1. 一般規定
1.1. 本プライバシーポリシー（以下「本ポリシー」）は、Asuu Tseg App LLC（以下「当社」）が Asuu.Travel プラットフォーム（asuu.travel ウェブサイト、ユーザーアカウントおよびサービス提供者パネル。以下「本プラットフォーム」）を通じて個人データをどのように収集、利用、保存、移転、保護するかを定めるものです。
1.2. お客様の個人データの管理者は、モンゴル国に登録番号 4291263 で登録された Asuu Tseg App LLC です。当社は、モンゴル国個人情報保護法およびその他の適用法令に基づいてデータを処理します。
1.3. 本ポリシーは、訪問者、旅行者、サービス提供者、取引先およびその代表者を含む、本プラットフォームを訪問または登録するすべての方、ならびに他者が提供したデータによって本プラットフォームに登録された方に適用されます。
1.4. 本ポリシーで用いる用語は、利用規約（以下「本規約」）第 2 条に定める意味を持ちます。「個人データ」、「センシティブデータ」および「処理」は、個人情報保護法に定める意味を持ちます。
2. 収集するデータ
2.1. 本プラットフォームの訪問時：IP アドレス、ブラウザおよび端末の情報、選択した言語、ログインセッション。
2.2. 旅行者アカウント：
- 氏名（パスポートどおりのローマ字）、メールアドレス、パスワード（一方向ハッシュとしてのみ保存）；
- サイトの言語、居住国、電話番号と国番号、プロフィール写真（提供された場合）；
- メールアドレスを確認した日、本規約および本ポリシーに同意した日とそのバージョン番号。
2.3. 予約：予約したサービス提供者または出発、日程、旅行者の人数（出発の場合は年齢区分別）、ユニットの種類と数、予約メッセージ、料金、状態、キャンセル理由、旅の終了を確認した日、問題が報告された場合はその内容、ならびに運営者の判断とその説明。
2.4. 支払いと返金：支払い番号、金額、方法、決済機関の請求書と応答、支払い確認時の IP アドレス、ならびに返金を受け取るための銀行、口座番号、口座名義人の氏名。
2.5. レビュー：星、コメント、旅行した月、サービス提供者の返信。
2.6. ガイド：
- 公開プロフィール：氏名、写真、ガイド番号、紹介文、経歴、国籍、出身県、経験、言語とそのレベル、専門分野、案内地域、料金、カレンダーとそのメモ、運転免許、車両情報、SNS のリンク；
- 審査データ：登録番号、パスポート番号、性別、生年、電話番号、住所、身分証明書、パスポート、ガイド資格証およびその他の証明書の写し；
- 緊急連絡先の氏名と電話番号。
2.7. 宿泊先および旅行会社：所有者または会社の登録番号（個人の場合はその登録番号）、名称、住所、地図上の位置、電話番号、メールアドレス、ウェブサイト、SNS のリンク、写真、ロゴ、代表者または所有者の氏名、ならびに身分証明書、国家登録証、特別許可証、推薦状などの書類の写し。スタッフへの招待：招待したメールアドレス、役割（マネージャー、スタッフ）、招待および在籍の状態と日付。アカウントのないアドレスは招待の有効期間中保持されます。ガイドと会社の提携：双方の番号、状態、日付。
2.8. 取引先：登録番号、名称、付加価値税の登録の有無、電話番号、メールアドレス、住所、代表者の氏名・役職・電話番号、銀行、口座番号、口座名義人の氏名、口座変更の履歴、ならびに身分証明書、証明書および委任状の写し。
2.9. 当社が収集しないもの：
- 銀行カードの番号、有効期限、セキュリティコード（これらは銀行のページでのみ入力されます）；
- 同行者の氏名やパスポート情報；
- 生体データ；
- 広告や分析のためにお客様を追跡するデータ。
2.10. ニュースのコメント：コメントの本文、名前の表示を選んだかどうか、送信元の IP アドレス、お客様のアカウントへのリンク。IP アドレスは運営者のみが確認でき、サイト上には表示されません。不正行為への対応に用います。
2.11. ギャラリー：写真、キャプション、写真の対象（ガイド、宿泊先、旅行会社、パッケージ、ニュース）、県、名前の表示を選んだかどうか、送信元の IP アドレス（運営者のみ）。サイトに表示される変換後の画像からはカメラと位置情報（EXIF）のデータが削除されます。元のファイルはそのまま保持されるため、アップロード前にご自身で写真の位置情報を削除することをおすすめします。
2.12. パッケージへの参加希望：希望する出発日の範囲、旅行者の人数、メモ、席が確保された出発とその状態。
2.13. お問い合わせおよび旅のリクエストフォーム：氏名、メールアドレス、電話番号、行き先、日程、旅行者の人数、メッセージ。これらは info@asuu.travel へメールでのみ届けられ、データベースには保存されません。メール送信記録は 12.5 のとおり保持されます。
3. データの取得元
3.1. 当社は次の取得元からデータを取得します：
- お客様：登録、プロフィールの入力、予約、支払い、レビューの投稿、フォームの入力の際；
- 他のユーザー：ガイドが緊急連絡先を、旅行会社が代表者を、サービス提供者が取引先として招く方を登録する際；
- 決済機関および銀行：支払いと返金の状態、当社銀行口座の取引明細（8.2）；
- 本プラットフォームによる自動取得：IP アドレス、Cookie、システムログ。
4. 利用目的
4.1. 当社はお客様のデータを次の目的で利用します：
- アカウントの作成、ログイン、アカウントの保護、メールアドレスの確認；
- 予約の受付、サービス提供者への伝達、その履行の確認；
- 支払いの受領と確認、返金の実施；
- サービス提供者の確認と審査、重複登録および利用禁止者の登録の防止；
- サービス提供者の収入のその取引先への支払い；
- 旅の終了の確認と報告された問題の解決；
- 当社銀行口座の取引明細と支払い、返金、送金との照合；
- レビューの公開、予約・支払い・セキュリティに関する通知の送信；
- 苦情と紛争への対応；
- 詐欺、違法行為、自動プログラムからの本プラットフォームの保護；
- 会計、税務その他の法的義務の履行；
- 本プラットフォームの運営と障害の修正。
4.2. 当社はデータを収集した目的のためにのみ、その目的に必要な範囲でのみ利用します。新たな目的で利用する場合は、第 18 条に定めるとおり本ポリシーを変更します。
4.3. 当社はお客様のデータを販売せず、広告のために第三者に渡しません。マーケティングはお客様の同意がある場合にのみ送信します（本規約 19.5）。
5. 法的根拠と同意
5.1. 登録時に「利用規約とプライバシーポリシーに同意します」にチェックを入れることで、お客様は第 10 条に定めるモンゴル国外への移転を含め、本ポリシーの目的のためにデータが処理されることに同意します。当社は同意の日付と本ポリシーのバージョン番号を保持します。
5.2. 契約（本規約、予約）の履行または法的義務（会計、税務、権限ある機関からの適法な要請）の履行に必要なデータは、法律が定める根拠に基づいて処理されます。
5.3. サービス提供者または取引先が審査のために書類、登録番号または銀行口座情報を提出する場合、第 4 条の目的のためにそれらが処理されることに同意するものとします。
5.4. お客様はいつでも同意を撤回できます（第 15 条）。撤回は、撤回前の処理の適法性に影響しません。本プラットフォームの動作に不可欠なデータについて同意を撤回した場合、第 16 条に定めるとおりアカウントは閉鎖されます。
6. 特別に保護されるデータ
6.1. 当社は、登録番号、パスポート番号、身分証明書・パスポート・資格証・証明書の写し、ならびに銀行口座情報を特別に保護されるデータとして扱います。
6.2. 書類の写しは、非公開の別個のストレージに保管されます。審査を行う権限を持つスタッフのみが、2 分間有効な署名付き一時リンクを通じて開きます。書類が本プラットフォーム上で公開されることはありません（本規約 5.7）。
6.3. 登録番号、パスポート番号、銀行口座番号は、アクセスが制限されたデータベースに保存されます。権限あるスタッフとそのデータの本人のみが閲覧でき、公開ページや他のユーザーには表示されません（7.4 に定めるマスク表示を除く）。
6.4. 書類上の写真はスタッフが目視でのみ確認します。当社は本人確認に生体認証の手法を用いません。
6.5. 当社は健康情報その他のセンシティブデータを収集しません。安全のために必要な場合（アレルギー、持病など）は、必要なことだけを予約メッセージに書くか、サービス提供者と電話で相談することをおすすめします（本規約 14.5）。
7. 誰が何を見られるか
7.1. 一般公開：ガイドの公開プロフィール（2.6 の公開プロフィールデータ）、カレンダーとそのメモ；宿泊先または旅行会社の公開ページ（名称、写真、ロゴ、説明、所在地、料金、連絡先）；パッケージと出発；レビュー；ギャラリー；ニュースのコメント。カレンダーのメモは、ガイドが旅行者に読んでもらうために書くものです。
7.2. レビューには、アカウントのフルネーム、旅行した月、星、コメントが表示されます。レビューを匿名で公開することはできません。ギャラリーとニュースのコメントでは名前を表示するかどうかを選べます。非表示にした場合は代わりに「旅行者」と表示されます。
7.3. サービス提供者：予約が送られると、旅行者の氏名、旅行者の人数、予約メッセージを見ることができます。支払い後は、旅行者のメールアドレスと電話番号（提供されている場合）を見ることができます。支払い後、旅行者はサービス提供者の電話番号を見ることができます（本規約 18.2）。サービス提供者の所有者と、その招いたマネージャーおよびスタッフは、これらのデータを同じように見ることができます。
7.4. 取引先と結びついたサービス提供者は、取引先の名称、銀行名、登録番号の下 4 桁を見ることができます。口座番号は見られません。サービス提供者が登録番号で取引先を検索する際、見つかった取引先の名称と登録番号はマスクされた形で表示されます。
7.5. Asuu Tseg App LLC のスタッフは、職務上必要な範囲でのみ、与えられた権限の範囲内でデータを見ます。
7.6. プロフィール写真、サービス提供者の写真およびロゴは公開ストレージ（CDN）に保管されるため、ファイルのリンクを知る人は誰でも閲覧できます。
8. 第三者への移転
8.1. 当社に代わってデータを処理するサービス：
- DigitalOcean, LLC（米国企業）：サーバー、データベース、ファイルストレージ、CDN。データはシンガポールのデータセンターに保存されます；
- 当社が運用するメールサーバー（steppe.asuu.app）：本プラットフォームが送信するメールの宛先、件名、本文。
8.2. 自らの規約に基づいてデータを受け取るサービス：
- Google LLC（米国）：reCAPTCHA（登録フォームとお問い合わせフォームで：IP アドレス、ブラウザ情報、Cookie）、Google Fonts（各ページの読み込み時：IP アドレス、ブラウザ情報）、Google マップ（宿泊先の公開ページが Google から地図を読み込む際：IP アドレス、ブラウザ情報。「マップで開く」リンクは Google マップへ移動します。パネルで位置を選ぶための地図）；
- jsDelivr：国旗アイコン（各ページの読み込み時：IP アドレス、ブラウザ情報）；
- ui-avatars.com：パネルで写真のないユーザーの名前からアイコンを生成（名前）；
- QPay：支払い請求書（予約番号と支払い番号、金額）。お客様の氏名、メールアドレス、電話番号は送信されません；
- 貿易開発銀行（Trade and Development Bank）：カードで支払う際、カード情報は銀行のページで直接入力します。当社はまた、20 分ごとに銀行のシステムから当社銀行口座の残高と取引明細を取得し、明細の各行（日付、金額、取引相手の名義と口座、摘要）を支払いおよび送金との照合に用い、12.3 の期間保持します。サービス提供者および旅行者への送金依頼（受取人の名義と口座、金額、予約番号を含む摘要）は、この経路を通じて銀行に送られます；
- 銀行：返金およびサービス提供者への支払いを送金する際の受取人の名義、口座番号、金額。取引の摘要に予約番号が記載されるため、受取人の銀行取引明細に表示されます。
8.3. サービス提供者：予約を履行するための 7.3 のデータ。
8.4. 権限ある国家機関：法律に定める根拠と手続きによる要請があった場合。
8.5. 組織再編または承継の場合、承継者は本ポリシーの範囲内でデータを処理します（本規約 26.4）。
8.6. これらのサービスは、それぞれのプライバシーポリシーと規約に基づいてデータを処理します。当社は、そのサービスに必要なデータのみを渡します。
9. 支払いデータ
9.1. 銀行カード情報は銀行のページでのみ入力されます。当社はカード番号、有効期限、セキュリティコードを受け取らず、保存しません。
9.2. QPay による支払いについては、請求書番号、支払いの状態、決済機関からの応答を保持します。
9.3. 返金フォームに入力された銀行口座情報は、返金の送金と財務記録の保持にのみ用いられます。
9.4. 取引先の口座のすべての変更は、詐欺の防止と財務管理のため履歴とともに保持されます。
9.5. サービス提供者への支払い、旅行者への返金、当社銀行口座の取引明細の各行は財務記録とみなされ、12.3 の期間保持されます。
10. モンゴル国外への移転
10.1. 本プラットフォームのデータとファイルは、DigitalOcean のシンガポールのデータセンターに保存されます。公開ファイルは世界規模の CDN を通じて配信されます。Google のサービスは米国にあります。
10.2. 当社はデータを暗号化された接続（HTTPS）で転送します。各受領者はそれぞれ独自のデータ保護措置を講じています。
10.3. 登録により、お客様は 5.1 に定めるとおり、データがモンゴル国外へ移転されることに同意します。
11. Cookie とブラウザストレージ
11.1. 当社は本プラットフォームの動作に必要な Cookie のみを使用します：
- セッション Cookie：ログイン状態、選択した言語、フォームのデータを保持します。操作がないまま 120 分で失効します；
- XSRF-TOKEN：偽造リクエストからフォームを保護します；
- ログイン保持 Cookie：「ログイン状態を保持」にチェックを入れた場合にのみ作成され、ログアウトするまで保持されます；
- Google reCAPTCHA の Cookie：登録ページとお問い合わせページのみ。
11.2. サービス提供者パネルは、表示設定（配色、メニューの状態）をブラウザストレージに保存します。
11.3. 当社は広告用や分析用の Cookie を使用しません。ブラウザで Cookie をブロックすると、ログインやフォームの送信ができなくなります。
12. 保持期間
12.1. アカウントのデータは、アカウントが有効な間保持されます。
12.2. ユーザーが入力したデータ（プロフィール、写真、レビュー、ギャラリーの写真、コメント、カレンダーのメモなど）は、そのユーザーが削除するか、Asuu Tseg App LLC が削除を決定するまで保持されます。
12.3. 予約、支払い、返金、サービス提供者への支払い、取引先とその口座履歴、当社銀行口座の取引明細の各行などの財務データは、取引から 5 年間保持されます。
12.4. サービス提供者の審査書類は、アカウントが有効な間保持されます。却下された申請または未完了の申請の書類は、Asuu Tseg App LLC の決定により削除されます。停止されたサービス提供者の記録は、その書類と写真とともに 90 日後に完全に削除されます。利用禁止となったサービス提供者のデータは、再登録を防ぐために保持されます（本規約 20.3）。
12.5. 技術データ：
- セッション：操作がないまま 120 分で失効；
- システムログ：30 日；
- パスワード再設定リンク：60 分間有効；
- メール送信記録：30 日。送信できなかったメール：7 日。
12.6. 保持期間が終了すると、データは削除されるか、誰も特定できないように匿名化されます。
13. セキュリティ
13.1. データを保護するために当社は：
- すべての接続を暗号化します（HTTPS）；
- パスワードを一方向ハッシュとしてのみ保存します；
- スタッフのアクセスを役割と権限で制限し、サービス提供者パネルごとに別々のアクセスを与えます；
- 書類を一時リンクの背後にある別個のストレージに（6.2）、特別に保護される番号をアクセス制限下に（6.3）保管します；
- 支払いまでサービス提供者に旅行者の連絡先を表示しません；
- リクエスト数を制限し、登録フォームを reCAPTCHA で保護します。
13.2. 完全に安全なシステムはありません。パスワードを他人と共有しないでください。アカウントへの不正アクセスが疑われる場合は、パスワードを変更し、直ちに info@asuu.travel までお知らせください。
14. データ侵害
14.1. 個人データが漏えいした場合、または権限なくアクセスされた場合、当社は被害を止め、軽減するために直ちに措置を講じます。
14.2. 当社は、法律が定める期間内に、関係する方々と法律が指定する機関に通知します。
15. お客様の権利
15.1. 法律に基づき、お客様には次の権利があります：
- 当社がお客様についてどのようなデータを処理し、どのように利用しているかを知り、その写しを受け取る権利；
- 誤りのあるデータや不完全なデータを訂正してもらう権利（大部分は「マイアカウント」でご自身で訂正できます）；
- データを削除してもらう権利；
- 同意を撤回する権利；
- 権利が侵害されたと考える場合に、モンゴル国家人権委員会または裁判所に申し立て、損害賠償を請求する権利。
15.2. ご請求は、登録済みのメールアドレスから info@asuu.travel へお送りください。ご本人であることを確認したうえで、法律が定める期間内に回答します。
15.3. 法律により保持が義務付けられているデータ（12.3）は、その期間が終了するまで削除されませんが、他のいかなる目的にも利用されません。
16. アカウントの閉鎖
16.1. アカウントを閉鎖するには、「マイアカウント」の「アカウントを閉じる」ボタンの先にあるフォームに記入するか、登録済みのメールアドレスから info@asuu.travel へご請求ください。
16.2. 予約、返金またはサービス提供者との精算が未完了の間は、それが完了するまでアカウントは閉鎖されません（本規約 20.5）。
16.3. アカウントが閉鎖されると、氏名、メールアドレス、電話番号、写真などのデータは削除されます。財務データは 12.3 の期間、匿名化された形で保持されます。お客様のレビューは匿名（「旅行者」）になるか、ご希望により削除されます。
17. 未成年者と他者のデータ
17.1. 本プラットフォームに登録できるのは 18 歳以上の方のみです（本規約 4.1）。18 歳未満の方が登録していたことが判明した場合、そのアカウントは閉鎖されます。
17.2. 旅に参加する未成年者は、旅行者の人数としてのみ予約に含まれます。当社はその氏名その他のデータを収集しません。
17.3. 他の方のために予約する方は、その方々に本ポリシーを知らせるものとします（本規約 4.7）。
17.4. 緊急連絡先、代理人、代表者、または取引先として招く方のデータを入力する前に、その方に知らせ、同意を得てください。
17.5. サービス提供者は、旅行者のデータを予約されたサービスの提供のためにのみ利用します。本プラットフォームの外でデータを保持する場合、その保護について責任を負います（本規約 6.6）。
18. 変更とバージョン
18.1. 本ポリシーの各バージョンには番号が付けられます。有効なバージョンの番号と発効日は本ページに表示されます。
18.2. 当社は、法律、本プラットフォームのサービス、またはデータの受領者が変わったときに本ポリシーを変更することがあります。重要な変更は、発効の 14 日以上前に本プラットフォーム上および登録済みのメールアドレスへ告知します。
18.3. 新しいバージョンの発効後も本プラットフォームの利用を続けることで、お客様はそれを承諾したものとみなされます。承諾しない場合は、第 16 条に定めるとおりアカウントを閉鎖できます。
18.4. 本ポリシーは複数の言語で公開されることがあります。相違がある場合は、モンゴル語の本文が優先します。
19. 連絡先
19.1. 個人データに関するご質問、ご請求、苦情は次の宛先へお送りください：
- Asuu Tseg App LLC、登録番号 4291263；
- 住所：モンゴル国ダルハン・オール県ダルハン郡第 10 バグ、第 24 地区、ヒーモリ・ガーデン、Asuu Tseg App LLC ビル；
- 電話：+976 86085522；
- メール：info@asuu.travel。