1. はじめに
1.1 本プライバシー通知（以下「本通知」といいます）は、STS Education Group AB （登録番号：559251-3112、以下「STS」または「当社」）、Educatius Group AB（登録番号：556721-0819）、およびその子会社が、当社のサービス（以下「サービス」といいます）の提供に関連して、お客様の個人データをどのように取り扱うかについて説明するものです。サービスには、登録時、渡航時、当社のウェブサイトやアプリの利用時、その他当社とのやり取りの際が含まれます。
1.2 また、本通知では、当社が適用されるデータ保護法に準拠して個人データを適正に取り扱うための取り組みについても説明します。
1.3 特に明記のない限り、STS は本通知に記載された個人データの取扱いに関して個人データ管理者（データコントローラー）となります。したがって、当社が個人データ管理者として行うすべての個人データの取扱いが、関連するデータ保護法令に準拠して行われるよう責任を負います。
1.4 本通知において使用される用語は、原則として欧州連合規則（EU）2016/679（一般データ保護規則「GDPR」）に定める意味を有するものとします。
2. 個人データの種類
2.1 当社は、サービスを提供する際に、第3項に定める種類の個人データを取り扱います。
2.2 また、カスタマーサポートの提供などの際には、第3項に定められた種類以外の個人データを取り扱う場合もあります。当社が具体的にどのような個人データを取り扱うかは、お客様が当社に提供される情報の内容によっても異なります。
2.3 一般的に、当社が取り扱う個人データはお客様ご本人から直接収集されます。ただし、第三者（例：販売代理店、関連事業者、公的機関、提携先など）からお客様に関する情報を受領し、これを収集・利用する場合もあります。
2.4 適用法に基づく場合には、未成年者に関する個人データを取り扱うことがあります。未成年者はプライバシー保護の観点から特段の配慮が求められる対象であるため、対象となる児童が13歳未満（または各国で定められた年齢未満）の場合には、法定代理人の同意を得たうえで情報を収集します。
3. 個人データの取扱目的
当社は、以下の目的のために個人データを取り扱います。
3.1 サービスの提供のため
3.1.1 当社は、ユーザーおよびお客様にサービスを提供するために個人データを取り扱います。これには、アカウントや予約の管理、注文および購入の管理などが含まれます。この目的のために取り扱う個人データのカテゴリは次のとおりです。本人識別情報（氏名、ユーザー名、学生ID番号、婚姻状況、肩書、⽣年⽉⽇、性別、写真、パスポート情報、在留資格、就労資格、履歴書、カバーレター、学歴、職歴および推薦状など）、連絡先情報（住所、電子メールアドレス、電話番号、緊急連絡先など）、保険情報 、医療情報、食事制限・宗教・障がいに関する情報、取引情報（お客様との間で行われた支払いや受領に関する詳細、および当社から購入されたサービスに関するその他の詳細）、技術情報（IPアドレス、ログインデータ、ブラウザの種類およびバージョン、位置情報など）。
3.1.2 当社は、当社のサービスまたは商品に係る支払手続に関連して、決済サービス提供事業者その他支払プロセスに関与する事業者と、一定の取引情報を共有する場合があります。
3.1.3 上記の目的で個人データを取り扱う法的根拠は、当社がサービスを提供するという正当な利益に基づくものです。お客様が注文を行った場合や購入を行った場合には、お客様と当社との間の契約が法的根拠となります。サービス提供を目的として当社がお客様との契約を履行するためには、本目的に係る個人データの取扱いが必要となります。
3.1.4 特別なカテゴリの個人データ（センシティブな個人データ）の取扱いは、お客様が当該取扱いに同意をいただいた場合に限り、また同意をいただいた目的のためのみに行われます。ただし、お客様または他の方の重大な利益を保護するために必要がある場合（例えば、病気や事故などによりお客様が同意を物理的または法的に与えられない場合など）には、同意なしに取扱いを行うことがあります。
3.1.5 当社は、お客様がサービスを利用している期間中、または当社が法的利益を守り、お客様との契約義務を果たすために必要な期間、個人データを取扱います。さらに、スウェーデンの会計法規を遵守するために、本人の個人データを最大7年間保管する場合があります。
3.2 サービスの管理および改善のため
3.2.1 当社は、お客様がサービスを利用したり、当社とその他の形でやり取りされた際に、お客様の個人データを取り扱い、サービスの開発および改善に役立てます。この目的で取り扱う個人データの種類には、例えば、サービスの利用状況に関する情報、取引データおよび技術データが含まれます。
3.2.2 本目的の個人データ取扱いの法的根拠は、当社のサービスおよびウェブサイトの開発・改善に関する正当な利益に基づきます。
3.2.3 この目的で処理される個人データは、お客様がサービスを最後に利用されてから36か月間保存されます。ただし、当社がサービスを最適に改善するためにより長期間の保存が必要な場合は、その期間を延長することがあります。
3.3 連絡および本人確認の目的で
3.3.1 当社は、お客様およびパートナー様に連絡を取るため、また本人確認を行うために個人データを取り扱います。
この目的で取り扱う個人データの主な種類は本人識別情報です。
3.3.2 連絡および本人確認のための個人データ取扱いの法的根拠は、当社の正当な利益に基づくものです。ただし、これらの連絡や本人確認が契約上の義務履行のために行われる場合は、その法的根拠は契約に基づきます。
3.3.3 この目的で取り扱う個人データは、お客様ご本人または当社のパートナーから直接収集されます。また、当該個人データは、その目的の達成に必要な期間保存されますが、お客様との関係終了後はできるだけ速やかに、原則として36か月を超えて保存しないよう努めます。この保存期間は、将来の法的請求に対応できるようにするために設けられています。
3.4 サポートの提供のため
3.4.1 当社は既存のお客様および潜在的なお客様に対し、質問への回答やサポート対応を行うために個人データを取り扱います。
この目的で取り扱う個人データは、具体的な内容やお客様が当社に提供される情報によって異なりますが、通常は本人識別情報および連絡先情報が含まれます。また、質問に対応しサポートを提供するために必要と判断した場合には、その他の個人データを取り扱うこともあります。
3.4.2 本目的の個人データ取扱いの法的根拠は、サービスに関する質問への回答およびサポート提供に関する当社の正当な利益に基づきます。ただし、個人データの取扱いが契約上の義務履行のために行われる場合は、その契約が法的根拠となります。
3.4.3 これらの個人データは、原則としてデータ主体ご本人から直接収集されます。当該個人データは、対応すべき案件の処理に必要な期間のみ保持し、案件処理完了後は速やかに削除するよう努めます。
3.5 マーケティングおよびコミュニケーションの目的で
3.5.1 当社は、サービスのマーケティング、市場調査の実施、既存および潜在的なお客様への情報提供、ならびに受け手にとって興味深く関連性の高いマーケティングメッセージを届けるために個人データを取り扱います。たとえば、メール、SMS、ソーシャルメディアを通じてニュースレターを配信し、またペイパークリック広告などのマーケティング施策を実施することもあります。この目的で取り扱う個人データには、連絡先情報、本人識別情報に加え、購入履歴や興味・嗜好などのプロファイル情報が含まれます。
3.5.2 本目的の個人データ取扱いの法的根拠は、当社のサービスのマーケティングおよびキャンペーン、オファー等に関する既存および潜在的顧客への情報提供にかかる正当な利益に基づきます。特定のマーケティング施策において同意が必要な場合は、適用されるデータ保護法令に従い同意を取得します。
3.5.3 個人データは原則としてお客様ご本人から直接収集されます。個人データは、お客様がサービスと最後にやり取りをしてから12か月間保持されます。
4. 個人データの転送について
4.1 当社は、本プライバシー通知に記載された目的の範囲内で、お客様の個人データを当社グループ内のパートナーおよび他企業に転送することがあります。また、個人データの一部は米国内にあるサーバーに保存される場合があります。
4.2 当社がパートナーと個人データを共有する際、パートナーは当社の指示に従い個人データを処理するデータ処理者（プロセッサー）として行動する場合と、当社とは独立して個人データ管理者（コントローラー）として行動する場合があります。
当社はデータ処理者と適切な個人データ処理契約を締結し、個人データの処理が当社の指示および適用されるデータ保護法令に準拠して行われるようにしています。
4.3 当社は、個人データを第三国（EU／EEA域外の国）へ転送し処理する場合、（i）当該国が十分な保護レベルを確保していると欧州委員会が判断している、（ii）個人データの受領者が転送される個人データの適切な保護に関する拘束力のある実行可能な契約を締結している、または（iii）適用されるデータ保護法令に基づくその他の正当な法的根拠がある場合に限ります。
4.4 お客様またはお客様のお子様が当社とともに渡航できるようにするために、出発地および／または目的地の当局が定める要件に基づき、入国管理、国境管理、安全保障およびテロ対策の目的で個人データを共有および処理しなければならない場合があります。
4.5 また、法令により要求される場合には、当局またはその他の公的機関に個人データを転送することがあります。
5. セキュリティ
5.1 当社は、本プライバシー通知に記載された個人データの処理に関連して、適切な技術的および組織的措置を講じています。必要に応じて、個人データの匿名化や仮名化を実施しています。また、転送、保存またはその他の方法で処理される個人データの意図的または違法な破壊、紛失、改ざん、漏洩、または無断アクセスを防止するための技術的・組織的措置も講じています。
5.2 当社のセキュリティ対策に関する詳細については、お問い合わせください。
6. 保管期間
6.1 当社は、個人データの処理目的を達成するために必要な期間のみ個人データを処理します。適用されるデータ保護法令（GDPRを含む）により許される期間を超えて個人データを保管することはありません。
6.2 本プライバシー通知に記載された目的のために、お客様の個人データを必要以上に長く保持しません。不要となった個人データは、適用法令に従い安全に破棄します。研究や統計目的で個人を識別できなくした匿名化処理を行う場合は、匿名情報を無期限に利用することがありますが、その際は改めてお客様への通知は行いません。
6.3 当社は、個人データの保存に関して社内の保持方針を実施しています。当社の保持方針について詳しい情報をご希望の場合は、お問い合わせください。
7. クッキーおよび類似技術
7.1 当社は、クッキー、ピクセル、ローカルストレージなどの技術を用いて、お客様のブラウザやデバイス（例：携帯電話、コンピューター、タブレット）から情報を収集します。これは、サービスの利用者についてよりよく理解し、ユーザー体験を向上させるために行われます。
7.2 当社がクッキーおよび類似の技術を通じて収集する情報には、IPアドレスや使用されるデバイス（例：コンピューター、スマートフォン、タブレット）に関するその他の技術的情報が含まれます。
7.3 当社のクッキーの使用に関する詳細は、当社のクッキーポリシーをご覧ください。
8. データ主体の権利
8.1 適用されるデータ保護法令に基づき、お客様には以下の権利があります。
- 情報を受ける権利 – お客様には、当社がどのように個人データを収集・利用しているかについて通知を受ける権利があります。
- アクセスの権利 – お客様には、ご自身の個人データおよびそれに付随する情報の写しを請求し、確認する権利があります。
- 訂正を求める権利 – 当社が保有するお客様に関する不正確または不完全な個人データについて訂正を求める権利があります。新しいデータの正確性について確認をお願いする場合があります。
- 削除を求める権利 – お客様には、当社による個人データの処理を継続する正当な理由がない場合に、そのデータの削除または消去を要求する権利があります。
- 処理の制限を求める権利 – お客様には、ご自身の個人データの処理を制限するよう求める権利があります。「制限」とは、当社が特定の目的に限ってお客様のデータを処理できるよう印を付けることを意味します。
- データポータビリティの権利 – お客様には、ご自身の個人データを構造化された、一般的に使用される機械読み取り可能な形式で受け取る権利、またはお客様が指定した第三者へ当該データを提供するよう求める権利があります。
- 異議を申し立てる権利 – 当社または第三者の正当な利益を根拠として個人データを処理している場合でも、お客様の特別な状況により、その処理が基本的な権利や自由に影響を及ぼすと考える場合には、処理に異議を申し立てる権利があります。
- 自動化された意思決定およびプロファイリングに関する権利 – お客様には、法的効果を生じる、または同等に重大な影響を及ぼすおそれのある自動化された処理（プロファイリングを含む）のみに基づく決定の対象とならない権利があります。
8.2 当社による個人データの取扱いに関してご質問や苦情がある場合、または上記の権利を行使されたい場合は、以下の連絡先を通じて当社までご連絡ください。なお、一部の権利については法令により制限される場合があります。そのため、状況によっては特定の権利行使のご要望に応じられない場合があります。
8.3 当社による個人データの取扱いに関して苦情を申し立てたい場合は、スウェーデンのデータ保護監督機関であるスウェーデン個人情報保護庁 (Sw. Integritets-skyddsmyndigheten) www.imy.se/kontakta-oss/ にご連絡いただくことも可能です。
9. プライバシー通知の変更
9.1 当社は、本プライバシー通知の内容を随時変更する権利を留保します。最終更新日については以下に記載します。本プライバシー通知のすべての変更は、当社ウェブサイト上で公開されます。お客様には、本プライバシー通知の内容を定期的にご確認いただき、変更点について把握されることをお勧めします。
9.2 当社が本プライバシー通知を実質的に変更する場合には、該当する影響を受ける方々にその旨を通知し、必要に応じて、変更後のプライバシー通知の内容をご確認・同意いただくようお願いする場合があります。
9.3 本プライバシー通知の最終更新日は2022年4月7日です。
10. お問い合わせ先
10.1 本プライバシー通知の内容、または当社による個人データの取扱いに関してご質問がある場合は、以下の連絡先までお問い合わせください。
Email: DPO@educatius.org
