プライバシーポリシー

運営者について

Sixto は、[登記上の住所]、コロンビア・メデジン に登録された [Sixto の法人名、S.A.S.]（NIT [NIT]）が運営しています（以下「Sixto」「当社」）。当社はコロンビアから、短期賃貸事業者や小規模ホテル向けのソフトウェアを開発しています。

プライバシーに関する連絡先は [email protected] です。以下の権利を行使する際もこの窓口をご利用ください。

当社の役割：管理者と処理者

データの取り扱いを決定する主体が重要なため、二つの状況を区別します。

• 管理者（Responsable del Tratamiento）としての Sixto：当社ウェブサイトの訪問者、問い合わせやデモ予約を行う人、Sixto アカウントを保有・管理する人のデータ（氏名、業務用メールアドレス、役割、請求情報、アプリの利用状況）について。
• 処理者（Encargado del Tratamiento）としての Sixto：顧客（ホテルや賃貸事業者）が自分の宿泊客、従業員、事業について Sixto に入力するデータについて。予約、連絡先、SIRE・TRA 届出用の本人確認書類、支払い、メッセージなどが含まれます。これらのデータの管理者は顧客であり、利用目的と方法を決めます。Sixto はデータ処理に関する追加契約に従い、顧客の文書化された指示に基づいてのみ処理します。

Sixto を利用する事業者の宿泊客は、自分のデータについてまずその事業者へお問い合わせください。当社に連絡があった場合は、依頼を事業者へ転送するか、連絡先をご案内します。

収集するデータ

ウェブサイトでは、「デモを予約」と「お問い合わせ」フォームへの入力内容（氏名、メールアドレス、会社、任意の WhatsApp 番号、物件数と所在地、利用中のツール、見たい内容、メッセージ、言語、流入元ページ）と、アクセスに使用したリンクのキャンペーンパラメーター（utm_source、utm_medium、utm_campaign）を収集します。ホスティングとセキュリティの事業者は IP アドレスやブラウザー情報などの技術的なリクエスト情報も受け取ります。ブラウザーに残る情報はCookie に関する通知をご覧ください。公開ウェブサイトの分析には Cookie を使わない Umami Cloud を利用します。閲覧ページ、参照元、キャンペーン、端末と所在地の一般情報、サイト上の限られた操作（ボタンの選択、言語の切り替え、無料ツールの利用など）を測定します。トラッカーはアプリや宿泊客のチェックインページでは動作せず、フォームの内容や宿泊客の記録を送信しません。ブラウザーは Umami に直接接続します。これとは別に、アプリで誰かが登録を完了すると、当社のサーバーが Umami に匿名の「登録完了」カウントを 1 件送信します。氏名、メールアドレス、アカウントや組織の情報は含まれません。詳しくはCookie に関する通知をご覧ください。ファーストパーティーのページ履歴は、ローカルストレージの sixto-lead-journey に最大 30 日間保存します。内容は公開ページのパス、訪問日時、ページとブラウザーの言語、ブラウザーのタイムゾーン、最初の参照元サイトとキャンペーンです。非公開のアプリページ、URL のクエリ文字列とフラグメント、フォーム内容は含めません。連絡先を送信し、連絡を受けることに同意した場合、Sixto チームが関心事項を理解できるよう、その履歴を見込み客の記録に添付します。同じブラウザーでのその後の公開ページ訪問も、非公開の書き込みトークンを使用して最大 30 日間追加できます。サーバーはこのポリシーに従い、履歴を見込み客の記録とともに保存します。履歴は最初と直近それぞれ 500 回の訪問に制限され、ストレージが消去されたり利用できなかったりすると欠落が生じます。ネットワークの国情報ヘッダーがある場合、物件所在地とは区別し、未検証の概算国として表示します。国籍は推定しません。Global Privacy Control または Do Not Track が有効な場合は、この履歴の共有を防ぎ、ローカルの履歴を消去します。サイトのストレージを消すとブラウザーのトークンが削除され、そのブラウザーから既存の見込み客記録に訪問を追加できなくなります。

アプリ内で当社が管理者となるデータ：アカウント情報（氏名、メールアドレス、役割、言語）、ログインとセキュリティの事象、請求とサブスクリプション情報（カード情報は Stripe が扱い、当社はカード番号全体を保存しません）、サポートの会話、製品へのフィードバック、サービスの運営・保護・改善に必要な利用データと診断データ。

アプリ内で顧客に代わり当社が処理者となるデータ：宿泊客と予約の情報（氏名、連絡先、国籍、旅行日程、希望事項）、事業者が SIRE、TRA またはチェックインに使用する本人確認書類の情報と画像、宿泊客とのメッセージ、支払と請求書の記録、スマートロックのアクセス情報（AI 処理ではドアコードをマスク）、チームメンバーの記録。収集するデータは事業者が決定します。

利用目的と法的根拠

管理者として、当社は個人データを次の目的で使用します。問い合わせへの回答とデモの準備（当社の正当な利益と利用者の依頼）、アカウントの作成・運営とサービスの提供（契約の履行）、請求と税務上の義務の履行（契約と法的義務）、Sixto の保護、不正利用の防止と問題の解決（正当な利益と法的義務）、集計済みまたは限定的な利用情報に基づく製品改善（正当な利益）。コロンビア法で承認（Autorización）が必要な場合は、事前に明示的かつ十分な説明のうえ取得します。

処理者として、当社は顧客へのサービス提供とその指示に従うためにのみ顧客データを使用します。個人データの販売、広告への利用、顧客データによる AI モデルの学習は行いません。

欧州連合または英国にいる場合、上記の法的根拠は GDPR 第 6 条の契約、正当な利益、法的義務、同意に対応します。

AI 処理と機微情報の削除

Sixto の一部機能では、返信案の作成、メッセージの分類、書類の読み取りなどに AI 事業者を利用します。リクエストは Sixto のゲートウェイを経由し、ドアコード、機密として示された情報、本人確認書類番号などを先に削除してから事業者に届きます。宿泊客の本人確認書類を AI が読み取るのは、チェックイン手続きで宿泊客が明示的に同意した後だけです。画像と読み取り結果はゲートウェイで記録・保存されません。

当社は顧客データを AI モデルの学習に使用せず、AI 事業者にも学習への使用を禁じる契約を結びます。AI の出力は提案であり、事業者が送信または利用する前に確認します。顧客は API キーで独自の AI エージェントを接続できますが、エージェントは顧客が許可した権限だけを得ます。

共有と再委託先

個人データは Sixto の運営に必要な範囲でのみ共有します。当社のために処理する事業者（ホスティング、メール配信、AI、決済、エラー監視、サポートツール）、顧客が選んで接続する連携先（チャネルマネージャー、施設管理システム、スマートロック、電子請求書事業者など）、法律で求められる場合の当局、合併などの事業譲渡先が対象です。事業譲渡の際は通知します。

再委託先には、機密保持、安全対策、当社の指示に限った利用を義務付ける書面契約が適用されます。利用する分類は再委託先ページに記載し、現在の事業者名の一覧は [email protected] へのお問い合わせにより提供します。

サポート担当者は顧客の同意がある場合に限り、そのアカウントにアクセスできます。既定では読み取り専用であり、監査ログに記録されます。

国際移転

Sixto と一部の事業者は、米国を含むコロンビア国外でデータを処理します。個人データを国際移転する際は、コロンビア法が認める方法と Superintendencia de Industria y Comercio（SIC）の基準・保護措置に従い、GDPR 対象データには標準契約条項などの適切な保護措置を用います。事業者には、少なくともコロンビアで適用される水準のデータ保護を義務付けます。

保存期間

データは収集目的に必要な期間だけ保持し、その後削除または匿名化します。ウェブサイトのフォーム送信内容は Sixto についてやり取りしている間保持し、依頼があった場合や不要になった場合に削除します。アカウントと請求の記録はアカウントの有効期間中と、その後の税務・会計上の法定期間保持します。

事業者に代わって処理する顧客データは、アカウントが有効な間保持します。契約終了後 30 日間エクスポート可能とし、その後は稼働中のシステムから削除し、バックアップからは保存期限に従って削除します。事業者は法的義務に従い、宿泊客データについて独自の保存方針を定め、アプリ内で記録を削除できます。

セキュリティ

当社は、転送中の暗号化、顧客アカウント間の厳格な分離、ロールに基づく権限、監査ログ、連携の秘密情報を保管する金庫、同意に基づく限定的なサポートアクセスによって個人データを保護します。完全に安全なシステムはありません。個人データに影響するセキュリティ事故が起きた場合は、影響を受ける顧客と、法律で求められるときは当局へ、不当に遅らせず通知します。セキュリティページもご覧ください。

Titular としての権利

Ley 1581 de 2012 に基づき、次の権利があります。

• 当社が保持する自分の個人データと、その利用方法を知ること（conocer）。
• データを更新すること（actualizar）。
• 不正確、不完全、誤解を招くデータを訂正すること（rectificar）。
• 法律上不要な場合を除き、自分が与えた Autorización の証拠を求めること。
• データの利用方法について説明を受けること。
• 処理が法律に従っていない場合、法律上または契約上の保存義務に従うことを条件に、データの削除（suprimir）と Autorización の撤回を求めること。
• 無料で自分のデータにアクセスすること。
• 当社へ先に問い合わせた後、Superintendencia de Industria y Comercio（SIC）へ苦情を申し立てること（Habeas Data）。

GDPR または同様の法律が適用される場合は、持ち運び可能な形式でのデータの写しを求め、一定の処理への異議申し立てや制限の請求もできます。

権利を行使するには、データに紐づくメールアドレスから [email protected] に希望内容を記して連絡してください。本人確認をお願いする場合があります。事業者の宿泊客からの請求は、責任を負う事業者へ転送します。

照会（consultas）には 10 営業日以内に回答します。さらに時間が必要な場合は理由と新しい期限を伝えますが、延長は最大 5 営業日です。更新、訂正、削除、撤回の請求（reclamos）には 15 営業日以内に回答し、理由を示したうえで最大 8 営業日、1 回だけ延長できます。請求に不足があれば、5 日以内に補完するようお願いします。

Sixto へのサインインに使うアカウントを削除するには、アカウントを削除する を開いてください。確認リンクをメールで送り、確認から 7 日後に、それまでに取り消されなければアカウントを削除します。氏名、メール、パスワード、Google と Apple によるサインイン、写真、個人設定を削除し、セッションを終了し、アプリのサインイン、接続済みエージェント、API キーを無効にし、すべての組織へのアクセスを取り除きます。組織のために作成した記録（タスク、コメント、メッセージ、予約、請求書、支払い、行政への届出、勤怠や給与の記録など）は、「削除されたユーザー」という名前でその組織に残り、組織に適用される法律に従って組織が保存する期間、保持されます。削除の証拠として、依頼の参照番号、その日付、監査記録を、メールアドレスを含めずに残します。組織のメンバーがあなただけの場合、アカウントを削除するとその組織も閉鎖されます。組織の記録は保持されます。事業者が Sixto に保存する宿泊者データは削除しません。

子ども

Sixto は事業用ツールであり、子どもを対象としていません。ウェブサイトを通じて、または当社自身の目的で、子どものデータを認識したうえで収集することはありません。事業者は法定の届出のため、大人の宿泊客と同行する未成年者を記録する必要がある場合があります。その際、事業者は管理者として、法律で求められる場合は親または法定代理人の承認を得て処理し、当社は事業者のためにのみそのデータを扱います。

このポリシーの変更

変更はこのページに掲載し、発効日を更新します。顧客に影響する重要な変更は、発効前にメールまたはアプリ内で通知します。

お問い合わせ

個人データに関する質問、請求、苦情：[email protected]。郵送先：[Sixto の法人名、S.A.S.]、[登記上の住所]、コロンビア・メデジン。上記の期限内に回答します。Superintendencia de Industria y Comercio（www.sic.gov.co）にもいつでも連絡できます。

バーチャルプレゼンターのデモ

動画デモを開始する場合、Tavus と Daily は会話を行うために共有されたマイク音声とテキストを処理します。代わりに OpenAI Realtime を選ぶと、OpenAI がマイク音声と会話テキストを処理し、音声のみの会話を提供します。どちらの事業者でもカメラはオフのままです。Tavus は会話記録を保存する場合があります。宿泊客の書類、パスワード、支払情報を共有しないでください。

連絡を受けるためのチェックボックスは、会話の開始とは別です。チェックを入れて連絡先カードを送信した場合にのみ、氏名、メールアドレス、または WhatsApp 番号を後日の連絡のために保存します。セッション中に同意を撤回できます。セッションの下書きは期限切れ後に消去され、連絡依頼にはここで説明した保存方針と権利が適用されます。アクセスや削除を求める場合は [email protected] へご連絡ください。