プライバシーポリシー

AIO Tracker（以下「当社」）は、当社が提供するウェブサービス「AIO Tracker」（以下「本サービス」）における、ユーザーの個人情報およびデータの取り扱いについて、以下のとおりプライバシーポリシー（以下「本ポリシー」）を定めます。

本ポリシーは、日本の個人情報の保護に関する法律（個人情報保護法）およびEU一般データ保護規則（GDPR）に準拠しています。

1. 収集する情報の種類

当社は、本サービスの提供にあたり、以下の情報を収集します。

1-1. ユーザーアカウント情報

アカウント登録・認証の目的で、以下の情報を収集します。

• メールアドレス
• パスワード（ハッシュ化して保存、平文での保存は行いません）
• アカウント作成日時
• 決済に関する情報（Stripeを通じて処理されます。当社はクレジットカード番号を直接保持しません）

1-2. トラッキングデータ

ユーザーのウェブサイトに設置されたトラッキングスクリプト（tracker.js）により、以下のデータを収集します。これらのデータは、サイト訪問者個人を特定する情報を含みません。

• ページURL（アクセスされたページのアドレス）
• リファラー（参照元URL）
• User-Agent（ブラウザ・OS情報。AIボットの判定に使用します）
• セッションID（ランダム生成される匿名の識別子。個人を特定しません）
• AI流入ソース判定結果（ChatGPT、Perplexity、Claude、Gemini等の判定ラベル）
• アクセス日時
• ページタイトル

1-3. サービス利用データ

• ダッシュボードへのログイン日時
• 利用プラン情報
• 登録サイト情報（ドメイン名）

2. 情報の利用目的

当社は、収集した情報を以下の目的で利用します。

1. 本サービスの提供・運営（AI流入の計測・分析レポートの生成）
2. ユーザー認証およびアカウント管理
3. 有料プランの請求処理
4. サービスの改善・新機能の開発
5. 利用状況の統計分析（匿名化・集計化したデータのみ使用します）
6. サービスに関する重要な通知（規約変更、メンテナンス情報等）
7. ユーザーからのお問い合わせへの対応
8. 不正利用の防止およびセキュリティの確保

3. 第三者への情報提供

当社は、以下のサービス提供者（サブプロセッサー）とデータを共有します。いずれも、サービス提供に必要な範囲でのみデータを処理します。

上記以外の第三者に対しては、以下の場合を除き、ユーザーの個人情報を提供しません。

• ユーザーの同意がある場合
• 法令に基づく開示要求がある場合
• 人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難である場合

4. Cookieの使用

4-1. 本サービス（ダッシュボード）

ダッシュボードでは、ユーザー認証のためにセッションCookieを使用します。これはログイン状態を維持するために必要なCookieであり、トラッキング目的では使用しません。

4-2. トラッキングスクリプト（tracker.js）

ユーザーのウェブサイトに設置されるトラッキングスクリプトは、Cookieを使用しません（Cookieレス）。サイト訪問者のプライバシーに最大限配慮した設計となっています。

5. データの保持期間

1. トラッキングデータ: ご利用プランに応じた保持期間が適用されます（Freeプラン: 7日間、Proプラン: 90日間、Businessプラン: 365日間）。保持期間を超えたデータは自動的に削除されます。
2. アカウント情報: アカウントが有効な間保持されます。アカウント削除の要求があった場合、30日以内にすべての関連データを削除します。
3. 決済情報: Stripeにより管理されます。法令で定められた保持義務期間が適用されます。

6. ユーザーの権利

ユーザーは、個人情報保護法およびGDPRに基づき、以下の権利を有します。

• アクセスの権利: 当社が保有するユーザーの個人データへのアクセスを請求できます。
• 訂正の権利: 不正確な個人データの訂正を請求できます。
• 削除の権利（忘れられる権利）: 個人データの削除を請求できます。ダッシュボードのアカウント設定からアカウントを削除することも可能です。
• データポータビリティの権利: ユーザーのデータを構造化された一般的に利用可能な形式（CSV等）でエクスポートできます。
• 処理の制限の権利: 一定の条件のもと、個人データの処理の制限を請求できます。
• 異議申立ての権利: 個人データの処理に対して異議を申し立てることができます。

これらの権利を行使する場合は、下記のお問い合わせ先までご連絡ください。原則として30日以内に対応いたします。

7. 国際データ転送

本サービスのインフラストラクチャは、Cloudflare（グローバルCDN）およびSupabase（AWS上で運用）を利用しており、データが日本国外のサーバーで処理される場合があります。この場合、当社は以下の措置を講じます。

• 十分なデータ保護水準を有する国への転送、または適切な保護措置（標準契約条項等）に基づく転送を行います。
• サブプロセッサーとの間でデータ処理契約を締結し、適切な安全管理措置の実施を義務付けます。
• GDPRにおけるデータ主体の権利が損なわれないよう、必要な措置を講じます。

8. セキュリティ対策

当社は、ユーザーの情報を保護するために、以下のセキュリティ対策を講じています。

• すべての通信はTLS（HTTPS）により暗号化されています。
• パスワードはbcryptによりハッシュ化して保存しています。平文での保存は行いません。
• データベースへのアクセスは、認証済みのアプリケーションからのみ許可されています。
• Supabaseの行レベルセキュリティ（RLS）により、ユーザーは自身のデータにのみアクセスできます。
• 定期的なセキュリティレビューおよび脆弱性対応を実施しています。
• Cloudflareによる不正アクセス防御（DDoS対策、WAF）を導入しています。

9. 本ポリシーの変更

1. 当社は、法令の改正、サービス内容の変更、その他の理由により、本ポリシーを変更することがあります。
2. 重要な変更を行う場合は、変更の効力発生日の14日前までに、メールまたは本サービス上で通知します。
3. 変更後のポリシーは、本ページに掲載した時点から効力を生じます。

10. 法的根拠（GDPRに基づく処理の法的根拠）

EEA（欧州経済領域）のユーザーに対しては、以下の法的根拠に基づきデータを処理します。

• 契約の履行: アカウント管理、サービス提供のためのデータ処理
• 正当な利益: サービスの改善、セキュリティ確保、不正防止のためのデータ処理
• 法的義務: 法令遵守のためのデータ処理
• 同意: マーケティング通知等、同意に基づくデータ処理（いつでも撤回可能）

11. お問い合わせ

本ポリシーに関するご質問、個人データに関する権利行使のご請求は、以下の連絡先までお願いいたします。

なお、当社の対応にご不満がある場合、管轄のデータ保護機関（日本：個人情報保護委員会、EU：各国の監督機関）に苦情を申し立てる権利があります。