個人データの取り扱いに関する通知

EU一般データ保護規則（以下「GDPR」）第12条に規定される透明性の原則に基づき、データ管理者は、イタリアの法律に基づく法人であり、Via Sandro Botticelli 58, Torinoに登録事務所を置くMcFrancis（納税者番号/バット番号 12272120010）であることをお知らせいたします。データ保護に関するすべてのご要望は、PECメールアドレス steven.di.francesca@pec.it または専用メールアドレス steven@mcfrancis.com まで、正式な書面にてお送りください。

個人情報の取り扱いは、適法性、公正性、および透明性の原則（GDPR第5条）に基づいており、以下の法的根拠（GDPR第6条）に基づいて行われます。

• 契約の解決（第6.1.b条）：取り扱いは、不動産仲介関係の構築および履行、内覧予約の管理、および契約締結前の義務の遂行にとって必要不可欠な条件です。
• 法的義務の遂行（第6.1.c条）：取り扱いは、マネーロンダリング防止法（政令 231/2007）や税務・会計上の義務を含む強行規定によって義務付けられています。
• 正当な利益（第6.1.f条）：企業資産の保護、不正行為の防止、および裁判上の防御権の行使を目的とします。
• 同意（第6.1.a条）：自由で具体的、かつ情報に基づいた明確な同意（いつでも撤回可能）があった場合に限り、ダイレクトマーケティングおよび非根幹的なプロファイリング活動に利用されます。

データ管理者は、データ最小化の原則（GDPR第5条第1項(c)）の範囲内において、以下の情報を取得および処理いたします。

• 一般データ： 契約者の本人確認に必要な氏名、電話番号、および電子連絡先。
• 経済・資産データ： 支払能力または不動産に関するニーズの評価に厳密に必要な情報。
• 閲覧データ： インターネット通信プロトコルによって自動的に取得されるIPアドレス、URI、および技術的パラメータ（クッキーポリシーを参照）。

データ処理は、セキュリティ（GDPR第32条）および機密性を確保するために適切なITおよび電子ツールを用いて行われます。データは、目的の達成に必要な期間（保存制限の原則）に限り保存され、具体的には以下の通りとなります。

• 契約関係の持続期間、およびその後、民事および税務上の目的による10年間の通常の消滅時効期間（イタリア民法第2946条）。
• マーケティング目的については、同意の更新がない限り24か月間。

データが一般に公開されることはありません。データは、必要に応じてGDPR第28条に基づく処理責任者として指定された第三者（ITサービスプロバイダー、法務・税務顧問など）、または正当な職務を遂行する公的機関に提供される場合があります。

データ主体は、GDPR第15条〜第22条に定められた権利（アクセス、訂正、消去／忘れられる権利、制限、データポータビリティ、異議申し立て）を、データ管理者に正式な要請を行うことでいつでも行使できます。また、データの処理が現行の法規制に違反していると判断される場合、データ保護当局に苦情を申し立てる権利（GDPR第77条）が留保されています。

契約目的のためのデータ提供は必須です。提供されない場合、仲介関係を進めることができません。マーケティング目的の提供は任意であり、同意いただけない場合でも主要なサービスの利用に支障はありません。

個人データは欧州連合（EU）内のサーバーに保存されます。技術的・運用上の理由により、欧州経済願（EEA）域外の三者を利用する必要が生じた場合、当該移転はGDPR第5章に準拠し、標準契約条項（SCC）の締結または欧州委員会の十分性認定の確認を経た上で行われます。

管理者は、本ページ上でユーザーに通知することにより、いつでも本プライバシーポリシーを変更する権利を留保します。そのため、末尾に記載された最終更新日を参照しつつ、定期的に本ページをご確認ください。

データ処理は多層セキュリティモデルに基づいて行われます。公開インターフェース（SAMI）を通じて収集された個人データは、暗号化されたチャネルのみを介して管理システム（Janus II）に転送されます。プロセスには以下が含まれます：

• インジェスチョン： 安全なHTTPS（TLS）チャネルを介したデータ取得。
• アクセス制御： すべての読み取りおよび変更は、社内デバイスにローカル保存された秘密鍵による強力な暗号認証と、サーバーによって検証されたロールベースの権限に基づいています。
• 選択的暗号化： Vaultエリアに保存されたドキュメントと認証情報は、サーバーが鍵を保持しないエンドツーエンド暗号化（AES-256）で保護されます。その他の運用データは、アクセス制限されたインフラストラクチャに配置され、サーバー側のアクセス制御と証明ログによって保護されます。

個人データが本人から直接取得されない場合、データ管理者は妥当な期間内（遅くとも1か月以内、または最初の連絡時）に、データの取得元、処理対象となるデータの種類、処理の目的と法的根拠、提供先、およびGDPRによって認められている権利について、本人に通知するものとします。

管理者は、GDPR第33条および第34条に準拠したインシデント管理手順を採用しています。個人データの侵害が発生し、その侵害が個人の権利および自由に対するリスクをもたらす場合、「72時間以内に監視当局へ通知」し、高リスクの場合は「データ主体へ連絡」いたします。このプロセスには、封じ込め、フォレンジック分析、影響評価、是正措置、およびインシデントログへの記録が含まれます。

個人データ保護に関する事項については、データ主体は管理者（steven@mcfrancis.com）またはPECメール（steven.di.francesca@pec.it）までお問い合わせいただけます。データ保護オフィサー（DPO）が任命されている場合、その連絡先はこのページに掲載されます。また、脆弱性やセキュリティインシデントの報告専用の窓口も設けられています。