プライバシーポリシー

1. 収集する情報

アカウント情報。 メールアドレスおよびパスワードです。パスワードはソルト付きハッシュとしてのみ保存します。GoogleまたはAppleでログインされる場合は、パスワードの代わりに、メールアドレスと当該プロバイダのアカウント識別子を受け取ります。

注文情報。 ご購入のプラン、数量、注文状況、米ドルでの請求額、決済画面に表示された現地通貨の概算額、Stripeの決済セッションおよび支払いの識別子、ならびに利用されたクーポンの名称です。

eSIM情報。 eSIMの提供とサポートのため、供給元の注文番号、アクティベーションコードとそのQR画像、プロファイルの状態、ICCID、APN設定、アクティベート日時と有効期限、供給元が報告するデータ使用量を保存します。お客様が端末のEIDを入力された場合、または設置時に端末の機種とOSが判明した場合は、それらも保存します。

モバイルネットワークのデータ。 お客様がeSIMを利用される際、端末が接続する携帯電話事業者が、eSIMの識別子（ICCIDおよびEID）、端末の機種、データ使用量、その他電気通信サービスの提供に必要な接続データを取り扱います。各事業者による取扱いについては第4条に記載しています。

ポイント、クーポンおよびトップアップ。 ポイント残高と、すべての付与・利用・調整の履歴を、関連する注文とともに記録します。お客様が登録されたクーポン、その登録日時、およびクーポンを利用された注文を記録します。トップアップごとに、トップアップ先のeSIM、パッケージ、追加されたデータ量と日数、請求額、処理状況、Stripeの識別子を記録します。

当社がお送りするメール。 当社は、第3条に記載したメールを送信した記録を保管しますが、当社自身はメールの内容の写しを保管しません。当社のメールを送信するCloudflareは、配信および障害対応のため、送信したメールの内容を最長約7日間保持したうえで削除する場合があります。eSIM準備完了メールには、プラン、注文番号、QRコードへのリンク、アクティベーションコードが記載されているため、お客様のメールボックスにアクセスできる人であれば誰でもそのeSIMを設置できます。

決済情報。 決済はStripeが処理します。カード情報と請求先情報は、Stripeの決済ページでご入力いただきます。当社がカード番号の全体、有効期限、セキュリティコードを受け取ることや保存することはありません。

技術情報。 ログインまたは登録の際、自動化された不正利用を防ぐため、Cloudflare TurnstileがIPアドレスとブラウザのシグナルを処理します。また、サポートと障害対応のため、注文に関するイベントの記録（発行、再試行、返金など）を保管します。

2. クッキー

当社は、ログイン状態を維持するために patime_session というクッキーを1つ使用します。このクッキーは署名され、HTTP-onlyで、同一サイトからのリクエストに限定され、HTTPSでのみ送信され、14日後に失効します。サービスの提供に不可欠であるため、ログイン中は無効にできません。

Cloudflare Turnstileは、リクエストが自動化されたものでないことを確認するために、独自の短期クッキーを設定する場合があります。当社は広告、プロファイリング、第三者による分析のためのクッキーを使用しません。

3. 利用目的

• お客様との契約の履行: アカウントの作成、eSIMの発行、QRコードとアクティベーションコードを記載したeSIM準備完了メールの送信、トップアップの適用、注文内容の表示、返金の処理、サポートの提供。
• ポイントおよびクーポンの運用: お客様がカードへの返金に代えてポイントを選択された場合のポイント付与、決済時のポイントおよびクーポンの適用、利用規約に定めるところによる残高の返還。
• サービスに関するメールの送信: メールアドレスの確認、eSIMのお届け。これらはサービスの一部であり、マーケティングではありません。
• 当社の正当な利益: 不正行為および自動化された濫用の防止、サービスの安全性の維持、障害の診断。
• 法的義務の遵守: 税務、会計、消費者保護および記録保存の要件。
• 同意が必要な場合はお客様の同意に基づき（例: 任意のご案内）。同意はいつでも撤回できます。

4. 第三者への提供

当社は、サービスの運営に必要な事業者に対してのみ、その目的の範囲で個人データを提供します。

• Stripe — 決済処理、返金、不正防止。Stripeは、決済処理については当社の指示に基づいて個人データを取り扱い、不正防止や自らの法的義務の履行など一部の目的については独立した管理者として取り扱います。これらの目的については、Stripeのプライバシーポリシーが適用されます。
• Cloudflare — ホスティング、データベースおよびファイルの保管、当社メール（メールアドレス確認メールおよびeSIM準備完了メール）の配信、ボット対策。
• GoogleまたはApple — お客様がこれらのアカウントでのログインを選択された場合に限ります。

当社は携帯電話事業者にお客様のデータを提供していないため、上記の一覧には含めていません。お客様の端末がeSIMを利用する際は、Singtel、IIJmio、CMLink、SK Telecom、LG Uplus、Airtel、NTT Docomo、Verizon、AT&T、Threeなどの事業者のネットワークに直接接続します。どの事業者に接続するかはプランと渡航先によって異なり、プランのページにネットワークを表示しています。モバイルサービスを提供するため、当該事業者は、eSIMの識別子（ICCIDおよびEID）、端末の機種、データ使用量その他の接続データを、所在国の法令に従い自ら取り扱います。

eSIMを発行するため、当社はeSIM供給元（携帯電話事業者）に、社内の取引番号と発行に必要なプラン情報を送信します。お客様の氏名やメールアドレスは送信しません。ただし、注文やプロファイルの識別子は他の情報と組み合わせることでお客様を識別できる場合があるため、当社は適用される法令に従い、これらを個人データとして保護します。

当社は個人データを販売せず、広告のために提供することもありません。当局への開示は、法令により求められる場合に限ります。

5. 国外移転

当社は米国から事業を運営しており、お客様のデータは米国および当社の各事業者が利用するその他の地域で処理されます。米国外にお住まいの場合、これはデータが国境を越えて移転されることを意味します。

情報が継続的に保存される場所と、一時的に処理される場所は異なります。当社の情報は、Cloudflareが提供するデータベースおよびファイル保存システムに、Cloudflareが指定する保存リージョンで保管されます。Stripeは決済情報を主に米国にある自社のシステムで保管します。サービスへのリクエスト、当社のメール、短期間のキャッシュは、世界各地のCloudflareのデータセンターを経由し、または一時的に保持されることがあります。

お住まいの国の法令がこうした移転について保護措置を求める場合、当社は、StripeおよびCloudflareが当社との契約に含めているデータ処理条項に依拠します。これらの条項は、両社によるデータの取扱いを当社の指示に基づくものに限定し、安全管理措置を講じることを義務付けています。韓国および日本で求められる詳細は、第14条および第15条に記載しています。

6. 保存期間

• アカウント情報: お客様のご請求によりアカウントが削除されるまで。
• 注文、決済、ポイント、クーポンおよびトップアップの記録: 取引日から5年間。
• 苦情および紛争に関する記録: 3年間。
• 設置用コード（アクティベーションコードおよびQR画像）: プランの終了後、またはeSIMがキャンセルもしくは返金された後、もしくは設置されないまま期限切れとなった後、30日間。それ以降、これらのコードは機能せず、保存する必要もなくなります。
• その他のeSIM情報（ICCID、プロファイルの状態、アクティベート日時と有効期限、データ使用量、EIDおよび端末情報）: サポート、供給元との精算および紛争対応のため、プランの終了後1年間。
• セキュリティおよび濫用防止のログ: 90日間。

保存期間が満了したデータは、満了後30日以内に削除します。お客様からデータの削除をご請求いただいた場合は、遅滞なく削除します。ただし、法令上保存が必要な記録は、上記の期間に限り保存し、当該法令上の目的のためにのみ利用します。削除したデータは、上書きされるまでの最長30日間、暗号化されたバックアップに残る場合があります。

7. お客様の権利

お住まいの地域に応じて、お客様はご自身のデータの写しにアクセスする権利、訂正する権利、削除する権利、可搬性のある形式で受け取る権利、一定の取扱いに異議を述べまたは制限を求める権利、および同意を撤回する権利を有する場合があります。これらを行使されるには abuse@elysia-root.com までご連絡ください。ご本人確認をお願いする場合があります。

アカウントを削除しても、請求書など法令上保存が必要な記録は削除されません。

8. 米国各州のプライバシー権

当社は米国法人です。カリフォルニア、バージニア、コロラド、コネチカット、ユタ、テキサス、オレゴン、モンタナなど複数の州が、その住民にプライバシーに関する権利を認めています。本条では、当社がこれらをどのように取り扱うかを説明します。

当社は個人情報を販売せず、クロスコンテキスト行動広告のために共有することもありません。 当社は個人情報をターゲティング広告や、法的効果もしくはそれに準ずる重大な効果を生じさせるプロファイリングには使用しません。販売も共有も行っていないため、Global Privacy Controlのようなオプトアウト信号に対して停止すべき対象自体が存在しません。

上記の最終更新日より前の12か月間、当社は第1条に記載した区分の個人情報を収集しました。識別子（メールアドレス、IPアドレスなど）、顧客記録（注文履歴、支払金額など）、商取引情報（ご購入のプランとトップアップ、ならびにポイントとクーポン）、サービスの運営と保護に必要なインターネット活動情報、およびカリフォルニア州が機微な個人情報として扱うアカウントの認証情報です。これらはお客様ご自身から、お客様のサービス利用から、ならびに当社の決済代行会社およびeSIM供給元から収集します。当社はこれらを第3条の目的のためにのみ利用し、第4条の事業者に対してのみ開示します。機微な個人情報をお客様の特性の推知に用いることはありません。

お住まいの州に応じて、お客様は、当社が収集する情報を知る権利、その写しにアクセスする権利、訂正する権利、削除する権利、可搬性のある形式で取得する権利、販売・共有・ターゲティング広告または一定のプロファイリングをオプトアウトする権利、および機微な個人情報の利用を制限する権利を有する場合があります。当社は、これらの権利を行使されたことを理由にお客様を差別的に取り扱うことはありません。

ご請求は abuse@elysia-root.com までメールでお送りください。当社は対応の前にアカウント上の情報と照合してご本人確認を行い、お住まいの州の法律が認める期間内（多くの州では45日。法律が認める場合は1回延長することがあります）に回答します。書面による委任があり、当社がこれを確認できる場合は、代理人がお客様に代わって請求することができます。

ご請求をお断りした場合、当社の判断への返信に「appeal（異議）」とご記載いただくことで不服を申し立てることができます。当社はこれを再検討し、結果と理由をお知らせします。不服が認められなかった場合は、お住まいの州の司法長官にご連絡いただけます。

9. お住まいの地域を問わず

当社は米国で設立された会社であり、本サービスを国際的に提供しています。お客様がお住まいの地域や本サービスを利用される場所によっては、その地域のプライバシーおよび消費者保護に関する法令が当社に適用される場合があります。当社はそれらの法令がお客様に認める権利を尊重し、本ポリシーのいかなる定めも、法令がお客様に保障する権利を制限するものではありません。また当社は、ご請求いただいたすべての方に第7条の権利を適用します。

ご請求やお問い合わせは abuse@elysia-root.com までお送りください。お住まいの国の法律がデータ保護機関への苦情申立ての権利を認めている場合は、その権利も行使いただけます。

10. セキュリティ

パスワードはソルト付きのPBKDF2ハッシュとして保存し、判読可能な形で保持することはありません。通信はHTTPSで提供され、セッションクッキーは署名されており、注文データへのアクセスは当該注文を行ったアカウントと権限のある管理者に限定されています。完全に安全なシステムは存在しませんが、当社はお客様のデータを保護するよう努めており、侵害がお客様に影響し法令が求める場合にはご連絡します。

11. 子どもについて

本サービスは子どもを対象としていません。当社は、米国の児童オンラインプライバシー保護法（COPPA）が定める13歳未満、または現地法がその年齢を定める場合は16歳未満の方から、それと知りながら個人情報を収集することはありません。お子様が当社に個人データを提供したとお考えの場合はご連絡ください。当社が削除いたします。

12. 変更

当社は本ポリシーを変更することがあります。変更の際は冒頭の日付を更新し、重要な変更については効力発生前にサービス内でお知らせします。

13. お問い合わせ

Elysia Root L.C.（米国ワイオミング州の有限責任会社、ワイオミング州登録番号 2022-001141349）。郵便宛先: 533, 2FL, 447 Broadway, New York, NY, United States。プライバシーに関するお問い合わせ: abuse@elysia-root.com

14. 韓国のお客様へ

本条は、大韓民国の個人情報保護法が求める事項を記載したものです。本条が本ポリシーの他の部分より具体的である場合、韓国のお客様には本条が適用されます。

取り扱う項目、目的および保存期間

当社が取り扱う個人情報とその目的は第1条および第3条に、項目ごとの保存期間は第6条に記載しています。注文、決済、ポイント、クーポンおよびトップアップの記録の5年間、ならびに苦情および紛争に関する記録の3年間という保存期間は、韓国の「電子商取引等における消費者保護に関する法律」に基づくものです。

第三者への提供および取扱いの委託

当社は、法令により求められる場合を除き、お客様の個人情報を第三者に提供しません。当社はCloudflareに、また決済処理についてはStripeに取扱いを委託しており、委託契約により、これらの事業者の取扱いを当社への当該サービスの提供に限定しています。不正防止や自らの法的義務の履行など一部の目的については、Stripeは独立した管理者として、自らのプライバシーポリシーに基づきデータを取り扱います。携帯電話事業者は当社の委託先ではありません。お客様の端末がeSIMを利用する際は当該事業者のネットワークに直接接続し、事業者は電気通信サービスの提供者として、所在国の法令に従い接続データを自ら取り扱います。

個人情報の国外移転

当社は米国に所在しており、お客様の個人情報は韓国外で収集・保存されます。当社は、お客様との契約の締結および履行のために必要であることから、個人情報の取扱いおよび保管を国外に委託しており、同法第28条の8第1項第3号が認めるところにより、その詳細を本ポリシーにおいて以下のとおり公開します。国外の移転先は次のとおりです。

• Stripe, Inc.（米国） — 当社が送信する項目: 注文番号、プラン名と金額。お客様がStripeの決済ページで直接入力され、Stripeが収集し当社は受け取らない項目: メールアドレス、カード情報および請求先情報。目的: 決済処理および返金（当社の指示に基づくもの）、ならびに不正防止およびStripe自身の法的義務の履行（独立した管理者としてのもの）。時期および方法: 決済時に、暗号化された接続を通じて。保存期間: Stripeが法令上決済記録を保存しなければならない期間。第6条に定める当社の記録については5年以内。連絡先: stripe.com/privacy。
• Cloudflare, Inc.（米国） — 項目: カード情報を除く第1条の情報、および当社がお客様にお送りするメールの内容。目的: ホスティング、データベースおよびファイルの保管、メールの配信、ボット対策。保存場所: 当社のデータベースおよびQR画像ファイルは、Cloudflareが割り当てる1つの保存リージョンに保管されます。リクエストおよびメールは世界各地のCloudflareのデータセンターを経由し、キャッシュされたプラン情報および短期間のリクエストカウンターは世界各地に複製される場合があります（第5条参照）。時期および方法: サービスのご利用の都度、暗号化された接続を通じて。保存期間: 第6条の期間。Cloudflareは、送信したメールの内容を最長約7日間保持する場合があります。連絡先: cloudflare.com/privacypolicy。
• 参考として記載するもので、当社による委託ではありません: Singtel（シンガポール）、IIJmioおよびNTT Docomo（日本）、CMLink（China Mobile International）、SK TelecomおよびLG Uplus（韓国）、Airtel（インド）、VerizonおよびAT&T（米国）、Threeなどの携帯電話事業者は、お客様の端末が接続した際に次の情報を取り扱います — 項目: eSIMの識別子（ICCIDおよびEID）、端末の機種、データ使用量、その他各事業者が電気通信サービスの提供に必要とする接続データ。目的: 渡航先でのモバイルデータサービスの提供。時期および方法: お客様の端末がeSIMで当該事業者のネットワークに接続する都度。保存期間: 各事業者が所在国の法令に従って定める期間。事業者とその所在国はお客様が選択されたプランと渡航先によって異なり、プランのページにネットワークを表示しています。

お客様は、アカウントを作成しないこと、または abuse@elysia-root.com までご連絡いただきアカウントの削除を請求することにより、国外移転を拒否できます。本サービスは全面的にこれらの事業者を利用して運営されているため、その場合、当社はeSIMを販売またはお届けすることができません。法令上保存が必要な記録は、第6条に記載のとおり保存します。

破棄の手続および方法

当社は保存データを定期的に点検し、保存期間が満了した個人情報を削除します。また、お客様から削除のご請求があった場合は遅滞なく削除します。法令上保存が必要な記録は、他のデータと分けて保存し、その期間が満了するまで当該目的のためにのみ利用します。個人情報は電子的な形でのみ保有し、復元できない方法でデータベースから削除します。当社は紙の記録を保管しません。

安全性確保のための措置

当社の技術的・管理的な保護措置は、ハッシュ化されたパスワード、暗号化された接続、権限のある管理者へのアクセス制限などを含め、第10条に記載しています。

お客様の権利とその行使方法

お客様は、abuse@elysia-root.com までメールをお送りいただくことで、個人情報の閲覧、訂正、削除または取扱いの停止を求め、また同意を撤回することができます。法定代理人またはお客様が委任した方が、お客様に代わって請求することもできます。当社は、請求された方のご本人確認を行った後、遅滞なく対応します。

個人情報保護責任者

当社の個人情報保護責任者は、代表者の李尙珉（Sangmin Lee）です。連絡先: abuse@elysia-root.com。

救済手段

個人情報に関する苦情についてサポートが必要な場合は、以下の機関にもご相談いただけます。

• 個人情報紛争調停委員会 — www.kopico.go.kr, 1833-6972
• 個人情報侵害申告センター（韓国インターネット振興院） — privacy.kisa.or.kr, 118
• 大検察庁 — www.spo.go.kr, 1301
• 警察庁サイバー捜査局 — ecrm.police.go.kr, 182

15. 日本のお客様へ

本条は、個人情報の保護に関する法律（以下「個人情報保護法」）に基づき当社が公表する事項を記載したものです。

事業者

Elysia Root L.C.（米国ワイオミング州の有限責任会社、ワイオミング州登録番号 2022-001141349）。郵便宛先: 533, 2FL, 447 Broadway, New York, NY, United States。代表者: 李尙珉（Sangmin Lee）。

利用目的

当社は、個人情報を第3条の目的のためにのみ利用します。

安全管理措置

• 組織的安全管理措置: 個人データへのアクセスは代表者と権限のある管理者に限定し、注文データは当該注文を行ったアカウントにのみ表示されます。
• 技術的安全管理措置: パスワードはソルト付きハッシュとして保存し、通信はHTTPSで暗号化し、セッションクッキーは署名し、自動化された不正利用はCloudflare Turnstileで遮断します。
• 物理的安全管理措置: 当社は紙の記録を保管せず、自社のサーバーも運用していません。データはCloudflareのデータセンターに保管され、Cloudflareが物理的に保護しています。
• 外的環境の把握: 個人データは、米国およびCloudflareがデータセンターを運営する国に保存されます。当社は、米国における個人情報の保護に関する制度を把握した上で安全管理措置を講じます。

外国にある第三者への提供

当社は、いずれも米国に所在するStripe, Inc.およびCloudflare, Inc.に個人データの取扱いを委託しています。Stripeは、決済処理については当社の指示に基づいてデータを取り扱い、不正防止や自らの法的義務の履行など一部の目的については、自らのプライバシーポリシーに基づき独立した事業者として取り扱います。個人情報保護法上、外国にある者への委託は、外国にある第三者への提供に該当します。当社は、これらの提供先がいずれも個人情報保護法が求める措置に相当する措置を講ずるための体制を整備していることを根拠として提供しています。すなわち、当社との契約の一部を構成する各社のデータ処理条項により、データの取扱いは当社の指示に基づき当社の目的の範囲内に限定され、安全管理措置の実施および漏えい等の通知が義務付けられています。当社は、事業者の利用開始時、これらの条項の変更時、および少なくとも年1回、これらの条項の内容と各提供先におけるその実施状況を確認し、確認の都度その記録を保存します。ご請求があれば、それらの措置の内容と、その実施を当社が確認する方法についてお知らせします。

米国には包括的な連邦の個人情報保護法はなく、分野別の連邦法およびカリフォルニア州消費者プライバシー法などの州法により保護が図られています。

Singtel、IIJmio、CMLink、SK Telecom、LG Uplus、Airtel、NTT Docomo、Verizon、AT&T、Threeなどの携帯電話事業者は、当社がデータを提供する提供先ではありません。お客様の端末がeSIMを利用する際は当該事業者のネットワークに直接接続し、事業者は電気通信サービスの提供者として、その所在国の法令に従い、eSIMの識別子（ICCIDおよびEID）、端末の機種、データ使用量その他の接続データを自ら取り扱います。

開示等の請求

お客様は、abuse@elysia-root.com までメールをお送りいただくことで、保有個人データの利用目的の通知、開示、訂正、追加、削除、利用停止もしくは第三者提供の停止、または第三者提供記録の開示を請求することができます。当社はアカウント上の情報と照合してご本人確認を行い、メールで回答します。法定代理人またはお客様が委任した方が、お客様に代わって請求することもできます。

お問い合わせおよび苦情

当社の個人情報の取扱いに関するお問い合わせおよび苦情は、abuse@elysia-root.com までお送りください。