プライバシーポリシー

1. 事業者

購入代行サービス「Soracross」（以下「本サービス」）は、Soracross のウェブサイト（以下「本ウェブサイト」）に掲載する「特定商取引法に基づく表記」に示す事業者（屋号: Soracross。以下「当社」）が運営します。個人情報に関する連絡先: privacy@soracross.com（一般のお問い合わせ: hello@soracross.com、または本ウェブサイトのお問い合わせフォーム）。

2. 取得する情報

• お客様が入力する情報: 氏名、メールアドレス、宿泊先のホテルの名称と住所、希望する受け取り日、ご依頼の商品の内容（URL・数量など）、受け取り方法のご希望、特記事項、お問い合わせの内容。
• パスポート番号の末尾4文字 — 任意で、ホテルへのお届けのためにお客様がご自身で入力することを選んだ場合に限ります。当社がパスポート番号の全体をお尋ねすることはありません。
• 注文の完了後にお客様が任意で残すレビュー: 星の数、コメント、およびそのレビューを公開してよいかどうかのお客様の選択。
• 取引の過程で生じる情報: 見積もりと注文の内容および状態、承認の日時と同意した規約の版、証拠として保存する購入の証（レシートまたは注文確認）と商品の写真、メールの送信記録。
• 自動的に取得する情報: IP アドレスなどの通信記録（不正や攻撃の防止のために集計した形）、および流入元の情報。流入元の情報は、広告などの流入経路を示す印（UTM パラメータ）、参照元のドメイン、最初に開いたページで、お客様のブラウザに保持され、見積もりの依頼を送信するときにその依頼に添えられます。お問い合わせフォームから送る内容にも、同じ種類の流入元の情報が添えられます。さらに、本ウェブサイトのどのリンクからフォームへ移ったか、およびご覧になっていたページのおおまかな種類（たとえばフッターのリンク、料金ページ）を記録します。個人の注文ページのリンクに含まれる秘密のコードは記録しません。当社は、他のウェブサイトにまたがって個人を追跡しません。
• WhatsApp で当社に連絡することを選んだ場合: お客様の WhatsApp の電話番号と、当社に送ったメッセージの内容。
• 見積もりフォームで WhatsApp の番号を任意で提供した場合: その番号。ご依頼についての連絡にのみ使います。
• 日本国内の住所へのお届けを伴う注文（利用規約 第5条の3）: お客様が指定する届け先（日本国内の郵便番号・住所・電話番号）と受取人の氏名（お客様ご本人に限ります）。
• AI アシスタントを通じた注文（利用規約 第5条の2）: 次の記録を取得します。(1) 注文の経路: 注文が当社の AI 注文フォームから送られたこと、および AI アシスタントが名乗った名前（ある場合）。(2) 同意の記録: そのフォームで行われたカードの仮押さえへの同意の記録（時刻と表示した文言）。(3) カードに関する情報: 仮押さえした金額、カードのブランド、カード番号の下4桁、Square, Inc. が発行するカードの識別子、および Square による支払いのリスク評価。カードの識別子は、当社がカード番号を知らなくても、同じカードかどうかを見分けられるものです。(4) 注文の期限と注文の記録: 注文の期限、お客様が注文した記録（時刻、同意した規約の版、ブラウザの種類）、および仮押さえを解除した場合はその時刻と理由。当社は、カード番号の全体、有効期限、セキュリティコードを受け取らず、保存しません。これらの記録は、注文の処理、不正の防止、同じカードの繰り返しの利用の防止、支払いの異議への対応に使います。
• 取得しない情報: カード番号の全体、カードの有効期限、セキュリティコード。カード情報は、Square, Inc. が運営するページまたはカード欄で入力します。AI アシスタントを通じた注文では、上のとおり、カードのブランド、下4桁、および Square が発行するカードの識別子のみを保存します。

3. 利用目的

1. 見積もりの作成と送付、購入代行サービスの履行、商品の受け渡し、返金とキャンセルの対応。
2. お届けの荷物が正しい宿泊者に渡されたことをホテルのスタッフが確認できるようにするため（パスポート番号の末尾4文字。お客様が提供した場合に限ります）。
3. 取引に関する連絡（メール、および WhatsApp の番号を提供した場合は WhatsApp のメッセージ。依頼の受付、見積もり、お支払いの案内、購入、お届け、完了などの各段階）。
4. 本人確認、不正・ボット・攻撃の防止、支払いの異議（チャージバック）への対応。
5. お問い合わせへの対応。
6. 法令の遵守、および法的な権利の行使または防御。
7. 本ウェブサイトでのお客様のレビューの掲載 — お客様が公開に明示的に同意した場合に限り、匿名化した形（氏名は表示せず、星の数・コメント・月のみ）で、当社が内容を確認して掲載を承認した後にのみ掲載します。
8. サービス改善のための統計分析（個人を識別しない形）。

4. 第三者への提供

当社は、次の場合を除き、個人データを第三者に提供しません。

• 本サービスの履行に必要な提供: お届けのため、宿泊先のホテルと宅配ロッカーの事業者などに、お客様の氏名を伝えます。
• お届けの荷物の受け渡しのため、当社は、ホテルのフロントに、お客様の氏名、チェックイン日、およびお客様が提供した場合はパスポート番号の末尾4文字を伝えることがあります。
• 日本国内の住所へのお届けを伴う注文（利用規約 第5条の3）では、お客様の依頼により、お客様に代わって、注文の商品の届け先として、お客様の氏名・届け先の住所・電話番号を販売店に渡します。販売店が使う運送会社には、販売店を通じて渡されます。
• 販売店自身の注文の記録に残る届け先は、販売店のプライバシーポリシーに従って販売店が保有するもので、当社では削除できません。
• 法令に基づく場合、または人の生命・身体・財産の保護のために必要な場合。

5. 委託と外国にある事業者の利用

当社は、業務の一部（個人データの保管と処理を含みます）を次の事業者に委託しています。これらの事業者のサーバーは主にアメリカ合衆国にあります。当社は、関係する国の個人情報保護の制度と各事業者が講じる措置を把握し、契約などにより適切に監督します。

• Vercel Inc.（ホスティング／米国）
• Supabase, Inc.（データベースとストレージ／米国）
• Resend（メール配信／米国）
• Block, Inc.（Square）（決済／米国・日本）
• Cloudflare, Inc.（DNS、セキュリティ、クッキーを使わないアクセス解析、および当社のメールアドレス宛てのメールの受信と当社のメールボックスへの転送／米国）
• Google LLC（Gmail: 当社のメールボックス。お客様から届いたメール、お客様への返信の控え、およびお客様のお問い合わせ・依頼・注文について当社のシステムが当社に送る通知を受け取り、保管します／米国）
• Meta Platforms Ireland Limited / Meta Platforms, Inc.（WhatsApp Business — 任意のチャットでの連絡手段。番号を提供した場合は、ご依頼について当社が送るメッセージを含みます／アイルランド・米国）

6. 保存期間

• 業務上の連絡先情報は、取引の終了（完了・キャンセル・期限切れ）から90日後に、当社のデータベース上で伏せます（匿名化します）。業務上の連絡先情報とは、メールアドレス、ホテルの名称と住所、受け取り先の住所、追跡番号、受け取りコードと受け取り場所、チェックイン・チェックアウトの日付、特記事項です。
• パスポート番号の末尾4文字は、注文の完了またはキャンセルの時、またはチェックアウト日から7日後のいずれか早い時に削除します。
• お問い合わせフォームから送られたお問い合わせ（氏名、メールアドレス、内容）は、受付から90日後に当社のデータベース上で伏せます（匿名化します）。
• 当社のメールボックス（Gmail）にあるメールは、お客様への対応と記録の保存義務（税法が求める保存期間を含みます）のために必要な間だけ保管します。対象は、お客様が当社に送ったメール、当社からお客様への返信の控え、およびお客様のお問い合わせ・依頼・注文について当社のシステムが当社に送る通知です。その目的に必要でなくなった時点で削除します。
• 取引の会計記録（取引の相手方の氏名、金額、日付、購入の証）は、税法（帳簿・記録の保存の規則）が求める保存期間中保存し、その後削除します。
• WhatsApp のチャットの連絡先とメッセージは、関連する取引の終了から90日後（取引に至らなかった場合は受信から90日後）に、当社の WhatsApp Business のアカウントから削除します。
• 見積もりフォームで提供された WhatsApp の番号は、上の他の業務上の連絡先情報とともに、取引の終了から90日後に伏せます（匿名化します）。
• AI アシスタントを通じた注文の記録: 注文の連絡先の情報は、上のとおり取引の終了から90日後に伏せます。注文に至らなかった場合、承認前にお客様がキャンセルした場合、または承認前に当社がお断りした場合は、仮押さえを解除した時を取引の終了とします。カードの識別子、カードのブランドと下4桁、Square のリスク評価、およびブラウザの種類は、取引の終了から180日後に削除します。これは、カード支払いについて通常異議を申し立てられる期間より長い期間です。お客様が注文し、当社が請求した注文については、注文の時刻、規約の版、および金額を、税法が求める保存期間中、取引記録として保存します。
• 日本国内の住所へのお届けを伴う注文の届け先（郵便番号・住所・電話番号）は、上と同じく、取引の終了から90日後にデータベース上で伏せます（匿名化します）。受取人の氏名は注文されたお客様ご本人の氏名で、取引の会計記録（上の項）として税法が求める保存期間中保存します。注文に至らなかった場合、承認前にお客様がキャンセルした場合、または承認前に当社がお断りした場合は、仮押さえを解除した時を取引の終了とします。販売店の注文の記録に残る届け先は、当社では削除しません。
• 他の法令が特定の記録をより長く保存することを求める場合、その記録は法令が定める期間保存します。

7. 安全管理措置

当社は、次のものを含む措置を講じます。通信の暗号化（TLS/HSTS）。アクセス制御（管理画面の二要素認証と権限の分離）。秘密情報の暗号化保管。ボットと攻撃への対策（人間であることの確認、アクセス回数の制限、監視と通知）。定期的なログの点検。

8. クッキー、ローカルストレージ、アクセス解析

当社は、広告用のクッキーや、利用状況を計測する小さな画像（トラッキングピクセル）を使わず、他のウェブサイトにまたがってお客様を追跡しません。当社が使うのは、サイトの運営または保護に必要な次のものだけです。

• 必須のクッキー: 「ご注文一覧」ページのサインインのセッションクッキー（メールによる確認でサインインした場合にのみ設定します）、当社の管理者用のセッションクッキー、および言語の選択を記憶するクッキー。
• 入力内容の一時保存: 見積もりフォームの入力中、入力内容が失われないように、ブラウザ内の保存領域（ローカルストレージ）に一時的に保存します。保存する期間は、最後にフォームを開くか入力してから最長48時間です。期限を過ぎた内容は、次にフォームを開いたときに消します。送信した内容は、送信できた時点で消します。保存した内容はお客様の端末にとどまり、フォームを送信したときにのみ当社に送られます。
• ボット対策: 当社の公開フォームでは、人間とボットを見分けるために Cloudflare Turnstile が動作します。これは Cloudflare, Inc. が提供するもので、その目的のためにのみ当社のページでクッキーや類似の技術を使うことがあります。
• アクセス解析: クッキーを使わず、個人を追跡しない Cloudflare Web Analytics。
• アクセス解析: クッキーを使わず、個人を追跡しない Vercel Web Analytics。訪問者がページ間をどのように移動するか、および当社の広告の効果を測るために使います。
• 決済ページ: 決済は Square, Inc. が運営するページで行われ、そのページのクッキーには Square 自身のプライバシーポリシーが適用されます。

当社は、サイトの運営と保護に厳密に必要なクッキー以外を使わないため、現在はクッキーの同意バナーを表示していません。同意を要する技術（広告や計測のピクセルなど）を導入する場合は、事前に本ポリシーを改定し、同意の仕組みを設けます。

9. 開示・訂正・利用停止

お客様は、当社が保有するお客様の個人データについて、開示、訂正、追加、削除、または利用の停止を求めることができます。上の「1. 事業者」の連絡先までお申し出ください。本人確認の後、適用される法令に従い、遅滞なく対応します。

10. 改定

本ポリシーは、必要に応じて改定することがあります。重要な変更は本ウェブサイトでお知らせします。