プライバシーポリシー

1. 当社の立場

アカウント、請求、本ウェブサイトについては、当社が利用目的を決定します（個人情報取扱事業者）。お客様のWordPressサイトが訪問者やユーザーについてダッシュボードに送るデータは、お客様が決定し、当社はお客様のために処理します（委託先）。後者の詳細は「データの取り扱い」をご覧ください。

2. 取得する情報

• アカウント：氏名、メールアドレス、会社名、国、言語、タイムゾーン、招待したメンバー
• 請求：プラン、請求書、税務情報。カード情報はStripeが保管し、当社はカードブランド・下4桁・有効期限のみを確認できます。
• ダッシュボードの利用：監査ログに記録されるログイン・操作・設定変更（IPアドレスとブラウザを含む）、当社が送るセキュリティメール
• 接続したサイトから：サイトのアドレス、WordPress・PHP・プラグインのバージョン、検出結果（ファイルパス、フィンガープリント、検出箇所のコード最大300文字。ファイル全体は含まず、キーやパスワードは伏せ字にします）、セキュリティイベント（サイトにログインした人のユーザー名とIPアドレスを含む場合があり、IPアドレスは初期設定で短縮されます）、月次レポートの数値
• 無料サイトスキャン：スキャンしたアドレス、結果、不正利用防止のためのお客様のIPアドレス
• 本ウェブサイト：Cookieやトラッカーは使いません。ホスティング先のCloudflareがセキュリティのためにIPアドレスを短期間記録します。
• メールでお送りいただいた内容

3. 取得しない情報

サイトのファイル、投稿、ページ、顧客、注文、パスワード。スキャンはお客様のサーバー上で実行し、検出結果のみを送ります。バックアップはサイトからお客様所有のストレージに直接送られ、当社を経由しません。

4. 利用目的

当社は個人データを販売せず、ターゲティング広告に使わず、データブローカーに提供しません。

• お申し込みいただいたサービスの提供
• サービスとお客様のサイトの安全確保、不正利用の防止、監査記録の保持
• 請求と会計記録の保持
• アカウントがある間停止できないサービス・セキュリティのお知らせの送付、および同意いただいた場合の製品ニュースの送付

5. 提供先

サービスの一部を運用する委託先（「データの取り扱い」に記載）に、利用を制限する契約のもとで提供します。また、法令に基づく場合は当局に提供します。

6. 外国への移転

ダッシュボードとそのデータベースは、日本（東京）にある当社専用のサーバー（Contabo GmbHから賃借）で稼働しています。Stripe、Cloudflare、Resend、OpenRouterは日本・シンガポール以外でも運用されています。日本・シンガポールの外へ個人データを移転する場合は、個人情報保護法およびPDPAと同等の保護を確保する契約・措置のもとで行います。米国には個人情報保護法に相当する包括的な法律はありませんが、当社の委託先は契約によりデータを保護し、当社のためにのみ利用することを約束しています。

7. 保存期間

• サイトのイベント：90日（アカウントで30〜365日に設定可能）
• 解決済みの検出結果：180日
• リモート操作と解決済みのアラート：180日
• 月次レポート：サイトが接続されている間
• 接続を解除したサイト、終了したアカウント：30日後に削除
• 無料スキャンの結果：30日
• 請求書：税法で定められた期間

8. 安全管理措置

ダッシュボードの全ユーザーへの2段階認証、暗号化通信、専用の鍵で暗号化したサイトの秘密鍵、サイトとダッシュボード間の署名付き通信、改ざんを検知できる監査ログ、お客様の許可がある場合に限ったスタッフのアクセス。詳しくは「セキュリティ」をご覧ください。

9. お客様の権利

ご自身の個人データの開示・訂正・削除・エクスポート、利用停止、同意の撤回は[email protected]までご連絡ください。アカウントのオーナーは、ダッシュボードの「アカウント」ページで、アカウントのすべてのデータをダウンロードし、アカウントを自分で削除することもできます（「アカウントの削除」をご覧ください）。30日以内（法令がより短い期間を定める場合はその期間内）に回答し、請求を理由に不利益な扱いはしません。Global Privacy Controlの信号を尊重します。

10. 日本（個人情報保護法）

個人情報取扱事業者：Novatise。住所と代表者は「特定商取引法に基づく表記」をご覧ください。保有個人データの開示・訂正・利用停止・削除、第三者提供に関する請求は[email protected]までご連絡ください。ご本人確認のうえ対応します。個人情報保護委員会に苦情を申し出ることもできます。

11. シンガポール（PDPA）

データ保護責任者（DPO）の連絡先は[email protected]です。同意はいつでも撤回でき、その場合のサービスへの影響をご説明します。漏えい等への対応は第14項のとおりです。

12. 米国

カリフォルニア州などプライバシー法のある州の居住者は、上記の権利に加え、個人データの販売・共有をオプトアウトする権利を持ちます。当社はいずれも行いません。請求は[email protected]へ。代理人が請求することもできます。

13. 子ども

本サービスは事業者と大人を対象としており、子どもを対象としていません。16歳未満の子どもの個人データを意図して取得することはありません。ただし、スマートフォンのファミリー保護は例外で、親権者または法定代理人だけが自分の子どものために設定できます。ファミリー保護は現在、新規のお客様には提供していません。本項は提供時の取扱いを定めるものです。

子どものスマートフォンを追加する前に、保護者はご自身がその子の親権者または法定代理人であることを確認し、同意していただきます。当社はその同意を記録します。子どものスマートフォンから受け取るのは、インストール済みアプリの一覧、アプリごとの利用時間、保護者が位置情報をオンにした場合の位置、安全に関するアラート、セキュリティスキャンの結果だけです。メッセージ、入力した文字、閲覧履歴、通知、ファイルはスマートフォンの外に出ません。また、保護者がアプリの利用状況と位置を確認できることを、スマートフォン上で子どもにも表示します。

保護者はいつでも子どものデータを確認・エクスポート・削除でき、子どもの削除またはアカウントの削除によりそのデータも削除されます。子どもに広告を表示したり、他のサービスをまたいで追跡したり、プロファイルを作成したり、データを販売・共有したりすることは一切ありません。

米国：13歳未満の子どもについては、児童オンラインプライバシー保護法（COPPA）に従い、保護者の検証可能な同意に基づいて取り扱います。同意なく子どものデータを保有していると判明した場合は削除します。日本・シンガポール：個人情報保護法または PDPA のもとで子どもが自ら有効な同意をできない場合は、親権者または法定代理人の同意に基づいて取り扱います。

14. 漏えい等への対応

当社が保有する個人データの漏えい、滅失、毀損または不正アクセスが発生した場合は、被害の拡大を防ぎ、状況を確認したうえで、影響を受ける方に不当な遅滞なく、何が起きたか、どの情報が対象か、当社の対応、お客様にお願いしたいことをお知らせします。

日本：個人情報保護法で報告が必要な事態（要配慮個人情報や財産的被害のおそれがある情報が含まれる場合、不正の目的をもって行われたおそれがある場合、本人の数が1,000人を超える場合など）では、個人情報保護委員会に、発覚から速やかに（概ね3〜5日以内に）速報を、30日以内（不正の目的のおそれがある場合は60日以内）に確報を提出し、本人にも速やかに通知します。

シンガポール：侵害が発生したと考える理由を得てから30日以内に、通知が必要かどうかを評価します。重大な損害を生じるおそれがある場合、または500人以上に影響する場合は、評価後できる限り速やかに、遅くとも3暦日以内に個人データ保護委員会（PDPC）に通知し、重大な損害のおそれがある場合は本人にも通知します。

法人のお客様：当社がお客様のためにデータを取り扱っている場合は、お客様がご自身の義務を果たせるよう、不当な遅滞なく、可能な限り72時間以内にお知らせします（「データの取り扱い」をご覧ください）。

15. 変更

変更はこのページに掲載し、重要な変更はアカウントのオーナーにメールでお知らせします。お問い合わせ：[email protected]