プライバシーポリシー

ConnectAI株式会社（以下「当社」といいます）は、当社が提供する SaaS「Tenant-Connect」（以下「本サービス」といいます）における、 ユーザーの個人情報を含む利用者情報（以下「利用者情報」といいます） の取扱いについて、以下のとおりプライバシーポリシー（以下「本ポリシー」 といいます）を定めます。

1. 事業者情報

事業者名：

ConnectAI株式会社

所在地：

〒530-0011

大阪府大阪市北区大深町6番38号 グラングリーン大阪 北館 820

代表者：

濱口 雄太

電話番号：

06-6131-8305

2. 取得する情報

当社は、本サービスの提供にあたり、以下の情報を取得します。 なお、取得する情報は以下の4カテゴリに分類されます。

• (a) ユーザーが直接登録する情報（氏名・メールアドレス・所属会社・ 店舗情報・認証情報　※パスワード本体はSupabaseで管理し当社は保持しません）
• (b) 自動取得する情報（アクセスログ・IPアドレス・User-Agent・日時、 Cookie等の識別情報）
• (c) Google API 経由で取得する情報（詳細は 「4. Google ユーザーデータの取扱い」を参照）
• (d) その他の API 連携による情報（Meta / Instagram Graph API、 将来追加の API 連携を含む）

具体的に取得する情報は以下のとおりです。

• 氏名、メールアドレス、電話番号、所属組織名等のアカウント情報
• 店舗情報（店舗名、住所、営業時間、業種等）
• 本サービス内で作成・登録された顧客情報、予約情報、アンケート回答
• Google ビジネスプロフィール連携により取得する情報（クチコミ、 投稿、インサイトデータ等）
• Google カレンダー連携により取得する情報（予約イベントの作成・更新に必要な範囲）
• Meta（Instagram）連携により取得する情報（投稿、エンゲージメントデータ等）
• 本サービスの利用ログ、Cookie、IPアドレス、ブラウザ情報
• 決済に関する情報（決済代行業者を通じて取得）

3. 利用目的

当社は、取得した利用者情報を以下の目的で利用します。

• 本サービスの提供、運営、保守
• 本人確認、認証、アカウント管理
• 本サービスに関するご案内、お問い合わせへの対応
• 本サービスの利用状況の分析、品質改善、新機能開発
• AIによる文章・草案生成（Anthropic社のAPIを利用）
• メールによる通知の送信（予約リマインド、変更・キャンセル通知等）
• 不正利用の防止、利用規約違反への対応
• 法令に基づく対応
• 不正アクセス・不正利用の検知・防止
• ユーザーサポート対応
• サービス改善のための統計分析（個人非特定の集計データに限定）
• 重要なお知らせ・メンテナンス案内の送付

4. Google ユーザーデータの取扱い

本サービスが Google API（Google ビジネスプロフィール API および Google Calendar API）を通じて取得する情報の取扱いは、Google API Services User Data Policy（Limited Use 要件を含む）に準拠します。具体的には以下を遵守します。

• 取得した Google ユーザーデータは、ユーザーに対して提示した機能 （クチコミ管理、GBP 投稿、カレンダー連携等）の提供にのみ使用します。
• Google ユーザーデータを広告目的で利用したり、第三者に販売したり することはありません。
• 取得したアクセストークンおよびリフレッシュトークンは、AES-256-GCM により暗号化し、安全に保管します。
• ユーザーが連携解除を行った時点で、当該ユーザーに紐づく Google ユーザーデータは 30 日以内に物理削除します（連携解除後 30 日間の 保持理由：誤操作によるデータ復旧要求への対応）。

【データの限定的利用宣言】

当社は、Google API を通じて取得したユーザーデータを、本プライバシー ポリシーで明示した目的の範囲内でのみ利用します。Google API Services User Data Policy（Limited Use 要件を含む）を遵守し、以下を行いません。

• 取得したデータを広告配信に利用すること
• 取得したデータを当社の AI/ML モデルの学習に利用すること
• 取得したデータを第三者に販売・譲渡すること
• 取得したデータを人間が閲覧すること（ユーザー本人による閲覧、および セキュリティインシデント対応・法令遵守目的での監査担当者による 閲覧を除く）

【取得スコープと利用目的】

• business.manage スコープ： GBP のクチコミ本文・評価点・投稿者名・返信履歴・店舗情報・GBP 投稿・インサイトデータを取得。利用目的：クチコミの一覧表示、 AI 草案を用いた返信の作成・送信、GBP 投稿の作成・送信、 店舗パフォーマンスの分析。
• calendar.events スコープ： ユーザーが連携を許可した Google カレンダーのイベント情報を取得。 利用目的：Tenant-Connect 上で受け付けた予約を Google カレンダーに 作成・更新。
• openid / userinfo.email / userinfo.profile スコープ：メールアドレス、表示名、プロフィール画像 URL を取得。 利用目的：ログインユーザーの本人確認・表示。

【Google 連携データの削除方法】

• アプリ内での連携解除：ログイン → 店舗設定 → 外部連携 → 「Google 連携を解除」ボタン。解除後 30 日以内に対象データを物理削除します。
• メールでの削除依頼：contact@tenant-connect.com宛にご連絡ください。受領後 14 営業日以内に対応します。

5. 第三者への提供および委託

当社は、以下の場合を除き、利用者情報を第三者に提供しません。

• ユーザーの同意がある場合
• 法令に基づく場合
• 人の生命、身体または財産の保護のために必要な場合

また、本サービスの提供のため、以下の外部サービスを利用しており、 業務委託先として個人情報を取り扱わせる場合があります。

• Supabase（データベース・認証基盤、米国・シンガポール）
• Vercel, Inc.（アプリケーションホスティング、米国）
• Anthropic, PBC（AI 文章生成、米国）
• Google LLC（Google ビジネスプロフィール、Google カレンダー、米国）
• Meta Platforms, Inc.（Instagram 連携、米国）
• Resend, Inc.（メール配信、米国）

これらの委託先は、いずれも GDPR その他関連法令に対応した適切な データ保護措置を講じています。なお、これらの委託先が本サービスの データを独自に収集・利用することはありません。

また、当社は、AI提供事業者との契約において、本サービスを通じて 送信されるデータがモデル学習その他の目的で利用されないことを 確認しています。

外国にある第三者への提供（個人情報保護法28条）

上記委託先はいずれも外国に所在しており、個人情報保護法28条に基づき 以下のとおり情報提供いたします。当社は、各委託先が個人情報保護法 施行規則16条に基づく基準適合体制を整備していることを継続的に 確認しています。

① 外国の名称

• 米国（United States）
• シンガポール共和国（Republic of Singapore）

② 外国における個人情報保護制度

• 米国：連邦レベルでの包括的な個人情報保護法は存在しないものの、 州法（CCPA・CPRA等）および各事業者の契約・セキュリティ基準に 基づき、個人データの保護が図られています。
• シンガポール：個人情報保護法（Personal Data Protection Act 2012） が制定されています。

詳細は個人情報保護委員会 「外国における個人情報の保護に関する制度等の調査」 （https://www.ppc.go.jp/）をご参照ください。

③ 委託先が講ずる保護措置

• Supabase, Inc.：SOC 2 Type II 認証取得、GDPR・CCPA 準拠、HIPAA 対応
• Vercel, Inc.：SOC 2 Type II 認証取得、GDPR・CCPA 準拠、ISO 27001 認証取得
• Anthropic, PBC：SOC 2 Type II 認証取得、GDPR 準拠、API 経由データを モデル学習に使用しない方針を明示
• Google LLC：ISO/IEC 27001・27017・27018 認証取得、GDPR・CCPA 準拠
• Meta Platforms, Inc.：GDPR・CCPA 準拠、Data Processing Terms に 基づく取扱い
• Resend, Inc.：SOC 2 Type II 認証取得、GDPR 準拠

6. データの保管期間

当社は、利用目的の達成に必要な期間および法令で定められた期間、 利用者情報を保管します。アカウント削除のご依頼を受けた場合、 法令上保管が義務付けられている情報を除き、合理的な期間内に 削除いたします。

具体的な保管期間の目安は以下のとおりです。

• アカウント情報・店舗情報：利用契約終了後90日以内に削除 （バックアップを含む完全削除は180日以内）
• 顧客情報・予約情報・アンケート回答：利用契約期間中。 契約終了後は90日以内に削除
• アクセスログ・操作ログ：取得後13ヶ月
• 決済関連記録：法令（電子帳簿保存法・法人税法等）に従い7年間
• 外部サービス連携トークン：連携解除後速やかに削除

7. ユーザーの権利

ユーザーは、当社が保有する自己の個人情報について、以下の権利を有します。

• 開示・訂正・利用停止・削除の請求
• 第三者提供記録の開示請求
• 外部サービス連携の解除（本サービスの管理画面から実施可能）
• データのエクスポート（本サービスの管理画面から実施可能）
• 第三者提供停止請求

請求を行う場合は、後述の連絡先までご連絡ください。ご本人確認の上、 合理的な期間内に対応いたします。

8. Cookie および類似技術

本サービスは、ユーザーの利便性向上、認証状態の維持、利用状況の分析 のために Cookie および類似技術を使用します。ブラウザの設定により Cookie の受け入れを拒否することができますが、本サービスの一部が 正常に動作しなくなる可能性があります。

9. 安全管理措置

当社は、個人情報保護法23条に基づき、利用者情報の漏えい・滅失・毀損の 防止その他の安全管理のため、以下の措置を講じています。

9.1 組織的安全管理措置

• 個人データの取扱いに関する責任者（個人情報保護管理者）を設置しています。
• 個人データの取扱いに関する社内規程を整備し、定期的に見直しを行います。
• 個人データの取扱い状況について、定期的に自己点検および内部監査を 実施します。
• 漏えい等事案発生時の報告連絡体制を整備しています。

9.2 人的安全管理措置

• 個人データを取り扱う従業者に対し、個人情報保護に関する教育・研修を 定期的に実施しています。
• 従業者との間で、個人データの取扱いに関する秘密保持義務を含む 雇用契約・業務委託契約を締結しています。

9.3 物理的安全管理措置

• 個人データを取り扱う区域への入退室管理および機器の盗難防止措置を 講じています。
• 個人データを記録した機器・電子媒体の廃棄時には、データ消去・ 物理的破壊等の措置を講じます。

9.4 技術的安全管理措置

• アクセス権限は業務上必要最小限の従業者にのみ付与しています。
• 情報システムへのアクセスログを取得・保管し、不正アクセスの監視を 行います。
• 通信はHTTPS（TLS 1.2以上）により暗号化しています。
• データベースに保存する個人データは保存時暗号化（AES-256）を 実施しています。
• 外部サービス連携用のアクセストークン・リフレッシュトークンは AES-256-GCMにより暗号化して保管しています。
• 不正アクセス・ウイルス感染等を防止するため、ファイアウォール・ WAF・エンドポイント保護等の技術的措置を講じています。
• インシデント発生時は72時間以内に該当ユーザーへ通知します。
• 保管場所：Supabase（PostgreSQL）、Vercel
• データセンター所在地：東京リージョン（asia-northeast1 / ap-northeast-1）
• アクセス制御：Row Level Security（RLS）による行レベル権限分離
• バックアップ：日次自動、保管30日

9.5 外的環境の把握

当社は、外国（米国・シンガポール）に所在する事業者に個人データの 取扱いを委託しています（5条参照）。各国の個人情報保護制度を把握した 上で安全管理措置を実施しており、委託先の基準適合体制・セキュリティ 認証（SOC 2・ISO/IEC 27001等）・DPAの安全管理条項を継続的に 確認しています。

10. 未成年者の利用

本サービスは事業者向けに提供されており、未成年者による利用は 想定していません。

11. 本ポリシーの変更

当社は、法令の改正、本サービスの変更その他の事情により、本ポリシー を変更する場合があります。変更後の本ポリシーは、本サービス上に掲示 された時点から効力を生じるものとします。重要な変更については、 事前にユーザーへ通知します。

本ポリシーを変更する場合、変更内容・変更日を本サービス上に掲示する とともに、重要な変更については登録メールアドレスへの送信または アプリ内通知によりユーザーへ事前にお知らせします。最終更新日は 本ページ上部に表示します。

12. 開示等の請求手続き

12.1 請求の対象

ユーザーは、当社が保有する自己の個人データについて、個人情報保護法 に基づく以下の請求を行うことができます（法33〜35条）。

• 利用目的の通知
• 開示（電磁的記録の提供を含む）
• 訂正・追加・削除
• 利用停止・消去・第三者提供の停止
• 第三者提供記録の開示

12.2 請求方法

「13. お問い合わせ窓口」までメールにてご連絡ください。当社所定の 請求書様式をお送りいたします。

12.3 本人確認

請求の際は、運転免許証・マイナンバーカード（個人番号部分を除く） 等の本人確認書類のコピーをご提出いただきます。

12.4 手数料

開示等の請求に関する手数料は無料といたします。

12.5 回答方法・期間

本人確認完了後、原則として2週間以内に、ご希望の方法（書面または 電磁的記録）により回答いたします。

12.6 認定個人情報保護団体

当社は、個人情報保護法に基づく認定個人情報保護団体には加入して おりません。苦情・相談は「13. お問い合わせ窓口」までお寄せください。

13. お問い合わせ窓口

本ポリシーに関するお問い合わせ、開示・訂正・削除等のご請求は、 下記までご連絡ください。