プライバシーポリシー

1. 当社について、および連絡方法

VARANTECH ENERJİ SAN. TİC. LTD. ŞTİ. (以下「Quote3D」「当社」) は、quote3d.com において Quote3D サービスを運営しています。当社はトルコ共和国アンカラに所在します。

当社はデータ保護責任者を選任していません。選任義務もありません。個人に対する大規模な監視を行っておらず、特別な種類のデータの大規模な処理を中核業務としていないためです。

欧州連合における代理人 (GDPR 第27条): 《 EU 代理人 — 公開前に記入》。英国における代理人 (UK GDPR 第27条): 《英国代理人 — 公開前に記入》。

これらの記載が完成するまでの間、欧州連合および英国にお住まいの方は [email protected] まで直接ご連絡ください。第11節に定める法定期限内に回答します。

• 郵送先住所: Fevzi Çakmak Mah. Orhan Gazi Cad. No: 92/A, Sincan, Ankara, Türkiye
• 請求・苦情を含むプライバシーに関するすべての事項の連絡先メール: [email protected]

2. 当社が決める場合と、お取引先が決める場合

二つの異なる場面があり、お客様の権利の行使先もそれぞれ異なります。

お客様が当社と直接お取引される場合、当社が管理者です。quote3d.com を訪問する、アカウントを作成する、モデルをアップロードする、見積を依頼する、サブスクリプションを申し込む、ご自身の認証情報で API を利用する、サポートに連絡する、といった場合です。本ポリシーはその処理を対象とします。

第三者のウェブサイト経由で当社に届く場合、当社は処理者です。当社のお客様は、自社サイトに Quote3D ウィジェットを埋め込んでいます。ある印刷事業者から見積を得るためにファイルをアップロードされた場合、その印刷事業者が管理者であり、お客様のデータを処理する目的を決めるのはその事業者です。当社はその指示に従って行動します。その場合、権利の行使はその事業者に対して行ってください。代わりに当社へご連絡いただいても、実体的な回答はいたしません。当社が語るべきデータではないからです。当該事業者へご連絡いただくようご案内し、お問い合わせがあった旨を当該事業者にお知らせします。この関係を規律する条件は、当社のデータ処理契約に定めています。

3. 取得する情報とその入手元

そのほとんどはお客様から直接いただくものです。そうでない場合は、入手元を明記します。

当社は GDPR 第9条にいう特別な種類のデータを求めておらず、本サービスはそれらを受け取る設計にもなっていません。解剖・歯科・補綴のモデルは健康情報を含みうる点にご留意ください。そのようなユースケースの場合は、アップロード前に当社へご連絡いただければ、適切な条件を取り決めます。

4. 処理の目的と法的根拠

法的根拠は、一般的な一覧としてではなく、目的ごとに示します。正当な利益に依拠する場合は、その具体的な利益を挙げ、お客様の権利と比較衡量しています。

当社は、お客様の個人データ、アップロードされたファイル、ジオメトリを機械学習モデルの学習に利用しません。個人データを販売しません。アップロードされたコンテンツを広告に利用しません。

5. データの提供は必須ですか

第13条2項 (e) は、この点を明確にすることを求めています。

• メールアドレスは契約上の要件です。これがなければアカウントの作成も、お客様の認証も、見積の送付もできません。ご提供いただけない場合、サービスを提供できません。
• モデルファイルは見積契約の履行に必要です。ファイルがなければ解析する対象がなく、見積を作成できません。
• 請求情報は、有償プランにおける契約上および法令上の要件です。これがなければサブスクリプションを成立させることも請求することもできません。
• 解析および広告の Cookie は完全に任意です。拒否しても不利益はありません。サービスはまったく同じように動作します。
• 技術データおよびセキュリティデータは、インターネット経由でリクエストを処理する過程で自動的に取得されるものであり、サービス利用中に無効化することはできません。

6. お客様のデータを受け取る者

以下は類型および名指しの受領者であり、「信頼できるパートナー」といった曖昧な表現ではありません。各社が受け取るデータと処理地を記した再処理者の完全な一覧は /legal/subprocessors に公開しています。

これらはいずれも、データの取扱いを限定する契約に拘束されています。これ以外の者に個人データを開示することはありません。

• Lemon Squeezy — 有償プランの販売記録者: 決済手続、支払い、税および VAT の判定、請求書発行、更新。お客様の氏名、メールアドレス、請求先の国、請求情報を受け取ります。
• Google — Gemini API を通じて AI ライブサポートアシスタントを稼働させます。お客様が入力したメッセージの全文と応答を受け取ります。アップロードされたファイル、ジオメトリ、認証情報、請求データは受け取りません。
• Google — ボット対策の reCAPTCHA (必要なものであり、個別の同意なく読み込まれます)、Tag Manager と解析 (解析 Cookie を承諾された場合にのみ読み込まれます)、AdSense (マーケティング Cookie を承諾された場合にのみ読み込まれます)、およびフェデレーテッドログイン (お選びいただいた場合)。
• Meta — フェデレーテッドログイン (お選びいただいた場合のみ)。
• 当社のメール配信事業者 — ログインリンク、確認、パスワード再設定、請求通知などの取引メール。
• 当社のホスティング、データベース、キャッシュの各事業者 — 保管されるすべてのデータを保持します。アップロードされたファイルは暗号化された形で保持されます。
• 法令上開示が義務づけられる場合の裁判所、規制当局その他の権限ある機関。
• 事業が売却または再編される場合の譲受人または承継人。お客様のデータが別の管理者に移る前にお知らせします。

7. 国際的なデータ移転

当社はトルコに所在し、本サービスを稼働させ、データベースを保持し、お客様のファイルを保管するサーバーはトルコ国内にあり、当社のために VG Telekomünikasyon Tic. Ltd. Şti. が運用しています。したがって、アップロードされたファイルがトルコ国外に出ることはありません。その他の一部の事業者 — 決済、AI アシスタント、ボット対策、およびお客様が同意された場合の解析と広告 — は、米国および欧州連合でデータを処理します。

欧州委員会が決定を採択しない限り、トルコについての十分性決定は存在しません。欧州経済領域または英国から、その域外の事業者へ個人データをさらに移転する場合、当社は欧州委員会実施決定 (EU) 2021/914により承認された標準契約条項に依拠し、英国については国際データ移転付属書に依拠します。当社が依拠する条項および裏付けとなる移転評価の写しは、[email protected] までご連絡いただければ入手できます。

しばしば誤って説明される点があるため、正しく述べます。お客様が欧州経済領域におられ、ご自身の判断でご自身のデータを当社に送信される場合 — 登録、ファイルのアップロード、サポートへの連絡 — それは GDPR 第5章にいう制限された移転には当たりません。お客様はデータ輸出者ではないからです。第5章が対象とするのは、当社の法人顧客から当社への流れ、および当社から第6節に挙げた事業者への以後の流れです。上記の条項が保護するのは、これらの移転です。

トルコ法が適用される場合、当社は法律第6698号第9条に基づき利用可能な仕組みに依拠し、適用ある規則が求める届出をその期限内に行います。

8. 保管期間

第13条2項 (a) が求める具体的な期間です。これらは単なる方針ではなく、定期実行のクリーンアップ処理によって実行されます。

ある記録に複数の期間が適用される場合は長い方が適用され、その期間を正当化する目的のためにのみ用いられます。

• 見積が作成されなかったアップロード済みファイル: アップロードから24時間後に削除。これは運用者による設定です。変更される場合は本ポリシーも併せて変更し、現在どの値に設定されているかはお問い合わせいただけます。
• 見積が作成されたアップロード済みファイル: 最後に使用された日から365日後に削除。そのファイルから新たに見積を依頼すると、この期間は再計算されます。運用者は管理設定でこの期間を短縮できます。変更される場合は本ポリシーも併せて変更します。
• 見積の記録、すなわちファイルを含まない価格・パラメータ・導出された計測値: 見積履歴をご利用いただけるよう、アカウントが存続する間保管します。
• ジオメトリ解析の派生結果: 同一のファイルを再計算せずに済むよう、ファイル内容のハッシュ値をキーとする共有キャッシュに保管します。これらは計測値を保持するものでファイルの内容ではなく、ファイルが削除された時点でお客様のアカウントとの結び付きは解除されます。
• 監査ログ、API 利用ログ、システムログ: 90日。見積とともに記録された IP アドレスとユーザーエージェントも、同じ期間の経過後に消去します。見積の記録自体は残り、この2項目のみを空にします。これは運用者による設定です。変更される場合は本ポリシーも併せて変更し、現在どの値に設定されているかはお問い合わせいただけます。
• パスワード再設定およびメール確認のトークン: 7日。使用済みのアップロードセッション: 24時間。
• アカウントデータ: アカウントが存続する間保管します。ダッシュボードの設定からご自身で削除でき、30日以内ではなく即時に実行されます。確定前に、その画面が削除後も残るすべての記録と、それぞれの法的理由を一覧表示します。
• 同意の記録 (承諾いただいた本文の写しを含む): サブスクリプション終了後3年間保管します。合意内容に関する当社の証拠だからです。これは米国の自動更新に関する法によっても当社に求められています。
• 請求・会計・税務の記録: 適用ある税法が求める期間保管します。この期間はアカウントより長く続きます。
• 暗号化されたバックアップ: ローテーション周期で上書きされ、稼働システムからデータが削除された後、遅くとも35日以内に削除されます。それまでの間は災害復旧にのみ使用されます。

9. 保護の方法

当社は措置を大まかにではなく正確に記載します。過大なセキュリティ表示それ自体が法的リスクであり、また当社はここで公表した内容に拘束されるからです。

その保護の限界を率直に述べます。保存時の暗号化が保護するのは記録媒体です。エンドツーエンド暗号化ではありません。本サービスは解析のためにモデルを復号する必要があるため、当社は技術的にはファイルの内容にアクセスできます。そうでないと想定しないでください。

絶対に安全なシステムは存在しません。お客様の権利および自由に対する高いリスクを生じさせるおそれのある個人データ侵害が発生した場合、当社は不当な遅滞なくお客様にお知らせし、当社に適用される期限内に管轄当局へ通知します。

• アップロードされたファイルは AES-256-GCM により保存時に暗号化されます。鍵はファイルごとに、マスター鍵とファイルごとのランダムなソルトから HKDF-SHA256により導出されます。
• 保存されるファイル形式は鍵識別子を保持するため、既存のファイルを書き換えることなくマスター鍵をローテーションし、廃止できます。
• ファイルは認証付きの256 KB フレームとして保存されます。各フレームは固有の認証タグを持ち、各フレームのノンスおよび追加認証データがそれをその位置およびファイル終端に結び付けるため、フレームの並べ替え、欠落、ストリームの切り詰めは検知されずに行うことができません。
• 当社の公開インターフェースとの間の通信は TLS により保護されます。
• 本番データへのアクセスはロールに基づき、必要最小限の原則により付与されます。ファイルはアカウントごとに分離され、制限的なファイルシステム権限が設定されます。API トークンはスコープが限定され、レート制限が適用されます。ログイン失敗が繰り返されるとアカウントがロックされます。
• バックアップは暗号化されています。サービスの可用性は監視されています。保存期間は善意ではなく定期実行のジョブによって実行されます。
• 変更は自動テスト群によって網羅され、その中には同意の実施状況およびこれら法的文書の内容を確認する回帰テストのゲートが含まれます。

10. 自動化された処理

見積は自動的に作成されます。エンジンがお客様のモデルをスライスし、人の確認を経ずに価格を算出します。それが法的に何を意味するかについて、当社は問題を放置せず立場を明らかにしています。

当社の評価では、印刷作業についての自動化された価格見積は、GDPR 第22条1項にいう、お客様に法的効果を生じさせ、または同様に重大な影響を及ぼす決定には当たりません。それはお客様が自由に受け入れ、拒み、あるいは他所で得ることのできる価格の見積りであり、それによってお客様の権利や地位が変わることはありません。

したがって当社は、見積の作成を第22条の自動化された意思決定として扱っていません。お客様の個別の事案でご意見が異なる場合は、当社までご連絡ください。見積の根拠について説明を求め、人による見直しを求めることができます。トルコ法では、法律第6698号第11条1項 (g) が、専ら自動化された分析によって生じた結果が不利に働く場合にこれに異議を述べる明文の権利を認めており、当社はこれを尊重します。

11. お客様の権利

お客様に適用される法律に従い、お客様は以下の権利を有します。行使方法はいずれも同じです。アカウントに登録されたアドレスから [email protected] までメールをお送りいただくか、記録を特定できるだけの情報をお知らせください。

トルコの法律第6698号が適用される場合、同法第11条はさらに、データが国内または国外へ移転されたか否かおよびその相手方を知る権利、訂正または削除を第三者に通知するよう求める権利、ならびに違法な処理により生じた損害の賠償を請求する権利を認めています。

これらのご請求に費用はいただきません。ご請求は5営業日以内に受領確認し、30日以内に回答します。内容が複雑な場合は期間を延長することがありますが、当初の期限が経過する前に理由をお知らせします。本人確認をお願いしますが、それ以上は求めません。

ご請求への当社の対応にご不満がある場合は、お知らせください。苦情は30日以内に受領確認し、どのように対応するつもりかをお伝えします。

• アクセス — 当社がお客様のデータを処理しているか否かの確認、その写し、および本ポリシーの記載のうちお客様に適用される情報を得ること。
• 訂正 — 不正確なデータを訂正させ、不完全なデータを補完させること。
• 消去 — 法定の要件を満たす場合にデータを削除させること。ご依頼いただく必要はありません。ダッシュボードの設定に削除ボタンがあり、アカウントを即時に消去します。確定前に、法的義務により保管せざるを得ない記録とその理由を一つずつ示します。
• 処理の制限 — 正確性または適法性に関する争いが解決するまで、処理を制限させること。
• 異議 — お客様の特有の状況に関する理由により、当社の正当な利益に基づく処理に異議を述べること。お客様の利益に優越するやむを得ない正当な理由を示せない限り、当社は処理を停止します。
• データポータビリティ — お客様が当社に提供したデータを、構造化され、一般に利用され、機械可読な形式で受け取り、技術的に可能な場合に他の管理者へ送付させること。ダッシュボードの設定にダウンロードボタンがあり、これを単一の JSON ファイルとして生成します。お客様の API シークレットは意図的に含めていません。
• 同意の撤回 — 同意に基づいて当社が行うすべてについて、いつでも撤回でき、撤回前の処理の適法性には影響しません。Cookie の同意は Cookie バナーから撤回します。アシスタントの同意とマーケティングメールの同意は、当社へご連絡いただくことで撤回します。
• 監督機関への苦情申立て — 欧州経済領域では、居住地、勤務地または違反があったとされる場所の機関へ。英国では情報コミッショナー事務局へ。トルコでは個人データ保護機関 (KVKK) へ。まず当社に苦情を申し立てる必要はありません。

12. Cookie、Do Not Track、Global Privacy Control

当社は4種類の Cookie を使用します。必須、解析、マーケティング、機能です。必須以外はすべて既定で無効であり、当社の Cookie バナーで承諾いただいた後にのみ読み込まれます。各分類は当社の Cookie ポリシーで説明しています。

Do Not Track: 当社のサービスは、ブラウザーの Do Not Track シグナルに対して異なる応答をしません。サイトがこれにどう反応すべきかについて合意された業界標準が存在しないため、提供していない保護をほのめかすより、率直にお伝えします。

Global Privacy Control: Global Privacy Control のシグナルには従います。お客様のブラウザーがこれを送信した場合、当社は解析およびマーケティング Cookie の拒否として扱い、それらの技術は読み込まれません。このシグナルは、当社バナーでの以前の承諾に優先します。先のクリックで覆せるオプトアウトは、オプトアウトとは言えないからです。解析や広告を有効にしたい場合は、ブラウザーでシグナルをオフにしてください。

サイトをまたいでデータを収集する他の事業者: お客様が解析またはマーケティング Cookie を承諾された場合に限り、Google は解析・広告の提供者としての立場で、本サイトでのお客様の活動に関する情報を収集し、時間の経過とともに他のサイトからの情報と結び付けることがあります。これらの分類を拒否された場合、当サイトでその収集は行われません。reCAPTCHA を含む必須の技術はいずれにせよ動作しますが、それはお客様のプロファイルを作るためではなくセキュリティのために用いられます。

13. カリフォルニア州

本節はカリフォルニア州の居住者向けにご提供するものです。当社は現在、事業者がカリフォルニア州消費者プライバシー法の適用を受ける基準には達していませんが、カリフォルニア州オンラインプライバシー保護法は規模にかかわらず適用され、またお客様に確認いただけるようにしたいため、この開示を公表します。

お客様は、個人情報へのアクセス、削除および訂正を請求でき、請求したことを理由に異なる取扱いを受けることはありません。第11節の連絡方法をご利用ください。

当社が法人顧客のサービス提供者として行動する場合、その消費者の情報は当該顧客の指示に従い、当社のデータ処理契約に定める条件のもとでのみ取り扱います。

• 過去12か月に取得した個人情報の類型: 識別子 (氏名、メールアドレス、アカウント識別子、IP アドレス)、商業情報 (サブスクリプション、プラン、取引の記録)、インターネット上の活動 (閲覧ページ、サービスとの相互作用)、税務および言語の目的で IP アドレスから国レベルでのみ推定される位置情報、ならびにお客様が送信するコンテンツ、すなわちファイルおよびサポート宛てのメッセージ。
• 入手元: お客様、お客様のブラウザー、当社の決済事業者、およびお客様がログインに選んだ ID プロバイダー。
• 事業上の目的: 第4節に定めるもの。
• 開示先の第三者の類型: 第6節に挙げたもの。
• 当社は個人情報を販売しておらず、直前の12か月においても販売していません。
• 文脈横断的行動広告のための共有: 当社の広告技術は、マーケティング Cookie を承諾された場合にのみ読み込まれます。承諾された場合、その結果生じる広告はカリフォルニア州法上の「共有」に当たりうるものです。マーケティング Cookie を拒否するか、Global Privacy Control のシグナルを送信すれば、これは止まります。
• 当社は18歳未満の方から個人情報を意図して取得しないため、未成年者の個人情報を販売または共有することはありません。
• 保管期間: 第8節に定めるとおり。

14. 年齢

本サービスは18歳以上の方を対象としています。アカウントの作成には18歳以上であることが必要で、有償プランには契約を締結する能力が必要です。

当社は18歳未満の方から個人データを意図して取得しません。未成年者が当社に個人データを提供したとお考えの場合は [email protected] までご連絡ください。削除いたします。保護者の方でご確認をご希望の場合も、ご連絡いただければ対応いたします。

15. 本ポリシーの変更

このページ上部の発効日は、現在の文言が効力を生じた日です。文言が変わったときにのみ変わるため、その日付は信頼していただけます。

重大な変更 — 何を取得するか、なぜ取得するか、誰が受け取るか、どれくらい保管するか、またはお客様の権利に影響する変更 — を行う場合、効力発生の少なくとも30日前にアカウント保有者へメールでお知らせし、何が変わったかを明示します。変更にお客様の同意が必要な場合は、推定するのではなくお伺いします。

旧版はご請求に応じてご提供します。