信じるだけでなく、確かめられる通信を。
ZetSIMは200+か国で、旅行者の個人情報、決済、ネットワーク通信を取り扱っています。このページでは、それらがどのように保護されているかを具体的にご説明します。取得している認証、その裏付けとなる管理策、データを処理する事業者、そして問題発生時の対応についてです。
Zetexa Global Private Limitedは、カナダ、英国、米国で現地接続を提供する登録済みMVNOであり、サービスを提供する各市場で通信事業の許認可のもとで運営しています。
すべての判断の基盤となる4つの約束
eSIMは認証情報です。法律をよく知らない国で、見知らぬ事業者のネットワークにお客様を認証させるものです。この非対称性があるからこそ、私たちはプロビジョニングのセキュリティ、データの最小化、規制への適合を書類上の手続きではなく、製品の機能として扱っています。
お伺いするのは、購入とプロビジョニングに本当に必要な情報だけです。データプランの購入にパスポートのアップロードは不要で、追加購入を促すために密かにプロファイリングすることもありません。
ZetSIMはカナダ、英国、米国で登録されたMVNOであり、その他の国では認可を受けたホスト事業者とのみ提携しています。規制を遵守していることも、製品の一部だと考えています。
eSIMプロファイルは暗号化された認証情報です。当社のプロファイルは1つのeUICC向けに暗号化され、利用は1回限り。端末を紛失した場合は、サポートがすぐに無効化できます。
このページのすべての記載には、その根拠となる資料を明記しています。報告書が非公開の場合はその旨を記載し、認証を取得していない規格のロゴは掲載しません。
私たちが準拠する基準
各項目には、基準の名称、ZetSIMで実際に対象となる範囲、確認方法を記載しています。報告書が機密の場合は、その旨を明記しています。
カード情報の取得、保存、決済処理は、PCI DSS認定の決済代行会社が行います。カード番号やCVVがZetSIMのインフラに保存されることはなく、当社のカード会員データ環境はアーキテクチャによって最小限に抑えられています。
当社の管理策は、セキュリティ、可用性、機密保持に関するSOC 2のトラストサービス規準に対応付けています。報告書は公開せず、法人のお客様とパートナーに提供しています。
処理目的ごとに法的根拠を文書化し、データ移転は標準契約条項（SCC）に基づいて行い、データ主体の権利行使には30日以内に対応します。法人のお客様にはデータ処理契約（DPA）をご用意しています。
カリフォルニア州の居住者は、ご自身のデータの開示、削除、訂正、ポータビリティを請求でき、クロスコンテキスト行動広告を目的とした個人情報の共有をオプトアウトできます。当社が個人情報を販売することはありません。
インドで設立されたデータ受託者として、ZetSIMは自ら行う処理について通知を行って同意を取得し、訂正および消去の請求に応じ、support@zetexa.comで苦情窓口を運営しています。
コンシューマー向けeSIMのプロビジョニングは、GSMA認定のSM-DP+プラットフォーム上で行われ、端末とサーバー間の相互認証にはGSMAの証明書階層を使用しています。
米国内の現地通信は、登録された仮想移動体通信事業者（MVNO）として、認可を受けたホストネットワーク上で提供しています。消費者への情報開示とネットワーク利用に関するFCC規則が適用されます。
カナダの現地プランは、登録された電気通信サービス事業者として、CRTCの義務に基づき、認可を受けたカナダのホストネットワーク上で提供しています。
インドでの事業は、インドで提供されるサービスに適用される契約者確認および法執行機関によるアクセスへの対応義務を含め、電気通信省（DoT）の認可に基づいて行っています。
47の管理策を、わかりやすい言葉で
各管理策を開くと、その内容と裏付けとなる証跡を確認できます。暗号化、データ保持、プロビジョニング、アクセスレビューなど、検索でトピックに直接移動できます。
ガバナンス
5件の管理策セキュリティには責任者を置き、文書化し、定期的に見直しています。インシデントのたびに場当たり的に対応することはありません。
プライバシーとデータ保護
8件の管理策eSIMの販売、プロビジョニング、サポートに必要な最小限の情報のみを収集します。旅行者のデータを販売することはありません。
決済
5件の管理策カード情報はZetSIMのシステムに保存されません。認定を受けた決済代行会社が取得、トークン化、決済処理を行います。
eSIMとプロファイルのセキュリティ
7件の管理策プロビジョニングはGSMAのリモートSIMプロビジョニング仕様に準拠しています。すべてのプロファイルは1台の端末に紐付けられます。
インフラと暗号化
6件の管理策標準的で実績があり、広く理解されている保護策を、すべての環境に一貫して適用しています。
アクセス制御
5件の管理策最少の人数に、最小の権限を、最短の期間だけ。誰が何をしたかは記録に残ります。
アプリケーションセキュリティ
4件の管理策変更はレビューし、依存関係は監視し、外部の専門家にも確認を依頼しています。
インシデント対応とレジリエンス
7件の管理策深刻度はお客様への影響で判断します。旅行者がデータ通信を使えない状態は、それだけでインシデントです。
購入から削除までのお客様のデータ
データ管理者はZetexa Global Private Limitedです。eSIMの販売、プロビジョニング、サポートに必要な最小限の情報のみを収集し、旅行者のデータを販売することはありません。
QRコードをスキャンしたときに実際に起きていること
eSIMの配信は、ほとんどの方が目にすることのない部分です。GSMAのリモートSIMプロビジョニング方式で動作し、各ステップは暗号技術によって1台のデバイスに紐づけられています。
ご購入時、GSMA認定のSM-DP+プラットフォーム上でプロファイルを生成し、それに紐づくアクティベーションコードを発行します。認証情報そのものがメールで送られることはなく、送られるのはその参照先だけです。
ダウンロード時、お使いのスマートフォンのeUICCとプロビジョニングサーバーが、GSMAの証明書階層を通じて相互に認証します。プロファイルはそのチップ専用に暗号化されるため、他の端末にはインストールできません。
プロファイルがインストールされると、アクティベーションコードとMatching IDは使用済みになります。スクリーンショットを共有されても、何もプロビジョニングされません。端末を紛失した場合は、サポートがプロファイルを無効化し、残りのデータが使われないようにします。
問題が起きたときの対応手順
重大度は社内の都合ではなく、お客様への影響に基づいて判断します。データ通信できない旅行者がいれば、それは問い合わせではなくインシデントです。
監視、通信事業者からのアラート、またはお客様からの報告をもとにインシデントを起票します。ZetSIMの誰もが起票でき、エスカレーションに許可は必要ありません。
インシデント責任者を任命し、お客様への影響に基づいて深刻度を設定します。プロビジョニングの障害やデータ漏えいは、社内の不便より優先されます。
アクセスを遮断し、認証情報を更新し、影響を受けた経路を隔離します。被害の拡大防止と並行して、証拠の保全を行います。
個人データ侵害が確認された場合、GDPRが適用されるときは不当な遅滞なく72時間以内に監督機関へ報告し、リスクに応じて影響を受けた方にも通知します。
責任追及をしない振り返りで、経緯、要因、是正措置をまとめ、担当者と期日を定めて、製品開発と並行して進捗を管理します。
お客様のデータを扱うその他の事業者
以下の第三者はすべて契約を締結し、導入前に評価を行い、記載された目的にのみ利用を限定しています。最新の正式な一覧はご請求に応じてご提供します。
読む、または請求する
公開資料はワンクリックでご覧いただけます。監査報告書、ペネトレーションテストの概要、最新の委託先一覧などの機密資料は、NDAに基づきお客様とパートナーに開示します。
率直にお答えします
We do not sell personal data. We do use marketing and advertising partners to run campaigns, and where you live may give you the right to tell us not to share your information for targeted advertising — email support@zetexa.com and we will apply that preference.
Customer and order data sits with our commerce and support providers in their operating regions, protected by contractual transfer safeguards. Network traffic is carried in the destination country by the licensed local operator, which is what makes a local plan local. Our subprocessor register names each party and its region.
A profile is cryptographically bound to the single eUICC that downloaded it, and the activation code is single-use. Once installed, a copy of the QR is useless. If your device is lost, contact support and we disable the profile.
No. Card data is captured and stored by PCI DSS certified payment providers. ZetSIM sees a token, the last four digits and the transaction result — never the full card number or CVV.
SOC 2 is the framework our control set is mapped to, and the report is shared with customers and partners under NDA rather than published. Where we are not certified against a standard we say so on this page instead of displaying a badge.
Email support@zetexa.com with your company, the document you need and any deadline. Standard requests — DPA, security overview, subprocessor register, insurance summary — are usually turned around within five business days.
Your account data is deleted or de-identified on verified request. Transaction, invoice and tax records are kept for the period the law requires in the relevant jurisdiction, then removed on the normal retention cycle.