プライバシーポリシー

当社は、サービスの提供に必要な範囲で、以下の外国にある事業者に個人データの取り扱いを委託します。この委託により、個人データは外国で取り扱われ、または保管されます。

(1) Google LLC（Gemini API）

• 委託する業務：お肌の状態の AI 分析
• 連絡先：https://support.google.com/policies/contact/general_privacy_form
• 所在する国：米国
• 取り扱う場所：米国のほか、Google がデータセンターを置く国で取り扱うことがあります。取り扱う国は Google が決めるため、当社は特定できません。データセンターの一覧：https://datacenters.google/locations/
• 項目：AI肌スキャン1回につき、お顔の写真3枚
• 時期・方法：スキャンを行うたびに、インターネットを通じて API で送信します。通信は SSL/TLS で暗号化します。
• 目的：お肌の状態の AI 分析
• 保存期間：Google は、委託を受けたサービスを提供する中で、Gemini API の規約とデータ処理の規約にしたがい、不正利用の監視と法令上必要な開示のために、送信された写真を含む記録を最長55日間保存します。Gemini API の有料サービスの規約によれば、写真は同社の製品の改善や学習に使われません。

(2) Amazon Web Services Korea LLC

• 委託する業務：サイトのサーバーとデータの保管の運用
• 連絡先：aws-korea-privacy@amazon.com
• 所在する国：大韓民国
• 保管する場所：日本（AWS 東京リージョン）。サーバーと保管場所は、すべて日本にあります。
• 項目：
  1. 会員情報（お名前、生年月日、ご住所、電話番号、メールアドレス）
  2. 注文情報（ご注文の商品、金額、日時、お届け先）
  3. 保存された肌診断の記録とダイアリーの記録の内容
  4. AI肌スキャンの写真（分析の間だけ）
  5. アクセスの記録（IP アドレス、ブラウザと端末の情報、アクセスの日時、閲覧したページ）
  6. ダイアリーの写真のうち、(3)の Cloudflare での保管を始める前に保存されたもの
  7. お問い合わせの記録（ウェブのチャット、お問い合わせフォーム、LINE でのお問い合わせの内容と回答）。LINE でのお問い合わせの場合は、LINE のユーザー識別子
• 時期・方法：サイトをご利用の時、会員登録・ご注文・肌スキャン・診断記録の保存の時に、インターネットを通じて日本のサーバーに送信します。通信は SSL/TLS で暗号化します。
• 目的：サイトの運営、会員と注文の管理、肌スキャンの処理、診断記録の保存、ダイアリーの記録の保存、ダイアリーの写真の保管と表示（(3)の Cloudflare での保管を始める前に保存されたもの）、お問い合わせへの対応
• 保存期間：
  1. 会員情報、保存された肌診断の記録、ダイアリーの記録の内容：退会されるまで
  2. 注文と決済の記録：5年間（大韓民国の電子商取引法に基づきます）
  3. アクセスの記録：3か月間（大韓民国の通信秘密保護法に基づきます）
  4. 会員登録をしていない方のスキャン写真：このサーバーではメモリ上で処理し、分析の直後に消去します。このサーバーには保存しません。ただし、(1)のとおり、Google LLC が写真を含む記録を最長55日間保存します。
  5. 会員の方のスキャン写真：会員登録をしていない方と同じく、このサーバーではメモリ上で処理し、分析の直後に消去します。このサーバーには保存しません。ただし、(1)のとおり、Google LLC が写真を含む記録を最長55日間保存します。
  6. Cloudflare での保管を始める前に保存されたダイアリーの写真（項目の6.）：お客様が写真を削除されるか、退会されるまで
  7. 消費者からの苦情または紛争の処理に関する記録：3年間（大韓民国の電子商取引法に基づきます）
  8. その他のお問い合わせの記録と LINE のユーザー識別子：3年間（当社の基準）

(3) Cloudflare, Inc.（R2）

• 委託する業務：ダイアリーの写真の保管
• 連絡先：privacyquestions@cloudflare.com
• 所在する国：米国
• 保管する場所：アジア太平洋地域にある Cloudflare のデータセンターの所在国。当社は、保管場所の希望としてアジア太平洋地域を指定しています。この指定は保証ではないため、その他の国にある Cloudflare のデータセンターに保管される場合もあります。保管場所の指定についての説明：https://developers.cloudflare.com/r2/reference/data-location/ データセンターの一覧：https://www.cloudflare.com/network/
• 項目：会員がダイアリーへの保存を選んだ写真
• 時期・方法：保存を選んだ時に、インターネットを通じて送信し、保存します。通信は SSL/TLS で暗号化します。
• 目的：ダイアリーの写真の保管と表示
• 保存期間：お客様が写真を削除されるか、退会されるまで

提供を望まない場合

1. (1) Google LLC：AI肌スキャンを使わないでください。その場合、Google LLC には送信しません。肌診断の結果は表示できません。
2. (2) Amazon Web Services Korea LLC：サイトのすべての機能が、このサーバーを使います。そのため、サイトをご利用の場合は避けられません。望まない場合は、サイトをご利用いただけません。
3. (3) Cloudflare, Inc.：写真をダイアリーに保存しないでください。保存した写真は、いつでも削除できます。その場合、ダイアリーに写真は表示されません。

米国の個人情報の保護に関する制度

米国には、個人情報の保護に関する包括的な連邦法はありません。医療・金融・子どもの情報など、分野ごとの連邦法があります。カリフォルニア州消費者プライバシー法（CCPA）など、州ごとの法律もあります。連邦取引委員会（FTC）は、FTC 法第5条に基づき、事業者による個人情報の取り扱いのうち、不公正または欺瞞的な行為を取り締まります。

米国は、APEC の越境プライバシールール（CBPR）システムに参加しています。

連邦レベルでは、OECD プライバシーガイドライン8原則に対応する事業者の義務や本人の権利を、すべての分野にわたって定めた法律はありません。

詳しくは、個人情報保護委員会が公表している「外国における個人情報の保護に関する制度等の調査」をご覧ください。https://www.ppc.go.jp/personalinfo/legal/kaiseihogohou/#gaikoku

大韓民国の個人情報の保護に関する制度

大韓民国には、個人情報の保護に関する包括的な法律として、個人情報保護法があります。個人情報保護委員会が、この法律に基づいて事業者を監督します。

大韓民国は、APEC の越境プライバシールール（CBPR）システムに参加しています。また、欧州連合（EU）から、十分なレベルの保護を確保しているとの決定（十分性認定）を受けています。

上記の調査は、大韓民国が CBPR システムに参加しているため、民間の事業者については、OECD プライバシーガイドライン8原則ごとの評価を示していません。

詳しくは、上記の調査をご覧ください。

提供先が講じている措置

当社は、各社の規約により、個人データの適切な取り扱いを確保しています。

(1) Google LLC

Google の規約によれば、同社は次の措置を講じています。

• Gemini API の有料サービスでは、送信された内容を、同社の製品の改善や学習に利用しません。
• サービス提供の一部として行う不正利用の監視と法令上必要な開示のための記録は、最長55日間だけ保存します。
• 送信された内容を、データ処理に関する規約に沿って処理します。この規約で、当社の指示に沿って処理することを約束しています。

(2) Amazon Web Services Korea LLC

AWS のデータ処理に関する規約によれば、同社は次の措置を講じています。

• 当社の指示に従ってのみ、データを処理します。
• ネットワークと施設の安全管理、アクセスの制限、暗号化などの安全管理措置を講じます。
• 情報セキュリティとプライバシー管理について、ISO/IEC 27001 と ISO/IEC 27701 などの認証を取得し、第三者の監査（SOC 報告書）を受けています。

(3) Cloudflare, Inc.

Cloudflare のデータ処理に関する規約によれば、同社は次の措置を講じています。

• 当社の指示に沿って、データを処理します。
• 情報セキュリティとプライバシー管理について、ISO/IEC 27001 と ISO/IEC 27701 の認証を取得し、SOC 2 Type II の監査を受けています。

OECD プライバシーガイドライン8原則に対応する措置のうち、各社が講じていないもの：当社が各社の規約を確認した範囲では、ありません。

当社は、年に1回以上、次の2点を確認します。

1. 各社が上記の措置を講じているか。
2. 各社が所在する国と、データを取り扱う国の制度に、上記の措置の実施に影響を及ぼすおそれのあるものがないか。

措置の実施に支障が生じたときは、当社は必要かつ適切な措置を講じます。措置の継続が難しいときは、その事業者への個人データの提供を停止します。