本ポリシーは、お客様が当社のウェブサイトを訪問し、Enthymaのアカウントを作成し、または本サービスを利用する際に、Soras Corporation LTD（以下「当社」）が個人データをどのように取り扱うかを説明するものです。本ポリシーは、EUおよび英国の一般データ保護規則（GDPRおよび英国GDPR）、改正後のカリフォルニア州消費者プライバシー法（CCPA/CPRA）、および以下に記載するその他の法律を対象としています。
1. 当社について、および連絡先
- 管理者：Soras Corporation LTD、確認中、ウクライナ、登記番号 確認中。
- プライバシーに関する連絡先：help@sorascorp.com。一般サポート：help@sorascorp.com。
- EUにおける当社の代理人（GDPR第27条）：確認中。
- 英国における当社の代理人（英国GDPR第27条）：確認中。
2. 当社の役割
2.1 管理者。 当社は、アカウント、セキュリティおよび請求関係のデータの利用方法を決定するため、その管理者となります。
2.2 処理者。 当社の顧客は、オーディエンスに関するエビデンス（レビュー、コメント、インタビューのメモ、公開投稿）をアップロードまたは接続し、それを用いてコンテンツを作成します（以下「顧客データ」）。当社は、データ処理補遺に基づき、顧客の指示にのみ従って顧客データを処理します。お客様のデータが顧客のワークスペースにある場合（たとえば、お客様がインタビューを受けた場合や、お客様の公開投稿が分析された場合）は、その顧客にご連絡ください。当社は顧客の対応を支援します。
2.3 Paddle。 有料プランが提供されている場合、Paddle.comが当社の再販業者かつMerchant of Recordとして行動します。Paddleは、自らが収集する支払いおよび税務のデータについて独立した管理者です。Paddleのプライバシー通知をご覧ください。
3. 当社が収集する情報
| カテゴリー | 例 | 取得元 | 必須か |
|---|---|---|---|
| アカウントデータ | メールアドレス、氏名、パスワードのハッシュ、表示言語、タイムゾーン、会社の所在国、および（購入時の）会社名 | お客様、またはお客様が選択した場合はログインプロバイダー（Google、GitHubまたはApple） | アカウントの作成と運営に必要（契約上） |
| ログインプロバイダーのデータ | プロバイダーのアカウントID、氏名、アバター、およびプロバイダーがメールアドレスを確認したかどうか | Google、GitHubまたはApple | そのログイン方法を使用する場合のみ |
| 同意の証跡 | 同意した文書のバージョン、表示された文言、日時、ロケール、IPアドレスの鍵付きハッシュ、ブラウザのユーザーエージェント | 同意時に生成 | 合意を証明するために必要（法的義務および請求に対する防御） |
| セキュリティデータ | ログインイベント、監査記録、IPアドレスの鍵付きハッシュ、レート制限における生のIPアドレス | 本サービスが生成 | セキュリティのために必要 |
| 利用イベント | 使用されたプロダクト機能（コンテンツは含まない） | 本サービスが生成 | 任意：オフにできます |
| サポートデータ | お客様がサポートに送信したメッセージ | お客様 | お問い合わせいただいた場合のみ |
| 当社が保存する請求データ | Paddleの顧客IDとサブスクリプションID、プラン、ステータス、更新日。カード番号を受け取ることはありません | Paddle | 有料プランに必要 |
| 共有ページの訪問者 | 訪問者のIPアドレスの鍵付きハッシュと、共有リンクが開かれた日時 | 共有ページが開かれた時に生成 | 閲覧数のカウントに使用 |
当社は、お客様が登録時に入力した情報からお客様の国を判断します。購入時の支払い情報にも国が表示される場合があり、当社は各値の取得元を記録します。
4. 利用目的と法的根拠
| 目的 | 法的根拠（GDPR／英国GDPR） |
|---|---|
| アカウントの作成と運営、本サービスの提供、サポート | 契約の履行（第6条(1)(b)） |
| 同意の記録の保持、法的請求への対応、税務および会計 | 法的義務（第6条(1)(c)）および請求に対する防御における正当な利益（第6条(1)(f)） |
| セキュリティ、不正防止、不正利用への対応、レート制限 | 正当な利益（第6条(1)(f)） |
| コンテンツを含まないファーストパーティのプロダクト分析 | 正当な利益（第6条(1)(f)）。アカウント設定でオプトアウトできます |
| サービスメール（確認、セキュリティ、法的通知、エクスポート） | 契約の履行および法的義務 |
| マーケティングメール | お客様の同意がある場合のみ（第6条(1)(a)）。現在は送信していません |
異議を申し立てる権利（第21条）。 当社が正当な利益に依拠する場合、お客様はご自身の状況に関する理由に基づき、いつでも異議を申し立てることができます。help@sorascorp.comまでご連絡いただくか、アカウント設定で利用イベントをオフにしてください。
当社は、お客様に法的効果またはそれと同様の重大な影響を及ぼす、自動化された処理のみに基づく決定は行いません。
5. 個人データの受領者
5.1 再委託先。 当社は、本サービスのホスティングと運営のためにサービスプロバイダーを利用しています。所在地、移転メカニズム、および各プロバイダーでの保持期間を含む最新のリストは、再委託先に掲載しています。これには、Oracle Cloud Infrastructure（ホスティングとバックアップ）、Cloudflare（ネットワークと安全なトンネル）、Resend（メール配信）、およびOllama CloudやGroqなどのAI推論プロバイダーが含まれます。当社は、データで学習しないことを約束したAIプロバイダーにのみデータを送信します。
5.2 有料プランについては、独立した管理者としてPaddle。
5.3 YouTube APIサービス。 顧客がYouTubeを接続すると、本サービスはYouTube APIサービスを使用して公開コメントを読み取ります。これらの機能を使用することにより、お客様はYouTube利用規約（https://www.youtube.com/t/terms）にも同意したものとみなされ、Googleプライバシーポリシー（https://policies.google.com/privacy）が適用されます。本サービスのアクセス権は、Googleのセキュリティ設定ページ（https://security.google.com/settings/security/permissions）から取り消すことができます。YouTubeに送信される検索クエリは、顧客が入力したキーワードで構成されます。
5.4 法律で義務付けられている場合の当局、および守秘義務を負う専門アドバイザー。
当社は、個人データを販売または貸与せず、クロスコンテキスト行動広告のために共有することもありません。
6. 国際移転
当社は、本サービスを確認中でホスティングしています。AI推論やメールのプロバイダーを含む一部の再委託先は、欧州経済領域（EEA）および英国の域外、たとえば米国でデータを処理します。当社がEEAまたは英国の域外に個人データを移転する場合は、十分性認定（受領者が認証を受けている場合のEU-米国データプライバシーフレームワークを含む）、または欧州委員会の標準契約条項および英国補遺に依拠します。関連する保護措置の写しは、help@sorascorp.comで請求できます。
7. データの保持期間
| データ | 保持期間 |
|---|---|
| アカウントデータ | アカウントが存在する間、およびその後30日間 |
| セキュリティおよび監査の記録 | 365日間 |
| IPアドレス | 鍵付きハッシュとしてのみ保存。レート制限における生のアドレスは24時間 |
| プロダクトの利用イベント | 13か月間 |
| サーバーログ | 14日間 |
| 同意の証跡 | アカウントが存在する間、およびその後6年間 |
| データエクスポート | 7日間 |
| 消去の記録（復元後に消去を再適用するため） | 37日間 |
| バックグラウンドジョブの記録 | 7日間 |
| バックアップおよびオブジェクトの以前のバージョン | 30日間（順次消去） |
| 顧客データ | ワークスペースごとの設定に従います。アカウント終了後30日以内に削除 |
| YouTube APIのデータ | 30日以内に更新または削除 |
| 法的通知の配信記録 | 3年間 |
| プライバシーに関するリクエストの記録 | 6年間 |
アカウントを削除すると、7日間の猶予期間があり、その間は考え直すことができます。その後、当社はお客様のアカウントとワークスペースを消去します。
AI推論プロバイダーは、応答を返すためにのみプロンプトを処理します。プロンプトの保持がある場合、その内容はプロバイダーごとに再委託先ページに記載しています。
8. お客様の権利
お住まいの地域によっては、お客様は、個人データへのアクセス、訂正、削除、処理の制限またはデータポータビリティを請求し、処理に異議を申し立て、同意を撤回することができます。その大部分は、アカウント › プライバシーとデータでご自身で行えます。データのダウンロード、同意した契約の確認、アカウントの削除が可能です。help@sorascorp.comまでご連絡いただくこともできます。当社は1か月以内に回答します（複雑なリクエストの場合は、通知のうえ2か月延長することがあります）。
お客様は、特にお住まいの国、勤務地の国、または侵害が疑われる事象が発生した国のデータ保護当局に苦情を申し立てる権利を有します。英国では、情報コミッショナー事務局（ICO）がこれにあたります。
9. カリフォルニア州の居住者
本項は、CCPA/CPRAに基づく収集時の通知です。当社は、第3項に記載のカテゴリーを第4項の目的のために収集し、第7項の期間保持します。当社は個人情報を販売または共有しません。また、Global Privacy Controlのシグナルをオプトアウトとして尊重します。お客様は、個人情報について知る権利、削除する権利、訂正する権利、およびセンシティブな個人情報の利用を制限する権利を有します（当社は、この権利の行使が必要となる目的でセンシティブな個人情報を利用していません）。お客様は授権代理人を利用できます。当社は、代理人に権限の証明を求め、お客様の本人確認を行う場合があります。お客様が権利を行使したことを理由に、当社がお客様を差別することはありません。
10. その他の法域
- ブラジル（LGPD）。 help@sorascorp.comで当社のデータ保護窓口に連絡し、ANPDに苦情を申し立てることができます。当社は、国際移転についてANPD決議第19/2024号に従います。
- 日本（個人情報保護法）。 外国にある第三者への提供は、個人情報保護法が求める保護措置を講じたうえで行います。移転先の国の制度について当社にお問い合わせいただけます。
- スイス（FADP）。 移転は、十分性認定、またはスイス法に合わせて修正された標準契約条項に依拠します。
- ケベック州（法律第25号）。 当社のプライバシー窓口が、個人情報の保護について責任を負います。
11. お客様の公開投稿が分析された場合
顧客は、自社のカテゴリーに関する公開コメントや投稿を分析することができます。本サービスは、テキスト、仮名化された投稿者のハンドル、日付、および元の投稿へのリンクを保存します。個々の投稿者のプロファイルを作成することはありません。異議を申し立てる場合や削除を求める場合は、そのデータを収集した顧客にご連絡ください。それが誰か分からない場合は、投稿へのリンクを添えてhelp@sorascorp.comまでご連絡いただければ、当社が特定に協力し、お客様のリクエストを転送します。
12. 子ども
本サービスは、18歳以上の方による事業目的での利用を対象としています。当社は、子どもに関するデータを故意に収集することはありません。
13. セキュリティ
当社は、通信時の暗号化、データベースで強制されるワークスペースごとの分離、保存されたコネクタの認証情報の暗号化、IPアドレスの鍵付きハッシュ化、最小権限のアクセス、多要素認証を伴う監査された管理、および暗号化されたオフサイトバックアップを使用しています。詳細はデータ処理補遺をご覧ください。
14. Cookie
当社は、必要なCookieと設定用のCookieのみを使用します。Cookieに関するお知らせをご覧ください。
15. 変更
重要な変更については、適用前にメールおよび本サービス内でお知らせします。「最終更新日」とバージョン履歴で、すべての変更を確認できます。