Datenschutzerklärung

Jon&Coo („wir“, „uns“ oder „das Unternehmen“) respektiert die Privatsphäre der Nutzerinnen und Nutzer („Sie“) der Plattform Matsuri („der Dienst“). Diese Datenschutzerklärung erläutert, wie wir Ihre personenbezogenen Daten im Einklang mit dem japanischen Gesetz zum Schutz personenbezogener Informationen (APPI), der Datenschutz-Grundverordnung der EU (DSGVO) und anderen anwendbaren Gesetzen erheben, verwenden, weitergeben und schützen.

1. Verantwortlicher

Unternehmen: Jon&Coo
Anschrift: Shinjuku Park Tower 30F, 3-7-1 Nishi-Shinjuku, Shinjuku-ku, Tokyo 160-0023, Japan
E-Mail: office@jonandcoo.org
Telefon: +81-80-5060-5588 (werktags 9:00–18:00 JST)

2. Geltungsbereich

Diese Erklärung gilt für alle über die Plattform Matsuri (Website matsuri.group und mobile App) erbrachten Dienste, einschließlich Buchungen kultureller Erlebnisse, Teilnahme an Events, Anmeldungen zu Touren, Warenkäufen, Abonnements und Community-Funktionen.

3. Welche Daten wir erheben

3.1 Von Ihnen bereitgestellte Daten

• Kontodaten: Name, E-Mail-Adresse, Telefonnummer, Passwort (als Hash gespeichert), Profilbild
• Identitätsprüfung: Geburtsdatum, Geschlecht, Anschrift, Staatsangehörigkeit (zur Prüfung der Teilnahmevoraussetzungen für Erlebnisse und Touren)
• Buchungsdaten: Anzahl der Teilnehmenden, Wunschtermine, besondere Wünsche, Angaben zu Allergien und Gesundheit (freiwillig)
• Zahlungsdaten: gewählte Zahlungsmethode, Rechnungsanschrift (sensible Kartendaten werden nicht auf unseren Servern gespeichert)
• Kommunikation: Anfragen, Bewertungen, Antworten auf Umfragen

3.2 Automatisch erhobene Daten

• Technische Daten: IP-Adresse, Browsertyp und -version, Betriebssystem, Geräteinformationen, Bildschirmauflösung
• Nutzungsdaten: Zugriffszeitpunkte, aufgerufene Seiten, Verweis-URLs, Sitzungsdauer, Klickverlauf
• Standortdaten: ungefährer Standort anhand der IP-Adresse (GPS-Daten werden ohne Ihre ausdrückliche Einwilligung nicht erhoben)
• Cookies und Kennungen: Sitzungscookies, Authentifizierungstokens, Werbekennungen

3.3 Daten, die wir über Facebook Login erhalten

Wenn Sie sich mit Facebook Login anmelden, erhalten wir von Facebook (Meta) die folgenden Daten.

• Was wir erhalten: Ihr öffentliches Profil (Facebook-Nutzer-ID, Name und URL des Profilbilds) sowie Ihre E-Mail-Adresse (sofern Sie deren Weitergabe erlauben). Andere Daten, etwa Ihre Freundesliste oder Ihre Beiträge, fordern wir nicht an.
• Wie wir sie verwenden: Um Ihr Konto zu erstellen und Sie bei der Anmeldung zu identifizieren, Ihr Profil vorab auszufüllen und Sie zu Ihrem Konto zu kontaktieren. Ihr Facebook-Zugriffstoken wird nur zur Überprüfung der Anmeldung verwendet und nicht gespeichert. Wir veröffentlichen niemals in Ihrem Namen etwas auf Facebook.
• Wie lange wir sie speichern: Bis Sie Ihr Konto löschen. Nach der Löschung werden sie gemäß Abschnitt 9 gelöscht.
• So löschen Sie sie: Löschen Sie Ihr Konto in der App oder auf der Website oder bitten Sie uns über unser Kontaktformular um die Löschung. Sie können Matsuri auch in Ihren Facebook-Einstellungen entfernen; das Entfernen der Verbindung allein löscht die bei uns gespeicherten Daten jedoch nicht. Siehe Anleitung zur Datenlöschung.

4. Zwecke der Verarbeitung

• Bereitstellung des Dienstes, Bearbeitung von Buchungen, Kontoverwaltung und Identitätsprüfung
• Abrechnung, Bearbeitung von Erstattungen und Verwaltung von Abonnements
• Kundensupport und Bearbeitung von Anfragen
• Verbesserung des Dienstes, Nutzungsanalyse und Entwicklung neuer Funktionen
• Benachrichtigungen und Werbemitteilungen (auf Grundlage Ihrer Einwilligung)
• Erkennung und Verhinderung von Betrug, Sicherheit
• Erfüllung gesetzlicher Pflichten, Ausübung oder Verteidigung von Rechtsansprüchen

5. Rechtsgrundlagen (für Nutzer im EWR und im Vereinigten Königreich)

• Vertragserfüllung: für Buchungen und die Erbringung des Dienstes erforderliche Verarbeitung
• Berechtigte Interessen: Verbesserung des Dienstes, Betrugsprävention, Sicherheit
• Rechtliche Verpflichtung: Einhaltung steuerlicher und buchhalterischer Vorschriften
• Einwilligung: Marketing-E-Mails, nicht notwendige Cookies

6. Zahlungsabwicklung

Online-Zahlungen werden von Stripe, Inc. und PayPal Holdings, Inc. abgewickelt. Sensible Zahlungsdaten (Kreditkartennummern usw.) werden niemals auf unseren Servern gespeichert, sondern in PCI-DSS-konformen Umgebungen verschlüsselt und verarbeitet. Wir erhalten und speichern ausschließlich das Ergebnis der Transaktion (Erfolg/Fehlschlag, Transaktions-ID, Betrag).

7. Weitergabe an Dritte

Wir geben personenbezogene Daten nur im unbedingt erforderlichen Umfang an Dritte weiter:

• Zahlungsdienstleister: Stripe, PayPal
• Anbieter von Erlebnissen und Touren: für die Durchführung der Buchung erforderliche Angaben (Name, Gruppengröße, Kontaktdaten)
• Cloud-Infrastruktur: Railway (Server-Hosting), Vercel (Frontend)
• Analyse: Google Analytics (anonymisiert)
• E-Mail-Versand: Mailgun (Transaktions-E-Mails und Benachrichtigungen)
• Medienverwaltung: Cloudinary (Optimierung von Bildern und Videos)
• Rechtliche Anfragen: gerichtliche Anordnungen, rechtmäßige behördliche Anfragen
• Umstrukturierung des Unternehmens: Fusionen, Übernahmen oder Übertragungen von Vermögenswerten

8. Internationale Datenübermittlungen

Ihre personenbezogenen Daten können zur Erbringung des Dienstes außerhalb Japans (z. B. in den Vereinigten Staaten) verarbeitet und gespeichert werden. In diesen Fällen treffen wir geeignete Garantien (Standardvertragsklauseln, Angemessenheitsbeschlüsse usw.).

9. Speicherdauer

• Kontodaten: Löschung innerhalb von 30 Tagen nach Löschung des Kontos (sofern keine gesetzliche Aufbewahrungspflicht besteht)
• Transaktionsdaten: Aufbewahrung bis zu 7 Jahre gemäß den gesetzlichen Vorgaben
• Zugriffsprotokolle: Aufbewahrung bis zu 12 Monate zu Sicherheitszwecken
• Supportunterlagen: Aufbewahrung bis zu 3 Jahre nach Abschluss des Vorgangs

10. Sicherheitsmaßnahmen

• Transportverschlüsselung (TLS 1.2 oder höher)
• Passwort-Hashing (bcrypt)
• Verwaltung von Authentifizierungstokens über HttpOnly- / Secure- / SameSite-Cookies
• Rollenbasierte Zugriffskontrolle (Prinzip der minimalen Rechte)
• Regelmäßige Schwachstellenanalysen
• Notfallplan für Sicherheitsvorfälle

11. Cookies und Tracking

11.1 Notwendige Cookies

Wir verwenden notwendige Cookies für Anmeldesitzungen, CSRF-Schutz und Spracheinstellungen. Diese können nicht deaktiviert werden.

11.2 Analyse-Cookies

Wir verwenden Analysetools wie Google Analytics, um die Nutzung des Dienstes anonym auszuwerten. Sie können diese über Ihre Browsereinstellungen oder Opt-out-Tools deaktivieren.

11.3 Apple App Tracking Transparency

Unsere iOS-App entspricht dem App-Tracking-Transparency-Framework (ATT) von Apple und bittet vor jedem Tracking um die Erlaubnis der Nutzer.

12. Ihre Rechte

• Auskunftsrecht: Auskunft über die von uns gespeicherten personenbezogenen Daten verlangen
• Recht auf Berichtigung: Berichtigung unrichtiger Daten verlangen
• Recht auf Löschung: Löschung personenbezogener Daten verlangen (Kontolöschung)
• Recht auf Einschränkung: Einschränkung der Verarbeitung verlangen
• Recht auf Datenübertragbarkeit: Daten in einem maschinenlesbaren Format erhalten
• Widerspruchsrecht: einer Verarbeitung auf Grundlage berechtigter Interessen widersprechen
• Recht auf Widerruf der Einwilligung: eine Einwilligung in eine darauf beruhende Verarbeitung jederzeit widerrufen

Um Ihre Rechte auszuüben, wenden Sie sich an office@jonandcoo.org. Wir antworten innerhalb von 30 Tagen nach Prüfung Ihrer Identität.

Die Kontolöschung können Sie direkt in den Einstellungen der App oder in den Kontoeinstellungen auf der Website vornehmen. Die einzelnen Schritte finden Sie in der Anleitung zur Datenlöschung.

13. Datenschutz bei Kindern

Der Dienst richtet sich nicht an Kinder unter 16 Jahren. Sollten wir feststellen, dass wir unbeabsichtigt personenbezogene Daten eines Kindes unter 16 Jahren erhoben haben, löschen wir diese umgehend. Eltern können sich an office@jonandcoo.org wenden.

14. Änderungen dieser Datenschutzerklärung

Wir können diese Erklärung von Zeit zu Zeit aktualisieren. Über wesentliche Änderungen informieren wir Sie über den Dienst oder per E-Mail. Die aktualisierte Erklärung tritt mit ihrer Veröffentlichung in Kraft.

15. Kontakt

Bei Fragen oder Anliegen zum Datenschutz wenden Sie sich bitte an:

Jon&Coo — Datenschutzstelle (verantwortliche Person: Ko Takahashi)
Shinjuku Park Tower 30F, 3-7-1 Nishi-Shinjuku, Shinjuku-ku, Tokyo 160-0023, Japan
E-Mail: office@jonandcoo.org
Telefon: +81-80-5060-5588 (werktags 9:00–18:00 JST)

Wenn Sie mit unserer Antwort nicht zufrieden sind, können Sie Beschwerde bei der japanischen Datenschutzkommission (Personal Information Protection Commission, Japan) oder bei der für Sie zuständigen Datenschutzaufsichtsbehörde einlegen.