個人情報保護方針

以下の情報は、本ウェブサイトを訪問した際の個人データの取り扱いに関する簡単な概要を提供するものです。個人データとは、個人を特定できるあらゆるデータを指します。KiwiCVが個人情報を販売または共有することはありません。

お客様のデータは、一方で、お客様が当社に提供すること（例：アプリケーションへの履歴書データの入力）によって収集されます。ただし、これらの入力内容は主にブラウザ内でローカルに処理されます。その他のデータは、お客様がウェブサイトにアクセスした際に当社の IT システムによって自動的に収集されます。これらは主にテクニカルデータ（例：インターネットブラウザ、オペレーティングシステム、またはページ閲覧時刻）です。

本ウェブサイトにおけるデータ処理は、ウェブサイト運営者が行います。連絡先については、本個人情報保護方針の「責任機関に関する注意事項」セクションをご覧ください。

このウェブサイトでのデータ処理の責任者は以下の通りです：

Maikel Hajiabadi
KiwiCanopy
Moselstraße 43
60329 Frankfurt am Main
E-Mail: hello.kiwicv+legal@gmail.com

適用される法的規定の範囲内で、あなたはいつでも、保存されている自分の個人データ、その提供元と受領者、およびデータ処理の目的について無料で開示を受ける権利、ならびに必要に応じて当該データの修正または削除を求める権利を有します。この目的、および個人データに関するその他の質問については、いつでも私に連絡することができます。

また、管轄の監督機関に不服を申し立てる権利もあります。

本ウェブサイトは外部サービスプロバイダー（ホスター）によってホストされています。私はウェブサイトのホスティングに Netlify, Inc., 512 2nd Street, Suite 200, San Francisco, CA 94107 を利用しています。

Netlifyの利用は、専門的なプロバイダーによる安全、迅速、かつ効率的なオンライン提供を目的としています（GDPR第6条第1項(f)）。Netlifyは世界規模のコンテンツデリバリネットワーク（CDN）を利用しており、これにより（IPアドレスなどの）データが世界中のサーバーを経由してルーティングされ、ウェブサイトの読み込み時間を最小限に抑えることができます。発生するサーバーログファイル（アクセスデータ）は、通常、セキュリティ上の理由からNetlifyによって90日間（オフラインで最大1年間）保存され、その後削除されます。

米国へのデータ転送は、欧州委員会の標準契約条項（SCC）およびNetlifyが認証を受けているEU-USデータプライバシーフレームワーク（DPF）に基づいています。

委託処理： 私は、上記のサービスの利用に関する委託処理契約（AVV）を締結しており、Netlifyが私の指示に従い、GDPRを遵守してウェブサイト訪問者の個人データを処理することを保証しています。

KiwiCVは、職務経歴書データを個人のGoogle Driveと同期するオプション機能を提供しています。この機能を有効にすると、職務経歴書ファイルがGoogle Driveアカウント（Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA）に転送され、KiwiCVが作成したフォルダに保存されます。

技術的には、この同期は当社のサーバー機能を経由してルーティングされます。職務経歴書の内容および転送に必要なアクセス資格情報（リフレッシュトークン）は、リクエストの期間中のみ一時的に処理され、当社のサーバーに永久に保存されることはありません。リフレッシュトークンは、ブラウザ内にのみローカル保存されます。KiwiCVは自身が作成したファイル（Google 「drive.file」 スコープ）へのアクセスのみを受け取り、Drive内のその他のファイルにアクセスすることは一切ありません。

データ転送は、Googleアカウントを自主的に連携することによる積極的な同意（GDPR第6条第1項a）に基づいてのみ行われます。設定の 「連携解除」 からいつでも同意を撤回でき、これによりKiwiCVに付与されたGoogleでの権限も撤回されます。米国企業であるGoogleはデータを米国に転送することにご注意ください。この転送は、Googleが認証を受けているEU-USデータプライバシーフレームワーク（DPF）および欧州委員会の標準契約条項に基づいています。

このアプリケーションは、あなたが任意で提供するGitHub個人アクセストークン (PAT) を介して、あなたのGitHubアカウントと直接やり取りする可能性を提供しています（例：履歴書データの保存や同期）。

この機能を利用する場合、あなたのブラウザはGitHubのサーバー（GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA）と直接接続を確立します。その過程で、あなたのIPアドレスおよびアプリケーションに入力されたデータが直接GitHubに送信され、そこで処理されます。

私は、いかなる時点でもあなたのGitHub PATをサーバーに保存することはありません。これは、あなたの代理としてGitHubへのAPIリクエストを承認するために、あなたのブラウザ内で一時的にローカルに使用されるだけです。

GitHubへのデータ転送は、あなたが任意に機能を利用し、トークンを入力することによる、あなたのアクティブな同意（GDPR第6条第1項(a)）にのみ基づいて行われます。GitHubは米国企業としてデータを米国に転送することにご注意ください。GitHubのデータ保護に関する詳細については、こちらをご覧ください：

履歴書作成機能の提供および動作のために、KiwiCVはいわゆるウェブストレージ技術（Local Storage）を利用しています。これにより、あなたの入力（履歴書のテキストデータやローカルで処理されたBase64形式のプロフィール画像など）が、あなたの端末のブラウザ内にローカルにキャッシュされます。これにより、ページが誤って再読み込みされた場合でもデータが失われるのを防ぎます。

これらのデータはあなたの端末上でローカルに処理され、本ポリシーに記載されているオプション機能（このセクションのGoogle Driveバックアップやセクション8のAI機能など）を積極的に使用しない限り、サーバーに送信されることはありません。私はこれらのローカルに保存されたデータにいつでもアクセスすることはできません。

このデータの保存は、アプリケーションの核心機能にとって技術的に厳格に必要となります。端末におけるデータの保存および読み出しの法的根拠はTDDDG第25条第2項第2号です。その後の処理は、GDPR第6条第1項(f)に基づく、ユーザーフレンドリーなサービス提供に関する私の正当な利益に基づきます。データは、ブラウザのストレージ（キャッシュ/Local Storage）を手動で消去するまで端末に残ります。

ユーザーアカウントを作成する際（Google OAuth経由）、アクセスおよびパーソナライズされたデータを管理するために、メールアドレス、氏名、Googleプロフィール写真を保存します。有料機能は登録ユーザーのみが利用可能です。また、請求目的のために、有効なPro Passおよび無料体験期間に関する情報、AI使用に関するメタデータ（タイムスタンプとトークン量）を保存します。当社はAI最適化の入力（プロンプト）または出力（結果）をサーバーに永久に保存することはありません。処理中の一時的なキャッシュについてはセクション8で説明されています。

データベースプロバイダー： このアカウントデータは、欧州連合内でホストされているプロジェクトにて、当社の処理事業者である Supabase, Inc. に保存されます。Supabaseとの間にはGDPR第28条に従ったデータ処理契約が締結されています。

支払いの処理には、サービスプロバイダーのStripe（Stripe, Inc.）を使用しています。支払いプロセス中に、Stripeは支払い情報を収集します。当社のサーバーに機密性の高い支払いデータ（クレジットカード番号など）を保存することはありません。Stripeから取引に関するステータス情報を受け取るのみです。

ユーザーアカウントを削除すると、プロフィールおよびリンクされているすべてのメタデータ（有効なサブスクリプションや利用ログなど）は、Supabaseによって運用される当社のデータベースから即座かつ永久に削除されます（セクション5を参照）。履歴書データはブラウザのローカルストレージに保存されており、Google Driveバックアップを使用している場合は個人のGoogle Driveに保存されていることにご注意ください。これらはいずれもサーバー側のアカウント削除の影響を受けません。以下に説明する不正利用防止用ハッシュ値には例外が適用されます。

取引に関連する請求書データ（特にStripe経由で行われた購入の記録）を10年間保持することが法的に義務付けられていますので、ご了承ください。これは、税法および商法の要件（ドイツのAOおよびHGBなど）に基づいています。このための法的根拠は、GDPR第6条第1項(c)です。

これらの特定のデータは、税務当局への適切な文書化を確実にするために、法定期間中、決済サービスプロバイダーであるStripeによって保持されます。

1回限りの無料体験の重複請求を防止するため、アカウントが無料体験を受け取った際にメールアドレスの暗号化ハッシュ値（SHA-256）を保存します。このハッシュからメールアドレス自体を読み取ることはできません。同じアドレスがすでに体験を受け取ったかどうかを識別するためのみに使用されます。この目的のために使用されるため、ハッシュはアカウント削除後も付与から最大24か月間保存され、その後自動的に削除されます。法的根拠は、無料サービスの不正利用を防止するという当社の正当な利益（GDPR第6条第1項f）です。

KiwiCVのシステムでは、AIリクエストのメタデータのみを記録し、個々のプロンプトの内容は記録しません。以下が保存されます：

リクエストの種類：（例：「履歴書の最適化」、「AI履歴書解析」）製品提供を継続的に改善するため。

使用データ： 適切な運用を確保し、エラー診断を行い、フェアユースポリシー（乱用や自動化された使用の回避）を適用するための、使用されたトークン数またはリクエスト数。

お客様のデータの保護は当社の最優先事項です。Google Cloud API (Vertex AI) を使用する場合、以下のセキュリティ保証が適用されます：

モデルトレーニングなし： Googleは、グローバルAIモデルのトレーニングのために、お客様が入力したデータ（プロンプト）を明示的に使用しません。データは当社の隔離されたGoogle Cloud環境に留まります。

データの場所： 処理は、GDPRに従って適切なデータ保護レベルを確保するために、欧州連合内のサーバー（Google Cloud EUマルチリージョン 「eu」、EU加盟国に限定）で行われます。

プロバイダーでの永続的な保存なし： データは、リクエストを処理するためにGoogleによって一時的に処理されるだけで、生成が完了した後は永続的に保存されません。

職務経歴書や送付状のインテリジェントな最適化および作成機能を提供するために、Google CloudのVertex AIプラットフォームを使用しています。このプロセスにおいて、入力されたテキストはGoogleのサーバーに送信され処理されます。AI機能はアクティブに実行したときにのみ動作します。この処理の法的根拠はGDPR第6条第1項b（要求された機能の提供）です。

AIリクエストの安定した処理を確保するため、KiwiCVは非同期バックグラウンド処理を利用しています。アップロードされた入力ドキュメント（履歴書ファイルなど）およびAIによって生成された結果は、ブラウザが正常に取得するまで、Supabaseによって運用される当社のデータベース（セクション5を参照）に短期間（通常は数秒、最大24時間）一時的に保存されます。この期間の後、または取得後、これらの特設結果およびアップロードされた入力データは自動的かつ完全に削除されます。データは要求されたサービスを提供するためにのみ使用され、プロファイリング、トレーニング、またはその他の目的で使用されることはありません。

ユーザーが KiwiCV とどのようにやり取りしているかをよりよく理解し、サービスを向上させるために、分析ツール PostHog（PostHog, Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA）を使用しています。お客様のプライバシーを保護するため、PostHog は厳格に匿名かつクッキーレスな方法で構成されています。

匿名トラッキング: トラッキングクッキーは一切使用せず、ブラウザに個人識別情報を保存することもありません。PostHog はメモリ内のみの永続化（memory-only）を使用するように構成されており、ページを閉じたりリロードしたりすると、すべてのセッションデータが失われます。

データの所在（EU）: すべてのデータは、欧州のデータ保護基準への準拠を確実にするため、PostHog の欧州サーバー（地域：ドイツ、フランクフルト - https://eu.i.posthog.com）に送信・保存されます。

セッション認識: 匿名のセッション認識のために、サーバー側で短期間のハッシュ値が生成され、24 時間後に自動的に削除されます。これにより、個人を特定することなく、インタラクションパターン（例：どのテーマが人気か、何件の履歴書がエクスポートされたかなど）を確認できます。

PostHog の使用は、当社のウェブサイトの需要に応じた設計と継続的な最適化に関する当社の正当な利益（GDPR 第 6 条第 1 項 (f)）に基づいています。