発効日：2026-03-06
Veleiras（「当社」）はデジタル追悼プラットフォームです。当社のサービスを利用される方々、そして記憶される方々のプライバシーを非常に大切にしています。
お客様の個人データの処理を担当するデータ管理者は以下のとおりです：
Eliana dos Santos Pereira （個人事業主）
6020 Innsbruck, AT
Email: privacy@veleiras.com
As a micro-enterprise with fewer than 10 employees, we are not required to appoint a Data Protection Officer under Art. 37 GDPR. For privacy-related enquiries, contact us at: privacy@veleiras.com.
追悼の場所を作成する際、以下の情報を収集します：
共有リンクを通じてろうそくを灯したり追悼の場所を閲覧する訪問者の名前、メールアドレス、その他の識別情報は一切収集しません。
GDPR第6条(1)に基づき、各処理活動について以下の法的根拠に依拠しています：
| 処理活動 | 法的根拠 |
|---|---|
| アカウントデータ（メール、パスワード） | 契約の履行 — Art. 6(1)(b) |
| 追悼の場所のコンテンツ（名前、日付、写真、物語） | 契約の履行 — Art. 6(1)(b) |
| 支払いデータ（取引記録） | 契約の履行 — Art. 6(1)(b) + 法的義務（税務保管） — Art. 6(1)(c) |
| Cookie同意記録 | 正当な利益（コンプライアンス文書化） — Art. 6(1)(f) |
| サーバーサイド分析（集計） | 正当な利益（サービス改善） — Art. 6(1)(f) |
| メール通知 | 契約の履行 — Art. 6(1)(b) |
| セッションCookie（PHPSESSID、CSRF） | 厳密に必要 — 同意不要（ePrivacy指令 Art. 5(3)） |
保存時の暗号化：名前、メールアドレス、碑文、人生の物語、ゲストブックメッセージ、および感謝エントリ（大切にしていた人々についての名前と個人的な物語）を含むすべての機密個人データは、データベースに保存される前にAES-256-GCM認証暗号化（defuse/php-encryptionライブラリ経由）で暗号化されます。これにより、データベースが侵害された場合でも、暗号化キーなしではデータは読み取れません。
パスワードハッシュ：パスワードはメモリを大量に消費するパラメータを持つArgon2idでハッシュ化され、ブルートフォース攻撃を計算上実行不可能にしています。パスワードは平文で保存されることはありません。
転送時の暗号化：ブラウザと当社のサーバー間のすべての通信はHTTPS/TLS暗号化で保護されています。すべてのページとAPIエンドポイントでHTTPSを強制しています。
追悼の場所は公開ディレクトリではなく、暗号学的に安全な共有リンクを通じてアクセスされます。3つのアクセスレベルがあります：
有効なリンクがなければ、訪問者にはその人のファーストネームとろうそくのみの最小限のページが表示されます。招待なしには、物語、写真、メッセージは表示されません。
当社は厳密に必要なCookieのみを使用しています。トラッキングCookie、分析Cookie、サードパーティ広告Cookieは一切使用しません。
| Cookie | 目的 | 期間 |
|---|---|---|
| PHPSESSID | セッション管理（ログイン状態）。厳密に必要。 | ブラウザを閉じると失効 |
| CSRFトークン | クロスサイトリクエストフォージェリ攻撃からの保護。セキュリティ上厳密に必要。 | セッション |
| __cf_bmおよび類似のもの | Cloudflareがボット管理とDDoS保護のために設定。セキュリティ上厳密に必要。 | 最大30分 |
当社が使用するすべてのCookieはサービスの運営とセキュリティに厳密に必要であるため、ePrivacy指令Art. 5(3)に基づく同意要件から免除されています。
すべての訪問者にCookie同意バナーを表示しています。当社のCookieは厳密に必要であり同意は不要ですが、バナーは透明性を確保し、情報に基づいた選択を可能にします。お客様の設定はブラウザのlocalStorageに保存され、当社のコンプライアンス文書化のためにサーバー側に記録されます。
サーバー側の同意記録には以下が保存されます：ユーザーID（ログイン時）または匿名訪問者ID、同意アクション（承認/拒否）、同意バージョン、IPアドレスの一方向ハッシュ（IPアドレス自体ではありません）、およびタイムスタンプ。
Cookie同意記録は、データ管理者が同意が付与されたことを証明できなければならないとするGDPR Art. 7(1)に従い、3年間保持されます。
サービスの利用状況を理解し改善するため、集計された訪問統計を収集しています。これはすべてサーバーサイドで行われ、Cookie、JavaScriptトラッキング、個人の訪問者識別は使用しません。
保存するのは以下のみです：
CF-IPCountryヘッダーから取得）IPアドレス、ブラウザフィンガープリント、その他の個人識別情報は分析の一部として保存されません。個々の訪問者を識別または追跡することはできません。分析データは2年間保持されます。
すべての支払いはStripeによって処理されます。お客様のクレジットカード情報を閲覧、保存、処理することはありません。Stripeはすべての支払いデータをPCI DSS Level 1に準拠して取り扱います。
契約の履行および、オーストリア税法（BAO §132）に基づく財務記録保持の法的義務を果たすため、お客様の取引記録（Stripe支払いID、金額、日付、ステータス）を保存しています。支払い記録は取引後7年間保持されます。
| データカテゴリ | 保持期間 |
|---|---|
| アカウントデータ（メール、パスワードハッシュ） | アカウント削除まで + 30日 |
| 追悼の場所のデータ（ずっとプラン） | Veleirasが運営される限り（ずっとプランの条件を参照） |
| 追悼の場所のデータ（無料プラン） | 無期限。5年間の非アクティブ後にアーカイブされる場合があります（オーナーへ90日前にメールで通知） |
| 支払い記録 | 7年間（オーストリア税法、BAO §132） |
| Cookie同意記録 | 3年間（GDPR Art. 7(1)） |
| サーバーサイド分析 | 2年間 |
| セッションデータ（PHPSESSID） | ブラウザを閉じるまで |
| GDPR削除要求 | 30日以内にデータを削除。再登録の問題を避けるためメールハッシュは保持 |
追悼の場所を削除または削除を要求した場合、関連するすべてのデータ（写真、メッセージ、物語、ろうそく）は30日以内に当社のサーバーから完全に削除されます。
Veleirasの運営のために以下のサードパーティサービスプロバイダー（副処理者）を使用しています。各社とデータ処理契約（DPA）を締結しています：
| 副処理者 | 目的 | 所在地と保護措置 |
|---|---|---|
| Stripe, Inc. | 支払い処理 | 米国 — EU標準契約条項（SCC）+ DPA |
| Cloudflare, Inc. | CDN、DDoS保護、セキュリティ、メディアストレージ（R2）、エッジデータベース（D1） | 米国企業 — EUデータロケーション、EU-US Data Privacy Framework + DPA |
| Hostinger International Ltd. | ウェブホスティングとデータベース | EU域内サーバー — DPA |
お客様のデータはEU域内のサーバーに保存されています。当社のメインデータベースはHostinger（EU）にホスティングされ、Cloudflare D1（データベース）とR2（メディアストレージ）はEUデータロケーション用に設定されています。CloudflareのCDNはパフォーマンスとセキュリティのためにグローバルなエッジサーバーを経由してリクエストをルーティングする場合がありますが、保存データはEU内に留まります。Stripe（支払い処理）は米国に拠点を置き、EU-US Data Privacy Frameworkの認定を受けています。EU外へのすべての移転は、GDPR第V章の要件に従い、データ処理契約で保護されています。
欧州経済領域にお住まいの場合、以下の権利を有します：
これらの権利を行使するには、privacy@veleiras.comまでご連絡ください。GDPR Art. 12(3)の要件に従い、30日以内に回答いたします。
当社はGDPR Art. 22に定義されるプロファイリングまたは自動化された意思決定を一切行いません。お客様に影響を与える決定が自動化された手段で行われることはありません。ユーザーや訪問者の行動プロファイルを作成することはありません。
Veleirasは16歳未満の児童を対象としていません。児童から故意に個人データを収集することはありません。追悼の場所は、児童の両親または法定後見人によって作成することができます。
当社はこのポリシーを随時更新する場合があります。重要な変更は、追悼の場所のオーナーにメールで通知されます。このページ上部の発効日は常に最新版を反映しています。
プライバシーに関するご質問やご要望は：
privacy@veleiras.com
当社はすべてのプライバシーに関する懸念を直接解決するよう努めています。当社の回答にご満足いただけない場合は、監督当局に苦情を申し立てる権利があります：
オーストリアデータ保護当局
(Österreichische Datenschutzbehörde)
Barichgasse 40-42, 1030 Vienna, Austria
Email: dsb@dsb.gv.at
Website: www.dsb.gv.at