隐私政策
1. 简介
本隐私政策（以下简称“本政策”）说明 Japan Onsen & Sauna Guide（以下简称“本网站”）如何收集、使用、保护和共享用户（以下简称“用户”）的个人信息。
本网站面向日本国内及国际用户提供服务，并遵守以下法律法规：
- 日本个人信息保护法（APPI）
- 欧盟通用数据保护条例（GDPR）
- 加利福尼亚消费者隐私法（CCPA）
- 其他适用的各国数据保护法
2. 经营者信息
服务提供者： 株式会社ForceEngine
注记： 对于设施搜索、文章浏览等免费部分，核心业务并不属于《特定商业交易法》所规定的“通信销售”。另一方面，如购买 Premium Magazine 等付费数字内容，请查看基于特定商业交易法的标示。
3. 收集的个人信息
3.1 加入等待名单时收集的信息
在注册 Premium Magazine 的等待名单时，我们会收集以下信息。
- 电子邮件地址（由用户自愿输入）
- 注册日期和时间
- 注册时的语言设置
所收集的信息仅用于在杂志发布时发送通知邮件。您可随时通过邮件中的取消订阅链接退出等待名单。
3.2 联系我们时收集的信息
我们会收集通过联系表单提交的以下信息。
- 电子邮件地址
- 咨询内容
- 发送日期和时间
3.3 自动收集的信息
当您访问本网站时，以下信息会自动收集：
- IP地址
- 浏览器类型和版本
- 操作系统
- 引荐来源URL（访问本网站的来源页面）
- 访问日期和时间
- 浏览页面
- Cookie ID（如下所述）
3.4 位置信息
在使用设施搜索功能时，经用户许可，我们可能会获取设备的位置信息（纬度和经度）。该信息仅用于提供搜索结果，不会被保存。
3.5 购买 Premium Magazine 等内容及付款时收集的信息
通过 Stripe Checkout 等购买付费内容时，以下信息会由我们公司或通过支付代行服务商进行处理。
- 电子邮件地址（用于确认购买者、发送 magic link）
- 所购买内容的识别信息（如杂志标识符等）
- 与支付和订单相关的识别信息（如支付代行服务商发行的交易 ID 等。卡号本身不会存储在我们的服务器上）
- 支付金额、货币和支付日期时间（作为交易记录）
卡号和安全码等敏感支付信息由支付代行服务商按照 PCI DSS 合规方式处理。
3.6 通过 magic link 等登录（认证）时处理的信息
为访问付费内容而进行登录时，可能会涉及我们使用的认证基础设施。此时，以下信息可能会被生成和保存。
- 电子邮件地址（登录链接的发送对象）
- 会话标识符和认证令牌（可能会保存在浏览器 Cookie 等中）
- 与登录尝试有关的技术日志（为防止滥用而记录的 IP 地址、访问日期时间等）
4. 个人信息的使用目的
我们会将收集到的个人信息用于以下目的：
4.1 服务提供
- 内容展示和管理
- 付费内容的购买处理、购买记录管理、浏览权限授予
- 通过 magic link 等实现登录，维持会话
- 购买完成通知、浏览用链接发送、重新登录用链接发送（在用户办理相关手续时）
4.2 服务改进
- 访问分析
- 提升网站易用性
- 开发新功能
4.3 沟通
- 回应咨询
- 发送重要通知（安全相关、服务变更等）
- 向等待名单注册者发送杂志发布通知邮件（基于注册者同意）
- 关于付费内容的购买完成通知，以及通过 magic link 等发送登录用邮件（在用户办理相关手续时）
4.4 防止滥用
- 检测垃圾信息和机器人
- 调查安全事件
4.5 遵守法律法规
- 履行法律义务
- 应对法律主张
5. 处理个人信息的法律依据（GDPR 对应）
处理欧盟居民个人信息的法律依据如下：
5.1 合法权益（GDPR Article 6(1)(f)）
- 为改进服务而进行分析
- 防止滥用
- 维持安全性
5.2 同意（GDPR Article 6(1)(a)）
- 使用分析 Cookie
- 注册等待名单
5.3 遵守法律义务（GDPR Article 6(1)(c)）
- 按法律要求保留信息
5.4 履行合同（GDPR Article 6(1)(b)）
包括欧盟境内用户在内，我们会在为订立和履行付费内容购买合同所需的范围内处理电子邮件地址、购买和支付相关信息。
6. Cookie 的使用
本网站使用以下 Cookie：
6.1 必要 Cookie（无需同意）
| 目的 | 保存期限 | | ------------------------------------------ | -------------------- | | 保存语言设置 | 30天 | | 维持登录会话（付费浏览认证等） | 遵循认证基础设施的设置 |
6.2 分析 Cookie（需要同意）
| 目的 | 保存期限 | | ------------------------------------------------ | -------- | | 访问分析（访客数、页面浏览量等统计） | 最长2年 |
关于访问分析服务： 本网站使用第三方访问分析服务来分析网站使用情况。这些服务会使用 Cookie 追踪用户行为，但不会收集可识别个人身份的信息。
Cookie 的管理： 您可以在浏览器设置中拒绝接受 Cookie，或删除现有 Cookie。不过，若禁用必要 Cookie，部分服务功能可能无法正常运行。
7. 向第三方提供个人信息
除以下情况外，本网站不会向第三方提供用户的个人信息。
7.1 提供服务所需的第三方
| 类别 | 目的 | 提供的信息 | 所在地 | | -------------------- | ---------------------------------- | ---------------------------------------------------------- | ------ | | 云数据库・认证 | 数据库、认证、存储 | 与等待名单、购买、认证有关的信息、会话相关数据 | 美国等 | | 访问分析服务 | 分析网站使用情况 | 访问日志 | 美国 | | 托管服务提供商 | 网站托管 | 访问日志 | 美国 | | 电子邮件发送服务 | 发送通知、magic link 等邮件 | 电子邮件地址、邮件正文中包含的链接令牌等 | 美国 | | 支付代行 | 处理信用卡支付 | 支付所需信息（完整卡号不由本公司持有） | 美国等 |
这些第三方根据适当的数据处理协议（Data Processing Agreement），在严格的安全标准下管理个人信息。
7.2 国际数据传输
如上所述，部分个人信息会被传输至美国或欧盟以外。此类传输通过以下机制受到保护：
- 标准合同条款（Standard Contractual Clauses, SCC）
- 充分性认定（如适用）
- 其他符合 GDPR 第5章的保护措施
7.3 基于法律法规的披露
在以下情况下，我们可能会因法律义务而披露个人信息：
- 法院命令
- 执法机构的正式请求
- 为紧急保护生命和身体
8. 用户的权利
8.1 所有用户的权利
- 访问权：查阅自己个人信息的权利
- 更正权：更正错误信息的权利
- 删除权：删除个人信息的权利
- 反对权：对个人信息处理提出异议的权利
8.2 欧盟居民（GDPR 适用对象）的附加权利
- 数据可携带权：以机器可读格式接收个人信息并转移至其他服务的权利
- 限制处理权：在特定情况下限制处理的权利
- 反对包括画像在内的自动化决策的权利
8.3 加利福尼亚州居民（CCPA 适用对象）的附加权利
- 知情权：了解收集的个人信息类别和具体信息的权利
- 删除权：要求删除个人信息的权利
- 拒绝销售权：拒绝出售个人信息的权利（本网站不会出售个人信息）
- 不受歧视权：不得因行使权利而受到服务歧视的权利
8.4 行使权利的方法
如需行使这些权利，请通过联系表单提交申请。
响应期限：
- 一般请求：30日内处理
- 复杂请求：最长60日（如需延长会提前通知）
9. 数据保留期限
| 数据类型 | 保留期限 | | ---------------------------------- | ------------------------------------------------------------------------ | | 等待名单注册信息 | 直到通过取消链接取消，或杂志发布后90天 | | 付费内容购买与支付记录 | 根据法律法规及会计、税务需要保留一段时间（期限届满后删除不必要的数据） | | 咨询内容 | 处理完成后最长1年 | | 访问日志 | 最长90天 | | 备份数据 | 最长180天 | | Cookie | 因 Cookie 而异（参见上文） |
为遵守法律法规而保留： 仅在存在税务相关记录等根据特定法律义务必须保留的信息时，才会在法律规定的期限内予以保留。
10. 数据安全
本网站采取以下技术和组织措施，以保护个人信息免受未经授权的访问、丢失、毁损和篡改：
10.1 技术措施
- SSL/TLS 加密：所有通信均通过 HTTPS 加密
- 定期安全更新
10.2 组织措施
- 严格管理访问权限
- 建立安全事件响应计划
10.3 数据泄露时的应对
万一发生个人信息泄露：
- 在72小时内向监管机构报告（GDPR 要求）
- 如属高风险，直接通知受影响用户
- 调查原因并实施防止再次发生的措施
11. 儿童个人信息
本网站不面向13岁以下儿童（如为欧盟居民，则为16岁以下）提供服务。我们不会故意收集13岁以下（欧盟居民为16岁以下）儿童的个人信息。
如果发现13岁以下儿童向本网站提供了个人信息，我们会立即删除该信息。
如您是监护人，并认为您的孩子向本网站提供了个人信息，请立即与我们联系。
12. 隐私政策的变更
本网站可能会因法律法规变化或服务改进而随时更新本政策。
12.1 变更通知方式
- 在网站上公告
12.2 变更生效
变更后的政策自发布于网站之时起生效。继续使用本服务即视为同意变更后的政策。
13. 致欧盟居民（GDPR 对应）
13.1 数据控制者
本网站运营者是您个人信息的数据控制者。
13.2 EU 代理人（GDPR 第27条）
对于像本网站这样总部位于欧盟境外的网站，通过服务器或支付代行等方式，个人数据被发送到欧盟外（例如：美国） 的情况（跨境传输）是可能存在的。就 GDPR 而言，这主要属于第V章（充分性认定、标准合同条款等，用于传输的保障）范畴。
另一方面，第27条所说的“欧盟境内代表”（即所谓 EU 代理人）的任命，并不会仅仅因为“存在跨境传输”而决定。对于位于欧盟境外的数据控制者，如果因持续向欧盟内的人士提供商品或服务等关系而处理个人数据，在满足法律要求时，可能需要任命，这是另一套规则。
本网站目前未设立 EU 代理人。如果欧盟居民的使用达到持续且一定规模，并判断有必要按照第27条进行处理，我们会通过本政策等方式告知并作出相应安排。关于个别法律判断，必要时请咨询专业人士。
13.3 向监管机构投诉
如您对 GDPR 有投诉，可以向您居住国家的数据保护监管机构提出申诉。
主要欧盟数据保护机构：
- 德国：Bundesbeauftragte für den Datenschutz und die Informationsfreiheit
- 法国：Commission Nationale de l'Informatique et des Libertés (CNIL)
- 各国监管机构列表
14. 致加利福尼亚州居民（CCPA 对应） {#ccpa-rights}
14.1 关于个人信息的销售与共享
重要通知：本网站不会出售个人信息。
本网站不会进行以下行为：
- 以金钱对价向第三方出售个人信息
- CCPA 所定义的“共享”（为跨情境行为广告目的披露个人信息）
关于向第三方提供：
本网站与服务提供者（云服务商、分析服务等）共享的个人信息仅限于提供服务所必需的范围，这些服务提供者均在严格的数据保护协议下运作。此类共享不属于 CCPA 所定义的“销售”或“共享”。
14.2 Global Privacy Control (GPC) 对应
本网站会自动识别并尊重 Global Privacy Control (GPC) 信号。
GPC 是什么：
- 通过浏览器或浏览器扩展发送的信号
- 表示用户“不希望个人信息被销售或共享”的意愿
- 加利福尼亚州法律（CCPA）要求的响应
本网站的处理：
- 当您使用启用 GPC 的浏览器访问本网站时，我们会自动禁用分析 Cookie
- 不会显示横幅，并会立即应用偏重隐私的设置
GPC 的设置方法：
- 支持浏览器：Brave、Firefox（扩展）、DuckDuckGo 等
- 详情请见：https://globalprivacycontrol.org/
14.3 加利福尼亚州权利行使
您可按本政策第8条所述方式行使权利。
加利福尼亚州居民的特别权利：
- 知情权：过去12个月内收集的个人信息类别和具体信息
- 删除权：要求删除本网站持有的个人信息
- 拒绝销售权（本网站不销售个人信息）
- 不受歧视权：不会因行使权利而降低服务质量
行使权利的方法：
请通过联系表单提交申请。
响应期限： 45日内（如情况复杂最长90日，延期时会提前通知）
15. 加入和退出等待名单
15.1 关于注册
Premium Magazine 的等待名单是一项可由希望在杂志发布时收到通知的用户自愿注册的服务。注册仅需电子邮件地址。
加入等待名单时，我们会基于以下法律依据处理个人信息（GDPR Article 6(1)(a)）：
- 同意：用户自愿输入电子邮件地址并点击注册按钮，即视为同意。
15.2 通知邮件
注册后，我们可能会发送以下邮件：
- 注册确认邮件
- 杂志发布通知邮件
我们不会发送任何垃圾邮件。仅发送杂志发布通知。
15.3 退出方法
您可随时退出等待名单：
- 邮件中的取消链接：点击收到邮件中的“取消订阅”链接
- 联系表单：通过联系表单告知希望取消
退出后，注册信息将迅速删除。
16. 面向 Premium Magazine 购买者的处理（支付与认证链接）
16.1 购买与支付
在购买付费内容时，电子邮件地址、购买内容、支付代行服务商发行的交易识别符等，会为履行合同及遵守法律法规而被处理。信用卡号码等原则上由支付代行服务商系统处理，本网站不会将其存储在我们的服务器上。
16.2 认证用链接
我们可能会向有浏览权限的用户的电子邮件地址发送一次性登录 URL。这是因为我们采用不由本公司长期保存密码的认证方式。链接的有效期限和重新发放步骤，请遵循该邮件及网站上的说明。
16.3 第三方服务
关于支付、认证/数据库、邮件发送等处理的详细情况，请查看本政策第7条以及各提供者的隐私政策。
17. 准据法与管辖
17.1 准据法
本政策的解释和适用以日本法律为准。
但以下法律法规可能具有优先适用效力：
- 对欧盟居民适用欧盟通用数据保护条例（GDPR）
- 对加利福尼亚州居民适用加利福尼亚消费者隐私法（CCPA）
- 以及其他用户居住地的强制性法律规定
17.2 管辖法院
就本政策相关争议，东京地方法院为第一审的专属协议管辖法院。
但如因强制性法律规定而应优先适用其他法院管辖，则不在此限。
