プライバシーポリシー

AVERCYN GLOBAL INC（以下「当社」といいます。）は、従業員シフト管理サービス「ShiftKumo」（以下「本サービス」といいます。）および当社ウェブサイト（shiftkumo.com）の運営にあたり、お客様および利用者の個人情報を適切に取り扱うことを重要な責務と考えています。このプライバシーポリシー（以下「本ポリシー」といいます。）では、当社が取り扱う個人情報の種類、利用目的、管理の方法およびお客様の権利について説明します。

当社は、個人情報の保護に関する法律（以下「個人情報保護法」といいます。）、EU一般データ保護規則（GDPR）、英国一般データ保護規則（英国GDPR）、米国カリフォルニア州消費者プライバシー法（カリフォルニア州プライバシー権法による改正を含み、以下「CCPA」といいます。）その他の適用される法令を遵守します。

1. 事業者について

本ポリシーに基づき個人情報を取り扱う事業者はAVERCYN GLOBAL INCです。当社の名称および所在地は、本ポリシー末尾のお問い合わせ窓口および特定商取引法に基づく表記に記載しています。記載のない事項（法人の代表者の氏名等）については、ご請求に応じて遅滞なく回答します。

2. 当社の立場（管理者および受託者）

当社は、取り扱う情報の種類に応じて、次の2つの立場で個人情報を取り扱います。

• 管理者として取り扱う情報：アカウント情報、請求情報、サポート対応の記録、当社ウェブサイトに関する情報については、当社が個人情報取扱事業者（GDPRにおける管理者（controller））として、本ポリシーに従って取り扱います。
• 受託者として取り扱う情報：お客様（従業員のシフトを管理する事業者）が本サービスに入力した従業員の情報（以下「ワークスペースデータ」といいます。）については、お客様が管理者として責任を負い、当社はお客様から取扱いの委託を受けた受託者（GDPRにおける処理者（processor）、CCPAにおけるサービスプロバイダー）として、お客様の指示に基づき、お客様に本サービスを提供する目的の範囲内でのみ取り扱います。

勤務先が本サービスを利用している従業員の方で、ご自身の情報について確認や訂正等をご希望の場合は、まず勤務先にお問い合わせください。当社は、お客様（勤務先）がご請求に対応できるよう協力します。

3. 取得する情報

当社は、次の情報を取得します。

本サービスは、要配慮個人情報（病歴、信条等）の取得を目的とするものではありません。お客様は、業務上必要な場合を除き、従業員の要配慮個人情報を本サービスに入力しないようお願いします。

4. 取得方法

当社は、適正な手段により、次の方法で個人情報を取得します。偽りその他不正の手段により個人情報を取得することはありません。

• お申込み、アカウント登録、設定変更等の際に、お客様または利用者ご自身に入力していただく方法
• お客様（事業者）が、従業員の情報を本サービスに入力し、または従業員を本サービスに招待する方法
• 決済の際に、決済代行会社から、カードブランド、カード番号の下4桁、有効期限および請求先の国を受け取る方法
• メールでのお問い合わせ、フィードバックの送信等により、お客様または利用者から直接ご提供いただく方法
• 本サービスおよび当社ウェブサイトのご利用に伴い、サーバーのログ等として自動的に記録する方法

5. 利用目的

当社は、取得した個人情報を次の目的の範囲内で利用します。

1. 本サービスの提供、アカウントの管理および本人確認のため
2. 料金の請求、決済、領収書の送付および返金の処理のため
3. お問い合わせへの対応およびサポートの提供のため
4. 確認メール、更新のご案内、料金改定や規約変更のお知らせ、障害・メンテナンスのご連絡等、本サービスに関する重要なお知らせ（サービスメール）を送付するため
5. 不正利用の防止、セキュリティの確保および障害の調査のため
6. 法令上の義務の履行、および紛争への対応のため
7. 特定の個人を識別できない形に集計した統計情報を作成し、本サービスの改善や新機能の開発に活用するため

ワークスペースデータは、お客様に本サービスを提供する目的にのみ利用します。当社は、個人情報を広告配信やプロファイリングのために利用しません。利用目的を変更する場合は、変更前の利用目的と関連性を有すると合理的に認められる範囲で行い、変更後の利用目的を本ポリシーで公表し、または本人に通知します。

6. 第三者への提供

当社は、個人情報を販売しません。また、次の場合を除き、あらかじめ本人の同意を得ることなく、個人データを第三者に提供しません。

• 法令に基づく場合
• 人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
• 公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
• 国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
• その他、個人情報保護法その他の法令により認められる場合

なお、次の場合は第三者への提供には該当しません。

• 利用目的の達成に必要な範囲内で、個人データの取扱いの全部または一部を業務委託先に委託する場合（第7項をご覧ください）
• 合併、会社分割、事業譲渡その他の事由による事業の承継に伴って個人データが提供される場合

当社は、個人データの共同利用は行っていません。

7. 業務委託先

当社は、本サービスを提供するため、次の分野の業務委託先に個人データの取扱いを委託しています。

• クラウドホスティング（サーバーおよびデータベースの運用）
• 決済処理（PCI DSS レベル1の認定を受けた決済代行会社）
• トランザクションメールの配信（確認メール、領収書、通知等）
• カスタマーサポートのためのツール

当社は、業務委託先との間で、秘密保持、安全管理措置、目的外利用の禁止等を定めた契約を締結し、業務委託先において個人データが適切に取り扱われるよう、必要かつ適切な監督を行います。

8. 外国にある第三者への提供

当社は米国（コロラド州）に所在する事業者であり、本サービスを通じて取得した個人データを米国において取り扱います。また、前項の業務委託先として、米国その他の日本国外に所在する事業者を利用し、または日本国外のサーバーに個人データを保存する場合があります。業務委託先への提供にあたっては、個人情報保護法第28条に従い、次のとおり対応します。

• 当社は、個人情報保護委員会規則で定める基準に適合する体制を整備している事業者との間で、標準契約条項（SCC）またはこれと同等の契約上の措置を講じ、個人情報保護法の趣旨に沿った措置（相当措置）が継続的に実施されることを確保します。
• 当社は、移転先における相当措置の実施状況およびその実施に影響を及ぼすおそれのある外国の制度の有無を定期的に確認します。
• 本人の求めがあった場合、当社は、移転先の所在する外国の名称、当該外国の個人情報の保護に関する制度、当該第三者が講じる個人情報の保護のための措置その他の参考となる情報を、遅滞なく提供します。

欧州経済領域（EEA）、英国またはスイスから個人データを移転する場合には、欧州委員会が採択した標準契約条項（英国については英国の補遺を含みます。）その他これと同等の保護措置に基づいて移転します。

9. 安全管理措置

当社は、個人データの漏えい、滅失または毀損の防止その他の安全管理のため、次の措置を講じています。

• 基本方針の策定：個人データの適正な取扱いを確保するため、本ポリシーを含む基本方針を定めています。
• 組織的安全管理措置：個人データの取扱いに関する責任者を定め、取扱規程を整備するとともに、漏えい等の事案が発生した場合の報告・連絡体制を整えています。
• 人的安全管理措置：従業者に秘密保持義務を課し、個人データの取扱いに関する教育を定期的に実施するなど、従業者に対して必要かつ適切な監督を行っています。
• 物理的安全管理措置：個人データは、入退室管理等の物理的なセキュリティ対策が講じられたデータセンターで管理し、業務用端末の盗難や紛失を防止するための措置を講じています。
• 技術的安全管理措置：通信はTLS 1.2以上で暗号化し、保存データはAES-256で暗号化しています。暗号化したバックアップを毎日取得し、役割に基づくアクセス制御と、従業者のアクセス権限を必要最小限にとどめる運用（最小権限の原則）を徹底しています。
• 外的環境の把握：当社は米国に所在し、個人データを米国において取り扱っています。米国（連邦およびコロラド州）の個人情報の保護に関する制度を把握したうえで、安全管理措置を講じています。業務委託先が米国以外の外国で個人データを取り扱う場合は、当該外国の制度を把握したうえで措置を講じます。業務委託先の所在国は、ご請求に応じて遅滞なくお知らせします。

万一、個人データの漏えい等の事態が発生した場合は、法令に従い、個人情報保護委員会その他の関係当局への報告および本人への通知を速やかに行います。ワークスペースデータについては、管理者であるお客様に遅滞なくお知らせし、お客様の対応に協力します。

10. 保存期間

当社は、利用目的の達成に必要な期間に限り個人情報を保存し、期間の経過後は安全な方法で削除します。

サブスクリプションの終了後30日が経過すると、ワークスペースデータは完全に削除されます。必要なデータは、CSV形式またはExcel形式でいつでもエクスポートできます。

11. 開示等の請求（個人情報保護法）

ご本人は、当社が保有する個人データについて、個人情報保護法に基づき、次の請求を行うことができます。

• 利用目的の通知
• 開示（第三者提供記録の開示を含みます。）
• 内容の訂正、追加または削除
• 利用の停止または消去（目的外利用、不正取得、利用する必要がなくなった場合、漏えい等が生じた場合、ご本人の権利または正当な利益が害されるおそれがある場合等）
• 第三者への提供の停止

ご請求は、アカウントに登録されたメールアドレスから、件名を「個人情報に関する請求」としてsupport@shiftkumo.comまでお送りください。当社は、ご本人であることを合理的な方法で確認したうえで、遅滞なく（遅くとも30日以内に）回答します。開示は、電磁的記録の提供によるなど、ご本人が指定する方法で行うよう努めます。原則として手数料はいただきません。

法定代理人または委任を受けた代理人がご請求される場合は、代理権を確認できる書面をあわせてご提出ください。ワークスペースデータに関するご請求は、管理者であるお客様（勤務先）を通じて対応します（第2項をご覧ください）。

12. EU・英国にお住まいの方の権利（GDPR／英国GDPR）

当社は、次の法的根拠に基づいて個人データを処理します。

• 契約の履行：本サービスの提供、アカウントの管理、料金の請求およびサポート
• 正当な利益：セキュリティの確保、不正利用の防止、統計情報による本サービスの改善
• 法的義務の遵守：税務・会計記録の保存等
• 同意：同意をいただいた場合の処理（同意はいつでも撤回できます）

EEAまたは英国にお住まいの方は、ご自身の個人データについて、アクセス、訂正、消去、処理の制限、データポータビリティ、処理への異議申立て、同意の撤回を求める権利を有します。ご請求はsupport@shiftkumo.comまでお送りください。30日以内に回答します。また、お住まいの国または地域のデータ保護監督機関に苦情を申し立てる権利もあります。

13. 米国にお住まいの方の権利（カリフォルニア州ほか）

当社は、過去12か月間に、識別子（氏名、メールアドレス、IPアドレス等）、商業情報（購入したプランや請求の履歴）、職業に関する情報（会社名、役職）、インターネット等における活動情報（アクセスログ等）の各カテゴリーの個人情報を、本ポリシー第4項に記載の情報源から、第5項に記載の目的のために取得しました。これらの情報は、第7項に記載の業務委託先（サービスプロバイダー）に対し、事業目的のためにのみ開示しています。

当社は、個人情報を販売しておらず、クロスコンテキスト行動広告のために共有することもありません。過去12か月間にも行っていません。16歳未満の方の個人情報を販売または共有したこともありません。また、センシティブな個人情報を、CCPAで認められた目的（本サービスの提供等）以外に利用することはありません。

カリフォルニア州にお住まいの方は、次の権利を有します。

• 当社が取得、利用および開示した個人情報について知る権利
• 個人情報の削除を求める権利
• 不正確な個人情報の訂正を求める権利
• 個人情報の販売または共有からオプトアウトする権利
• センシティブな個人情報の利用および開示の制限を求める権利
• これらの権利を行使したことを理由に差別的な取扱いを受けない権利

オプトアウトのご請求は件名を「Do Not Sell or Share」として、その他のご請求は件名を「個人情報に関する請求」として、support@shiftkumo.comまでお送りください。販売・共有からのオプトアウトおよびセンシティブな個人情報の利用制限のご請求には本人確認は不要で、受領から15営業日以内に対応します。知る権利、削除および訂正のご請求については、ご本人であることを確認したうえで、30日以内に回答します。授権された代理人によるご請求も受け付けます。詳しくは個人情報の販売・共有の拒否のページをご覧ください。ワークスペースデータについては、当社はサービスプロバイダーとして取り扱っているため、管理者であるお客様（勤務先）を通じて対応します。

バージニア州、コロラド州その他の州にお住まいの方も、各州の法令に基づき同様の権利を有します。当社が請求への対応をお断りした場合は、当社の回答メールに件名を「不服申立て」（または「Privacy appeal」）として返信することで、不服を申し立てることができます。当社は、法令の定める期間内に、不服申立てに対する判断とその理由をお知らせします。判断にご納得いただけない場合は、お住まいの州の司法長官（Attorney General）に連絡することができます。詳しくは個人情報の販売・共有の拒否をご覧ください。

14. グローバル・プライバシー・コントロール（GPC）

当社は、ブラウザ等から送信されるグローバル・プライバシー・コントロール（GPC）の信号を、個人情報の販売および共有からのオプトアウトの有効な意思表示として尊重します。当社はもともと個人情報の販売および共有を行っていませんが、GPCの信号を受信した場合も、お客様が追加の操作を行う必要はありません。

15. 子どもの個人情報

本サービスおよび当社ウェブサイトは、16歳未満の子どもを対象としたものではありません。本サービスにお申し込みいただけるのは、18歳以上の方に限ります。当社は、16歳未満の子どもから直接個人情報を取得することを意図しておらず、そのような情報を取得したことが判明した場合は速やかに削除します。お客様が年少の従業員の情報を本サービスに入力する場合は、適用される法令に従い、必要な同意等を取得してください。

16. Cookie等の利用

当社ウェブサイトは、表示言語、通貨の選択、お知らせの表示状態を記憶するための必要最小限の情報のみをブラウザのローカルストレージに保存し、広告用やアクセス解析用のCookieは使用していません。本サービスでは、ログイン状態の維持とセキュリティの確保のために必要なCookieのみを使用します。詳しくはCookieポリシーをご覧ください。

17. 本ポリシーの改定

当社は、法令の改正や本サービスの内容の変更等に応じて、本ポリシーを改定することがあります。改定後の本ポリシーは、当社ウェブサイトに掲載した時点（重要な変更の場合は、掲載時にお示しする効力発生日）から効力を生じます。重要な変更を行う場合は、当社ウェブサイトへの掲載に加えて、効力発生日より前に登録メールアドレス宛てにお知らせします。最終更新日は本ページの冒頭に記載しています。

18. お問い合わせ窓口

本ポリシーおよび個人情報の取扱いに関するご質問、ご請求、苦情のお申出は、support@shiftkumo.comまでメールでご連絡ください。オプトアウトは件名「Do Not Sell or Share」、その他のご請求は件名「個人情報に関する請求」でお送りください。受付時間は月曜日から金曜日の9:00〜18:00（日本時間、UTC+9。日本の祝日を除きます。）で、通常1営業日以内に最初のご返信をいたします。日本語または英語でお問い合わせいただけます。