プライバシーポリシー

最終更新日：2026年7月29日

お客様の個人データの保護は、当社にとって最優先事項です。当社は、適用される法規、特に EU 一般データ保護規則（以下「GDPR」）の範囲内でのみ、お客様の個人データを使用します。本プライバシーポリシーは、お客様が jpnthings のサービス、特にプラットフォーム jpnthings.com（ブランド領域 jpnthings、jpnthings Experiences、jpnthings Boosted および jpnthings Stays を含み、以下総称して「jpnthings プラットフォーム」）を利用する際に、jpnthings がお客様の個人データをどのように使用および処理するかを説明します。また、お客様の個人データに関する権利および当社への連絡方法についてもお知らせします。

米国にお住まいの方は、下記「米国居住者の権利」の項もあわせてご確認ください。

本プライバシーポリシーは英語で作成されており、英語に基づいて解釈されます。翻訳は参考用です。英語版と翻訳版との間に齟齬がある場合、強行法規が別段の定めをする場合を除き、英語版が優先します。

I. 用語

本プライバシーポリシーでは、以下の用語を使用します。

• **「アクティビティ」**とは、サプライヤーが jpnthings プラットフォームを通じて提供するツアー、体験、ドライビングイベント、送迎、車両レンタルおよび宿泊をいいます。
• **「サプライヤー」**とは、jpnthings プラットフォーム上で提供されるアクティビティの、日本国内の独立した現地提供者をいいます。
• **「GDPR」**とは、一般データ保護規則（EU）2016/679 をいいます。
• **「jpnthings プラットフォーム」**とは、jpnthings.com からアクセス可能な予約プラットフォーム（各言語版およびブランド領域を含みます）をいいます。
• **「個人データ」**とは、識別されたまたは識別可能な自然人に関するあらゆる情報をいいます。

II. 管理者および連絡先

お客様が jpnthings プラットフォームを利用またはアクセスする際のお客様の個人データの処理について責任を負う管理者は、以下のとおりです。

Ilias Ammour Altes Gericht 22 35398 Giessen, Germany（ドイツ） メール：hello@jpnthings.com

予約されたアクティビティに関連してサプライヤーが行うデータ処理のうち、当社が伝達する予約データを超えるもの（例：現地で収集されるデータ、レンタル書類、免責同意書）は、当社の管理外にあり、サプライヤー自身のプライバシー慣行に従います。この点において、サプライヤーは別個の独立したデータ管理者として行動します。

III. データ処理活動

1. 自動的なデータ収集

お客様が jpnthings プラットフォームを訪問すると、当社は以下の情報を自動的に収集します。これらは、お客様が当社に送信するその他のデータとは別に保存されます。

• アクセスしたページの URL およびリファラー URL
• アクセスの日時
• お使いのデバイスに関する情報（例：オペレーティングシステム、ブラウザの種類とバージョン、言語設定）
• IP アドレス

当社は、ウェブサイトを提供し、jpnthings プラットフォームの適正な運用およびセキュリティを確保し、不正行為を防止するために、当社の正当な利益（GDPR 第6条第1項(f)）に基づいてこれらのデータを収集します。サーバーログは、セキュリティインシデントによりより長期の保存が必要となる場合を除き、原則として最長30日で削除されます。

2. jpnthings アカウント

jpnthings プラットフォームの利用に登録は必要なく、ゲストとして予約することもできます（第 III.5 節参照）。jpnthings アカウントを作成した場合、当社は以下を処理します。

• 氏名
• メールアドレス
• パスワード（ハッシュ化された形式でのみ保存）
• 電話番号（任意）、希望言語、マーケティング設定（オプトイン）
• チェックアウトを迅速化するために任意で保存する予約用事前入力情報（例：WhatsApp 番号、Instagram のハンドル名、日本での宿泊先住所）

登録、ログインおよびアカウント管理は、当社自身のインフラ上の当社自身のプラットフォームソフトウェアが行います。第三者のログインプロバイダー（Google、Facebook、Apple 等）は使用しません。当社は、利用規約に定めるとおり、お客様の jpnthings アカウントの開設および管理のために、GDPR 第6条第1項(b) に基づいてこれらのデータを処理します。

3. アクティビティのレビュー

予約完了後、お客様は予約したアクティビティのレビューを投稿できます。レビューは元の予約に紐付けられ（真正性の確認）、公開前にモデレーションされ、お客様が指定した表示名とともに表示されます。お客様のレビューは、jpnthings プラットフォーム上のレビュー対象アクティビティの文脈および当社自身の宣伝資料に表示されることがあります。当社は、公開されたレビューの中立的な要約を生成するために、自動化ツール（第 III.11 節参照）を使用することがあります。この処理は、当社のサービスを向上させ、他のお客様の十分な情報に基づく意思決定を支援するという当社の正当な利益（GDPR 第6条第1項(f)）、および予約関係の一部としてのレビュー投稿については GDPR 第6条第1項(b) に基づきます。公開されたレビューの削除は、hello@jpnthings.com までいつでもご請求いただけます。

4. カスタマーサービス

お客様が当社に連絡した場合（例：メールまたはお問い合わせフォーム経由）、当社は、お問い合わせに含まれるデータ（氏名、メールアドレス、予約番号、問い合わせ先のブランド領域、コミュニケーションの中で共有されたその他の情報等）を、お問い合わせ対応のために処理します（GDPR 第6条第1項(b)）。コミュニケーションのその後の保存は、事業運営の適正な記録および当社の法的地位の保全という当社の正当な利益（GDPR 第6条第1項(f)）、および該当する場合は法的義務（GDPR 第6条第1項(c)）に基づきます。

予約に関する連絡のためにメッセンジャーの連絡先（例：WhatsApp 番号）をご提供いただいた場合、当社は当該メッセンジャーを通じて予約に関してご連絡することがあります。WhatsApp は Meta Platforms が運営しています。メッセンジャー経由の送信には、当該メッセンジャー提供者のプライバシーポリシーが適用されます。メッセンジャーの利用は任意であり、連絡手段としてメールは常に利用可能です。

5. アクティビティの予約

jpnthings プラットフォームでアクティビティを予約する場合（jpnthings アカウントによるかゲストによるかを問わず）、当社は予約の処理ならびにアクティビティの手配および実施に必要なデータを収集します。これには通常、氏名、メールアドレス、電話番号、参加人数、予約されたアクティビティ、日付および時間枠、選択された追加オプション、特別なリクエスト、予約上の注意事項への同意（タイムスタンプ付き）、ならびに予約・支払ステータスが含まれます。具体的なアクティビティに応じて、追加情報が必要となる場合があります（例：自ら運転するアクティビティにおける運転免許証および国際運転免許証の確認、参加者の年齢）。

当社は、サプライヤーの商事代理人としてお客様の予約を締結および管理するという当社のサービスの提供のために、GDPR 第6条第1項(b) に基づきこれらのデータを使用します。

サプライヤーへの提供： アクティビティの実施に必要な範囲で、当社は予約データ（例：氏名、グループの人数、日付、時間枠、追加オプション、特別なリクエスト、連絡先）を、日本で当該アクティビティを担当するサプライヤーに提供します。サプライヤーは、独立したデータ管理者としてこれらのデータを処理します。日本は欧州委員会の十分性認定（GDPR 第45条）の対象国であり、この提供はさらに契約の履行に必要なものです（GDPR 第6条第1項(b)、第49条第1項(b)）。

ゲスト予約： アカウントなしで予約した場合、安全な予約リンクを通じて予約の閲覧、管理およびキャンセルができるよう、技術的なセッション識別子が使用されます。ゲスト予約は、予約に使用したメールアドレスを用いて、後から jpnthings アカウントに紐付けることができます。

予約に関する連絡： 最新情報をお届けするため、当社は、予約確認、支払確認、リマインダーおよび更新情報（例：時間や集合場所の変更）を、ご提供いただいたメールアドレスに、また提供されており適切な場合には電話／メッセンジャー経由で送信します。この処理は、当社のサービス提供に必要なものです（GDPR 第6条第1項(b)）。

6. 支払い（Stripe）

当社は、予約されたアクティビティについて、さまざまな支払モード（例：全額オンライン決済、デポジット＋残額の現地払いまたはオンライン決済、与信枠確保＋後日売上処理、現地払い、リクエスト予約）を提供しています。選択されたモードに応じて、当社は以下のとおり取引を実行するためにお客様の個人データを処理します。この処理は、契約上の義務の履行に必要なものです（GDPR 第6条第1項(b)）。

オンライン決済は Stripe（EEA のお客様については通常 Stripe Payments Europe, Ltd.（アイルランド）、および Stripe, Inc.（米国））が処理します。決済は Stripe のホスト型チェックアウトページ上で行われ、お客様の支払手段データ（例：カード番号）は Stripe に直接送信され、当社のサーバーには一切保存されません。当社は、支払いが成功したかどうかの確認と、限定的な決済参照情報（例：支払ステータス、金額、通貨、カードブランドおよび下4桁）のみを受け取ります。

支払モードが後日の請求のための支払方法の保存を予定している場合（例：アクティビティ後の残額、またはノーショー対策のためのカード情報の保存）、かかる保存は、チェックアウト時のお客様の明示的な確認がある場合にのみ行われます（GDPR 第6条第1項(a) および (b)）。事前承認（オーソリゼーション）は、予約された支払モードに従ってのみ売上処理されます。

Stripe は、不正防止および規制上の目的のために、独立した管理者として特定のデータを処理することがあります。詳細：https://stripe.com/privacy

7. 不正防止

当社のサービスを保護し、当社、サプライヤーおよびお客様を詐欺から守るため、決済取引は Stripe の不正防止システム（例：Stripe Radar）によって分析されます。これらのツールは、潜在的な詐欺やセキュリティ上の脅威を検出するために、取引データおよび利用パターンを分析します。当社は、詐欺を防止し jpnthings プラットフォームの安全を確保するという当社の正当な利益（GDPR 第6条第1項(f)）に基づき、これらのデータを処理します。第 VI 節（自動化された意思決定）もご参照ください。

8. ニュースレター

ニュースレターに登録された場合、当社は、ニュースレターの送信を目的として、お客様の同意（GDPR 第6条第1項(a)）に基づき、メールアドレス、希望言語、登録対象のブランド領域および登録経路を処理します。当社は、お客様の同意を記録するために、登録の日時を保存することがあります（GDPR 第6条第1項(c)、第7条第1項）。

各ニュースレター内の配信停止リンクまたは hello@jpnthings.com へのメールにより、いつでも同意を撤回し配信を停止できます。撤回は、撤回前に行われた処理の適法性に影響しません。ニュースレターは、当社のメールプロバイダーである Resend（第 III.10 節参照）を通じて配信されます。

9. ホスティングおよび技術サービスプロバイダー

• ホスティング（Vercel）： jpnthings プラットフォームは、米国の Vercel Inc. によってホスティングされています。お客様が jpnthings プラットフォームを利用する際、ウェブサイトの提供ならびにセキュリティおよび安定性の確保のため、技術データ（IP アドレスを含みます）が Vercel のサーバー上で処理されます（GDPR 第6条第1項(f)）。メディアファイル（例：アクティビティの画像）は、Vercel Blob ストレージに保存され配信されます。
• データベース（Neon）： 当社のアプリケーションデータベースは、Neon Inc.（サーバーレス PostgreSQL）で運用されています。本ポリシーに記載されたアカウント、予約、コンテンツおよびコミュニケーションのデータが保存されます。アクセスは制限され、通信は暗号化されています（GDPR 第6条第1項(b) および (f)）。
• レートリミット（Upstash）： 有効化されている場合、当社はインターフェースを濫用から保護するために Upstash, Inc.（Redis）を使用します。この目的のために、短期間のみ保持される技術的なリクエストデータ（例：IP ベースのカウンター）が処理されます（GDPR 第6条第1項(f)）。
• エラー診断（Sentry）： 有効化されている場合、技術的な障害の診断および修正のために、エラーおよびクラッシュレポート（スタックトレース、ブラウザ／OS のメタデータ、切り詰められた IP アドレス）が米国の Functional Software, Inc.（Sentry） を通じて処理されます（GDPR 第6条第1項(f)）。

10. トランザクションメール（Resend）

システムメール（例：メールアドレス確認、パスワードリセット、予約確認、支払確認、キャンセル確認、お問い合わせフォームの通知）およびニュースレターは、米国の Resend, Inc. を通じて送信されます。Resend は、処理者として当社のために受信者アドレスおよびメッセージのメタデータを処理します（GDPR 第28条）。法的根拠：GDPR 第6条第1項(b)（システムメール）および GDPR 第6条第1項(a)（ニュースレター）。

11. AI 支援機能（OpenAI）

有効化されている場合、当社は、(a) 公開されたカスタマーレビューの中立的な要約の生成、および (b) 当社自身の編集コンテンツの翻訳支援のために、米国の OpenAI, L.L.C. のサービスを使用します。これらの目的のために、アカウント、決済または予約の完全な記録を OpenAI に送信することはありません。法的根拠：GDPR 第6条第1項(f)（当社コンテンツの効率的かつ多言語での提供）。

12. 地図（OpenStreetMap）

集合場所や所在地の表示のために、当社は OpenStreetMap（OpenStreetMap Foundation、英国）の地図タイルを埋め込んでいます。地図が読み込まれると、お客様の IP アドレスおよび技術的なリクエストデータが OpenStreetMap Foundation のタイルサーバーに送信されます（GDPR 第6条第1項(f) — 場所のユーザーフレンドリーな表示）。詳細：https://osmfoundation.org/wiki/Privacy_Policy。英国は欧州委員会の十分性認定の対象国です。

jpnthings プラットフォームで使用されるウェブフォントはセルフホスティングされており、フォントの読み込み時に Google のサーバーへの接続は確立されません。

IV. クッキーおよびトラッキング技術

当社は、クッキーおよび類似の保存技術を最小限の範囲でのみ使用します。

厳密に必要な技術（同意不要。法的根拠：ドイツ TDDDG 第25条第2項および GDPR 第6条第1項(b)/(f)）：

• 認証クッキー — ログインセッションを維持するため。
• ロケール／言語設定 — 選択された言語（EN/DE/JP）を保存するため。
• ゲスト予約セッション識別子 — ゲストがアカウントなしで予約の閲覧、管理およびキャンセルを行えるようにするため。
• 同意クッキー（jpn_analytics_consent） — 任意のアナリティクスに関するお客様の決定を保存します（保存期間：12か月）。

任意のアナリティクス／統計は、デフォルトで無効（「同意デフォルト：拒否」）であり、同意バナーを通じて明示的に同意した場合にのみ有効化されます（GDPR 第6条第1項(a)、TDDDG 第25条第1項）。同意は、jpnthings プラットフォーム上のクッキー設定から、将来に向かっていつでも撤回できます。

当社は、マーケティング、広告またはリマーケティングのクッキー、ソーシャルネットワークのトラッキングピクセル、クロスコンテクスト行動広告を使用しません。

V. データのその他の共有

本ポリシーに記載された場合を除き、お客様の個人データは、お客様の明示的な事前の同意なしには、以下の場合にのみ開示されます。

• 法執行および法的請求： 当社サービスの違法な利用の調査または法的な訴追に必要な場合、個人データが法執行機関に、また該当する場合は被害を受けた第三者に開示されることがあります。これは、違法または濫用的な行為の具体的な兆候がある場合にのみ行われます。開示は、当社の利用規約その他の合意を執行するため、または当局への情報提供が法的に義務付けられている場合にも行われることがあります（GDPR 第6条第1項(f) および (c)）。
• 専門アドバイザー： 当社は、当社サービスの提供（GDPR 第6条第1項(b)）、事業の適正な運営（GDPR 第6条第1項(f)）、または法的義務の履行（GDPR 第6条第1項(c)）に必要な範囲で、監査人、会計サービスプロバイダー、弁護士、銀行、税理士および類似の機関に個人データを開示します。
• 処理者： 当社は、サービス提供のために契約上拘束されたサービスプロバイダー（「処理者」）を利用します（第 III 節参照）。処理者は慎重に選定され、当社が指定した目的にのみデータを使用でき、本プライバシーポリシーおよび適用されるデータ保護法に従ってのみお客様のデータを処理する契約上の義務を負います（GDPR 第28条）。
• 事業再編： 当社の事業構造が変更される場合（例：法的形態の変更、事業の全部または一部の売却）、顧客情報は、本プライバシーポリシーおよび適用されるデータ保護法に従って、関係する事業部分とともに移転されることがあります（GDPR 第6条第1項(f)）。

VI. 自動化された個別の意思決定

当社は、お客様に法的効果を生じさせ、またはこれと同様に重大な影響を及ぼす、プロファイリングを含む自動化された意思決定（GDPR 第22条）を行いません。ただし、以下の例外があります：決済プロセスを保護するため、当社の決済プロバイダーの不正防止システム（第 III.7 節参照）により高リスクと評価された取引は、自動的に拒否されることがあります。お客様の取引が拒否された場合、お客様は hello@jpnthings.com に連絡することにより、人間の関与を求め、自己の見解を表明し、決定に異議を申し立てる権利を有します。

VII. 第三国へのデータ移転

当社のサービスプロバイダーの一部（特に Vercel、Stripe、Resend、Upstash、Sentry、OpenAI）は、米国に拠点を置き、または米国でデータを処理することがあります。移転は、認証を受けた企業に対する EU-US データプライバシーフレームワークに関する欧州委員会の十分性認定、および／または EU 標準契約条項（GDPR 第46条第2項(c)）に基づき、必要な場合には追加的な保護措置によって補完されます。

jpnthings プラットフォームを通じて予約されたアクティビティは日本で実施されるため、実施に必要なデータは日本の担当サプライヤーと共有されます（第 III.5 節参照）。日本は欧州委員会の十分性認定（GDPR 第45条）の対象国です。

VIII. 保存期間および消去

当社は、法定の保存義務によりより長期の保存が必要な場合を除き、収集目的にとって必要でなくなり次第、お客様の個人データを削除または匿名化します。

• アカウントデータ： アカウントを削除するまで。
• ニュースレターデータ： 配信停止まで。
• 予約、支払および請求書データ： 最長10年（ドイツの商法・税法上の法定保存期間、租税通則法（AO）第147条、商法典（HGB）第257条）。
• お問い合わせ： 案件が最終的に解決されるまで、その後最長3年（消滅時効期間）。
• レビュー： 削除が請求されるまで、またはアカウント／予約の関連付けが解消されるまで。
• サーバーログ： 原則として最長30日。

jpnthings アカウントを削除すると、お客様のプロフィールは削除されます。当社は、法的理由により、または法的請求の保全、主張もしくは行使のために必要な範囲および期間に限り、バックアップコピーおよび個別のデータ記録を保持します（GDPR 第6条第1項(f)）。法的理由によりデータを保持しなければならない場合、その処理は制限され（GDPR 第18条）、データはその他の用途には利用できなくなります。

IX. セキュリティ

jpnthings プラットフォーム上のすべてのデータ送信は、SSL/TLS により暗号化されています（「https://」およびブラウザの鍵マークで確認できます）。パスワードはハッシュ化された形式でのみ保存されます。本番データへのアクセスは制限されています。

X. データ主体としてのお客様の権利

お客様は、個人データの処理に関して以下の権利を有します。行使される場合は、hello@jpnthings.com または上記住所への郵送でご連絡ください。

• アクセス権（GDPR 第15条）： 当社が処理するお客様の個人データに関する情報を受け取る権利。
• 訂正権（GDPR 第16条）： 不正確な個人データを遅滞なく訂正させる権利。
• 消去権（GDPR 第17条）： GDPR 第17条の条件の下で個人データを削除させる権利。特に、データが不要となった場合、処理が違法であった場合、または有効に異議を申し立てた場合。
• 処理の制限を求める権利（GDPR 第18条）。
• データポータビリティの権利（GDPR 第20条）： お客様が提供したデータを、構造化され、一般的に使用され、機械可読な形式で受け取る権利。
• 異議申立権（GDPR 第21条）： 処理が GDPR 第6条第1項(f) に基づく場合、お客様は自己の特別な状況に関する理由により、いつでも異議を申し立てることができます。その場合、当社は、お客様の利益、権利および自由に優越するやむを得ない正当な根拠を証明できる場合、または処理が法的請求の主張、行使もしくは防御に資する場合を除き、処理を停止します。ダイレクトマーケティングの場合は、理由を示すことなく、いつでも異議を申し立てることができます。
• 同意撤回権（GDPR 第7条第3項）： 将来に向かっていつでも撤回できます。
• 監督機関への申立権（GDPR 第77条）： お客様が選択する監督機関に申立てを行うことができます。当社を管轄する機関は、ヘッセン州データ保護・情報公開監察官（Der Hessische Beauftragte für Datenschutz und Informationsfreiheit）、ヴィースバーデン、ドイツです。

権利行使の際のデータ処理： 当社は、GDPR 第15条から第22条に基づく権利の行使に際してお客様が提供する個人データを、これらの権利の実現およびその証拠の確保のために処理します（GDPR 第6条第1項(c)、第15条から第22条）。

当社には、データ保護責任者（DPO）を選任する法的義務はありません。すべてのお問い合わせは、上記の管理者が直接対応します。

XI. EU／EEA 域外のユーザーへの情報

• 英国およびスイス： 英国およびスイスのユーザーは、UK GDPR およびスイス連邦データ保護法（FADP）に基づく同等の権利を有します。すべてのご請求の窓口は hello@jpnthings.com です。
• 日本： 当社は、日本のユーザーの個人情報を、個人情報の保護に関する法律（APPI）の原則に従って取り扱います。利用目的は本ポリシーに記載されたとおりです。開示、訂正または利用停止のご請求は、hello@jpnthings.com までお送りください。

XII. 米国居住者の権利

包括的なプライバシー法を有する米国の州（例：カリフォルニア、コロラド、コネチカット、バージニア）にお住まいの場合、以下が適用されます。

• 販売・共有なし： 当社は、CCPA/CPRA または同等の州法にいう個人情報の「販売（sell）」を行わず、クロスコンテクスト行動広告のための個人情報の「共有（share）」も行いません。ターゲティング広告は使用しません。当社は、16歳未満の未成年者の個人情報を故意に収集または共有しません。
• 収集するカテゴリー： 当社が収集する個人情報のカテゴリー、その情報源、目的および受領者のカテゴリーは、本ポリシーの第 III 節から第 V 節に記載されています（氏名およびメールアドレス等の識別子、予約および支払ステータス等の商業情報、サーバーログ等のインターネット活動、ならびに自ら運転するアクティビティについては運転資格の確認）。
• お客様の権利： 適用法に従い、お客様は、(i) 当社が収集したお客様の個人情報（情報源、目的および受領者のカテゴリーを含みます）を知り、これにアクセスする権利、(ii) 削除を請求する権利、(iii) 不正確な個人情報の訂正を請求する権利、(iv) 権利行使を理由に差別されない権利を有します。
• 権利の行使： ご請求は hello@jpnthings.com までお送りください。本人確認を行い適切に対応できるよう、十分な情報をご提供ください。お住まいの州の法律で認められている場合、授権された代理人を通じて、または未成年のお子様のために請求を行うことができます。当社は、代理人の権限およびお客様の本人性を確認するために合理的な措置を講じることがあります。

XIII. 本プライバシーポリシーの変更

当社は、法的、技術的または事業上の状況の変化を反映するために、本プライバシーポリシーを変更することがあります。最新版は常に jpnthings プラットフォーム上で入手できます。登録ユーザーに影響する重要な変更については、適切な方法でお知らせします。