プライバシーポリシー
ばんけん（イベント整理券・抽選・入場管理システム）における個人情報の取り扱いについて説明します。｜最終改定：2026年9月26日
基本方針
株式会社Nobody（以下「当社」といいます。）は、ばんけんの提供にあたって取り扱う個人情報を、「当社が取得する情報」と「主催者から委託を受けて取り扱う来場者の情報」に分けて取り扱います。
本ポリシーは、主にばんけんをご契約いただく主催者（登録ユーザー）に向けて、当社の取扱いを説明する文書です。来場者の方の個人情報を取得し、利用目的を定めるのは各イベントの主催者であり、当社はその取扱いの委託を受ける立場です。そのため当社は、来場者の方に本ポリシーへの同意を求めることはありません。来場者の方によるばんけんのご利用条件は来場者向け利用規約に定めています。
当社が取得する情報と利用目的
主催者から委託を受けて取り扱う来場者の情報
来場者が申込画面・発券画面で入力する情報（フリガナ・氏名、メールアドレス、電話番号、人数、追加の入力項目など）と、整理券・抽選の結果・入場の記録は、各イベントの主催者が取得するものです。当社は主催者から取扱いの委託を受け、主催者のイベントの受付、当落・呼び出しのご連絡、整理券の発行、入場の管理と、そのために必要な保守・障害対応・不正利用の防止の範囲でのみ取り扱い、サービスの改善、営業、広告その他の当社独自の目的には利用しません。
本章は、当社の取扱いの実態をお知らせするものであり、来場者の方から同意をいただく対象ではありません。利用目的の詳細、開示・訂正・削除等のご請求は、各主催者のプライバシーポリシーまたは募集要項をご確認のうえ、主催者にお問い合わせください。当社は主催者の指示に基づいて、データの削除等に対応します。
当社は、来場者の方の行動を追跡しません。来場者向けの画面にアクセス解析、広告、その他の追跡技術は導入しておらず、Cookie による識別も行いません。IPアドレスは、受付の集中や不正な連続送信を防ぐため、サーバーのメモリ上で短時間（数分程度）だけ参照し、当社のデータベースには保存しません。ただし、主催者がSMS電話番号認証を設定したイベントでは、SMSの連続送信を防ぐため、IPアドレスから作った元に戻せない値（ハッシュ）を送信の記録とともに7日間保存し、確認済みであることを示す値を来場者の端末のCookieに最長30分保存します。いずれも発券の手続きのためだけに使い、来場者の識別や追跡には使いません。なお、アプリケーションの実行環境およびデータベースの基盤事業者（Vercel、Supabase）のアクセスログには、障害対応と不正利用の防止のため、IPアドレスを含む通信の記録が各社の定める期間保存されます。
保存期間と削除
来場者の情報は、主催者がイベントの記録として利用されることを前提に、当社が期間の経過のみを理由に自動的に削除することはありません。料金プランごとの「データ保持期間」は、管理画面での閲覧・集計・CSV出力の範囲を制限するものであり、期間の経過によってデータが消去されることを意味するものではありません。
管理画面の「ルームの削除」を実行すると、そのルームで取得した来場者の情報を削除します。整理券および抽選申込の氏名・メールアドレス・電話番号・追加の入力項目、入場の記録、ルームの設定と操作履歴が対象です。削除は取り消せず、当社からの復旧もできません。
ルーム単位の削除は、上記のとおり主催者ご自身が管理画面から実行できます。アカウント全体の削除や、特定の来場者の情報のみの削除など、管理画面で行えない範囲については、主催者からのご依頼に基づいて当社が実施します。また、ご契約の終了、アカウントの削除、法令上の要請、セキュリティ上の必要が生じた場合、当社は利用データを削除または匿名化することがあります。
来場者の方からのご連絡
外部サービスの利用（委託先・国外への移転）
当社は、次の事業者に対し、必要な範囲で情報の取扱いを委託します。いずれも当社と個人情報の取扱いに関する契約（DPA）を締結し、委託した目的の範囲を超えて取り扱わないことを定めています。
- Supabase, Inc.（米国／データの保管・認証。保管先のサーバーは東京リージョン）
- Vercel, Inc.（米国／アプリケーションの実行。処理のみで保存しません）
- Resend（米国／メールの配信。宛先のメールアドレスと本文を取り扱います。送信の受付と配信の記録は米国で保存され、メールの送出は東京リージョンから行います）
- Stripe, Inc.（米国／主催者のご利用料金の決済。来場者の情報は送りません）
- Twilio Inc.（米国／SMS電話番号認証の確認コードの送信。主催者がこの機能を設定したイベントに限り、来場者が入力した携帯電話の番号を取り扱います。送信の記録は米国で保存されます）
これらはいずれも外国（米国）にある事業者が提供するサービスです。当社は、各社への情報の取扱いの委託が、個人情報保護法第28条の「外国にある第三者への提供」に該当しうるものとして取り扱っています。
当社は、各社との契約（DPA）により、委託した目的の範囲を超えた取扱いの禁止、安全管理措置および再委託先の管理等を定めています。また、各社が第三者認証（SOC 2 Type II 等）を取得していることを各社の公表資料で確認しており、少なくとも年1回見直します。ただし、各社が APEC の越境プライバシールール（CBPR）の認証を受けていること、または各社との契約が個人情報保護委員会規則で定める基準に適合することについて、当社は法的な評価を経た確認を行っていません。
主催者が来場者の方の同意を得るなどのために、移転先の国名、事業者の名称、保管場所その他の情報を必要とする場合は、当社から提供いたします。また、主催者のご要望に応じ、委託契約（覚書）において移転先と再委託の範囲を明記いたします。
このほか、サイトの画像の配信に Cloudinary（米国）を利用しています。同社には個人情報を送信しませんが、画像の取得に伴い、閲覧者の IP アドレス等の通信情報が同社に届きます。