個人情報処理方針

コジスタジオ（코지스튜디오）（以下「当社」といいます。）は、COZi commerceサービス（www.cozi-studio.com、app.cozi-studio.comおよび関連API。以下「本サービス」といいます。）を運営しており、韓国「個人情報保護法」第30条に基づき、情報主体の個人情報を保護し、これに関連する苦情を迅速に処理するため、次のとおり個人情報処理方針を策定・公開します。

1. 処理する個人情報の項目および収集方法

当社は、本サービスの提供に必要な最小限の個人情報のみを処理します。紹介サイトとワークスペースでは、アカウント利用、ショップ接続、統合管理および利用者が求めるサポートのため、以下の項目を処理します。実際の処理項目はショップごとのAPIと販売者の設定により異なります。

2. 個人情報の処理目的

• 本サービスの提供：会員の識別、アカウント管理、利用履歴管理、ショップ接続、商品・注文・在庫・配送・問い合わせの統合管理および作業履歴の提供
• 本サービスの改善：エラーの把握と品質の改善
• 安全な利用環境：不正利用の防止、リクエストの追跡（リクエストID）および障害対応
• サポート対応：COZiの利用相談の受付と処理結果のご案内
• 販売者からの受託業務：接続ショップの注文収集・照会、配送処理、在庫反映、顧客問い合わせの照会および対応可能な回答操作、販売者が求めるエクスポート。利用できる操作はショップAPIとアカウント権限によって異なります。

当社は、上記の目的以外の用途で個人情報を利用せず、目的が変更される場合は、「個人情報保護法」第18条に基づき別途同意を得るなど、必要な措置を講じます。

当社は、会員登録・アカウント管理および会員が求めるサービスの提供に必要な個人情報を、韓国個人情報保護法第15条第1項第4号（契約の締結・履行）に基づき処理します。販売者の顧客情報は、販売者の適法な処理根拠と第26条に基づく委託関係の範囲内で、販売者の業務上の指示に従い処理します。任意の処理や目的外利用などに別途同意が必要な場合は、その事項を区別して案内し、同意を得ます。

3. 個人情報の処理および保有期間

当社は処理目的と適法な根拠に基づき以下の保有期間を適用し、法定保存の対象となる記録を区別して管理します。

以下の期間は、当社自身の取引で法定保存の対象記録が発生した場合に限り適用します。契約・申込み撤回等の記録5年、代金決済・財貨等の供給記録5年、消費者の苦情・紛争処理記録3年（韓国「電子商取引等における消費者保護に関する法律」）。販売者から預かったすべての顧客注文・連絡先・配送情報を同じ期間一括保存する意味ではありません。

4. 個人情報の第三者提供

当社は、情報主体の個人情報を第2条の目的の範囲内でのみ処理し、情報主体の別途の同意がある場合や法令に特別の規定がある場合など、「個人情報保護法」第17条および第18条に該当する場合を除き、第三者に提供しません。

販売者が依頼した配送業務を行う際、対応する契約配送会社（CJ大韓通運、韓国郵便局の契約小包、ロッテ宅配、ロゼン宅配）のうち、当該販売者が接続・選択した会社へ必要な発送人・受取人・配送情報を送信する場合があります。販売者の接続した契約アカウントと受託業務の範囲に基づく処理であり、すべての販売者について全配送会社へ一括送信するものではありません。実際の契約関係に応じ、必要な個人情報の提供・委託手続きを区別して実施します。

5. 個人情報処理の委託および国外移転

当社は、本サービスの運営のため、以下のとおり個人情報の処理業務を委託しており、一部の受託者は国外に所在しています。移転の方法は本サービスの利用時点における情報通信網を通じた送信であり、移転の時期は本サービスの利用時です。

当社は、委託契約で個人情報の安全な管理に必要な事項を定め、委託先を監督します。委託先や委託業務の変更は本方針を通じて公開します。

国外での保存・委託・アクセスは実際の処理経路と目的ごとに管理します。Vercelは米国および韓国でサービスのリクエストを処理し、Supabaseの主データベースは韓国ソウルにあります。シンガポールのサービス法人や、必要な場合の米国関連会社による運用・サポートアクセスは保存場所と区別します。ソウルでの保存だけを根拠に国外アクセスがないとは案内しません。

ウェブ・APIへのアクセスや機能実行時に必要な情報をネットワークで転送し、サービス利用に応じてデータベースへの保存・照会が発生します。当社データは第3条の保有基準に従い、提供事業者内部のセキュリティ・サポート処理はその目的に応じて区別します。必須ホスティングを拒否すると該当ウェブ・API機能を、データベース利用を拒否すると保存が必要なアカウント・連携機能を提供できません。

Google Cloudの固定IP中継はショップAPI通信に使用します。ソースコードは暗号化HTTPS接続を使用しますが、それだけで運用サーバーの全記録やアクセス範囲が確認できるわけではありません。契約上の正確なサービス提供法人と中継運用ログの具体的な保有期間はまだ検証できていません。この部分の国外移転告知が完備しているとは案内せず、確認資料を得た後に法人・処理場所・保有期間と必要な手続きを補完します。

Channel Corp.の公開案内では、国内インフラと、必要に応じた日本・米国関連会社のサポートを区別しています。COZiの全相談情報がこれらの国に転送されることを意味しません。追加の国外サポートが必要な場合は、その範囲と法的根拠に応じて案内・手続きを行います。

契約の締結・履行に必要な国外への処理委託・保存に該当し、法定告知事項を公開した場合は、韓国個人情報保護法第28条の8第1項第3号を根拠とします。この例外に当たらない任意の処理などは、別途同意または他の適法な根拠を確認した後に実施します。販売者顧客情報には販売者の処理根拠と委託・再委託関係も適用します。

移転を希望しない情報主体は、第10条の連絡先への問い合わせ、または該当機能・接続の利用停止が可能です。任意の相談・分析を拒否しても、無関係なサービス全体を制限しません。保存済み情報の閲覧・削除・処理停止は第8条に従って求めることができます。

販売者の顧客情報の再委託では処理委託契約に基づく必要な同意を得ます。単なる告知が法令上必要な同意を代替するものではありません。

6. 個人情報の自動収集装置（Cookie）の設置・運用および拒否

現在、紹介サイトでは任意のアクセス統計を収集せず、Google アナリティクス・NAVER アナリティクス・Vercel Web Analyticsを読み込みません。必須のホスティングとセキュリティのためのアクセス記録は、任意の分析と区別して処理します。任意の分析を導入する場合は、事業者ごとの項目・目的・保有期間と必要な国外移転事項を事前に案内し、処理への同意と別途必要な国外移転への同意を区別して選択できるようにします。分析の拒否により主要機能を制限しません。

当社は、ログイン状態の維持と選択した言語の記憶に必要なCookieを使用します。Cookieはサーバーがブラウザに送り、利用者の端末に保存する少量の情報です。

利用者はブラウザの設定（例：Chromeの設定 → プライバシーとセキュリティ → Cookie）でCookieを拒否・削除できます。必須Cookieを拒否すると、ワークスペースへのログインなど一部の機能が利用できない場合があります。

サポートチャットを開くと、相談ツールの端末識別や会話維持機能が動作する場合があります。ツールのCookie・接続情報とワークスペースから送る仮名会員識別子は区別して処理します。

7. 個人情報の破棄手続きおよび方法

• 破棄手続き：保有期間が経過し、または処理目的が達成された個人情報は、遅滞なく破棄します。法令に基づき保存しなければならない情報は、別途分離して保管し、当該期間が経過した後に破棄します。
• 破棄方法：電子ファイル形式の情報は復元できない方法で削除し、紙の文書は粉砕または焼却します。

当社はデータベースを別ファイルや外部ストレージへ手動でバックアップせず、現在のプロジェクトでは予約バックアップとポイントインタイムリカバリ（PITR）を使用していません。これは、提供事業者自身によるセキュリティ・災害復旧目的の処理が一切ないことを意味しません。提供事業者の処理範囲は、委託・国外移転の項目と区別して管理します。

8. 情報主体の権利・義務およびその行使方法

情報主体は、当社に対し、いつでも個人情報の閲覧、訂正・削除、処理停止の要求および同意の撤回を行うことができます。権利の行使は、第10条の個人情報保護責任者に対し、電話またはメールで請求することができ、当社は遅滞なく措置を講じます。

• 法定代理人や委任を受けた者などの代理人を通じて権利を行使することもでき、この場合は、「個人情報処理方法に関する告示」別紙第11号様式による委任状を提出しなければなりません。
• 閲覧および処理停止の要求は、「個人情報保護法」第35条第4項、第37条第2項により制限される場合があります。
• 他の法令で収集対象として明示されている個人情報は、その削除を要求することができません。
• 当社は、要求を行った者が本人または正当な代理人であるかを確認します。

販売者の顧客も、当社の問い合わせ窓口から権利行使を求めることができます。当社は必要な本人確認を行い、該当販売者と協力して、適用法令と受託業務の範囲に従って対応します。

9. 個人情報の安全性確保措置

• パスワードおよび接続用認証情報の保護：COZiアカウントのパスワードはscryptハッシュ値としてのみ保存し、平文は保管しません。ショップのアプリのシークレット、アクセストークン・リフレッシュトークン、およびImweb管理者セッション情報はAES-256-GCMで暗号化してサーバーに保管します。
• 通信経路の保護：すべての通信はHTTPSで暗号化され、セッションCookieはHttpOnly・Secure属性で保護します。
• アクセス制御：ショップの接続はログインしたワークスペースからのみ可能であり、データはワークスペース単位で分離します。状態を変更するリクエストでは、Originを検証します。
• 記録の最小化：リクエスト追跡と障害対応に必要な記録を処理し、認証情報・個人情報の不要な記録を制限します。注文個人情報のダウンロード記録はアクセス履歴の確認のため別途管理します。
• 業務別の権限：商品・注文・配送・在庫・問い合わせの処理に必要な権限は、接続ショップと利用機能により異なります。対応可能な変更・送信は、販売者の指示とアカウント権限の範囲で実行します。

10. 個人情報保護責任者

当社は、個人情報の処理に関する業務を総括し、情報主体の苦情処理および被害救済のため、以下のとおり個人情報保護責任者を指定しています。

情報主体は、本サービスを利用する中で生じた個人情報保護に関するすべてのお問い合わせ、苦情処理、被害救済等に関する事項について、個人情報保護責任者に問い合わせることができ、当社は遅滞なく回答・処理します。

11. 権益侵害の救済方法

情報主体は、個人情報の侵害に関する申告や相談が必要な場合、以下の機関に問い合わせることができます。

• 個人情報紛争調停委員会：（韓国国内、市外局番なし）1833-6972、www.kopico.go.kr
• 個人情報侵害申告センター（韓国インターネット振興院）：（韓国国内、市外局番なし）118、privacy.kisa.or.kr
• 大検察庁サイバー捜査課：（韓国国内、市外局番なし）1301、www.spo.go.kr
• 警察庁サイバー捜査局：（韓国国内、市外局番なし）182、ecrm.cyber.go.kr

12. 個人情報処理方針の変更

この訂正版の個人情報処理方針は2026年10月21日から適用します。現在のサービスの処理範囲と提供事業者の情報を訂正し、未確認の運用事項を確認済みの事実と区別して表示しています。以前の方針は本ページの履歴リンクから確認できます。今後の変更時は適用日と主な変更内容を案内し、必要な事前告知と同意手続きを区別して実施します。

本方針の事実訂正は、過去の個人情報処理に必要だった法的根拠や同意に遡って代わるものではありません。新しい目的の処理や別途同意が必要な変更は、該当手続きを完了した後に実施します。