個人情報の取り扱い
1. 管理者
Blooms Coffee Club GmbH
An der Frauenkirche 18, 01067 Dresden
代表者: Hakan Özgür, Geschäftsführer
hello@7-labs.de
2. COFFEE+について
COFFEE+はBloomsのプロジェクトです。人数に限りのあるコーヒー特典を受け取り、次に一人だけ選べます。一部のキャンペーンには数量限定の一般枠もあります。招待コード、リンク、期限、受け取り、次の選択、辞退、利用を管理します。
3. 取り扱うデータ
利用に応じて、氏名、メール、設定された場合のみ携帯番号、キャンペーン・コード・状態・時刻、一般登録か招待かと招待関係、利用記録、内部テストの操作（表示、受け取り開始、共有画面、WhatsApp・コピーのクリック）、任意の回答、メール送信状態、必要なセッション・安全情報を処理します。選択した言語はページとメール用に保存します。
4. アクセスとサーバーログ
アクセス時には、配信、障害分析、攻撃防止に必要なIP、時刻、URL、転送状態、ブラウザー、OSを処理します。根拠はGDPR第6条1項(f)の安全で安定した運営という正当な利益です。ホストは公表方針に従いログを限定期間保存し、事故時には延長する場合があります。
5. 必要なセッション
必要なPHPセッションでコードを関連付け、フォーム、ログイン認識、管理画面を保護します。分析・広告・SNS追跡のCookieは使用しません。セッションには選択言語も保存します。
6. 招待の表示と確認
リンク表示やコード入力時には、コード、キャンペーン、期限、セッションを使い、存在、有効性、未使用を確認します。利用者の求める機能に必要な処理の根拠はGDPR第6条1項(b)、安全・不正確認は同項(f)です。
7. 登録と受け取り
一般登録では氏名と、リンクで確認するメールを保存します。確認までは仮予約で、期限が切れると解除します。個別招待ではキャンペーンの入力項目、状態、時刻、招待者との関係も保存します。特典提供の根拠はGDPR第6条1項(b)、重複利用、不正、上限超過の防止は(f)です。
8. 次の方の選択
次の方を選ぶと、コード、招待者、開始・終了時刻、状態を保存した招待を作成します。通常、相手の氏名は受け取りまで不明で、その時点で関係を記録します。氏名とリンク入りの定型文を用意する場合があります。相手は利用者が選びます。
9. 確認メール
メール収集と確認送信が有効な場合、受け取り・利用の確認、場所、時刻、利用方法、情報リンクを送ります。根拠はGDPR第6条1項(b)です。招待者のメールと対応機能がある場合は、受け取り、辞退、後日の取消を通知することがあります。招待処理だけが目的です。
10. 任意のリマインダーメール
追加の通知はGDPR第6条1項(a)の明示的で任意の同意が必要です。解除リンクでいつでも将来に向けて撤回できます。拒否・撤回は確定したCoffee+に影響しません。現在、活動外の広告にメールを利用しません。
11. 受け取りとチェックイン
権限のある担当者がデジタル一覧から参加者を検索し、利用を確認します。状態と時刻を保存し、特典を提供して重複利用を防ぎます。根拠はGDPR第6条1項(b)、安全・証明は(f)です。
12. 不正利用の防止
誤コードの繰り返しや管理者ログイン失敗などに回数制限を設けます。アプリは平文IPを恒久保存せず、SHA-256ハッシュ、操作、試行数、必要時の遮断時間を処理します。根拠はGDPR第6条1項(f)で、自動攻撃・不正からシステム、特典、アカウントを保護します。
13. ホスティングとメール送信
サイト、DB、現在のメールはALL-INKL.COM – Neue Medien Münnich（所有者René Münnich、Hauptstraße 68, 02742 Friedersdorf）を利用します。ホスティング・メールに関する技術・個人データを処理し、受託処理の場合はGDPR第28条の契約に基づきます。現在、参加者情報のEU・EEA域外への意図的移転は予定していません。
14. 外部リンクとSNS
ページやメールに外部サイト・SNSへのリンクを掲載する場合がありますが、COFFEE+内でプラグインやピクセルは読み込みません。クリックした場合のみ外部に移動し、その提供者の方針が適用されます。
15. WhatsApp
COFFEE+自身はWhatsAppメッセージを送りません。ボタンで、定型文と招待リンクのあるWhatsAppを開きます。利用者が相手を選び、送信します。その後の処理にはWhatsAppの方針が適用されます。
16. 提供先とアクセス権
アクセスは管理、運営、サポート、利用確認に必要な担当者に限定します。Bloomsは自社キャンペーンの管理者です。独立した外部事業者では、契約名だけでなく目的と主要手段を実際に決める主体により、受託処理者、単独・共同管理者の役割を個別設定します。受託処理はGDPR第28条契約によります。
17. 内部の試験運用分析、広告追跡なし
内部の製品・試験運用記録は招待表示、受け取り開始、共有画面、共有クリックを、キャンペーンと既存の招待・参加者に関連付けます。この表にIPや広告プロファイルはありません。辞退や次の選択をしない理由の任意回答は必要時に関連付けます。GDPR第6条1項(f)により試験を評価・改善し、不明点や技術的中断を調べます。外部解析、広告追跡、SNSピクセル、キャンペーンをまたぐプロファイル、第22条の法的・同等の重大な影響を持つ完全自動決定はありません。
18. 保存期間
参加、招待、利用データはキャンペーン、分析、不正対策、運営に必要な期間のみ保存します。原則終了後30日以内に削除しますが、法定保存や法的請求に必要なら延長します。MVPでは管理者が削除を開始します。リセット前にCSVを保存する場合も同じ目的・削除条件を適用します。セッションは通常ブラウザー終了まで、ログは技術上必要な期間のみです。参加者記録がなくなると言語設定も削除します。
19. 必須情報
必須項目はCoffee+を本人に割り当て、正しく利用するために必要です。未入力では該当機能を利用できません。任意情報や通知への同意は受け取りの条件ではありません。
20. データ主体の権利
GDPRの条件に従い、アクセス、訂正、削除、処理制限、データ移行の権利があります。第6条1項(f)の処理には法定条件で異議を申し立てられます。同意はいつでも将来に向け撤回できます。請求先：hello@7-labs.de。不正開示を防ぐ合理的な本人確認が必要な場合があります。
21. 苦情を申し立てる権利
データ保護監督機関へ苦情を申し立てられます。ザクセン州の非公的管理者は通常Sächsische Datenschutz- und Transparenzbeauftragte（Maternistraße 17, 01067 Dresden、post@sdtb.sachsen.de）が担当します。
22. データの安全性
技術的・組織的措置としてサーバーセッション、CSRF対策、プリペアドクエリ、管理者パスワードのハッシュ化、回数制限を用います。開発段階と実際の利用に合わせ見直し、調整します。
23. 本通知の変更
機能、提供先、事業者、法的根拠、役割に重要な変更がある場合に改訂します。COFFEE+に掲載されている版が適用されます。