プライバシーポリシー

1. 管理者

2. 収集するデータと利用目的

2.1 ユーザーアカウント

登録時に、メールアドレスとハッシュ化されたパスワード（bcrypt）を取得します。これらのデータは当社のデータベースサーバーに保存されます。EUのお客様のデータは Contabo GmbH（フランス・ローテルブール／EU）に、スイスのお客様のデータは Infomaniak Network SA（スイス・ジュネーブ）に保存されます。目的: 認証、サービス提供、請求。

2.2 商標チェック（検索クエリ）

ログイン時: ログインした状態で実行した商標チェックは、すべてお客様のアカウントに紐づけて保存されます — チェックした名称、選択した対象市場、業種、ニース分類、および結果のスコアとリスク信号。目的はサービスの提供です。チェック履歴は製品の約束された構成要素です（「検索履歴」ページでの再実行、CSVエクスポート、スコア推移）。法的根拠: GDPR第6条第1項(b)（契約の履行）。保存期間: 作成から12か月、その後自動的に削除されます（第4項）。個々の項目または履歴全体は、いつでもご自身で削除できます（「検索履歴」ページ）。また、データ開示請求（第5項）を通じてチェック内容を完全にダウンロードできます。

ログインなしの場合: 何も保存しません。ログインしていない訪問者のチェックは、実行中のセッションのメモリ内にのみ存在します。アカウントがなければ、チェックされた名称を結びつける相手が存在せず、したがって保存の目的も、開示や削除の手段もありません。

お客様のチェック内容を学習目的や分析目的で利用することはありません。そのようなデータコーパスのための従来の同意（「コンセントゲート」）は2026年9月6日に停止されました。収集も分析も行われません。

2.3 決済データ

決済処理は Stripe, Inc. によってのみ行われます。当社はカード情報を保存しません。Stripe は PCI-DSS 認証を取得しています。米国へのデータ移転は EU標準契約条項（SCC）に基づいて行われます。

2.3a ドメイン登録（任意）

LegalBrandCheck を通じてドメインを登録される場合、登録者情報（氏名、メールアドレス、電話番号、住所）をご入力いただきます。これは所管の登録機関での登録に法律上必要な情報です（WHOIS の必須項目）。当社は 2 社のレジストラパートナー、Cloudflare, Inc. と Dynadot Inc. と協働しており、実際にどちらがドメインを登録するかは選択されたドメイン拡張子によって自動的に決まります（例えば「.ch」は Dynadot のみで処理されます）。支払いは 2.3 と同様に Stripe を通じて行われます。目的: 契約の履行（GDPR第6条第1項(b)）。保存期間: ドメイン登録の期間に加え、法定の保存期間。

2.4 サーバーログ

IPアドレス（24時間後に匿名化）、ユーザーエージェント、タイムスタンプ、アクセスされたURLは、サービスの運用と安全確保のために処理されます。

2.5 クッキー

技術上必要で同意なしに設定されるもの: 外部プロバイダー経由のログインを不正な要求から保護する httpOnly/Secure クッキー 1 件（<code>lbc_oauth_state</code>、SameSite=Lax、有効期間 10 分）。ログイン自体はクッキーに依存しません。セッショントークン（<code>legalname_token</code>）、自社統計のセッション ID（<code>lbc_session_id</code>、2.6.1 参照）、言語設定、クッキーに関するご判断（<code>lbc_ga4_consent</code>）は、ファーストパーティの localStorage 項目としてブラウザ内に保存され、第三者に送信されません。クッキーバナーで明示的に同意された場合にかぎり、Google Analytics が独自の分析クッキー（<code>_ga</code> ほか、2.7 参照）を追加で設定します。同意がなければ、いずれも設定されません。広告クッキーやリターゲティングは行いません。

また、技術的に必要であり、同意なしに設定されるものとして、Cookie trabos_theme (有効期間 1 年、SameSite=Lax、トラッキングなし) およびブラウザのローカルストレージ (trabos-theme) に保存される表示設定 (ライト、ダーク、またはシステム) があります。さらに、選択された顧客タイプ (lbc-customer-type)、導入ダイアログの状態 (lbc-onboarding)、およびログイン時のセッショントークン (legalname_token) もデバイスにのみ保存されます。これらのエントリは、ログインしてアカウントの設定を保存している場合にのみ当社に送信され、ブラウザの設定でいつでも削除できます。

2.6 自社の利用統計（ファーストパーティ、クッキー不使用）

検索ボリューム、トラフィックの流入元、コンバージョン（無料チェックと有料契約の比較）を分析するため、当社が自ら運用するファーストパーティのコンポーネントで利用イベントを収集します。クッキーは設定せず、第三者にデータを送信することもありません。技術の異なる 2 つの収集が別々に存在し、データ保護法上の評価が異なるため、個別に説明します。

2.6.1 ブラウザからのイベント（localStorage のセッションID）

取得されるのは、個人に結び付けられないランダムなセッションID（localStorage）、大まかな発信元情報（サーバー側の IP から国への解決による国。IPアドレス自体は保存しません）、および最初のページ閲覧時のリファラードメインと UTM パラメータです。法的根拠: サービス改善に対する正当な利益（GDPR第6条第1項(f)）。

2.6.2 サーバー側のファネル計測（導出されたセッションキー）

さらにサーバー自身が、導線（トップページ → チェック → 結果 → 料金ページ → 購入手続き → 決済）のどこで訪問者が離脱するかを数えます。この計測は JavaScript を必要とせず、当社自身のインターフェースへの呼び出しと、当社自身のサーバーから配信される 1×1 ピクセル画像（/api/funnel/px.gif）によって発生します。各イベントについて保存するのは次のとおりです:

• ステップとタイムスタンプ、
• Accept-Language から導出された言語識別子（例: 「de-ch」）、
• IP から国への解決による国（IPアドレス自体は保存されません）、
• ユーザーエージェントから導いた大まかな端末区分（クローラー／モバイル／タブレット／パソコン）。ユーザーエージェント自体は保存されません、
• セッションキー: IPアドレスとユーザーエージェントから、毎日新たに引き直される乱数鍵を用いて計算された不可逆のハッシュ値（HMAC-SHA256）。

保存されないもの: IPアドレス、平文のユーザーエージェント、メールアドレス、顧客識別子、検索語、URLパラメータ、リファラー。

正直な位置づけ: ある日の乱数鍵が存在する限り、IPアドレスとブラウザが分かればセッションキーを再計算できてしまいます。そのため当日の行は、匿名データではなく個人データ（仮名化データ）として扱います。日付が変わる時点（00:00 UTC）に前日の乱数鍵は削除されます。その瞬間から、いかなる行も個人に結び付けることはできません — 当社にもできません。それ以前の行は匿名です。

これに関するお客様の権利: 当日分については、ログインなしでご自身の行を閲覧（GET /api/funnel/me）および削除（DELETE /api/funnel/me）できます。この呼び出しは、お客様自身のIPアドレスとブラウザに対応する行のみを返し、他人の行にはアクセスできません。前日以前の行については結び付ける対象がもはや存在しないため、開示および削除は対象を欠きます（GDPR第11条）。保存期間: 400日（第4項参照）。保存場所: Contabo（フランス・ローテルブール／EU）にある当社の公開データベース — 顧客データは含まれません。法的根拠: 自社サービスのリーチと離脱を確実に計測することへの正当な利益（GDPR第6条第1項(f)）。クッキーを設定せず、お客様の端末から情報を読み出すこともないため、ePrivacy指令第5条第3項／TDDDG第25条に基づく同意は不要です。

2.7 Google Analytics 4（お客様の同意がある場合のみ）

自社の統計（2.6）に加えて、任意で Google Analytics 4（Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, アイルランド）を提供しています。このサービスは、同意バナーによる明示的な同意がある場合にのみ読み込まれます。同意がなければ Google との通信は一切発生しません。同意された場合、Google は分析用クッキー（_ga、_ga_<Container-ID> など）を設定し、仮名化された利用データ（クライアントID、ページビュー、端末およびブラウザ情報）を処理します。Google LLC（米国）への移転は EU標準契約条項（SCC）に基づきます。撤回: お客様の判断そのものはクッキーではなく、ブラウザの localStorage 内の項目 lbc_ga4_consent として保存されます。したがってクッキーを削除しても同意は撤回されません。同意バナーは一度判断すると再表示されません。撤回するには、本節末尾のボタンを使用するか、ブラウザ設定でサイトデータ（localStorage）を削除してください。同意がある場合、特定のイベント（例: 購入完了）は、ページ遷移時の計測信頼性を高めるため、同一のクライアントID（_ga クッキー）を用いて Google の Measurement Protocol 経由でサーバー側からも Google に送信されることがあります。これは同意がある場合にのみ行われ、拒否した利用者について行われることはありません。法的根拠: 同意（GDPR第6条第1項(a)、改正スイスデータ保護法第31条第1項）。

2.8 法的代理人への引き渡し（出願／弁護士による確認）

チェック結果から商標出願または弁護士による確認をご依頼いただいた場合、当社はお客様の情報を機械的に法的代理人へ引き渡します。LegalBrandCheck 自身が審査することはなく、委任を引き受けることもありません — 当社は伝達するだけです。伝達される内容: お客様の氏名およびメールアドレス、チェックした商標名、依頼されたニース分類および法域、代理人宛ての自由記述、ならびに完全なチェックレポートへのリンクとその検証ハッシュ。

受領者はお客様ご自身が指定された代理人、または指定がない場合は当社が登録しているパートナー法律事務所です。いずれの場合も、当該事務所は GDPR にいう独立した管理者であり、当社の処理者ではありません。事務所は守秘義務を負い、以後の処理を自ら決定します。そこでの処理には当該事務所自身のプライバシーポリシーが適用されます。代理人を特定できない場合、伝達は行われず、その旨を明示的にお知らせします。

法的根拠: お客様が開始された依頼の履行（GDPR第6条第1項(b)）。当社における引き渡し記録の保存: お客様のアカウントが削除されるまで、または削除のご請求があるまで。以下のセルフサービス削除は、アカウントIDとご連絡先メールアドレスの双方を手がかりに引き渡し記録を削除するため、アカウントなしでご依頼になった場合にも適用されます。すでに代理人へ送信されたメールを取り戻すことはできません。その点については法律事務所にお問い合わせください。

3. 再委託先および第三者

以下の事業者は、Trabos Digital Matrix の委託により個人データを処理するか、匿名化された検索クエリを受け取ります。スイス／EEA 域外のすべての事業者との間では、データ移転の法的根拠として EU標準契約条項（SCC）が締結されています。

4. 保存期間

• アカウントデータ: アカウント削除まで。下のセルフサービスによる削除は即時の完全削除です — 猶予期間も復元もありません。
• 決済データ: カード情報は Stripe のみが保有します（2.3 参照）。アカウント削除時にはご契約（サブスクリプション）の記録を削除します。スイスの会計保存義務の対象となる証憑（支払済みのドメイン購入、報酬対象のアフィリエイトクリック）は 10 年間保存されますが、その際にアカウントとの関連付けは削除されます。
• ログイン中のお客様の商標チェック（検索クエリ）: 作成日から12か月、その後自動的に削除（法的根拠: 契約の履行、GDPR第6条第1項(b)）。ログインなしのチェックはそもそも保存されません（2.2 参照）
• 保存された検査レポート、初回使用証明書、共有レポートリンク: アカウント削除まで。共有リンクは作成から 7 日後にも失効し、以後は配信されません。保存されたレコード自体はアカウント削除まで残ります。このデータに時限削除はありません — 約束されながら何も実行しない期限は、期限がないことより悪いため、ここに明記します。共有リンクはいつでも取り消せます。
• 法的代理人への引き渡し記録（2.8 参照）: アカウント削除まで、または削除のご請求まで
• ファネル計測（2.6.2 参照）: 取得から400日。行を個人に結び付け得る唯一の手段である日次の乱数鍵は、日付が変わる時点（00:00 UTC）にすでに削除されます
• サーバーログ（IP）: 24時間後に匿名化

5. お客様の権利（スイスデータ保護法および GDPR第15条〜第22条）

• 保存されているデータの開示
• 不正確なデータの訂正
• 削除（「忘れられる権利」）
• 処理の制限
• データポータビリティ（機械可読形式）
• 付与した同意の撤回（Google Analytics、2.7 参照）をいつでも理由を示すことなく行えます — 2.7 節のボタンから
• 苦情の申立て先: スイス連邦データ保護・情報コミッショナー（EDÖB） または管轄の EU データ保護当局

お問い合わせ先: [email protected]

6. 法的根拠

個人データの処理は、スイスデータ保護法（DSG）および、適用される限りにおいて EU一般データ保護規則（GDPR第6条第1項(a)、(b)、(c)、(f)）に基づいて行われます。

権利を行使する

データのエクスポートやアカウントの削除は、ここで直接行えます — メールは不要です。