プライバシーポリシー

第1条（個人情報の定義）

本ポリシーにおいて、個人情報とは、個人情報保護法第2条第1項により定義された個人情報、すなわち、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含みます）、または個人識別符号が含まれる情報を指します。

第2条（収集する情報）

第3条（個人情報の利用目的）

当社は、取得した個人情報を以下の目的で利用します。

1. サービスの提供・運営
   • アカウントの作成・管理
   • ログイン認証
   • サービス機能の提供（AI Tutor機能を含む）
   • 利用履歴の保存と表示
   • カスタマイズされた学習体験の提供
2. サービスの改善・開発
   • サービスの利用状況の分析
   • 新機能の開発
   • ユーザー体験の向上
   • バグの修正
3. コミュニケーション
   • お問い合わせへの対応
   • お問い合わせフォーム送信者への返信・フォローアップメール（送信をもって当該配信への同意とみなします）
   • サービスに関する重要なお知らせ
   • メンテナンス情報の通知
4. マーケティング（アプリ利用者向け・オプトイン方式）: myandemy.ai アプリの利用者が登録時等で明示的に同意した場合に限り、サービスに関する情報・新機能・キャンペーンを案内します。ウェブサイトのお問い合わせフォームに伴うフォローアップは上記「コミュニケーション」に該当し、本項には含みません。
   • サービスに関する情報のお知らせ
   • 新機能やキャンペーンの案内
   • 配信停止はいつでも可能です。
5. セキュリティ・不正利用防止
   • 不正アクセスの検知・防止
   • 利用規約違反の調査
   • システムの安全性維持
6. 法令遵守
   • 法令に基づく対応
   • 権利の保護

第4条（AI Tutor機能におけるデータの取扱い）

本サービスのAI Tutor機能は、Google LLC が提供するGoogle Gemini APIを使用しています。

第5条（個人情報の第三者提供）

当社は、以下の場合を除き、利用者の同意なく個人情報を第三者に提供することはありません。

1. 法令に基づく場合
2. 人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難である場合
3. 公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難である場合
4. 国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがある場合

当社は、利用者の個人情報を第三者に販売することはありません。

第6条（外部サービスの利用・業務委託）

第7条（Cookieおよび類似技術の使用）

第8条（セキュリティ対策）

当社は、個人情報の漏えい、滅失、毀損等を防止するため、以下のセキュリティ対策を講じています。

1. 通信の暗号化: すべての通信にSSL/TLS暗号化を使用しています。
2. データの暗号化: パスワードは暗号化（ハッシュ化）して保存しています。データベースに保存されるデータは暗号化されています。
3. アクセス制御: Supabaseの行レベルセキュリティ（RLS）により、利用者は自身のデータのみにアクセスできます。
4. インフラストラクチャ: データベース基盤であるSupabaseは、AWSのセキュアなインフラストラクチャ上で運営されています。
5. 不正アクセス防止: ファイアウォールおよび不正アクセス検知システムを導入しています。
6. 組織的対策: 個人情報保護管理責任者の設置、個人情報取扱規程の策定・運用を行っています。

第9条（個人情報の保管期間）

当社は、個人情報を利用目的の達成に必要な期間に限り保管します。

法令により保管が義務付けられている場合は、当該法令に従い保管します。

アカウント削除後、当該アカウントに関連する個人情報は、法令に基づく保管義務がある場合を除き、30日以内に完全に削除します。

第10条（利用者の権利）

利用者は、当社に対し、個人情報保護法その他の適用法令に基づき、以下の権利を行使することができます。

1. 開示請求権: 当社が保有する個人データの開示を請求する権利
2. 訂正請求権: 保有個人データの内容が事実でない場合に訂正を請求する権利
3. 利用停止請求権: 保有個人データの利用停止を請求する権利
4. 削除請求権: 保有個人データの削除を請求する権利
5. 第三者提供停止請求権: 保有個人データの第三者への提供の停止を請求する権利

これらの権利を行使される場合は、本ポリシー末尾に記載の連絡先までご連絡ください。原則として、ご請求を受けてから30日以内に対応します。

第11条（EEA・英国居住者の権利 — GDPR）

欧州経済領域（EEA）および英国にお住まいの利用者は、EU一般データ保護規則（GDPR）および英国GDPRに基づき、第10条に定める権利に加え、以下の権利を有します。

1. データポータビリティの権利: 利用者が提供した個人データを、構造化された、一般的に使用される、機械で読み取り可能な形式で受け取る権利
2. 処理の制限を求める権利: 一定の条件のもと、個人データの処理の制限を求める権利
3. 異議申立権: 当社の正当な利益に基づく処理に対して異議を申し立てる権利
4. 自動処理に基づく決定の拒否権: 自動処理のみに基づく、法的効果を生じさせる決定を拒否する権利

当社がGDPR上のデータ管理者（Data Controller）となります。法的根拠は、利用者の同意、契約の履行、当社の正当な利益、または法的義務の遵守です。

これらの権利の行使または苦情の申し出については、本ポリシー末尾の連絡先にお問い合わせください。利用者は、お住まいの国のデータ保護当局に苦情を申し立てる権利も有します。

第12条（カリフォルニア州居住者の権利 — CCPA）

カリフォルニア州にお住まいの利用者は、カリフォルニア州消費者プライバシー法（CCPA）に基づき、以下の権利を有します。

1. 知る権利: 当社が収集、使用、共有する個人情報のカテゴリおよび具体的な内容を知る権利
2. 削除を求める権利: 当社が収集した個人情報の削除を求める権利
3. オプトアウトの権利: 個人情報の第三者への「販売」をオプトアウトする権利
4. 差別を受けない権利: プライバシー権の行使を理由として差別的な扱いを受けない権利

当社は、利用者の個人情報を「販売」（CCPAにおける定義）することはありません。

CCPA上の権利を行使される場合は、本ポリシー末尾の連絡先にご連絡ください。12か月間に2回までリクエスト可能であり、ご請求を受けてから45日以内に対応します。

第13条（子供のプライバシー）

本サービスは、13歳未満の方を対象としておらず、13歳未満の方からの個人情報の収集を意図していません。13歳未満の方は本サービスを利用できません。

17歳未満の方が本サービスを利用する場合は、保護者の同意を得たうえでのご利用を推奨します。

13歳未満の方の個人情報を意図せず収集したことが判明した場合、当社は速やかに当該情報を削除します。該当するケースにお気づきの場合は、本ポリシー末尾の連絡先までご連絡ください。

第14条（Do Not Track信号への対応）

一部のブラウザには「Do Not Track（DNT）」信号を送信する機能があります。当社が自社サーバー上で運用するアクセス解析（第一者Cookie）については、DNT信号が有効な場合はトラッキングを行いません。Google Analytics等の外部解析サービスについては、各事業者のポリシーに従います。

第15条（国際的なデータ転送）

当社が利用する外部サービス（Supabase、Google等）は、日本国外にサーバーを有しており、利用者の個人情報が日本国外（主に米国）に転送される場合があります。

当社は、転送先の国における個人情報の保護水準を考慮し、適切な安全管理措置（契約上の保護措置を含む）を講じることにより、利用者の個人情報を保護します。

第16条（プライバシーポリシーの変更）

1. 当社は、法令の改正やサービスの変更等に伴い、本ポリシーを変更することがあります。
2. 本ポリシーを変更する場合、変更後のプライバシーポリシーの効力発生日を明示のうえ、本サービス内に掲載します。
3. 重要な変更については、アプリ内通知または電子メール等で事前にお知らせします。
4. 変更後のプライバシーポリシーは、効力発生日から効力を生じるものとします。