プライバシーポリシー

1. はじめに

RkiveAI España S.L.（以下「RkiveAI」「当社」「私たち」）は、ご提供いただく個人データのプライバシーと安全を守ることをお約束します。本プライバシーポリシーでは、以下の内容を説明します。

当社が収集する個人データのカテゴリ
データを処理する理由と方法（「処理の法的根拠」）
データを共有する相手
データを保持する期間
GDPR を含む適用されるデータ保護法に基づくお客様の権利
質問や苦情がある場合の当社または監督機関への連絡方法

当社のサービス（以下「サービス」）をご利用になることで、本ポリシーに記載された個人データの収集および利用に同意したものとみなされます。内容にご同意いただけない場合は、サービスのご利用をお控えください。

2. 当社について & 連絡先

データ管理者:

RkiveAI España S.L. 宛先: Data Protection Officer Paseo de la Castellana 91, Planta 4, Puerta 1. Madrid, Spain. 28046.

本ポリシーに関して質問がある場合や、データ保護に関する権利を行使したい場合は、データ保護責任者（DPO）宛に legal@rkiveai.com までご連絡ください。

当社からの対応にご満足いただけない場合は、スペインのデータ保護機関（AEPD）へ苦情を申し立てることができます。

AEPD C/Jorge Juan, 6, 28001 Madrid, Spain https://www.aepd.es

3. 用語の定義

**「個人データ」**または「個人情報」とは、特定されたまたは特定可能な自然人に関するあらゆる情報（例: 氏名、メールアドレス、IP アドレス、デバイス ID）を指します。
**「特別カテゴリーの個人データ」**とは、当社が意図的に収集しない機微なデータ（例: 人種、民族、健康状態など）を指します。
**「処理」**とは、個人データに対して行われる一切の操作（収集、保存、利用、開示、変更、削除など）を指します。
**「データ主体」**とは、当社が個人データを処理する特定されたまたは特定可能な自然人（例: 登録ユーザー）を指します。
**「GDPR」**とは、欧州連合の一般データ保護規則（Regulation EU 2016/679）を意味します。

4. 当社が収集する情報

サービスを提供・維持・改善し、安全性を確保するために、当社はさまざまなカテゴリの個人データを収集・処理します。主なカテゴリは以下のとおりです。

アカウント・プロフィールデータ
ユーザー生成コンテンツ
技術・利用状況・デバイスデータ
コミュニケーション・サポートデータ

4.1 アカウント・プロフィールデータ（直接取得）

アカウント登録または更新時に、以下を収集することがあります。

連絡先情報: 氏名、メールアドレス、電話番号（任意）、請求先/配送先住所、請求情報、VAT などの税務識別情報（該当する場合）
認証情報: ユーザー名、ハッシュ化されたパスワード、ソーシャルログイントークン（Google や Facebook 等に連携した場合）
プロフィールと設定: プロフィール写真（任意）、言語設定、タイムゾーン、通知設定、マーケティング配信などの選択状況

法的根拠: 契約の履行（アカウントの作成と管理）／正当な利益（不正防止、利用規約の遵守）

4.2 ユーザー生成コンテンツ & アップロードファイル

AI 機能の利用時に、以下をアップロードまたは入力する場合があります。

ドキュメント、画像、動画、テキスト等（総称して「お客様コンテンツ」）
AI が生成した結果（書き起こし、要約、その他のアウトプット）
操作に関するメタデータ（編集履歴、ファイル名など）

法的根拠: 契約の履行（ご依頼いただいた AI サービスの提供）／正当な利益（サービス改善、トラブルシューティング）

4.3 技術・利用状況・デバイスデータ（自動取得）

当社のシステムおよび第三者の分析プロバイダーは自動的に以下を収集します。

デバイスおよびブラウザデータ: IP アドレス、デバイス識別子（UUID など）、ブラウザの種類とバージョン、OS、画面解像度、言語設定
ログデータ: ログイン/ログアウト時刻、API 呼び出し、閲覧ページ、アクセスしたファイル、発生したエラー
利用分析: 機能の利用状況、クリックストリーム、セッション継続時間、パフォーマンス指標
Cookie 等の追跡技術: セッション管理、設定保存、分析、および（同意がある場合）マーケティングのため

法的根拠: 正当な利益（サービスの維持・安全確保・改善、不正防止）／同意（Cookie およびマーケティング目的の追跡）

4.4 コミュニケーション & サポートデータ

当社にお問い合わせいただいた場合（サポートチケット、メール、チャットなど）には、以下を処理することがあります。

やり取りの内容: メール内容、チャットメッセージ、通話録音（該当する場合）
サポートメタデータ: 件名、タイムスタンプ、案件番号、対応状況

法的根拠: 契約の履行（サポート提供）／正当な利益（サポート品質向上、紛争解決）

5. 個人データの利用目的

5.1 サービス提供・改善のため

コア機能の提供: アカウント認証、AI アウトプット生成、決済処理、ファイルホスティング
パフォーマンス向上: 利用状況やログを分析し、速度・信頼性・機能を最適化
体験の最適化: 言語や UI 設定などの好みを保存し、利用状況に応じて関連機能を提案
不正・濫用の防止: 異常なアクティビティを監視し、利用規約を施行し、無許可アクセスから保護

法的根拠: 契約の履行／正当な利益（サービス品質・セキュリティ）

5.2 請求、支払い、返金

支払い処理: [Apple Pay、Google Pay、Stripe] を利用してサブスクリプションや取引手数料を安全に処理します。請求情報を収集し、PCI DSS に基づきカード情報を最小限で保存します。
請求書・税務管理: 請求書の発行、VAT 等の税額計算、監査対応のための記録保持

法的根拠: 契約の履行／法的義務の遵守（税法）

5.3 コミュニケーション & マーケティング

トランザクションメール: パスワードリセット、請求書、セキュリティ通知などの必須情報をお送りします。
サービス更新: 主要な機能リリース、定期メンテナンス、ポリシー変更をお知らせします。
プロモーションメッセージ（任意）: 事前の同意を得た場合にニュースレター、特別オファー、アンケートを配信します。メール内のリンクやアカウント設定でいつでも購読解除できます。

法的根拠:

トランザクション: 契約の履行／正当な利益（重要な変更事項を通知するため）
プロモーション: 同意（オプトイン）

5.4 研究開発

処理済み・非識別化された分析データ: 当社は、処理済みかつ非識別化された利用・性能シグナルを分析し、傾向把握、機能検証、製品品質の改善に活用します。
モデル改善: 法令で認められる範囲で、モデル改善には、個人を直接特定しないよう設計された処理済み・非識別化の分析/インタラクションシグナルを用いた学習が含まれる場合があります。

法的根拠: 正当な利益（プロダクトの改善）

6. データの共有・開示

当社は個人データを販売または賃貸することはありません。データは以下の場合、またはお客様の明示的な同意がある場合に限り共有します。

6.1 サービスプロバイダー & サブプロセッサー

以下のような機能を委託する第三者と連携します。

クラウドホスティング & インフラ（保管・計算・バックアップ）
分析プロバイダー（匿名化または集計データによるインサイト）
決済代行（サブスクリプションの処理・確認）
メール配信サービス（トランザクション・マーケティングメールの送信）
カスタマーサポートツール（サポートチケットやチャットの管理）

アクセス権を付与する前に、各プロバイダーに対して以下を確認します。

GDPR レベルのセキュリティと機密保持を約束するデータ処理契約（DPA）の締結
当社の指示に従ってのみデータを処理すること
データを自社目的で利用しないこと

6.2 法的・コンプライアンス上の義務

法律、規制、召喚状または裁判所命令に基づき開示が求められた場合、以下を含む対応を行うことがあります。

公的機関（裁判所、規制当局など）からの合法的な要請への対応
税務、財務、会計監査への対応
違法行為の防止・調査、詐欺疑惑、権利・人・財産への脅威への対処

6.3 事業承継

合併、買収、資産売却等が発生した場合、個人データが承継先に移転することがあります。その際は、移転前に通知し、新たなプライバシーポリシーの適用についてお知らせします。

6.4 集計・非識別化データ

当社は、個人を特定できないことを前提として、集計または非識別化された指標（例: 利用統計、性能指標）を、パートナー、投資家、または公衆に共有する場合があります。

7. 国際データ移転

お客様データは主に EU 内のサーバーで保管・処理されます。EU/EEA 以外へデータを転送する必要が生じた場合（例: 他地域のプロバイダーによるサポート）、以下の適切な保護措置の下で行います。

標準契約条項（SCC） — 欧州委員会が承認したモデル契約
拘束的企業準則（BCR） — グループ内で適用される場合
十分性認定 — 欧州委員会が十分な保護水準を認定した国への移転

これらの移転を実施する際は、事前に使用する保護措置を明示してお知らせします。

8. データの保存期間

本ポリシー記載の目的を達成するため、または法令で定められた期間に限り個人データを保存します。概要は以下のとおりです。

カテゴリ	保存期間
アカウント・プロフィールデータ	アカウントが有効な期間 + アカウント閉鎖後最大 3 年
請求・取引記録	スペイン/EU の税務・財務規制に従い少なくとも 10 年
サポート・コミュニケーションログ	最大 5 年（法的により長期保存が必要な場合を除く）
利用・分析データ（匿名化済）	最大 5 年（もしくは完全に匿名化されるまで）
セキュリティ・監査ログ	不正や濫用を検出・調査するため無期限で保存することがあります

保存期間が終了した場合は、データを安全に削除または匿名化します。

9. Cookie と追跡技術

当社は Cookie、ウェブビーコンなどを利用し、ブラウザ/デバイスを識別し、設定を記憶し、サイト利用状況を把握します。ブラウザ設定で Cookie を管理できますが、一部の Cookie を無効化するとサービス機能に影響することがあります。

9.1 使用する Cookie の種類

必須（Strictly Necessary）Cookie
- 基本機能に必要（例: アカウント認証、カート機能）
- 中核サービスを利用する場合は無効化できません
パフォーマンス & 分析 Cookie
- サービス利用状況（ページ訪問、機能利用など）の匿名データを収集
- 速度やユーザー体験の最適化に役立てます
- 多くは第三者の分析プロバイダーが設定
機能 Cookie
- 言語や地域などの設定を記憶し、体験をパーソナライズ
広告 & マーケティング Cookie（同意がある場合）
- ウェブ閲覧行動を追跡し、より関連性の高い広告を配信
- これらの Cookie についてはオプトアウトが可能

初回訪問時には Cookie バナーを表示し、各カテゴリの説明と（法で求められる場合は）同意取得を行います。設定はアカウント内でいつでも変更するか、ブラウザの Cookie を削除することでリセットできます。

10. セキュリティ対策

当社は業界標準の管理的・技術的・物理的セーフガードを実施しています。

通信・保存時の暗号化: すべてのデータ送信は TLS（HTTPS）で暗号化し、支払い情報などの機密データは保存時にも暗号化します。
‍ アクセス制御: 従業員に対して役割ベースの権限管理を行い、特権アカウントには多要素認証（MFA）を適用、定期的に権限をレビューします。
脆弱性管理: 定期的なセキュリティ監査、侵入テスト、パッチ適用を実施し、既知の脆弱性に対応します。
インシデント対応計画: セキュリティインシデントを検知・調査・対応する手順を整備し、GDPR の通知期限（可能な限り 72 時間以内）に沿って影響を受けたユーザーや当局に通知します。
データ最小化: 目的達成に必要なデータのみを収集し、不要になったデータは削除または匿名化します。

これらの対策を講じても、インターネット上の通信に絶対的な安全はありません。インターネットを介して個人データを送信する際の残余リスクについてご理解ください。

11. GDPR に基づくお客様の権利

EU または英国に居住する場合、個人データについて以下の権利を有します。行使したい場合は legal@rkiveai.com までご連絡ください。原則 1 か月以内（法令で定められた期間内）に対応します。

アクセス権: 当社が保有する個人データの写しおよび処理に関する情報を請求できます。
訂正権: 不正確または不完全なデータの修正を求めることができます（例: メールアドレスの更新）。
消去権（忘れられる権利）: 元の目的に不要となったデータの削除を求めることができます。ただし、税務記録など法的義務により保存が必要な場合は除きます。
処理の制限権: データの正確性に異議がある場合など、一定の状況で処理の停止を求めることができます。
データポータビリティ権: 構造化された機械可読形式（JSON や CSV など）でデータの写しを受け取り、他の管理者へ転送できます。
異議申し立て権: 正当な利益に基づく処理に異議を唱えることができ、当社が優越する正当な理由を示せない限り処理を停止します。ダイレクトマーケティングはいつでも拒否できます。
同意撤回権: 当社が同意に基づいて処理している場合（マーケティングメールや非必須 Cookie など）、いつでも同意を撤回できます。撤回前の処理には影響しません。
苦情申立権: 当社の処理が法令に違反していると考える場合、監督機関（例: AEPD）に苦情を申し立てることができます。

12. 子どものプライバシー

サービスは 18 歳未満を対象としていません。当社は 18 歳未満の個人から故意にデータを収集することはありません。未成年のデータを誤って収集したことが判明した場合は速やかに削除します。未成年がデータを提供したと思われる場合は legal@rkiveai.com までご連絡ください。

13. 本プライバシーポリシーの変更

当社は本ポリシーを随時更新することがあります。変更時には以下を実施します。

施行日を更新した最新版をウェブサイトに掲載します。
重大な変更（新たな処理目的、データ共有の追加など）の場合は、実施の少なくとも 30 日前にメールまたはアプリ内通知でお知らせします。

施行日以降にサービスの利用を継続することで、改定後のプライバシーポリシーに同意したものとみなされます。変更に同意いただけない場合は、サービスの利用を停止し、以下の手順でデータ削除をリクエストしてください。

14. アカウントとデータの削除方法

個人データの削除を希望する場合は、以下をご覧ください。 https://www.rkiveai.com/ja/data-deletion

15. 第三者サイトへのリンク

当社のサービスには、当社が管理しない第三者のウェブサイト、プラグイン、サービスへのリンクが含まれる場合があります。第三者サイトを訪問すると、そのサイトのプライバシーポリシーが適用されます。訪問するすべてのサイトのプライバシー通知をご確認ください。外部サイトの内容や運用について、当社は責任を負いません。

16. 海外のユーザー

欧州経済領域（EEA）外からサービスを利用する場合、データは EEA 内で転送・保存されることに留意してください。サービスを利用することで、情報が EEA に転送されること、および EU のデータ保護法が居住国の法律と異なる可能性があることを承諾したものとみなされます。EEA 外へ個人データを転送する必要がある場合は、標準契約条項など適切な保護措置に依拠します。

17. その他

自動化された意思決定は行いません。 法的または同等の重大な影響を及ぼす完全自動の意思決定にお客様の個人データを利用することはありません。
データの販売は行いません。 個人データを第三者に販売することはありません。
データ管理者と処理者の役割。 当社に直接提供いただくデータについて、RkiveAI はデータ管理者として行動します。外部連携機能（例: Google Drive との接続）を利用する場合、第三者が自らのプラットフォームで処理するデータについては、その第三者が独自のデータ管理者となる場合があります。

18. グローバルプライバシー通知

RkiveAI España S.L.（「当社」）はスペイン・マドリードに本社を置き、主として EU GDPR に基づきデータを処理しています。世界中のユーザーにサービスを提供しているため、各地域の権利について以下のとおりご案内します。

欧州経済領域（EEA）/英国
- 権利については本プライバシーポリシー第 11 節をご参照ください。
- 当社は SCC（標準契約条項）に基づき EEA 外へデータを転送します。
カリフォルニア州（CCPA/CPRA）
- 当社はクロスコンテキスト行動広告を目的としてお客様の個人情報を販売または共有することはありません。
- カリフォルニア州居住者は以下を要求できます。
  1. 収集した個人情報のカテゴリとその利用目的
  2. 法的保存義務を除き、個人情報の削除
  3. 将来の販売または共有（該当する場合）のオプトアウト
- これらの権利を行使するには、件名を「CCPA Request」として legal@rkiveai.com へメールしてください。居住地を確認後、45 日以内に回答します。
ブラジル（LGPD）
- 当社は AI サービス提供と改善のため個人データを収集し、AWS、Stripe、Google Analytics などのサブプロセッサーと拘束力のあるデータ処理契約を締結したうえで共有する場合があります。
- ブラジル居住者は、処理の確認、アクセス、訂正、削除、データポータビリティ、いつでも同意を撤回する権利を有します。
- LGPD に基づくリクエストは、件名を「LGPD Request」として legal@rkiveai.com へメールしてください。身元または居住地を確認したうえで 15 日以内に回答します。
その他の法域
- 南アフリカの POPIA、日本の APPI など、地域の法律で追加の権利が認められる場合は、legal@rkiveai.com までご連絡ください。
- お住まいの地域を確認し、現地法で定められた期限または 30 日以内の短い方で対応します。

国際的なリクエストの連絡方法:

件名を「Data Request – [国名]」として legal@rkiveai.com へメールしてください。
以下の情報をご提供ください: (a) 氏名と連絡先、(b) リクエスト内容（例: 「CCPA に基づきデータ削除を希望」）、(c) 必要に応じた本人確認書類や居住証明。
リクエストを適切なチームに回付し、現地法で定められた期間（または 30 日以内の短い方）で回答します。

AWS や決済代行など地域外のベンダーとデータを共有する必要がある場合でも、標準契約条項、十分性認定、拘束的企業準則など適切な保護措置を講じ、相応の保護水準を確保します。

引き続きサービスをご利用になることで、本ポリシーを読み、理解し、その条件に従うことに同意したものとみなされます。