はじめにと適用範囲
透明性への取り組みと法的枠組み
Navo（法人登記手続き中。以下「Navo」または「当社」）は、法人顧客、そのドライバー、および乗客のデータのプライバシーとセキュリティを非常に重視しています。
本ポリシーは、ウェブサイト navo.so、アプリケーション app.navo.so、その API および関連するすべてのサービスに適用されます。以下に基づき、データの収集、処理、保存、保護の方法をご説明します。
- 一般データ保護規則（2016年4月27日付 GDPR 第2016/679号）
- 改正後の情報処理・ファイル・自由に関する1978年1月6日付フランス法第78‑17号
データ管理者と処理の委託
GDPR 第28条：誰が何に責任を負うか
データ管理者としての Navo
取引関係に関するデータ：運送事業者のアカウント、Navo サブスクリプションの請求、デモのお申し込み、サポート、プラットフォームのセキュリティ。
技術的処理者としての Navo
お客様（タクシー、ハイヤー、救急搬送、バス事業者）が Navo 上で自社のドライバー、委託元、乗客のデータを管理する場合、データ管理者は引き続きお客様のみです。Navo は文書化された指示に従って処理を行います。
契約上の処理委託に関する約束（DPA）
Navo は、処理が GDPR を遵守し、データ主体の権利を保護するよう、適切な技術的・組織的措置を講じています。
収集するデータと目的
データ最小化の原則（GDPR 第5条1項c）
Navo は、以下の目的に必要なデータのみを収集します。
| 区分 | 対象データ | 目的 |
|---|---|---|
| 本人確認とログイン | 氏名、業務用メールアドレス、電話番号、暗号化されたパスワード、役割（管理者、配車担当、ドライバー）。 | Cloud‑IAM による安全なアクセス、多要素認証、権限管理。 |
| 運行業務 | お迎え先・降車先の住所、日時、ステータス、メモ、車種。 | スケジュール、配車、運行票、業務履歴。 |
| ドライバーの位置情報 | ドライバーのスマートフォンから送信される GPS 位置情報（業務中のみ）。 | 最寄りの運行の割り当て、到着予定時刻の算出、業務の安全確保。 |
| 請求と CPAM | 事業者番号（SIRET）、付加価値税、医療モジュール用の CPAM 電子請求票（処方番号、加入保険金庫）。 | 法令に準拠した請求書（電子請求書）、CPAM 電子請求、入金管理。 |
| 閲覧とサポート | 接続ログ、匿名化した IP アドレス、サポートやデモ申込フォームへのメッセージ。 | 基盤のセキュリティ、不正侵入の検知、サポートと取引関係。 |
処理の法的根拠
GDPR 第6条
契約の履行
プラットフォームの提供、アカウント管理、配車、サポート。
法的義務
会計・税務上の義務、請求書の保管、運送関連の規制。
正当な利益
サーバーのセキュリティ、不正防止、技術的な最適化と監視。
同意
マーケティング連絡や必須でない Cookie については同意を取得します。
ホスティング、データ主権、再委託先
アプリケーションの中核はフランス国内
Navo は、欧州連合外への管理されていないデータ移転を避けるため、厳格なデータ主権の方針を適用しています。
アプリケーションとデータベース（app.navo.so）
フランス本土運行、請求、運送に関するデータは、Navo がフランス国内の自社サーバーでホスティング・運用しており、データベースを第三者のマネージドホスティングに委託していません。
認証（Cloud‑IAM）
フランス国内のレルムセッションとパスワードは、フランスのリージョンに展開された Cloud‑IAM（Keycloak Enterprise）で管理しており、ANSSI および GDPR の要件に準拠しています。
ウェブサイト（navo.so）
Cloudflare · 米国／EU静的ウェブサイト navo.so は、高速表示と DDoS 対策のため Cloudflare Pages で配信しています。
データの販売は一切行いません
Navo は、契約上も含め、お客様、そのドライバー、乗客のデータを販売、貸与、交換、収益化しないことを約束します。
保存期間
業務上および法律上必要な期間に限定
ユーザーアカウントと業務データ：契約期間中保存し、その後3年間、証拠目的で保管します。
会計データと請求書：フランス商法典 L.123‑22 条および一般租税法典に基づきます。
生の位置情報：リアルタイムの位置は運行終了時に上書きされ、履歴は事業者の設定に従って削除または匿名化されます。
見込み顧客とデモのお申し込み：見込み顧客からの最後の連絡日から起算します。
データのセキュリティと完全性
技術的・組織的措置（GDPR 第32条）
暗号化
ウェブおよびモバイルの通信は TLS 1.3。データベースは AES‑256 で保存時に暗号化。
アクセス制御（RBAC）
顧客間の厳格な分離、きめ細かな役割と権限、ハッシュ化されたパスワード（Argon2 / Bcrypt）。
バックアップ
毎日、暗号化し、フランス国内の地理的に離れたボリュームに複製。
監査とログ
管理者アクセスの追跡、継続的な監視、ウェブアプリケーションファイアウォール（WAF）。
お客様の権利と救済手段
GDPR 第15条〜第22条
開示
処理の確認とデータの写しを取得できます。
訂正
不正確または不完全なデータを訂正できます。
削除
データの完全な削除を請求できます。
処理の制限
法律で定める場合に、処理を一時的に停止できます。
データポータビリティ
構造化された機械可読形式でデータを受け取れます。
異議
正当な理由により、データの処理に異議を申し立てられます。
これらの権利を行使するには、contact@navo.so までご連絡ください。
当社へご連絡のうえ、なお権利が尊重されていないとお考えの場合は、CNIL（フランスのデータ保護当局）に苦情を申し立てることができます：cnil.fr、または郵送で CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France。
Cookie とトラッカー
必要最小限のみ
- 必須の Cookie：
app.navo.soのセッション維持、CSRF 対策、Cloudflare CDN による配信。 - 広告トラッカーなし：事前の同意なく第三者の広告ピクセルを使用することはありません。
お問い合わせとデータ保護責任者
データに関する窓口
本ポリシー、セキュリティに関するご質問、または権利の行使については、以下までご連絡ください。