ESTHE ONE（エステワン）プライバシーポリシー

制定日：2026年8月24日

株式会社ESONE（以下「当社」といいます。）は、当社が提供する予約・店舗管理サービス「ESTHE ONE（エステワン）」（以下「本サービス」といいます。）における個人情報の取扱いについて、個人情報の保護に関する法律（以下「個人情報保護法」といいます。）その他の関係法令及びガイドラインを遵守し、次のとおりプライバシーポリシー（以下「本ポリシー」といいます。）を定めます。

第1条（事業者情報）

第2条（本ポリシーの適用範囲と役割分担）

1. 本ポリシーは、本サービスの提供に関して当社が取り扱う個人情報について適用されます。
2. 本サービスにおいて取り扱われる個人情報は、次の2種類に大別されます。
   1. 本サービスを利用する事業者（以下「利用企業」といいます。）及びその担当者に関する個人情報
   2. 利用企業が本サービスに入力・登録する、利用企業の顧客（来店客等。以下「エンドユーザー」といいます。）に関する個人情報
3. 前項第2号のエンドユーザーの個人情報について、当社は、利用企業からの委託を受けて処理を行う立場（処理受託者）にあり、当該個人情報の利用目的の決定その他の管理を行う主体（管理者）は利用企業です。当社は、利用企業の指示の範囲内で、本サービスの提供に必要な限度において当該個人情報を取り扱います。
4. 本サービスは、当社が利用企業からエンドユーザーの個人情報を「預かる」ものであり、エンドユーザーに対する取得・利用の適法性の確保及び通知・公表・同意取得等の対応は、原則として利用企業が行うものとします。

第3条（取得する個人情報の種類）

当社が本サービスに関連して取り扱う個人情報は、次のとおりです。

1. 利用企業及びその担当者に関する情報
   • 会社名、担当者氏名、住所、電話番号、メールアドレス、部署・役職
   • アカウント情報（ログインID、パスワード等）
   • 支払・請求に関する情報（決済手段に関する情報を含みます。ただし、クレジットカード番号等は決済代行事業者が取り扱い、当社は原則として保有しません。）
   • 本サービスの利用履歴、問い合わせ内容
2. 利用企業が入力するエンドユーザー（来店客）に関する情報
   • 氏名、電話番号、メールアドレス、来店履歴、予約内容、その他利用企業が登録する情報
3. 利用企業が入力するセラピスト等の従業者に関する情報
   • 氏名、勤務・シフトに関する情報等
4. 本サービスの予約データ及び売上データに含まれる情報

第4条（利用目的）

1. 当社は、利用企業及びその担当者に関する個人情報を、次の目的で利用します。
   1. 本サービスの提供、維持、保守及び改善のため
   2. 利用契約に基づく料金の請求、決済及び会計処理のため
   3. 本サービスに関する連絡、通知、案内及びサポートの提供のため
   4. 本サービスに関する重要なお知らせ、規約変更等の通知のため
   5. 本サービスの新機能、キャンペーン等のご案内のため
   6. 問い合わせ、要望等への対応のため
   7. 利用状況の分析、統計データの作成及び本サービスの品質向上のため
   8. 法令に基づく対応及び不正利用の防止のため
2. 当社は、エンドユーザー及びセラピスト等に関する個人情報を、利用企業から委託された本サービスの提供の目的の範囲内でのみ取り扱い、当社独自の目的では利用しません。

第5条（第三者提供）

1. 当社は、次の各号のいずれかに該当する場合を除き、あらかじめ本人の同意を得ることなく、個人情報を第三者に提供しません。
   1. 法令に基づく場合
   2. 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
   3. 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
   4. 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
2. エンドユーザーの個人情報の第三者提供の要否及び適否については、管理者である利用企業が判断・対応するものとし、当社は利用企業の指示の範囲内で対応します。

第6条（外部サービスの利用・業務委託・越境移転）

1. 当社は、本サービスの提供にあたり、業務の一部を外部事業者に委託し、又は外部サービスを利用します。この場合、当社は、委託先について必要かつ適切な監督を行います。
2. 当社が利用する主な外部サービス及び委託先は、次のとおりです。
   1. クラウドデータベース基盤：Supabase（Supabase, Inc.）。本サービスの登録データは、当該クラウド基盤上に保存・同期されます。当該サービスのサーバーは日本国外（米国等）に所在する場合があります。
   2. LINE連携に関連する外部サービス及び当社が利用するAI関連のAPI・サーバーレス実行環境（Edge Function等）。
3. 前項第1号のとおり、本サービスの登録データ（エンドユーザーの個人情報を含みます。）は、外国にある第三者が提供するクラウド基盤に保存される場合があり、これは個人情報保護法上の「外国にある第三者への個人データの提供」（越境移転）に該当し得ます。
4. 当社は、越境移転に関して個人情報保護法が求める措置（移転先における個人情報の取扱いに関する適切な体制の確保等）を講じるよう努めます。エンドユーザーからの越境移転に関する同意取得その他の対応は、管理者である利用企業が一次的に行うものとします。
5. 利用企業は、本サービスを利用することにより、登録データが前各項に定める外部サービス上で処理されることをあらかじめ承諾するものとします。

第7条（安全管理措置）

1. 当社は、取り扱う個人情報の漏えい、滅失又は毀損の防止その他の個人情報の安全管理のために、必要かつ適切な措置を講じます。
2. 当社が講じる安全管理措置には、次のものが含まれます。
   1. 組織的安全管理措置：個人情報の取扱いに関する責任者の設置及び取扱状況の把握
   2. 人的安全管理措置：従業者に対する個人情報の適正な取扱いに関する教育
   3. 物理的安全管理措置：個人情報を取り扱う区域の管理及び機器等の管理
   4. 技術的安全管理措置：アクセス制御、通信の暗号化、不正アクセス対策
   5. 外的環境の把握：外国において個人データを取り扱う場合、当該外国の個人情報の保護に関する制度を把握したうえで安全管理措置を講じます。

第8条（保有期間）

1. 当社は、個人情報を利用目的の達成に必要な範囲内で保有し、利用目的を達成した後又は保有の必要がなくなった後は、遅滞なく消去又は廃棄するよう努めます。
2. エンドユーザー等の登録データは、利用企業の利用契約が終了した後、当社が別途定める相当な期間（利用規約の定めに従い、終了日から90日を目安とします。）が経過した後に消去することができます。
3. 前項にかかわらず、法令により保存が義務付けられている情報については、当該法令が定める期間保有します。

第9条（開示・訂正・利用停止等の請求）

1. 当社は、本人から、個人情報保護法に基づく保有個人データの利用目的の通知、開示、内容の訂正・追加・削除、利用の停止・消去又は第三者提供の停止（以下「開示等の請求」といいます。）を求められた場合、法令に従い、遅滞なく対応します。
2. エンドユーザー等（利用企業の顧客・従業者）からの開示等の請求については、管理者である利用企業が一次的に対応するものとします。当社が処理受託者として本人から直接請求を受けた場合、当社は原則として管理者である利用企業に取次ぎ又は連携し、利用企業の指示に従って対応します。
3. 開示等の請求は、第11条に定めるお問い合わせ窓口宛てにご連絡ください。当社は、請求者が本人又はその正当な代理人であることを確認したうえで対応します。
4. 開示等の請求に際しては、法令に定める範囲内で手数料をいただく場合があります。

第10条（Cookie・アクセス解析）

1. 本サービス及び当社のウェブサイトでは、利便性の向上、利用状況の把握及びサービス改善のために、Cookie及びこれに類する技術を利用する場合があります。
2. 当社は、アクセス解析ツールを利用して、利用状況に関する情報を収集する場合があります。これらの情報は、統計的に処理され、個人を特定するものではありません。
3. 利用者は、ブラウザの設定によりCookieの利用を制限又は無効化することができます。ただし、その場合、本サービスの一部の機能が利用できなくなることがあります。

第11条（お問い合わせ窓口）

個人情報の取扱い及び本ポリシーに関するお問い合わせ、並びに開示等の請求は、下記の窓口までご連絡ください。

第12条（本ポリシーの改定）

1. 当社は、法令の改正又は本サービスの内容の変更等に応じて、本ポリシーを改定することがあります。
2. 本ポリシーを改定する場合、当社は、改定後の内容を本サービス上又は当社のウェブサイトに掲示します。重要な変更を行う場合は、あわせて適切な方法により周知します。
3. 改定後の本ポリシーは、当社が定める効力発生日から適用されます。

以上