プライバシーポリシー

1. 管理者

本ウェブサイトで収集される個人データの管理者は、一般データ保護規則（RGPD）第4条(7)の意味において、Laura Pouyadou EI（マイクロ起業家制度に基づく個人事業主、SIRET 931 874 952 00019）であり、 ウェブサイト geteverwear.com の運営者です。住所は 法的表示ページに記載されています。 データ保護に関するご質問は、 contact@geteverwear.com までご連絡ください。

2. 収集するデータ

当社は以下のデータを収集します：

• 識別情報：姓、名、メールアドレス、郵送先住所、電話番号（ご注文時またはアカウント作成時）。
• 取引情報：注文履歴、金額、支払い方法（銀行カード情報は当社のサーバーを経由せず、委託先のStripeが管理します）。
• 閲覧情報：閲覧したページとそのタイムスタンプ、閲覧時間およびページのスクロール割合、アクセス元のサイト、 アドレスに含まれるキャンペーンのマーカー（セクション9terを参照）、おおよその都市、 デバイスの種類、そして各ページでブラウザが自動的に通知する使用ブラウザと言語。この計測はCookieを一切設置せず、お使いの端末から何も読み取らず、IPアドレスを保持しません：IPアドレスはリクエストの処理中のみ、再逆算できない技術的な署名の算出に使われ、その後破棄されます。
• 端末から読み取られる情報（画面の解像度と画素密度、タイムゾーン、インストール済みの言語）およびIPアドレス全体： お客様が同意された場合のみ、かつセクション9bis（紙のフライヤー）とセクション9ter（訪問計測）に記載の2つのケースに限られます。拒否しても閲覧には一切影響しません。

3. 処理の目的

お客様のデータは以下の目的で利用されます：

• ご注文の処理と発送
• お客様アカウントの管理
• ニュースレターの配信（同意いただいた場合）
• ウェブサイトおよびサービスの改善
• 法的義務の遵守（請求、会計）
• 紙のフライヤーキャンペーンの効果測定（セクション9bisを参照）

4. 法的根拠

本ページに記載の各処理は、以下の4つの根拠のいずれかに基づきます：

• 契約の履行（RGPD第6条(1)(b)）：ご注文、発送、追跡、返品、およびそれに関連するカスタマーサービス。
• 法的義務（第6条(1)(c)）：請求書を10年間保存すること、および、トラッカーに関するお客様の選択の証拠を保存すること （RGPD第7条(1)により、当社はこれを証明できなければなりません）。
• お客様の同意（第6条(1)(a)、および端末から何かを読み取る場合は情報処理と自由に関する法律（フランス）第82条）： ニュースレター、必須ではないCookie、第三者による訪問計測、フライヤーのスキャン時の位置情報および端末の指紋（セクション9bis）、 そしてセクション9terに記載の訪問計測の拡張レイヤー。
• 当社の正当な利益（第6条(1)(f)）：ウェブサイトのセキュリティと不正防止、ならびに当社自身のショップへのアクセス計測――どのページが読まれているか、同じ人が戻ってくるか、どのリンクから到着したか（セクション9ter）。 この利益については、お客様の権利との比較衡量を書面で行っており、CNIL（フランスの個人データ保護機関）に提示できるよう保管しています。 contact@geteverwear.com へ簡単にご請求いただければ、お渡しします。同じアドレスで、いつでも異議を申し立てることができます。

5. 保存期間

6. 受領者と委託先

お客様のデータを、商業目的で誰にも販売、賃貸、または提供することはありません。 これは例外なく、いかなる対価があっても除外されます。当社は自社の分析にのみデータを使用します： 当サイトの閲覧状況の把握、検索順位、商品ページ、サイトの運営、および売上の改善です。 何かを受け取る第三者は、以下に記載された技術委託先のみで、それぞれ単独では実施できない特定の作業 （サイトのホスティング、支払いの処理、荷物の発送）のためです。

お客様のデータは、GetEverwear および以下に記載の技術委託先のみに厳格に限定されます。 第三者にデータを販売または賃貸することはありません。

7. 欧州連合域外への移転

当社の委託先はEU域内に拠点を置いています。EU域外への移転が生じる場合（一部の分析ツールなど）、 その移転が欧州委員会によって承認された標準契約条項により規律されるよう確保しています。

8. お客様の権利（RGPD）

RGPDに基づき、お客様には以下の権利があります：

• データへのアクセス権
• 訂正権
• 消去権（「忘れられる権利」）
• 処理の制限権
• データのポータビリティ権
• 異議申立権
• いつでも同意を撤回する権利

これらの権利を行使するには、身分証明書の写しを添えて contact@geteverwear.com までご連絡ください。 CNIL（www.cnil.fr）に苦情を申し立てることもできます。

9. Cookieおよび第三者のトラッカー

自社のセッションCookieに加え、独自のCookieを設置する可能性のある第三者のスクリプトを読み込みます：

• Stripe：支払いの安全性の確保と不正検出のため（Cookie __stripe_mid、__stripe_sid）。決済に不可欠です。
• Cloudflare Turnstile：会員登録およびログインフォームのボット対策（一時的な検証トークン、永続的なCookieなし）。 ウェブサイトのセキュリティに不可欠です。
• GetEverwear カスタマーサービスのチャット：chat_session_id Cookie（HMAC署名、30日間、厳格）。 ログインしていない場合に、2回の訪問の間で会話を再び見つけるためにのみ使用されます。第三者との共有は一切ありません―― メッセージングは当社自身のサーバー（Netcup、ドイツ）でホストされています。メッセージは90日間保持され、その後自動的にパージされます。 チャットの動作に不可欠なため、特定の同意なしに設置されます（情報処理と自由に関する法律（フランス）第82条―― 利用者が要求するサービスに厳密に必要な目的）。

お客様の明示的な同意の後、Google Analytics 4（Cookie _ga、_ga_*）を読み込み、閲覧データを Google Search Console と突き合わせ、自然検索順位を最適化します。設定：IPの匿名化、 広告シグナルなし（allow_google_signals: false）、広告のパーソナライズなし（allow_ad_personalization_signals: false）。カテゴリーは独立しています。匿名の訪問計測は受け入れ、 GA4は拒否することも、その逆も可能です。

受け取りポイントを選択する際、表示される地図は、その背景をOpenStreetMap財団のサーバーから読み込みます。このリクエストはIPアドレスを送信しますが、Cookieや識別子はなく、 注文のこの段階を開いた場合にのみ行われます。

明示的な同意の後にのみ、Google Ads タグを読み込みます。これは、Googleのコンバージョン用およびリマーケティング用のCookie （_gcl_au、_gcl_aw、_gcl_dc、NID）を設置し、 Google広告を通じて生じた売上を計測します。購入時には、金額、通貨、注文番号、そしてお客様のメールアドレスのハッシュ値（SHA-256、平文では決して送信しません）を送信します。Consent Mode v2が有効化されています。 「広告」カテゴリーに同意していない限り、これらのCookieは一切設置されず、広告データもGoogleに送信されません。

詳細はCookie管理ページでご覧いただけます。

9 bis. 紙のフライヤーキャンペーン

当社は印刷されたフライヤーを配布しており、それには geteverwear.com/fr/f1 のような短いアドレスが記載されています。場合によってはQRコードの形式です。 このアドレスにより、当社はフライヤーが役立ったかどうかを知ることができます。お開きいただいたときに正確に何が起きるかを以下に示します。

全てのケースで記録する内容

ページの読み込み時に、お客様の同意を求めることなく、当社は次の情報を記録します：フライヤーのコード、日付と時刻、切り詰めたIPアドレス（最後のブロックはゼロに置き換えられるため、お客様を特定することはできなくなります）、国、 デバイスの種類、ブラウザ、オペレーティングシステム、およびブラウザが通知する言語。また、_ge_flyerという名前のCookieにランダムな識別子を設置し、13か月間保持します。これは、同じ端末が当社のフライヤーを何回スキャンしたかを 数えるためにのみ使用されます。

この収集は訪問計測に該当し、同意の免除対象です（2020年9月17日付のCNIL勧告。情報処理と自由に関する法律（フランス）第82条に基づいて採択）： 当社のキャンペーンの計測にのみ使用され、他の処理との突き合わせは行わず、誰にも開示されません。

お客様の同意がある場合のみ記録する内容

ページには明示的な選択肢が表示されます。お客様が「同意します」をクリックした場合――そしてその場合に限り―― 当社は以下を追加で記録します：

• お客様の地理的位置：ブラウザが2度目の許可を求めた後に当社へ提供する位置情報 （この段階でも拒否できます）；
• お使いの端末の技術的な指紋：画面のサイズと解像度、インストール済みの言語、タイムゾーン、プロセッサのコア数、メモリ、 検出されたフォント、グラフィックカード、グラフィックおよびオーディオのレンダリング。これらを組み合わせると、Cookieがなくても 端末を識別できる署名になります；
• お客様のIPアドレス全体。

法的根拠：お客様の同意（RGPD第6条(1)(a)、および情報処理と自由に関する法律（フランス）第82条）。 目的：フライヤーがどの場所で、いつスキャンされているかを把握し、次にどこで配布するかを決めるため。 受領者：誰もいません。このデータは当社のサーバー（Netcup、ドイツ）に保管され、販売、賃貸、 または広告ネットワークへの提供は一切行われません。第三者の計測ツール（Google Analytics 4）が受け取るのは、 フライヤーのコードとスキャンの順位のみです： お客様の位置情報、指紋、IPアドレス全体は、それらに送信されることはありません。

拒否された場合でも、お客様はまったく同じ方法でショップにアクセスできます。その場合、当社は前の段落に記載の集計と、 お客様の拒否の記録のみを保持します――これにより、再度お尋ねすることを避け、拒否を尊重したことを証明できます。

保存期間：13か月。この期間を過ぎると、自動処理により毎晩、位置情報、指紋、IPアドレス、 計測識別子が消去されます。残るのは匿名の集計行のみで、それも25か月で削除されます。

選択を取り消す方法：ブラウザの設定から _ge_flyer Cookieを削除し、当社のウェブサイトに与えた位置情報の許可を取り消してください （サイトの設定、「位置情報」の項目）。既に記録されたスキャンの削除を求めるには、セクション13に記載のアドレスまで、このCookieの値を添えてご連絡ください。 これは、お客様の記録を見つけるための唯一の手がかりです。この処理では、お客様の氏名もメールアドレスも保持していないためです。

9 ter. 訪問の認識

お客様がウェブサイトに戻ってくるかどうか、また、どのページをご覧になるかを把握するため、当社は3つの要素から技術的な指紋を算出します：ネットワークにまで縮小したIPアドレス（末尾の数字は取り除かれます）、 ブラウザとオペレーティングシステムのファミリー（バージョンは含みません）、そしてお客様の言語です。 これらの要素は当社だけが知る秘密鍵と混ぜ合わされ、元のアドレスへ遡ることができない署名に変換されます。

この署名には、再現性のある方法で無作為に選ばれたニックネームが付けられます ――「Only Turquoise Flyingfish」――これにより、識別子を一切扱うことなく訪問について話すことができます。 当社は、訪問回数、最後の訪問日、閲覧したページとそのタイムスタンプ、各ページの閲覧時間とスクロール割合、都市、 デバイスの種類、そして各リクエストでブラウザが自動的に通知する使用ブラウザと言語を保持します。これらはそのまま保持し、切り詰めはしません。

着地アドレスが追加で教えてくれること。広告リンクまたはキャンペーンを通じて到着した場合、 そのアドレスには当社が保持するマーカーが含まれています：パラメータ utm_source、utm_medium、utm_campaign、utm_content、utm_term、ref、 そしてクリック識別子 fbclid（Meta）、gclid（Google Ads）、ttclid（TikTok）、msclkid（Microsoft Ads）。これらは、どの投稿またはどの広告によってお客様がいらしたかを教えてくれます。 参照元サイトの名前だけでは、それは決してわかりません。上記のリストは限定的です：アドレスに存在する他のパラメータは、 読み取られることなく破棄されます。これらのマーカーは閲覧経路の保存期間に従います。つまり5年間です。

これが何ではないか：顧客ファイルではありません。訪問の登録簿には、氏名、メールアドレス、注文番号は一切含まれず、 顧客を認識するためにこれを使用することも決してありません。確認できる点として、留保が一つあります：ログインした状態で同意バナーに応答された場合、その選択の証拠には、お客様の技術的な署名とメールアドレスが並べて記録されます （セクション5を参照）。そのため、両者を結び付けることは技術的には可能です。ただしそれは選択の証明のためにのみ使われ、 閲覧内容の分析には決して使われません。 法的根拠：ここまで説明したレイヤーについて、当社のショップへのアクセスを計測する当社の正当な利益（RGPD第6条(1)(f)）。 受領者：誰もいません。このデータは当社のサーバーに保管され、販売や広告ネットワークへの提供は行われません。

都市と国は、当社自身のサーバーにインストールされたデータベース DB-IP Lite （CC BY 4.0ライセンス）を使い、IPアドレスから算出されます。 誰にもリクエストは送信されません：お客様のアドレスが当社のサーバーの外に出ることはありません。 外部の位置情報サービスは、もはや一切使用されていません。このデータベースが特定のサーバーにインストールされていない限り、 当社は単に都市を特定しません。その場合、国だけが、セキュリティプロバイダーがリクエストとともに送信する情報として把握されます。

同意いただいた場合のみの追加レイヤー

上記のすべては、お使いの端末に何も求めることなく行われます。当社のバナーにある「訪問計測」のチェックボックスを 承認された場合、各ページで追加で次の情報を記録します：

• お客様のIPアドレス全体：そのまま記録します――お客様の同意がない場合は、 再逆算できない署名のみが算出されるのとは異なります；
• お使いの端末から読み取られる特徴：画面の解像度、画素密度、ウィンドウのサイズ、タイムゾーン、 インストール済みの言語、プロセッサのコア数、利用可能なメモリ；
• 端末の指紋：これらの要素から算出され、ネットワークを変更しても端末を識別できるようにするものです。

理由。これらの要素は、標準のレイヤーでは答えられない疑問に答えるためのものです。 同じ人が携帯電話からまた、その後パソコンから戻ってきているのか、当社の商品ページは実際に使われている画面で正しく表示されているか、 訪問者は現地時間の何時にサイトを閲覧しているのか。当社はこれらに基づいてお客様について決定を下すことはありません： 異なる価格、パーソナライズされたコンテンツ、フォローアップはありません。

なぜ5年なのか、そしてなぜお客様のアドレスなのか。当社は小規模な中古品ショップであり、 事業は季節に左右されます。ある8月を前年の8月と比較するだけでは不十分です。1回の比較では、 当社が前進しているのか、単に運が良かったのかはわかりません。5年あれば、比較できる冬が4回、夏が4回あります―― ウェブサイトが改善しているのか、ある判断が誤りだったのかを言える最初の規模です。 お客様のアドレスについては、おおよその都市がわかります：どの地域が当社の品物に関心を持っているかが示され、 そのためにどのような品物を仕入れるべきかがわかります。これは、ショップを続けていくための助けになります―― その事実を隠すより、お伝えしたいと考えています。

法的根拠：お客様の同意（RGPD第6条(1)(a)、および情報処理と自由に関する法律（フランス）第82条―― 端末から何かを読み取るには、訪問計測であっても、例外なく同意が必要です）。 期間：5年間。閲覧経路の残りの部分と同じで、その後自動的に消去されます。 受領者：誰もいません。これらのいずれも当社のサーバーの外に出ることはなく、販売されず、広告ネットワークに提供されることもありません。

拒否された場合、またはバナーに応答しない場合、このリストの内容は一切読み取られず、保持もされません―― 記録しないだけでなく、照会もしません。 ウェブサイトはまったく同じように機能します：同意した人だけのためのページ、記事、機能はなく、訪問のたびに再度お尋ねすることもありません。 お客様はいつでも、ページ下部の「Cookie管理」リンクから選択を変更できます。その時点から、それ以上何も読み取られることはありません。

セクション9terの全体（標準のレイヤーを含む）に異議を申し立てるには、contact@geteverwear.com までご連絡ください： 該当する署名と、それに関連する閲覧経路を削除します。プライベートウィンドウで閲覧する、またはネットワークを変更することもできます。 その場合、別の署名が生成されます。

10. セキュリティ対策

当社は以下の技術的および組織的な対策を実施しています：

• ウェブサイト全体でのTLS 1.3暗号化（Let's Encrypt の証明書は自動的に更新されます）
• パスワードはハッシュ化して保存（bcrypt / argon2）、平文では決して保存しません
• 銀行データは当社のサーバーを経由しません（Stripeによるトークン化）
• 欧州内での暗号化された日次バックアップ、30日間のローテーション
• 管理画面へのアクセスは制限され、記録され、多要素認証（MFA）で保護されています
• 重大な脆弱性に対するセキュリティ更新は7日以内に適用されます

11. 個人データ侵害の通知

お客様の権利と自由に対するリスクをもたらすおそれのある個人データの侵害が発生した場合、GetEverwear は RGPD第33条に従い、72時間以内にCNILへ通知します。また、侵害がお客様の権利に高いリスクをもたらすおそれがある場合には、 できる限り速やかにお客様へお知らせします。

12. 未成年者のデータ

当社のウェブサイトは16歳未満の方を対象としていません。16歳未満の方は、保護者または後見人にご注文を依頼してください。 親権者の同意なく16歳未満の未成年者のデータが収集されたことを当社が知った場合は、遅滞なくそのデータを削除します。

13. 連絡先 / データ保護責任者（DPO）

データ保護責任者（DPO）は任命されていません。これは見落としではありません。この任命は、 公的機関、主な活動が大規模に個人を監視することである組織、および機微なデータを取り扱う組織に対してのみ義務付けられています （RGPD第37条）。GetEverwear はこれらのいずれにも該当しません。そのため、お客様のご要望は管理者が直接対応します：

• 一般的なメール： contact@geteverwear.com
• 郵送：データ保護責任者（DPO）宛て、 法的表示に記載の住所まで

お客様はまた、CNILに苦情を申し立てる権利があります： www.cnil.fr。

14. 本ポリシーの変更

本ポリシーは、法規制または技術的な変化を反映するために更新される場合があります。最終更新日はページの上部に記載されています。 重要な変更については、ニュースレターに登録されている場合はメールでお知らせします。

本ポリシーは情報提供を目的としています。完全な適合性については、データ保護責任者（DPO）または法律の専門家による確認を受けてください。