プライバシーポリシー

1. はじめに

本プライバシーポリシー（以下「本ポリシー」）は、BEST SOLUTION (THAILAND) CO.,LTD.（以下「当社」「BestsoGroup」）が、BestsoGroup.com、sso.bestsogroup.com、account.bestsogroup.com、当社モバイルアプリ、およびエコシステム内の全50プラットフォーム（総称して「本サービス」）の利用者（以下「お客様」「ユーザー」）の個人データをどのように収集、利用、開示、保護するかを説明するものです。

本サービスへの登録または利用をもって、お客様は本ポリシーの内容に同意したものとみなされます。

2. 当社が収集する情報

当社は本サービスの運営に必要な個人データのみを収集します。カテゴリーは以下のとおりです。

3. データの利用方法

当社は以下の目的でお客様のデータを利用します。

• お客様がご依頼の本サービスの提供——アカウント作成、注文処理、商品・サービスの提供。
• アカウントの認証と保護（2FA、不審なログインの検知）。
• サービスに関する連絡の送信（パスワードのリセット、メール認証、セキュリティ通知）。
• マーケティングおよびプロモーションコンテンツの送信（お客様の明示的な同意がある場合のみ——いつでも配信停止できます）。
• 法的義務の遵守（タイの会計法に基づく税務インボイスの保管、AML/KYC要件など）。
• 不正、悪用、本サービスの不正利用の防止。
• 本サービス改善のための利用状況の分析（集計済みで個人を特定できないデータ）。

4. 処理の法的根拠（PDPA）

当社はPDPA第24条に基づき、以下の法的根拠によりお客様のデータを処理します。

• 同意——例：マーケティング資料の送信。
• 契約の履行——お客様がお申し込みの本サービスの提供。
• 正当な利益——セキュリティおよび不正防止。
• 法的義務——税務記録の保管、マネーロンダリング防止の遵守。

5. 第三者とのデータ共有

当社はお客様のデータを販売しませんが、以下の場合に第三者と共有することがあります。

• 不可欠なサービス提供事業者——Cloudflare（CDN/ホスティング）、Railway（サーバー）、Resend（メール）、ThaiBulkSMS（SMS）、決済ゲートウェイ（例：Omise、PromptPay）。
• BestsoGroupエコシステム内のパートナープラットフォーム——SSOでログインする際、基本的なプロフィールデータ（氏名、メール、写真）が、ログイン先の子プラットフォームと共有されます。
• 政府機関——裁判所命令、捜索令状、または歳入局、DSI、法執行機関からの適法な要請に応じて。
• 事業譲渡——会社が売却または合併された場合、お客様のデータが買収先に移転されることがあります（お客様への事前通知を伴います）。

6. データの国際移転

お客様のデータの大部分はタイ国内のサーバー（Railwayデータセンター）に保管されます。ただし、当社が利用する一部のサービス（例：Resend、Cloudflare）は、シンガポールまたは米国にデータを保管する場合があります。当社は、PDPAと同等またはそれ以上に厳格なデータ保護基準を持つ事業者のみを選定します。

7. データの保持

当社は必要な期間に限りお客様のデータを保持します。

• 有効なアカウント——アカウントが開設されている限り。
• 閉鎖されたアカウント——復旧のため90日間保持し、その後完全に削除します。
• 取引記録——タイの会計法・税法に基づき10年間保持します。
• 監査ログ——7年間保持します（不正防止および法的調査のため）。

8. データ主体としてのお客様の権利（PDPA第30〜37条）

PDPAに基づき、お客様には以下の権利があります。

• アクセス権——当社が保有するお客様のデータの写しを請求する権利。
• 訂正権——不正確なデータを訂正する権利。
• 消去権——削除を請求する権利（会計記録など法的制限の対象となります）。
• 処理制限権——当社によるデータの利用を制限する権利。
• 異議申立権——一定の場合に処理に異議を唱える権利。
• データポータビリティ権——機械可読な形式でデータを受け取る権利。
• 同意撤回権——以前に与えた同意を撤回する権利。
• 個人データ保護委員会（PDPC）に苦情を申し立てる権利。

権利の行使は、account.bestsogroup.com → セキュリティ → データ管理から、または当社DPO（privacy@BestSoGroup.com）へのメールで行えます。

9. セキュリティ対策

当社は技術的・管理的な対策を講じてお客様のデータを保護します。

• パスワードはbcrypt（rounds=12）でハッシュ化——平文のパスワードを保存することはありません。
• 送信中のすべてのデータをHTTPS/TLS 1.3で暗号化。
• 多要素認証（2FA）——TOTPおよびSMS OTPに対応。
• JWTトークンのローテーション + ログアウト時のリフレッシュトークン拒否リスト。
• 監査ログが機密データへのすべてのアクセスを記録。
• 定期的な社内セキュリティ監査。

10. クッキーとトラッキング技術

当社はログインセッションの管理にクッキーを使用し（必須クッキー——本サービスに必要）、信頼できるパートナーを通じて利用状況を把握するための分析クッキーを使用する場合があります（任意——拒否できます）。クッキーはブラウザの設定で管理できます。

11. 子どものデータ

本サービスは18歳以上の方、または保護者の同意がある方を対象に設計されています。お客様が保護者で、お子様が同意なく当社にデータを提供したと思われる場合は、直ちにデータを削除しますのでご連絡ください。

12. 本ポリシーの変更

当社は本ポリシーを随時更新することがあります。重要な変更については、メールまたはアプリ内通知により少なくとも30日前にお知らせします。本ページ上部の「最終更新日」が最新版を示します。