プライバシーポリシー

1.責任者

Hournook は Theocharis Panagiotis Siozos（ΣΙΩΖΟΣ ΘΕΟΧΑΡΗΣ ΠΑΝΑΓΙΩΤΗΣ）、DevTaskHub.com の屋号で事業を営む個人事業主、Markou Mpotsari 83, 546 44 Thessaloniki, Greece。ギリシャ納税者番号（ΑΦΜ）169481343、ギリシャ一般商業登記簿（Γ.Ε.ΜΗ.）登録番号 186989906000（以下「当社」）が提供しています。

プライバシーに関するご質問や権利の行使については、devtaskhub@devtaskhub.com までメールでご連絡ください。当社の活動には法律上データ保護責任者の選任が求められていないため、選任していません。プライバシーに関する請求は、事業主が直接対応します。

2.2 つの役割：管理者と処理者

Hournook は 2 つのグループの人々に利用されており、当社の役割はそれぞれで異なります。

• Hournook のアカウントを持つ事業者とそのチームメンバー。アカウント、請求、サポートおよびセキュリティに関するデータについて、当社は管理者です。本ポリシーはこの処理について説明するものです。
• 予約ページから予約する方、または事業者自身が登録するそれらの事業者の顧客。これらのデータをなぜ、どのように利用するかは事業者が決定するため、事業者が管理者であり、当社は当社のデータ処理契約に基づきその処理者として行動します。この場合、事業者自身のプライバシー通知が適用されます。

事業者で予約され、ご自身の情報の確認、訂正または削除をご希望の場合は、その事業者に直接お問い合わせください。事業者はダッシュボードから対応できます。当社にご連絡いただいた場合は、ご請求を事業者に転送し、事業者の回答を支援します。

3.処理するデータ

アカウントデータ（当社が管理者）

• 氏名、メールアドレス、メールアドレスの確認状況、言語。
• パスワード。ソルト付きの一方向ハッシュとしてのみ保存されるため、当社が読み取ることはできません。
• 登録時にいつ、どのバージョンの規約に同意したか。
• ログイン状態を維持しアカウントを保護するための、IP アドレスおよびブラウザの種類を含むログインセッション。

事業者データ（請求については当社が管理者、それ以外は処理者）

• 事業者名、業種、住所、公開を選択した連絡先、タイムゾーン、予約ページの設定、ロゴおよび写真。
• サービス、料金、営業時間、休業日、予約ルール、スタッフおよびその役割。

顧客データおよび予約データ（当社が処理者）

• 予約者の氏名、メールアドレスおよび電話番号、予約者が追加したメッセージ、事業者が記載する非公開のメモ。
• サービス、担当スタッフ、日付、時刻、所要時間、料金、ステータスおよび変更履歴（日時変更やキャンセルの有無とその実行者など）、ならびに予約の経路（予約ページ、埋め込みウィジェットまたは QR コード、および取得できる場合は参照元サイトやキャンペーンタグ）。

請求データ（当社が管理者）

• サブスクリプションの状態、ならびに Stripe の顧客 ID およびサブスクリプション ID。カード情報は Stripe のページで入力され、当社がカード番号全体を受け取ったり保存したりすることはありません。
• 税法および会計法で求められる請求書および支払記録。

セキュリティおよびサービスの記録（当社が管理者）

• 重要な操作（ログイン、設定変更、エクスポート、削除など）の監査ログ（IP アドレスおよびリクエスト ID を含む）。
• 不正利用を防止するための短期間のレート制限カウンター。
• 当社のホスティング事業者が保持する技術的なサーバーログ。
• 予約ページの統計：予約ステップ（「ページ閲覧」や「予約完了」など）の件数と流入元。これらは Cookie を使用せず、氏名、連絡先、IP アドレスまたは端末識別子を含みません。

サポート

• お客様から当社に送られたメールと当社の返信。

当社は個人データを購入せず、トラッキング Cookie や広告 Cookie を使用せず、訪問者のプロファイルを作成する分析サービスも使用しません。

4.利用目的と法的根拠

• 事業者へのサービス提供：アカウント、予約ページ、カレンダー、顧客リスト、チーム機能、エクスポート、サービスメール（確認、パスワード再設定、招待、請求通知）：お客様との契約の履行に必要（GDPR 第 6 条第 1 項 (b)）。
• 顧客データおよび予約データの処理：事業者の指示に基づいてのみ、データ処理契約に従って行います（GDPR 第 28 条）。事業者は自らの法的根拠について責任を負います。
• 請求、請求書発行および会計：契約（第 6 条第 1 項 (b)）およびギリシャの税法・会計法に基づく当社の法的義務（第 6 条第 1 項 (c)）。
• セキュリティ、不正行為および不正利用の防止：監査ログ、レート制限およびサーバーログ：本サービスとその利用者の安全を守る当社の正当な利益（第 6 条第 1 項 (f)）。
• サポート：お問い合わせへの回答：契約、またはお客様が契約者でない場合は回答する当社の正当な利益（第 6 条第 1 項 (b) または (f)）。
• Hournook の改善：機能の利用状況に関する集計済みで個人を特定しない情報の利用：当社の正当な利益（第 6 条第 1 項 (f)）。
• 法的請求および当局からの要請：法的請求の立証、行使もしくは防御、または法令遵守に必要な場合（第 6 条第 1 項 (c) および (f)）。

5.販売なし、広告なし、自動化された意思決定なし

当社は個人データを販売または貸与せず、顧客データやアカウントデータを広告に利用せず、お客様の同意なくマーケティングメールを送信しません。当社は、プロファイリングを含む自動化された処理のみに基づき、お客様に法的効果またはそれと同様の重大な影響を及ぼす決定を行いません。

6.データの提供先

個人データは、以下の事業者とのみ、各事業者が必要とする範囲に限って共有されます。これらの事業者は、データ処理契約に基づき当社の指示に従ってデータを処理します。

Stripe は、自社のプライバシーポリシーに基づき、独立した管理者としても決済データを処理します（不正防止や金融規制の遵守のためなど）。また当社は、法律で求められる場合または認められる場合には、当局、裁判所または専門アドバイザー（当社の会計士や弁護士など）にデータを開示することがあります。

7.EEA 域外への移転

当社の事業者の一部は米国に拠点を置いているか、米国からデータにアクセスする場合があります。個人データを欧州経済領域の域外に移転する場合、当社は、欧州委員会の十分性認定（EU・米国データプライバシーフレームワークの認証を受けた事業者の場合）または欧州委員会の標準契約条項に依拠し、あわせて通信時および保存時の暗号化など、事業者が提供する追加の保護措置を講じます。これらの保護措置の詳細については、当社にお問い合わせください。

8.データの保存期間

• アカウントデータおよび事業者データ：アカウントが存在する間。事業者アカウントまたはユーザーアカウントが削除されると、そのデータは当社の本番システムから直ちに削除され、当社のデータベース事業者のバックアップからは 30 日以内に削除されます。
• 顧客データおよび予約データ：事業者が保持している間、事業者が顧客を消去するまで、または事業者が削除されるまで。
• ログインセッション：30 日間操作がないと失効し、その後削除されます。
• メールアドレス確認およびパスワード再設定のリンク：有効期限切れの 7 日後に削除されます。
• 当社が送信するメール：内容は 180 日後に消去されます。予約に関するメールについては、配信記録（宛先、種類、ステータス、日付）が予約とともに残り、アカウントに関するメールの記録は 180 日後に削除されます。
• 監査ログ：IP アドレスは 180 日後に削除され、エントリは 2 年後に削除されます。
• レート制限カウンター：失効後 1 時間以内に削除されます。
• 予約ページの統計（匿名）：約 13 か月後に削除されます。
• 請求書および請求記録：ギリシャの税法および会計法が求める期間。通常は課税年度末から 5 年間で、法律がこの期間を延長する場合はそれに従います。
• サポートメール：ご依頼への対応に必要な期間およびその後最長 2 年間。ただし、法的請求のためにより長い期間が必要な場合を除きます。

9.お客様の権利

GDPR に基づき、お客様には次の権利があります。

• ご自身の個人データにアクセスし、その写しを受け取る権利
• 不正確なデータの訂正を求める権利
• 保存する理由がなくなったデータの消去を求める権利
• 一定の場合に処理の制限を求める権利
• 当社に提供したデータを、構造化され機械で読み取り可能な形式で受け取る権利（データポータビリティ）
• お客様の特別な状況に関する理由により、当社の正当な利益に基づく処理に対していつでも異議を唱える権利
• 与えた同意をいつでも撤回する権利（撤回前の処理の適法性には影響しません）

事業者は、設定での情報の編集、ダッシュボードからのデータのエクスポート、設定での事業者またはユーザーアカウントの削除など、その大部分を自ら行うことができます。その他のご請求は devtaskhub@devtaskhub.com までメールでご連絡ください。当社は 1 か月以内に回答します（複雑なご請求の場合はさらに 2 か月延長することがあり、その際は理由をお知らせします）。事前に本人確認をお願いする場合があります。

また、お客様には、特にお客様が居住もしくは就業する EU 加盟国、または違反が発生した EU 加盟国の監督機関に苦情を申し立てる権利があります。ギリシャでは、ギリシャ個人データ保護機関（Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα、所在地：アテネ、キフィシアス通り 1–3、郵便番号 115 23、www.dpa.gr）がこれにあたります。まずは当社にご懸念に対応する機会をいただければ幸いです。

10.データの提供は必須ですか？

アカウントの作成には、氏名、メールアドレスおよびパスワードが必要です。これらがなければサービスを提供できません。それ以外はすべて任意であるか、お客様の事業者が追加することを選択した情報です。

11.セキュリティ

当社は、暗号化された通信（HSTS を伴う HTTPS）、暗号化されたデータベース接続、強力な一方向パスワードハッシュ、ページのスクリプトから読み取れないログイン Cookie、事業者ごとのデータの厳格な分離、チームメンバーのロールベースの権限、機密性の高い操作のレート制限、コンテンツセキュリティポリシーおよび監査ログを使用しています。当社の事業者は保存データを暗号化しています。完全に安全なオンラインサービスはありません。個人データ侵害が発生した場合、当社は、必要に応じて 72 時間以内に監督機関に通知し、影響を受ける事業者に不当な遅滞なく通知し、法律で求められる場合にはお客様に直接通知します。

12.Cookie

当社は、ログインとセッションの安全の確保に厳密に必要な Cookie のみを使用し、ライト／ダークのテーマの選択を記憶するためにブラウザのローカルストレージを使用します。分析、広告またはソーシャルメディアの Cookie は使用しないため、Cookie バナーは表示しません。詳しくはCookieポリシーをご覧ください。

13.子ども

Hournook のアカウントは事業者向けであり、成人のみが作成できます。当社は、自らの目的のために子どものデータを故意に収集することはありません。子どもの予約を受け付ける事業者（学習塾など）は、管理者として、そのデータを適法に収集する責任を負います。

14.本ポリシーの変更

当社は、処理の内容が変わった場合に本ポリシーを更新します。上部の日付とバージョンが最終変更日を示します。重要な変更については、アカウント所有者に事前にメールでもお知らせします。

15.お問い合わせ

Theocharis Panagiotis Siozos（ΣΙΩΖΟΣ ΘΕΟΧΑΡΗΣ ΠΑΝΑΓΙΩΤΗΣ）、DevTaskHub.com の屋号で事業を営む個人事業主、Markou Mpotsari 83, 546 44 Thessaloniki, Greece。ギリシャ納税者番号（ΑΦΜ）169481343、ギリシャ一般商業登記簿（Γ.Ε.ΜΗ.）登録番号 186989906000。メール：devtaskhub@devtaskhub.com。