プライバシーポリシー

発効日： May 22, 2026

本プライバシーポリシーは、あなたがglobalpathedu.comおよび当社の関連サービス（総称して「本サービス」）を利用する際に、GlobalPath（「当社」、「私たち」）が個人情報をどのように収集、利用、保管、共有するかを説明するものです。本サービスを利用することにより、あなたは本ポリシーに同意したものとみなされます。

1. 当社が収集する情報

当社は以下のカテゴリのデータを収集します：

  • アカウント情報：氏名、メールアドレス、パスワードのハッシュ、役割（学生、リクルーター、管理者）、アップロードした場合はプロフィール写真。
  • お問い合わせおよび学業情報：当社のお問い合わせフォームや受付フォームを通じて送信される情報。氏名、メールアドレス、電話番号、出身国、希望留学先国、希望学位レベル、関心のあるプログラム、試験スコア（TOEFL/IELTS/GRE/GMAT など）、GPA、出身校、予算、入学希望時期など。アカウントを作成せずにお問い合わせを送信することもできます。
  • アップロードする書類：成績証明書、志望理由書、推薦状、パスポートのコピー、ビザ書類、その他の出願資料。
  • コミュニケーション：アドバイザーへのメッセージ、サポートチケット、レビューの投稿。
  • 紹介情報：当社の紹介プログラムまたはリクルータープログラムに参加した場合、または他者の紹介コードやリンクを使用して登録した場合、当社はプログラムを運営するために紹介コードおよびそれによって生じたアカウント間の関連付けを記録します。
  • 支払い情報：当社はカード番号を保存しません。支払いは Stripe によって処理され、Stripe はカード情報をお客様のブラウザから直接受け取ります。当社は Stripe の決済識別子、請求金額、購入のステータスを保持します。
  • 利用状況およびデバイス情報：サーバー側のログおよび当社のエッジプロバイダー（Cloudflare）に記録される IP アドレス、ユーザーエージェント文字列、リクエストパス、タイムスタンプ。セキュリティ、不正利用の防止、デバッグの目的にのみ使用します。当社はクライアント側の分析ツールや広告トラッカーを使用しません。
  • 同意の記録：お問い合わせの送信、登録、またはマーケティングメールへのオプトインの際、当社は付与された許可の記録（どのチェックボックス、どのページ、ポリシーのバージョン、その時点での IP およびユーザーエージェント）を保存し、後に異議が申し立てられた場合に同意を証明できるようにします。
  • 認証プロバイダー：Google でログインした場合、当社はあなたの同意に基づき、Google から氏名、メールアドレス、プロフィール写真を受け取ります。

2. このデータを処理する理由（法的根拠）

EU、英国、EEA のユーザーについては、当社は GDPR に基づく以下の法的根拠に依拠します：

  • 契約（第6条(1)(b)）：アカウントの作成と管理、お問い合わせへの対応、関連する大学および奨学金の掲載情報の提示、支払いの処理、購入されたサービスの提供、アドバイザーによるサポートの提供、紹介プログラムの運営のため。
  • 正当な利益（第6条(1)(f)）：本サービスの運営とセキュリティの確保、不正利用や悪用の防止、製品品質向上のための集計された利用状況の分析、お問い合わせへの対応のため。
  • 法的義務（第6条(1)(c)）：税務、会計、規制上の要件を遵守するため。
  • 同意（第6条(1)(a)）：任意のマーケティングコミュニケーションのため。

3. データの共有方法

当社はあなたの個人データを販売しません。当社はあなたの個人データを大学や奨学金提供者と共有しません。本サービス上の掲載情報は公開情報から編集されたものであり、当社はいかなる教育機関の採用代理人でもありません。当社は以下とデータを共有します：

  • 本サービスの運営を支援するサービスプロバイダー：これらのプロバイダーは、当社にサービスを提供するために必要な範囲でのみあなたのデータを使用するよう、契約上制限されています。
  • 法執行機関：法律、召喚令状により要求された場合、または当社の権利と安全を保護するため。
  • 事業譲渡：合併、買収、または資産売却に関連して（あなたへの通知を伴います）。

4. データの国際移転

当社のサーバーおよび主要データベースはドイツ（EU）に所在しています。当社のサービスプロバイダーの一部（Stripe、Resend、Cloudflare、Google）は米国を拠点としています。データが EU/EEA 外に移転される場合、当社は欧州委員会が承認した標準契約条項（SCC）および各プロバイダーの適用される枠組み（例：EU-米国データプライバシーフレームワーク）に基づく認証に依拠します。

5. データの保管期間

  • アカウントデータ：アカウントが有効である限り、また不正防止のため削除後最大24か月間。
  • 出願書類（成績証明書、志望理由書、推薦状、試験スコア）：当社との有効なサービスがある間は保管され、それ以外の場合はアップロード後の保管期間に達した時点で削除されます。機密性の高い身分証明書類や財務書類（パスポートのコピー、財務記録）は、他の書類よりも短い期間保管されます。また、ダッシュボードからいつでもご自身で書類を削除することもできます。下記の「書類の削除方法」をご覧ください。
  • 支払い記録：税務および会計上のコンプライアンスのため7年間。
  • サポートコミュニケーション：解決後最大3年間。
  • サーバーログ：最大90日間。

書類の削除方法

当社は、必要以上に長く書類を保持しないよう、アップロードされた書類にデータ保管プロセスを適用しています。書類は、当社との有効なサービスがなくなり、かつその種類の保管期間を過ぎた場合、または活動の有無にかかわらず絶対的な最長期間に達した場合に、削除対象となります。有効なサービスに紐づく書類が、このプロセスによって削除されることはありません。書類が削除される前に、当社はあなたにメールを送り、ダッシュボードに通知を表示します。まだ必要な場合は、書類を保持対象としてマークすることができます。削除対象の書類は、まず非表示にされ、復元可能な猶予期間の間保持された後、当社のストレージから完全に消去されます。正確な保管期間は当社チームによって設定され、変更される場合があります。下記の「あなたの権利」に記載の権利ポータルを通じて、いつでもデータの早期削除を請求できます。

6. あなたの権利

お住まいの地域によっては、あなたの個人データに関して以下の権利を有する場合があります：

  • アクセス：当社が保有するあなたに関するデータのコピーを請求する。
  • 訂正：不正確なデータの修正を求める。
  • 削除：アカウントおよび関連データの消去を請求する（法的な保管義務に従います）。
  • ポータビリティ：機械可読形式であなたのデータのコピーを受け取る。
  • 異議および制限：処理に異議を申し立てる、または処理の制限を求める。
  • 同意の撤回：同意に基づくあらゆる処理について。
  • 苦情申立て：お住まいの地域のデータ保護当局に苦情を申し立てる。

これらの権利の多くは、アカウント内のプライバシーとデータページからご自身で行使できます。機械可読形式のデータのコピーをダウンロード（ポータビリティ）、プロフィールの編集（訂正）、マーケティング同意の管理、アカウント削除の請求が可能です。そこで完了できないことについては、[email protected]までメールでお問い合わせください。当社は30日以内に対応します。

EU/英国の居住者（GDPR/UK GDPR）：当社があなたのデータを適切に取り扱っていないと思われる場合、お住まいの国のデータ保護当局に苦情を申し立てる権利があります。欧州データ保護会議を通じて、お住まいの地域の当局を見つけることができます。

カリフォルニア州の居住者（CCPA/CPRA）：上記の権利に加えて、当社が収集する個人情報を知る権利、その削除または訂正を請求する権利、個人情報の販売または共有をオプトアウトする権利、機密性の高い個人情報の利用を制限する権利を有します。当社は CCPA/CPRA で使用される意味において個人情報を販売または共有しません（金銭的またはその他の価値ある対価と引き換えに提供することはなく、クロスコンテキスト行動広告のために共有することもありません）。また、あなたに代わって請求を行う代理人を指名することもできます。当社は対応前に代理人の権限を確認します。当社はプライバシー権を行使するユーザーを差別しません。

ブラジル（LGPD）：ブラジルのデータ主体は、アクセス、訂正、匿名化、ポータビリティ、削除、共有に関する情報、および同意の撤回について同等の権利を有します。上記の連絡先は LGPD に基づく請求の窓口としても機能します。

カナダ（PIPEDA）：カナダのユーザーは、上記のメールアドレスへ連絡することにより、個人情報へのアクセスおよび訂正を請求し、同意を撤回することができます（法的または契約上の制限に従います）。

韓国（PIPA）：大韓民国のユーザーは、自身の個人情報の処理について通知を受ける権利、ならびにアクセス、訂正、削除、処理の停止を求める権利、および以前に与えた同意を撤回する権利を有します。当社は、あなたの同意またはその他の適法な根拠がある場合にのみ個人情報を収集し、本ポリシーに記載された目的のためにのみ使用し、本書に定める場合を除き第三者に提供しません。これらの権利を行使するため、または個人情報の取り扱いに関する懸念を申し立てるには、[email protected]までお問い合わせください。個人情報保護委員会（PIPC）または韓国インターネット振興院（KISA）に懸念を報告することもできます。

7. セキュリティ

当社は、転送中（TLS 1.3）および保管時（データベースおよびファイルストレージにおける AES-256）のデータを保護するために業界標準の措置を講じています。パスワードは bcrypt でハッシュ化されます。アクセスは、知る必要のある権限を有する担当者に限定されています。これらの措置にもかかわらず、完全に安全なシステムは存在しません。あなたのデータに重大な影響を及ぼす侵害が判明した場合、当社は不当な遅延なく、あなたに通知し、必要に応じて関係当局に通知します。

8. Cookie と分析

当社は、サードパーティの分析、広告、またはクロスサイトトラッキングを使用しません。当社は、セキュリティ、不正利用の防止、デバッグのために、基本的なサーバー側のリクエストメタデータ（IP アドレス、ユーザーエージェント、リクエストパス、タイムスタンプ）を記録します。これらのログは最大90日間保管されます。

当社は、いずれも厳密に必要なものまたは設定に基づくもの（EU の eプライバシー規則の下で同意が不要なもの）である、少数のファーストパーティ Cookie と1つの localStorage エントリを使用します：

  • 認証セッション（NextAuth によって設定される Cookie、HTTP-only、サインアウト時またはセッションの有効期間経過後に失効）：ページをまたいでサインインした状態を維持します。
  • gp_ref（90日間の TTL）：?ref=CODE の URL からの紹介コードを記録し、あなたのサインアップを正しいリクルーターまたは紹介ユーザーに帰属させられるようにします。
  • gp-theme（HTTP Cookie ではなく、ブラウザの localStorage に保存）：ライト/ダーク/ハイコントラストの設定を記憶します。

これらはブラウザのサイトデータ管理機能からいつでも消去できます。認証 Cookie を消去するとサインアウトされます。その他を消去するとデフォルトに戻り、紹介の帰属が削除されます。

9. 子ども

GlobalPath は16歳未満の子どもを対象としていません。当社は16歳未満の者から故意に個人情報を収集することはありません。そのような情報を収集したことが判明した場合、当社はそれを削除します。16歳未満の子どもが当社に個人データを提供したと思われる場合は、[email protected]までお問い合わせください。

10. 本ポリシーの変更

当社は本ポリシーを随時更新することがあります。重要な変更は、上記の改訂発効日とともに、メールおよび本ページで通知されます。変更が発効した後も本サービスを継続して利用することは、更新後のポリシーへの同意とみなされます。

11. お問い合わせ

プライバシーに関する具体的なご質問、またはデータに関する権利を行使するには、[email protected]の当社プライバシーチームまでお問い合わせください。本サービスに関するその他のご質問は、[email protected]までお問い合わせください。