プライバシーポリシー

Panelica, LLC（「Panelica」、「当社」）は、お客様のプライバシーを保護し、尊重することに努めています。本プライバシーポリシーでは、当社のウェブサイト（license.panelica.com）へのアクセス、Panelicaサーバー管理ソフトウェア（「ソフトウェア」）、カスタマーポータル（「ポータル」）、APIおよび関連サービス（総称して「サービス」）のご利用に際して、当社がお客様の個人データをどのように収集、利用、処理、保存、保護するかを説明します。

1. はじめに

1.1. 本プライバシーポリシーは、お客様、ウェブサイト訪問者、試用ユーザー、再販パートナーを含む、すべてのサービス利用者に適用されます。サービスにアクセスまたは利用することにより、お客様は本プライバシーポリシーを読み、理解したことを確認したものとします。

1.2. Panelicaは、アカウント登録、請求、ポータルの利用を通じて収集する個人データのデータ管理者として機能します。お客様のサーバー上でホストされるコンテンツにはアクセス、保存、処理を行わないため、Panelicaはそのコンテンツのデータ処理者としては機能しません。

1.3. 本ポリシーは、サービスの利用に適用される利用規約と併せてお読みください。

2. 収集する情報

2.1. お客様から直接ご提供いただく情報

アカウントの作成、ライセンスの購入、または当社へのお問い合わせの際、当社は以下の情報を収集します。

• アカウント情報：名、姓、メールアドレス、会社名（任意）、電話番号（任意）
• 請求情報：請求先住所、会社の納税者番号/VAT番号。カード情報は決済プロバイダー（Stripe）が直接処理し、当社のサーバーには一切保存されません。
• サポートに関するやり取り：サポートチケットの送信時にご提供いただく、内容、添付ファイル、やり取りに関する情報
• お問い合わせフォームの送信内容：氏名、メールアドレス、会社名、電話番号、件名、メッセージの内容、お問い合わせの種類

2.2. 自動的に収集する情報

サービスのご利用時、当社は以下の情報を自動的に収集します。

• ライセンス検証データ：ライセンスキー、紐付けられたサーバーのIPアドレス、ハードウェアフィンガープリント（ライセンス紐付けに使用するCPU、ディスク、OSのハッシュ）、有効化ステータス
• ハートビートデータ：サーバーIP、ソフトウェアバージョン、PHPバージョン、オペレーティングシステム、リソース使用状況の概要（CPU/RAM/ディスクの使用率）、ドメイン数、稼働時間、最終ハートビートのタイムスタンプ
• ポータル利用データ：ログイン日時、IPアドレス、閲覧したページ、実行した操作、ブラウザーの種類、デバイスの種類、オペレーティングシステム
• 認証データ：ログイン試行（IP、タイムスタンプ、成功/失敗）、2要素認証の方法、セッショントークン
• Cookie：セッションCookie、認証トークン、CSRFトークン、設定情報。分析および広告効果測定用Cookieは、お客様の同意がある場合に限り使用します（第8条を参照）。

2.3. 収集しない情報

3. 情報の利用方法

お客様の個人データは、以下の目的で処理します：

目的	使用するデータ	法的根拠
アカウントの作成・管理	氏名、メールアドレス、会社名、パスワードのハッシュ値	契約の履行
ライセンスの検証・適用	ライセンスキー、サーバーのIP、ハードウェアフィンガープリント	契約の履行
ハートビート監視	サーバーの状態、バージョン、リソース使用状況	契約の履行
決済処理	請求先住所、注文の詳細、支払方法	契約の履行
カスタマーサポート	チケットの内容、添付ファイル、やり取り	契約の履行
セキュリティ対策・不正防止	ログイン試行、IPアドレス、デバイス情報	正当な利益
サービスに関する通知	メールアドレス	正当な利益
製品の更新情報・セキュリティに関する警告	メールアドレス、ライセンスデータ	正当な利益／法的義務
ウェブサイト分析・ボット検出	閲覧したページ、ページ滞在時間、参照元、デバイスとブラウザー、IPアドレス、おおよその位置情報（Cookieポリシーをご覧ください）	正当な利益（匿名の集計）；Cookie、ブラウザーフィンガープリント、第三者分析ツールについては同意
法令遵守	適用法令で求められる場合	法的義務

4. 処理の法的根拠（GDPR）

EU一般データ保護規則（GDPR）および同様の法令に基づき、当社は以下の法的根拠に基づいてお客様の個人データを処理します：

• 契約の履行（GDPR第6条第1項(b)）：アカウント管理、ライセンスの検証、請求、サポートなど、お客様が依頼したサービスの提供に必要な処理
• 正当な利益（GDPR第6条第1項(f)）：不正防止、セキュリティ監視、サービス改善、既存のお客様へのマーケティング関連の連絡など、当社の正当な事業上の利益のために必要な処理です。正当な利益に基づく処理には、いつでも異議を申し立てることができます
• 法的義務（GDPR第6条第1項(c)）：税法、不正防止要件、法的手続きなど、適用法令を遵守するために必要な処理
• 同意（GDPR第6条第1項(a)）：お客様の同意に基づいて処理する場合（任意のマーケティングメールなど）、過去の処理の適法性に影響を与えることなく、いつでも同意を撤回できます

5. 情報の共有および開示

5.1. お客様の個人データを販売することはありません。情報を共有するのは、以下の限られた場合のみです：

5.2. サービスプロバイダー（サブプロセッサー）

サービスの提供を支援するため、信頼できる第三者プロバイダーを利用しています。

プロバイダー	目的	共有するデータ	所在地
Stripe	決済処理	請求情報、取引データ	USA (EU SCCs)
SMTPプロバイダー	トランザクションメール	メールアドレス、氏名	EU/US (EU SCCs)
Google（Analytics、Ads、Fonts）	ウェブサイトの測定、広告コンバージョンの測定、リマーケティング（同意がある場合のみ）	利用状況データ、IPアドレス、オンライン識別子（同意がある場合）	USA (EU SCCs)
Microsoft（Clarity）	ページの利用状況、セッションリプレイ（同意がある場合のみ）	利用状況データ、IPアドレス、オンライン識別子	USA (EU SCCs)
Cloudflare	コンテンツ配信、セキュリティ、Cookieを使用しないウェブ分析	IPアドレス、リクエストデータ	グローバルネットワーク
ip-api.com	訪問のおおよその位置（国、都市）	IPアドレス	プロバイダーのサーバー

すべての再委託先はデータ処理契約（DPA）に拘束され、サービスの提供に必要な範囲でのみデータを処理することが認められています。

5.3. 法令遵守および法的要請に基づく開示

法律、規制、法的手続き、または政府機関からの要請により必要な場合、あるいは次の目的で開示が必要だと当社が判断した場合、お客様の情報を開示することがあります。（a）適用法令の遵守、（b）利用規約の施行、（c）Panelica、お客様、または一般の人々の権利、財産、安全の保護、（d）不正行為、セキュリティ上または技術上の問題の検出、防止、対処。

5.4. 事業譲渡

合併、買収、組織再編、破産、または当社資産の全部もしくは一部の売却が発生した場合、取引の一環としてお客様の個人データが移転されることがあります。このような変更があった場合はお知らせし、お客様のデータに関する選択肢についてもご案内します。

5.5. 公開謝辞

謝辞ページでは、バグやセキュリティ上の問題を報告してくださった方々に感謝を伝えています。掲載に明示的に同意いただいた場合に限り、ご本人が選んだ名前とリンクを掲載します。報告内容や、対象となったサーバーまたはアカウントを公開することはありません。掲載内容の変更または削除は、いつでもご依頼いただけます。

6. データセキュリティ

6.1. 個人データを保護するため、以下を含む包括的な技術的・組織的セキュリティ対策を実施しています。

• 通信時の暗号化：お客様のブラウザー／サーバーと当社システム間のすべての通信にTLS 1.2以上（HTTPS）を使用します
• 保存データの暗号化：秘密鍵やトークンなどの機密データはAES-256で暗号化します。パスワードは適切なコスト係数を設定したbcryptでハッシュ化します
• 暗号署名：ライセンストークンには業界標準のアルゴリズムでデジタル署名を施し、改ざんを防止して真正性を確保します
• アクセス制御：ロールベースのアクセス制御（RBAC）、管理者アクセスへの多要素認証、最小権限の原則
• 監査ログ：すべての管理操作とセキュリティイベントを、タイムスタンプ、ユーザー識別子、IPアドレスとともに記録します
• インフラストラクチャのセキュリティ：ファイアウォール、侵入検知、定期的なセキュリティ更新、分離された環境
• インシデント対応：明確なエスカレーション経路を定めた、文書化済みのインシデント対応手順

6.2. 業界標準のセキュリティ対策を講じていますが、インターネット経由の通信や電子的な保存方法に完全な安全性を保証するものはありません。絶対的な安全性を保証することはできませんが、実現可能な最高水準の保護を維持することに努めています。

7. データの保存期間

個人データは、本ポリシーに記載された目的に必要な期間に限り保持します。

データの種類	保持期間	理由
アカウント情報	アカウント存続期間＋12か月	サービスの提供、法令遵守
請求・請求書の記録	取引後7年間	税務・会計上の義務
ライセンス検証ログ	90日間	セキュリティ監視、デバッグ
ハートビートデータ	90日間	サービスの監視、コンプライアンス
ログイン・認証ログ	12か月間	セキュリティ、不正利用の防止
サポートチケット	アカウント存続期間＋24か月	サービスの継続、紛争解決
監査ログ	24か月間	セキュリティ、コンプライアンス
お問い合わせフォームの送信内容	12か月間	お問い合わせへの対応
実際の訪問者によるウェブサイトの閲覧（閲覧ページ、IPアドレス）	365日間	ウェブサイト分析
ボットと判定された訪問、または当社のスクリプトがない訪問によるウェブサイト閲覧	30日間	ボット検出
ウェブサイトの日別集計	保管期間	件数のみ、個人データなし

保存期間の終了後、データは安全に削除または匿名化されます。法的義務に従う範囲で、より早い削除を請求できます（第9項をご覧ください）。

8. Cookieとトラッキング技術

Cookieポリシーには、各Cookieの提供元と有効期間を記載しています。概要は以下のとおりです。

8.1. 使用するCookieの種類

Cookieの種類	目的	有効期間	必須
厳密に必要	サインインセッション、CSRF保護、Cookieの選択、Cloudflareのセキュリティ	セッション中～1年間	はい
ログイン状態を保持する	ログイン状態の保持	30日間	任意
設定Cookie	テーマ（ダーク／ライト）、言語	1年間	いいえ
アクセス解析と広告効果測定	自社のアクセス解析、Google Analytics、Google Ads、Matomo（自社ホスティング）、Microsoft Clarity	最長2年間	お客様の同意がある場合のみ

8.2. お客様の同意がない場合

同意しない場合（またはまだ選択していない場合）、アクセス解析Cookieや広告Cookieは設定されず、ブラウザーフィンガープリントも取得されません。自社サーバーでは、アクセス数の集計とボットの検出のため、日ごとの匿名識別子を使って引き続きアクセスを記録します。また、自社サーバー上のMatomoはCookieを使わずに集計します。Google Analytics、Google Ads、Microsoft Clarityは読み込まれません。

8.3. 当社が行わないこと

• お客様の個人データを販売または貸与することはありません
• ブラウザーフィンガープリントを広告に使用したり、第三者と共有したりすることはありません。Cookieを削除した後に再訪したブラウザーを識別する目的に限り、お客様の同意がある場合のみ使用します

8.4. Cookieの管理

フッターの「Cookie設定」リンクから、いつでもCookieへの同意または拒否を選択できます。拒否すると、すでに設定されているアクセス解析Cookieは削除されます。ブラウザーの設定からCookieを管理することもできます。必須Cookie（セッション、CSRF）を無効にすると、ポータルをご利用いただけなくなります。

9. お客様の権利

9.1. GDPRに基づく権利（EU／EEA居住者）

欧州経済領域にお住まいの場合、GDPRに基づき次の権利を有します。

• アクセス権（第15条）：当社が保有するお客様のすべての個人データの写しを請求できます
• 訂正権（第16条）：不正確または不完全な個人データの訂正を請求できます
• 消去権（第17条）：当社の法的義務に従うことを条件として、お客様の個人データの削除（「忘れられる権利」）を請求できます
• 処理制限権（第18条）：お客様のデータの処理方法の制限を請求できます
• データポータビリティ権（第20条）：構造化され、機械で読み取り可能な形式で個人データを受け取り、別の管理者に移転できます
• 異議申立権（第21条）：ダイレクトマーケティングを含む、正当な利益に基づく処理に異議を申し立てることができます
• 同意撤回権（第7条第3項）：処理が同意に基づく場合、いつでも同意を撤回できます
• 苦情申立権：お住まいの地域の監督機関に苦情を申し立てることができます

9.2. CCPAに基づく権利（カリフォルニア州居住者）

カリフォルニア州居住者には、カリフォルニア州消費者プライバシー法（CCPA）に基づき、次の権利があります。

• 知る権利：当社が収集、使用、開示する個人情報について知ることができます
• 削除権：個人情報の削除を請求できます
• オプトアウト権：個人情報の販売を拒否できます（注：当社は個人情報を販売していません）
• 差別を受けない権利：権利を行使したことを理由に、お客様を差別することはありません

9.3. その他の法域における権利

お住まいの地域によっては、トルコ個人データ保護法（KVKK）、ブラジルのLGPD、南アフリカのPOPIAなど、現地のデータ保護法に基づく追加の権利を有する場合があります。適用される法律により、データへのアクセス、訂正、消去、処理への異議申立て、およびデータ処理に関する情報の請求などの権利が認められることがあります。これらの権利を行使するには、当社のデータ保護責任者にご連絡ください。

9.4. 権利の行使

上記のいずれかの権利を行使する場合は、ご請求内容を[email protected]までお送りください。対応に先立ちご本人確認を行い、30日以内（または適用法令で定められた期間内）に回答いたします。複雑なご請求や件数の多いご請求については、事前にお知らせしたうえで、対応に最大60日かかる場合があります。

10. 国際的なデータ移転

10.1. 当社の主要サーバーは米国および欧州連合に設置されています。お客様の個人データは、お客様の居住国以外の国（EU/EEA域内および米国を含む）に移転され、処理される場合があります。

10.2. 個人データをEU/EEA域外に移転する場合、当社は以下を含む適切な保護措置を講じます。

• サブプロセッサーとのEU標準契約条項（SCC）
• 該当する場合、欧州委員会による十分性認定
• すべての第三者データ処理業者とのデータ処理契約

10.3. 該当する保護措置の写しをご希望の場合は、[email protected]までお問い合わせください。

11. お子様のプライバシー

11.1. 当社のサービスは、18歳未満の方（または該当する法域における成年年齢未満の方）を対象としていません。当社は、子どもの個人データを認識したうえで収集、取得、または処理することはありません。

11.2. 保護者の同意を確認できないまま子どもの個人データを収集したことが判明した場合、当社は直ちに当該データを削除するための措置を講じます。子どものデータを当社が収集した可能性があると思われる場合は、[email protected]まで直ちにご連絡ください。

12. 第三者のリンクおよびサービス

12.1. 当社のサービスには、第三者のウェブサイト、サービス、またはリソースへのリンクが含まれる場合があります。Panelicaは、第三者のプライバシー慣行について責任を負いません。当社のプラットフォームを通じて利用する第三者サービスのプライバシーポリシーをご確認いただくことをお勧めします。

12.2. 当社は決済プロバイダー（Stripe）と連携しているため、決済処理のために各プロバイダーのプラットフォームに移動する場合があります。これらのやり取りには、各プロバイダーのプライバシーポリシーが適用されます。

13. データ侵害の通知

13.1. 個人データの漏えいにより、お客様の権利および自由にリスクが生じる可能性がある場合、Panelicaは以下の対応を行います。

• 漏えいを認識してから72時間以内に、該当する監督機関に通知します（GDPR第33条に基づく義務）。
• 漏えいにより本人の権利および自由に高いリスクが生じる可能性がある場合、影響を受ける方に遅滞なく通知します（GDPR第34条）。
• 漏えい、その影響、および実施した是正措置を記録します。
• 漏えいの封じ込めと是正に向け、直ちに措置を講じます。

13.2. 通知には、漏えいの性質、影響を受ける方の区分および概算人数、想定される影響、漏えいへの対処として講じた措置、およびお問い合わせ先を記載します。

14. 本プライバシーポリシーの変更

14.1. 当社は、業務慣行、技術、法的要件、その他の要因の変更を反映するため、本プライバシーポリシーを随時更新する場合があります。重要な変更を行う場合：

• このページ上部の「最終更新日」を更新します。
• 重要な変更の発効日の少なくとも30日前に、登録ユーザーへメールで通知します。
• ポータルに目立つ形でお知らせを掲載します。

14.2. 改定後のプライバシーポリシーの発効日以降もサービスの利用を継続した場合、変更に同意したものとみなされます。更新後のポリシーに同意いただけない場合は、サービスの利用を中止してください。

15. お問い合わせ・データ保護責任者

本プライバシーポリシーまたは当社のデータ取り扱いに関するご質問、ご請求、ご懸念は、以下までお問い合わせください。