本ポリシーは、QRkit.ioの利用に伴う個人情報の収集、利用、共有、保護について説明します。
更新日:
データ管理者： marc.IT digital solution
所有者・責任者： Marc Wolf
住所： Rehleite 1, 95326 Kulmbach, ドイツ
メール： [email protected]
プライバシーに関するお問い合わせは、件名に「Privacy」または「Datenschutz」と記載して[email protected]へお送りください。
監督機関（バイエルン州）： Bayerisches Landesamt für Datenschutzaufsicht（BayLDA）、Promenade 18, 91522 Ansbach, Germany。
本プライバシーポリシーは、ウェブサイト、アカウントのダッシュボード、API、決済、サポートへの連絡、関連サービスに適用されます。
QRkit.ioの利用にあたっては、利用規約もご確認ください。
処理するデータ
目的： アカウントの作成、利用者認証、パスワード不要のログインとGoogleログイン、セッションの維持、安全なダッシュボードへのアクセスを提供します。
法的根拠： GDPR第6条第1項(b)（契約の履行）および同項(f)（サービスの安全性と不正利用防止）。
処理するデータ
目的： 有料契約の処理、Stripe決済・Webhookイベントの照合、請求概要の表示、返金、請求イベントの記録を行います。
法的根拠： GDPR第6条第1項(b)（契約の履行）および同項(c)（法定保存・会計義務）。
処理するデータ
目的： QRコードを生成し、動的なリンク先を維持し、ダッシュボードにスキャン統計を表示します。
法的根拠： GDPR第6条第1項(b)（契約の履行）。
処理するデータ
目的： 設定済みのSMTP基盤を通じて、有効化、ログイン、請求通知、サポート返信、解約確認、サービスのお知らせを送信します。
法的根拠： GDPR第6条第1項(b)（契約の履行）および同項(f)（確実な顧客への連絡）。
処理するデータ
目的： 同意後に公開サイトの閲覧・利用状況を測定し、Googleログインを提供します。アカウント設定で明示的に希望した場合は、利用者自身のGoogle AnalyticsプロパティをQRkitダッシュボードに接続します。
法的根拠： GDPR第6条第1項(a)（必須ではない公開サイト分析への同意）、同項(b)（依頼されたログイン・連携機能の提供）、同項(f)（アカウントの完全性と機能の運用）。
処理するデータ
目的： 不正利用の検出、繰り返しのログイン試行の制限、障害調査、サーバー・アプリのログとリクエストの照合を行い、サービスを安定して運用します。
法的根拠： GDPR第6条第1項(f)（サービスの安全性、不正防止、運用の完全性）。
ログイン、認証済みダッシュボードのセッション維持、アカウント関連のリクエスト保護に、必須Cookieや同等のトークンを使用します。主なセッションCookieはqr_auth_sessionです。HTTP-only、SameSite=Laxに設定され、ログアウトや削除がない限り最大30日間保存されます。
アカウントの有効化やパスワード不要のログインに、有効期限の短い操作トークンを生成します。広告には使用せず、利用者がリクエストした認証の完了に使用し、通常は約1時間で失効します。
分析に同意した場合、公開ページでGoogle Tag ManagerとGoogle Analyticsを読み込み、閲覧数、ページのパス、参照元、おおよその場所、デバイス・ブラウザー情報、一部の操作を測定することがあります。ダッシュボードで利用者自身のGoogle Analyticsを接続する機能は、以下に記載する別の任意連携です。
マーケティングに同意し、該当する連携が有効な場合、公開ページでMeta Pixelなどの広告・効果測定技術を読み込むことがあります。必須ではない分析・マーケティング技術はCookie設定で同意するまで無効であり、選択はいつでも変更できます。
有料プランの決済はStripeで処理します。QRkit.ioにはカードの生の情報を保存しません。契約状況の同期と表示に必要なStripeの顧客、サブスクリプション、プラン、状態、請求書の参照情報、請求に関する日時を保存します。
お支払いポータルを利用できる場合、請求書、支払い方法、契約状況をStripeのカスタマーポータルで確認するために必要なデータもStripeに送信されます。
Stripeは決済や継続請求に伴い、不正防止や支払いリスクに関する情報を処理することがあります。詳しくは返金ポリシーをご確認ください。
Googleでログインする場合、Googleは認証プロバイダーとして、アカウント認証に必要なプロフィール情報を当社に送信します。Googleログインを利用しない場合、この処理は行いません。
アカウント設定から明示的に開始した場合、QRkitは任意のGoogle Analytics接続を提供します。選択したプロパティのデータを取得し、ダッシュボードに表示するためのアクセス情報を、接続解除まで保存します。
動的QRコードでは、分析機能のためにスキャンイベントを記録します。取得可能なリクエスト情報に応じて、時刻、OS、国、都市、対象のQRコード、重複集計を減らし精度を高めるためにリクエスト属性から作成したハッシュ化識別情報が含まれます。
同意に基づき、公開サイトの閲覧数、パス、参照元、おおよその場所、デバイス・ブラウザー情報、登録・QR作成・ダウンロードなどの操作も処理します。認証済み利用者が対象のダッシュボード機能を正常に使用した際は、ルート名、機能キー、HTTPメソッド、応答状態、操作したアカウント、所有者アカウント、リクエストIDなどを記録し、利用状況、サポート、障害分析を追跡可能にします。
通信の暗号化、アクセス制御、サーバー側の認証確認、頻度制限、リクエスト検証、運用監視など、個人情報を保護するための技術的・組織的な対策を講じます。
繰り返しのログイン失敗や不審な操作を防ぐため、ハッシュ化したIP・メールの参照情報、処理結果、所要時間、技術的なリクエスト情報などを保存することがあります。障害、不正の兆候、Webhook配信の問題を調査する際は、リクエストIDをウェブサーバーのアクセスログ、アプリのエラーログ、インフラのログと照合することがあります。
オンラインシステムにはリスクがあるため、絶対的な安全性は保証できません。
個人情報を販売しません。サービス運営、依頼された取引、連絡の配信、法的義務の遵守に必要な場合にのみ共有します。
役割： QRkit.ioのアプリサーバー、データベース、ストレージ、バックアップ、運用ネットワークを提供するホスティング・インフラ事業者です。
通常対象となるデータ： ホスティング、バックアップ、障害対応に必要なアカウント記録、QRコンテンツ、生成ファイル、スキャン分析、サーバーログ、技術情報。
役割： 決済、契約管理、請求書、カスタマーポータル、不正決済の確認を行う決済処理事業者です。
通常対象となるデータ： 請求用メール、契約・請求書情報、決済識別情報、Webhook関連の取引参照情報。
役割： 同意に基づく公開サイト分析、Googleログインの認証、利用者が希望するGoogle Analytics接続を提供します。
通常対象となるデータ： 同意済みの閲覧数、パス、参照元、おおよその場所、操作イベント、OAuth識別情報、ログインに必要なプロフィール情報。任意接続時はAnalyticsのアカウント・プロパティ情報とアクセストークンも含まれます。
役割： Meta Pixelが有効で、公開ページのマーケティングCookieに同意した場合に、広告と効果測定を提供します。
通常対象となるデータ： 同意済みの閲覧情報、イベントデータ、ブラウザー識別情報、マーケティングCookieの値などの広告・効果測定情報。
役割： 設定済みのSMTPホストsmtps.udag.deを通じてサービスメールを配信する事業者です。
通常対象となるデータ： 宛先、送信者情報、メッセージ本文、必要な請求書やサポートの添付ファイル。
法律上の義務、ポリシーの執行、法的請求への対応、サービスの権利・安全性・完全性の保護のために、情報を開示することがあります。
アカウントが有効で、サービス提供に必要な間保存します。削除・終了後は、法的請求、不正防止、法定義務のために保存が必要な場合を除き、残るデータを削除または利用停止します。
主なセッションCookieは、ログアウトや早期削除がない限り最大30日間有効です。有効化・ログインの操作トークンは短期間で、通常約1時間で失効します。
請求に関する記録は法定期間保存します。商法や税法が適用される場合、通常は最大10年間です。
頻度制限、障害対応、不正防止、サービスの完全性のために運用上必要な期間のみ保存します。障害や紛争がある場合、解決まで一部の証拠を長く保存することがあります。
申請の処理、結果の記録、保存義務・紛争対応義務のために必要な期間保存します。
QRキャンペーンのスキャン分析は、早期削除の依頼や法的義務がない限り、関連するQRコードやアカウントのデータが分析機能に必要な間保存します。
一部の事業者は複数の国で個人情報を処理します。EUまたはEEAの外に移転する場合、十分性認定、契約上の保護、適用法で求められる同等の移転措置など、適切な保護に依拠します。
通常の所在地： ドイツ / EU
予定している本番環境のホスティングはEU内です。主要なホスティング基盤を通じた恒常的な第三国への移転は想定していません。
通常の所在地： EEA、英国、米国、その他のStripeグループ拠点
Stripeは国際的なグループ基盤で決済・請求情報を処理することがあります。EEA外への移転には、契約と適用法に基づく移転措置を適用します。
通常の所在地： EEA、米国、その他のGoogle拠点
Googleによる同意済みの公開サイト分析、Googleログイン、利用者が希望するGoogle Analytics接続では、米国を含むEEA外で処理されることがあります。
通常の所在地： EEA、米国、その他のMeta拠点
マーケティングへの同意とMeta Pixelの有効化がある場合、MetaはEEA外を含む国際基盤で広告・効果測定情報を処理できます。
通常の所在地： 事業者によって異なります
サービスメールはQRkit.ioに設定されたSMTP基盤を通じて送信します。事業者や宛先ドメインによっては、国境を越えて処理される場合があります。
権利を行使するには[email protected]へご連絡ください。一部の申請には本人確認が必要です。一般的なプライバシーやデータ保護についても同じ窓口をご利用いただけます。
本サービスは13歳未満の子どもを対象としていません。13歳未満の個人情報を、そうと知りながら収集することはありません。子どもが情報を提供したと思われる場合はご連絡ください。適切に対応します。
ウェブサイトやダッシュボードには外部サービスへのリンクが含まれることがあります。そのサービスの個人情報の取り扱いには、各サービスのポリシーが適用されます。
製品、運用、法律、事業者の変更に合わせて本ポリシーを更新することがあります。重要な変更はページ上部の更新日に反映します。更新後も利用を続けた場合、改定後のポリシーに同意したものとします。
本ポリシーやデータの取り扱い、プライバシー、お支払い、アカウントについては、[email protected]またはお問い合わせページからご連絡ください。
