Shimano Connect Labウェブアプリにおけるデータ保護通知

1.はじめに（適用範囲等）

このデータ保護通知（以下「本通知」）は、株式会社シマノが開発・提供する以下のウェブアプリをお客様が利用される際のデータ処理活動について説明するものです。

• SHIMANO CONNECT Labウェブアプリ（以下「本ウェブアプリ」）

別段の記載がない限り、ここに提供される情報は、本ウェブアプリ全般に適用されます。

本通知はまた、本ウェブアプリに関するデータ処理活動に責任を負うシマノの事業者間で締結された取り決めの、最も関連性が高い項目についても、お知らせするものです。

「個人データ」とは、特定されたまたは特定可能な自然人に関するあらゆる情報をいいます。「特定可能な自然人」とは、特に、氏名、識別番号、位置データ、オンライン識別子のような識別子を参照することによって、または、当該自然人の身体的、生理的、遺伝的、精神的、経済的、文化的若しくは社会的な同一性を示す単独または複数の要素を参照することにより、直接または間接的に、特定可能な自然人をいいます。

「特別のカテゴリーに属する個人情報」には、人種的もしくは出身民族、政治的意見、宗教的もしくは哲学的信条または労働組合への加盟の有無を明らかにする情報、遺伝情報、生体情報、健康に関する情報または自然人の性生活もしくは性的指向に関する情報（「センシティブデータ」ともいいます）が含まれます。

当社がカリフォルニア州の消費者の個人データをどのように処理するかについては、本通知の以下の「カリフォルニア州の消費者のための追加的開示事項」のセクションをご覧ください。

2.データの管理者

株式会社シマノ　（以下「SIC」）
590-8577 大阪府堺市堺区老松町3丁77番地　（日本）

SHIMANO EUROPE B.V.　（以下「SEU」）
High Tech Campus92,　5656AG Eindhoven　（オランダ）

SHIMANO NORTH AMERICA HOLDING,INC.　（以下「SNAH」）
One Holland, Irvine, California　92618　（米国）

シマノセールス株式会社　（以下「SSJ」）
592-8331 大阪府堺市西区築港新町1-5-15　（日本）

SIC、SEU、SNAHおよびSSJの上記4社（以下併せて「当社」）が、データの共同管理者として、本ウェブアプリに関するお客様の個人データ処理に責任を負います。

上記の例外として、

• オーストラリア、台湾、ニュージーランド、韓国、ブラジル、インドネシア、タイ、アルゼンチン、チリ、コロンビア、コスタリカ、グアテマラ、インド、マレーシア、メキシコ、パナマ、フィリピン、シンガポール、ウルグアイ、エクアドルおよびベネズエラにおいては、SIC
• スイス、イスラエル、トルコ、アンドラ、ボスニア・ヘルツェゴビナ、モナコおよび南アフリカ共和国においては、SICおよびSEU
• カナダにおいては、SICおよびSNAH

が、本ウェブアプリに関するお客様の個人データの管理者として、お客様の個人データ処理に責任を負います。

これらの国のお客様である場合、「当社」の表示、および、「SIC、および/または、SSJ、および/または、SNAH、および/または、SEU」の表示は、上記のそれぞれの国に名が挙げられている該当1社もしくは2社のみを指します。

各共同管理者へのご連絡は、上記住所に郵送することによって行うことができます。

3.データ保護責任者

当社では、データ保護およびプライバシーに関するすべての事項を管理するために、グループデータ保護責任者（以下「データ保護責任者」という）を任命しています。お客様の個人データの処理に関してご質問がある場合は、データ保護責任者 privacy@shimano-eu.com 宛にご連絡ください。

4.当社が収集する情報

当社の本ウェブアプリは、様々な性能、サービス、機能（「本サービス」）をお客様に提供いたします。かかる本ウェブアプリは、お客様の個人データを当社に提供することを要求または許可します。さらに、当社では、お客様の端末に本ウェブアプリがダウンロードおよびインストールされる際に、個人データを含むお客様に関する情報を自動的に収集します。

4.1お客様から当社に提供される情報

当社の本ウェブアプリを使用される際に、お客様は、個人データを必要的あるいは任意に当社に提供する可能性のある当社のコンテンツおよび本サービスを使用されるか否か、選択することができます。

当社が、あるサービスをお客様に提供するために特定の情報を必要とする場合、当社は、その旨を明示いたします。当該情報を当社に提供いただけない場合、ご依頼されたサービスを提供することができなくなります。

• ユーザーに関する情報：　ユーザー名（ニックネーム）、Shimano ID、ログインパスワード（暗号化されます）、性別、生年月日、自宅住所（国/州/都道府県レベル）、電子メールアドレス、アカウント作成日、最終ログイン日、最終更新日、ユーザー画像、および第三者サービスのための認証データ
• 設定：言語、地域、計測単位（メートル/ヤード）、日時フォーマット、位置情報、IPアドレス
• センサー機器情報：使用したセンサー、センサーID、型/製造元
• 自転車の走行履歴：（最大/平均）パワー、センサー機器の緯度・経度、エレベーション、経過/走行タイム、距離、（最大/平均）速度、（最大/平均）ペダリングケイデンス、（最大/平均）ペダリングベクトルおよび効率、平均トルク、ヘディング、ギアチェンジ、接続されたセンサー機器（名称/型/製造元/ID）、健康関連情報（最大/平均心拍数、体重）
• 提供することを選択された追加情報（例えば、本ウェブアプリをGarmin、WAHOOなどの第三者のサービスまたは機器に接続することにより転送される、第三者のサービスや機器に使用されるユーザー名や電子メールアドレスなどのログイン情報）

4.2当社が自動的に収集する情報

当社の本ウェブアプリおよび本サービスを使用される際、当社は自動的に個人データを収集します。

• 本ウェブアプリの使用履歴情報：　履歴（アクセス、エラーに関する履歴やクラッシュした際のリカバリの履歴、日付/時刻スタンプ、クリックストリームデータを含む、本ウェブアプリとのやりとりに関する情報）

4.3当社が他の情報源から収集する情報

原則として、当社はお客様から直接情報を収集します。ただし、次のような場合には、他の情報源からお客様の個人データを受け取ることもあります。

本ウェブアプリへの登録は、電子メールアドレス、またはFacebook、Google及びAppleなどのソーシャルメディアネットワークの既存アカウントとの接続によって行うことができます。

ソーシャルメディアアカウントを使用して本ウェブアプリに登録することを選択された場合、当社はお客様のソーシャルメディアユーザーアカウントのデータを処理します。この情報は、お客様のソーシャルメディアアカウントの設定により異なり、次のようなものから構成されます：アカウント名、所在地、性別、年齢、電子メールアドレスなど。ソーシャルメディアアカウントを通じてログインすることにより、ソーシャルメディアプラットフォームのプロバイダーが、お客様が本ウェブアプリでアカウントを作成したという事実に関する特定の情報を受け取ることができることをご了承ください。

お客様は、本ウェブアプリのアカウントを、本ウェブアプリのアカウントの設定に表示されている第三者（例：Garmin、WAHOO）が提供するサービスに接続することを選択できます。本ウェブアプリの設定を通じて接続を有効にするには、接続手順で要求された第三者アカウントのログイン情報を提供する必要があります。接続を有効にすることにより、これらの第三者によって保存された情報が当社に転送され、当社によって保存され、本ウェブアプリの機能で処理可能な範囲で当社によってさらに処理されることに同意するものとします（例えば走行履歴やそれらに含まれる情報）。第三者による走行履歴の内容に関する詳細については、第三者が提供するデータ保護通知または走行履歴の説明をご参照ください。本ウェブアプリからこれらのサービスを切断することにより、当社へのデータ転送を防ぐことができます。

お客様が本ウェブアプリを第三者サービスのアカウントに接続することを選択された場合、当社はお客様のユーザーアカウントに関する情報を処理します。この情報は、次のようなものから構成されます：アカウント名、電子メールアドレス。本ウェブアプリを第三者サービスのアカウントに接続することにより、各第三者サービスプロバイダーが、お客様が本ウェブアプリをお客様のアカウントに接続したという情報を受け取ることができることをご了承ください。

4.4非識別化データ

当社は、お客様を特定できないように個人データを非識別化し、個人データではない状態にすることがあります。当社は、このデータを非識別化された形式でのみ維持および使用し、データの再識別化を試みることはありません。

4.5Cookie、類似のテクノロジーおよび追跡ツール

本ウェブアプリは、Cookie、類似のテクノロジーおよび追跡メカニズムを使用して情報を収集します。

Cookieは、さまざまな目的でお使いの端末に保存されている小さなテキストファイルです。機器内のCookieは、対応する機器設定で管理および削除できます。

ローカルストレージでは、ブラウザのストレージにデータを保存することができ、ブラウザを閉じた後も保存される可能性があります。

本ウェブアプリは、以下のCookieおよびローカルストレージオブジェクトを使用します：

5.目的と法的根拠

当社は、特定された、明示的かつ合法的な目的のためにのみ、また当社が依拠する法的根拠がある場合に限り、お客様の個人データを処理します。新しい目的が当初の目的と一致する場合、またはお客様が同意した場合除き、お客様の個人データが当初の収集目的以外の目的で処理されることはありません。

当社がお客様に関する個人データを処理する目的、および処理を正当化する法的根拠は、以下のリストのとおりです。

• ユーザーの本人確認:

  当社は、本ウェブアプリへの登録およびログインの際に、お客様の身元を確認するためにお客様の個人データを使用します。

  この目的のためのお客様の個人データの処理は、お客様との間で締結された本ウェブアプリのご利用に関する契約の履行に必要なものです（第6条（1）（b）一般データ保護規則（「GDPR」）参照）。

• 本ウェブアプリおよび本サービスのご利用:

  本ウェブアプリはお客様が作成したユーザープロファイルに基づいて動作します。当社は、お客様のユーザーアカウントに関連するセンサー機器の情報および走行履歴を管理するために、お客様の個人データを使用します。当社の目的は、お客様が場所やデバイスを問わずデータにアクセスできるようにすることで、シームレスな体験を提供することです。当社は、上記の目的のためのお客様の個人データの処理を、お客様が当事者である契約の履行に基づいて行います（第6条（1）（b）GDPR参照）。

  ユーザープロファイルを設定する際に、本サービスを提供するために必須となる情報のほか、より多くの情報を提供することを選択することができます。ユーザープロファイルの設定において、任意項目についての情報も提供された場合、本ウェブアプリをよりお客様個人にカスタマイズされた態様で、ご利用いただくことができます。また、本サービスの中には、健康関連データ（心拍数や体重の情報）を提供できるものもあります。

  当社は、お客様が当社に提供することを任意に選択された個人データ（第6条（1）（a）GDPR参照）または健康に関連する個人データ（第9条（2）（a）GDPR参照）を、お客様の同意があるものとして処理します。例えば、お客様がユーザープロファイルを更新するなどして同意を撤回された場合、当社はこの目的のために当該お客様の個人データを処理することを停止します。

• お客様とのコミュニケーション:

  当社は、（i） お客様に本サービスを提供する目的で、本ウェブアプリおよびその機能に関する情報をお客様に提供するため、（ii）同様の製品および/またはサービスに関する情報をお客様に送信するため、（iii）要請又は同意に基づいて（例えば、当社の製品、サービスおよび/またはマーケティングの改善のためにお客様からフィードバックを得るため）、個人データを使用します。

  当社は、お客様の個人データの処理を、同意、お客様が当事者となっている契約の履行、お客様に対するカスタマーサポートの提供および製品・サービスの情報の提供という当社の正当な利益に基づいて行います（第6条（1）（a）、（b）および（f）GDPR参照）。

• 製品開発および品質向上:

  当社は、製品開発および品質向上の目的、例えば、製品の問題点の検出および分析、予知保全の実施および必要な製品交換時期の算出、新製品の開発および導入、ならびにこれらの互換性のテスト等のために、お客様の個人データ（特に、お客様の健康関連データを含む自転車走行履歴情報）を処理します。

  当社は、当社の製品およびサービスの質の向上、製品開発の研究および事業の拡大・発展のために、当社の正当な利益に基づいて、当該自転車走行履歴情報を処理します（第6条（1）（f）GDPR参照）。当社はお客様の同意に基づいて、健康関連の情報の処理を行います（第9条（2）（a）GDPR参照）。お客様が同意を撤回された場合、当社はこの目的のためにこれらの個人データを処理することを停止します。

  当社はさらに、データ分析サービス（モデルの使用状況、性別比、平均速度/距離/走行時間、ファームウェアの状態など）を自転車または自転車部品の製造者に提供するために、当社のデータベースに収集されたユーザーデータを集約します。データ集約により、すべての個人データは各受領者に送信される前に匿名化され、製造者が直接的または間接的にお客様を特定できないようにします。

  この目的について、当社は、当社の協力パートナーに付加サービスを提供するという当社の正当な利益、および、モデルの使用状況を分析することができるという協力パートナーの正当な利益に依拠します（第6条（1）（f）GDPR参照）。

• 製品開発および品質向上のための本ウェブアプリのユーザー分析および動向分析:

  当社は、ユーザーの利用状況を理解し、これにしたがって改善し、新製品の開発・導入およびそれらの互換性のテスト等を行うために、本ウェブアプリおよび本サービスのパフォーマンス、ユーザーのコンテンツおよび本ウェブアプリと本サービスのユーザーの利用動向を分析します。

  当社は、お客様の同意に基づいて、この目的のためにお客様の個人データを処理します（第6条（1）（a）GDPR参照）。お客様が同意を撤回する場合、当社は、この目的のためにお客様の個人データを処理することを停止します。

• 本ウェブアプリ不正使用の発見および回避:

  当社は、本ウェブアプリを通じて収集された技術データを分析し、ソフトウェア使用許諾契約の利用条件の違反などなどによる不正使用を検知・防止します。

  当社は、お客様が当事者となっている契約の履行のため、および、シマノに影響を及ぼし法的効果をもたらす可能性のある本ウェブアプリの不正使用を告発するという当社の正当な利益に基づいて、個人データを処理します（第6条（1）（b）および（f）GDPR参照）。

上記の目的がセンシティブデータの処理を必要とする場合、またはセンシティブデータの処理を伴う場合、当社は、法律で義務付けられているとおり、お客様の明示的な同意を求めます（第9条（2）（a）GDPR参照）。

6.個人データの受領者

当社は、お客様の個人データを以下の受領者と共有します。

• その他のグループ会社および販売代理店。当社の事業は国際的に展開されているため、当社のグループ会社は緊密に連携しています。そのため、当社はグループ内で個人データを含むデータを共有しています。つまり、お客様の個人データはその他のグループ会社および販売代理店と共有されます。当社がお客様の個人データを共有するすべてのグループ会社および販売代理店のリストは、添付資料のとおりです。
• 当社に代わって業務を実施するサービスプロバイダー。当社は、ITサポートおよびメンテナンスプロバイダー、ウェブサーバープロバイダーなど、当社の日常業務を支援するサービスプロバイダーを雇用しています。すべてのサービスプロバイダーは、適用されるデータ保護法を尊重し、遵守することが法律上および契約上義務付けられています。サービスプロバイダーには以下のものがあります:
  • Amazon Web Service, Inc. （「AWS」）, 410 Terry Avenue North, Seattle, WA 98109-5210, USA（復処理者であるクラウドサービス・プロバイダー）;
  • SAP, Dietmar-Hopp-Allee 16, 69190 Walldorf, Germany（データ処理者、顧客対応およびID管理サービスのプロバイダー）;　および
  • NSW株式会社 150-8577 東京都渋谷区桜丘町31-11 （データ処理者; 開発および保守プロバイダー）
  • 株式会社ソニックス 141-0031 東京都品川区西五反田7-9-5 （データ処理者、開発および保守プロバイダー）
• 第三者アプリ。当社の本ウェブアプリでは、お客様の自転車の走行履歴の情報を、第三者アプリと自動または手動で共有することができます。ユーザーからの要求がない限り、第三者プロバイダーと情報を共有することはありません。自動転送をオンにすると、自転車の走行履歴が当社のサーバーにアップロードされた際に、第三者アプリのアカウントに自転車の走行履歴が自動的に送信されます。自動転送は、将来にわたっていつでも無効にすることができます。転送後の第三者アプリによるお客様の個人データの処理については、それぞれのアプリについて第三者アプリ提供者が提供するデータ保護通知が適用されますのでご留意ください。お客様のデータを共有する可能性のある第三者アプリは以下の通りです。
  • Strava
  • Training Peaks

欧州経済地域（「EEA」）以外の第三国に所在する第三者へ、お客様の個人データを提供する場合は、下記第7条に定める規定（「国際データ移転」）にしたがうものとします。

7.国際データ移転

本ウェブアプリを通じて収集されたすべてのデータは、AWSおよびSAPの欧州連合（EU）地域に一元的に保存されます。データの（共同）管理者として、SICはこれらのデータベースにアクセスすることができます。したがって、お客様に関する個人データは、欧州委員会が適切なレベルのデータ保護を提供するとして十分性を認定した日本（2019年1月23日付欧州委員会実施決定2019/419）に所在する、EEA域外の受領者に移転および/または開示されます。AWSは米国に所在しています。AWSへのデータ移転は、米国が適切なレベルのデータ保護を提供するとして判断した欧州委員会による十分性認定であるEU・米国間のデータ保護フレームワークに基づいています。また、第三国に所在する処理者への個人情報の移転に関する標準契約条項が締結されています。当該条項のコピーは、データ処理責任者に請求できます。

8.保存期間

当社は、お客様の個人データを、当初の収集目的のために必要な期間を超えて処理しません。

法定保存期間に従い、以下の場合、当社はお客様の個人データを削除します：

• ユーザープロファイルに5年間動きがない場合、および/または
• お客様が本ウェブアプリ内のアカウント管理設定の機能を使用してユーザープロファイルを削除された場合

9.お客様の権利

適用されるデータ保護法に基づき、お客様は当社によるお客様の個人データの処理に関して以下の権利を有します：

• お客様の個人データへのアクセス権
• 不正確または不完全な個人データを訂正する権利
• お客様の個人データの削除を請求する権利
• 処理を制限する権利
• お客様の個人情報の処理がお客様の同意または契約に基づくものであり、かつ処理が自動化された手段によって行われる場合、データポータビリティに対する権利
• 将来にわたって同意を撤回する権利
• 監督官庁に苦情を申し立てる権利
• お客様特有の状況にかかわる理由に基づき、お客様の個人データの処理に反対する権利、およびダイレクトマーケティングを目的としたお客様の個人データの処理に反対する権利

米国居住者は、お客様の権利行使の要請に関する当社の決定に対して異議を申し立てるために当社へご連絡いただくこともできます。決定を不服とする場合は、上記の連絡先を用いて当社までご連絡ください。

10.共同管理者に関する合意

SIC、SSJ、SNAHおよびSEUは、上記第2条に記載のとおり、本ウェブアプリに関連するお客様の個人データの処理目的および処理手段を共同で決定します。したがって、法律で義務付けられているとおり、SIC、SSJ、SNAHおよびSEUは、GDPR第26条に基づき、EEAに所在するユーザーの個人情報に関する共同利用契約を締結しています。SIC、SSJ、SNAHおよびSEUは、データ保護義務を遵守し、お客様の権利を尊重し、お客様の要望に対応し、お客様の問合せに回答するために、相互に調整し協力いたします。

SEUが、本ウェブアプリのユーザーが上記第9条に基づく権利を行使する際の指定された窓口となります。権利行使をご希望の場合、またはご質問がある場合は、SEUまでお電話（+31-40-26122222）、または電子メール（privacy@shimano-eu.com）にてご連絡ください。また、お客様がEU域内にお住まいの場合、指定の連絡先に加えて、SIC、SNAHおよびSSJにもご連絡いただければ、お客様の権利を行使することができます。

11.データの安全管理

当社は、ユーザーの個人データの機密性に応じてその安全管理を行い、本通知の下で許可されていない個人データの開示を回避するために、社内および当社のサービスプロバイダーとの間で、標準的な業界実務基準を履行しています。

12.第三者によるリンクおよびウェブサイト

当社の本サービスは、ウェブサイト、アプリ、オンラインサービスなど、第三者のコンテンツにアクセスする可能性をユーザーに提供します。これらの第三者によるデータ処理活動については、当社は責任を負わないことにつきご了承ください。ユーザーは、アクセスする第三者のウェブサイト、アプリ、またはオンラインサービス上のデータ保護通知をご覧くださるようお願いいたします。

13.お子様

当社は、親権者または保護者の同意なしに、16歳未満の個人データ故意に処理することはありません。お客様がお子様の親権者または保護者で、当社がお子様に関する個人データを処理したとお考えの場合は、上記セクション3に記載されている当社のデータ保護責任者までご連絡ください。

14.その他

本通知は、適用法令の改正に準拠し、これを反映するため、随時改訂されることがあります。当社は、更新について、電子メールまたは本ウェブアプリ内のメッセージなど、適切な方法でお客様にお知らせします。最終更新日は、本通知の上部に記載されています。

添付資料