隐私政策
1. 简介
本隐私政策（以下简称“本政策”）说明 Japan Onsen & Sauna Guide（以下简称“本网站”）如何收集、使用、保护和共享用户（以下简称“用户”）的个人信息。
本网站面向日本国内及国际用户提供服务，并遵守以下法律法规：
- 日本个人信息保护法（APPI）
- 欧盟通用数据保护条例（GDPR）
- 加利福尼亚州消费者隐私法（CCPA）
- 其他适用的各国数据保护法律
2. 经营者信息
服务提供者： ForceEngine株式会社
备注： 对于设施搜索、文章浏览等免费部分，主要属于不构成特定商业交易法中“通信销售”的交易。另一方面，如购买 premium magazine 等付费数字内容，请确认基于特定商业交易法的标示。
3. 收集的个人信息
3.1 加入等候名单时收集的信息
在注册 premium magazine 的等候名单时，我们会收集以下信息。
- 电子邮箱地址（由用户自行输入）
- 注册日期和时间
- 注册时的语言设置
收集到的信息仅用于在杂志发布时发送通知邮件。您可随时通过邮件中的取消订阅链接退出等候名单。
3.2 咨询时收集的信息
我们会收集通过咨询表单发送的以下信息。
- 电子邮箱地址
- 咨询内容
- 发送日期和时间
3.3 自动收集的信息
访问本网站时，会自动收集以下信息：
- IP地址
- 浏览器类型及版本
- 操作系统
- 引荐来源URL（访问本网站前所在页面）
- 访问日期和时间
- 浏览页面
- Cookie ID（见下文）
3.4 位置信息
在使用设施搜索功能时，经用户许可后，我们可能获取设备位置信息（纬度和经度）。该信息仅用于提供搜索结果，不会被保存。
3.5 购买和支付 premium magazine 等内容时收集的信息
通过 Stripe Checkout 等购买付费内容时，以下信息将由本公司或通过支付代行服务商进行处理。
- 电子邮箱地址（用于确认购买者身份、发送 magic link）
- 所购内容的识别信息（如杂志标识符等）
- 与支付和订单相关的识别信息（如支付代行服务商发放的交易ID等。卡号本身不会保存在我们的服务器上）
- 支付金额、币种、支付时间（作为交易记录）
卡号、安全码等敏感支付信息由支付代行服务商按照 PCI DSS 合规方式处理。
3.6 通过 magic link 等登录（认证）时处理的信息
用于访问付费内容的登录会涉及我们所使用的认证基础设施。在此过程中，可能生成并保存以下信息。
- 电子邮箱地址（登录链接的发送对象）
- 会话标识符、认证令牌（可能保存在浏览器 Cookie 等中）
- 与登录尝试相关的技术日志（为防止滥用而记录的 IP 地址、访问时间等）
4. 个人信息的使用目的
收集的个人信息将用于以下目的：
4.1 服务提供
- 内容展示与管理
- 付费内容的购买处理、购买记录管理、访问权限授予
- 通过 magic link 等实现登录、维持会话
- 购买完成通知、阅读链接发送、重新登录链接发送（用户办理相关手续时）
4.2 服务改进
- 访问分析
- 提升网站易用性
- 开发新功能
4.3 沟通联系
- 回复咨询
- 发送重要通知（安全相关、服务变更等）
- 向等候名单注册者发送杂志发布通知邮件（基于注册者同意）
- 发送与付费内容有关的购买完成通知、通过 magic link 等登录用邮件（用户办理相关手续时）
4.4 防止滥用
- 检测垃圾信息和机器人
- 调查安全事件
4.5 法律合规
- 履行法定义务
- 应对法律请求
5. 个人信息处理的法律依据（GDPR对应）
处理欧盟居民个人信息的法律依据如下：
5.1 正当利益（GDPR Article 6(1)(f)）
- 为改善服务而进行的分析
- 防止滥用
- 维持安全
5.2 同意（GDPR Article 6(1)(a)）
- 使用分析 Cookie
- 加入等候名单
5.3 遵守法定义务（GDPR Article 6(1)(c)）
- 保留法律要求的信息
5.4 履行合同（GDPR Article 6(1)(b)）
包括 EU 域内用户在内，为签订和履行付费内容购买合同所必需的范围内，我们会处理电子邮箱地址、购买和支付相关信息。
6. Cookie 的使用
本网站使用以下 Cookie：
6.1 必需 Cookie（无需同意）
| 目的 | 保存期限 | | --- | --- | | 保存语言设置 | 30天 | | 维持登录会话（付费阅读认证等） | 按认证基础设施的设置执行 |
6.2 分析 Cookie（需要同意）
| 目的 | 保存期限 | | --- | --- | | 访问分析（访客数、页面浏览量等统计） | 最长2年 |
关于访问分析服务： 本网站使用第三方访问分析服务来分析网站使用情况。这些服务使用 Cookie 跟踪用户行为，但不会收集可识别个人身份的信息。
Cookie 的管理： 您可以在浏览器设置中拒绝接受 Cookie，或删除现有 Cookie。不过，若禁用必需 Cookie，部分服务功能可能无法正常运行。
7. 向第三方提供个人信息
除以下情况外，本网站不会向第三方提供用户的个人信息。
7.1 服务提供所必需的第三方
| 类别 | 目的 | 提供的信息 | 所在地 | | --- | --- | --- | --- | | 云数据库・认证 | 数据库、认证、存储 | 与等候名单、购买、认证相关的信息、会话相关数据 | 美国等 | | 访问分析服务 | 分析网站使用情况 | 访问日志 | 美国 | | 托管服务提供商 | 网站托管 | 访问日志 | 美国 | | 邮件发送服务 | 发送通知、magic link 等邮件 | 电子邮箱地址、邮件正文中包含的链接令牌等 | 美国 | | 支付代行 | 处理信用卡支付 | 支付所需信息（完整卡号不由本公司持有） | 美国等 |
这些第三方依据适当的数据处理协议（Data Processing Agreement），在严格的安全标准下管理个人信息。
7.2 国际数据传输
如上所述，部分个人信息会被传输至美国或欧盟以外地区。这些传输通过以下机制受到保护：
- 标准合同条款（Standard Contractual Clauses, SCC）
- 充分性认定（如适用）
- 其他符合 GDPR 第5章的保护措施
7.3 基于法律法规的披露
在以下情况下，可能会因法律义务而披露个人信息：
- 法院命令
- 执法机关的正式要求
- 为紧急保护生命或身体安全
8. 用户的权利
8.1 所有用户的权利
- 访问权：查看自己个人信息的权利
- 更正权：更正错误信息的权利
- 删除权：删除个人信息的权利
- 提出异议权：对个人信息处理提出异议的权利
8.2 欧盟居民（GDPR适用对象）的额外权利
- 数据可携权：以机器可读格式接收个人信息并转移至其他服务的权利
- 限制处理权：在特定情况下限制处理的权利
- 对包括画像在内的自动化决策提出异议的权利
8.3 加利福尼亚州居民（CCPA适用对象）的额外权利
- 知情权：了解所收集个人信息的类别和具体内容的权利
- 删除权：要求删除个人信息的权利
- 拒绝出售权：拒绝出售个人信息的权利（本网站不出售个人信息）
- 不受歧视权：不得因行使权利而受到服务歧视的权利
8.4 行使权利的方法
如需行使这些权利，请通过咨询表单提交申请。
处理期限：
- 一般请求：30日内处理
- 复杂请求：最长60日（如需延期会提前通知）
9. 数据保留期限
| 数据类型 | 保留期限 | | --- | --- | | 等候名单注册信息 | 直到通过取消链接取消，或杂志发布后90天 | | 与付费内容购买和支付相关的记录 | 按法律以及会计、税务需要的期限保留（期限届满后，删除不需要的内容） | | 咨询内容 | 处理完成后最长1年 | | 访问日志 | 最长90天 | | 备份数据 | 最长180天 | | Cookie | 因 Cookie 而异（见上文） |
为遵守法律而保留： 仅在存在税务相关记录等因特定法律义务而需要保留的信息时，才会在法律规定的期限内保留。
10. 数据安全
本网站为保护个人信息免遭未授权访问、丢失、破坏和篡改，已采取以下技术和组织措施：
10.1 技术措施
- SSL/TLS 加密：所有通信均通过 HTTPS 加密
- 定期安全更新
10.2 组织措施
- 严格管理访问权限
- 建立安全事件应对计划
10.3 数据泄露时的应对
万一发生个人信息泄露：
- 在72小时内向监管机构报告（GDPR要求）
- 如风险较高，直接通知受影响用户
- 调查原因并采取防止再次发生的措施
11. 儿童个人信息
本网站并非面向13岁以下儿童（如为欧盟居民，则为16岁以下）提供服务。我们不会故意收集13岁以下（欧盟居民为16岁以下）儿童的个人信息。
如发现13岁以下儿童向本网站提供了个人信息，我们将尽快删除该信息。
如您是监护人，并认为您的孩子向本网站提供了个人信息，请立即与我们联系。
12. 隐私政策的变更
本网站可能会因法律法规变化或服务改进而随时更新本政策。
12.1 变更通知方式
- 在网站上公告
12.2 变更生效
变更后的政策自发布到网站之时起生效。继续使用服务即视为同意变更后的政策。
13. 致欧盟居民（GDPR对应）
13.1 数据控制者
本网站运营者是您个人信息的数据控制者。
13.2 EU 代表（GDPR 第27条）
像本网站这样总部位于 EU 域外的主体，可能会因服务器、支付代行等原因，将个人数据发送至 EU 外（例如美国）（跨境传输）。在 GDPR 下，这主要属于第V章（充分性认定、标准合同条款等，即传输保障）的内容。
另一方面，第27条所说的“EU 域内代表”（所谓 EU 代表）的任命，并不是仅仅因为“存在跨境传输”就决定的。对于 EU 域外的数据控制者，如果其因持续向位于 EU 的人士提供商品或服务等关系而处理个人数据，并满足法律要求时，有时需要任命，这是另一项规则。
截至目前，本网站尚未设立 EU 代表。若来自 EU 居民的使用达到持续且一定规模，并判断有必要应对第27条，我们将通过本政策等进行通知并予以处理。关于个别法律判断，必要时请咨询专业人士。
13.3 向监管机构投诉
如对 GDPR 有投诉，您可以向所在国家/地区的数据保护监管机构提出申诉。
主要 EU 数据保护机构：
- 德国：Bundesbeauftragte für den Datenschutz und die Informationsfreiheit
- 法国：Commission Nationale de l'Informatique et des Libertés (CNIL)
- 各国监管机构名单
14. 致加利福尼亚州居民（CCPA对应） {#ccpa-rights}
14.1 关于个人信息的出售和共享
重要通知：本网站不出售个人信息。
本网站不会进行以下行为：
- 以金钱对价向第三方出售个人信息
- CCPA 所定义的“共享”（为跨情境行为广告目的披露个人信息）
关于向第三方提供：
本网站与服务提供者（云服务商、分析服务等）共享的个人信息仅限于提供服务所必需的范围，这些服务提供者在严格的数据保护协议下运作。这些共享不属于 CCPA 所定义的“出售”或“共享”。
14.2 Global Privacy Control (GPC) 对应
本网站会自动识别并尊重 Global Privacy Control (GPC) 信号。
什么是 GPC：
- 通过浏览器或浏览器扩展发送的信号
- 表示用户“希望不要出售或共享个人信息”
- 加利福尼亚州法律（CCPA）要求的对应措施
本网站的应对：
- 当使用启用 GPC 的浏览器访问本网站时，会自动停用分析 Cookie
- 不会显示横幅，而是立即应用重视隐私的设置
GPC 的设置方法：
- 支持浏览器：Brave、Firefox（扩展）、DuckDuckGo 等
- 详情见：https://globalprivacycontrol.org/
14.3 加利福尼亚州权利的行使
您可依照本政策第8条所述方式行使权利。
加利福尼亚州居民的特别权利：
- 知情权：过去12个月内收集的个人信息类别和具体内容
- 删除权：要求删除本网站持有的个人信息
- 拒绝出售权（本网站并未出售）
- 不受歧视权：不会因行使权利而降低服务质量
行使权利的方法：
请通过咨询表单提交申请。
处理期限： 45日内（如情况复杂最长90日，延期时提前通知）
15. 加入和退出等候名单
15.1 关于注册
premium magazine 的等候名单是希望在杂志发布时收到通知的用户可自行注册的服务。注册仅需电子邮箱地址。
加入等候名单时，我们会基于以下法律依据处理个人信息（GDPR Article 6(1)(a)）：
- 同意：用户自愿输入电子邮箱地址并点击注册按钮，即视为同意。
15.2 关于通知邮件
注册后，可能会发送以下邮件：
- 注册确认邮件
- 杂志发布通知邮件
我们不会发送垃圾邮件。仅会联系您关于杂志发布通知。
15.3 退出方法
您可随时退出等候名单：
- 邮件中的取消链接：点击收到邮件中的“取消订阅”链接
- 咨询表单：通过咨询表单告知希望取消
取消后，注册信息将尽快删除。
16. 面向 premium magazine 购买者的处理（支付、认证用链接）
16.1 购买与支付
购买付费内容时，电子邮箱地址、购买内容、支付代行服务商发放的交易识别信息等，将为履行合同及遵守法律法规而被处理。信用卡号码等原则上在支付代行服务商系统内处理，本网站不会将其保存到本公司的服务器上。
16.2 认证用链接
对于拥有访问权限的用户，可能会向电子邮箱地址发送一次性的登录 URL。这是因为我们采用了不由本公司长期持有密码的认证方式。链接有效期和重新发放流程请遵循该邮件及网站上的说明。
16.3 第三方服务
关于支付、认证・数据库、邮件发送等处理的详细内容，请参阅本政策第7条及各提供者的隐私政策。
17. 社交媒体运营（Threads）中的数据处理
运营本网站的 ForceEngine株式会社，可能出于编辑和社区运营目的，通过 Meta Platforms 提供的 Threads API（关键词搜索、标签搜索等）获取并处理 Threads 上公开发布的帖子信息。
17.1 获取和处理的信息
- 公开的 Threads 帖子正文、发布者的公开用户名、帖子 URL（永久链接）、发布时间等公开信息
- 不获取非公开账号的帖子，也不获取未公开的个人信息。
17.2 使用目的
- 掌握与日本温泉、sauna、旅行相关的话题，并策划编辑内容
- 供品牌账号的运营负责人进行内部浏览和参考，以便亲自进行诚信回复和交流
17.3 处理方针
- 获取到的公开帖子仅限于运营负责人理解内容的内部使用。
- 不会永久保存、向第三方出售或再分发该信息。
- 关注、点赞、回复等操作不自动化，全部由运营负责人手动完成。
- Threads API 的访问令牌将被安全管理，不用于本目的以外的用途。
- 本处理将遵守 Meta Platforms 的使用条款和平台政策。
18. 准据法与管辖
18.1 准据法
本政策的解释和适用适用日本法。
但在以下法律适用优先的情况下，可能适用相应法规：
- 对于欧盟居民，适用欧盟通用数据保护条例（GDPR）
- 对于加利福尼亚州居民，适用加利福尼亚州消费者隐私法（CCPA）
- 以及用户居住地适用的强制性法律
18.2 管辖法院
关于本政策的争议，以东京地方法院为第一审专属协议管辖法院。
但若因强制性法律规定而优先适用其他法院管辖，则不在此限。