プライバシーポリシー

Ambrosio Companyは、Voysparkプラットフォーム上で処理される個人データの管理者です。当社は、会社および監督当局に対してユーザーを代表するデータ保護責任者（DPO）を任命しています。

DPO連絡先：dpo@voyspark.com。当社は、ブラジルのデータ主体に対しては15日以内（LGPD art. 19）、欧州のデータ主体に対しては1か月以内（GDPR art. 12）に対応し、複雑さに応じて延長される場合があります。

当社は、次の法的根拠がある場合にのみ個人データを処理します。（a）契約の履行（LGPD art. 7 V、GDPR art. 6(1)(b)）— 契約された機能を提供するため。（b）法的義務の遵守（LGPD art. 7 II、GDPR art. 6(1)(c)）— 税務および会計データを保持するため。（c）正当な利益（LGPD art. 7 IX、GDPR art. 6(1)(f)）— セキュリティ、不正防止、集計分析およびサービス改善のため。ただし常にお客様の権利との均衡を図ります。

上記のいずれも適用されない場合、当社は、特にダイレクトマーケティング、必須ではないCookieおよびセンシティブデータの処理について、お客様の自由意思に基づく、情報を提供された上での明確な同意（LGPD art. 7 I、GDPR art. 6(1)(a)）を求めます。

識別情報：氏名、メールアドレス、電話番号（任意）、生年月日（任意）、居住国、希望言語。

ナビゲーション情報：IPアドレス、デバイスの種類およびブラウザ、オペレーティングシステム、閲覧したページ、滞在時間、リファラー、Cookie識別子 — 当社独自のサーバー（track.voyspark.com）および分析パートナーを通じて収集されます。

利用情報：作成されたTrip Plans、検索された目的地、旅行日程、Taste Genomeの設定、Voyspark AIと交わされたメッセージ、レビュー、公開されたTrip Diaries、Insider Networkの回答。

取引情報：サブスクリプション履歴、支払いステータス、カード番号の下4桁（Stripeを通じてのみ）、必要な場合の請求先および税務上の住所。

コミュニケーション情報：サポートと交わされたメール、チケット、チャット、アンケートおよびNPSの回答。

お客様が「Sign in with Google」を選択すると、Voysparkは、OAuth 2.0プロトコルを使用して、お客様のGoogleプロフィールから次のデータのみを受領します。一意の識別子（sub）、メールアドレス、メール確認済みステータス、氏名、名、姓、およびプロフィール写真のURL。

これらのデータは、次の目的のためにのみ厳格に使用されます。（a）お客様のVoysparkアカウントを作成し認証すること。（b）プラットフォーム内でお客様の氏名およびアバターを表示すること。（c）その後のサインインを紐付けること。（d）必須の取引関連の連絡（登録確認、アクセス回復、重要な更新）を送信すること。

Voysparkは、次のものを要求、アクセス、または保存しません。Gmailのコンテンツ、メッセージ、添付ファイル、連絡先、Google Driveのファイル、Google Calendarの予定、Google Photosの画像、Google Contacts、またはお客様のGoogleアカウントのその他の制限付きスコープ。

Voysparkは、Google OAuthを通じて取得したデータを、マーケティング、ターゲティング広告、またはAIモデルの学習の目的で第三者と共有することはありません。これらのデータはいかなる状況でも販売されません。

お客様は、myaccount.google.com/permissions にて、いつでもVoysparkのGoogleアカウントへのアクセスを取り消すことができます。取り消し後、当社は、第8条に記載された保持期間に従い、法的義務（請求、会計、不正防止）を遵守するために厳密に必要なデータのみを保持します。

認証およびアカウント：お客様のアカウントの作成、維持および保護、アクセスの検証、パスワードの回復、およびアカウント乗っ取りの防止。

パーソナライズ：お客様が申告したプロフィールおよびプラットフォーム上での行動に合わせて、目的地の推奨、旅程の提案、および編集キュレーションを調整すること。

取引：サブスクリプションの処理、領収書の発行、契約変更、課金および更新に関する連絡。

コミュニケーション：サポートに関する質問への回答、重要なサービス更新の送信、および同意がある場合に限り、編集ニュースレターやオファーの送信。

分析および改善：集計された利用状況を分析して行動を理解し、ボトルネックを特定し、改善に優先順位を付け、パフォーマンスを測定すること。

セキュリティおよび不正防止：疑わしいアクセス、不正利用、スクレイピング、支払い詐欺、および本規約違反を検出しブロックすること。

Voysparkは、同等の保護を要求する契約のもとで、サービスに厳密に必要な運用パートナー（LGPDにおける取扱者、GDPRにおける処理者）とのみ個人データを共有します。

使用中の主要な処理者：Stripe（Stripe, Inc.、当社の決済処理業者）、Supabase Inc.（データベースおよび認証）、Vercel Inc. および Cloudflare Inc.（ホスティングおよびCDN）、Anthropic PBC および OpenAI OpCo, LLC（API経由のAIモデル、プライベートデータでの学習なし）、Google LLC（OAuthログイン、フォント、任意の分析）、Travelpayouts（編集アフィリエイト — 匿名のクリック識別子／sub_idのみを受領し、氏名を伴う個人データは受領しない）、Resendまたは同等のサービス（取引関連のメール）。

当社は個人データを販売しません。当社は、データブローカー、クロスサイト広告ネットワーク、または本通知と相容れない独自の目的でお客様のデータを処理する第三者とデータを共有しません。

当社は、Cookieポリシー（/legal/cookies）において、Cookie、ピクセル、ローカルストレージおよび識別子について、カテゴリ、目的、期間および管理オプションとともに詳細に説明しています。

アクティブなアカウント：当社は、お客様のアカウントがアクティブである間、および削除要求後さらに30日間（取り消し可能なソフト削除の期間）、データを保持します。

税務および会計データ：ブラジルのユーザーについては最大5年間（税務上の義務）、その他の法域においては適用される法定期間に従います。

セキュリティログ：ブラジルのインターネット民事枠組法（Marco Civil da Internet）art. 13 および 15 ならびにEUの相当規定に従い、最大12か月。

Voyspark AIとの会話：最大18か月間保持し、その後匿名化され、統計分析のために集計された形式でのみ使用されます。

公開されたコンテンツ（Trip Diaries、レビュー）：ユーザーによって削除されるまで表示され、削除後最大90日間バックアップコピーが保持されます。

LGPD art. 18に基づき、お客様は次の権利を有します。（a）処理の存在を確認すること。（b）ご自身のデータにアクセスすること。（c）不完全、不正確または古いデータを訂正すること。（d）不要なデータを匿名化、ブロックまたは削除すること。（e）データを別の提供者に移転すること。（f）同意に基づいて処理されたデータを削除すること。（g）共有について通知を受けること。（h）同意を撤回すること。

いずれかの権利を行使するには、十分な本人確認情報を添えて、dpo@voyspark.com のDPO宛に要求を送信してください。当社は15暦日以内に対応します。

GDPRに基づき、お客様は次の権利を有します。アクセス（art. 15）、訂正（art. 16）、消去／忘れられる権利（art. 17）、制限（art. 18）、ポータビリティ（art. 20）、異議申立て（art. 21）、および重大な影響を伴う完全に自動化された決定に服さない権利（art. 22）。

また、お客様は、CNIL（フランス）、AEPD（スペイン）、Garante（イタリア）、BfDI（ドイツ）、CNPD（ポルトガル）またはICO（英国）などの監督当局に苦情を申し立てる権利を有します。

カリフォルニア州の居住者は、CCPA/CPRAによって付与される権利を有します。収集されたデータのカテゴリおよび具体的な要素、情報源および目的を知る権利、削除を要求する権利、販売または共有をオプトアウトする権利（Voysparkはデータを販売しません）、不正確なデータを訂正する権利、センシティブな個人情報の使用を制限する権利。

これらの権利を行使するには、「CCPA Request」という文言を添えて dpo@voyspark.com に要求を送信してください。当社は、権利を行使するユーザーを差別しません。

Voysparkは、13歳未満（ブラジル）または16歳未満（EU、現地の年齢がこれより低い場合を除く）の児童を対象としていません。当社は、これらのデータ主体から意図的にデータを収集することはありません。

不適切な収集が判明した場合、当社は速やかにデータを削除します。未成年者のデータの処理を発見した親権者または保護者は、dpo@voyspark.com にて即時の削除を要求することができます。

Voysparkの運営には、国際的なデータ移転が伴います（例えば、Stripe、Vercel、Cloudflare、Supabase、Anthropic、OpenAIなどの処理者の米国およびEUのサーバーへの移転）。

これらの移転は、欧州委員会の標準契約条項（SCCs）、ならびにLGPD art. 33 および GDPR arts. 44–49に基づくその他の保護措置に基づいて行われます。

当社は、リスクに応じた技術的および組織的措置を適用します。すなわち、通信時の暗号化（TLS 1.2以上）、センシティブデータの保存時の暗号化、パスワードのハッシュ化（bcrypt/argon2）、最小権限のアクセス制御、環境の分離、監査ログ、継続的な監視、および定期的なレビューです。

いかなるシステムもリスクから完全に免れることはできません。重大なインシデントが発生した場合、当社は、法定期限内（GDPRのもとでは最大72時間）にANPD（ブラジル）および／または管轄の欧州当局に通知し、該当する場合には影響を受けたデータ主体に通知します。

本ポリシーは、規制の変更、新機能または新たなパートナーを反映するために更新されることがあります。以前のバージョンはアーカイブされており、dpo@voyspark.com にて要求に応じて入手できます。

重要な更新は、メールおよび／またはプラットフォーム上の目立つ通知により、15日前に通知されます。

データ保護責任者：dpo@voyspark.com。法務連絡先：legal@voyspark.com。

監督当局：ANPD（ブラジル、anpd.gov.br）、CNIL（フランス、cnil.fr）、AEPD（スペイン、aepd.es）、Garante（イタリア、garanteprivacy.it）、BfDI（ドイツ、bfdi.bund.de）、CNPD（ポルトガル、cnpd.pt）、ICO（英国、ico.org.uk）、およびCalifornia Privacy Protection Agency（cppa.ca.gov）。