プライバシーポリシー

1. はじめに

Vavelio LTD（以下「当社」）は、お客様のプライバシー保護に取り組んでいます。 本方針は、当ウェブサイトを訪問される際、または当社のサービスを利用される際に、 当社が情報をどのように収集・利用・保護するかを説明するものです。

2. 当社が収集する情報

当社は最小限の情報のみを収集します。収集する可能性がある情報は以下のとおりです。

• お問い合わせフォームまたはメールで当社に連絡する際にご提供いただく情報。
• セキュリティ目的でホスティングプロバイダーが自動収集するサーバーログ。
• フィンランドの自社プライベートクラスター上で稼働する独自の VALS（Analytics Service）が収集する、匿名かつプライバシー最優先の利用統計。これには閲覧されたページが集計単位で含まれます。

当社のアクセス解析はデフォルトでプライバシーを優先する設定になっています。

• トラッキング Cookie は設定されません — アクセス解析は Cookie を一切使用せずに実行されます。
• IP アドレスは匿名化されます（末尾 2 バイトが除去されます）。
• リファラ URL のドメインのみが保存され、完全なリファラは保存されません。
• デバイスモデルと画面解像度の検出は無効化され、主要なブラウザと OS のバージョンのみが保存されます。
• URL 内の個人を特定できる情報（メールアドレス、トークン、パスワード、口座番号など）は、保存前にフィルタリングされます。
• ユーザー ID、訪問ログ、および訪問者プロファイルは無効化されています。
• E コマーストラッキングは無効化されており、注文 ID は収集されません。
• 個人を保護するため、集計レポートは丸め処理されます。
• ブラウザの Do Not Track（DNT）設定が尊重されます。
• アクセス解析データは最大 180 日間保持されます。

3. 情報の利用方法

収集した情報は、お問い合わせへの対応、当社インフラのセキュリティ維持、およびウェブサイト改善のための利用状況の 集計的な把握にのみ使用されます。当社は広告やマーケティング目的でデータを販売・共有・処理することはなく、 第三者による広告サービスやトラッキングサービスも使用しません。

4. 法的根拠

当社は、正当な利益（お問い合わせへの対応、ネットワークセキュリティの確保、ウェブサイト利用状況の集計的な測定）および 同意（お客様が当社に連絡することを選択した場合）という法的根拠に基づいて情報を処理します。 当社のアクセス解析は Cookie や識別子を使用せずに実行されるため、CNIL の同意免除条件に適合し、 同意バナーは不要です。

5. データの保持期間

通信記録は、収集された目的を果たすために必要な期間のみ保持されます。 サーバーログは最大 90 日間保持されます。匿名化されたアクセス解析データは最大 180 日間保持されます。

6. アクセス解析

当社は、クライアント向けに当社が構築・運用するプロダクトの一つである独自の VALS（Analytics Service）でウェブサイトの利用状況を測定しています。当社は自社のウェブサイトで自社製品を使用しています。ページを訪問すると、ブラウザから当社独自のインフラ vals.vavel.io へ匿名のアクセス解析リクエストが送信され、ページビューが集計単位で記録されます。

すべてのアクセス解析データは、フィンランドの自社プライベートクラスター上で VALS によってのみ保存・処理されます。アクセス解析データが第三者に送信されたり、第三者によって処理されたりすることは決してなく、米国拠点のアクセス解析サービスは一切使用されません。

アクセス解析の処理は、Vavelio LTD の ICO 登録（ZC024199）の対象であり、 英国 GDPR および EU 一般データ保護規則に準拠して実施されます。

ブラウザまたはネットワーク（例：広告ブロッカーやファイアウォール）でドメイン vals.vavel.io をブロックすれば、アクセス解析を完全に無効化できます。これにより、当社へのアクセス解析データ の送信はすべて防止されます。

7. お客様の権利

英国 GDPR に基づき、お客様はご自身の個人データの処理について、アクセス、訂正、消去、処理の制限、または 異議を申し立てる権利を有します。これらの権利を行使するには、 support@vavel.ioまでご連絡ください。

8. お問い合わせ

本方針に関するご質問は、 support@vavel.io までご連絡いただくか、Vavelio LTD, 128 City Road, London, EC1V 2NX, United Kingdom まで書面でお送りください。

地域別プライバシー

本方針に加えて、以下の地域別ガイダンスを公開しています。

• 日本 (APPI) — 「クラウド例外」。
• 韓国 (PIPA) — 第三者提供ではなく委託。
• 欧州 (GDPR) — EU/EEA全体のGDPR。