プライバシーポリシー

株式会社メディアリーチ（以下「当社」）は、SEO・LLMO分析サービス「DolphinX」（以下「本サービス」）におけるユーザーの個人情報の取扱いについて、個人情報の保護に関する法律（以下「個人情報保護法」）その他の関係法令を遵守し、以下のとおりプライバシーポリシー（以下「本ポリシー」）を定めます。

第1条（収集する情報）

当社は、以下の情報を収集します。

1. アカウント情報: 企業名、氏名、メールアドレス、パスワード（ハッシュ化して保存）
2. 請求先情報: 請求先担当者の氏名、部署名、メールアドレス、電話番号、住所（契約手続きの過程で取得する場合があります）
3. 招待情報: 組織の管理者がメンバーを招待する際に入力する、被招待者のメールアドレス（本人以外のユーザーから取得します。被招待者は招待の受諾により本サービスのユーザーとなります）
4. 利用状況データ: 本サービスの利用履歴、アクセスログ、操作ログ、機能別使用量
5. Google連携データ: Google Search Console（検索クエリ、クリック数、表示回数、平均掲載順位、ページURL）およびGoogle Analytics 4（ページビュー数、セッション数、ユーザー数、流入元、ランディングページ、デバイス情報）から取得するデータ（詳細は第5条参照）
6. 技術情報: IPアドレス、ブラウザ種類、OS情報、Cookie情報
7. 決済情報: 決済処理はStripe, Inc.を通じて行われます。クレジットカード番号等の決済情報は当社のサーバーには保存されず、Stripeが直接管理します。当社はStripeから提供されるカード下4桁、有効期限、請求情報のみを参照します

第2条（利用目的）

当社は、収集した情報を以下の目的で利用します。

1. 本サービスの提供・運営・改善
2. ユーザー認証およびアカウント管理
3. 利用料金の請求・決済処理
4. プラン別の使用量管理および利用制限の適用
5. ユーザーサポート・お問い合わせ対応
6. 本サービスに関するお知らせ・メンテナンス情報・トライアル期限通知の送信
7. 当社のサービス・新機能・セミナー等のご案内（ご案内メールは、メール内に記載の方法または問い合わせ窓口への連絡により、いつでも配信停止できます）
8. 利用規約に違反する行為への対応
9. 統計データの作成（個人を特定できない形式に加工した上で）
10. 新機能・新サービスの開発

第3条（第三者提供・委託）

1. 当社は、以下の場合を除き、ユーザーの同意なく個人情報を第三者に提供しません。
   • 法令に基づく場合
   • 人の生命、身体または財産の保護のために必要がある場合
   • 公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合
   • 国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合
2. 当社は、本サービスの提供に必要な範囲で、以下の業務委託先に個人情報を含むデータの取扱いを委託しています。当社は、適切な委託先を選定し、データ処理に関する契約を締結した上で、必要かつ適切な監督を行います。
   • Stripe, Inc.（米国）— 決済処理
   • Supabase, Inc.（米国）— データベースホスティング・認証基盤
   • Vercel Inc.（米国）— アプリケーションホスティング
   • DataForSEO Ltd.（英国）— SEOデータ・LLM応答データ提供（ChatGPT・Gemini・Perplexityを含むAI回答の取得を含む）
   • Anthropic, PBC（米国）— AI分析・翻訳・生成処理
   • OpenAI, Inc.（米国）— 音声AIコンサル機能（音声認識・AI応答・音声合成）
   • LiveKit, Inc.（米国）— 音声AIコンサル機能のリアルタイム音声通信インフラ
   • Resend, Inc.（米国）— メール送信（通知・招待・お知らせメールの配信）
   • Upstash, Inc.（米国）— レート制限基盤（IPアドレス等の処理）
   • Voyage AI（MongoDB, Inc.）（米国）— テキスト解析処理（個人情報は送信前に自動マスキングを行います）

第4条（外国にある第三者への提供）

1. 前条第2項の委託先は、いずれも外国（米国または英国）にある第三者に該当します。当社は、個人情報保護法第28条に基づき、これらの委託先への個人データの提供について、本ポリシーへの同意をもってユーザーの同意をいただくものとします。
2. 提供先の所在国における個人情報の保護に関する制度については、個人情報保護委員会が公表する「外国における個人情報の保護に関する制度等の調査」をご参照ください。米国には連邦レベルの包括的な個人情報保護法制はありませんが州法等による保護があり、英国にはUK GDPRによる包括的な保護制度があります。
3. 当社は、各委託先との間でデータ処理に関する契約（DPA）を締結し、各委託先がSOC 2その他の国際的なセキュリティ基準に準拠した体制のもとで個人データを取り扱うことを確認した上で利用しています。各委託先が講ずる個人情報保護のための措置に関する詳細は、お問い合わせ窓口にご請求いただければ、合理的な範囲で情報提供します。

第5条（Google APIサービスとの連携）

1. 取得するデータの種類

   本サービスでは、ユーザーの明示的な同意のもと、以下のGoogle APIサービスと連携します。

   • Google Search Console API（読み取り専用、スコープ: webmasters.readonly）: 検索クエリ、クリック数、表示回数、平均掲載順位、平均CTR、ページURL別パフォーマンスデータ
   • Google Analytics 4 Data API（読み取り専用、スコープ: analytics.readonly）: ページビュー数、セッション数、アクティブユーザー数、流入チャネル、ランディングページ、デバイスカテゴリ
2. データの利用目的

   取得したデータは、ユーザー自身のSEOパフォーマンス分析・可視化のためにのみ使用します。データの書き込み・変更は一切行いません。

3. データの保存
   • OAuthアクセストークン・リフレッシュトークンは、AES-256-GCM方式で暗号化して当社データベースに保存します
   • パフォーマンスデータのキャッシュは最大30日間保持し、その後自動削除します
   • ユーザーがGoogle連携を解除した場合、保存されたトークンおよびキャッシュデータを即座に削除します
4. 第三者への共有禁止・AI学習への不使用

   Google APIから取得したデータを、第三者に販売、貸与、またはその他の方法で提供することはありません。広告配信の目的で使用することもありません。また、Google APIから取得したデータを、AIモデル・機械学習モデルの開発・改善・学習に使用することはありません。

5. 音声AIコンサル機能でのデータ参照

   ユーザーが音声AIコンサル機能を利用する場合、AIエージェントはユーザーの質問に回答するために、Google Search ConsoleおよびGoogle Analytics 4から取得した当該ユーザー自身のデータを参照することがあります。この際、参照したデータはOpenAI, Inc.が提供するAIモデルに送信されます。音声AIコンサル機能の利用はユーザーの任意であり、機能を利用しない限りこの処理は行われません。

6. 連携の解除

   ユーザーは、本サービスの設定画面からいつでもGoogle連携を解除できます。また、Googleアカウントの権限管理画面（https://myaccount.google.com/permissions）からもアクセス権を取り消すことができます。

7. Google API Services User Data Policy準拠

   本サービスにおけるGoogle APIサービスから受け取った情報の使用および他のアプリへの転送は、Google API Services User Data Policy（Limited Use要件を含む）に準拠します。

第6条（決済情報の取扱い）

1. 本サービスの決済処理は、PCI DSS Level 1認定を受けたStripe, Inc.が提供する決済基盤を利用しています。
2. クレジットカード番号、CVV等の機密情報は、当社のサーバーを経由せず、Stripeに直接送信されます。
3. 当社がStripeから受け取る情報は、カード下4桁、カードブランド、有効期限、請求先住所（任意）、および請求・支払い履歴に限られます。
4. Stripeのプライバシーポリシーについては、Stripe Privacy Policyをご参照ください。

第7条（Cookieの使用）

1. 本サービスでは、以下の目的でCookieおよび類似技術を使用します。
   • ユーザー認証およびログイン状態の維持（認証セッションCookie）
   • 2段階認証の確認状態の保持
   • 当社サポート担当者によるサポート業務時のセッション管理
2. 本サービスは、現時点で広告配信目的のCookieおよび第三者によるトラッキングCookieを使用していません。アクセス解析ツールを導入する場合は、本ポリシーを改定の上で周知します。
3. ユーザーは、ブラウザの設定によりCookieの受け入れを拒否することができますが、その場合、ログインを含む本サービスの主要な機能が利用できなくなります。

第8条（データの保管・セキュリティ）

1. ユーザーデータは、Supabase（PostgreSQL）を用いて日本国内（東京リージョン）で保管され、組織（テナント）単位で厳格にアクセス制御されています（データベースの行レベルアクセス制御（Row Level Security）とアプリケーション層の二重検証）。
2. 通信はすべてTLS/SSLにより暗号化され、保存されるデータはクラウド基盤の機能により保存時にも暗号化されます。Google連携トークンは、さらにAES-256-GCM方式で暗号化して保存します。
3. 当社は、2段階認証の提供、重要操作の監査ログ記録、AIへのデータ送信前の個人情報自動マスキング、従業者の監督その他、不正アクセス、個人情報の紛失、破壊、改ざん、漏洩の防止のために必要かつ適切な安全管理措置を講じます。
4. 外的環境の把握: 個人データの主たる保管場所は日本国内です。ただし、決済・メール送信・AI処理等の一部の処理は、第3条・第4条に記載する外国（米国・英国）の事業者の環境で行われます。当社は、各国の個人情報保護制度を把握した上で、契約および技術的措置により安全管理を図っています。

第9条（データの保存期間）

1. ユーザーのアカウントデータは、アカウントが有効な期間中保存されます。
2. フリートライアル期限切れ後または契約終了後は、30日間データを保持した後、削除します。
3. Google連携データのキャッシュは最大30日間保持し、連携解除時には即座に削除します。
4. 法令上保存が義務付けられている情報（取引記録、請求書等）については、法定期間中保存します。

第10条（ユーザーの権利）

ユーザーは、当社に対して以下の請求を行うことができます。

1. 保有個人データの開示請求（利用目的の通知を含みます）
2. 個人情報の訂正・追加・削除の請求
3. 個人情報の利用停止・消去の請求
4. 個人情報の第三者への提供停止の請求
5. 第三者提供記録の開示請求
6. Google APIから取得したデータの削除請求

上記のご請求は、第12条のお問い合わせ窓口までご連絡ください。ご請求の際は、当社所定の方法によりご本人（または正当な代理人）であることを確認させていただきます。確認の上、合理的な期間内（原則30日以内）に対応します。開示等の手数料はいただきません。

第11条（本ポリシーの変更）

1. 当社は、法令の改正、事業内容の変更その他の事由により、必要に応じて本ポリシーを変更することがあります。
2. 重要な変更を行う場合は、本サービス上での掲示またはメールにより事前に通知します。
3. 変更後の本ポリシーは、本サービス上に表示した時点（事前通知において効力発生日を定めた場合は当該効力発生日）から効力を生じるものとします。

第12条（お問い合わせ窓口）

個人情報の取扱いに関するご質問・ご請求・苦情は、以下の窓口までご連絡ください。