プライバシーポリシー
最終更新日: 2026年8月20日
1. はじめに
本プライバシーポリシーは、GlobeID Limited（以下「GlobeID」、「当社」または「私たち」といいます）が、PassportScan製品群、ウェブサイト、API、および関連サービス（以下、総称して「本サービス」といいます）を含むデジタルID・宿泊者登録ソリューションに関連して、個人データをどのように収集、利用、保管、開示、および保護するかを説明するものです。
PassportScanは、宿泊施設事業者（ホテル、サービスアパートメント、および類似の施設など）が、チェックインおよび法定報告手続きの一環として、宿泊者の身元情報を取得、処理、および管理できるようにする安全なデジタルシステムです。
本ポリシーは、本サービスを通じて処理されるすべての個人データに適用され、以下を含みます。
- ウェブサイトの訪問者
- PassportScan Cloudおよびオンプレミス版アプリケーションの利用者
- 身分証明書がスキャンされる方、またはチェックイン時にデータが収集される方
- ウェブサイトを通じてGlobeIDに連絡される方、または求人に応募される方
2. データ保護上の役割
2.1 データ管理者（データコントローラー）としてのGlobeID
GlobeIDは、ウェブサイト経由のお問い合わせおよび登録の管理、ユーザーアカウントの提供、請求およびサブスクリプションの管理、採用および人事プロセス、ならびにGlobeIDの事業に関連する直接的な連絡など、自社の内部業務目的で処理する個人データについて、データ管理者（データコントローラー）として行動します。
2.2 データ処理者（データプロセッサー）としてのGlobeID
宿泊施設事業者がPassportScanを利用して宿泊者の身元情報を取得し、チェックインおよび報告に関する法的義務を遵守する場合、GlobeIDは宿泊施設事業者（この文脈におけるデータ管理者（データコントローラー））のためにデータ処理者（データプロセッサー）として行動します。この場合、PassportScanは、お客様と締結したData Processing Agreement (DPA)（データ処理契約）に基づき、お客様の文書化された指示のみに従って個人データを処理します。
2.3 宿泊者データの取得元
宿泊者の個人データは、GlobeIDがデータ主体から直接収集するものではありません。当該データは、チェックイン時に宿泊施設事業者により、またはその指示に基づいて取得されます（GDPR第14条）。データ管理者（データコントローラー）である宿泊施設事業者は、処理について宿泊者に通知する責任を負います。PassportScanは、チェックイン時のフロー内プライバシー通知および同意取得機能によってこれを支援します。
3. 収集する個人データ
3.1 身元情報および宿泊者登録データ（宿泊業ユースケース）
宿泊施設事業者が利用する場合、PassportScanはチェックインの一環として、旅行者の身元情報を取得および処理します。これには以下が含まれます。
- 氏名および生年月日
- 国籍および市民権
- 身分証明書の情報（パスポート、IDカード、ビザ、運転免許証）
- 身分証明書のデジタル画像およびスキャン
- 機械読取領域（MRZ）を含む、書類から抽出されたデータ
これには、法令遵守のために必要な場合、未成年者を含むすべての宿泊者に関するデータが含まれることがあります。
3.2 連絡先およびアカウント情報
本サービスへの登録、GlobeIDへのお問い合わせ、または情報のご請求の際に、GlobeIDは氏名、メールアドレス、電話番号、会社名または組織名、ならびに請求およびサブスクリプション情報を収集することがあります。
3.3 技術データおよび利用データ
ウェブサイトの閲覧または本サービスの利用の際に、GlobeIDは、IPアドレスおよびデバイス情報、ブラウザおよびオペレーティングシステムの詳細、ログおよびアクセス記録、ならびに利用者が許可した場合のアナリティクスおよびCookieデータを含む、技術データおよび利用データを収集することがあります。
3.4 同意および電子署名
PassportScanは、チェックイン手続き中に個人がプライバシー通知、チェックインフォーム、またはコンプライアンス関連書類に署名する際、電子署名および同意記録を収集することがあります。
3.5 特別カテゴリーの個人データ
PassportScanは、特別カテゴリーの個人データ（GDPR第9条）自体を要求または処理することはありません。スキャンされた身分証明書には、付随的にそのような情報（例えば顔写真や、一部の国の書類におけるその他の属性）が含まれ、または明らかになる場合があります。書類画像は、宿泊施設事業者が定めるチェックインおよび法定報告の目的を果たすためにのみ処理され、第6条に記載のセキュリティ対策により保護され、特別カテゴリーの属性を推測またはプロファイリングするために使用されることは一切ありません。
4. 処理目的および法的根拠
| 目的 | データ | 役割 | 法的根拠 |
|---|---|---|---|
| 宿泊者のチェックイン、身元情報の取得および法定報告（警察、統計、出入国管理） | 身元情報および宿泊者登録データ（3.1）、署名（3.4） | データ処理者（データプロセッサー） | データ管理者の法的義務（GDPR第6条1項(c)）およびデータ管理者の文書化された指示 |
| 宿泊者データの事業者のProperty Management System（PMS）への転送 | 身元情報および宿泊者登録データ（3.1） | データ処理者（データプロセッサー） | データ管理者の契約および指示（GDPR第6条1項(b)） |
| 顧客アカウント、請求およびサブスクリプション | 連絡先およびアカウント情報（3.2） | データ管理者（データコントローラー） | 契約の履行（GDPR第6条1項(b)） |
| お問い合わせへの対応、サービスに関する連絡 | 連絡先情報（3.2） | データ管理者（データコントローラー） | 正当な利益（GDPR第6条1項(f)）または契約締結前の措置（GDPR第6条1項(b)） |
| サービスの運用、セキュリティ、ログ記録および不正利用防止 | 技術データおよび利用データ（3.3） | データ管理者（データコントローラー） | 正当な利益（GDPR第6条1項(f)） |
| アナリティクスCookieおよびマーケティング関連の連絡 | 技術データ／利用データ（3.3）、連絡先データ（3.2） | データ管理者（データコントローラー） | 同意（GDPR第6条1項(a)）、いつでも撤回可能 |
| 採用および人事プロセス | 応募データ | データ管理者（データコントローラー） | 契約締結前の措置（GDPR第6条1項(b)）および法的義務（GDPR第6条1項(c)） |
5. データの共有および開示
処理された宿泊者データは、お客様の内部システム（Property Management Systemや報告用インターフェースなど）、法律で義務付けられている場合の政府機関および規制当局（警察、出入国管理当局、国家統計局その他の権限を有する公的機関）、ならびに安全なホスティング、インフラストラクチャ、暗号化、および運用サポートのために契約した信頼できる第三者サービスプロバイダー（契約上のデータ保護義務に基づいて行動するもの）と共有されることがあります。
顧客データの処理に関与する副処理者（サブプロセッサー）の最新のリストは、https://www.passportscan.net/sub-processor/で管理・公開しています。
個人データは、法的義務の遵守、適法な要請への対応、またはGlobeIDの法的権利の保護のために開示されることもあります。PassportScanが個人データを第三者に販売することはありません。
6. データセキュリティ
GlobeIDは、不正アクセス、喪失、改ざん、または破壊から個人データを保護するため、適切な技術的および組織的な安全対策を実施しています。これには、転送時（TLS 1.2+）および保管時（AES-256）の暗号化、機微な身元データに対するアプリケーションレベルの暗号化、すべての重要システムにおけるロールベースのアクセス制御および多要素認証、ログ記録および監視、ならびに定期的な独立した侵入テストが含まれます。GlobeIDは、ISO/IEC 27001:2022に準拠した情報セキュリティマネジメントシステムを運用しています。
7. データの保存期間
個人データは、本ポリシーに記載された目的のために必要な期間に限り、以下の基準に従って保存されます。
| データカテゴリー | 保存基準 |
|---|---|
| 宿泊者登録データおよび書類スキャン（データ処理者としての役割） | 宿泊施設事業者の設定に従い、かつ施設の所在地の法域で適用される法定保存期間の間保存されます。契約終了後30日以内に削除されます（DPAに基づく）。ただし、法律がより長期の保存を義務付ける場合を除きます |
| 顧客アカウントおよび請求データ | 契約期間中、その後は適用される税法および会計法の定めに従います |
| ウェブサイト経由のお問い合わせおよびやり取り | 最後のやり取りから最長24か月間 |
| 採用応募書類 | 選考プロセス終了後最長12か月間。ただし、より長期の保存について同意が得られた場合を除きます |
| 技術ログ（アクセス、アプリケーション、ネットワーク） | 最長90日間 |
| バックアップ | 削除されたデータは、定期的なバックアップの有効期限切れによりバックアップコピーからも削除されます |
8. Cookieおよび類似技術
ウェブサイトでは、Cookieポリシーに記載のとおり、Cookieおよび類似技術を使用しています。必須でないすべてのCookieについては、設定される前に同意バナーを通じて同意をお願いしており、設定内容はCookie設定を通じていつでも変更または撤回することができます。
9. データ主体の権利
個人には、アクセス権、訂正権、消去権、処理の制限を求める権利、異議申立権、データポータビリティの権利、および処理が同意に基づく場合にいつでも同意を撤回する権利があります（GDPR第15条〜第22条）。
ご請求はprivacy@passportscan.netまでお寄せください。当社は受領から1か月以内に回答します（複雑なご請求の場合は、通知の上、さらに2か月延長されることがあります）。PassportScanが宿泊施設事業者のためにデータを処理している場合、GlobeIDはご請求を当該事業者（データ管理者（データコントローラー））に転送し、DPAの定めに従ってその対応を支援します。
10. 子どものデータ
PassportScanは、宿泊者のチェックイン時に法律で義務付けられている場合、未成年者に関する個人データを処理することがあります。当該データは、法令遵守の目的のみのために処理されます。
11. 国際的なデータ移転
本サービスは欧州連合域内（AWS、eu-west-1リージョン、アイルランド）でホスティングされています。個人データのEU/EEA域外への付随的な移転が生じる場合（例えばサービスプロバイダーのサポート組織を通じた場合）、当該移転はGDPR第5章に基づく適切な保護措置 — 特に、プロバイダーのデータ処理条件（例：AWS Data Processing Addendum）に組み込まれた欧州委員会の標準契約条項（SCC） — および第6条に記載の暗号化措置によって保護されます。
12. 自動化された意思決定
GlobeIDは、個人に法的効果を生じさせ、または同様に重大な影響を及ぼす、プロファイリングを含む自動処理のみに基づく決定を行いません（GDPR第22条）。自動化された書類の読み取りおよびデータ抽出はチェックイン手続きを補助するものであり、その結果としての登録およびそれに基づく決定は、宿泊施設事業者および所轄当局に委ねられています。
13. 本ポリシーの変更
本プライバシーポリシーは、随時更新されることがあります。更新版は、改定後の発効日とともにウェブサイト上で公表されます。重要な変更については、ウェブサイトまたはメールでお知らせします。
14. 連絡先、主たる拠点および監督機関
データ管理者（データコントローラー）: GlobeID Limited, The Black Church, St. Mary’s Place, Dublin 7, D07 P4AX, Ireland（CRO 559612）。
プライバシーに関する連絡先: privacy@passportscan.net。
データ保護責任者（DPO）: 上記のプライバシー連絡先までご連絡ください。
GDPR第4条(16)および第56条の適用上、GlobeIDは、欧州連合域内におけるデータ保護に関する意思決定の主たる拠点としてスペインを指定しています。越境処理に関する主導監督機関は以下のとおりです。
スペインデータ保護庁（AEPD）
C/ Jorge Juan 6
28001 Madrid
Spain
www.aepd.es
データ主体は、各自の地域の監督機関に苦情を申し立てる権利も有します（GDPR第77条）。
契約に関する事項（利用規約（Terms & Conditions）、DPAおよびSLAを含む）については、GlobeIDの設立地に合わせ、アイルランド法を準拠法とします。
