プライバシーポリシー

株式会社メディアリーチ（以下「当社」といいます）は、SEO・LLMO分析サービス「DolphinX」（以下「本サービス」といいます）におけるユーザーの個人情報の取扱いについて、個人情報の保護に関する法律（以下「個人情報保護法」といいます）その他の関係法令を遵守し、以下のとおりプライバシーポリシー（以下「本ポリシー」といいます）を定めます。

第1条（収集する情報）

当社は、以下の情報を収集します。

1. アカウント情報: 企業名、氏名、メールアドレス、パスワード（ハッシュ化して保存）
2. 請求先情報: 請求先担当者の氏名、部署名、メールアドレス、電話番号、住所（契約手続きの過程で取得する場合があります）
3. 招待情報: 組織の管理者がメンバーを招待する際に入力する、被招待者のメールアドレス（本人以外のユーザーから取得します。被招待者は招待の受諾により本サービスのユーザーとなります）
4. 利用状況データ: 本サービスの利用履歴、アクセスログ、操作ログ、機能別使用量
5. Google連携データ: Google Search Console（検索クエリ、クリック数、表示回数、平均掲載順位、ページURL）およびGoogle Analytics 4（ページビュー数、セッション数、ユーザー数、流入元、ランディングページ、デバイス情報）から取得するデータ（詳細は第5条参照）
6. 技術情報: IPアドレス、ブラウザ種類、OS情報、Cookie情報
7. 決済情報: 決済処理はStripe, Inc.を通じて行われます。クレジットカード番号等の決済情報は当社のサーバーには保存されず、Stripeが直接管理します。当社はStripeから提供されるカード下4桁、有効期限、請求情報のみを参照します

第2条（利用目的）

当社は、収集した情報を以下の目的で利用します。

1. 本サービスの提供・運営・改善
2. ユーザー認証およびアカウント管理
3. 利用料金の請求・決済処理
4. プラン別の使用量管理および利用制限の適用
5. ユーザーサポート・お問い合わせ対応
6. 本サービスに関するお知らせ・メンテナンス情報・トライアル期限通知の送信
7. 当社のサービス・新機能・セミナー等のご案内（ご案内メールは、メール内に記載の方法または問い合わせ窓口への連絡により、いつでも配信停止できます）
8. 利用規約に違反する行為への対応
9. 統計データの作成（個人を特定できない形式に加工した上で）
10. 新機能・新サービスの開発

第3条（第三者提供・委託）

1. 当社は、以下の場合を除き、ユーザーの同意なく個人情報を第三者に提供しません。
   • 法令に基づく場合
   • 人の生命、身体または財産の保護のために必要がある場合
   • 公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合
   • 国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合
2. 当社は、本サービスの提供に必要な範囲で、以下の業務について外部の事業者に個人情報を含むデータの取扱いを委託しています。当社は、適切な委託先を選定し、データ処理に関する契約を締結した上で、必要かつ適切な監督を行います。
   • クラウドインフラ（データベース・認証基盤・アプリケーションホスティング・アクセス制御）
   • 決済処理（第6条をあわせてご参照ください）
   • メール配信（通知・招待・お知らせメールの配信）
   • 顧客管理・お問い合わせ対応
   • 外部データ提供元からのSEO・AI検索データの取得
   • AI分析・翻訳・生成処理およびテキスト解析（個人情報は送信前に自動マスキングを行います）
3. 前項の委託先の具体的な名称および業務ごとの所在国の内訳については、第13条のお問い合わせ窓口にご請求いただければ、合理的な範囲で情報提供します。

第4条（外国にある第三者への提供）

1. 前条第2項の委託先には、外国（米国および英国）に所在する事業者が含まれます。また、当社がユーザーデータの保管に利用するクラウドインフラのデータセンターはオーストラリアに所在します。当社は、個人情報保護法第28条に基づき、これらの委託先への個人データの提供について、本ポリシーへの同意をもってユーザーの同意をいただくものとします。
2. 提供先の所在国における個人情報の保護に関する制度については、個人情報保護委員会が公表する「外国における個人情報の保護に関する制度等の調査」をご参照ください。米国には連邦レベルの包括的な個人情報保護法制はありませんが州法等による保護があり、英国にはUK GDPRによる、オーストラリアにはプライバシー法（Privacy Act 1988）による包括的な保護制度があります。
3. 当社は、各委託先との間でデータ処理に関する契約（DPA）を締結し、各委託先がSOC 2その他の国際的なセキュリティ基準に準拠した体制のもとで個人データを取り扱うことを確認した上で利用しています。各委託先が講ずる個人情報保護のための措置に関する詳細は、お問い合わせ窓口にご請求いただければ、合理的な範囲で情報提供します。

第5条（Google APIサービスとの連携）

1. 取得するデータの種類

   本サービスでは、ユーザーの明示的な同意のもと、以下のGoogle APIサービスと連携します。

   • Google Search Console API（読み取り専用、スコープ: webmasters.readonly）: 検索クエリ、クリック数、表示回数、平均掲載順位、平均CTR、ページURL別パフォーマンスデータ
   • Google Analytics 4 Data API（読み取り専用、スコープ: analytics.readonly）: ページビュー数、セッション数、アクティブユーザー数、流入チャネル、ランディングページ、デバイスカテゴリ
2. データの利用目的

   取得したデータは、ユーザー自身のSEOパフォーマンス分析・可視化のためにのみ使用します。データの書き込み・変更は一切行いません。

3. データの保存
   • OAuthアクセストークン・リフレッシュトークンは、AES-256-GCM方式で暗号化して当社データベースに保存します
   • パフォーマンスデータのキャッシュには有効期限を設定し（現在は取得内容に応じて6時間〜24時間、上限は30日間）、有効期限を経過したキャッシュは利用しません
   • ユーザーがGoogle連携を解除した場合、保存されたトークンおよびキャッシュデータを即座に削除します
4. 第三者への共有禁止・AI学習への不使用

   Google APIから取得したデータを、第三者に販売、貸与、またはその他の方法で提供することはありません。広告配信の目的で使用することもありません。また、Google APIから取得したデータを、AIモデル・機械学習モデルの開発・改善・学習に使用することはありません。

5. 連携の解除

   ユーザーは、本サービスの設定画面からいつでもGoogle連携を解除できます。また、Googleアカウントの権限管理画面（https://myaccount.google.com/permissions）からもアクセス権を取り消すことができます。

6. Google API Services User Data Policy準拠

   本サービスにおけるGoogle APIサービスから受け取った情報の使用および他のアプリへの転送は、Google API Services User Data Policy（Limited Use要件を含む）に準拠します。

第6条（決済情報の取扱い）

1. 本サービスの決済処理は、PCI DSS Level 1認定を受けたStripe, Inc.が提供する決済基盤を利用しています。
2. クレジットカード番号、CVV等の機密情報は、当社のサーバーを経由せず、Stripeに直接送信されます。
3. 当社がStripeから受け取る情報は、カード下4桁、カードブランド、有効期限、請求先住所（任意）、および請求・支払い履歴に限られます。
4. Stripeのプライバシーポリシーについては、Stripe Privacy Policyをご参照ください。

第7条（Cookieの使用）

1. 本サービスでは、以下の目的でCookieおよび類似技術を使用します。
   • ユーザー認証およびログイン状態の維持（認証セッションCookie）
   • 2段階認証の確認状態の保持
   • 当社サポート担当者によるサポート業務時のセッション管理
2. 本サービスは、現時点で広告配信目的のCookieおよび第三者によるトラッキングCookieを使用していません。アクセス解析ツールを導入する場合は、本ポリシーを改定の上で周知します。
3. ユーザーは、ブラウザの設定によりCookieの受け入れを拒否することができますが、その場合、ログインを含む本サービスの主要な機能が利用できなくなります。

第8条（データの保管・セキュリティ）

1. ユーザーデータは、クラウド上のデータベース（PostgreSQL）を用いてオーストラリア（シドニーリージョン）で保管され、組織（テナント）単位で厳格にアクセス制御されています（データベースの行レベルアクセス制御（Row Level Security）とアプリケーション層の二重検証）。
2. 通信はすべてTLS/SSLにより暗号化され、保存されるデータはクラウド基盤の機能により保存時にも暗号化されます。Google連携トークンは、さらにAES-256-GCM方式で暗号化して保存します。
3. 当社は、2段階認証の提供、重要操作の監査ログ記録、AIへのデータ送信前の個人情報自動マスキング、従業者の監督その他、不正アクセス、個人情報の紛失、破壊、改ざん、漏洩の防止のために必要かつ適切な安全管理措置を講じます。
4. 外的環境の把握: 個人データの主たる保管場所はオーストラリアです。また、決済・メール送信・AI処理等の一部の処理は、第3条・第4条に記載する外国（米国・英国）の事業者の環境で行われます。当社は、オーストラリアのプライバシー法（Privacy Act 1988）を含む各国の個人情報保護制度を把握した上で、契約および技術的措置により安全管理を図っています。

第9条（データの保存期間）

1. ユーザーのアカウントデータは、アカウントが有効な期間中保存されます。
2. フリートライアル期限切れ後または契約終了後は、30日間データを保持します。30日経過後、当社はユーザーのデータを削除することができるものとします。
3. Google連携データのキャッシュは最大30日間保持し、連携解除時には即座に削除します。
4. 法令上保存が義務付けられている情報（取引記録、請求書等）については、法定期間中保存します。
5. 無料アカウントの申込みにあたり取得した情報（会社名、氏名、メールアドレス、電話番号等）は、申込みの審査結果（承認・見送りのいずれの場合も）にかかわらず、重複申込みの確認及び再度お申込みいただく際の参考情報として保持することができるものとします。
6. AIブランド計測機能において外部AIサービスから取得するデータのうち、デバッグ用の技術データ（外部APIとの通信内容の詳細）は取得から30日経過後に、AIの回答内容（テキストデータ）は取得から13ヶ月経過後に、それぞれ自動的に削除されます。これらの削除は、露出率・引用率等の集計済み統計情報には影響しません。

第10条（ユーザーの権利）

ユーザーは、当社に対して以下の請求を行うことができます。

1. 保有個人データの開示請求（利用目的の通知を含みます）
2. 個人情報の訂正・追加・削除の請求
3. 個人情報の利用停止・消去の請求
4. 個人情報の第三者への提供停止の請求
5. 第三者提供記録の開示請求
6. Google APIから取得したデータの削除請求

上記のご請求は、第13条のお問い合わせ窓口までご連絡ください。ご請求の際は、当社所定の方法によりご本人（または正当な代理人）であることを確認させていただきます。確認の上、合理的な期間内（原則30日以内）に対応します。開示等の手数料はいただきません。

第11条（AI連携（MCP）機能について）

1. 当社は、ユーザーが選択・接続した外部のAIアシスタントから、本サービスの計測データを読み取り専用で取得できる機能（以下「AI連携機能」といいます）を提供しています。
2. AI連携機能により外部のAIアシスタントへ提供されるデータは、ユーザー自身が選択・接続したAIサービスとの接続を通じて、当該AIサービスへ直接提供されます。当社が当該データを外部のAI事業者へ送信することはありません。
3. AI連携機能によりユーザーが取得できるデータの範囲は、当該ユーザーが本サービスの画面上で閲覧する権限を有する範囲に限られます。当社は、データベース層でのアクセス制御により、この範囲を超えるデータが取得されないよう技術的な措置を講じています。
4. AI連携機能を通じて外部のAIサービスに提供されたデータの取扱い（保存期間、AIモデルの学習利用の有無等を含みます）は、当該AIサービスの提供事業者が定めるプライバシーポリシーに従います。当該AIサービスは当社の委託先ではなく、当社はその取扱いについて責任を負いません。
5. 当社は、AI連携機能の利用状況（利用日時、利用者、参照した機能の種別等）について、監査ログを記録します。当該監査ログの保存期間は90日間とし、期間経過後は自動的に削除します。
6. ユーザーは、AI連携機能による接続を停止したい場合、接続先のAIサービス側の設定画面（連携済みアプリ・コネクタの管理機能等）から、いつでも接続を解除することができます。
7. ユーザーは、AI連携機能の利用にあたり、接続するAIサービスの契約形態（法人向けプランと個人向けプランでは、送信したデータの学習利用に関する取扱いが異なる場合があります）を確認の上、利用することを推奨します。

第12条（本ポリシーの変更）

1. 当社は、法令の改正、事業内容の変更その他の事由により、必要に応じて本ポリシーを変更することがあります。
2. 重要な変更を行う場合は、本サービス上での掲示またはメールにより事前に通知します。
3. 変更後の本ポリシーは、本サービス上に表示した時点（事前通知において効力発生日を定めた場合は当該効力発生日）から効力を生じるものとします。

第13条（お問い合わせ窓口）

個人情報の取扱いに関するご質問・ご請求・苦情は、以下の窓口までご連絡ください。