プライバシーポリシー

管理者

Supacode（supacode.io）はTranscend Technologiesが運営しています。本ポリシーにおける個人データの管理者（コントローラー）はTranscend Technologiesです。

プライバシーに関する窓口：info@supacode.io。データの開示、訂正、削除、ダウンロード、処理への異議申し立て、その他プライバシーに関するご質問や苦情はこちらへご連絡ください。

EUおよび英国には拠点がありません。EU、英国、その他どの地域にお住まいの方も、プライバシーに関するご請求はすべてinfo@supacode.ioで受け付けます。

収集する情報

• アカウント情報：メールアドレス、表示名、プロフィール画像、言語、サインイン方法。GoogleまたはGitHubでサインインした場合は、各社から氏名、メールアドレス、プロフィール画像を受け取ります。パスワードはサインイン基盤によりハッシュ化された形でのみ保存されます。2段階認証を有効にした場合は、その設定と、ソルト付きでハッシュ化したリカバリーコードを保存します。
• コンテンツ：プロンプトとチャットのメッセージ、アップロードしたファイル、生成されたコード・テキスト・画像、各プロジェクトの保存バージョン、公開したサイト。
• 利用・請求情報：AIの利用状況（モデル、処理量、消費クレジット）、クレジット履歴、プラン、購入履歴。カード情報やPayPalの情報はStripeまたはPayPalに直接入力され、当社がカード番号全体を閲覧・保存することはありません。
• セキュリティ情報：IPアドレス、おおよその国、ブラウザと端末の種類（ユーザーエージェント）、サインインのほか、公開、購入、データの書き出し、パスワード変更などの重要な操作。
• 連携サービス：GitHub、Supabase、Vercelを連携した場合は、アクセストークン（暗号化して保存）と、そのサービスとの連携に必要なアカウント・プロジェクト情報。
• お問い合わせと通報：お問い合わせフォームや当社のメールアドレスに送られた内容、公開サイトに関する不正利用の通報、当社が送信したメールの記録（宛先、種類、件名、日時、配信状況）。
• 招待情報：招待リンクから登録した場合は、招待コードと、特典の不正取得を防ぐための正規化したメールアドレス、IPアドレス、ブラウザの種類。

利用目的と法的根拠

• ご契約いただいたサービスの提供（契約の履行、GDPR第6条1項(b)）：アカウントとサインイン、AIによる制作、バージョンの保存、プレビュー、サイトと独自ドメインの公開、クレジット・プラン・支払い、サポート。
• 当社の正当な利益（GDPR第6条1項(f)）：サービスの安全確保、不正・悪用の検知（招待特典の悪用やレート制限を含む）、エラーの修正、当社自身のログによる機能の利用状況の把握（外部の分析ツールは使用しません）、サービスに関するメールの送信、Supacodeの製品情報の送信。製品情報は設定 → 通知、または各メールのリンクからいつでも停止でき、正当な利益に基づく処理にはいつでも異議を申し立てられます。
• ご本人の同意（GDPR第6条1項(a)）：ヒントやマーケティングのメール（ご自身で有効にするまで送信せず、必ず配信停止リンクを記載します）、およびご自身で設定したGitHub、Supabase、Vercelとの連携。同意はいつでも撤回でき、撤回前の処理には影響しません。
• 法的義務の履行（GDPR第6条1項(c)）：支払いに関する税務・会計記録の保存、当局からの適法な要請への対応。

AIプロバイダー

Supacodeに制作や変更を依頼すると、結果を生成するために、プロンプト、関連するチャット履歴とプロジェクトのファイル、添付したファイルがAIプロバイダーへ送信されます。コードとテキストはAnthropic（Claude）、画像の生成・編集はGoogle（Gemini）が処理します。

これらのプロバイダーは有料APIを通じて利用しており、そのAPI規約では、送信したデータをモデルの学習に使用することは認められていません。各規約の範囲で、不正利用の検知のために一定期間保持される場合があります。当社もお客様のコンテンツをAIモデルの学習に使用しません。

Pexelsによるストック写真の検索では、検索語のみを送信し、個人データは送信しません。

データを処理する事業者

以下の事業者が、当社の指示の範囲に限定する契約のもとで、当社に代わって個人データを処理します。

• Supabase：データベースとサインイン。米国（米国東部）。
• Vercel：アプリとサーバーのホスティング、Next.jsプロジェクトのプレビュー用サンドボックス。米国（米国東部）。
• Cloudflare：ファイルの保存（R2）、公開サイトと独自ドメイン、コンテンツ配信、攻撃からの保護、プロジェクトのサムネイル用のページ撮影。保存先は米国で、サイトはCloudflareの世界規模のネットワークから配信されます。
• Anthropic：AIによるコードとテキストの生成。米国。
• Google：AIによる画像生成（Gemini）と、選択した場合のGoogleでのサインイン。米国。
• StripeとPayPal：支払いとサブスクリプション。米国およびその他の国。一部の決済データ（不正検知など）については、各社が独自のプライバシーポリシーのもとで独立した管理者として扱います。
• Resend：メールの送信。米国。

その他のサービスと開示

• 連携・サインインに使うサービス（GitHub、Google、Supabase、Vercel）は、プッシュするコードや接続するデータベースなど、ご自身が開始した操作に必要な情報を受け取り、各社の規約とプライバシーポリシーに従って取り扱います。
• サイトを公開すると、ページの公開URLがIndexNowを通じて検索エンジンに送信される場合があります。独自ドメインを追加すると、CloudflareでそのDNSレコードを確認します。いずれもお客様の個人データは含みません。
• サポート、請求、セキュリティ、不正利用への対応に必要な場合に限り、少人数のSupacodeスタッフがアカウント情報にアクセスできます。スタッフの操作は監査ログに記録されます。
• 当局へのデータの開示は、法令で義務付けられた場合に限ります。Supacodeが売却・合併された場合、本ポリシーのもとでデータが新しい運営者に移ることがあり、その際は事前にお知らせします。
• 当社は個人情報を販売せず、クロスコンテキスト行動広告のために共有することもありません。

国際的なデータ移転

当社のサーバーと委託先は主に米国にあるため、EU、英国、スイスのデータは米国へ移転されます。これらの移転は、欧州委員会の標準契約条項（必要に応じて英国・スイス向けの追加条項を含む）によって保護し、認証を受けた委託先についてはEU-米国データプライバシーフレームワークとその英国・スイス向け拡張も適用します。

保存期間

• アカウント情報：アカウントを削除するまで。削除はすぐに実行され、プロフィール、プロジェクト、バージョン、チャット、クレジット履歴、連携が削除され、サイトはオフラインになり、有料プランは解約されます。保存されたファイルは、その後、下記のストレージ整理によって削除されます。
• 削除したプロジェクト：復元できるよう「最近削除した項目」に30日間保管した後、完全に削除します。保存されたファイルは、他のプロジェクトや公開サイトで使われていなければ、定期的なストレージ整理で削除されます。
• チャットとメッセージ：プロジェクトとともに保存し、プロジェクトとともに削除します。
• セキュリティログ：完全なIPアドレスは90日後に短縮します（末尾の部分を削除）。ログはセキュリティと不正防止のために保持し、アカウント削除後はお客様と結び付かなくなります。
• 招待の記録：同じ人が招待特典を二重に受け取れないよう、アカウント削除後もアカウントとの結び付きを外した状態で保持します。
• お問い合わせ、不正利用の通報、送信メールの記録：対応と記録に必要な期間保持し、アカウント削除後はアカウントと結び付かなくなります。
• 支払いと税務の記録：税法・会計法で必要な期間（通常は最長7年）、当社およびStripeまたはPayPalが保存します。
• バックアップ：データベースの委託先が短期間のバックアップを順次更新しながら保持します。削除したデータは、バックアップが置き換わるにつれて消去されます。

公開される情報

プロジェクトは初期状態で非公開です。公開したサイトとギャラリーで共有したプロジェクトは公開され、ギャラリーのプロジェクトには表示名とプロフィール画像も表示されます。チャット履歴が公開されることはありません。

利用者の権利

• 開示とデータポータビリティ：設定 → アカウントとセキュリティ → データをダウンロードから、いつでもデータを取得できます（アカウント、クレジットと利用履歴、チャット、プロジェクトのファイルをまとめたzip）。当社にコピーを請求することもできます。
• 訂正：表示名、プロフィール画像、メールアドレスは設定で変更できます。その他の訂正は当社にご依頼ください。
• 削除：プロジェクトはご自身で削除でき、アカウント全体は設定 → アカウントとセキュリティ → アカウントを削除から削除できます。メールでのご依頼も受け付けます。
• 処理の制限と異議：処理の制限を求めること、また製品情報を含め、当社の正当な利益に基づく処理に異議を申し立てることができます。
• 同意の撤回：設定 → 通知または配信停止リンクでメールの受信設定を変更でき、設定 → 連携でサービスの連携を解除できます。
• 自動化された意思決定のみによる判断の不実施：法的効果またはそれと同様の重大な影響を及ぼす判断を、自動処理のみで行うことはありません。レート制限や招待特典の不正チェックなどの自動チェックにより機能が一時停止されることがありますが、担当者による確認を求めることができます。
• 苦情の申し立て：お住まいまたは勤務先の国のデータ保護機関（英国ではICO）に苦情を申し立てることができます。その前に、まずはinfo@supacode.ioにご相談いただければ幸いです。
• カリフォルニア州およびその他の米国の州：個人情報について知る権利、アクセス、訂正、削除の権利、これらの権利を行使したことで不利益な扱いを受けない権利があります。当社は個人情報を販売・共有しません。代理人を通じて請求することもできます。
• 権利の行使方法：設定から操作するか、info@supacode.ioへ、できればアカウントのメールアドレスからご連絡ください。ご本人確認をお願いする場合があります。30日以内に回答します。

Cookieと類似技術

使用するのは必要不可欠なCookieとブラウザのストレージのみです。サインイン状態を保つCookieと、テーマや閉じたお知らせなどの表示設定を記憶するブラウザのストレージ（localStorage）です。広告・分析用のCookieや第三者のトラッカーは使用しません。今後変更する場合は、事前に同意をお願いします。

友だちの招待リンクを開いた場合のみ、登録時に友だちへ特典を付与するため、招待コードを最大30日間ファーストパーティCookie（sc_ref）に保存します。サインイン時に削除され、第三者と共有されることはありません。

セキュリティ

• すべての通信は暗号化されています（HTTPS）。
• 連携サービスのアクセストークンは暗号化して保存し（AES-256）、データベースへのアクセスはアカウントごとに制限しています。
• 2段階認証を利用でき、設定で最近のサインインとセキュリティ上の変更を確認できます。
• スタッフのアクセスは限定され、監査ログに記録されます。プレビューと公開サイトは、アプリとは別のドメインで動作します。
• データ侵害によりお客様の権利が脅かされるおそれがある場合は、法令に従ってお客様と当局に通知します。

ご自身のサイトと訪問者

作成したサイトが訪問者のデータを収集する場合（フォームや接続したデータベースなど）、そのデータとサイト独自のプライバシーポリシーについてはご自身が責任を負います。Cloudflareは、公開サイトの配信と保護のために訪問者のIPアドレスを処理します。

サイトの作成者に簡単な訪問統計を表示するため、公開サイトを配信するサービスがページの閲覧を数えます。記録するのは、開かれたページ、参照元のサイト（ドメインのみ）、国（IPアドレスから判定）、端末がスマートフォンかパソコンかです。1日あたりのユニーク訪問者を推定するため、IPアドレスとブラウザーの種類を日付と秘密鍵とともに短い一方向のコードに変換します。このコードは毎日変わり、サイトごとにも異なります。IPアドレスやブラウザーの詳細そのものは保存しません。Cookie、ブラウザーのストレージ、フィンガープリンティングは使わず、Do Not TrackやGlobal Privacy Controlを送るブラウザーからの訪問や既知のボットは数えません。これらの集計はCloudflare Analytics Engine（米国）に3か月間保存され、日ごとの合計はプロジェクトとともに保存され、プロジェクトの削除とともに削除されます。これらはサイトの作成者に表示する目的でのみ使います（正当な利益、GDPR第6条1項(f)）。

子どもの利用

Supacodeは16歳未満の方、またはお住まいの地域でデジタル同意年齢がそれより高い場合はその年齢未満の方を対象としていません。こうした方のデータを故意に収集することはなく、収集していたことが判明した場合は削除します。

変更

取り扱いが変わる場合は本ページを更新し、冒頭に日付を表示します。重要な変更は、適用前にメールでお知らせします。