プライバシーポリシー

1. データ管理者およびお客様コンテンツ

当社がサービスの提供および請求のために処理する、アカウント保有者としてのお客様の個人データのデータ管理者は、Craft Intertech (Thailand) Co., Ltd.（DriteStudio ブランド名で運営、登録住所：タイ サムットサーコーン県 パンタイノラシン バンクンティアン-チャイタレー Delight Village ソイ17 100/280 74000）です。本プライバシーポリシーに関する事項や PDPA に基づく権利の行使については、本ポリシー末尾の連絡先をご利用ください。 お客様が VPS、ウェブホスティング、専用サーバー、ゲームサーバー、コロケーション、その他お客様が管理するサービス内にアップロード、保存、または処理される個人データについては、別途データ処理契約が締結されている場合または適用法令で別段の定めがある場合を除き、お客様がデータ管理者となり、当社はお客様のためにサービスを運営するために必要な範囲で処理者として行動します。当社サービスに保存することを選択された個人データについて、適法な根拠、透明性、データ主体の権利の確保はお客様の責任となります。

2. 収集する情報

当社は以下のカテゴリで個人データを収集します。収集される具体的なデータは、ご利用のサービスおよび当社とのやり取り方法によって異なります。

• 識別およびアカウントデータ — 氏名、メールアドレス、電話番号、請求先住所、納税者番号、会社名
• 請求および支払いデータ — 支払い方法の種類、取引履歴、請求書、支払い手段の部分識別子。完全なカード番号と CVV は当社の決済パートナーが処理し、当社では保管しません
• 認証データ — パスワードのハッシュ、二要素認証シークレット、パスキー認証情報、リカバリーコード、セッショントークン
• サービス利用データ — IP アドレス、サービス識別子、リソース消費メトリクス、サーバーアクセスおよびエラーログ
• 技術およびデバイスデータ — ブラウザの種類、オペレーティングシステム、デバイス識別子、言語、リファラ URL
• サポートおよび通信データ — サポートチケット、メール往復、チャット記録、満足度調査
• マーケティング設定および同意記録

3. 個人データの利用目的

当社は以下の目的で個人データを使用します。各目的は PDPA 第 24 条に基づく適法な根拠（契約の履行に必要、正当な利益、法的義務、または同意）に基づきます。

• サービスの提供、運営、維持、改善 — 契約上の必要性
• 決済処理、請求書発行、請求関連の通信 — 契約上の必要性および法的義務
• アクセスの認証、セッションの管理、アカウントセキュリティの執行 — 契約上の必要性および正当な利益
• サポート依頼への対応とカスタマーサービスの提供 — 契約上の必要性
• 詐欺、不正利用、AUP 違反、セキュリティ事故の検出、防止、調査 — 正当な利益
• 税務、マネーロンダリング防止、裁判所命令、その他タイ法の法的義務の遵守 — 法的義務
• サービス通知、セキュリティアラート、メンテナンス通知の送信 — 契約上の必要性
• マーケティングおよびプロモーション通信の送信 — 同意（いつでも撤回可能）
• サービスのパフォーマンスを理解・改善するための集計分析 — 正当な利益

4. 情報の共有と副処理者

当社は個人データを販売、貸与、交換することはありません。必要な場合にのみ、適切な秘密保持義務およびデータ保護義務に拘束される以下のカテゴリの受領者と共有します：

• 決済処理業者およびアクワイアリング銀行（決済処理のため。完全なカードデータは当社で保管しません）
• プラットフォーム運営に使用するクラウド、データセンター、ネットワークインフラ提供者
• トランザクションおよびサポート通信に使用するメール、SMS、メッセージング提供者
• ドメインレジストリおよびレジストラ（当社を通じてドメインを登録する場合。ICANN およびレジストリの方針により必須）
• 分析、ロギング、エラー監視の提供者（可能な限り仮名化または集計）
• Craft Intertech グループの関連会社およびグループ企業（同等のプライバシー義務に拘束される）
• 監査人や弁護士などの専門アドバイザー（秘密保持義務の下で）
• 法律で要求される場合、または権利、財産、安全を保護するために必要な場合の法執行機関、規制当局、裁判所
• 合併、買収、再編、または資産売却の場合の事業承継者（本ポリシーと同等以上の保護条件のもとで）

5. 国際データ移転

当社の副処理者およびインフラ提供者の一部はタイ国外にあります。個人データを国際的に移転する場合、PDPA 第 28-29 条に基づき、十分な保護があると認められた管轄区域への移転、標準契約条項などの契約的保護の使用、または明示的な同意など、適切な保護措置を確保します。具体的な移転メカニズムの詳細は、当社にお問い合わせいただくことで請求できます。

6. データの保持

当社は、収集目的を達成するために必要な期間、またはタイ法で要求される期間のみ個人データを保持します。目安となる保持期間は以下のとおりです：

• アカウント情報 — アカウントが有効な期間、およびアカウント閉鎖後最大 12 ヶ月
• 請求記録、請求書、会計文書 — 10 年（タイ歳入法および会計法の要求による）
• サーバー運用ログ — 90 日
• セキュリティ、不正利用、監査ログ — 最大 12 ヶ月
• サポートチケットおよび通信記録 — 解決後 36 ヶ月
• マーケティング同意の記録 — 撤回まで、および監査目的でその後 12 ヶ月
• データが紛争、AUP 違反、セキュリティ事故、法的請求、または政府命令に関連する場合、当社は必要かつ適法な範囲で、関連データを上記の目安期間を超えて保持する場合があります

7. PDPA に基づくお客様の権利

PDPA の制限の範囲内で、お客様は個人データに関して以下の権利を有します。これらの権利を行使するには、本ポリシー末尾の詳細を使用して当社までご連絡ください。検証可能なリクエストを受領してから 30 日以内に回答いたします。

• アクセス権 — 当社が保有するお客様の個人データの確認とコピーを取得する権利
• 訂正権 — 不正確または不完全なデータを訂正する権利
• 削除権 — 個人データの削除を要求する権利（当社の法的保持義務に従う）
• 処理の制限権 — 特定の状況で当社による使用方法を制限する権利
• 異議申立権 — 正当な利益に基づく処理（ダイレクトマーケティングを含む）に異議を申し立てる権利
• データポータビリティ権 — 構造化された一般的な機械可読形式でデータを受け取る権利
• 同意撤回権 — 同意に基づく処理について、撤回前の処理の適法性に影響しない撤回の権利
• 苦情申立権 — 権利が侵害されたと考える場合、タイの個人データ保護委員会（PDPC）に苦情を申し立てる権利

8. Cookie および追跡技術

当社は以下のカテゴリで Cookie および同様の技術を使用します。Cookie バナーまたはブラウザの設定から、必須でない Cookie を管理できます。

• 厳密に必要 — 認証、セキュリティ、コア機能に必要。無効化できません
• 機能性 — 言語、テーマ、その他の設定を記憶（法律で必要な場合は同意のもとで設定）
• 分析 — サイト利用を集計形式で測定し性能を改善（同意のもとで設定）
• マーケティング — キャンペーン効果の測定およびコンテンツのパーソナライズ（同意のもとで設定）

9. データセキュリティ

当社は個人データを保護するため、適切な技術的および組織的措置を講じています。これには、転送中の TLS 暗号化、必要に応じた保存時の暗号化、安全なパスワードハッシュ、二要素認証、ロールベースのアクセス制御、最小権限の原則、ネットワークセグメント化、定期的なセキュリティレビューが含まれます。送信または保存のいかなる方法も完全に安全ではありません。商業的に妥当な手段でデータを保護するよう努めますが、絶対的なセキュリティは保証できません。

10. 子どものプライバシー

当社のサービスは、タイ法に基づく成年年齢（20 歳）に達した方、または検証可能な保護者の同意を得た方を対象としています。当社は、当該同意なしに 20 歳未満の方の個人データを意図的に収集することはありません。未成年者が当社に個人データを提供したとお考えの場合は、当社までご連絡ください。適切な措置を講じます。

11. データ侵害通知

お客様の権利および自由にリスクをもたらす個人データ侵害が発生した場合、当社は PDPA に従い、侵害を認識してから 72 時間以内にタイの個人データ保護委員会（PDPC）に通知します。侵害が高リスクとなる可能性がある場合、当社は影響を受ける個人に対し、侵害の性質、関連データ、起こりうる結果、当社が講じた措置や推奨事項を含めて、不当に遅延することなく通知します。

12. ポリシーの変更とお問い合わせ

当社は本プライバシーポリシーを随時更新する場合があります。重要な更新は本ページに掲載され、"最終更新日"が更新されます。法律で要求される場合は、メールまたはサービスを通じてお知らせします。本ポリシーに関する質問、PDPA に基づく権利の行使、または苦情の申立てについては、以下までお問い合わせください：