Offra バイヤープライバシーポリシー
〒222-0033 神奈川県横浜市港北区新横浜3-7-18
法人番号: 8020001115655
customer@rubik.co.jp
改訂日：2026年9月25日。適用開始日は、本版を提示する公開画面及び同意画面に表示します。既存取引への適用は規約の変更条項に従います。
Offra バイヤー利用規約 · 特定商取引法に基づく表記・事業者間取引情報
第1条（データ管理者）
本ポリシーは、Offraのバイヤー及びその担当者に関する個人情報の取扱いを説明します。
個人情報の管理者はルービック株式会社（Rubik KK）です。所在地：〒222-0033 神奈川県横浜市港北区新横浜3-7-18、日本。法人番号：8020001115655。個人情報窓口：customer@rubik.co.jp。本ポリシーでは「当社」といいます。事業者向けサービスであっても、担当者、代表者、個人事業主等の自然人に関する情報には、適用される個人情報保護法令に従います。
法人の代表者：藤本直樹。
第2条（取得する情報）
必要な範囲で、次の情報を取得します。
- アカウント・企業情報：氏名、役職・権限、業務用メール、電話番号、言語、法人名、法人番号・事業登録番号、VAT番号、店舗住所、ロゴ、認証情報および規約・ポリシーの確認履歴。
- 審査・確認情報：事業登録・VAT情報、事業目的での購入および担当者権限の証拠、登録可否、追加確認の回答、不正の疑いに関する事実と審査結果。身分証等は必要性がある場合に限り、安全な方法で求めます。要配慮個人情報や個人番号など不要な情報は送らないでください。
- 取引情報：リクエスト、オファー、交渉メッセージ、写真・添付資料、注文、価格・通貨・手数料、同意日時、決済・返金・チャージバックの識別子と状態、評価、クレームと対応記録。
- 決済・配送情報：Stripe連携・審査・送金状態、配送先・連絡先、追跡番号・配達状況、買い手の支払・返金状態および照合に必要な情報。カード番号全桁・セキュリティコードはStripeの決済画面で直接処理され、Offraは保存しません。Offraには処理に必要な識別子、決済状態、カードブランド・下4桁等が提供される場合があります。
- 技術情報：IPアドレス、日時、アクセス・操作・エラーログ、セッション識別子、ブラウザー・端末情報およびセキュリティ上必要な情報。
情報は本人、所属企業の管理者、取引相手、Stripe、配送・追跡事業者、公開された公的事業者情報等から取得します。必須情報を提供しない場合、登録審査、取引、決済または配送を行えないことがあります。担当者や配送先の第三者の情報を登録する場合、必要な範囲に限定し、その方に本ポリシーを案内してください。
当社が本人以外から取得した個人情報については、適用法に従い本人へ必要な情報を提供します。GDPR第14条の通知が必要な場合は、原則として取得後1か月以内、またはそれより早い最初の連絡・第三者開示の時点までに行い、例外を用いる場合は法定要件を確認します。利用者による案内だけをもって当社自身の通知義務を免れるものではありません。
第3条（利用目的と法的根拠）
| 目的 | GDPRが適用される場合の根拠 |
|---|---|
| アカウント、取引、決済・配送、必要なサービス通知 | 本人自身が契約当事者の場合は必要な契約履行・契約前措置。法人の担当者等には、法人取引の連絡・運営を行う正当な利益 |
| 事業者審査、権限確認、不正防止、セキュリティ、監査 | 安全なB2Bサービスと当事者保護のための正当な利益。EU・加盟国法で義務付けられる処理には当該法的義務 |
| 翻訳による取引連絡の補助 | 本人との契約に客観的に必要な範囲の契約履行、または越境の業務連絡を支援する正当な利益。別途同意が必要な処理はその同意 |
| クレーム、返金、不正調査、請求・防御 | 該当する契約履行、権利の確立・行使・防御および紛争処理の正当な利益 |
| 会計・取引証拠保存、当局対応 | 適用されるEU・加盟国法上の義務。日本法等の義務履行がGDPR第6条1項(c)に当たらない場合は、適法な会計・事業運営・権利保全の正当な利益 |
| 任意の機能・同意を要するトラッカー | 該当する同意。必要なサービスの利用を不要な同意の条件にしません |
日本法では、以上を利用目的として必要な範囲で取り扱い、第三者提供・外国移転等に同意その他の要件があるときは別途満たします。正当な利益を用いる場合は目的、必要性、本人の権利への影響を評価します。ポリシーの確認自体を全処理への包括的な同意として扱いません。個人情報を販売せず、現在、広告目的には使用しません。
特別な種類の個人データや犯罪の有罪判決・犯罪に関するデータを取り扱う必要がある場合は、GDPR第9条・第10条、日本法その他の適用法上の追加条件も確認します。正当な利益だけでこれらの条件を満たしたとは扱わず、適法な根拠がない情報は取得を避け、誤って受領した情報を必要に応じて隔離・削除します。
第4条（提供先および委託先）
公開したリクエストとその商品説明・写真等は、該当する閲覧範囲の販売者に表示されます。リクエスト公開は配送先や担当者の全連絡先を無条件に公開することを意味しません。オファーへの応答と交渉は、関係する販売者および取引関係者に必要な範囲で表示します。
取引成立後には、履行、連絡、発送、通関、クレーム対応に必要な会社・担当者・配送情報を関係当事者に提供します。本人確認書類、認証用秘密情報、カード番号全桁を取引相手へ一般公開しません。公開欄に個人の住所等の不要な情報を書き込まないでください。閲覧できる相手や公開範囲は入力時の表示でも案内します。
当社と取引相手は、それぞれの会計、配送、顧客管理等について各自が処理目的を決める範囲で独立した管理者です。相手方は受領情報を本件取引および適法な義務対応に限定し、無断の広告・名簿作成・別目的への転用をしてはなりません。実際に処理者や共同管理者に該当する場合は、その関係に必要な契約・説明を行います。
Stripeに決済・本人確認等、Amazon Web Servicesにホスティング・写真保管・メール送信、OpenAIに第4条の翻訳、配送業者・追跡事業者に配送確認を委託し、または必要情報を提供します。担当業務に必要な情報と権限に限定します。Stripeや配送業者等は自らの法令対応等について独立した管理者となる場合があり、各社の適用ポリシーも確認できます。
委託には必要なデータ保護契約を用い、適切な安全管理と監督を行います。法令、裁判所・当局の適法な要請、または権利保全に必要なときは、弁護士・会計専門家等に必要最小限の情報を提供する場合があります。
リクエスト、オファー及び取引メッセージの翻訳のため、対象文章をOpenAIに送信します。連絡先、本人確認資料、決済情報等、翻訳に不要な情報を本文へ記載しないでください。翻訳を希望しない場合は入力前にcustomer@rubik.co.jpへご連絡ください。停止が可能な対象・時点と原文での代替方法を案内します。停止前の適法な提供を遡って回収することや、相手方が独立して利用する翻訳サービスの処理を停止することを保証しません。
自動処理を審査補助に用いる場合も、重要な登録拒否、アカウント制限及び資金に関する判断について、人による再確認を窓口へ求め、事情を説明し、異議を申し立てられます。法的又は同様に重大な効果をもたらす専ら自動化された決定を行う場合は、適用法上の根拠、説明及び保護措置を先に確保します。
第5条（国外移転）
EU・EEAの事業者と日本の事業者を結ぶため、取引に必要な情報は日本の当社および取引相手に提供されます。欧州委員会の日本に関する十分性認定は、その対象条件に該当する移転に適用されます。当社は対象となるEU由来データについて日本の補完的ルールにも従います。
米国等への移転・再移転については、適用される十分性認定、適切な標準契約条項その他適法な仕組みを移転ごとに確認し、必要な影響評価・追加措置を実施します。日本の個人情報保護法で必要な同意、相当措置および情報提供も行います。
移転先の国、保護措置の概要または適用される保証の写しは窓口へ請求できます。営業秘密・他人の情報を保護するため必要部分を非表示とすることがあります。
第6条（保存期間）
必要な期間に限定し、目的がなくなれば削除または個人を識別できない形にします。以下は通常の最長期間であり、より短い保存で足りる情報は先に削除します。
| 区分 | 期間・起算点 |
|---|---|
| 利用中のアカウント | 利用・連絡に必要な期間。不要となった担当者情報は更新・削除 |
| 退会後の通常プロフィール | 閉鎖後最長3年。不正再登録対策・問い合わせ対応等に必要な項目に限定 |
| 審査に用いた身分証等の写し | 審査完了または拒否確定から最長90日。法定保存や未解決不正に特に必要な部分のみ例外として分離保管 |
| 契約成立・決済・配送・同意の証拠 | 取引または関係終了から原則5年。ただし会計等の法定保存対象はその期間 |
| 請求書・会計資料 | 対象法により通常7年、会社法対象帳簿や該当する税務資料等は10年。法令上の起算日から必要な対象のみ |
| クレーム・返金・紛争記録 | 解決から原則5年。単なる添付資料は不要になり次第削除 |
| 技術・セキュリティログ | 発生から最長12か月。特定の事故調査に必要な記録は関連事件の保存期間へ分離 |
| 翻訳用の一時データ | 処理に必要な期間。外部事業者の契約上の保持期間と適用条件は窓口へ請求できます |
具体的な係争、法令上の保存義務または当局命令がある場合は、関係する情報だけを必要な期間保全し、アクセスを制限します。全アカウントを無期限に保持する理由にはしません。バックアップ内の削除対象は通常の更新サイクルで消去し、復元時には削除を再適用します。
第7条（お客様の権利）
適用法とその条件に従い、利用目的の通知、アクセス・開示、訂正、削除・利用停止、第三者提供停止、処理の制限、異議申立て、データポータビリティ等を請求できます。GDPRのポータビリティは同意または本人との契約に基づく自動処理等の要件があります。正当な利益に基づく処理への異議は、本人の事情を踏まえて判断します。法定記録、権利の確立・防御等のため必要な情報は削除できない場合があり、その理由を説明します。
同意に基づく処理はいつでも同意を撤回できます。撤回前の適法な処理の効力は変わりません。窓口はcustomer@rubik.co.jpです。必要かつ相当な範囲で本人確認を行い、原則無料で対応します。例外的な手数料や拒否には適用法上の根拠と理由を示します。
GDPRに基づく請求には通常1か月以内に回答します。複雑性・件数により法律上許される場合、最大2か月延長し、最初の1か月以内に理由を通知します。日本法上の請求にも不当な遅滞なく対応します。
当社に連絡することは監督機関への申立ての前提条件ではありません。GDPRが適用される場合、常居所、勤務先または侵害が疑われる場所の監督機関に苦情を申し立てられます。フランスではCNIL（https://www.cnil.fr/）、日本では個人情報保護委員会（https://www.ppc.go.jp/）が窓口となります。
第8条（Cookie）
ログイン、セキュリティ、言語設定及び利用者が求める決済等に必要なCookieその他の端末保存技術を使用します。同意を不要とする取扱いは、適用法上厳密に必要な目的のものに限ります。広告、不要なアクセス解析その他事前同意が必要な処理は、有効な同意を得るまで開始しません。必要な機能への同意とポリシー全体の確認を混同せず、任意の同意を拒否・撤回する方法を案内します。ブラウザーでCookieを無効にすると、ログイン等の機能を利用できない場合があります。
第9条（セキュリティ）
通信の暗号化、パスワードの安全なハッシュ化、権限管理、管理者の二要素認証、監査ログ等、リスクに応じた技術的・組織的対策を実施します。完全な安全性や改変不能を保証するものではありません。必要な職員・委託先のみが必要な範囲でアクセスします。
個人情報の侵害が生じた場合は、調査、被害軽減および記録を行い、適用法の要件と期限に従って監督機関への報告と本人への通知を実施します。
第10条（変更）
改定の際は版と施行日を表示し、重要な変更は対象者にメール等で事前に案内します。新たな目的や処理について追加情報または同意が必要な場合は、その要件を満たしてから行います。契約の準拠法・言語優先条項によって、本ポリシーに関係する強行的な個人情報保護上の権利を制限しません。
日本語・英語・フランス語の各版は同一の内容を定めます。解釈上の不一致が残る場合は日本語版を基準とします。ただし、適用される強行法規、個別に明示合意した条件、及び他言語で明示した説明により法的に保護される相手方の権利又は合理的な信頼を、日本語の優先のみを理由に否定しません。