プライバシーポリシー

欧州規則 2016/679（以下「GDPR」という。）第13条および第14条に基づく「VOLARE」プログラムにおける個人情報の取り扱いに関する通知（以下「プライバシーポリシー」という。）

本プライバシーポリシーは、欧州規則 2016/679（「GDPR」）の第13条および第14条に基づき、Italia Trasporto Aereo S.p.A.（以下「ITA Airways」または「当社」という。）とVolare Loyalty S.p.A.（以下「Volare」または「当社」という。）が共同データ管理者として提供しており、特に両社が運営する「Volare」ロイヤルティプログラム内で処理されるお客様の個人情報の処理を対象としています。お客様は、ITA Airwaysのウェブサイト（以下「サイト」という。）の専用ランディングページおよび/またはITA Airwaysのモバイルアプリを通じてこのプログラムに登録することが可能です。

また、お客様の個人情報の処理は、公正性、合法性、透明性、目的と保持期間の制限、最小化と正確性、完全性と機密性、ならびにGDPR第5条に規定されている説明責任の原則に支配されます。
「個人情報の処理」とは、収集、記録、整理、構造化、保管、適応または変更、検索、相談、使用、送信、普及またはその他の方法による開示、利用可能化、整列または結合、制限、消去または破壊など、自動的な手段であるか否かを問わず、個人情報または個人情報の集合体に対して行われるあらゆる操作または一連の操作を意味するものとします。

1.共同データ管理者

「Volare」 と呼ばれるロイヤリティプログラム（以下、「プログラム」）において、お客様の個人情報を共同プロモーターとして取り扱う共同データ管理者は以下の通りです。

• Italia Trasporto Aereo S.p.A、登録事務所 via XX Settembre, n.97, Roma (RM), 00187、納税者番号および付加価値税番号15907661001を現住所と定める法的代表者名義（以下「ITA Airways」という。）ならびに
• Volare Loyalty S.p.A.、登録事務所 viale Giulio Richard 3/A, in Milano (MI)、納税者番号および付加価値税番号12281660964、ミラノREA登記番号 2651110を現住所と定める法的代表者名義（以下、「Volare」という。）

また、GDPR第26条に則った特定の契約の締結を通じて当該プログラムより派生する処理の目的と手段を共同で決定したことに基づき、本プライバシーポリシーにおいて、以降、ITA Airways とVolare は、個別には「共同管理者」、共同では「両共同管理者」と定義されるものとします。

さらに、両共同管理者はデータ保護責任者（以下「データ・プロテクション・オフィサー」または「DPO」という。）を任命したことをお知らせいたします。連絡先は以下のとおりです。

• 電子メール：dpo@ita-airways.com
• 普通郵便：登録事務所宛 Italia Trasporto Aereo S.p.A., c.a. del Data Protection Officer, via XX Settembre n.97, 00187, Roma (RM)

2.取り扱う個人情報の種類について

両共同管理者は、お客様に関する以下のカテゴリーの個人情報を収集します（「個人情報」という用語は、以下のカテゴリーをすべて合わせたものを意味します)。

• 個人情報および連絡先の詳細 – 氏名、生年月日、性別、住所、電話番号、電子メールアドレス、およびITA Airwaysのウェブサイトのプログラム専用セクションにアクセスするための個人アカウント識別子に関する情報。必要に応じて、該当する情報は親権者のものにも言及する場合があります。 

•  取引データ – フライト、購入したサービス、実行した活動、およびプログラム提携会社と締結した取引に関するお客様の取引情報（取引履歴）

•  お客様が自発的に提供する関心事およびデータ – 旅行の好みやその他の関心事、お客様の会社名、職業上の地位、ご希望の連絡方法、他の航空会社のロイヤリティプログラムへの参加、またはその他の個人情報について、お客様が当社に提供する情報

•  ナビゲーションデータ – お客様がどのように本サイトを利用し、当社の通信を開き、または転送したかに関する情報で、Cookieを通じて収集された情報を含みます。当社のCookieに関する通知（以下「Cookieポリシー」という。）は以下のリンクでご覧いただけます。

上記の個人情報の発信元に関して、原則として個人情報はお客様から直接収集されることにご注意ください。ただし、場合によっては、両共同管理者が独立したデータ管理者から当該情報を取得することがあります。たとえば、ITA Airwaysは、プログラムの一環として、未成年会員を監督する成人会員としてお客様から提供された情報や、お客様が実行したITA Airwaysの取引やフライトに関連する情報など、独立した管理者として収集した情報をVolareと共有する場合があります。同様に、両共同管理者はプログラムパートナーなどの第三者を通じてお客様の個人情報を取得する場合があります。

3.個人情報の収集方法

両共同管理者は、以下の状況においてお客様の個人情報を収集および処理します。

• www.ita-airways.com（以下「当サイト」という。） のVolareセクションにアクセスして、 オンラインフォームから本プログラムに登録した場合。
• またITA Airwaysの本プログラムのモバイルアプリに登録すると、自動的に本プログラムにも登録されることになります。

プログラムへの参加の一環として、第三者の個人情報（その第三者の同意を得たもの）を提供する場合は、事前に当該第三者が本プライバシーポリシーを読んでいることを確認する必要があります。これは、例えば、プログラムに関連する当サイトの個人エリアを通じて、未成年者会員や他の家族のに関連する情報など、他の人物の個人情報が含まれる可能性がある情報を両共同管理者に伝達する場合などに発生する可能性があります。
本プライバシーポリシーの第12条に記載されている連絡先に変更があった場合は、当社にお知らせいただくことで、お客様の個人情報を最新の状態に保つことができます。

4.個人情報処理の目的と法的根拠

お客様の個人情報は、随時示される法的前提に基づき、以下の1つまたは複数の目的のために、両共同管理者によって処理されます。

 a) 本プログラムへの登録に関する運営管理およびそれに密接に関連する目的

両共同管理者は、以下の目的のために、お客様の個人情報や連絡先情報、お客様の取引や関心事に関するデータ、お客様から自発的に提供されたデータを収集・処理します。(i) 本プログラムへの会員登録申請のフォローアップと管理のため。該当する場合、親権者に関する情報の真偽照会活動を含むもの (ii) プログラム会員としてのステータスや、プログラムに関連する可能性のある期限や特典に関するサービス・コミュニケーションを送付するため (iii) 契約上の義務を果たし、本プログラムに関連する問い合わせ（賞品や情報の要求などを含む）に対応するため。両共同管理者は、お客様が本プログラムに参加するために必要な限りにおいて、提供されたデータの入力ミスを確認し修正する権利を有します。

取り扱いに関する法的根拠：GDPR第6条第1パラグラフのb)に基づき、お客様が当事者である契約の履行。

b) ダイレクトマーケティング

両共同管理者が、ニュースレター、販促オファー、ロイヤルティプログラム、割引、商業的取り組み、広告資料、ダイレクトセールス、市場調査の実施など、両共同管理者の製品およびサービスに関する販促およびマーケティング目的の通信、ならびに電気通信、流通、エネルギー、食品、金融、自動車、繊維およびファッション、輸送などの分野に属する第三者の商業パートナーと実施する販促および共同マーケティングからなる商業的取り組みに関する通信を、自動化ツール (電子メール、SMS、MMS、ファックス、WhatsApp、プッシュ通知、オペレーター不在の電話通信、ソーシャルネットワークの使用) および非自動化ツール (紙媒体の郵便およびオペレーターによる電話通信) を通じて送信するため。

取り扱いに関する法的根拠：GDPR第6条第1パラグラフのa)に基づく、お客様による特定された明らかな同意。かかる同意が得られなかった場合でも、本プログラムへの登録に関して妨げとなったり、何らかの不利益が生じたりすることはありません。

このダイレクトマーケティングの目的のためには、両共同管理者は、イタリア個人情報保護監督官の 2013年7月4日付一般規定「販売促進活動およびスパム対策に関するガイドライン」に則り、自動化ツールと非自動化ツールの両方の使用に関して単一の同意を収集します。これに対して、お客様は同規則第21条に則り異議を申し立てる権利を行使、または同規則第7条に基づく同意の撤回が可能です。さらに、この行使は部分的にも可能であり、つまり、例えば自動化ツールによって実行される通信の送信のみに異議を申し立てる、または同意を撤回することができます。

ニュースレターの受信を含むマーケティングを目的とした情報処理に反対を希望する場合は、本通知の第12パラグラフに記載された両共同管理者および/またはDPOの連絡先に通達するか、各電子メールのフッターに記載されたリンクを使用することで、いつでも実施することができます。

c) プロファイリングとデータ拡充（いわゆるデータエンリッチメント）。

両共同管理者は、明示的かつ具体的な同意に基づき、当プログラムのウェブサイト上またはサードパーティのウェブサイト上に設置されたトレーサー（Cookie、ピクセルタグなど）を通じてオンライン上で収集されたお客様の個人情報、連絡先情報、取引や関心事に関する情報、お客様から自発的に提供された情報、閲覧情報を、パーソナライズドプロファイリングの目的で処理します。これは、お客様の関心事、習慣、購買選択の分析に基づいて前述の個人情報を統計的に処理し、お客様の個別のプロフィールを作成するためであり、また、お客様のニーズや好みに沿った両共同管理者のサービスや製品を開発、促進、提供し、ターゲットを絞ったデジタルキャンペーンを展開するために、公的な情報源や本プログラムのパートナーから取得した情報も利用します。

取り扱いに関する法的根拠：GDPR第6条パラグラフ1のa)に基づく、お客様による特定された明らかな同意。かかる同意が得られなかった場合でも、本プログラムへの登録に関して妨げとなったり、何らかの不利益が生じたりすることはありません。

お客様は、本プライバシーポリシーの第12条に記載された連絡先に請求することにより、その後の処理に有効な同意をいつでも取り消すことができます。

d) 法律、規制、欧州の法律、法律で権限を与えられた当局、および/または監督・管理機関の規定/要件で定められた義務に関連する目的

両共同管理者は、両共同管理者自身が遵守する必要がある法的義務を履行するために、お客様の個人情報を処理することがあります。

取り扱いに関する法的根拠：GDPRの第6条第1パラグラフのc)に則った、両共同管理者が従うべき法的義務の遂行。

e) 本プログラムおよび関連サービスに関連して発生する司法、行政、または裁判外の手続きの過程で、および紛争に関連して発生する権利の防衛。

両共同管理者は、自己の権利を守るため、またはお客様や第三者に対して行動を起こし、さらには請求を行うために、お客様の個人情報を処理することがあります。

取り扱いに関する法的根拠： GDPR第6条第1パラグラフのf)に則った、両共同管理者の権利を保護するための正当な利益の追求。

5.データ提供の義務性または任意性、およびデータ提供を拒否した場合の結果

本プログラムの登録フォームで要求されるアスタリスク(*)の付いた個人情報は、本プログラムへの登録に必要なため、提供が義務付けられています。これらの個人情報を提供しない場合、登録を完了することができません。アスタリスクのついていない追加の個人情報の提供は任意であり、提供しなくても本プログラムへの登録に影響はありません。

本プライバシーポリシーの上記第4パラグラフのa)の目的のための個人情報の提供は本プログラムに登録するために必須となります。

本プライバシーポリシーの第4パラグラフのb) およびc) に定める目的に対する同意の提供は任意であり、同意を提供しなかったとしても、プログラムへの登録を妨げるものでも、何らかの不利益をもたらすものでもありません。

本プライバシーポリシーの第4パラグラフのd)およびe) に記載された目的のために、お客様は新たな特定の情報を提供する必要はありません。両共同管理者は、必要に応じて、上記目的のために収集された個人情報を処理することにより、本プライバシーポリシーに適合すると判断される（また、個人情報が収集された状況、お客様と両共同管理者との関係、個人情報自体の性質およびその処理のための適切な保護措置により）、そのような追加の目的を追求します。

6.お客様の個人情報の安全性について

両共同管理者は、お客様の個人情報のセキュリティ、完全性およびアクセス性を保護・維持するために、適切なセキュリティ対策を講じています。

すべての「お客様の個人情報」は、欧州連合の領域内にある両共同管理者または各社のサプライヤーの安全なサーバー (または安全なハードコピー）に保存されており、当社の基準およびセキュリティポリシー(または当社のサプライヤーの同等の基準)に基づいてアクセスおよび使用可能です。

両共同管理者が、当サイトの個人的な領域、アプリケーションまたは当社が提供するサービスへのアクセスを可能にするパスワードを提供した(またはお客様が選択した)場合、お客様は、当該パスワードの秘密保持、および当社がお客様に指示するその他のセキュリティ手順の遵守について責任を負うものとします。

7.個人情報の保存期間

両共同管理者は、お客様の個人情報を、そのデータが収集された目的に必要な期間、またはその他の正当な関連目的のためにのみ保持します。したがって、個人情報が2つの異なる目的のために処理された場合、当社は保持期間が長い方の目的が終了するまでその個人情報を保持しますが、保持期間が終了した目的のために個人情報を処理することはなくなります。
当社は、本プログラムに関連する目的のために個人情報を処理する必要がある者のみに、個人情報へのアクセスを制限します。
必要がなくなったお客様の個人情報、または保存の法的根拠がなくなったお客様の個人情報は、不可逆的に匿名化されるか(したがって保存が可能)、安全に破棄されます。

以下は、上記の異なる目的での保存期間です。

•  個人情報、連絡先情報、取引に関する情報、関心事に関する情報、自発的に提供された情報で、登録および本プログラムの運営管理を目的として処理されるもの：両共同管理者は、適用される法律に定められた民事、会計、税務上の義務を果たすために、本プログラムへの登録期間中はもちろん、いかなる場合でも本プログラムの解約から10年を超えない範囲で、当該個人情報を保持するものとする。
• お客様の関心事に関連するデータ、お客様から自発的に提供されたデータ、およびプロファイリングを目的として処理される取引に関連するデータ：プロファイリングを目的とした個人情報の処理に同意された場合、当該データは収集後、保管期限前にお客様が撤回権を行使した場合を除き、12ヶ月間保持されますが、両共同管理者はお客様の選択を尊重するために、定期的に当該目的のための同意を更新します。
• マーケティングを目的として処理される個人情報、連絡先情報、取引情報：マーケティング目的で個人情報を処理する場合、個人情報と連絡先情報のみを使用することになりますが、これらの情報は、保管期限前にお客様が撤回権を行使した場合を除き、マーケティングデータベースに収集されてから24ヶ月間保存されます。ただし、両共同管理者は、お客様の選択を尊重するために、このような目的に対するお客様の同意を定期的に確認します。
• ナビゲーションデータ：この個人情報は、お客様の「Volare」プロファイルが有効である限り保存されます。使用される可能性のあるさまざまなcookiesの保存期間は、次のリンク先のCookieポリシーで確認できます。

法廷における両共同管理者の権利の保護、または当局からの要請があった場合、処理された個人情報は、要請を処理するため、または権利の保護を追求するために必要な期間、両共同管理者が保管します。

8.お客様の個人情報を共有する相手

お客様の個人情報は以下の主体と共有されることがあります。

• 両共同管理者により、GDPR第29条および個人情報保護法第2条の14に従って個人情報を処理する権限を与えられた者（情報システム管理の担当者など）
• 欧州連合の法律または両共同管理者が属する加盟国の法律で定められた法的規定に基づき、お客様の個人情報を報告することが義務付けられている団体、機関、官公庁
• 銀行および決済会社
• 法律事務所や公的機関などの第三者で、本プログラムのルールを遵守または執行するため、またはその他の正当な利益を守るために、当社が申請する機関
• 当社の権利を保護するため、または警察や公的機関などの第三者からの正当な要求に応じるための機関
• サービスの提供において、GDPR第28条に基づきデータ管理者として一般的に機能する当事者（例：ITインフラ、IT支援およびコンサルティングサービス、ソフトウェアおよびウェブサイトの設計および作成を提供する企業） 
• 顧客サービスの提供および管理を含む、当社のサービスのカスタマイズおよび最適化に役立つサービスを提供する企業。• データの分析と開発、市場調査の処理と実施に有益なサービスを提供する企業。両共同管理者は、データ管理者の最新リストを維持し、関係者が上記の登録事務所でそのリストを閲覧できるようにするほか、本プライバシーポリシーの第12パラグラフに記載されている連絡先に両共同管理者宛てに書面によるリクエストを送信することでそのリストを閲覧できるよう手配します。

個人情報の開示は、GDPRの規定および適用されるデータ保護法を完全に遵守して行われるものとします。当社がお客様の個人情報を開示するデータ処理者およびその他の事業者のリストの閲覧を希望される場合は、本プライバシーポリシーの第12条に記載されている連絡先までご連絡ください。
お客様の個人情報が第三者に開示されることはありません。

9.個人情報の第三国への転送

両共同管理者は、お客様の個人情報の処理の一部を行うために、欧州連合（EU）または欧州経済領域（EEA）に属さない国（以下、「第三国」）に所在し、欧州連合内で保証されているよりも低いレベルの個人情報の保護を保証する可能性のある外部の当事者に開示します。

両共同管理者によるお客様の個人情報の第三国にある主体への転送は、いかなる場合も個人情報保護の観点において適応される規則を順守し、GDPR第44条以降に示された条件を遵守する形で行われます。欧州経済領域外に所在する受取人に個人情報を移転する場合、データ管理者は、欧州データ保護委員会が2020年11月10日に採択した勧告01/2020に従って、欧州委員会が承認した標準条項の採用、情報の自由な移動のための国際プログラムを遵守する主体の選択、または欧州委員会が安全と見なす国での事業などを遵守することを保証します。実施されたデータ転送およびそのために採用された保証に関する詳細情報は、要請に応じて、本通知の第12パラグラフに記載された連絡先の両共同管理者および/またはDPOから入手することができます。

前述の標準条項の採用は、処理に関連して果たす役割に応じて行われ、これらの主体は、独立したデータ管理者として、または、GDPRの第28条に従って両共同管理者によって定期的に指定されるデータ処理者として、お客様の個人情報を処理します。

お客様は、本プライバシーポリシーの第12パラグラフに記載された連絡先を用いて、いつでも両共同管理者に書面を送付し、お客様の個人情報がどの事業体に開示されるのかを尋ね、移転のために採用された保護措置の写しを受け取ることができます。

10.該当する場合自動化された判断プロセス

両共同管理者は、プロファイリングを含む自動化された意思決定プロセスを、お客様の同意なしに使用することはありません。

11.お客様のデータ保護権および監督官庁への苦情申し立ての権利

GDPRで規定されている条件のもと、お客様はいつでも各共同管理者に以下を要求する権利があります。

• GDPR第15条で規定されている、ご自身の個人情報へのアクセス
• GDPR第16条で規定されている、両共同管理者が保有する不正確と思われるご自身の個人情報の修正および統合
• GDPR第17条に規定されている、もはや処理に法的根拠がないお客様の個人情報の削除
• GDPR第18条に規定されているケースに該当する場合、お客様の個人情報の処理方法の制限
• GDPR第20条に規定されている、契約関係に基づく処理（いわゆるポータビリティ）のために、構造化された一般的に使用される機械読み取り可能な形式で用意されたお客様の個人情報の複写
• GDPR第22条に規定されている、事前に同意を得ていない場合、プロファイリングを含む自動処理のみに基づいて行われた決定が、自分に関する法的効果をもたらすものでないこと
• 処理が同意に基づいて行われる場合、いつでも同意を撤回すること同意の撤回は、その後の処理に関してのみ有効であり、撤回前に行われた処理の合法性を損なうものではないことにご注意ください。

異議申し立ての権利：上記の権利に加えて、お客様は、両共同管理者の正当な利益の追求のために行われるお客様の個人情報の処理、およびマーケティングを目的として行われる処理（当該 マーケティングに関連する限りにおいてプロファイリングを含む）に対して、いつでも異議申し立てをする権利を有します。

上記の権利を両共同管理者に対して行使するためには、本プライバシーポリシーの第12条に記載されている連絡先に、(i)氏名、(ii)エクスクルーシブクラブへの入会申込時に記載された電子メールアドレス、(iii)請求内容を明記して連絡することができます。

これらの権利の行使は、公共の利益（例：犯罪の防止または発見）および当社の利益（例：職業上の秘密の保持）を守るために、一定の例外が適用されます。お客様が上記の権利を行使された場合、当社はお客様がその権利を行使する権利を有しているかどうかを確認し、通常1ヶ月以内に回答いたします。

お客様の個人情報の処理がGDPRの規定および個人情報の保護に関する法律に違反していると思われる場合、お客様は、ウェブサイトwww.garanteprivacy.it に掲載されている参考資料を用いて、イタリアデータ保護局に苦情を申し立てる権利、または法的措置を取る権利があります。

12.両共同管理者および各社のデータ保護部門・データ保護責任者（以下「DPO」）の連絡先

お客様は、権利を行使するための唯一の連絡先として特定されている次の電子メールアドレスdpo@ita-airways.comまたは次の電子メール アドレスを通じて、いつでも両共同管理者に連絡することができます。

• ITA Airwaysの場合： italiatrasportoaereo@legalmail.it ;
• Volareの場合： volareloyalty@legalmail.it 。

この点に関して、本プライバシーポリシーの第1条に記載されている連絡先情報を使用することで、各共同管理者に対して、および/または共同管理者を相手取って権利を行使できることをここにお知らせします。

さらに、同じ目的で、ITA AirwaysおよびVolareが任命したデータ保護責任者 (「DPO」) に、電子メール アドレスdpo@ita-airways.com宛てに電子メールを送信して連絡することもできます。

13.共同管理契約

ITA AirwaysとVolareの間で締結された共同管理契約の要約は、GDPRから生じる義務の遵守に関するそれぞれの責任を透明に決定すること、特にお客様の権利の行使と本プライバシーポリシーのそれぞれのコミュニケーション機能について扱っており、次のアドレスdpo@ita-airways.comよりリクエストすることで入手可能です。

14.改訂

両共同管理者は、適用される法律の変更に応じて、このプライバシーポリシーの内容の全部または一部を変更または更新する権利を留保します。このような変更が導入され次第、お客様にお知らせするものとします。