GDPR への準拠

BankStatementLabは、一般データ保護規則（EU）2016/679の遵守に全面的に取り組んでいます。非常に機密性の高い金融文書である銀行明細書を処理するサービスとして、当社は最高水準のデータ保護を自らに課しています。 当社は、ユーザー（データ管理者）に代わるデータ処理者として機能します。文書を構造化形式（Excel、CSV、OFX）に変換し、サービスを保護・サポートし、法的義務を果たすために処理します。金融データをプロファイリングしたり、広告やサービスと無関係な目的に使用したりすることはありません。 ソースPDFは処理後に削除されます。ただし、ログインユーザーによる複数表の抽出では、品質確認のため最長7日間保存される場合があります。 保存対象のPDFにアクセスできるのは、権限を付与された管理者のみです。ユーザーがダウンロードすることも、公開API経由でダウンロードすることもできません。

当社はデータ最小化の原則に従い、サービス提供に厳密に必要な情報のみを取り扱います。 • アカウント情報：メールアドレス、ハッシュ化されたパスワード、言語設定 • 請求データ：Stripeが完全に管理し、当社はクレジットカード番号を保存しません • ソースPDFは処理後に削除されます。ただし、ログインユーザーによる複数表の抽出では、品質確認のため最長7日間保存される場合があります。 • 抽出結果：構造化取引データ（列、金額、日付）は、削除するか、設定した自動削除期間が適用されるまで保持されます • PDFスプリッターセッション：アカウントにリンクされた仮名化済みの技術状態（ファイル数、ページ数、分割ポイント、結果、所要時間）を、ツールの診断と改善のために365日以内の範囲で保持します。この履歴にPDFの内容、ファイル名、サムネイル、テキストは保存されません • 技術ログ：セキュリティ、診断、サービス改善に使用する最小限の利用指標です。アカウントに関連付けられている場合、匿名データとは表現しません 追跡目的のIPアドレス、閲覧履歴、デバイスフィンガープリント、または上記以外のデータは収集しません。

銀行取引明細書PDFをアップロードすると、次の処理が行われます。 1. ファイルは暗号化されたTLS 1.3接続経由でアップロードされます 2. ソースPDFは処理後に削除されます。ただし、ログインユーザーによる複数表の抽出では、品質確認のため最長7日間保存される場合があります。 3. AI抽出エンジンがデータを読み取り、構造化します 4. 構造化データ（取引、列）がアカウントに保存されます 5. 保存対象のPDFにアクセスできるのは、権限を付与された管理者のみです。ユーザーがダウンロードすることも、公開API経由でダウンロードすることもできません。 通常、このプロセス全体には数秒かかります。 ゲストユーザー（アカウントなし）の抽出結果と関連データは、作成から24時間後に削除されます。

データを保護するために、複数のセキュリティ層を実装しています。 • トランスポート暗号化: ブラウザとサーバー間のすべての通信には、最新の暗号化標準である TLS 1.3 が使用されます。 • パスワードのセキュリティ: すべてのパスワードは、bcrypt とソルトを使用してハッシュ化されます。パスワードをプレーン テキストで保存することはありません。 • 安全な認証: 安全な httpOnly Cookie を使用した JWT ベースの認証 • アクセス制御: 厳密な役割ベースのアクセスにより、運用サポート、セキュリティ、または法的義務が必要な場合に、抽出アクセスをお客様と権限のある担当者に制限します。 • インフラストラクチャ セキュリティ: 当社のサーバーは自動セキュリティ アップデートを備えた強化された環境で実行されます。 • 依存関係の監視: すべてのソフトウェアの依存関係を定期的に監査し、更新します。

保持ルールが定められているデータの削除は、自動かつ体系的に実行されます。 • ソースPDFは処理後に削除されます。ただし、ログインユーザーによる複数表の抽出では、品質確認のため最長7日間保存される場合があります。 • 一時処理ファイル（分割ページ）：処理完了後に自動で消去されます • ゲスト抽出：作成から24時間後に完全に削除されます • 登録ユーザーの抽出：利用者が削除したとき、または1～30日の自動削除ルールが適用されたときに、関連する取引データを含め完全に削除されます 自動クリーンアップは毎日実行され、各ユーザーの保存設定を適用します。各実行は記録・監視されます。

登録ユーザーはデータ保持を管理できます。 • 自動削除オフ（初期設定）：抽出結果は手動で削除するまで保持されます • 自動削除オン：1～30日の保持期間を選択します（有効化時の初期値は14日）。選択期間を過ぎた抽出は自動的かつ完全に削除されます • PDF分割の技術セッション：作成から365日以内、またはアカウント閉鎖時に自動削除されます プロフィール設定からいつでも保持ポリシーを変更できます。保持期間を短縮した場合、新しい期間を超えた抽出は次回の日次クリーンアップで削除されます。 請求書はフランスの税法に基づき7年間保持します。アカウント閉鎖後はアクセスが無効化されます。消去権の行使はサポートへご連絡ください。

GDPRに基づき、次の権利があります。 • アクセス権（第15条）：当社が保持するデータの写しを請求できます • 訂正権（第16条）：不正確な個人データを訂正できます • 消去権（第17条）：個人データの消去を請求できます。セルフサービスのアカウント閉鎖ではアクセスが無効化され、下記の運用上の削除処理が実行されます • 処理制限権（第18条）：データ処理の制限を請求できます • データポータビリティ権（第20条）：抽出データを標準形式（Excel、CSV、OFX）で書き出せます • 異議申立権（第21条）：データ処理に異議を申し立てられます 権利を行使するにはsupport@bankstatementlab.comへご連絡ください。GDPRに従い30日以内に回答します。

BankStatementLabの運営には、限定された技術サービスが使用されます。各サービスは選定のうえ、契約上のデータ保護義務が適用されます。 • ホスティング、データベース、決済、トランザクションメール、カスタマーサポート • 依頼された変換の実行にのみ使用される自動AI抽出 • 同意に基づくウェブサイト分析および広告コンバージョン計測 各処理は明示された目的に限定されます。EU域外で処理が行われる場合は、適切な移転保護措置が適用されます。現在のサービス、目的、所在地は技術サービスページで公開しています。

万が一、データ侵害が発生した場合、当社は次のことを約束します。 • GDPR 33 条の要求に従って、違反を認識してから 72 時間以内に関連する監督当局 (フランスの CNIL) に通知する。 • 侵害によりユーザーの権利と自由に対する高いリスクが生じる可能性がある場合は、不当な遅滞なく影響を受けるユーザーに通知する (34 条) • すべての侵害、その影響、および講じられた是正措置を文書化する 当社はインシデント対応手順を維持し、違反を防ぐためにシステムを定期的にテストします。現在までのところ、データ侵害は発生していません。

プロフィールからアカウントを閉鎖すると、次の処理が行われます。 • アカウントへのアクセスが無効化され、アカウント記録が削除済みとしてマークされます • 有効なAPIキーが失効し、APIリクエストログが削除されます • 保存されたOFX銀行識別情報とPDF分割の技術セッションが削除されます • サポートへのファイル送信情報が匿名化され、アップロード済みファイルが削除されます セルフサービスのアカウント閉鎖は、すべてのアカウント記録や抽出記録の即時物理削除を意味するものではありません。GDPR第17条に基づく別途の消去請求はsupport@bankstatementlab.comへご連絡ください。

GDPR第28条に基づく正式なデータ処理契約（DPA）が必要な法人顧客には、リクエストに応じて標準DPAを提供します。 当社のDPAには以下が含まれます。 • 処理の性質と目的 • 処理される個人データの種類 • データ主体のカテゴリ • 技術サービスに適用される契約上の義務 • データセキュリティ対策 • データ侵害時の通知手順 • 契約終了時のデータ削除 DPAのリクエストはsupport@bankstatementlab.comまでご連絡ください。

当社のデータ保護慣行、GDPR コンプライアンス、またはお客様の権利の行使に関するご質問については、次のとおりです。 • 電子メール: support@bankstatementlab.com • お問い合わせフォーム: お問い合わせページからご利用いただけます。 当社は、プライバシー関連のすべてのお問い合わせに 30 日以内に回答するよう努めています。データ セキュリティに関する緊急の問題については、24 時間以内に対応することを目指しています。 データ保護の権利が侵害されていると思われる場合は、地元の監督当局に苦情を申し立てる権利もあります。フランスでは、これは CNIL (Commission Nationale de l'Informatique et des Libertés) です。