個人データの使用に関する規制は、一般的に2つの分野に分けられます：
- サービスユーザーの個人データの収集、保存、処理
- ウェブサイト閲覧中の個人の追跡と識別
以下に、これら2つの分野におけるVirtualExpo Groupのマーケットプレイスの法的遵守の説明と、販売者がVirtualExpo Groupから提供されたデータを完全に法令に準拠した形で処理するための方法を示します。
目次
- 1. クッキー（トラッカー）に関するeプライバシー指令への準拠
- 2. 個人データ保護に関するGDPR規則への準拠
- 2.1 GDPRが課す個人データの保護措置とは？
- 2.2 具体的に、GDPRの対象となるデータの種類は？
- 2.3 VirtualExpo Groupのサーバーはどこにあり、どのようなデータが保存されていますか？
- 2.4 VirtualExpo Groupの個人データの収集と送信はどのようにGDPRに準拠していますか？
- 2.5 個人が個人データの削除を要求する手続きは？
- 2.6 VirtualExpo Groupは個人データの保存に関するGDPRにどのように準拠していますか？
- 2.7 VirtualExpo Groupは個人データの自動消去に関するGDPRにどのように準拠していますか？
- 2.8 個人データの侵害が発生した場合、VirtualExpo Groupはどのような措置を取りますか？
- 3. VirtualExpo Groupマーケットプレイスにおける販売者の権利と義務
1. クッキー（トラッカー）に関するeプライバシー指令への準拠
2021年3月31日、クッキー（トラッカー）に関するeプライバシー指令の強化が施行されました。クッキーとは、ウェブサイト訪問者のデバイス（パソコン、タブレット、スマートフォン）に保存されるコンピュータースクリプトで、同じウェブサイトに再訪した際に訪問者を識別できるようにするものです。クッキーは訪問者のナビゲーションを容易にします。クッキーの種類によって：
- 機能へのアクセスに必要なフォーム入力回数を減らします
- 訪問者の閲覧履歴に基づいた関連コンテンツや広告を表示します
ウェブサイトにとって、クッキーは特に以下を可能にします：
- 訪問者数と訪問元に関するデータの集計
- 訪問者の識別と商業・マーケティング目的でのデータ活用
1.1 eプライバシー指令がクッキーの使用に課す新たな義務とは？
2021年3月31日以降、eプライバシー指令はウェブサイトによるクッキーの使用に関して以下の新たな措置を義務付けています：
- ウェブサイトの訪問者は、サイトへの到着時に以下に関するクッキーの設置について通知を受けなければなりません：
- ナビゲーション目的のためのウェブサイトの基本機能
- コンテンツのパーソナライズ（地域ターゲット広告・コンテンツ等）
- パートナーとの情報共有（ソーシャルネットワーク、検索エンジン等）
- パフォーマンス（入力フォーム数の削減、ページ読み込み速度等）
- ウェブサイトはサイト到着時に訪問者にクッキーの使用への同意または拒否の選択肢を提供しなければなりません（拒否は同意と同様に容易でなければなりません）
- ウェブサイトは6ヶ月ごとに訪問者に同意の更新を求めなければなりません
- 訪問者はいつでも同意を撤回できなければなりません
- 訪問者はクッキーを拒否してもウェブサイトを閲覧できなければなりません
1.2 VirtualExpo Groupのクッキー使用はどのように指令を遵守していますか？
VirtualExpo Groupはeプライバシー指令の新しい要件を完全に遵守しています。訪問者が当社のマーケットプレイスにアクセスすると、以下を含むポップインが表示されます：
- VirtualExpo Groupが提供するクッキーの簡単な説明
- 「すべて同意」または「すべて拒否」ボタン
- 各クッキーの詳細と個別に同意する機能への「詳細を見る」リンク
訪問者が当社のマーケットプレイスに到着したとき：
訪問者が「詳細を見る」をクリックして選択するとき：
訪問者が「すべてのパートナーによる」をクリックして選択するとき：
1.3 クッキーポップインはどのように機能しますか？
- 訪問者がクッキーの使用に同意または拒否すると、その同意が保存され、以下の場合に6ヶ月ごとに再確認が求められます：
- ウェブサイトに新しいクッキーを追加した場合
- 訪問者が新しいデバイスでマーケットプレイスにアクセスした場合
- 訪問者はいつでも同意を変更できるため、ウェブサイト上の任意のページのフッターにあるリンクをクリックしてポップインを再表示できます
- 訪問者がクッキーの使用を拒否した場合、訪問者の追跡は直ちに停止されますが、以前に収集されたデータは保持されます。
- 訪問者がポップインを閉じた場合、ウェブサイトのナビゲーションに必要なクッキーを除くすべてのクッキーの一時的な拒否とみなされます（訪問者が同意または拒否するまで、訪問のたびにポップインが表示されます）。
1.4 このポップインがVirtualExpo Groupから販売者へ収集・送信されるデータ量に与える影響は？
クッキー同意ポップインはウェブ上の標準となっており、マーケットプレイスや販売者のウェブサイトを含むすべてのウェブサイトで表示されています。これらのポップインはどこにでもあるため、ウェブサイトにアクセスする訪問者の全体的な数量に直接的な影響を与えません。ウェブサイトに到着した訪問者を識別・追跡する能力にのみ影響します。つまり：
- 訪問者数とリクエスト数への影響はほとんどまたは全くありません
- 見込み客*数と広告表示数は減少する可能性があります
*これらは主に販売者のスタンドを訪問する前にすでに識別されていた訪問者です。これらの連絡先は、活用する前に販売者が同意を得ることが常に必要でした。
当社の同意管理プロバイダーは、ポップインによるクッキー拒否率の平均が10%から35%の間であることを確認しています。
1.5 スタンドでより多くの見込み客を獲得するには？
クッキーポップインによる「スタンド見込み客」の減少に対応するため、VirtualExpo Groupは販売者にスタンドへの価格ドキュメントの掲載を推奨しています。このサービスは無料です。価格ドキュメントを追加すると「価格オプションを見る」ボタンが有効になります。それをクリックすると、訪問者はスタンドの価格オプションを確認するために個人データを販売者に送信するためのフォームが表示されます。詳細については、こちらのガイドをご覧ください。
VirtualExpo Groupのマーケットプレイスにおける個人データの保護に関してご質問がある場合は、dpo@virtual-expo.comまでメールをお送りください。
2. 個人データ保護に関するGDPR規則への準拠
2.1 GDPRが課す個人データの保護措置とは？
GDPR（一般データ保護規則）は、欧州連合内における個人データの取り扱いに関するガイドラインを定めています。この規則は2018年5月に発効し、異議申し立ての権利、透明な情報へのアクセス権、消去の権利など、個人データの使用に対するEU市民の管理を強化しました。
GDPRは、個人データが収集・転送される前に、ウェブサイトが訪問者に以下を通知することを義務付けています：
- 個人データの潜在的な使用目的
- データの削除または修正を要求するための手続き
また、個人データを安全に、かつ指定された期間保存することも求めています。
2.2 具体的に、GDPRの対象となるデータの種類は？
GDPRの対象：
- 個人を特定できる記名データ
- 例：firstname.lastname@guzzini.com、携帯電話番号、または個人住所
GDPRの対象外：
- 個人を特定できない非記名データ
- 例：info@guzzini.com、交換台・受付の番号、または会社の住所
2.3 VirtualExpo Groupのサーバーはどこにあり、どのようなデータが保存されていますか？
VirtualExpo Groupの6つのマーケットプレイスは、フォームや安全なメッセージングを通じて買い手と販売者を結びつけています。収集されたデータは、安全なオペレーター（ISO 27001）が管理するフランスの建物内のサーバーに保存されています。このサーバーに保存されるデータには以下が含まれます：
- スタンドの管理を担当する販売者のスタッフおよびマーケットプレイス上に存在する販売ネットワークメンバーの連絡先情報
- リクエスト送信、情報閲覧、または各種メーリングへの登録のためにフォームに記入した潜在的買い手の個人データ
- 販売者と潜在的買い手が添付ファイルや見積書を含む交渉インターフェースを通じて投稿したメッセージの履歴
このデータはヨーロッパに保存されているため、データ主体の地理的な場所に関わらず、その使用はGDPR（一般データ保護規則）に準拠しなければなりません。
例：
東京在住の日本人潜在的買い手が北京在住の中国人販売者の製品を閲覧した場合、ユーザーデータがすべてヨーロッパに保存されていれば、中国人販売者によるその日本人潜在的買い手の活用にはGDPRが適用されます。
2.4 VirtualExpo Groupの個人データの収集と送信はどのようにGDPRに準拠していますか？
i) 販売者スタンドのフォーム
販売者のスタンドの訪問者が販売者と連絡を取るためのボタンをクリックすると、以下を通知するテキストが表示されます：
- 個人データが当該販売者の販売力のメンバーに転送され、そのメンバーがリクエストに関して連絡を取ることができること
- 個人データの修正または削除を要求する方法を説明するプライバシーポリシー
「VirtualExpo Groupはお客様のプライバシーを保護します：見積もり、資料、価格オプションを要求する際、質問する際、または販売者の価格オプションや連絡先情報を参照する際、お客様の個人データは販売者または該当する場合はエリアマネージャーまたはディストリビューターに転送され、直接回答を受け取ることができます。データの処理方法、目的、およびデータに関するお客様の権利の詳細については、プライバシーポリシーをご覧ください。当社のウェブサイトを引き続きご利用いただくことで、一般利用規約に同意したものとみなされます。“
ii) 製品ニュースレター、ニュースサイトニュースレター、またはパートナーからの情報メールへの登録
訪問者がニュースレターまたはパートナー情報メールのいずれかに登録するためにメールアドレスを入力すると、以下のテキストが表示されます：
「確認」をクリックすることで、個人データの処理方法およびデータに関するお客様の権利について通知する一般利用規約とプライバシーポリシーに同意したことを確認します。お客様のメールアドレスは、ご関心のあるニュースレターの送信にのみ使用されます。法律に従い、お客様はアクセス、修正、および異議申し立ての権利を有します。これらの権利は、dpo@virtual-expo.comへのメール送信または編集者本部の住所への郵送によって行使できます。
iii) プライバシーポリシー
訪問者はいつでも当社のプライバシーポリシーを参照することで、個人データの使用およびデータの削除または修正の権利について確認できます。このページはマーケットプレイスのフッターからアクセスできます。
IV) 一般販売条件
一般販売条件の同意は、VIRTUALEXPOのオファーに関連するサービスへの申し込み時に必須です。一般販売条件の第9.1条は、同意が販売者の個人データの保護に関する当社のプライバシーポリシーの認識を含むことを販売者に通知しています。
2.5 個人が個人データの削除を要求する手続きは？
訪問者および販売者は、17 avenue André Roussin, 13016 Marseilles にある当社本部に手紙（削除要求の対象となるプロフィールの本人確認書類のコピーを添付）を送ることで個人データの削除を要求できます。訪問者はdpo@virtual-expo.comにメールを送ることでも要求できます。この要求が受理されるためには、マーケットプレイス上の訪問者のプロフィールに登録されているメールアドレスからメールを送信する必要があります。
要求を受け取り次第、データ主体のデータは以下から削除されます：
- VirtualExpo Groupのニュースレターおよびメーリングデータベース
- 会話履歴を含む販売者のリクエストアーカイブ
訪問者が要求の発信者である場合：
- デバイスにクッキーが設置されていた際に訪問者が訪れた販売者のスタンドの見込み客アーカイブ
- 訪問者の「マイスペース」アカウント
販売者が要求の発信者である場合：
- VirtualExpo GroupのCRMツール
- マーケットプレイス上で販売者が参加していた販売ネットワーク
- バックオフィス上で販売者が参加していた販売ネットワーク
データ主体は30日以内にデータが削除されたことを確認するメールを受け取ります。
2.6 VirtualExpo Groupは個人データの保存に関するGDPRにどのように準拠していますか？
VirtualExpo Groupのマーケットプレイスで収集された個人データは、アクセス管理を備えた安全な建物内のISO 27001認定ホストによって保存されています。認証後にのみ、権限を持つ従業員のみがこのデータ、機器、ハードウェアにアクセスできます。
2.7 VirtualExpo Groupは個人データの自動消去に関するGDPRにどのように準拠していますか？
GDPRは、データ主体の同意が撤回されず、サービスを継続して使用している限り、マーケティングおよびコミュニケーション目的（例：ニュースレターの送信）での個人データの保持を認めています。データ主体が2年間サービスを使用しない場合、そのデータは自動的に削除されます。
以下のプロフィールが削除されます：
- VirtualExpo Groupからのメールを一通も開封せず、かつ2年間当社のマーケットプレイスを一切訪問しない訪問者
- 2年間当社のマーケットプレイスで商業活動のない販売者のために働く人々
このデータ消去メカニズムは、当社のプライバシーポリシー（第I条、セクションB）「保持と消去」に明示的に記載されています。
2.8 個人データの侵害が発生した場合、VirtualExpo Groupはどのような措置を取りますか？
20年の実績において、個人データ保護措置の継続的な改善により、VirtualExpo Groupはサーバーに保存された情報に関するセキュリティ侵害を一度も経験したことがありません。当社のセキュリティユニット（security@virtual-expo.com）は、従業員のセキュリティのベストプラクティスへの意識向上に取り組み、新たなリスクに関する情報を定期的に発信しています。セキュリティ侵害が発生した場合、以下のサイバーセキュリティ管理プロセスが適用されます：
- セキュリティユニットが動員され、危険を特定します
- 影響を受ける可能性のある個人および/または組織に対して、できるだけ早く適切な連絡が行われます
- 予防措置として、VirtualExpo Groupはサイバー攻撃の被害を受けた可能性のある人物のアカウントパスワードを変更することがあります
3. VirtualExpo Groupマーケットプレイスにおける販売者の権利と義務
VirtualExpo Groupから転送された個人データの処理に関する販売者の法的義務を理解するためには、GDPRに関してVirtualExpo Groupとそのマーケットプレイス上の販売者の法的地位を理解する必要があります。
GDPRは個人データの処理における主体の義務を決定する2つの地位を認めています：「データ管理者」と「データ処理者」
データ管理者
データ管理者は、個人データの処理の手段と目的を決定する主体です：データがどのように、どのような目的で収集・使用されるかを決定します。データ管理者は個人データの処理を第三者企業（データ処理者）に外部委託することがあります。
データ処理者
データ処理者はデータの運用処理のみを担当します。データ管理者の指示の下でのみ行動します。データ処理者は個人データの所有者でも、データ処理の目的を決定する者でもありません。データ処理者の典型的な活動は、クラウドストレージや広告メール送信サービスを含むITソリューションを提供することです。データ管理者に対するデータ処理者の義務は、契約またはその他の法的行為で規定されなければなりません。
3.1 VirtualExpo Groupの法的地位は？
VirtualExpo Groupは、販売者に送信される個人データの使用の手段と目的を決定するため、データ管理者としての地位を有しています。
販売者に転送される訪問者の個人データは、VirtualExpo Groupがオンラインフォームを通じて収集します。訪問者は必要に応じたボタンをクリックすることでこれらのフォームにアクセスします。ボタンとフォームはVirtualExpo Groupによって定義され、マーケットプレイス上のすべての販売者に対して同一です：
- 個別見積もりの依頼
- 価格オプションの依頼
- 価格オプションを見る
- 資料の依頼
- 質問
- 連絡先情報を見る
各フォームにおいて、VirtualExpo Groupは訪問者に対し、個人データがVirtualExpo Groupのポリシーに準拠して当該販売者の販売力（社内または社外）のメンバーに転送され、そのメンバーがリクエストに関して連絡を取ることができる旨を通知します。
3.2 販売者の法的地位は？
VirtualExpo Groupのマーケットプレイス上の販売者は、VirtualExpo Groupとの関係において共同管理者としてではなく、独立した後続管理者としてデータ管理者の地位を有しています：
- 独立した後続管理者：
VirtualExpo Groupによってマーケットプレイスで収集された個人データは、販売者に転送され、販売者は自社のサーバーにコピーし、独自の目的のために使用することができます（必要な同意を得た後）。
- 共同管理者ではない：
販売者とVirtualExpo Groupは独立した管理者です。販売者はVirtualExpo Groupのマーケットプレイスにおける個人データの収集・使用の目的を定義しません。逆に、VirtualExpo Groupは販売者のサーバーに転送された個人データの使用目的を定義しません。
3.3 販売者は個人データ処理の法的責任をVirtualExpo Groupに転嫁できますか？
販売者に対して独立した役割を担うVirtualExpo Groupは、法的には販売者の名義および代理としてデータ処理者として機能しません。したがって、販売者はVirtualExpo Groupに処理者委任状への署名を求めることで個人データ処理の法的責任を転嫁することはできません。これは、VirtualExpo Groupのサービスを契約する際に販売者が承認する一般販売条件第9.2条およびプライバシーポリシーのセクションBに説明されています。
3.4 販売者はマーケットプレイスを通じて転送された個人データをGDPRに準拠して処理するにはどうすればよいですか？
GDPRは後続のデータ管理者に対して、マーケットプレイスの訪問者から個人データの使用に関する同意を収集することを義務付けています。「価格オプションを見る」のリクエストおよび見込み客の場合、VirtualExpo Groupが同意を収集するため、販売者およびその販売ネットワークは再度収集する必要はありません。
VirtualExpo Groupは「スタンド」見込み客については同意を収集しません。当社はプライバシーポリシーを通じて、単にスタンドを訪問した訪問者の個人データが販売者に転送されることを訪問者に通知します。その後、販売者は最初のコミュニケーションでこれらの訪問者の同意を得る必要があります。以下に3種類の販売コンタクトと、これらのコンタクトの活用に関する販売者の権利と義務の説明を示します：
A. 「スタンド見込み客」
見込み客が取った行動
潜在的買い手が販売者のスタンドを訪問しました。クッキーの事前承認により、買い手の個人プロフィールが識別され、販売者の安全な検索結果ページを通じて販売者に転送されました。
「スタンド」見込み客の個人データ使用に関する販売者の義務
GDPRの第13条、第14条、第21条、第22条に従い、販売者は「スタンド」見込み客の同意を得るために、販売者が見込み客の連絡先情報を入手した経緯（VirtualExpo Groupのマーケットプレイス）、将来のコミュニケーションの内容と頻度を説明する最初のメールを送信しなければなりません。このメールには以下も含める必要があります：
- 法人買い手の場合（会社名が提供されている場合）：将来のコミュニケーションから配信停止するためのリンク。クリックされない場合、販売者は提案されたコミュニケーションを送信できます（「オプトアウト」）。
- 個人買い手の場合（会社名が提供されていない場合）：販売者からのコミュニケーション受信に同意するためのボタン。クリックされた場合のみ、販売者は提案されたコミュニケーションを送信できます（「オプトイン」）。
いずれの場合も、販売者は将来のコミュニケーションが合意した目的と頻度を尊重し、見込み客がいつでも配信停止できるリンクを含めることを確保しなければなりません。
B. 「価格オプションを見る」および「連絡先情報を見る」見込み客
見込み客が取った行動
販売者のスタンドを訪問した後、潜在的買い手は「価格オプションを見る」または「連絡先情報を見る」ボタンをクリックし、希望する情報にアクセスするためのフォームに情報（姓、名、メールアドレス）を記入しました。フォームへの記入時に、潜在的買い手は事前の同意なしに販売者または販売者の販売ネットワークのメンバーが個人データを使用して連絡を取ることに同意したことを通知されます。
「価格オプションを見る」および「連絡先情報を見る」見込み客の個人データ使用に関する販売者の権利
スタンドのボタンをクリックして特定の情報にアクセスすることで、潜在的買い手は販売者の販売力のメンバーによる連絡に同意しました。したがって、販売者はスタンドでのこの行動から数日後に潜在的買い手に連絡を取ることができます。
C. 「個別見積もり」、「価格オプション」、「資料」または「質問」のリクエスト
買い手がリクエストを開始しました
販売者のスタンドを訪問した後、潜在的買い手は「個別見積もりの依頼」、「価格オプションの依頼」、「資料の依頼」または「質問」ボタンをクリックし、リクエストを販売者に送信するためのフォームに情報（姓、名、メールアドレス、電話番号）を記入しました。潜在的買い手はこれらの詳細情報を使用して販売者（親会社、地域マネージャー、ディストリビューター、またはブランドエージェント）から連絡を受けることに同意しました。
リクエストに関連する個人データ使用に関する販売者の権利
リクエストを送信した買い手は迅速な連絡を希望しています。販売者は電話またはメールでリクエストに直接応答することをお勧めします。
VirtualExpo Groupがお客様のそばに
販売者がいつでも訪問者の個人データ処理に関する権利と義務を確認できるよう、VirtualExpo Groupはバックオフィスの「マイ結果」ページに概要を提供しています。さらに、個人データの意図しない誤用を防ぐため、VirtualExpo Groupはこのデータにアクセスするために販売者にGDPRに基づく義務を確認するチェックボックスにチェックを入れることを求めています（画像参照）
VirtualExpo Groupのマーケットプレイスにおける個人データの保護に関してご質問がある場合は、dpo@virtual-expo.comまでメールをお送りください。
