個人情報の取扱いについて
個人データの取扱いに係る自然人の保護および当該データの自由な移転に関する一般データ保護規則に準拠したプライバシーポリシーです。
管理者
Shelby Oy、事業者登録番号2008279-5
Merikoskenkatu 1、90500 Oulu
データは、Creaction Finland OyのShuriken ERPシステムに保存されます。Creaction Finland Oyは、システムの構築および運用、データ保護ならびにデータのバックアップについて責任を負います。すべてのデータは、同一のデータファイル（すなわち一つのデータベース）において保存および処理されます。
個人データファイルの名称
Shelby Oyの顧客・注文・請求・マーケティングデータファイル。
個人データの取扱いに関する原則
当社は、個人データの取扱いに関して以下の原則を遵守します。
個人データは、次に掲げるものでなければなりません。
(a) データ主体との関係において、適法、公正かつ透明性のある方法で取り扱われること（「適法性、公正性および透明性」）。
(b) 特定され、明確であり、かつ、正当な目的のために収集されるものとし、その目的に適合しない方法で追加的に取り扱われないこと。第89条第1項に従い、公共の利益における保存の目的、科学的もしくは歴史的研究の目的または統計の目的のための追加的な取扱いは、当初の目的と適合しないものとはみなされません（「目的の限定」）。
(c) その取扱いの目的との関係において、十分であり、関連性があり、かつ、必要のあるものに限定されること（「データの最小化」）。
(d) 正確であり、かつ、必要な場合には最新の状態に保たれること。その取扱いの目的からみて不正確な個人データが遅滞なく消去または訂正されることを確保するため、あらゆる合理的な手段が講じられなければなりません（「正確性」）。
(e) その個人データが取り扱われる目的のために必要な期間を超えて、データ主体の識別を可能とする形式で保管されないこと。個人データは、データ主体の権利および自由を保護するために本規則が求める適切な技術的措置および組織的措置を実施することを条件として、第89条第1項に従い、公共の利益における保存の目的、科学的もしくは歴史的研究の目的または統計の目的のためにのみ取り扱われる場合に限り、より長い期間保管することができます（「保管の制限」）。
(f) 適切な技術的措置または組織的措置を用いて、無権限のもしくは違法な取扱いからの保護、および、偶発的な滅失、破壊または損壊からの保護を含め、個人データの適切な安全性を確保する方法で取り扱われること（「完全性および機密性」）。
データは、原則として欧州経済領域（EEA）内で取り扱われます。EEA域外への配送が行われる場合（配送情報が運送会社に提供されます）、またはウェブ解析のサービス提供者（Google、Metaなど）がEEA域外でデータを取り扱う場合には、データがEEA域外に移転されることがあります。こうした移転は、EU・米国データプライバシーフレームワークやEUの標準契約条項などの適切な保護措置に基づいて行われます。データは、お客様が削除を求めるまで保存されます。データは、たとえばウェブ解析のため（統計上の理由）、および新たなご注文を容易にするため（お客様の利益）に保存されます。
データを保存する目的
顧客データは、次の目的のために保存されます。お客様との連絡、顧客関係および取引関係の維持と発展、ならびに報告および統計です。Shelby Oyは、これらのデータおよび顧客関係の期間中に得られたその他のデータを、自社の商品およびサービスの企画ならびに提供先の選定のために利用します。
個人データは、データ保護法令（一般データ保護規則およびフィンランドのデータ保護法）が認め、かつ要求する範囲内で利用されます。データは、「データの提供および移転」の項に記載する場合を除き、外部に提供されることはありません。
ニュースレターを購読された方の電子メールアドレスは、ニュースレターの配信に利用されます。お問い合わせフォームに入力された情報は、お問い合わせへの回答に利用されます。
保存されるデータ
顧客データファイルは、主たる目的に応じて作成された複数の個別のファイルで構成されています。これらのファイルに含まれるデータは、あわせて次のような顧客ごとのデータ群を構成します。
- お客様の連絡先情報および注文に必要な情報。すなわち、氏名、住所、郵便番号、市区町村、国、言語、電話番号および電子メールアドレス。個人識別番号は、選択された支払方法または購入される商品がこれを必要とする場合にのみ保存されます。法人、団体および組織のお客様については、あわせて会社名および事業者登録番号。
- 顧客グループ情報、割引区分およびその他の顧客ごとの追加情報。
- 請求先住所およびその他の請求に関する情報。
- ダイレクトマーケティングへの同意の有無。
- お客様の注文、配送および返品に関する情報。
- ログインに必要な認証情報。
- IPアドレスまたはその他の識別子。
- お問い合わせの目的や配送希望日など、顧客関係に関するその他の文章形式の情報。
個人データは、お客様のご請求により削除されます。
データの提供および移転
データが外部に提供されるのは、ご注文の履行または法令上の義務のために必要な範囲に限られます。提供先には、たとえば決済サービス提供者、信用情報会社、運送会社および公的機関が含まれます。データ処理の体制上、データの一部が当社のIT委託先に所在することがあります。
通常のデータ取得元
連絡先情報および顧客情報は、顧客関係の開始時およびその期間中に、お客様が管理者に伝えた内容から収集されます。顧客関係は、お客様がサービスに登録された時、ご注文をされた時、ダイレクトマーケティングをお申し込みになった時、または商品をご購入になった時に開始します。顧客関係は、たとえば電話でのお話に基づき、お客様のご要望により開始することもあります。
電子的ダイレクトマーケティング（電子メールおよびショートメッセージによるマーケティング）への同意は、データ保護法令の定めに従い、別途お伺いします。ご注文の時点におけるお客様の信用状況に関する情報は、Paytrail Oyj（事業者登録番号2122839-7）、Aurajoki Nordic Oy（1998514-5）および／またはSuomen Asiakastieto Oy（0111027-9）のシステムから取得します。
ウェブ解析と広告
当社は、お客様の訪問に関する個人データを処理する解析ツールおよび広告ツールを利用しています。Cookie の選択内容に応じて、これらのツールはお客様の IP アドレス、ブラウザおよび端末の情報、Cookie 識別子、閲覧したページを受け取ることがあります。ご注文の際には、メールアドレス、氏名、電話番号、郵便番号および市区町村が送信されることもあります。連絡先情報は送信前にハッシュ化されますが、これは内容を秘匿するものであり、匿名化するものではありません。
これらのデータは、当社のマーケティングの成果測定、購入の帰属分析および広告の配信対象の設定に利用されます。当社は次のツールおよびサービスを利用することがあります。
- Google（Google Ads および拡張コンバージョン）: https://business.safety.google/privacy/
- Google Analytics: https://analytics.google.com/analytics/web/
- Meta（Facebook）Pixel および Conversions API: https://www.facebook.com/business/tools/meta-pixel
- Microsoft Advertising（Bing Ads）: https://about.ads.microsoft.com/en-us/resources/policies
これらの提供事業者は、EU・米国データプライバシーフレームワークや EU 標準契約条項などの適切な保護措置に基づき、欧州経済領域外でもデータを処理することがあります。この処理を左右する選択は、本ページ末尾の Cookie 設定から変更できます。
個人データの取扱いの法的根拠
個人データの取扱いには法的根拠が必要です。当社は、同意（例：ニュースレターの購読）、契約（例：ご注文）、管理者の法的義務（例：許可を要する商品の取得および所持）、生命に関する利益の保護（例：個人の健康に関する情報を必要とする講習への参加）、または管理者もしくは第三者の正当な利益（例：ウェブ解析）を根拠として、個人データを取り扱います。
クッキー
当社は、お客様のためにウェブサイトを改善する目的でクッキーを利用しています。クッキーの目的は、お買い物の体験を向上させ、快適にすることです。クッキーは、より良いオファーやより個別性の高い商品のおすすめを提供するために利用されることもあります。クッキーとは、ウェブサーバーが利用者のハードディスクに保存する小さなテキストファイルです。ウェブサイトの機能の一部は、クッキーの受入れを必要とする場合があります。利用者のウェブブラウザは、初期設定ではクッキーを受け入れていると考えられますが、利用者はブラウザの設定でクッキーを拒否し、または利用後にブラウザから削除することもできます。ブラウザごとの設定に関する詳細は、ブラウザ提供元の説明をご参照ください。
個人データの保護
個人データファイルへのアクセスには、特別なアクセス権限が必要です。アクセスは、各人が業務上必要とするデータに限定され、個人ごとのログイン情報の使用を必要とします。顧客データファイルおよびこれを処理する機器は、閉鎖されたサーバールームに設置されています。機器およびソフトウェアは定期的かつ適切に更新され、想定される脅威には直ちに対応します。障害に備え、データは定期的にバックアップされます。システムは、外部からの接続に対してファイアウォールにより保護されています。
顧客データファイルのデータを取り扱う従業員は、守秘義務を負います。データが開示されるのは、法令上の通知義務に基づく場合、たとえばお客様ご自身のご請求による場合、または法令に基づく公的機関の求めによる場合に限られます。
データ主体の権利
データ主体は、次の権利を有します。
- 自己に関する個人データにアクセスし、その写しの提供を受ける権利
- 不正確または不完全なデータの訂正を求める権利
- 取扱いの根拠が失われた場合に、自己のデータの消去を求める権利
- 取扱いの制限を求める権利
- 正当な利益に基づく取扱いに異議を述べ、ダイレクトマーケティングを拒否する権利
- 取扱いが同意または契約に基づく場合に、自己が提供したデータを移転可能な形式で受け取る権利
- いつでも同意を撤回する権利
ご請求は管理者宛てにお願いいたします。データ主体は、監督機関に苦情を申し立てる権利も有します。フィンランドにおける監督機関は、データ保護オンブズマン事務局（tietosuoja.fi）です。