プライバシーポリシー

Meridian Digital Ltd.（以下「当社」といいます。）は、「CryptoPay」（以下「本サービス」といいます。）の利用者その他の方の個人情報（個人データを含みます。以下同じです。）を、日本の個人情報の保護に関する法律（以下「個人情報保護法」といいます。）、フィリピン共和国の2012年データプライバシー法（Data Privacy Act of 2012。フィリピンの市民又は居住者の個人情報に適用されます。）、EU一般データ保護規則（以下「GDPR」といいます。EU域内に所在する方の個人データの取扱いがGDPR第3条第2項に該当する場合に限り適用されます。）その他の適用される法令に従って取り扱います。本ポリシーは、個人情報保護法に基づく公表事項を兼ねるとともに、GDPRが適用される場合には、GDPR第13条及び第14条に基づく情報の提供を兼ねています。

1. 管理者（個人情報取扱事業者）

名称

Meridian Digital Ltd.

所在地

Intershore Suite, Le Sanalele Complex, PO Box 608, Apia, Samoa

代表者

ご請求があった場合、遅滞なくお知らせします。

個人情報に関するお問い合わせ窓口

contact@cryptopay.today

2. 取得する個人情報

当社は、次の個人情報を取得します。

(1) アカウント情報（ご本人から取得）：氏名、メールアドレス、パスワード（元に戻せない形式に変換（ハッシュ化）して保存し、パスワードそのものは保存しません。）、登録日時、当社が発行するユーザーID、登録時に入力された紹介コード（紹介者のユーザーID）、メール通知の設定

(2) 本人確認情報（ご本人から取得）：本人確認書類の種類、書類に記載された氏名及び生年月日、書類の画像（表面及び裏面。書類に記載された住所、顔写真、書類の番号、有効期限その他の情報を含みます。）、審査の結果、日時及び理由

(3) 取引情報：残高、入金の申告内容（通貨、ネットワーク、TXID、申告された数量、送付元アドレス）、ブロックチェーン上の照合結果（送付元アドレス、受領数量、承認数）、スワップ、送金（送金先又は送金元のユーザーID、金額、メッセージ）、銀行口座宛送金の送金先情報（金融機関名、口座番号又はIBAN、受取人名）、ステーキング、紹介報酬、各取引の日時

(4) 認証・セキュリティ情報：2段階認証の設定情報（認証用の秘密鍵、ハッシュ化したバックアップコード）、ログイン及び操作の記録（操作の種類、日時、内容）、IPアドレス、ログインに失敗した記録（入力されたメールアドレスを含みます。）、パスワード再設定用のトークン（ハッシュ化したもの）

(5) 連絡の記録：当社が送信したメールの記録（宛先、件名、本文（パスワード再設定用のトークン等は伏せ字にして保存します。）、送信結果）、お問い合わせの内容及びやり取り

(6) 端末・アクセス情報：Cookie及びブラウザのローカルストレージに保存される情報（第9項）、ホスティング事業者のシステムにより記録されるアクセスログ（IPアドレス、ブラウザの種類、アクセス日時、アクセスしたURL等）及びアプリケーションのログ

(7) ご本人以外から取得する情報：

• 紹介者の情報（被紹介者が登録時に入力した紹介コードによるもの）
• ブロックチェーン上で公開されている取引の情報
• 利用者から提供される送金先の受取人の情報（受取人の氏名及び口座の情報）
• 公的機関からの照会、命令等に含まれる情報
• 制裁対象者のリストその他の公開情報（本人確認及び取引の審査のために照会する場合）

マイナンバー（個人番号）について　当社は個人番号を取得しません。本人確認にマイナンバーカードを用いる場合、個人番号が記載された面（裏面）は提出しないでください。個人番号が記載された画像が提出された場合、当社はこれを本人確認に用いず、速やかに削除し、又は個人番号を復元できない方法で消去します。

情報の提供が必要な理由　アカウント情報は、本サービスの利用契約の締結及び履行に必要です。本人確認情報は、送金機能の利用及び法令上の義務の履行に必要です。これらの情報をご提供いただけない場合、本サービスの全部又は一部をご利用いただけません。

3. 利用目的と法的根拠

当社は、取得した個人情報を次の目的で利用します。GDPRが適用される場合の法的根拠を併せて示します。

利用目的	主な情報	法的根拠（GDPR）
① アカウントの登録・認証・管理、本サービスの各機能（入金の反映、スワップ、送金、ステーキング、紹介プログラム）の提供	第2項(1)(3)(4)	契約の履行（第6条第1項(b)）
② 入金の申告とブロックチェーン上の記録との照合	第2項(3)	契約の履行（第6条第1項(b)）
③ 本人確認、年齢の確認、取引の審査、継続的な顧客管理、マネー・ローンダリング、テロ資金供与及び制裁違反の防止、当局への届出	第2項(1)〜(4)、(7)	法的義務（第6条第1項(c)）、不正の防止という正当な利益（第6条第1項(f)）
④ 取引に関する通知、重要なお知らせの送付、お問い合わせへの対応	第2項(1)(3)(5)	契約の履行（第6条第1項(b)）、利用者への連絡という正当な利益（第6条第1項(f)）
⑤ 不正アクセス・不正利用の検知及び防止、本サービスと利用者の資産の安全の確保、利用停止等の措置	第2項(3)(4)(6)	本サービス及び利用者の資産の保護という正当な利益（第6条第1項(f)）、法的義務（第6条第1項(c)）
⑥ 利用規約の執行、紛争・訴訟への対応、法的請求の立証・行使・防御	第2項の全部	当社の権利の保護という正当な利益（第6条第1項(f)）
⑦ 会計、監査、税務（税務当局への報告を含みます。）	第2項(1)(3)	法的義務（第6条第1項(c)）
⑧ 法令、裁判所の命令、当局の要請又は照会への対応	第2項の全部	法的義務（第6条第1項(c)）、正当な利益（第6条第1項(f)）
⑨ 本サービスの改善、新しい機能・サービスの研究開発、利用状況の分析、個人を識別できない統計情報の作成	第2項(3)(4)(6)	サービスの改善及び開発という正当な利益（第6条第1項(f)）
⑩ 本サービス及び当社の新しい機能、キャンペーン等のご案内	第2項(1)	既存の利用者への関連するサービスの案内という正当な利益（第6条第1項(f)）。配信はいつでも停止できます。
⑪ 事業の承継（事業譲渡、合併等）に伴う情報の承継及びその検討	第2項の全部	事業の継続という正当な利益（第6条第1項(f)）
⑫ 本サービスに必要な許認可・登録の申請及び維持、監督当局による検査並びに監査人による監査への対応	第2項の全部	法的義務（第6条第1項(c)）、事業の継続という正当な利益（第6条第1項(f)）
⑬ 上記①〜⑫に付随する目的	—	上記と同じ

当社は、変更前の利用目的と関連性を有すると合理的に認められる範囲で利用目的を変更することがあり、変更した場合は本ポリシーで公表します。当初の目的と両立しない目的で利用する場合は、事前にお知らせし、法令上必要な場合は同意を取得します。

4. 自動化された処理

• 入金の自動照合：当社は、申告されたTXIDをブロックチェーン上の記録と自動で照合し、当社の入金アドレス宛てであること、最低入金額以上であること及び必要承認数に達していることを確認します。照合の結果にかかわらず、残高への反映の可否は当社の担当者が判断し、自動の処理だけで残高に反映し又は申告を却下することはありません。
• ログインの一時的な制限：同じメールアドレス又は同じIPアドレスについて、一定時間内に一定回数以上ログインに失敗した場合、自動でログインを一時的に制限します。制限は時間の経過により解除されます。

これらの処理について、ご本人は、当社の担当者による確認を求め、意見を述べ、異議を申し立てることができます。

5. 委託先

当社は、本サービスの運営に必要な範囲で、次の事業者に個人情報の取扱いを委託します。

委託先（サービス名）	委託する業務	主な所在国
Hostinger	ウェブサイト及びアプリケーションのホスティング、データベース（登録情報、取引情報、本人確認書類の画像を含む本サービスの情報の保存）並びにアクセスログ及びアプリケーションのログの記録	マレーシア（サーバーの所在地）
Resend	通知メールの配信	米国
Cloudflare（R2）	データベースのバックアップ（暗号化したもの）の保管（保管場所：アジア太平洋地域。復号に必要な鍵はCloudflareに提供しません。）	米国
Proton	お問い合わせメールの受信及び保管	スイス

ウェブページの閲覧時に情報が送信される事業者　当社のウェブページは、表示に用いるフォントをGoogle LLCのサーバー（Google Fonts）から読み込みます。この際、閲覧者のIPアドレス、ブラウザの情報、閲覧しているページのURL等がGoogleに送信されます（法的根拠：ウェブページを適切に表示するという正当な利益（GDPR第6条第1項(f)））。Googleによる情報の取扱いには、Googleのプライバシーポリシーが適用されます。

個人を特定する情報を送信しない外部への照会　当社は、入金の照合のため、TXID及び当社の入金アドレスをブロックチェーンの照会サービス（mempool.space、blockstream.info、Blockscout、Tronscan、Solana及びBNB Smart Chainの公開RPC）に送信し、レートの取得のため、価格情報サービス（CoinGecko、Coinbase）に照会します。これらの照会に、氏名、メールアドレスその他の個人を特定する情報は含めません。

6. 第三者への提供

当社は、次の場合を除き、個人情報を第三者に提供しません。

(1) 本サービスの機能として他の利用者に表示する場合

• ユーザー間送金：送金元の利用者に送金先の利用者の氏名を、送金先の利用者に送金元の利用者の氏名、ユーザーID、送金額及びメッセージを表示し、又は通知します。
• 紹介プログラム：紹介コードを入力した方に紹介者の氏名（一部を伏せ字にすることがあります。）を表示し、紹介者に被紹介者の氏名、ユーザーID、本人確認の完了状況、紹介の日時及び紹介報酬の額を表示します。

(2) 銀行口座宛送金を実行する場合：当社が利用する金融機関、送金先の金融機関及び中継する金融機関に、送金人（利用者）の氏名、送金先の情報、金額その他送金に必要な情報を提供します。

(3) 法令等に基づく場合：日本、サモア独立国その他の国の法令、裁判所の命令、捜査機関、金融当局、税務当局、マネー・ローンダリング対策を所管する機関その他の公的機関の要請又は照会に基づき提供する場合（マネー・ローンダリング対策に関する法令に基づく届出を含みます。）

(4) 専門家に提供する場合：弁護士、会計士、監査人その他の守秘義務を負う専門家に、業務上必要な範囲で提供する場合

(5) 事業を承継する場合：事業譲渡、会社分割、合併その他の事由により事業が承継される場合に、承継先及びその検討の相手方に提供する場合

(6) 人の生命、身体又は財産の保護のために必要な場合

(7) その他ご本人の同意がある場合

上記(1)、(2)、(4)及び(5)の提供並びに(3)のうち日本以外の国の法令に基づく提供は、個人情報保護法上ご本人の同意が必要となる場合があります。当社は、本ポリシーに同意して本サービスに登録した利用者から、これらの提供について同意をいただくものとします。

7. 外国にある第三者への移転

当社は、サモア独立国に所在する事業者です。当社は、個人情報を主にマレーシアに所在するサーバー（第5項のHostinger）で保管するほか、第5項の委託先を通じて、個人情報を米国（Resend及びCloudflare）並びにスイス（Proton）に移転します。

個人情報保護法に関して　日本にお住まいの利用者の個人情報について、個人情報保護法第28条に基づき、次のとおりお知らせします。

• 当社は、サモア独立国に所在する事業者です。当社が確認した限り、サモアには、民間事業者による個人情報の取扱いを包括的に規律する法律は確認されていません（電気通信事業者による顧客情報の取扱い等について、個別の法令による規律があります。）。当社は、サモアの法制度にかかわらず、本ポリシーに定める基準で個人情報を取り扱い、第10項の安全管理措置を講じています。
• 当社は、第5項の委託先（マレーシア、米国及びスイスに所在）に個人情報を提供します。当社は、これらの提供についてご本人の同意をいただくほか、各委託先との契約又は各委託先が定めるデータ処理に関する条件により、委託先に個人情報の適切な取扱いを求めるとともに、通信及び保管するバックアップの暗号化並びにアクセス権限の制限を行っています。
• マレーシアには、2010年個人データ保護法（Personal Data Protection Act 2010）があり、商業取引における個人データの取扱いについて、個人データ保護局（Department of Personal Data Protection）が監督しています。
• 米国には、連邦レベルでの包括的な個人情報保護法はなく、分野ごとの連邦法及び州法（カリフォルニア州消費者プライバシー法等）により個人情報が保護されています。
• スイスには連邦データ保護法があり、EUから十分性認定を受けています。
• 提供先が講じる措置の詳細は、第15項の窓口へのご請求によりお知らせします。

フィリピンの市民又は居住者の方の個人情報について　当社は、2012年データプライバシー法に基づき、外国の委託先に移転した個人情報についても責任を負い、上記と同様の措置を講じます。

GDPRに関して　当社はEU域内に拠点を有しません。EU域内に所在する方の個人データの取扱いにGDPRが適用される場合、スイスへの移転は欧州委員会の十分性認定に基づき、マレーシア及び米国への移転は、欧州委員会が採択した標準契約条項を組み込んだ委託先とのデータ処理契約その他GDPR第46条に定める適切な保護措置に基づいて行います。保護措置の写しは、第15項の窓口へのご請求により提供します（商業上の秘密に当たる部分を除きます。）。

8. 保存期間

アカウント情報、本人確認情報（本人確認書類の画像を含みます。）

取引関係の終了（退会又は契約の終了）から5年間

取引情報

取引関係の終了から5年間、又は取引が行われた会計年度の終了から7年間のいずれか長い期間

認証・セキュリティ情報、当社が送信したメールの記録

取引関係の終了から5年間（アカウントに紐づかない記録は、取得から2年間）

お問い合わせの内容

対応の完了から3年間（利用者のものは、取引関係の終了から5年間）

Cookie（cp_session）

最長30日（ログアウト時に削除されます。）

バックアップ

作成から最長13か月

法令により保存期間が延長される場合、公的機関から保存の要請を受けた場合、又は紛争若しくは訴訟への対応に必要な場合は、その終了まで保存します。保存期間が経過した後は、情報を削除し、又は個人を識別できない形式に加工します。

9. Cookie及びローカルストレージ

当社は、本サービスの提供に必要な次のCookie及びローカルストレージのみを使用します。

名称	種類	目的	保存期間
cp_session	Cookie（必須）	ログインしている状態の維持（HttpOnly属性及び改ざんを防止する署名付き）	最長30日
cp_theme	ローカルストレージ	表示テーマ（ライト／ダーク）の設定の保存	ご本人が削除するまで
cp_hide	ローカルストレージ	残高の表示・非表示の設定の保存	ご本人が削除するまで

当社は現在、広告を目的とするCookie及びアクセス解析のための外部ツールを使用していません。これらを導入する場合は、事前に本ポリシーを改定し、法令上必要な同意を取得します。ローカルストレージの情報はご本人の端末にのみ保存され、当社には送信されません。

10. 安全管理のために講じた措置

• パスワード及びバックアップコードを、元に戻せない形式（bcrypt）に変換して保存しています。
• パスワード再設定用のリンクは、ハッシュ化して保存し、有効期限を1時間としています。
• 認証アプリを用いた2段階認証を提供しています。
• 一定回数以上ログインに失敗した場合、ログインを一時的に制限しています。
• 通信をHTTPSにより暗号化し、HSTSを設定しています。
• ログインしている状態を保持するCookieにHttpOnly属性と改ざんを防止する署名を付け、パスワードを変更したときは他の端末のログインを無効にしています。
• 管理機能を利用者とは別の認証で保護し、本人確認書類の画像を閲覧できる者を管理者に限定し、管理者の操作を記録しています。
• 当社が送信したメールの記録では、パスワード再設定用のトークン等を伏せ字にして保存しています。
• データベースのバックアップを暗号化して保管しています。
• 外的環境の把握：当社はサモア独立国に所在し、個人情報を主にマレーシアに所在するサーバーで保管し、そのバックアップを米国の事業者（Cloudflare）が提供するアジア太平洋地域の保管場所に暗号化して保管しています。また、メールの送受信には米国（Resend）及びスイス（Proton）に所在する事業者を利用しています。当社は、これらの国の個人情報の保護に関する制度を把握したうえで、上記の措置を講じています。

上記のほか、安全管理のために講じた措置については、安全管理に支障を及ぼすおそれのない範囲で、ご請求に応じてお知らせします。個人情報の漏えい等が発生した場合、当社は、法令に従い、監督機関への報告及びご本人への通知を行います。

11. ご本人の権利と行使の方法

GDPRに基づく権利　GDPRが適用される場合、ご本人は、当社に対し、次の権利を行使することができます。

• ご自身の個人データへのアクセス（開示）
• 不正確な個人データの訂正
• 個人データの消去
• 処理の制限
• データポータビリティ（ご本人が提供した個人データを構造化された形式で受け取り、又は他の管理者に移転させること）
• 正当な利益に基づく処理への異議（ダイレクトマーケティングを目的とする処理には、いつでも異議を述べることができます。）
• 同意の撤回（同意に基づく処理の場合。撤回前の処理の適法性には影響しません。）
• 第4項の自動化された処理に関する権利

個人情報保護法に基づく請求　ご本人は、当社に対し、利用目的の通知、保有個人データ及び第三者提供の記録の開示、内容の訂正・追加・削除、利用の停止・消去、第三者への提供の停止を請求することができます。

請求の方法

• 登録メールアドレスから第15項の窓口にご連絡ください。当社は、ご本人であることを確認するため、追加の情報をお願いすることがあります。
• 当社は、原則として請求を受けてから1か月以内に回答します。請求が複雑な場合又は多数の場合は、理由をお知らせのうえ、さらに2か月以内の範囲で延長することがあります。
• 個人情報保護法に基づく利用目的の通知及び開示の請求については、手数料をいただきません。GDPRに基づく請求が明らかに根拠のない場合又は過剰な場合（同じ内容の繰り返しを含みます。）には、GDPR第12条第5項に従い、合理的な手数料をいただき、又は請求に応じないことがあります。
• メールアドレス、パスワード及びメール通知の設定は、本サービス上でご自身で変更できます。

請求に応じられない場合　法令に基づき保存が義務付けられている情報（マネー・ローンダリング対策、会計等に関する法令によるもの）の消去、法令により開示が禁止されている情報の開示、開示により不正の防止その他当社の業務の適正な実施に著しい支障が生じるおそれがある場合、及び第三者の権利利益を害するおそれがある場合には、請求の全部又は一部に応じられないことがあります。この場合は、その旨をお知らせします。

12. 苦情の申立て

個人情報の取扱いに関する苦情は、第15項の窓口で受け付けます。また、ご本人は、次の監督機関に苦情を申し立てることができます。

日本にお住まいの方

個人情報保護委員会（Personal Information Protection Commission, Japan）
https://www.ppc.go.jp

フィリピンの市民又は居住者の方

National Privacy Commission（フィリピン国家プライバシー委員会）
https://privacy.gov.ph

EU又は欧州経済領域にお住まいの方（GDPRが適用される場合）

お住まいの国、勤務地又は違反が生じたとされる場所の監督機関

13. 未成年の方

本サービスは、18歳未満の方はご利用いただけません。当社は、18歳未満の方の個人情報を意図して取得しません。18歳未満の方の登録が判明した場合、当社はアカウントを停止し、法令上保存が必要な情報を除き、その個人情報を削除します。

14. 本ポリシーの改定

当社は、法令の改正、本サービスの変更等に応じて本ポリシーを改定することがあります。重要な変更を行う場合は、本サービス上への掲示又は登録メールアドレスへの通知により事前にお知らせし、法令上必要な場合は同意を取得します。

15. お問い合わせ窓口

Meridian Digital Ltd.　個人情報に関するお問い合わせ窓口
Intershore Suite, Le Sanalele Complex, PO Box 608, Apia, Samoa
メール：contact@cryptopay.today