一般データ保護規則（GDPR）、スイスデータ保護法（DSG）およびその他のデータ保護規則におけるデータ管理者とは、以下の者を指します。
ジョセフ・ダンカン
メインストリート24番地
8280 クロイツリンゲン
スイス
メールアドレス： privacy@vakantio.de
ウェブサイト： https://vakantio.de
別途データ保護責任者を設置することは法律で義務付けられていません。本声明または第15項に記載された権利の行使に関するお問い合わせは、上記メールアドレスまでお願いいたします。
この声明は、 Vakantioプラットフォーム（ vakantio.de 、すべてのサブドメイン、iOSおよびAndroid用モバイルアプリ）に適用され、当社がどのような個人データを、どのような目的で、どのような法的根拠に基づいて処理し、どのくらいの期間保存し、どの受信者に転送するかを説明します。
Vakantioは旅行記とブログのサービスです。当社は以下の処理を行います。
公開されているコンテンツは、登録なしで使用できるため、 4項で説明されている技術的なアクセスデータを除き、個人データを提供する必要はありません。
当社はGDPRの条項を遵守します。具体的には以下のとおりです。
プラットフォームにアクセスするたびに、ユーザーのブラウザまたはアプリが自動的に送信する技術データが処理されます。
当社は、プラットフォームの提供、安定した運用の確保、不正使用の防止、および攻撃からの防御という正当な利益（GDPR第6条第1項(f)）に基づいて、このデータを処理します。
保存期間：最長30日間。集計された、個人を特定できない統計データはより長期間保存可能。
ホスティングサービスは、 DigitalOcean LLC （米国に本社を置き、サーバーはフランクフルト・アム・マインに設置）によって提供されています。サーバーホスティング処理自体において、データが米国に転送されることはありません。データ処理は、GDPR第28条に基づき、データ処理契約（DPA）によって契約上保護されています。
選択された登録方法に応じて、登録時に以下の処理が行われます。
さらに、登録日、最後に使用されたログイン方法、最後のログイン時刻、そして不正使用の防止および紛争発生時の証拠保全を目的として、ログインおよび登録プロセス中のIPアドレスを保存します。
メール経由でログインする場合、一度限りの有効期限付きログイントークンを生成し、メールサービスプロバイダーAWS SES経由で登録済みのメールアドレスに送信します（ 8項を参照）。
Google、Apple、またはFacebook経由で登録する場合、それぞれのプロバイダーのログインページにリダイレクトされます。Vakantioは、そこからセクション5.1に記載されているプロファイルデータのみを受け取ります。ログインプロセス中にプロバイダー自身が処理するデータは、そのプロバイダーのプライバシーポリシーに準拠します。
契約の開始および履行（GDPR第6条第1項b号）。また、不正使用防止のため、ログイン時のIPアドレスの保存はGDPR第6条第1項f号に基づいています。
アカウントデータは、ユーザーがアカウントを削除するまで保持されます。ログインプロセスで使用されたIPアドレスは、90日後に削除されます。
ユーザーがブログを作成または投稿すると、当社はユーザーが提供したコンテンツを処理および公開します。具体的には以下のとおりです。
アップロードされた画像には、EXIFメタデータ（撮影日時、デバイス情報、GPS座標など）が含まれる場合があります。アップロード時にこのメタデータを読み取り、投稿を自動的に構造化します（例：撮影場所を地図上に表示）。公開される画像ファイルは、ユーザーが見やすいサイズに再エンコードされ、技術的なメタデータはデフォルトで削除されます。抽出された位置情報と日付情報は投稿に保存され、投稿が公開されている場合は他のユーザーにも表示されます。
投稿と画像はデフォルトでは一般公開されています。エクスプローラープラン以上のユーザーはブログを非公開に設定できます。非公開ブログは、作成者の明示的な承認を得た場合にのみ閲覧可能です。
契約履行（GDPR第6条第1項b号）。投稿内容は、ユーザーによる削除、またはコンテンツモデレーションの一環としてVakantioによる削除が行われるまで保存されます。
ユーザーは、アップロードする前に、写っているすべての人物の肖像権および人格権を所有していることを確認する義務があります（利用規約§8を参照）。本人の同意なしに画像に写っている人物が識別できる場合、本人は15項に記載されている方法で画像の削除を要求できます。
ユーザーがコメントを残したり、投稿に「いいね！」を付けたり、他のブログをフォローしたりすると、その操作はタイムスタンプ、ユーザーID、IPアドレスとともに記録されます。IPアドレスは、不正利用の防止および損害発生時の訴追のみを目的として使用され、90日後に削除されます。
ユーザー名とコメント文は、関連する投稿が公開されている場合、プラットフォーム上で公開されます。
法的根拠：契約履行（GDPR第6条第1項b号）、知的財産保管に関する補足的正当な利益（GDPR第6条第1項f号）。
Vakantioはユーザーに以下のメールを送信します。
配送業者はAmazon Web Services EMEA SARL （Amazon SES、リージョンeu-central-1、フランクフルト）です。GDPR第28条に基づくデータ処理契約が締結されています。配送に必要なデータ（メールアドレス、コンテンツ）は、EU域内でのみ処理されます。
法的根拠：契約履行（GDPR第6条第1項b号）。
Vakantioは、登録ユーザーに対し、サービス関連のメールを送信します。具体的には、新しいコメント、新しいフォロワー、購読しているブログへの新しい投稿、および一時停止中の旅行に関するリマインダーなどの通知が含まれます。これらのメール配信は、プラットフォーム利用の一環として行われます。
メールアドレスと送信日時。
アカウント設定で、個々の通知の種類ごとに配信停止設定を行うことができます。すべてのサービスメールの配信停止をご希望の場合は、 privacy@vakantio.deまでリクエストをお送りください。
契約履行（GDPR第6条第1項b号）。メールアドレスは、アカウントが削除されるまで処理されます。
Vakantioはプラットフォームの様々な分野で人工知能を活用しています。ここでは、その処理範囲について透明性をもって説明しています。
公開された投稿は自動的に分析され、メタデータ（特に訪問場所、交通手段、観光スポット、アクティビティ、目的地など）が抽出されます。抽出された構造データは、プラットフォーム上でリンクやおすすめ情報として使用されます。
この目的のため、投稿のテキスト（ユーザーのIPアドレスやアカウント情報は含まれません）をOpenAI Ireland Limited （ダブリンに拠点を置き、データ処理は米国でも行われます）に送信します。OpenAIは、送信されたコンテンツを特定のリクエストへの回答のみに使用し、自社モデルのトレーニングには使用しません（エンタープライズAPIを通じて契約上除外されています）。標準契約条項（SCC）およびGDPR第28条に基づくデータ処理契約が締結されています。
公開された記事は、他の言語圏の読者にもアクセスしやすいように、自動的に他の言語に翻訳されます。記事によっては、 Google Cloud Translation API （Google Ireland Limited、ダブリン）またはOpenAI API（10.1項参照）のいずれかを使用します。翻訳されるのは翻訳対象のテキストのみであり、アカウント情報やデバイス情報は共有されません。
新規投稿およびコメントは、利用規約違反の可能性（スパム、ヘイトスピーチ、著作権侵害など）がないか自動的にチェックされます。チェック結果に基づき、投稿は自動的に手動審査の対象としてフラグ付けされるか、公開が保留される場合があります。
この処理は、ルールベースのチェックとOpenAI APIを組み合わせたものです。GDPR第22条の意味における法的効力を持つ完全自動化された最終決定は行われず、投稿の最終的な非表示、ブロック、または削除は人間が決定します。
ユーザーは、Vakantioに掲載されている宿泊施設を検索し、旅行のおすすめ情報を提供するAI搭載の旅行アシスタントと、WhatsAppを通じて任意でチャットできます。チャットメッセージは、Meta Platforms Ireland Limited （ダブリン）のWhatsApp Cloud APIとOpenAIに送信されます。このサービスは、ユーザーが積極的に連絡を開始した場合にのみ利用可能です。
契約履行および機能的で安全なサービスに対する正当な利益（GDPR第6条第1項b号およびf号）、WhatsAppアシスタントの場合はさらに同意（GDPR第6条第1項a号）が必要です。
OpenAIとGoogleは、個人データを第三国、特に米国に転送する場合があります。OpenAIへの転送は標準契約条項（SCC）に基づいて行われ、Google Cloudについては、 EU-米国データプライバシーフレームワークの十分性認定も適用されます。
ユーザーは、いつでもprivacy@vakantio.deまでご連絡いただくことで、AIによる投稿分析に異議を申し立てることができます。異議申し立てがあった場合、外部AIシステムによる新規投稿の処理を停止し、以前に抽出されたメタデータもご要望に応じて削除いたします。
記事は地図上に表示されます。そのためには、以下のものを使用します。
地図表示のあるページにアクセスすると、ユーザーのブラウザはユーザーのIPアドレスを直接Googleに送信します。これについては当社は一切制御できません。Googleのデータ処理は、Googleのプライバシーポリシーによって規定されています。
法的根拠：機能的な地図表示に対する正当な利益（GDPR第6条第1項(f)）。
有料プラン（エクスプローラー、アドベンチャー）をご予約いただく場合、決済処理はStripe Payments Europe Ltd. （ダブリンに拠点を置く）が行います。Stripeは、決済に必要なデータ（メールアドレス、氏名、選択したプラン、決済方法）を受け取ります。
当社は完全な支払い情報を自社で保存しません。当社のシステムには以下の情報のみが含まれています。
Stripeは決済処理に関して別途責任を負います。Stripeのプライバシーポリシーも適用されます： stripe.com/de/privacy 。
法的根拠：契約履行（GDPR第6条第1項b号）、加えて、税法および商法に基づく法定の保管義務（GDPR第6条第1項c号）。
保管期間：支払いデータは、商法および税法上の保管義務に基づき、最長10年間保管されます。
画像と動画は、 Cloudflare R2 / img2.vakantio.de （Cloudflare Inc.、EU支社）経由で配信されます。コンテンツにアクセスする際、ユーザーのブラウザはIPアドレスをCloudflareに送信します。このIPアドレスは、配信およびDDoS攻撃対策のみを目的として処理されます。Cloudflareとはデータ処理契約（DPA）が締結されており、処理はEU標準契約条項および補足的な技術的・組織的措置に基づいて行われます。
お客様のログイン状態を維持するためにセッションクッキーを使用するほか、言語設定やクッキーに関する通知への同意を保存するために最小限のクッキーを使用します。これらのクッキーは技術的に必要不可欠なものであり（TTDSG第25条第2項第2号）、お客様の同意は必要ありません。
お客様が同意された場合、当社はウェブ分析サービスであるGoogle Analytics 4 （Google Ireland Limited）を使用して、アクセス状況とユーザー行動を測定します。特に以下のデータが収集されます。
データは匿名化された統計情報として集計されます。特定の個人とは一切関連付けられていません。
法的根拠：同意（TTDSG第25条第1項とGDPR第6条第1項(a)の併用）。同意は、フッターのクッキー設定からいつでも撤回できます。
米国への第三国からのデータ移転は、EU・米国データプライバシーフレームワークおよび標準契約条項（SCC）に基づいています。
お客様はいつでも当社に対して以下の権利を有します。
お問い合わせはprivacy@vakantio.deまでお送りください。セキュリティ上の理由から、ご依頼を処理する前にご本人確認をさせていただく場合がございます。
お客様は、データ保護監督機関、特に居住地、勤務地、または侵害行為が行われたとされる場所のEU加盟国の監督機関に苦情を申し立てる権利を有します。ドイツでは、各州のデータ保護委員会が責任を負います（概要： bfdi.bund.de ）。スイスでは、連邦データ保護情報委員会（FDPIC）が責任を負います（ edoeb.admin.ch ）。
| データ型 | 保存期間 |
|---|---|
| サーバーログ | 30日間 |
| ログインIPアドレス | 90日間 |
| アカウントとプロフィールデータ | アカウントが削除されるまで |
| 公開された記事 | ユーザーによる削除、またはVakantioによる削除まで |
| サービス通知用のメールアドレス | アカウントが削除されるまで |
| Stripe決済データ | 最長10年（商法／税法） |
| モデレーションの決定 | 3年 |
当社は以下のデータ処理業者を利用しています。すべての業者とはGDPR第28条に基づき契約を締結しており、第三国へのデータ移転については、標準契約条項および／または十分性認定も適用しています。
| プロバイダー | 目的 | 場所／処理施設 | 第三国への送金 |
|---|---|---|---|
| デジタルオーシャンLLC | ホスティング（サーバー） | EU（フランクフルト） | いいえ（米国法人） |
| Cloudflare Inc. | 画像CDN、DDoS攻撃対策 | 世界中で | はい、SCC |
| Amazon Web Services EMEA SARL | メール送信（SES） | EU（フランクフルト） | いいえ |
| Stripe Payments Europe Ltd. | 支払い処理 | EU（ダブリン） | はい、SCC |
| OpenAI Ireland Limited | AIによる分析、翻訳、モデレーション | EU（ダブリン）、アメリカ合衆国 | はい、SCC |
| Google Ireland Limited | 地図、ジオコーディング、翻訳、分析 | EU（ダブリン）、アメリカ合衆国 | はい、DPF + SCC |
| メタプラットフォームズ・アイルランド・リミテッド | WhatsAppアシスタント、Facebookログイン | EU（ダブリン）、アメリカ合衆国 | はい、DPF + SCC |
| アップル・ディストリビューション・インターナショナル株式会社 | Appleサインイン | EU（コーク） | いいえ |
GDPR第22条の意味における、自動処理のみに基づく法的拘束力のある決定は行われません。特に、コンテンツまたはアカウントのブロックや削除に関する決定は、最終的には人間が行います。
10項で説明したAIによる処理は、投稿内容の充実、翻訳、事前評価のみを目的としており、ユーザーのプロファイリングを構成するものではありません。
当社は、処理済みデータの紛失、改ざん、不正アクセスから保護するために、技術的および組織的な対策を実施しています。これには、TLS暗号化によるデータ送信、アクセス権限の制限、定期的なバックアップ、サーバーインフラストラクチャ内でのみアクセス可能なデータベース（一般には公開されない）などが含まれます。
データ処理の根拠となる活動内容や法的状況に変更が生じた場合は、本プライバシーポリシーを更新いたします。最新版はvakantio.de/datenschutzでご確認いただけます。
2026年5月24日現在