本ポリシーは、www.car-rentals.ro のウェブサイトの運営者であるS.C. GLOBAL REFERENCE SRLが、お客様がウェブサイトを利用し、予約を送信し、予約を照会またはキャンセルし、あるいはお問い合わせフォームやサポートフォームから当社に連絡する際に、規則（EU）2016/679（GDPR）および適用されるルーマニアの法令に従って、お客様の個人データをどのように処理するかを説明するものです。
1. データ管理者
本ウェブサイトを通じて処理されるデータの管理者は、S.C. GLOBAL REFERENCE SRL（納税者番号（CUI）37309820、商業登記番号 J40/4430/2017、電子メール office@globalreference.ro）（以下「当社」）です。当社はデータ保護責任者（DPO）を任命していません。お客様のデータに関するご質問は、上記の電子メールアドレスまでお寄せください。
予約を引き受け、お客様とレンタル契約を締結するレンタカー会社（当社の利用規約に定義する貸主）は、当社から受け取ったデータと、車両の受け取り時にお客様から提供されたデータを、自らのプライバシーポリシーに従い、独立した管理者として処理します（第5節参照）。
2. 定義
- 個人データ – 識別された、または識別可能な自然人に関するあらゆる情報（たとえば氏名、電子メールアドレス、電話番号）。
- 処理 – データに対して行われるあらゆる操作（収集、記録、保存、参照、送信、消去など）。
- 管理者 – 処理の目的と手段を決定する者。
- 処理者 – 管理者に代わってデータを処理する事業者（たとえばホスティング事業者）。
3. 処理するデータ
3.1. 予約を送信するとき：主たる運転者の名と姓、電子メールアドレス、携帯電話番号（国番号付き）、国、便名（任意）およびお客様の備考（任意）。予約の詳細：受け取りおよび返却の場所、日付と時刻、選択した車両、補償と追加オプション、運転者の年齢（料金計算のために入力した場合）、合計金額、貸主から通知された保証金と免責額、ウェブサイトの言語、予約番号とその状態（確定、リクエスト中、キャンセル済み）。お客様が利用規約に同意した時刻と、表示された文書の版。
3.2. 訪問元（アトリビューション）：Cookieへの同意がない場合、当社が記録するのは、お客様が最初にアクセスしたウェブサイトのページのみです。分析用またはマーケティング用のCookieに同意した場合は、訪問元（UTMキャンペーンパラメーター、ランディングページ、お客様がアクセスしてきたウェブサイトのドメイン、言語）も予約とともに記録します。広告クリック識別子（たとえばgclid、msclkid、fbclid）は、マーケティング用Cookieにも同意した場合に限り記録します。
3.3. 予約を照会またはキャンセルするとき：お客様を識別するために使用する予約番号と電子メールアドレス。キャンセルの場合は、お客様が記入した理由も予約とともに保存します。
3.4. お問い合わせフォームまたはサポートフォームから連絡するとき：名と姓、電子メールアドレス、電話番号、依頼の種類、お客様のメッセージ、言語および送信元のページ。
3.5. 技術データ：当社は、予約やメッセージとともにお客様のIPアドレスを保存しません。IPアドレスは、リクエスト数を制限し不正利用を防ぐために一時的に（最長1時間）のみ使用します。ホスティングサーバーは、セキュリティのために標準的な技術ログ（IPアドレス、日付、アクセスしたページ、ブラウザの種類）を保存することがありますが、それはウェブサイトのセキュリティと技術的な問題の診断に必要な期間に限られ、その後はホスティング事業者により自動的に削除されます。検索に関する統計（場所、日付、期間、結果の件数）には、お客様を識別するデータは含まれません。
3.6. 分析データ（お客様の同意がある場合のみ）：分析用Cookieに同意した場合、Google Analytics（Google Tag Managerを通じて）が、仮名化されたオンライン識別子（Cookie）、閲覧したページ、デバイスとブラウザに関する情報、GoogleがIPアドレスから推定するおおよその位置情報、および予約プロセスのイベント（たとえば検索、車両の選択、予約の送信とその金額）を収集します。当社は、お客様の氏名、電子メールアドレスまたは電話番号をGoogleに送信しません。
3.7. 当社は、お客様の銀行カード情報を求めることも処理することもありません。ウェブサイト上で支払いは一切行われません。当社は、特別な種類のデータ（たとえば健康に関するデータ）を処理しません。
3.8. 第3.1項のデータの提供は、予約の送信に必要です。これがなければ、貸主は予約を確定することも、お客様に連絡することもできません。フォームのデータは、当社がお客様に回答するために必要です。
4. 処理の目的と法的根拠
4.1. 予約の仲介 – 予約の貸主への送信、予約の確定、予約に関する電子メール、オンラインでの予約の照会とキャンセル、発生した問題の解決。法的根拠：当社とお客様との間の仲介契約（利用規約）の締結と履行、およびレンタル契約の締結前にお客様の求めに応じて行う措置（GDPR第6条第1項(b)）。
4.2. お客様のメッセージへの回答 – お問い合わせフォームとサポートフォームから送信されたメッセージへの回答（レンタルに関するものである場合の貸主への転送を含みます）。法的根拠：受け取った依頼に回答するという当社の正当な利益（GDPR第6条第1項(f)）、またはメッセージが予約に関するものである場合は契約の履行（同項(b)）。
4.3. 本規約への同意の証明、および苦情または紛争の際の当社の権利の防御。法的根拠：正当な利益（GDPR第6条第1項(f)）。
4.4. ウェブサイトのセキュリティと不正利用（たとえば自動化された予約やメッセージ）の防止。法的根拠：正当な利益（GDPR第6条第1項(f)）。
4.5. 法的義務の遵守（たとえば会計上の義務や当局からの要請）。法的根拠：法的義務（GDPR第6条第1項(c)）。
4.6. 利用状況の統計とキャンペーンの効果測定（Google Analytics、訪問元）。法的根拠：Cookieバナーを通じて与えられるお客様の同意（GDPR第6条第1項(a)およびルーマニア法律第506/2004号）。
4.7. 当社は、予約やフォームのデータをマーケティングメッセージの送信に使用せず、お客様に法的効果を生じさせる、自動化された処理のみに基づく決定も行いません。
5. データの提供先
5.1. 貸主 – S.C. AUTOREVOLUTION SRL（ExpediCAR）、ブカレスト第2区ヨハン・シュトラウス通り2番地（Str. Johann Strauss nr. 2, Sector 2, București）、電子メール office@expedicar.ro。予約を自社の予約システムに登録し、確定し、お客様とレンタル契約を締結し、その履行について責任を負うレンタカー会社です。貸主は、第3.1項のデータと、レンタルに関するものである場合はサポートフォームから送信された依頼を受け取ります。貸主はこれらを、expedicar.roに掲載された自らのプライバシーポリシーに従い、独立した管理者として処理します。
5.2. 処理者 – 契約に基づき、当社の指示に従ってのみ当社にサービスを提供する事業者：ウェブサイトのホスティングおよび電子メールの事業者、ウェブサイトを保守するITサービス事業者、そして分析用Cookieに同意した場合に限りGoogle（Google AnalyticsおよびGoogle Tag Manager）。
5.3. 公的機関、裁判所、専門家（たとえば会計士や弁護士） – 法律により義務付けられる場合、または当社の権利を防御するため。
5.4. 当社は、お客様のデータを販売または貸与しません。
6. 欧州経済領域外への移転
お客様の同意がある場合に限りGoogle Analyticsを通じて収集されるデータは、アメリカ合衆国のGoogle LLCに移転されることがあります。この移転は、Google LLCが参加しているEU-米国データプライバシーフレームワーク（Data Privacy Framework）に関する欧州委員会の決定と、標準契約条項に基づいて行われます。他の事業者が欧州経済領域外でデータを処理することとなった場合、当社は適切な保護措置（十分性認定または標準契約条項）が講じられていることを確保します。
7. データの保存期間
- 予約：連絡先（氏名、電子メール、電話）、便名、備考、キャンセルの理由およびアトリビューションデータは、車両の返却日から730日後に自動的に削除されます。状態を確認できなかった予約については、さらに30日後に削除されます。削除後は、仲介した予約の記録と統計のため、お客様の連絡先を含まない仮名化された予約データ（参照番号、場所、日付、車両、合計金額、国および運転者の年齢）のみを、これらの目的に必要な期間保存します。
- 予約に関する社内通知（予約を担当するチームが受け取る、予約の詳細と連絡先（キャンセルの理由を含みます）が記載された電子メール）は、予約と苦情への対応に必要な期間に限り、チームのメールボックスに保存されます。
- フォームのメッセージ：180日後にウェブサイトのデータベースから自動的に削除されます。回答を担当するチームが電子メールで受け取った写しは、依頼の解決に必要な期間に限り保存されます。
- 完了しなかった見積もり（連絡先を含まないもの）は7日後に、匿名の検索統計は400日後に削除されます。
- アプリケーションの技術ログ（お客様の連絡先を含まないよう設計されています）は30日間保存されます。
- Cookieと分析データ：Cookieポリシーに記載のとおりです。Google Analyticsのユーザー単位およびイベント単位のデータは最長14か月間保存され、その後はお客様を識別しない集計レポートのみが残ります。
- 法律により保存が義務付けられている文書は、法律に定める期間保存されます。
8. データの保護
ウェブサイトは暗号化された接続（HTTPS）を使用しています。予約とメッセージのデータへのアクセスは、個人アカウントとパスワードを持つ権限のある者に限られ、重要な操作（エクスポート、キャンセル、削除）にはパスワードの再確認が必要で、その操作は記録されます。当社は、上記の目的に必要なデータのみを収集します。ただし、完全に安全なシステムは存在しません。セキュリティ上の問題に気づいた場合は、当社にお知らせください。
9. お客様の権利
GDPRに定める条件のもとで、お客様には次の権利があります。
- アクセス権 – 当社がお客様に関するデータを処理しているかどうかを知り、その写しを受け取る権利
- 訂正権 – 不正確または不完全なデータを訂正する権利
- 消去権（「忘れられる権利」） – 法律に定める場合
- 処理の制限を求める権利
- 当社の正当な利益に基づく処理に対する異議を述べる権利
- お客様が当社に提供したデータのデータポータビリティの権利
- 同意をいつでも撤回する権利 – 撤回前に行われた処理には影響しません。Cookieについては、ページ下部（フッター）の「Cookie設定」リンクから撤回できます
- ルーマニア国家個人データ処理監督機関（ANSPDCP）に苦情を申し立てる権利
権利を行使するには、office@globalreference.ro宛ての電子メールまたはお問い合わせフォームからご連絡ください。当社は、依頼を受け取ってから1か月以内に無料で回答します（複雑な依頼の場合はお客様にお知らせのうえ、さらに2か月延長することがあります）。お客様のデータを保護するため、本人確認のための情報（たとえば予約番号と使用した電子メールアドレス）をお願いすることがあります。レンタル契約に関連して貸主が処理するデータについては、貸主に直接ご連絡いただけます。当社も依頼の転送をお手伝いします。
10. Cookie
当社は、厳密に必要なCookieと、お客様の同意がある場合に限り分析用およびマーケティング用のCookieを使用します。詳細はCookieポリシーをご覧ください。ページ下部（フッター）の「Cookie設定」リンクから、いつでも選択を変更できます。
11. 本ポリシーの変更
データの処理方法が変わった場合、当社は本ポリシーを更新することがあります。有効な版とその日付は、このページに表示されます。
12. 連絡先と監督機関
管理者：S.C. GLOBAL REFERENCE SRL – 電子メール office@globalreference.ro、お問い合わせフォーム。
監督機関：ルーマニア国家個人データ処理監督機関（Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal、ANSPDCP）、B-dul G-ral. Gheorghe Magheru nr. 28-30, sector 1, 郵便番号 010336, București（ルーマニア）、電子メール anspdcp@dataprotection.ro、www.dataprotection.ro。