プライバシーポリシー

データ管理者：BC株式会社 住所：〒150-0043 東京都渋谷区道玄坂1-10-8 渋谷道玄坂東急ビル2F-C 連絡先：privacy@thelegasee.com（プライバシー責任者） ※ 基本窓口は日本（上記）で統一します。EU/UK代表者や各地域の追加窓口を設置した場合は付録に追記します。

連絡先（氏名、住所、電話、メール）

アカウント情報（ログインID、パスワード、認証ログ）

支払・取引情報（カード・口座、請求、返金、税務関連）

利用情報（購入・閲覧履歴、レビュー、カート、サポート履歴）

真正証明（HAKOGAKI）/NFT 関連：商品メタデータ、所有・譲渡履歴、トランザクションID

オンライン識別子（IP、デバイス、ブラウザ、Cookie、広告ID、アクセス日時）

マーケティング関連（アンケート、キャンペーン、ニュースレター設定）

〔任意〕イベント/コミュニティ参加情報、応募情報、本人確認（KYC）に必要な資料

機微情報（Sensitive Personal Information）を取得する場合（例：本人確認書類番号、正確な位置情報など）は、収集時に明確にお知らせし、各地域法に従って適切に制限します（第11章・付録C）。

ご本人からの提供（登録、購入、問い合わせ、応募、イベント参加 等）

自動的収集（Cookie/SDK/ログ）

第三者からの受領（決済・配送・不正対策ベンダー、アフィリエイト、SNS連携 等：第9章参照）

サービス提供・運営（アカウント作成・認証、決済、配送、サポート）

真正証明（HAKOGAKI）/NFTの発行・管理、由来・所有履歴の記録

サービスの保護（不正検知、セキュリティ監視、利用規約の執行）

改善・分析（品質向上、新機能開発、パフォーマンス測定）

通知・連絡（重要なお知らせ、約款変更、サポート返信）

マーケティング（同意・オプトイン/オプトアウト設定に従う：第10章）

契約履行・契約前手続（登録、決済、配送、サポート）

同意（ニュースレター、広告Cookie、特定のKYC項目 等）—撤回可

正当な利益（改善、不正対策、統計）—バランス考慮、異議申立権あり

法的義務（税務・会計、当局要請、制裁・マネロン対策 等）

当社は日本所在ですが、世界各地のサービス提供者を利用します。移転先には、EU/EEA→日本：EUの日本向け十分性認定、その他の第三国：標準契約条項（SCCs）、UK IDTA/附属書、LGPD適正保証、PIPEDA/Quebec法25の契約措置等を適用します。米国受領者がEU–US/UK–US データプライバシーフレームワークに認証済みの場合は該当枠組みを使用します。中国本土（PIPL）向けは付録Kのとおり、中国SCC届出・認証・安全評価等を満たした場合に限ります。

ブロックチェーンは改ざん困難・原則不変であるため、個人を直接特定する情報は原則オンチェーンに記録しません（ハッシュ/疑似匿名化）。

誤記・削除要請時は、リンク遮断・鍵破棄・トークン無効化など、各地域法で認められる実務上の是正手段を講じます。

所有・取引履歴は正当性証明のため長期保存されますが、最小化の原則を徹底します。

提供先の類型：決済事業者、金融機関、配送業者、KYC/不正対策ベンダー、クラウド/分析/CRM、HAKOGAKI/NFT基盤提供者、広告配信/計測事業者（同意がある場合）

契約管理：機密保持、目的外利用禁止、適切な安全管理、移転国の適法性を契約で義務化し、監督します。

法令要請・企業再編時の移転は、適用法と合理的な保護措置に従います。

当社が講じる安全管理措置の具体的な内容については、第18条の当社の窓口までお問合せください。

当社は機能・分析・広告のCookie/SDKを使用する場合があります。EU/UK等の同意が必要な地域では、同意が取得できない環境（バナーや設定が未整備等）では、非必須Cookieは設定しません。

グローバル・プライバシー・コントロール（GPC）等の認可済み自動信号を合理的範囲で尊重します。

ブラウザやOSの設定でCookieや広告識別子を管理できます。設定変更の方法は各提供元のヘルプをご参照ください。

メールによる同意撤回・広告オプトアウトも受け付けます（第20章参照）。

機微情報（例：本人確認番号、厳密位置）は提供サービスの実行・セキュリティ等、限定目的でのみ使用し、推測的プロファイリングには用いません。

法的に重要な効果を及ぼす自動化判断は現時点で行っていません。将来導入時は事前通知と手動レビュー権を提供します。

契約・取引：契約中および会計・税務等の法定保存期間

HAKOGAKI/NFT：真正性担保のため長期（半永久）保持。ただし個人特定性は最小化

マーケティング：同意撤回または目的終了まで

セキュリティログ：最長5年

期間満了後は安全に削除または匿名化します。

技術的：TLS/SSL、アクセス制御、暗号化、監査ログ、脆弱性管理、鍵管理

組織的：ポリシー/手順、権限管理、委託先監督、教育訓練

物理的：入退室管理、媒体管理

侵害発生時は、適用法に従い通知・是正を行います。

一般に13歳未満（EU等では各国法の年齢、原則16歳未満）の利用には保護者同意が必要です。未成年データは最小限とし、広告目的には利用しません。

アクセス、訂正、削除、処理制限、データポータビリティ、同意撤回、異議申立て

HAKOGAKI/NFTの特性上、オンチェーンの完全削除が技術的に不可能な場合があります。その際はリンク遮断・追跡不能化等の代替措置を提供します（第8章）。

権利行使はメールで受付：privacy@thelegasee.com（第20章の手順をご参照ください）。

当社は対価を得て個人情報を「販売」することはありません。

行動広告等のための「共有」（CPRA定義）は、同意/選択に基づく場合に限り行うことがあります。

「販売/共有のオプトアウト」はメール（第20章）およびGPC信号で受け付けます。

反マネロン/制裁遵守（KYC等）

税務・会計記録、消費者保護法、電子商取引規制、知的財産・輸出管理 等

当社窓口：privacy@thelegasee.com（日本）

EU/EEAの方は居住国の監督当局へ、英国はICOへ苦情申立てが可能です。

本ポリシーを更新する場合、当社サイト/アプリで周知し、有意義な変更は個別通知します。掲載時点から効力を有します。

当社サイトに専用リンクやフォームがない場合でも、以下の手順でメールのみで完結できます。送信先は privacy@thelegasee.com です。

本人確認：登録メールアドレスからの連絡を推奨。取引番号/注文IDの提示により確認を行います。身分証の画像送付は当社が個別に依頼した場合のみ。

回答期限：EU/UKは原則「1か月以内」（複雑な場合は最長2か月延長）。米国州法は原則「45日以内」（最大45日延長）。

下記テンプレートをコピーしてお使いください（必要な行のみ残してください）。なお、当該手続につきましては、１件あたり●●●●円の手数料を頂戴する場合があります。

■ アクセス/開示請求（DSAR） 【件名】データアクセス請求（氏名／アカウントメール） 【本文】 1) 氏名／アカウントメール： 2) 対象期間： 3) 請求内容：アクセス／ポータビリティ／処理目的の説明 など 4) 本人確認情報：注文ID or 直近の購入日など

■ 訂正請求 【件名】訂正請求（氏名／アカウントメール） 【本文】 1) 訂正箇所： 2) 正しい情報： 3) 本人確認情報：

■ 削除請求 【件名】削除請求（氏名／アカウントメール） 【本文】 1) 対象データ： 2) 理由（任意）： 3) 本人確認情報： ※ オンチェーン記録は完全削除ができないため、リンク遮断等の措置を講じます。

■ マーケティング同意の撤回 【件名】マーケティング同意撤回 【本文】 1) ニュースレター配信停止／広告オプトアウト 2) アカウントメール：

■ （米国）Do Not Sell or Share（販売/共有のオプトアウト） 【件名】Do Not Sell or Share（CPRA） 【本文】 1) アカウントメール： 2) デバイス/ブラウザ情報（任意）： ※ 当社は受領から15営業日以内に反映します。GPC信号も尊重します。

■ （米国）Limit the Use of Sensitive PI 【件名】Limit the Use of Sensitive PI（CPRA） 【本文】 1) アカウントメール： 2) 制限を希望する範囲：

■ （米国）不服申立て（アピール） 【件名】プライバシー権利請求の不服申立て 【本文】 1) 直前の当社回答日： 2) 不服の理由： 3) 望ましい対応： ※ 45日以内に判断し、理由を通知します。

米国の一部州では代理人による請求が可能です。委任状や必要書類のご提示をお願いする場合があります。

代理人経由の請求でも、対象本人の確認のため、本人へ直接の確認連絡を差し上げる場合があります。

EU/UK等の同意地域：同意が取得できない環境では非必須Cookieを設定しません。すでに同意した場合は、メールで撤回できます。

ブラウザ/OS設定での制御も有効です。GPC信号を送信している場合、当社はこれを尊重します。

追加権利：反対権、自動化判断への介入権、監督当局への苦情申立権。

移転法的根拠：日本向け十分性認定、第三国向けSCCs等。

EU代表者：—（指定時に本付録へ追記）。

UK代表者：—（指定時に本付録へ追記）。

電子マーケティングは原則オプトイン、CookieはPECRに従い同意管理。

「販売」/「共有」：販売は実施しません。共有（行動広告）はオプトアウト可。メールおよびGPCで受付。

機微情報の限定：サービス提供・セキュリティ等の限定目的でのみ使用し、推測には使用しません。

権利：知る権利、訂正、削除、データ可搬、販売/共有のオプトアウト、差別的取扱いの禁止。

不服申立て（アピール）：メールで受付。45日以内に判断し理由を通知。

「収集時の通知（Notice at Collection）」は本ポリシーのカテゴリ表に相当（※リンク不要）。

オプトアウトは受領から15営業日以内に反映。

権利：アクセス、訂正、匿名化、不要データの削除、移植、同意撤回 等。

国際移転：標準条項/保証等を使用。

透明性・目的限定・最小化、自動化判断の説明義務（ケベック）。

移転先の契約的保護と越境影響評価の実施。

豪州（Privacy Act）：通知・アクセス・訂正、越境開示の合理的措置。

NZ（Privacy Act 2020）：原則13カ条、情報アクセス・訂正権、移転先の合理的保護。

同意・通知・アクセス・訂正・目的限定、DNC登録者へのマーケティング禁止。

移転先の標準契約。

通知・同意（PICS）、データアクセス・訂正請求、移転前の同意取得が原則。

事前同意・通知・目的限定、機微情報は厳格制限、アクセス・訂正・削除。

移転時は法的根拠・告知、クロスボーダー影響評価は義務ではないが推奨。

同意/正当目的、処理条件、機微処理は条件付き、越境移転に保護措置（SCC等）。

本質的に中国市民/中国本土設置サーバーに適用。データ移転は原則認証/安全評価/標準契約（SCC）登録等が必要。

当社は、中国本土向け販売時のみ、PIPL要件を満たした場合に限り移転を実施。明示同意・影響評価・契約登記等を遵守。

タイ（PDPA）・インドネシア（PDP法）・ベトナム（Decree 13）等：原則同意ベース、通知・アクセス・訂正権、国際移転は保護措置。

サウジ・UAE（GDPR類似）：高い透明性・同意・権利保障、移転保護。

ロシア・トルコ・イスラエル等：データローカリゼーションや移転制限あり。現地適用時は追加対応。