項(f)
VAT識別番号をご提供いただいた場合、当社は欧州委員会のVAT情報交換システム（VIES）を通じてその有効性を確認いたします。この目的のため、VAT識別番号および国名が欧州委員会に送信されます。 GDPR第6条第1項(c)
ご注文いただいた際、サービスの即時開始に関するお客様の申告内容を、日時、IPアドレス、ブラウザ情報とともに保存いたします。この記録は、解約の際にお客様の申告内容を証明するために必要となります。この情報は、契約期間中および契約終了後3年間保存されます。 GDPR第6条第1項(c)および(f)
弊社では、ログインコード、請求書、メンテナンスのお知らせ、セキュリティに関する通知など、契約関係に必要なメールをお送りしています。これらは、契約が有効である限り、配信停止にすることはできません。 GDPR第6条第1項(b)
当社のメールは、自社メールサーバーから送信され、中継サービス「Brevo」（Sendinblue SAS、フランス・パリ）を介して配信されます。Brevoは、当社に代わって、受信者のメールアドレス、メールの内容、および配信に関する技術的データを、欧州連合（EU）内のサーバー上でのみ処理しています。 当社は、GDPR第28条に基づき、Brevoとデータ処理契約を締結しています。これは、サポートリクエストへの返信や解約・撤回に関する確認メールを含め、当社が送信するすべてのメールに適用されます。 GDPR第6条第1項(b)および(f)
当社が提供するサーバーまたはサービス上で第三者の個人データを保存または処理する場合、お客様は当該データの管理者となります。当社は、GDPR第28条に基づくデータ処理契約に基づき、もっぱらお客様に代わって当該データを処理します。この契約は、お客様の顧客アカウントで締結することができます。
お支払いの処理は、Mollie B.V.（住所：Keizersgracht 126, 1015 CW アムステルダム、オランダ）が行います。 クレジットカード情報などの決済情報は、お客様がMollieに直接入力するものであり、当社はカードの完全なデータを受け取ったり保存したりすることはありません。Mollieから当社に送信されるのは、決済処理に必要な情報（今後の支払いを可能にする仮名化されたカード参照番号など）のみです。詳細情報：www.mollie.com/legal/privacy GDPR第6条第1項(b)
督促を行っても未払いの請求が残っている場合、当社は債権回収に必要なデータを債権回収業者または法律事務所に提供することがあります。 GDPR第6条第1項(f)
不正行為や当社のインフラの悪用（攻撃、スパム、支払いの不履行など）を防ぐため、新規登録については一般的なリスク要因に基づいて審査を行っています。この目的のため、お客様からご提供いただいたデータや、IPアドレス、端末情報などの技術的特徴を評価し、当社の過去の事例と比較検討いたします。 GDPR第6条第1項(f)
アカウントを有効化するために、本人確認をお願いする場合があります。本人確認は、当社のサービスプロバイダーであるDidit（didit.me）によって行われます。Diditは、当社に代わって、お客様の身分証明書に記載された情報 （具体的には氏名、生年月日、住所、身分証明書番号、有効期限）を処理し、手続きによっては、お客様が当該身分証明書の所持者であることを確認するために、お客様の顔の写真または短い動画も処理します。必要のない情報は、身分証明書上で黒塗りして隠すことができます。
ご本人の顔と書類の写真とを照合するには、生体認証データの処理が必要となります。この処理は、本人確認の開始時にご本人が明示的に同意した場合にのみ行われ、その同意は将来に向けていつでも撤回することができます。 GDPR第9条第2項(a)
弊社では、本人確認の結果（承認または却下）および本人確認手続きに関する情報のみを受け取っており、お客様の身分証明書のコピーは保存しておりません。 GDPR第6条第1項(b)および(f)
本人確認に失敗した場合、お客様のアカウントは自動的に却下されます。当社は本人確認済みの顧客にのみインフラストラクチャを提供しているため、この自動的な決定は契約の締結に不可欠です（GDPR第22条第2項(a)）。 お客様には、人的介入を求める権利、ご自身の見解を表明する権利、および当該決定に異議を申し立てる権利があります。その場合は、弊社サポートまでご連絡ください。担当者が個別にケースを審査いたします。
Eメール、電話、お問い合わせフォーム、解約・撤回フォーム、またはサポートチケットシステムを通じて当社にご連絡いただいた場合、お客様からご提供いただいたデータ（氏名、連絡先、お問い合わせ内容など）は、お問い合わせにお答えするために処理されます。
お客様のご依頼が既存の契約または契約の締結に関連するものである場合、その法的根拠はGDPR第6条第1項(b)号となります。それ以外の場合は、当社宛てのご依頼に対応することにおける当社の正当な利益、すなわちGDPR第6条第1項(f)号が法的根拠となります。
言語を超えたコミュニケーションを可能にするため、サポートメッセージは、当社のサーバー上で運用されている翻訳サービスを利用して機械翻訳される場合があります。
当社のドメインのメールアドレス宛てに送信されたメールは、Cloudflare, Inc. のメール転送サービスによって受信され、当社のサーバーに直接転送されます。そこで、サポートチケットとして処理されるなど、適切な処理が行われます。Cloudflare は、メールの転送のみを目的として処理を行い、その内容を保存することはありません。 配信ログについては、Cloudflareが送信者および受信者のアドレス、件名、受信時刻、配信状況を一定期間保持します。当社は、この情報を使用して、すべてのメールが当社に届いていることを確認しています。「当社のウェブサイトへのアクセス」のセクションに記載されている、Cloudflareへのデータ転送に関する情報は、本項にも同様に適用されます。 GDPR第6条第1項(b)および(f)
「お客様アカウント」の項に記載されているとおり、当社の返信およびその他のすべてのメールは、引き続きBrevoを通じて送信されます。
当社の不正利用報告フォームまたは電子メールを通じて、不正利用や違法なコンテンツを報告された場合、当社は、その報告を審査・処理するために、ご提供いただいた情報（お名前やメールアドレスなど）を処理いたします。ホスティングプロバイダーとして、当社は「デジタルサービス法」第16条に基づき、通知および対応の仕組みを提供する義務を負っています。 GDPR第6条第1項(c)
この問題を解決するため、当社は当該報告の内容を当該顧客に転送する場合があります。お客様の身元を開示するのは、報告への対応に必要である場合、または法的に開示義務がある場合に限ります。 GDPR第6条第1項(f)
当社への求人に応募された場合、当社は採用選考を進めるために、ご提供いただいたデータ（連絡先、履歴書、資格証明書、志望動機書など）を処理いたします。 GDPR第6条第1項(b)
一部の求人広告は、スイスのJOIN Solutions AGが運営する採用プラットフォーム「JOIN」を通じて処理されています。欧州委員会は、スイスが適切なレベルのデータ保護を提供していることを認定しています（GDPR第45条）。
採用された場合、ご提供いただいた情報は人事ファイルに移管されます。採用されなかった場合、今後の求人募集に向けた長期保存に同意されていない限り、応募手続き終了から6か月後に応募書類を削除いたします。 GDPR第6条第1項(a)
当社のクリエイタープログラムにお申し込みいただいた場合、当社は、お申し込み内容を審査するために、ご提供いただいた情報（氏名、メールアドレス、プラットフォーム、チャンネルのリンク、リーチ数）を処理いたします。採用された場合、当社は、クリエイターコードの管理、クレジットの算定および支払い、ならびに当社の税務上の義務の履行のために、お客様のデータを処理いたします。 GDPR第6条第1項(b)および(c)
お客様がクリエイターコードをご利用になった場合、当社は当該コードを請求書とともに保管します。クリエイターには、集計された統計情報（利用回数および獲得クレジット）のみが提供され、お客様の個人情報は一切提供されません。承認されなかった申請は、6か月後に削除されます。
当社は、本プライバシーポリシーに記載された目的のために必要な場合に限り、お客様の個人データを第三者に開示します。上記のサービス提供者に加え、開示先には、税務顧問や監査人、銀行、債権回収業者、弁護士、裁判所、および法的に開示義務が生じる場合の行政機関などが含まれる場合があります。
当社に代わってデータを処理するサービスプロバイダーは、GDPR第28条に基づき慎重に選定され、契約上の義務を負っています。本プライバシーポリシーに別段の定めがない限り、お客様のデータは欧州連合（EU）または欧州経済領域（EEA）内でのみ処理されます。
欧州連合（EU）域外のロケーションでサーバーを予約した場合、そのサーバーに保存されたデータは、お客様の指示に基づき、選択したロケーションの国で処理されます。ロケーションの選択はお客様次第です。各製品のロケーションは、ご注文の前に表示されます。
当社は、個人データを、それぞれの目的に必要な期間、または法定の保存義務で定められた期間に限り保管します。具体的には、以下の期間が適用されます：
保存期間は、当該データが最後に必要とされた暦年の年末から開始されます。保存期間が満了した後、データは削除されるか、匿名化されます。
GDPRに基づき、お客様はご自身の個人データに関して以下の権利を有しています：
アクセス
GDPR第15条当社がお客様に関する個人データを処理しているかどうか、またどのようなデータを処理しているかについて、情報を請求することができます。
訂正
GDPR第16条不正確なデータの訂正や、不完全なデータの補完を依頼することができます。
消去
GDPR第17条法令に基づく保存義務により妨げられない限り、ご自身のデータの削除を請求することができます。
処理の制限
GDPR第18条例えば、データの正確性が確認されている間など、ご自身のデータの処理を制限するよう当社に請求することができます。
データの移植性
GDPR第20条ご提供いただいたデータは、構造化され、一般的に使用され、機械で読み取り可能な形式で受け取ることができます。
同意の撤回
GDPR第7条第3項同意は、将来に向けていつでも撤回することができます。それまでに実施された処理の適法性には影響はありません。
異議申立ての権利（GDPR第21条）
当社が正当な利益（GDPR第6条第1項(f)）に基づきお客様のデータを処理する場合、お客様は、ご自身の特定の状況に関連する理由に基づき、いつでも当該処理に異議を申し立てる権利を有します。 その場合、当社は、お客様の利益、権利および自由を上回る、処理に関する説得力のある正当な根拠を立証できない限り、または当該処理が法的請求権の確立、行使または防御に資する場合を除き、当該データの処理を中止いたします。
権利を行使するには、data-privacy@ecso.cloudまでご連絡ください。また、顧客アカウントから直接、ご自身のデータの写しを請求することも可能です。
お客様には、データ保護監督機関に苦情を申し立てる権利があります（GDPR第77条）。当社を管轄する監督機関は以下の通りです：
ラインラント＝プファルツ州データ保護・情報公開担当州委員
Hintere Bleiche 34
55116 Mainz
www.datenschutz.rlp.de
お客様のご懸念事項を直接解決させていただくため、まずは弊社までご連絡いただければ幸いです。
お客様には、当社に個人データを提供する法的義務はありません。ただし、「必須」と表示されているデータは、契約の締結および履行に必要です。このデータがない場合、当社は顧客アカウントを作成したり、当社のサービスを提供したりすることができません。
当社は、お客様のデータを紛失、改ざん、および不正アクセスから保護するため、適切な技術的および組織的措置を講じています。当社のウェブサイトおよび顧客エリアへのすべての接続は、TLS を使用して暗号化されています。
お客様のデータを紛失から保護するため、当社はデータベースおよびファイルを毎日バックアップしています。バックアップデータは、当社のサーバーに7日間保存されるほか、group.one（one.com Group AB、Carlsgatan 3、211 20 Malmö、スウェーデン）がドイツのデータセンターに30日間保管します。 データは暗号化された形式で転送され、group.oneはGDPR第28条に基づくデータ処理契約に基づき、当社に代わってこれらを処理しています。 GDPR第6条第1項(f)および第32条
当社のサービスや法的要件に変更があった場合、本プライバシーポリシーを改定いたします。お客様が当ページをご覧になった時点で掲載されているバージョンが適用されます。