REFlect Portal プライバシーポリシー（公開準備稿）

1. 取得する情報

REFlectは、本サービスの提供にあたり、次の情報を取得する。

1. アカウント情報: 氏名、生年月日、メールアドレス、認証方法、Google連携識別子、登録・最終ログイン日時、規約等の同意日時・版番号

2. 契約情報: 契約プラン、無料体験・無料招待、利用権、開始日、更新日、終了日、閲覧専用化および削除選択

3. 決済情報: Stripe顧客・契約・決済ID、金額、通貨、支払日、決済状態、支払い方法の種類、カードブランド・有効期限・末尾4桁等の限定情報、PayPay取引ID・金額・入金日時・入金状態、返金・決済失敗・再決済履歴

4. アプリ入力情報: 活動記録、試合記録、評価、メモ、第三者の氏名および所在都道府県等、利用者が入力する情報

5. 利用・端末情報: IPアドレス、端末・OS・ブラウザ情報、アクセス日時、操作履歴、エラー・監査ログ、Cookieその他の識別子

6. 問い合わせ情報: 氏名、返信先、問い合わせ種別・内容、添付ファイル、本人確認情報、対応履歴

7. 管理情報: 無料招待、モニター特典、利用停止、返金、データ削除および主管理者操作の記録

パスワードはSupabase、カード番号全体およびセキュリティコードはStripeが管理し、REFlectは平文で取得または保存しない。Apple Pay・Google Payの端末内カード情報、PayPayのログイン情報または残高も取得しない。

2. 利用目的

- アカウント登録、本人確認、ログインおよびセキュリティ確保

- RefLog、Courtside LogおよびPortalの提供、画面表示、保存、バックアップおよび障害復旧

- 無料体験、無料招待、契約、請求、入金確認、返金、領収書および利用権の管理

- 閲覧専用化、保存期限管理および削除

- 認証、契約、支払い、規約改定、メンテナンス、障害等の通知

- 問い合わせ、開示等請求および不正利用への対応

- 品質改善、障害解析および個人を識別できない利用状況の統計化

- 法令、裁判所、行政機関または決済事業者の要請への対応、権利保護および紛争対応

3. アカウント登録および同意履歴

1. 通常登録では氏名、生年月日、メールアドレスおよび認証情報を取り扱う。Googleログインでは氏名、メールアドレスおよびGoogle利用者識別子を取得し、プロフィール画像は取得しない。

2. Googleログインでも、生年月日および未成年者の保護者同意申告をPortalで別途取得する。

3. 利用規約および本ポリシーへの同意日時、日本時間、対象文書および版番号を保存する。

4. 第三者が含まれる入力情報

1. 利用者は、第三者の氏名、所在都道府県等を記録に必要な範囲で入力し、必要に応じて本人、保護者または所属団体へ利用目的を説明する。

2. REFlectは、当該情報を本サービスの提供、保存、保守および法令対応以外に利用せず、広告、販売または生成AIの学習目的に利用しない。

3. 第三者本人から開示、訂正、削除等の請求があった場合、本人確認後に調査し、必要に応じて入力者へ確認する。ただし、安全または権利保護のため、入力者への通知前に非表示・利用停止等を行う場合がある。

4. マイナンバー、詳細な医療情報、金融口座情報その他アプリの目的に不要な機微情報は入力しないものとする。

5. 外部サービス、委託および国外処理

本サービスでは、Supabase（データベース・認証）、Vercel（配信・サーバー処理）、Stripe（決済・請求・返金・領収書）、Google（ログイン・フォーム・Gmail）、Resend（自動メール）、Cloudflare（Turnstile）を利用する。各社の正式名称、送信情報、利用目的およびプライバシー情報へのリンクは、正式公開時の実契約に合わせて掲載する。

主要なアカウント、契約およびアプリデータは、Supabaseの東京リージョンに保存し、Vercel Functionsも東京リージョンへ設定する。静的コンテンツはCDNを通じて配信される。Stripe、Google、Resend、Cloudflare等では、提供に必要な情報が米国その他の国外で処理される場合がある。REFlectは、対象国の制度および安全管理措置を確認し、委託先を適切に選定・監督する。

PayPayをStripe以外の事業者との直接契約で提供する場合は、提供開始前に本項を改定する。

6. 第三者提供

REFlectは、法令に基づく場合、人の生命・身体・財産の保護に必要で同意取得が困難な場合、公衆衛生・児童の健全育成に特に必要な場合、国・地方公共団体等の法令上の事務へ協力する場合、利用目的達成に必要な範囲で取扱いを委託する場合、または本人の同意を得た場合を除き、本人の同意なく個人データを第三者へ提供しない。

7. Cookie等および外部送信

1. ログイン状態の維持、セキュリティ、設定保存、配信および障害解析のため、Supabase、Vercel等によるCookieまたはブラウザ保存領域を使用する。

2. Cloudflare TurnstileへIPアドレス、端末・ブラウザ情報、操作情報等が送信される。Googleログインを選択した場合はGoogleへ認証情報、決済画面を開いた場合はStripeへ決済・端末情報が送信される。

3. 初期版では広告配信、行動ターゲティングおよび一般的なアクセス解析を導入しない。必須Cookieを拒否するとログイン等を利用できない場合がある。

4. 送信先、送信情報、目的および各社のポリシーリンクを一覧表示する。将来、広告または分析目的の追跡を導入する場合は、事前に本ポリシーを改定し、必要に応じて同意・拒否設定を追加する。

8. 安全管理措置

REFlectは、主管理者を1名に限定し、主管理者の2段階認証、重要操作の再認証、一般アカウントの漏えい済みパスワード拒否、HTTPS、利用者単位のデータアクセス制御、最小権限、秘密情報の分離管理、監査ログ、暗号化されたバックアップ、復旧試験、脆弱性対応、委託先の確認およびインシデント対応手順を含む合理的な安全管理措置を講じる。安全性を損なわない範囲で措置の概要を公表し、必要に応じて追加情報を回答する。

9. 保存期間および削除

1. アカウント情報は利用中保存し、退会時に通常環境から直ちに削除する。

2. 契約または無料利用終了後、閲覧を希望するアプリデータは終了日から1年間保存する。即時削除または退会を選択した場合は通常環境から直ちに削除し、復元しない。

3. 暗号化されたバックアップには削除後最長30日間残る場合がある。バックアップは障害復旧専用とし、個別利用者の通常利用のために復元しない。全体復旧で削除済みデータが戻った場合は削除記録に基づき再削除する。

4. 決済、請求、返金、領収書および会計記録は7年間、契約・規約・保護者同意履歴は契約終了後5年間、問い合わせ履歴は対応完了後3年間保存する。

5. アクセス・エラー・メール送信ログは1年間、主管理者操作、無料招待、利用停止および削除の監査ログは3年間保存する。

6. 不正利用、返金紛争および法令対応の記録は問題解決後5年間または法令上必要な期間保存する。法令上の保存要請がある場合はその期間を優先する。

10. 匿名化した統計情報

REFlectは、氏名、メールアドレス、生年月日、自由記述、アカウントIDその他個人を識別できる情報を除き、個人を推測できない単位へ集計した統計情報を品質改善、障害分析および運営判断に利用できる。十分に匿名化された統計情報は期間を定めず保存できるが、広告目的で販売・提供せず、生成AIの学習に利用しない。

11. 開示・訂正・利用停止・削除等

1. 本人は、法令に従い、保有個人データの利用目的通知、開示、訂正、追加、削除、利用停止、消去または第三者提供停止を請求できる。

2. Portalのお問い合わせページからGoogleフォームで請求し、原則3営業日以内に受付を連絡し、通常30日以内に回答または対応する。30日を超える場合は理由と予定日を通知する。

3. ログイン中のアカウントおよび登録メールで本人確認し、利用できない場合は確認コード、登録情報、利用履歴等を組み合わせる。本人確認書類は他の方法で確認できない場合に限り求める。

4. 電子的な開示は原則無料とする。開示できない情報がある場合は理由を説明する。代理人からの請求は委任状および本人・代理人の確認後に対応する。

5. 生年月日の訂正は問い合わせから受け付け、変更理由と履歴を保存する。アプリの出力機能が利用できない場合でも、法令に基づく開示請求へ別途対応する。

12. 未成年者

18歳未満の利用者は保護者の同意を得たうえで利用し、有料契約時に料金、自動更新および解約条件への同意を再確認する。初期版では保護者の氏名、メール認証または本人確認書類を取得せず、同意確認の結果、日時および版番号を保存する。18歳到達後は以後の契約で保護者同意を求めない。

13. 漏えい等への対応

REFlectは、漏えい、滅失、毀損または不正アクセス等を把握した場合、アクセス遮断、影響調査、拡大防止、復旧および再発防止を行う。法令上必要な場合は個人情報保護委員会へ報告し、対象者へ登録メールおよびPortalで、概要、対象情報、原因、影響、推奨対応および問い合わせ先を速やかに通知する。詳細確定前でも被害防止に必要な情報から通知し、個別通知が困難な場合は公開お知らせおよび問い合わせ窓口を代替措置とする。

14. 改定

各版の制定日、施行日、改定日、版番号および改定履歴をPortalに掲載する。軽微な変更はPortal掲載により施行し、個人情報の取扱いに重大な変更がある場合は原則30日前までにPortalおよび登録メールで通知する。権利・義務を大きく変更する場合は再同意を取得し、同意日時および版番号を保存する。

15. お問い合わせ窓口

個人情報に関する問い合わせおよび請求は、REFlect Portalのお問い合わせページに掲載するGoogleフォームで受け付ける。原則3営業日以内に受付または個別返信を行う。運営者の本名・住所の開示、個人情報の請求、返金、復旧およびセキュリティ問題も同フォームの問い合わせ種別から受け付ける。