個人情報保護方針

以下の情報は、本ウェブサイトを訪問した際の個人データの取り扱いに関する簡単な概要を提供するものです。個人データとは、個人を特定できるあらゆるデータを指します。KiwiCVが個人情報を販売または共有することはありません。

お客様のデータは、一方で、お客様が当社に提供すること（例：アプリケーションへの履歴書データの入力）によって収集されます。ただし、これらの入力内容は主にブラウザ内でローカルに処理されます。その他のデータは、お客様がウェブサイトにアクセスした際に当社の IT システムによって自動的に収集されます。これらは主にテクニカルデータ（例：インターネットブラウザ、オペレーティングシステム、またはページ閲覧時刻）です。

本ウェブサイトにおけるデータ処理は、ウェブサイト運営者が行います。連絡先については、本個人情報保護方針の「責任機関に関する注意事項」セクションをご覧ください。

このウェブサイトでのデータ処理の責任者は以下の通りです：

Maikel Hajiabadi
KiwiCanopy
Moselstraße 43
60329 Frankfurt am Main
E-Mail: kiwicv-legal@kiwicanopy.com

適用される法的規定の範囲内で、あなたはいつでも、保存されている自分の個人データ、その提供元と受領者、およびデータ処理の目的について無料で開示を受ける権利（GDPR第15条）、ならびに必要に応じて当該データの修正（GDPR第16条）または削除（GDPR第17条）を求める権利、その処理の制限を求める権利（GDPR第18条）、および自分が提供したデータを構造化され、一般的に利用され、機械で読み取り可能な形式で受け取る権利、またはそれを別の管理者に移行させる権利（データポータビリティの権利、GDPR第20条）を有します。この目的、および個人データに関するその他の質問については、いつでも私に連絡することができます。

異議を述べる権利（GDPR第21条）： 私が正当な利益（GDPR第6条第1項(f)）に基づいてあなたの個人データを処理する場合、あなたは、自身の特別な状況に関する理由により、いつでもその処理に異議を述べる権利を有します。これは、本個人情報保護方針がGDPR第6条第1項(f)を法的根拠として挙げているすべての処理に適用されます。その場合、私は、あなたの利益、権利および自由に優先する、処理のためのやむを得ない正当な根拠を証明できる場合、または処理が法的主張の立証、行使もしくは防御のためである場合を除き、該当するデータを処理しません。

処理があなたの同意（GDPR第6条第1項(a)）に基づく場合、あなたはいつでも将来に向かってその同意を撤回することができます（GDPR第7条第3項）。撤回前に同意に基づいて行われた処理の適法性は、撤回によって影響を受けません。

また、管轄の監督機関に不服を申し立てる権利もあります。

本ウェブサイトは外部サービスプロバイダー（ホスター）によってホストされています。私はウェブサイトのホスティングに Netlify, Inc., 512 2nd Street, Suite 200, San Francisco, CA 94107 を利用しています。

Netlifyの利用は、専門的なプロバイダーによる安全、迅速、かつ効率的なオンライン提供を目的としています（GDPR第6条第1項(f)）。Netlifyは世界規模のコンテンツデリバリネットワーク（CDN）を利用しており、これにより（IPアドレスなどの）データが世界中のサーバーを経由してルーティングされ、ウェブサイトの読み込み時間を最小限に抑えることができます。発生するサーバーログファイル（アクセスデータ）は、通常、セキュリティ上の理由からNetlifyによって90日間（オフラインで最大1年間）保存され、その後削除されます。

Netlifyは、米国にあるKiwiCVのサーバー機能も運用しています。セクション8のAI機能へのすべてのリクエストは、その内容（例えば、職務経歴書のテキスト、求人情報、アップロードされた職務経歴書ファイル）とともに、Googleに届く前にこれらの機能を経由します。Google Driveとの同期（セクション4）、支払い（セクション6）、アカウントの削除（セクション7）も同様です。AI機能とGoogle Driveとの同期の法的根拠は、それぞれのセクションに記載されているものです。支払いは、あなたとの契約の履行のために処理され（GDPR第6条第1項(b)）、アカウントの削除は、あなたのデータを消去する法的義務を履行するために行われます（GDPR第17条と併せてGDPR第6条第1項(c)）。

米国へのデータ転送は、欧州委員会の標準契約条項（SCC）およびNetlifyが認証を受けているEU-USデータプライバシーフレームワーク（DPF）に基づいています。

委託処理： 私は、上記のサービスの利用に関する委託処理契約（AVV）を締結しており、Netlifyが私の指示に従い、GDPRを遵守してウェブサイト訪問者の個人データを処理することを保証しています。

KiwiCVブログの記事とその画像、およびトップページに掲載するユーザーの声とその写真は、コンテンツプラットフォームSanity（Sanity AS, Trondheimsveien 2K, 0560 Oslo、ノルウェー、およびSanity US Inc., 351 California Street, Suite 650, San Francisco, CA 94104、米国）で管理されています。ブログまたは記事を開いたとき、またはトップページでユーザーの声の近くまでスクロールしたとき、ブラウザはこれらのコンテンツをSanityのサーバー（sanity.io）から直接読み込みます。その際、SanityはあなたのIPアドレスと、すべてのリクエストに含まれる技術データ（ブラウザの種類やリクエストの時刻など）を受け取ります。

Sanityの利用は、ブログとウェブサイトのコンテンツを効率的に提供するという当社の正当な利益に基づいています（GDPR第6条第1項(f)）。その際、データが米国に転送されることがあります。Sanityのデータ処理契約は、このような転送の根拠を欧州委員会の標準契約条項としています。

KiwiCVは、職務経歴書データを個人のGoogle Driveと同期するオプション機能を提供しています。この機能を有効にすると、職務経歴書ファイルがGoogle Driveアカウント（Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA）に転送され、KiwiCVが作成したフォルダに保存されます。

技術的には、この同期は当社のサーバー機能を経由してルーティングされます。職務経歴書の内容および転送に必要なアクセス資格情報（リフレッシュトークン）は、リクエストの期間中のみ一時的に処理され、当社のサーバーに永久に保存されることはありません。リフレッシュトークンは、ブラウザ内にのみローカル保存されます。KiwiCVは自身が作成したファイル（Google 「drive.file」 スコープ）へのアクセスのみを受け取り、Drive内のその他のファイルにアクセスすることは一切ありません。

データ転送は、Googleアカウントを自主的に連携することによる積極的な同意（GDPR第6条第1項a）に基づいてのみ行われます。設定の「同期と保存」にある「Google Drive の接続を解除」と「接続解除してアクセス権を削除」により、いつでも同意を撤回でき、これによりKiwiCVに付与されたGoogleでの権限も撤回されます。Googleアカウントのサードパーティによるアクセス（myaccount.google.com/connections）でKiwiCVを削除することもできます。米国企業であるGoogleはデータを米国に転送することにご注意ください。この転送は、Googleが認証を受けているEU-USデータプライバシーフレームワーク（DPF）および欧州委員会の標準契約条項に基づいています。

このアプリケーションは、あなたが任意で提供するGitHub個人アクセストークン (PAT) を介して、あなたのGitHubアカウントと直接やり取りする可能性を提供しています（例：履歴書データの保存や同期）。

この機能を利用する場合、あなたのブラウザはGitHubのサーバー（GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA）と直接接続を確立します。その過程で、あなたのIPアドレスおよびアプリケーションに入力されたデータが直接GitHubに送信され、そこで処理されます。

GitHubに送信される内容は、あなたが選ぶリポジトリによって異なります。GitHub Pagesで公開されていない非公開リポジトリには、あなたが非表示にした項目、カバーレター、およびインポートしたファイルからKiwiCVが保持しているデータを含む、履歴書データのすべてが送信されます。誰でも読めるリポジトリ（公開リポジトリ、またはGitHub Pagesで公開されているリポジトリ）には、あなたが非表示にした項目やセクション、カバーレター、インポートしたファイルから保持されたデータを除いた履歴書が送信されます。一方、デザイン設定、プロフィール写真（非表示にしている場合を除く）、あなたが記載した推薦人の氏名や連絡先、そしてエクスポート時にあなたが付けるファイル名やフォルダ名は含まれ、これらはコミットメッセージにも表示され、応募先の企業名や職種が含まれることがあります。後からリポジトリを公開した場合、またはGitHub Pagesで公開した場合、すでに含まれている内容は履歴を含めて公開される可能性があります。

あなたのGitHub PATがKiwiCVのサーバーに送信されることはありません。このトークンは、このデバイス上のあなたのブラウザにのみ保存され、あなたのブラウザがあなたの代理としてGitHubに送信するリクエストを承認するためにのみ使用されます。保存期間は、現在のブラウザセッションの間、または「このブラウザにトークンを永続的に保存する」を選んだ場合は、あなたが削除するまでです。トークンはKiwiCVアカウントではなくこのデバイスに属するため、ログアウトしても保持されます（「GitHub を削除してログアウト」を選んだ場合を除きます）。アカウントを削除すると、「このデバイスから GitHub の接続も削除する」にチェックを入れたままにしている場合は、トークンも削除されます。

GitHubへのデータ転送は、あなたが任意に機能を利用し、トークンを入力することによる、あなたのアクティブな同意（GDPR第6条第1項(a)）にのみ基づいて行われます。この同意は、設定の「同期と保存」にある「GitHub の接続を解除」と「接続解除してトークンを削除」により、いつでも撤回できます。これにより、トークンとリポジトリ設定はこの端末から削除され、GitHubには何も送信されません。すでにリポジトリにあるデータは、GitHub上で削除するまでそのまま残ります。GitHubは米国企業としてデータを米国に転送することにご注意ください。GitHubのデータ保護に関する詳細については、こちらをご覧ください：

履歴書作成機能の提供および動作のために、KiwiCVはいわゆるウェブストレージ技術（Local Storage）を利用しています。これにより、あなたの入力（履歴書のテキストデータやローカルで処理されたBase64形式のプロフィール画像など）が、あなたの端末のブラウザ内にローカルにキャッシュされます。これにより、ページが誤って再読み込みされた場合でもデータが失われるのを防ぎます。

KiwiCVが使用しないトップレベルのセクション（例えば、他のアプリケーションで作成されたもの）を含む履歴書ファイルをインポートした場合、ファイルをエクスポートしたときにそのまま返せるよう、KiwiCVはそれらをサイズ上限の範囲内であなたの履歴書とともに保持します。それらは履歴書とともに保存、エクスポート、バックアップ（Google Drive、またはGitHub Pagesで公開されていない非公開のGitHubリポジトリへ）され、「生JSON」ビューで確認できますが、あなたの履歴書やエディタに表示されることも、AI機能に送信されることもありません。

カバーレターで「自分の文体に合わせる」を使用する場合、あなたが入力した文章サンプル（最大5,000文字）も、履歴書とは別にLocal Storageに保存され、次のカバーレターですぐに使えるようになります。文章サンプルは、あなたの文体でカバーレターが作成されるたびにセクション8のAI機能に送信されます。Google DriveやGitHubのバックアップには含まれません。カバーレターのダイアログでクリアする、ログアウトする、別のアカウントでログインする、またはブラウザのストレージを消去するまで、あなたの端末に残ります。アカウントを削除するとログアウトされるため、アカウントを削除した端末からも削除されます。

これらのデータはあなたの端末上でローカルに処理され、本ポリシーに記載されているオプション機能（このセクションのGoogle Driveバックアップやセクション8のAI機能など）を積極的に使用しない限り、サーバーに送信されることはありません。私はこれらのローカルに保存されたデータにいつでもアクセスすることはできません。

ログインすると、ブラウザには、ログインセッション（当社のサーバーへのリクエストに付随して送信されます。セクション5参照）、プロフィールのコピー、およびアカウントIDも保存されます。アカウントIDは、ローカルに保存されたアクセス認証情報と文章サンプルがどのアカウントに属するかを記録するものです。これらの保存は、あなたが求めたログインのために厳格に必要です（TDDDG第25条第2項第2号）。これら3つはいずれも、ログアウトすると削除されます。

このデータの保存は、アプリケーションの核心機能にとって技術的に厳格に必要となります。端末におけるデータの保存および読み出しの法的根拠はTDDDG第25条第2項第2号です。その後の処理は、GDPR第6条第1項(f)に基づく、ユーザーフレンドリーなサービス提供に関する私の正当な利益に基づきます。上記で別途説明している場合を除き、データは、ブラウザのストレージ（キャッシュ/Local Storage）を手動で消去するまで端末に残ります。

ユーザーアカウントを作成する際（Google OAuth経由）、アクセスおよびパーソナライズされたデータを管理するために、メールアドレス、氏名、Googleプロフィール写真を保存します。有料機能は登録ユーザーのみが利用可能です。また、有効なPro Passに関する情報、ならびにAIリクエストに関するメタデータ（セクション8で説明します）を保存します。当社はAI最適化の入力（プロンプト）または出力（結果）をサーバーに永久に保存することはありません。処理中の一時的なキャッシュについてはセクション8で説明されています。

データベースプロバイダー： このアカウントデータは、欧州連合内でホストされているプロジェクトにて、当社の処理事業者である Supabase, Inc. に保存されます。Supabaseとの間にはGDPR第28条に従ったデータ処理契約が締結されています。

支払いの処理には、Stripe Payments Europe, Limited（アイルランド）を使用しています。支払いプロセス中に、Stripeは支払い情報を直接収集します。当社のサーバーに機密性の高い支払いデータ（クレジットカード番号など）を保存することはありません。Stripeから取引に関するステータス情報を受け取るのみです。法的根拠は、あなたの購入の履行（GDPR第6条第1項b）と、保管が必要な請求記録については法的義務（GDPR第6条第1項c、セクション7を参照）です。Stripeは米国でもデータを処理します（Stripe, LLC）。この転送は、Stripeが認証を受けているEU-USデータプライバシーフレームワーク（DPF）および欧州委員会の標準契約条項に基づいています。

ユーザーアカウントを削除すると、プロフィールおよびリンクされているすべてのメタデータ（Pro Passの状況、支払い記録、利用ログなど）は、Supabaseによって運用される当社のデータベースから即座かつ永久に削除されます（セクション5を参照）。履歴書データはブラウザのローカルストレージに保存されており、Google DriveバックアップまたはGitHub同期を使用している場合は個人のGoogle DriveまたはGitHubリポジトリに保存されていることにご注意ください。これらはいずれもサーバー側のアカウント削除の影響を受けません。このデバイスに保存されているGitHubトークンも、「このデバイスから GitHub の接続も削除する」にチェックを入れたままにしている場合は削除されます（セクション4を参照）。

取引に関連する請求書データ（特にStripe経由で行われた購入の記録）を10年間保持することが法的に義務付けられていますので、ご了承ください。これは、税法および商法の要件（ドイツのAOおよびHGBなど）に基づいています。このための法的根拠は、GDPR第6条第1項(c)です。

これらの特定のデータは、税務当局への適切な文書化を確実にするために、法定期間中、決済サービスプロバイダーであるStripeによって保持されます。

KiwiCVは、完了したAIリクエストごとに、Supabaseが運用する当社のデータベース（セクション5を参照）に、お客様のアカウントに紐づくメタデータを記録します。このログにはプロンプトや結果の内容は一切含まれません。それらがリクエストの実行中に一時的に保持される方法については、下記の「一時保存」をご覧ください。以下が保存されます：

リクエストの種類： どのような種類のリクエストか（例：「履歴書の最適化」、「カバーレター」、「AI履歴書解析」）、お客様が選択したAIモード、リクエストの対象（履歴書全体、または「職歴」などのセクションの種類）。対象のテキストそのものは記録しません。

使用データ： リクエストの時刻、使用されたトークン数、およびPro Passが適用されたかどうか。KiwiCVが無料体験期間を提供していた時期のリクエストについては、その無料体験期間が適用されたかどうか。

技術データ： リクエストにかかった時間、AIモデル、サーバーのリージョン、AIへの指示のバージョン、リクエストの終了状況、結果が何かを変更したかどうか、およびテスト実行であったかどうか。

安全性の分類： 履歴書の最適化とカバーレターについて、Googleの自動安全システムがAIの応答に付与するスコア（Googleが提供する場合のみ。例：嫌がらせや危険な内容を含む可能性の高さ）。これらはテキストから導き出されますが、テキストの内容は一切含みません。

これらのデータは、1日の利用枠に対するリクエスト数のカウント、フェアユースポリシー（乱用や自動化された使用の回避）の適用、およびエラー診断のために使用します。AI機能の改善のためには集計した形でのみ評価し、お客様のプロファイルを作成するためにこれらのデータを使用することは決してありません。リクエスト数のカウントはサービスの提供に必要であり（GDPR第6条第1項(b)）、その他の目的は、不正利用の防止、エラーの修正、AI機能の改善に関する当社の正当な利益に基づきます（GDPR第6条第1項(f)）。データはアカウントが存在する限り保持され、アカウントとともに削除されます（セクション7を参照）。

お客様のデータの保護は当社の最優先事項です。Google Cloud API (Vertex AI) を使用する場合、以下のセキュリティ保証が適用されます：

モデルトレーニングなし： Googleは、グローバルAIモデルのトレーニングのために、お客様が入力したデータ（プロンプト）を明示的に使用しません。データは当社の隔離されたGoogle Cloud環境に留まります。

データの場所： Googleは、GDPRに従って適切なデータ保護レベルを確保するために、欧州連合内のサーバー（Google Cloud EUマルチリージョン 「eu」、EU加盟国に限定）でリクエストを処理します。リクエストはGoogleに届く前に、米国にある当社のサーバー機能を経由します（セクション3参照）。

プロバイダーでの永続的な保存なし： Googleはリクエストを処理するためにデータを処理し、永続的には保存しません。Googleは入力と出力を最大24時間キャッシュする場合があります。Googleの自動安全システムがリクエストにフラグを立てた場合、Googleは不正利用の確認のためにプロンプトを最大30日間保持することがありますが、モデルのトレーニングには使用されません。

職務経歴書や送付状のインテリジェントな最適化および作成機能を提供するために、Google CloudのVertex AIプラットフォームを使用しています。このプロセスにおいて、入力されたテキストはGoogleのサーバーに送信され処理されます。その途中で、米国のNetlifyで運用されている当社のサーバー機能を経由します（セクション3参照）。AI機能はアクティブに実行したときにのみ動作します。この処理の法的根拠はGDPR第6条第1項b（要求された機能の提供）です。

AIリクエストの安定した処理を確保するため、KiwiCVは非同期バックグラウンド処理を利用しています。アップロードされた入力ドキュメント（履歴書ファイルなど）およびAIによって生成された結果は、ブラウザが正常に取得するまで、Supabaseによって運用される当社のデータベース（セクション5を参照）に短期間（通常は数分以内、長くても24時間を超えることはありません）一時的に保存されます。この期間の後、または取得後、これらの一時的な結果およびアップロードされた入力データは自動的かつ完全に削除されます。KiwiCVは、これらの一時的な入力と結果を、リクエストされた結果をお届けする目的にのみ使用し、プロファイリングやAIモデルのトレーニングに使用することはありません。

ユーザーが KiwiCV とどのようにやり取りしているかをよりよく理解し、サービスを向上させるために、分析ツール PostHog（PostHog, Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA）を使用しています。お客様のプライバシーを保護するため、PostHog は厳格に匿名かつクッキーレスな方法で構成されています。

匿名トラッキング: トラッキングクッキーは一切使用せず、ブラウザに個人識別情報を保存することもありません。PostHog はメモリ内のみの永続化（memory-only）を使用するように構成されており、ページを閉じたりリロードしたりすると、すべてのセッションデータが失われます。

データの所在（EU）: すべてのデータは、欧州のデータ保護基準への準拠を確実にするため、PostHog の欧州サーバー（地域：ドイツ、フランクフルト - https://eu.i.posthog.com）に送信・保存されます。

セッション認識: 匿名のセッション認識のために、サーバー側で短期間のハッシュ値が生成され、24 時間後に自動的に削除されます。これにより、個人を特定することなく、インタラクションパターン（例：どのテーマが人気か、何件の履歴書がエクスポートされたかなど）を確認できます。

PostHog の使用は、当社のウェブサイトの需要に応じた設計と継続的な最適化に関する当社の正当な利益（GDPR 第 6 条第 1 項 (f)）に基づいています。

メールでお問い合わせいただいた場合（例：kiwicv-legal@kiwicanopy.com またはこのサイトに記載されたその他のアドレス）、お問い合わせへの対応および追加のご質問に備えるため、連絡先を含む情報を保存します。

メール転送（Cloudflare）： kiwicanopy.com のアドレス宛てのメールは、Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA の Email Routing サービスが受信し、当方のメールボックスへ転送します。内容は保存されませんが、Cloudflare は送信者、受信者、件名、日時および配信状況を記録します。Cloudflare とはデータ処理契約（Cloudflare Customer DPA）を締結しています。

メールボックス（Google）： メールボックスは Google（Gmail）が提供しており、提供者は Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland です。米国（Cloudflare または Google LLC）へのデータ移転は EU-US Data Privacy Framework に基づき、補完的に欧州委員会の標準契約条項に基づきます。

法的根拠は、お問い合わせが契約に関するものである場合は GDPR 第6条第1項(b)、それ以外の場合はお問い合わせに回答する正当な利益（GDPR 第6条第1項(f)）です。データは、この目的に不要となり、法定の保存義務がなくなり次第削除されます。