法的情報とプライバシー

1. 管理者

管理者

Miguel Ángel Martín Martínez

NIF / CIF

75932512J

住所

Calle Párroco José Rodríguez, 33 · 18014 Granada（スペイン）

メールアドレス

[email protected]

2. データ保護責任者（DPO）

お客様の個人データの取り扱いに関するご質問は、当社のデータ保護責任者までお問い合わせください。

担当者

Miguel Ángel Martín Martínez

DPOのメールアドレス

[email protected]

3. お客様のデータを取り扱う目的

1. ユーザーアカウントの管理。メールアドレス、パスワード（ハッシュ化済み）、名前、都市、アバター、バナー、自己紹介を含む、アカウントの作成、維持および認証。
2. ルートの記録と公開。お客様が記録したルート（GPS座標、関連する写真、説明、難易度、所要時間）、およびお客様が行ったコメント、「いいね」、保存の保管。
3. 記録中のバックグラウンドでの位置情報。モバイルアプリでアクティビティを記録している間、そして記録している間のみ、画面がオフになっていても、別のアプリを使っていても、お客様の位置を記録します。これがないと、スマートフォンをポケットにしまうたびにトラックが途切れてしまいます。歩いたり自転車をこいだりするときには、まさにそうするものです。
   位置情報の取得は開始を押したときに始まり、終了を押したときに終わります。その間以外に追跡することはありません。取得中は、システムの常時通知が表示されます。位置情報の許可はデバイスの設定からいつでも取り消すことができます。その場合もアプリは引き続き動作しますが、ルートを記録することはできなくなります。
4. 都市の提案。お客様の許可がある場合、おおよその位置を都市名に変換し、プロフィールのその項目を入力するとともに、表示する人やクラブを近い順に並べるために使います。保存するのは名前のみ（例：「Granada」）であり、その照会に使った座標は保持しません。
5. ソーシャル機能。フォロー、ユーザー間のダイレクトメッセージ、グループへの投稿、グループのイベント、その他本サイト内でのソーシャルな交流の管理。
6. イベントの注意事項の確認記録。お客様がイベントを公開し、またはイベントに参加登録した際、該当する注意事項に同意したこと（ユーザー、イベント、日付、注意事項のバージョン）を保存します。これは、苦情が生じた場合に参加者へ情報が提供されていたことを証明するためのものです。アカウントを削除した場合、ほかの活動と同様に、この記録もお客様の個人データとの関連付けが解除されます。
7. ショップと注文の管理。グッズ（Tシャツ、パンツ、ソックス、アクセサリー）の注文処理：選択したサイズ、配送先住所、およびStripeを通じて処理される決済データ。カード番号が当社のサーバーに届くことはありません。
8. Premiumサブスクリプションとクレジット。Stripeを通じた月額／年額サブスクリプション、および交換可能なクレジット（購読、交換、有効期限）の管理。
9. プッシュ通知とトランザクションメール。Firebase Cloud Messaging（プッシュ）および自社のSMTP（メール）による、アカウントのアクティビティ（いいね、フォロー、メッセージ、イベント）に関する通知の送信。
10. スポーツウォッチへのルートの送信。「Garminに送信」機能を使用した場合、ルートの座標を含むコースファイルを生成し、同じルートを2回送信した際にお知らせできるよう、どのルートをいつ送信したかを記録します。さらにウォッチを連携した場合は、デバイスの機種、連携日と最終アクセス日、およびウォッチが当社に対して自らを識別するための暗号化されたコード（復元不可能）を保存します。お客様のGarminアカウントのデータや、ウォッチで記録したアクティビティにアクセスすることはありません。
11. リーダーボードとランキング。記録された距離とアクティビティに基づく、公開ランキング（月間、年間、通算）の作成。
12. 不正防止とセキュリティ。厳密に必要なログを保持したうえでの、悪用行為、なりすまし、または不正利用の検出。
13. ユーザーサポート。お客様がサポート窓口に対して行った問い合わせ、権利行使の申請、連絡への対応。

4. 法的根拠

• 契約の履行：アカウントの管理、ルートの公開、SNSおよびショップの運営のため。
• 明示的な同意：プッシュ通知およびマーケティングに関する連絡の送信、ならびに特別な種類のデータのあらゆる処理のため。
• 法的義務：税務・会計データの保存（4年間）、および管轄当局からの要請への対応のため。
• 正当な利益：不正防止、プラットフォームのセキュリティ、ランキングの作成、イベントの注意事項への同意の記録、および製品の改善のため。いずれの場合も、事前にお客様の権利との比較衡量を行います。

5. 受領者および処理者

サービスを提供するため、当社は特定のデータを次の処理者と共有しています。いずれも守秘義務およびセキュリティ上の義務を負っています。

• Stripe Payments Europe Ltd.（Stripe）。カード決済およびサブスクリプションの処理。主要なサーバーは米国にあり、データの移転は欧州委員会の標準契約条項（SCC）およびEU-米国データプライバシーフレームワーク（DPF）に基づいて行われます。
• Google Firebase（Cloud Messaging）。プッシュ通知の送信サービス。所在地は米国で、データの移転はSCCおよびDPFに基づいて行われます。
• OpenStreetMap財団（Nominatimサービス）。都市名と座標の相互変換を行う非営利財団です。お客様が都市を検索する際に入力したテキスト、および現在地の検出機能を使用した場合は約1キロメートル単位に丸めた位置を受け取ります。正確な位置を送ることはありません。お客様の身元、メールアドレス、その他のアカウント情報は受け取らないため、その照会をお客様と結び付けることはできません。
• MapTiler。地図画像を提供しています。お客様のデバイスはこの事業者と直接通信せず、リクエストは当社のサーバーを経由します。そのためMapTilerは、地図のどの区域が閲覧されたかはわかりますが、誰が閲覧したかはわかりません。
• Minio（自社ホスティング）。お客様がルートにアップロードした写真の保存。データは、当社の管理下にある欧州連合内のサーバーに保管されます。

アクセス解析。サイトを訪れた人数と閲覧されたページを把握するため、欧州連合内の自社サーバーでホストしているUmamiを使用しています。これは外部の処理者ではありません。データが当社のインフラの外に出ることはなく、誰とも共有されません。Cookieを使用せず、お客様のデバイスに何も保存せず、IPアドレスを保持せず（そこから国を推定するのみ）、閲覧をアカウントと結び付けることも、プロファイルを作成することもありません。記録される内容の詳細はCookieポリシーに記載しています。

当社は、第三者自身の商業目的のために、お客様の個人データを販売または提供することはありません。

Garminのウォッチについて。Garminは当社の処理者ではありません。当社がお客様のデータをGarminに送ることはなく、お客様のGarminアカウントにアクセスすることもありません。ただし、知っておいていただきたい点が2つあります。第一に、スマートフォンのGarmin Connectアプリとルートを共有する場合、ファイルを渡すのはお客様自身のOSであり、それ以降の取り扱いにはGarminのプライバシーポリシーが適用されます。第二に、Connect IQ用の当社アプリでウォッチを連携した場合、ウォッチ自体はインターネットに接続できないため、当社サーバーへのリクエストは、ネットワークのゲートウェイとして機能するスマートフォンのGarmin Connectアプリを経由します。

6. 国際移転

上記の処理者の一部（Stripe、Firebase）は、欧州経済領域外にあるサーバーでデータを処理する場合があります。これらの移転は、GDPRが求めるすべての保護措置のもとで行われます。

• 2021年に採択された欧州委員会の標準契約条項（SCC）。
• 事業者が参加している場合は、EU-米国データプライバシーフレームワーク（EU-US DPF）および英国／スイスへのその拡張。
• 追加の技術的および組織的措置（TLS 1.3による通信の暗号化、保存データの暗号化、データの最小化、アクセス管理）。

適用している仕組みの詳細については、[email protected]までお問い合わせください。

7. 保存期間

次の基準を適用しています。

• アカウントが有効な間：登録ユーザーとしてのお客様との関係が続く限り。
• 退会後：削除は即時かつ不可逆です。メールアドレス、ユーザー名、プロフィール写真、カバー写真、都市、パスワード、通知用トークンが削除され、GoogleまたはAppleとの連携が解除されます。ルートと距離は、過去のランキングや参加していたクラブの活動を損なわないよう、匿名化したうえで「削除されたユーザー」に帰属させて保持します。復元期間はなく、退会が確定するとアカウントを元に戻すことはできません。
• バックアップについて：削除済みのデータは、暗号化されたバックアップ内に最長6か月残ることがあります。その間はブロックされ、災害時の復旧以外には使用されず、当該バックアップの期限切れとともに消去されます。
• 税務・会計データ（請求書、レシート）：スペインの商法および税法に従い、発行日から4年間。
• 連携したウォッチ：連携データ（機種、日付、暗号化されたコード）は、アプリの「マイウォッチ」からウォッチの連携を解除した時点で削除され、いずれにしてもアカウントの退会時に削除されます。連携の解除は理由を示すことなくいつでも行うことができ、ウォッチは直ちにアクセスできなくなります。
• セキュリティおよび不正防止のログ：収集した目的のために必要最小限の期間、および該当する場合は適用される法定期間。

8. お客様の権利

データ主体として、お客様はGDPRに定める次の権利をいつでも行使することができます。

• アクセス：当社がお客様について処理しているデータを知る権利。
• 訂正：不正確または不完全なデータを訂正する権利。
• 削除（「忘れられる権利」）：データの削除を求める権利。
• 異議：正当な利益に基づく処理に異議を申し立てる権利。
• 制限：一定の場合に処理の制限を求める権利。
• データポータビリティ：構造化され、一般的に利用される形式（JSON）でデータを受け取る権利。

これらの権利は、権利の行使フォームから、または身分証明書の写しを添付のうえ[email protected]宛てのメールで行使することができます。

9. 監督機関に苦情を申し立てる権利

お客様の個人データの取り扱いが適用法令に違反すると考える場合は、スペインデータ保護庁（AEPD）に苦情を申し立てることができます。

• ウェブサイト：www.aepd.es
• 住所：C/ Jorge Juan, 6 — 28001 Madrid（スペイン）
• 電話：901 100 099 / 91 266 35 17

10. 本ポリシーの変更

当社は、法令や判例の変更に対応するため、本ポリシーを変更することがあります。重要な変更の場合は、アプリ内のバナーでお知らせし、必要に応じて改めてお客様の同意を求めます。その時点で有効な版は、常にこのページで確認できます。