プライバシーポリシー

Psynaut（以下「本サービス」）の運営者（金城 翔太郎、以下「運営者」）は、本サービスにおけるユーザー情報、コンテンツ、回答データおよび日程調整データその他の情報の取扱いについて、以下のとおりプライバシーポリシー（以下「本ポリシー」）を定めます。

第1条（個人情報取扱事業者）

本サービスの個人情報取扱事業者は、金城 翔太郎（個人事業主）です。所在地：滋賀県草津市青地町598-1。個人情報の取扱いに関するお問い合わせ、苦情、開示等の請求は info@xiknot.com で受け付けます。

第2条（定義）

1. 本ポリシーで使用する用語の定義は次のとおりとし、Psynaut 利用規約（以下「利用規約」）第2条の定義と同じとします。
   • 「研究実施者」：本サービスを用いて研究を実施し、または研究に係る情報の収集もしくは管理を行うユーザー
   • 「回答者」：利用登録の有無を問わず、本サービス上のフォームへの回答、実験への参加、日程調整への入力その他の方法により情報を提供する者
   • 「ユーザー情報」：本サービスの利用登録または利用に伴い、運営者がユーザーについて取得する氏名、メールアドレスその他の情報
   • 「コンテンツ」：ユーザーが本サービス上で作成、入力、登録またはアップロードしたフォーム、質問文、教示文、画像、設定その他これらに類する情報（回答データおよび日程調整データを除きます）
   • 「回答データ」：本サービスを通じて回答者から取得された回答内容、実験データ、自由記述その他これらに類する情報
   • 「日程調整データ」：本サービスの日程調整機能を通じて登録または取得された候補日時、参加可能日時、参加者の氏名および連絡先、割当結果その他これらに類する情報
   • 「個人情報」「個人データ」「保有個人データ」：個人情報の保護に関する法律（以下「個人情報保護法」）に定める意味
2. 前項のユーザー情報、コンテンツ、回答データおよび日程調整データの区分は、情報の出どころと本サービス上の役割による区分です。個人情報に該当するかどうかはこれとは別に、情報の内容によって判断します。ユーザー情報の多くは個人情報に該当します。コンテンツ、回答データおよび日程調整データにも、研究実施者が入力した氏名・連絡先、回答者の氏名・メールアドレス、自由記述の内容など、個人情報が含まれる場合があります。運営者は、いずれの区分の情報であっても、個人情報に該当する場合は本ポリシーおよび個人情報保護法その他の法令に従って取り扱います。
3. 運営者は、ユーザー情報を自らの利用目的のために取得し、個人情報取扱事業者として取り扱います。コンテンツは、第4条に定める目的の範囲で取り扱います。回答データおよび日程調整データは研究実施者が回答者から取得する情報であり、運営者は研究実施者から取扱いの委託を受けて取り扱います（第6条）。

第3条（取得する情報）

運営者は、次の情報を取得します。

1. ユーザー情報
   • 認証情報：Google OAuth 2.0 による氏名、メールアドレス、プロフィール画像URL、メール確認状態、GoogleユーザーID（providerAccountId）など。Apple 認証を利用する場合は、Apple が発行する認証識別子およびメールアドレス
   • Google Drive・Sheets API 連携情報：アクセストークン（有効期限1時間）、リフレッシュトークン（ユーザー削除まで保持）、連携先スプレッドシートのID・URL
   • 請求・決済情報：請求先、購入履歴、契約期間、決済状況および決済事業者が発行する識別子。カード情報は Stripe の決済画面で取り扱われます。
   • 利用情報：本サービスの利用状況・機能利用履歴・操作ログ、セッション情報（有効期限30日）、招待・共同編集の情報、通知機能を利用する場合の通知先端末情報
   • お問い合わせ・請求対応の情報：お問い合わせ内容、開示等の請求への対応記録、本人確認のために受領した書類の写し
2. コンテンツ：フォーム、質問文、教示文、回答者への研究説明、画像・添付ファイル、スケジュールおよびフォームの設定など
3. 回答データ：フォームへの回答内容、実験データ、自由記述、フォームで収集する場合の回答者の氏名・メールアドレス、回答前に確認された研究説明の版、回答の開始・完了の記録
4. 日程調整データ：候補日時、参加者の氏名および連絡先、参加可能日時、割当結果
5. アクセス情報：本サービスへのアクセスに伴い取得する IPアドレス、ブラウザ・端末情報、アクセス日時、リファラ情報、Cookie 等の識別子および閲覧履歴。ユーザーについて取得したものはユーザー情報に含まれます。回答者その他の閲覧者からも、本サービスの提供および安全確保に必要な範囲で取得します（アクセス解析の取扱いは第9条）。

第4条（利用目的および法的根拠）

1. 区分ごとの利用目的は次のとおりです。
   • ユーザー情報
     • 本サービスの提供・本人確認・ログイン管理・課金/請求のため
     • お問い合わせへの対応、重要なお知らせやメンテナンス情報の通知のため
     • 本サービスの利用状況に応じたご案内メールの送信のため（当該メールには配信停止の手段を設けます）
     • 本サービスの改善、新機能開発、品質向上、セキュリティ強化のため
     • 不正行為・利用規約違反の検出/防止、紛争解決、権利の保護のため
     • Google Sheets連携やアクセストークン自動更新など API 連携機能の提供のため
     • 本サービスの利用状況に関する、個人を特定できない統計情報を作成し、サービス改善に利用するため
     • 開示等の請求への対応、法令または行政機関の要請に応じるため
   • コンテンツ
     • 本サービスの提供、保守、障害対応および改善のため
     • 本サービスの紹介・広報のため（個人情報または利用規約第13条に定める秘密情報を含むコンテンツを除きます）
   • 回答データおよび日程調整データ
     • 研究実施者に対する本サービスの提供のため（保存、表示、集計、エクスポート、Google Sheets 連携、回答控え・リマインド等の通知の送信を含みます）。取扱いの詳細は第6条に定めます。
     • 運営者自身の目的では利用せず、ユーザー情報について定める統計情報の作成にも用いません。
   • アクセス情報
     • 本サービスの提供、不正アクセスの防止、障害の検知および対応のため
     • 第9条に定めるアクセス解析のため

2. EU/EEA を含む地域から本サービスを利用する場合、個人情報の処理は以下の法的根拠に基づきます。(1)利用契約の履行および契約締結前の手続き、(2)法的義務の遵守、(3)サービス品質やセキュリティ確保等の正当な利益、(4)Google Sheets連携など同意が必要な機能に対するユーザーの明示的同意。

   アクセス解析の取扱いは第9条に記載します。適用法令により事前同意が必要な場合には、必要な同意を取得するまで当該解析を行いません。国内向けの提供方針だけで、海外法令の適用を一律に除外するものではありません。

第5条（第三者提供および委託）

本サービスは、以下の第三者または委託先に対して個人情報を提供または預託することがあります。

1. Stripe：決済・請求・返金のため、請求先情報、購入内容、内部ユーザー識別子等を取り扱います。
2. Resend：招待、リマインド、回答控え、重要通知、ご案内の送信のため、宛先・氏名・メール本文（ユーザー情報、回答データおよび日程調整データを含みます）を取り扱います。
3. Cloudflare R2：コンテンツおよび回答データに含まれる画像・添付ファイル等を保存・配信します。
4. Apple：Apple認証およびプッシュ通知を利用する場合、認証リクエスト・通知先端末情報等を取り扱います。
5. Google LLC：OAuth認証、Google Drive・Sheets API連携のため、認証リクエスト、アクセストークン、API呼び出しログ等を送信します。
6. ホスティング/インフラ提供者（Google Cloud Platform、Neon、Cloudflare R2）：本ポリシーの対象となるすべての区分の情報を、運用に必要な範囲で処理します。
7. メール配信・エラーログ監視サービス（Resend、Sentry 等）：障害対応や通知送信のために必要な情報を取り扱うことがあります。
8. アクセス解析サービス提供者（Google LLC「Google アナリティクス」、PostHog Inc.）：本サービスの利用状況を把握し改善するため、Cookie等で取得した閲覧履歴、IPアドレス、ブラウザ・端末情報、リファラ情報、およびログイン中のユーザーを識別する内部ユーザーID（本サービスが発行するランダムな識別子）を送信します。氏名・メールアドレス等、個人を直接特定できる情報は送信しません。

上記の Google LLC、PostHog Inc. および Functional Software, Inc.（Sentry）はいずれも米国に所在します。個人情報の保護に関する制度が日本と異なる外国にある第三者への提供にあたるため、当該国の制度については個人情報保護委員会が公表する外国制度に関する情報（https://www.ppc.go.jp/）をご参照ください。外国にある事業者への提供に必要な同意、契約上の措置等は、個別の取扱いに応じて確認します。外国での取扱いおよび安全管理措置についての情報提供のご請求は、info@xiknot.comで受け付けます。

上記以外では、法令に基づく場合、人命/財産保護に必要で同意取得が困難な場合、公衆衛生や児童の健全育成のため特に必要な場合、行政機関の事務に協力する必要がある場合を除き、あらかじめユーザーの同意を得ずに第三者への提供を行いません。

第6条（回答データおよび日程調整データの取扱い）

1. 回答データおよび日程調整データは、研究実施者が本サービスを用いて回答者から取得する情報です。取得の目的、利用方法および保存期間の決定ならびに回答者への説明および同意の取得は、研究実施者が行います。運営者は、利用規約第6条の2により、研究実施者にこれらの手続の実施を求めています。
2. 運営者は、研究実施者から取扱いの委託を受けた者として、本サービスの提供に必要な範囲でのみ回答データおよび日程調整データを取り扱い、自己の目的で利用せず、公開しません。委託を受けた者として法令上負う安全管理等の義務は遵守します。
3. 運営者による回答データおよび日程調整データへのアクセスは、研究実施者の依頼による集計・分析、問い合わせ対応、不具合調査その他本サービスの提供に必要な業務に限ります。
4. 運営者は、運営者独自の分析・要約のために、個別の回答データを外部の AI サービスへ送信しません。
5. 研究実施者が本サービスからエクスポートし、または Google Sheets その他の外部サービスへ連携した後のデータの取扱いは、研究実施者の管理に属し、本ポリシーの対象外です。
6. 回答者からの回答データおよび日程調整データに関するお問い合わせや開示等の請求への対応は、第12条に定めます。

第7条（トークン管理とセキュリティ）

1. Google OAuthアクセストークンとリフレッシュトークンはデータベースに安全に保存し、権限のあるサーバーのみがアクセスします。
2. アクセストークンは有効期限経過後、自動的に更新され、リフレッシュトークンは連携解除・権限取り消し・アカウント削除時に速やかに消去します。
3. 認証通信およびAPI呼び出しはすべてHTTPSで暗号化されます。

第8条（Google Sheets自動同期機能）

1. 自動同期を有効にすると、回答データがリアルタイムで連携先 Google Sheets に追記されます。
2. 同期されるデータには、参加者の氏名/メールアドレス（フォームで収集した場合）、回答日時、回答内容、逆転項目計算結果などが含まれます。
3. 同期は非同期処理であり、ネットワーク状況やAPI制限により遅延する場合があります。
4. フォーム設定画面からいつでも自動同期を無効化できます。既に同期されたデータは自動削除されないため、必要に応じてユーザー自身で削除してください。同期された後のデータの取扱いは第6条第5項のとおりです。

第9条（Cookie等の利用およびアクセス解析）

1. 本サービスは、ログイン状態の維持、CSRF対策、紹介コードの引継ぎ等のために必須Cookieを使用します。これらはサービスの提供に不可欠であり、無効化するとログイン等の機能が利用できなくなります。
2. 本サービスは、利用状況の把握とサービス改善のため、以下のアクセス解析ツールを利用しています。いずれもCookieまたはブラウザのローカルストレージを使用し、閲覧履歴、IPアドレス、ブラウザ・端末情報、リファラ情報を収集します。
   • Google アナリティクス（提供者：Google LLC、測定ID：G-SQVG3MHVKR）
   • PostHog（提供者：PostHog Inc.）
3. 本サービスは、これらの解析ツールに氏名・メールアドレス等、個人を直接特定できる情報を送信しません。ログイン中のユーザーについては、本サービスが発行する内部ユーザーID（ランダムな識別子）のみを送信します。
4. 国内向けサービスのアクセス解析は、以下の設定で停止できます。回答者向けの画面は解析対象から除外します。海外向け提供の開始前に、対象地域の法令に応じた同意取得を整備します。
5. Google アナリティクスがデータを収集・処理する仕組みについては、「Google のサービスを使用するサイトやアプリから収集した情報のGoogleによる使用」をご覧ください。
6. ユーザーは以下のいずれかの方法でアクセス解析を停止できます。
   • Google アナリティクス オプトアウト アドオンをブラウザに導入する
   • ブラウザの設定でCookieを無効化する、またはトラッキング防止機能を有効にする
7. フォーム回答画面、回答完了画面、およびスケジュール参加画面（いずれも回答者向けのページ）を回答用 URL から直接開いた場合、本条の解析ツールは読み込まれず、閲覧情報の送信も行いません。

第9条の2（利用者情報の外部送信）

電気通信事業法第27条の12に基づき、本サービスがユーザーの端末から外部の事業者へ送信する情報を以下のとおり公表します。

送信の停止方法は第9条第6項をご参照ください。なお Sentry への送信は不具合の検知と安全な運用に必要なため、個別の停止手段は提供していません。また、回答者向けページ（第9条第7項）ではGoogle アナリティクスおよびPostHogへの送信は行いません。

研究者が外部の課題（外部スクリプト）を設定し、回答 ID を渡す設定をした場合、回答画面はその外部サイトへ回答セッションの識別子（および研究者が付けた参加者 ID）を URL の一部として送信します。送信先と利用目的は、当該研究者が定めます。

第10条（セキュリティ対策）

運営者は、ユーザー情報、コンテンツ、回答データおよび日程調整データを、個人情報に該当するか否かにかかわらず、アクセス制御、暗号化、監査ログ、脆弱性診断等の措置により保護します。ただし、インターネット上での完全な安全を保証するものではなく、ユーザーにも強固なパスワード管理等の協力をお願いしています。

第11条（保存期間）

• ユーザー情報、コンテンツ、回答データおよび日程調整データ：退会後は復帰・再利用のため1年間保存し、事前通知のうえ削除します。権限を確認した削除依頼に基づく削除は、バックアップを含め30日以内に行います。有料プランから無料プランへの移行のみを理由に削除することはありません。
• セッション情報：最終アクセスから30日後に自動削除します。
• ログ・監査データ（アクセス情報を含みます）：不正検知・システム運用のため最大1年間保管し、その後安全に廃棄します。
• 開示等の請求への対応記録：本人確認のために受領した書類の写しは対応完了後30日以内に削除し、本人確認の実施記録のみ残します。問い合わせ・開示請求への対応記録は対応完了後6か月で削除します。紛争・法的手続きが継続中の場合は、必要な記録のみ解決まで保存します。
• 法令で保存義務がある情報（請求・決済記録等の会計情報）は、当該法令に従い所定期間保管します。

第12条（個人情報の開示・訂正・削除などの権利）

1. 本項の請求の対象は、運営者が保有個人データとして取り扱う情報（ユーザー情報、コンテンツに含まれる個人情報等）です。本人または代理人は、利用目的の通知、保有個人データ・対象となる第三者提供記録の開示、訂正・追加・削除、利用停止・第三者提供停止を請求できます。原則として登録済みメールアドレスからの請求と同アドレスへの返信確認により本人確認し、代理人は権限を確認します。法令に従い遅滞なく対応し、原則30日以内に回答します。開示は原則CSVまたはPDFを本人確認済みメールアドレスへ送付します。法令に基づく開示方法の指定等には法令に従って対応します。
2. 回答データおよび日程調整データについて、運営者は研究実施者から取扱いの委託を受けた立場にあり、開示等の請求に応じる権限は研究実施者にあります。回答者から運営者に請求があった場合は、当該データを取得した研究実施者に対応を依頼し、研究実施者と連携して対応します。
3. Google Sheets 連携情報はフォーム設定画面で解除でき、本サービスへの権限は Google アカウント設定（https://myaccount.google.com/permissions）から取り消せます。
4. 退会および削除依頼は info@xiknot.com で受け付けます。保存・削除は第11条に従います。Google Sheets等への出力済みデータは出力先の管理者が削除してください。
5. 利用目的の通知、保有個人データの開示、第三者提供記録の開示は、種類ごとに税込1,500円（3種類同時の場合は合計4,500円）です。本人確認後、Stripeによるカード決済で前払いし、入金確認後に調査を開始します。調査後に不開示・データ不存在となっても原則返金しません。運営者の都合で調査自体を実施できない場合は請求せず、支払済みなら全額返金します。法律上必要な書面での対応は、印刷代・郵送料の実費を事前に案内し、別途請求します。訂正・追加・削除・利用停止・第三者提供停止は無料です。通常のお問い合わせ・苦情に手数料はかかりません。
6. 本ポリシーに関する苦情は、個人情報保護委員会（PPC）等の監督機関へも申し立てることができます。

第13条（プライバシーポリシーの変更）

本ポリシーは法令改正やサービス内容の変更等に応じて改定します。重要な変更、特にデータ削除につながる変更は、本サービス上の掲示および登録メールアドレスへの通知により周知し、法令で同意が必要な場合はユーザーの同意を得ます。改定の適用日は事前の案内に明記します。

第14条（お問い合わせ窓口）

本ポリシーに関するお問い合わせは info@xiknot.com またはお問い合わせフォームまでご連絡ください。