NeuroCRMプライバシーポリシー
本プライバシーポリシーは、お客様が当社の顧客関係管理プラットフォームをneurocrm.vipおよびそのサブドメイン（app.neurocrm.vipおよびapi.neurocrm.vipを含みます。以下、総称して「本サービス」）で利用される際に、NeuroCRMがどのように情報を収集、利用、保存、共有、保護するかについて説明します。本ポリシーは全世界に適用されます。EEA／英国、米国、カナダ、ブラジル、ロシアその他の地域に固有の規定は末尾の附属書に記載されており、当社が地域を判別できる場合には、お客様の地域について強調表示されます。
1. 当社について、および当社の二つの役割
本サービスは、米国フロリダ州法に基づき設立された会社であり、登録住所を7901 4th St N, STE 300, St. Petersburg, FL 33702, USAとするEmpire Luxury International Corporation（Neuro Empireとして事業を行っています）（「NeuroCRM」、「当社」）が運営しています。
NeuroCRMは、マルチテナント型のビジネス向けソフトウェア・アズ・ア・サービス（SaaS）プラットフォームです。当社は、二つの異なる役割において個人情報を処理します。
- 処理者／サービスプロバイダーとして — お客様およびお客様の組織が本サービスに入力し、または本サービスと接続するデータ（お客様の連絡先、取引、メッセージ、ファイルその他類似の記録。総称して「顧客コンテンツ」）について。お客様の組織が当該データの管理者であり、その利用方法を決定します。当社は、本サービスを提供するため、お客様の文書化された指示に基づきこれを処理します。これらの活動は、当社のデータ処理付属書（DPA）により規律されます。
- 管理者として — 本サービス自体を運用、保護、課金および改善するために当社が必要とするデータ（お客様のアカウントおよび識別情報、利用状況およびデバイスのデータ、ならびにサポートに関する通信）について。本プライバシーポリシーは、これらの管理者としての活動について説明します。
本サービスを利用されることにより、お客様は本プライバシーポリシーを読まれたことを確認するものとします。本ポリシーに同意されない場合は、本サービスを利用しないでください。
2. 当社が収集する情報
a) アカウントおよび識別情報。 氏名、業務用メールアドレス、組織／テナント名、役割、ログイン認証情報（ソルト付きハッシュとしてのみ保存されます）、ならびに該当する場合は課金情報。
b) 利用状況、デバイスおよびログのデータ。 ログ記録、デバイスおよびブラウザの種類、IPアドレス、IPから導かれるおおよその所在地、タイムスタンプ、利用されたページおよび機能、ならびに本サービスの運用、保護および改善に用いられる診断データ。
c) 顧客コンテンツ。 お客様およびお客様のチームがCRMに入力するデータ。お客様と当社との間では、これはお客様の組織に帰属し、当社は処理者としてお客様に代わってこれを処理します（第1節およびDPAをご参照ください）。
d) OAuth経由でアクセスされる第三者プラットフォームのデータ。 お客様がアカウント（例えばGoogle Analytics／Ads／Search Console、Yandex Metrica／Direct／Webmaster、Telegram、または決済プロバイダー）を接続される場合、当社はお客様の指示によってのみ、また分析連携については読み取り専用の方法で、当該プラットフォームのデータにアクセスし、本サービス内にお客様ご自身のデータを表示します。第5節～第6節をご参照ください。
e) 決済データ。 有料プランをご購入される場合、決済は第三者の決済処理者により取り扱われます。当社は限定的な取引データ（プラン、金額、ステータス、マスクされた識別子など）を受領し、完全なカード番号を保存することはありません。
f) 通信。 お客様がサポートに送信されるメッセージ、および関連するメタデータ。
3. 当社が情報をどのように、なぜ利用するか（法的根拠）
当社は、本サービスの提供、維持、保護、サポート、課金および改善のため、お客様との連絡のため、法令の遵守のため、ならびに不正および濫用の検知および防止のために情報を利用します。法令が法的根拠を要求する場合（例えばEEA、英国、ブラジルおよびロシア）、当社は以下に依拠します。
| 目的 | 典型的な法的根拠 |
|---|---|
| 本サービスおよびお客様のアカウントの提供。お客様の指示に基づく顧客コンテンツの処理 | 契約の履行。管理者のために行為する処理者 |
| セキュリティ、不正防止、ネットワークおよび情報のセキュリティ、サービスの改善、分析 | 正当な利益（お客様の権利との均衡を図ったもの。評価はご要望に応じて提供） |
| 課金、税務、会計その他の法的義務 | 法的義務。契約の履行 |
| 任意のマーケティングメール。必須でないCookie。任意の第三者アカウントの接続 | 同意（いつでも撤回いただけます） |
4. 人工知能機能とお客様のデータ
NeuroCRMには、AI支援機能（例えば内蔵のAIアシスタントおよびコンテンツ生成）が含まれます。これらの機能には以下が適用されます。
- 既定ではお客様のデータでの学習は行いません。 既定では、当社および当社のAIサブ処理者は、汎用のAIまたは機械学習モデルの学習に顧客コンテンツを使用しません。お客様が具体的かつ積極的なオプトインの同意をされない限りこれを行うことはなく、また、その場合であっても、可能な限り匿名化または集計されたデータについてのみ行います。
- AIサブ処理者。 AI機能は、当社のサブ処理者として行為する第三者のモデルプロバイダーを通じて提供されることがあります。これらは守秘義務およびデータ保護の義務に拘束され、当社のサブプロセッサーのページに記載されています。
- 人間による監督。 AIの出力は確率的であり、不正確な場合があります。これは人間の判断を支援することを目的とするものであって、これに代わるものではなく、個人に対し法的またはこれに類する重大な影響を生じさせる意思決定の唯一の根拠として用いてはなりません。AI機能の制限、およびそれらに適用される免責事項は、当社の利用規約に定められています。
5. Googleユーザーデータ — 当社が何にアクセスし、なぜか、および限定的利用
お客様がGoogleアカウントの接続を選択される場合、当社の分析モジュールはGoogle APIと連携し、お客様がNeuroCRM内でご自身のマーケティングおよびウェブサイトの分析を閲覧できるようにします。当社は必要最小限のスコープのみを要求し、すべてのアクセスは読み取り専用です。
| スコープ | 付与される内容 | 当社が利用する理由 |
|---|---|---|
analytics.readonly | 読み取り専用のGoogle Analytics（GA4）のレポートデータ | NeuroCRM内にお客様のトラフィック／行動のレポートを表示するため |
adwords | Google Adsのアカウントデータ | お客様の広告指標を表示するため（読み取り専用） |
webmasters.readonly | 読み取り専用のGoogle Search Consoleのデータ | お客様の検索パフォーマンスの指標を表示するため |
NeuroCRMによる、Google APIから受領した情報の他のアプリへの利用および移転は、Limited Useの要件を含め、Google API Services User Data Policyを遵守します。
- 当社は、NeuroCRMのインターフェース上で目立つ形で表示される、ユーザー向けの分析およびレポート機能を提供するためにのみ、Googleユーザーデータを使用します。
- 当社は、それらの機能を提供もしくは改善するために必要な場合、法令を遵守するため、または事前通知を伴う合併もしくは買収の一環である場合を除き、Googleユーザーデータを移転しません。
- 当社は、リターゲティングまたは関心ベースの広告を含む広告のためにGoogleユーザーデータを使用または移転しません。
- 当社は、汎用のAI／MLモデルの学習にGoogleユーザーデータを使用しません。
- 当社は、次の場合を除き、人間がGoogleユーザーデータを読むことを許可しません。すなわち、(i) お客様が特定のデータについてあらかじめ積極的な同意をされた場合、(ii) セキュリティのため、または法令を遵守するために必要な場合、または (iii) データが集計され匿名化されている場合。
お客様は、NeuroCRM内（レポート／連携）、またはmyaccount.google.com/permissionsで、いつでも当社のアクセスを取り消すことができます。
6. Yandexその他の接続されたプラットフォーム
お客様がYandex Metrica、Yandex Direct、Yandex Webmaster、Telegramその他のサポートされるプラットフォームを接続される場合、当社は、Googleの連携と同様に、お客様の指示により、分析については読み取り専用の方法で、もっぱら本サービス内にお客様ご自身のデータを表示するためにそのデータにアクセスします。当社は、これらのアカウントを変更せず、データを販売せず、無関係な目的のために使用することもありません。アクセストークンは暗号化して保存され、お客様はいつでも接続を解除できます。
7. 当社がどのように情報を共有するか
当社は個人情報を販売せず、また、コンテキストを越えた行動ターゲティング広告のために共有することもありません。当社は、以下の場合にのみ情報を共有します。
- サブ処理者と — 本サービスの運営を支援するサブ処理者（ホスティング、インフラ、AIモデルプロバイダー、メール配信、分析、決済処理）と、契約上の守秘義務およびデータ保護の義務に基づき、必要な範囲でのみ。所在地を含む最新の一覧は/legal/subprocessorsにあります。
- 法令を遵守するため — 有効な法的請求に応じて、または、NeuroCRM、当社のユーザーもしくは公衆の権利、財産もしくは安全を保護するため。
- 事業の移転において — 合併、買収または資産の譲渡において、通知を伴って。承継者は、少なくとも同等に保護的なポリシーに引き続き拘束されます。
- お客様の指示または同意により — 例えば、お客様が接続する第三者の連携へ。
8. 国際的な移転およびデータの所在
NeuroCRMは、地理的に分離されたアーキテクチャを運用しています。
- 全世界のテナント： データは米国（Amazon Web Services）および欧州連合（Hetzner、ドイツ）のインフラ上でホストされます。
- ロシアのテナント： ロシア連邦内の個人の個人データは、ロシアのデータ・ローカライゼーション法に従い、ロシア国内に所在するサーバー上で記録・保存されます（ロシアの附属書および当社の別途のロシア個人データ処理ポリシーをご参照ください）。
個人データが国境を越えて移転される場合、当社は適切な移転メカニズム（例えば欧州委員会の標準契約条項（およびUK Addendum／IDTA）、適用される十分性認定もしくは認証、またはお客様の明示的な同意）を用い、必要に応じて補完的なセーフガードを適用します。
データの所在についての保証はありません。 特定の書面による約束がなされる場合を除き、当社は、いかなる特定のホスティングの所在地がお客様またはお客様の顧客のデータ所在に関する要件を満たすことを保証しません。本サービスの構成がお客様の法的義務を満たすか否かを判断する責任はお客様にあります。
9. 当社がどのように情報を保護するか
当社は、リスクに見合った管理上、技術上および組織上のセーフガードを適用します。これには次が含まれます。すなわち、伝送時の暗号化（TLS／HTTPS）。別途に管理される鍵を用いたAES-GCM認証付き暗号化による、保存時のOAuthトークンの暗号化。当社のマルチテナント・アーキテクチャにおけるテナントの論理的分離。ロールベースのアクセス制御および監査ロギング。ならびに、必要性に基づき権限を有する担当者に限定された本番データへのアクセス。いかなる伝送または保存の方法も完全に安全ではなく、当社は絶対的なセキュリティを保証することはできません。
10. データの保持
当社は、本ポリシーに記載された目的のために必要な期間（一般にはお客様のアカウントが有効である間、ならびにその後、本サービスの提供、法的義務の遵守、紛争の解決および当社の契約の執行のために必要な間）、個人データを保持します。当社は、より長い期間が法令により求められるか許容される場合を除き、処理の目的のために必要な期間を超えて、個人を識別できる形式でデータを保持しません。顧客コンテンツは、DPAに記載のとおり保持され、削除されます。データを含む通常のバックアップは、当社の標準的なバックアップ・ローテーションのサイクルにおいて上書きされます。
11. お客様のプライバシーに関する権利
お住まいの地域によっては、お客様には次の権利がある場合があります。すなわち、ご自身の個人データへのアクセス。その訂正または更新。その削除。ポータブルな形式での写しの取得。特定の処理の制限または異議。特定の共有または自動化された意思決定からのオプトアウト。ならびに同意の撤回。これらの権利を行使するには、support@neurocrm.vipまでご連絡ください。当社は、適用法令で求められる期間内に応答し、お客様の本人確認を行う必要がある場合があります。お客様はまた、お住まいの地域のデータ保護当局に苦情を申し立てる権利を有します。お客様が、当社のビジネス顧客の一社により本サービスにデータを入力された個人である場合、当該顧客（管理者）にご連絡ください。当社は、その処理者として当該顧客を支援します。
12. Cookieおよび類似技術
当社は、本サービスを運用するために厳格に必要なCookie（例えばサインイン状態の維持およびセッションのセキュリティの確保のため）を使用し、また、求められる場合にはお客様の同意を得て、限定的な環境設定および分析のCookieを使用します。当社は、法的に求められる場合、Global Privacy Control (GPC) などの認知されたオプトアウト信号を尊重します。詳細、カテゴリーおよびお客様の選択肢は、当社のCookieポリシーに記載されています。
13. 子ども
本サービスは、組織および18歳以上の個人による利用を意図したビジネス向けのツールです。本サービスは子どもに向けられたものではなく、当社は子どもから個人データを意図的に収集しません。当社のビジネス顧客は、適法な根拠を有し、かつ当社に書面で通知した場合を除き、子どもの個人データを本サービスにアップロードしてはなりません。子どものデータが収集されたと思われる場合は、当社が削除できるようご連絡ください。
14. 本ポリシーの変更
当社は、本プライバシーポリシーを随時更新することがあります。変更が重要なものである場合、当社は上記の「最終更新日」を更新し、適切な場合には本サービス内またはメールでお客様に通知します。変更が発効した後にお客様が本サービスを継続して利用されることは、法令で許容される範囲において、改訂後のポリシーへの同意を構成します。
15. 連絡先および代理人
管理者： Empire Luxury International Corporation (DBA Neuro Empire)、7901 4th St N, STE 300, St. Petersburg, FL 33702, USA。
プライバシー、データ保護、その他のお問い合わせについては、support@neurocrm.vip までご連絡ください。
各地域固有の権利および詳細は、以下の地域別附属書に記載されています。ロシアについては、別個の 個人データ処理ポリシー をご参照ください。
A. 欧州経済領域および欧州連合 — GDPRRegion-specific✓ Applies to you
欧州経済領域に所在される方については、本附属書が上記の内容を補完します。
管理者。 管理者は第15条に記載されています。お客様の個人データに関するお問い合わせは support@neurocrm.vip までご連絡ください。
法的根拠。 第3条に定めるとおりです（GDPR第6条(1)(a)〜(f)）。当社が正当な利益（第6条(1)(f)）に依拠する場合、お客様は当社の利益衡量評価を請求することができます。
お客様の権利（第15条〜第22条）。 アクセス、訂正、消去、制限、ポータビリティ、異議申立て、ならびに法的効果またはこれに類する重大な影響を生じさせる、もっぱら自動化された決定に服さない権利。お客様はいつでも同意を撤回し、所管の監督機関に苦情を申し立てることができます。
顧客コンテンツの処理。 当社の第28条に準拠した DPA に従い、欧州経済領域外への移転については EU標準契約条項を含みます。
B. 英国 — UK GDPRRegion-specific✓ Applies to you
英国に所在する個人については、UK GDPR および 2018年データ保護法が適用されます。お客様の個人データに関するお問い合わせは support@neurocrm.vip までご連絡ください。英国からの国際移転は、英国国際データ移転協定（IDTA）または EU SCC に対する英国アデンダムに依拠します。お客様は英国情報コミッショナー事務局（ICO）に苦情を申し立てる権利を有します。
C. スイス — nFADPRegion-specific✓ Applies to you
スイスにいる個人については、改正された連邦データ保護法（nFADP）が適用されます。上記に記載された権利および根拠が同様に適用され、お客様はスイス連邦データ保護情報コミッショナー（FDPIC）に連絡することができます。移転は、スイスの適合化を伴いFDPICにより認められたSCCに依拠します。
D. 米国 — カリフォルニア州その他の州Region-specific✓ Applies to you
本附属書は米国の居住者に適用され、上記を補完します。
当社は、コンテキストを越えた行動ターゲティング広告のために個人情報を販売または「共有」せず、また、本サービスの提供を超えてオプトアウトを要する目的のためにセンシティブな個人情報を処理することもありません。当社は、求められる場合、Global Privacy Control (GPC)の信号を尊重します。
カリフォルニア州（CCPA／CPRA）。 カリフォルニア州の居住者は、個人情報を知り、これにアクセスし、削除し、訂正する権利、販売／共有からオプトアウトする権利、センシティブな個人情報の利用を制限する権利、ならびに差別を受けない権利を有します。権利を行使するには、support@neurocrm.vipをご利用ください。当社は、本ポリシーを通じて「収集時の通知（Notice at Collection）」を提供します。
その他の州（バージニア州、コロラド州、コネチカット州、テキサス州、ユタ州、オレゴン州その他、各州の法律が施行されるに従う州を含みます）は、アクセス、訂正、削除、写しの取得、ならびにターゲティング広告、販売および特定のプロファイリングからのオプトアウトについて、同様の権利を提供します。お客様の請求に関する決定に不服を申し立てるには、当社の応答に返信いただければ、再考いたします。
E. カナダ — PIPEDAおよびケベック州法律25号Region-specific✓ Applies to you
カナダにいる個人については、当社はPIPEDAに従い、また、ケベック州の居住者については法律25号に従い、個人情報を取り扱います。お客様は、ご自身の情報にアクセスして訂正し、同意を撤回することができます。ケベック州の居住者には、ケベック州外へのあらゆる移転、およびあらゆる自動化された意思決定について通知がなされます。当社のプライバシー責任者には、support@neurocrm.vipで連絡することができます。マーケティングメールはCASLを遵守して送信されます。
F. ブラジル — LGPDRegion-specific✓ Applies to you
ブラジルに所在する個人については、LGPD が適用されます。お客様は LGPD 第18条に定める権利（確認、アクセス、訂正、匿名化、ポータビリティ、削除、共有に関する情報など）を有し、回答は原則として15日以内に行われます。国際移転は ANPD が承認する仕組み（ANPD標準契約条項を含む）に依拠します。お客様の個人データに関しては、ポルトガル語で support@neurocrm.vip までお問い合わせいただけます。Uma versão em português desta política está disponível mediante solicitação.
G. ロシア — 連邦法第152-FZ号Region-specific✓ Applies to you
ロシア連邦に所在する個人については、個人データの処理は連邦法第152-FZ号により規律され、ロシア語による専用の 個人データ処理ポリシー に記載されています。同ポリシーはロシアのデータ主体に対して優先して適用されます。ロシアの個人の個人データはロシア国内に所在するサーバーに記録および保存され、同意は別個の文書として取得されます。NeuroCRM はロシアの個人の個人データの国境を越える移転を行いません。すなわち、当該データはロシア国内のサーバーに留まり、ロシア国外に所在する個人のデータはロシア国外のサーバーで処理されます。NeuroCRM は Roskomnadzor に対し個人データ処理の届出を行っています。
H. アジア太平洋その他の地域
当社は、オーストラリア（Privacy Act／APPs）、日本（APPI）、韓国（PIPA）、シンガポール（PDPA）、インド（DPDP Act）、中国（PIPL）その他を含め、当社のユーザーがどこに所在していても、適用されるデータ保護法を尊重します。上記に記載された権利および保護は、お住まいの地域の法律で求められる範囲において適用されます。お客様の国が、国際的な移転について特定の移転メカニズムまたは現地での同意を要求する場合（例えば中国のPIPL）、当社は求められるとおりこれを取得します。オーストラリア消費者法に関する注記： 本ポリシーまたは当社の利用規約のいかなる定めも、適用される消費者法の下で排除できない権利を排除するものではありません。いずれかの権利を行使するには、support@neurocrm.vipまでご連絡ください。