Privacy and Data Retention Policy
Effective Date: September 30, 2026
Governing language. This policy is provided in English. The Japanese translation is offered for the reader's convenience only. In the event of any inconsistency or conflict between the English and Japanese versions, the English version shall control.
準拠言語。本ポリシーは英語で作成されています。日本語訳は読者の便宜のために提供されるものです。英語版と日本語版との間に不一致または矛盾がある場合は、英語版が優先されます。
Our commitments
We do not sell personal information. Rinkya does not sell personal information, and does not share it with third parties for their own marketing or for cross-context behavioral advertising. Personal information is shared only with service providers that process it on our behalf, such as payment processing, shipping, email and SMS delivery, cloud hosting, analytics, and artificial-intelligence services, each of which may use it only to provide services to us, and otherwise only where the law requires.
Readers who sign in to see more of a record may join the Rinkya Authentic newsletter; joining is optional and never affects access, every newsletter includes an unsubscribe link, and the list is never sold or shared.
Artificial intelligence. We use artificial intelligence and machine learning technologies, including services from third-party providers, to help us operate, improve, and secure the service. A third-party provider processes information on our behalf under contract, only to provide its service to us, and is not permitted to use that information to train its own models. We do not provide personal information to any third party to train artificial-intelligence or machine-learning models. Authentication opinions are rendered by the certifier named on the record. Our use of examination materials to develop our own methods is described in the Terms of Service, Section 9.12.
1. Posture
Rinkya Authentic holds as little personal information as the product allows. The serious registries in this category advertise not holding collector identity as a feature: Artory never asks a collector for their identity; the Art Loss Register never requests the current owner's name; fine art publishes "Private Collection"; grading companies put no owner on the certificate at all. We adopt the same posture: the certificate is permanent, the person is not part of the permanent record.
Already true in the product:
- Nothing personal is written to the blockchain. The anchored payload carries a display name that is "Anonymous" or, with the owner's own confirmation, their chosen public name. No email, phone, address, or note has ever been anchored.
- The first owner's street address is not collected at all.
- A name appears on the public certificate only after the owner personally confirms it through a signed-in owner session. A certifier cannot publish an owner's name on their behalf.
- Login artifacts (magic links, credential tokens, SMS codes) delete themselves at expiry.
- Scan logs store a one-way hash of the visitor's IP, never the IP itself.
2. What we hold, why, and for how long
| Class | What | Why held | Retention |
|---|---|---|---|
| Certificate provenance | First-owner name, email, phone, country, acquisition date, notes; current owner's display name; ownership history | The provenance chain is the product; owner contact enables transfer verification | Life of the certificate, erasable on the person's request (Section 3) |
| Transaction records | Submission details, client name/email/phone, shipping addresses, payment references, invoices | Fulfilment, tax, dispute defense; the 4-year transferable authenticity guarantee (Terms Section 13) must remain administrable | 7 years after the transaction closes, then eligible for redaction |
| Ownership claims | Claim contact details and evidence | Verifying and auditing ownership changes | While pending, then as part of the certificate's audit trail; personal fields erasable with the person (Section 3) |
| Authentication artifacts | Owner magic links, credential tokens, SMS codes (email/phone bearing) | Sign-in only | Self-deleting at expiry (minutes to days) |
| Newsletter subscription | Email address, language, signup page | Sending the Rinkya Authentic Newsletter you signed up for (confirmed opt-in) | Until you unsubscribe; unconfirmed signups self-delete after 7 days |
| Record sign-in | Email address, the records opened and when, a hashed IP | Opening more of a record, the daily reading limit, abuse detection | While you use it; deleted on request |
| Scan logs | Hashed IP, user agent, timestamp per seal scan | Abuse detection, scan-count statistics | Indefinite; contains no recoverable identity |
| Examination recordings | Remote-session recordings and stills | Governed separately by the remote-services terms: recordings of the person are deletable on request, photographs of the piece and a non-personal attestation are retained | Per the remote-services terms; not restated here |
3. Erasure: what it reaches, honestly
Erasure is yours to scope. You may have everything removed, or ask us to retain only your email address so you can still verify ownership of your certificates. Full erasure permanently ends owner sign-in, since the email we hold is how ownership is proven; if you keep the email, you can complete a full erasure at any later time. And if you only want your name off the public certificate, that is not erasure at all: withdraw your consent on the certificate page, and your owner access is unaffected.
On a verified request from the person concerned (or their estate):
Removed from the live product immediately: their name, email, phone, country and notes on any certificate; their ownership-claim records; any surviving login artifacts; their transactional contact details where the retention period in Section 2 has run. The public certificate then reads "Private Collection." The certificate itself, its images, verdict, grade, and blockchain anchors are records about the piece and are unaffected.
Recorded in place of the person: a non-personal tombstone (date, class of data removed, acting staff member). We keep proof that an erasure happened without keeping who was erased.
What erasure cannot reach, stated plainly:
- Database backups retain prior values until they expire on their rolling window; they are not edited in place. Erased data ages out of backups automatically.
- Records inside an open retention period in Section 2 (tax, dispute, guarantee administration) are redacted when that period runs, not before.
- Email delivery logs held by our email provider are outside our control.
- The blockchain cannot be edited, and holds no personal information to erase. This is by design and is why erasure of everything else is possible.
Any policy promising "total erasure" would be false. The honest promise is the above.
4. How a request is made
By email to authentic@rinkya.com, from (or verifiably on behalf of) the person concerned. Identity is checked against the records we already hold; we do not ask for identity documents. Requests are handled by staff; there is no self-serve deletion at current volume.
5. Site analytics and cookies
The public pages of this site use Google Analytics, so that we can see how people find and read them. That is the only analytics we run. We do not advertise from it, we do not build cross-site profiles, and we do not sell or share what it collects. Google processes it on our behalf.
What it receives:
- The pages viewed, and how long the visit lasted.
- An approximate location derived from your IP address, at city level. The IP address itself is not stored and is not available to us in the reports.
- Device, browser and language.
- The site you arrived from, and the campaign tag on our own short links, which is how we tell one social post from another.
Cookies. Google Analytics sets a cookie so that a returning browser can be told apart from a new one. A separate, strictly necessary cookie keeps you signed in during an owner or artist session; that one is not analytics and is not covered by the choice below.
If you are in the EEA, the United Kingdom or Switzerland, no analytics cookie is set until you accept it on the banner. Until you do, Google receives page counts carrying no cookie and no persistent identifier. Elsewhere the analytics cookie is set by default. Advertising and personalisation storage are switched off everywhere, for everyone, whichever you choose.
Changing your mind. Decline on the banner and that refusal is recorded and honoured on every later visit. The choice is stored on your own device, so clearing this site's data in your browser resets it and you will be asked again. Google also publishes a browser add-on that opts you out of Analytics on every site.
Where analytics never runs. Signed-in owner pages, the artist studio, staff pages, and any address carrying a credential or a token. Those pages load no analytics at all, so a private link is never handed to Google.
当社の約束
個人情報を販売することはありません。Rinkyaは個人情報を販売せず、第三者自身のマーケティングまたはサイトを横断した行動ターゲティング広告のために第三者と共有することもありません。個人情報を共有する相手は、決済処理、配送、メールおよびSMSの配信、クラウドホスティング、アクセス解析、人工知能サービスなど、当社に代わって処理を行うサービス提供者に限られ、各提供者は当社へのサービス提供の目的に限ってこれを利用できます。それ以外の共有は、法令により求められる場合に限ります。
記録の詳細をご覧になるためにサインインされた方は、任意でRinkya Authenticのニュースレターに登録できます。登録は任意であり、閲覧に影響することはありません。すべてのニュースレターには配信停止のリンクが含まれ、登録者のリストを販売または共有することはありません。
人工知能について。当社は、本サービスの運営、改善および安全性の確保を目的として、第三者提供者が提供するサービスを含む、人工知能および機械学習技術を利用しています。第三者提供者は、契約に基づき、当社へのサービス提供の目的に限って当社に代わって情報を処理し、その情報を自社モデルの学習に利用することは認められていません。当社は、人工知能または機械学習モデルの学習のために個人情報を第三者に提供することはありません。鑑定に関する最終的な判断は、記録に記載された鑑定士が行います。審査資料を当社独自の手法の開発に利用することについては、利用規約第9条（9.12）に定めています。
第1条 基本姿勢
Rinkya Authenticは、プロダクトが許す限り最小限の個人情報のみを保持します。この分野の主要なレジストリは、コレクターの身元を保持しないことを特長として掲げています。Artoryはコレクターに身元を尋ねません。Art Loss Registerは現所有者の氏名を求めません。美術業界では「個人蔵」と表記されます。グレーディング会社の証明書には所有者は一切記載されません。当社も同じ姿勢を採用します。証明書は永続的ですが、人は永続的記録の一部ではありません。
既にプロダクトにおいて実現していること：
- ブロックチェーンには個人情報は一切書き込まれません。アンカー登録されるペイロードに含まれる表示名は「Anonymous」であるか、所有者本人が確認した公開名のみです。メールアドレス、電話番号、住所またはメモがアンカー登録されたことは一度もありません。
- 最初の所有者の住所（番地）はそもそも収集していません。
- 公開証明書に氏名が表示されるのは、所有者本人がサインイン済みの所有者セッションを通じて自ら確認した場合に限られます。鑑定士が所有者に代わって氏名を公開することはできません。
- ログイン用の一時データ（マジックリンク、認証トークン、SMSコード）は、有効期限が切れると自動的に削除されます。
- スキャンログには訪問者のIPアドレスの一方向ハッシュのみが保存され、IPアドレスそのものは保存されません。
第2条 保持する情報、その理由および期間
| 区分 | 内容 | 保持する理由 | 保持期間 |
|---|---|---|---|
| 証明書の来歴 | 最初の所有者の氏名、メールアドレス、電話番号、国、取得日、メモ。現所有者の表示名。所有履歴 | 来歴の連鎖はプロダクトそのものであり、所有者への連絡手段は移転の検証を可能にします | 証明書の存続期間。本人の請求により消去可能（第3条） |
| 取引記録 | 提出内容、依頼者の氏名・メールアドレス・電話番号、配送先住所、決済参照情報、請求書 | 履行、税務、紛争への対応。4年間の譲渡可能な真贋保証（利用規約第13条）の管理 | 取引終了後7年間。その後、削除処理の対象となります |
| 所有権クレーム | クレームの連絡先情報および証拠 | 所有権変更の検証および監査 | 審査中は保持し、その後は証明書の監査証跡の一部として保持。個人に属するフィールドは本人とともに消去可能（第3条） |
| 認証アーティファクト | 所有者用マジックリンク、認証トークン、SMSコード（メールアドレス・電話番号を含む） | サインインのみ | 有効期限切れで自動削除（数分から数日） |
| ニュースレター登録 | メールアドレス、言語、登録元ページ | ご登録いただいた Rinkya Authentic ニュースレターの配信（確認済みオプトイン） | 登録解除まで。未確認の登録は7日後に自動削除されます |
| 記録へのサインイン | メールアドレス、閲覧した記録とその日時、ハッシュ化IP | 記録の詳細の閲覧、1日の閲覧上限、不正検知 | ご利用中は保持。ご請求により削除 |
| スキャンログ | シールスキャンごとのハッシュ化IP、ユーザーエージェント、タイムスタンプ | 不正検知、スキャン統計 | 無期限。復元可能な身元情報を含みません |
| 検査の録画 | リモートセッションの録画および静止画 | リモートサービスの規約に別途準拠します。人物の録画は請求により削除可能であり、作品の写真および非個人的な確認記録は保持されます | リモートサービスの規約によります。本ポリシーでは再掲しません |
第3条 消去が及ぶ範囲（誠実な記載）
消去の範囲はご本人が選べます。すべてを削除することも、証明書の所有者確認のためにメールアドレスのみを当社に残すこともできます。当社が保持するメールアドレスは所有者確認の手段であるため、完全な消去を行うと、所有者サインインは永久に利用できなくなります。メールアドレスを残した場合は、後からいつでも完全な消去を行えます。また、公開証明書から氏名を消したいだけの場合は、消去ではなく、証明書ページで同意を撤回してください。所有者アクセスには影響しません。
本人（またはその遺産管理人）からの検証済みの請求があった場合：
直ちにライブ環境から削除されるもの：あらゆる証明書上の氏名、メールアドレス、電話番号、国およびメモ。所有権クレーム記録。残存するログインアーティファクト。第2条の保持期間が経過した取引上の連絡先情報。公開証明書の表示は「個人蔵」となります。証明書そのもの、その画像、判定、グレードおよびブロックチェーンアンカー登録は品物に関する記録であり、影響を受けません。
本人に代わって記録されるもの：非個人的な削除記録（日付、削除されたデータの区分、担当スタッフ）。誰が消去されたかを保持することなく、消去が行われた事実の証拠を保持します。
消去が及ばない範囲（明記します）：
- データベースのバックアップは、ローリング期間が満了するまで過去の値を保持します。バックアップは直接編集されません。消去されたデータはバックアップからも自動的に消滅します。
- 第2条の保持期間中の記録（税務、紛争、保証の管理）は、当該期間の満了時に削除処理され、それ以前には行われません。
- メールプロバイダーが保持する配信ログは当社の管理外です。
- ブロックチェーンは編集できませんが、消去すべき個人情報を一切保持していません。これは設計によるものであり、それ以外のすべての消去が可能である理由です。
「完全な消去」を約束するポリシーは虚偽となります。誠実な約束は上記のとおりです。
第4条 請求の方法
authentic@rinkya.com宛てに、本人（または本人を検証可能に代理する者）からメールでご請求ください。身元は、当社が既に保持する記録と照合して確認します。身分証明書の提出は求めません。請求はスタッフが対応します。現在の規模では、セルフサービスの削除機能は提供していません。
第5条 サイト解析とCookie
本サイトの公開ページでは、閲覧者がどのように本サイトを見つけ、読んでいるかを把握するために Google アナリティクス を使用しています。当社が実施している解析はこれのみです。これを用いた広告配信は行わず、サイトを横断したプロファイルの作成も行わず、収集された情報の販売または共有も行いません。Googleは当社に代わってこれを処理します。
Googleが受け取る情報：
- 閲覧されたページおよび滞在時間。
- IPアドレスから推定される概略の所在地（都市レベル）。IPアドレスそのものは保存されず、レポート上で当社が参照することもできません。
- デバイス、ブラウザおよび言語。
- 流入元のサイト、および当社の短縮リンクに付与されたキャンペーンタグ。これにより、どのソーシャル投稿からの流入かを識別します。
Cookieについて。Google アナリティクスは、再訪のブラウザと新規のブラウザを区別するためにCookieを設定します。これとは別に、所有者セッションまたはアーティストセッションにおいてサインイン状態を維持するための必須Cookieがあります。こちらは解析用ではなく、下記の選択の対象にはなりません。
EEA、英国またはスイスにお住まいの場合、バナーで同意されるまで解析用Cookieは設定されません。同意されるまでの間、Googleが受け取るのはCookieも永続的な識別子も伴わないページ数のみです。これらの地域以外では、解析用Cookieは既定で設定されます。広告および広告のパーソナライズに関する保存は、いずれを選択された場合でも、すべての地域のすべての閲覧者について無効にしています。
選択の変更。バナーで拒否された場合、その拒否は記録され、以後のご訪問においても尊重されます。選択はご自身の端末に保存されるため、ブラウザで本サイトのデータを消去すると設定はリセットされ、再度お尋ねすることになります。また、Googleはすべてのサイトでアナリティクスを無効化するブラウザアドオンを提供しています。
解析を実施しない範囲。サインイン済みの所有者ページ、アーティストスタジオ、スタッフ用ページ、および認証情報またはトークンを含むアドレス。これらのページでは解析を一切読み込まないため、非公開のリンクがGoogleに渡ることはありません。