プライバシーポリシー

1. はじめに

本プライバシーポリシーは、Smart Money API（「当社」）が、当社のウェブサイト（smartmoneyapi.com）、APIサービス、ダッシュボード、および関連製品（総称して「サービス」）を利用する際に、あなたに関する情報をどのように収集、使用、共有するかを説明します。

当社は、一般データ保護規則（GDPR）、英国GDPR、およびその他の適用可能なデータ保護法に準拠して、あなたのプライバシーを保護し、個人データを処理することに尽力しています。

本サービスを利用することで、あなたは本ポリシーに従った情報の収集と使用に同意したものとみなされます。本ポリシーのいずれかの部分に同意できない場合は、本サービスの利用を中止してください。

2. データ管理者

あなたの個人データの管理者は以下の通りです：

個人データに関するご質問やリクエストは、 お問い合わせフォーム.

3. 収集するデータ

3.1 直接提供される情報

• アカウント登録： メールアドレス、表示名、およびパスワード（ハッシュ化）をメールで登録する際に収集します。Google Sign-In（Firebase認証）を利用する場合、メールアドレスとGoogleプロファイル名を受け取ります。
• 請求情報： 支払い方法の詳細は、当社の決済処理業者であるStripeによって処理・保管されます。当社は非機密の請求概要データ（カードの下4桁、請求国、サブスクリプションステータス）のみを受け取ります。完全なカード番号を保管することはありません。
• お問い合わせフォーム： 名前、メールアドレス、件名、およびメッセージ内容を収集します。
• API利用設定： ダッシュボードに保存するウォッチリストのシンボル、アラートルール、Webhook URL、その他の設定情報を収集します。

3.2 自動収集される情報

• APIリクエストログ： タイムスタンプ、アクセスされたエンドポイント、HTTPステータスコード、応答時間、およびAPIキー識別子（キー自体ではない）を各リクエストごとに収集します。レート制限、不正利用防止、利用分析に使用されます。
• IPアドレス： セキュリティ、不正防止、およびレート制限のために収集されます。IPアドレスは30日後に匿名化されます。
• ブラウザおよびデバイス情報： サーバーログとクッキーを通じて、ブラウザタイプ、オペレーティングシステム、ビューポートサイズを収集します。互換性向上に使用されます。 サインアップ時に記録されたユーザーエージェント文字列は、セクション4で説明されているように、無料プランを1人1つに制限するチェックにも使用されます。
• セッションデータ： Firebase認証のセキュアクッキーを通じて管理される認証トークンとセッション識別子を収集します。
• 利用分析： クッキー同意バナーで分析クッキーを受け入れる場合、私たちはあなたが閲覧したページ、機能の使用パターン、ナビゲーションパスを記録して、ユーザーがサービスとどのようにやり取りするかを理解します。また、あなたをもたらしたキャンペーンや広告リンク（例えばUTMタグやGoogle/MicrosoftのクリックID）も記録します。ログインしている場合、またはこのブラウザにAPIキーを保存している場合、それをあなたのアカウントと共に保存します。拒否するか、まだ選択していない場合、ブラウザからこれを収集しませんが、2つの例外があります。1つ目：開いたすべてのページが短い存在信号を送信し、あなたが訪問者マップに表示されるようにします。これにはあなたの国（Cloudflareの国ヘッダーから取得）、プラットフォーム、およびIPアドレスと日付から計算された短いコードが含まれます。このコードはカウントのみに使用され、デバイスには何も保存されません（セクション7.6を参照）。2つ目はパートナーの紹介リンクです。パートナーの紹介リンクを通じて到着した場合、そのクリック（到着したページ、ブラウザの種類、おおよその位置、IPアドレスのハッシュ形式）を記録し、パートナーにクレジットを与えます。
• おおよその位置情報とアカウントに紐づくページ閲覧: おおよその位置（あなたの国と登録した都市）は、Cloudflareを介してIPアドレスから導き出され、アカウントと共に保存されます。これは、顧客がどこにいるかを理解するためです。登録時にあなたの国を記録しなかった場合、ログイン時またはログイン中に閲覧した際に最初に見た国を記録します。ログインしている場合、またはこのブラウザにAPIキーを保存している場合、閲覧したページはアカウントにリンクされます。これはアカウントがアクティブな間保持されます。

3.3 第三者からの情報

• Google / Firebase： Googleでサインインすると、Firebase認証を通じてGoogleアカウントのメールアドレスと表示名を取得します。
• Stripe: StripeのWebhookを通じて、サブスクリプションの登録または管理時に、サブスクリプションのステータス、プラン階層、および請求情報の要約を取得します。

4. 個人データの利用目的

収集した情報は以下の目的で利用します:

• サービスの提供: API、ダッシュボード、および関連サービスの提供、運用、維持のため。これには、本人認証、サブスクリプション階層とレート制限の実施が含まれます。
• アカウント管理: アカウントの作成と管理、Stripeを通じた支払い処理、請求書の送信、アカウント関連の問題通知のため。
• サービス改善: ユーザーが当社プラットフォームとどのように関わっているか、顧客がどこにいるかを理解し、バグを特定し、使用パターンに基づいて新機能を開発するため。
• セキュリティと不正防止: 不正アクセス、APIの悪用、および不正行為の検出と防止のため。 無料プランを1人1つに制限するため、無料アカウントが作成された際に、サインアップ時に記録されたIPアドレスとブラウザのユーザーエージェント文字列、およびメールアドレスの類似性を他の無料アカウントと比較します。2つの無料アカウントが1人として扱われ、1つの無料枠を共有するのは、強力な一致がある場合のみです: 同じIPアドレスと48時間以内の同じユーザーエージェント（そのユーザーエージェントが非常に一般的なブラウザ文字列である場合は60分以内）、または30日以内の同じIPアドレスと@記号の前のほぼ同一のメールアドレス。弱い一致、例えば同じIPアドレスのみの場合、レビューのためにフラグが立てられるだけで、誰ともリンクされません。2つ以上の古い無料アカウントと強力に一致する新しい無料アカウントは、レビューされるまで無料APIキーを受け取りません。どのルールが一致したかを記録し、レビューまたはリンクを解除できるようにします。レビューを依頼するには、[email protected]にメールしてください。
• コミュニケーション: サポートリクエストやお問い合わせフォームへの対応のため。また、アクティブなアカウントをお持ちの方には、製品更新情報を送信する場合がありますが、いつでも配信停止できます。
• 法的遵守: 適用される法的義務の遵守、公的機関からの合法的な要求への対応、利用規約の執行のため。

5. 処理の法的根拠（GDPR）

欧州経済領域（EEA）または英国在住の場合、個人データは以下の法的根拠に基づいて処理されます:

• 契約の履行（第6条(1)(b)項）: アカウント作成、APIアクセス、支払い処理など、サービスを提供するために必要な処理。
• 正当な利益（第6条(1)(f)項）: セキュリティ、不正防止、サービス改善、およびあなたの権利によって優先されない当社の利益に基づく分析のための処理。
• 法的義務（第6条(1)(c)項）: 適用される法律や規制に準拠するために必要な処理。
• 同意（第6条(1)(a)項）: 非必須のクッキーやオプションのマーケティング通信については、特定の同意を得た場合に処理されます。同意は、以前の処理の合法性に影響を与えることなく、いつでも撤回できます。

6. データの共有と開示

データは以下の状況でのみ共有されます:

• サービスプロバイダー: サービスを運用するために信頼できる第三者サービスプロバイダーとデータを共有します（セクション7参照）。これらのプロバイダーはデータ処理契約に拘束され、当社の指示に従ってのみデータを使用できます。
• 法的要件: 法律、裁判所命令、または政府機関の要求により、またはSmart Money API、ユーザー、または公衆の権利、財産、または安全を保護するために開示が必要と判断した場合、データを開示する場合があります。
• 事業譲渡: Smart Money APIが買収、合併、または資産譲渡される場合、データはその取引の一部として譲渡される可能性があります。譲渡前に、メールまたはウェブサイト上で通知します。
• 同意に基づく場合: 明示的な同意を得た場合、他の目的でデータを共有する場合があります。

サービスの他のユーザーと個々のユーザーデータを共有することはありません。

7. 第三者サービス

以下の第三者サービスを使用しており、それぞれ独自のプライバシーポリシーが適用されます:

7.1 Firebase / Google（認証とストレージ）

ユーザーアカウントと認証を管理するためにFirebase認証（Google LLC提供）を使用しています。Firebaseはデバイス識別子、IPアドレス、認証イベントデータを収集する場合があります。FirebaseはGoogleのプライバシーポリシーに準拠します: policies.google.com/privacyFirebaseを通じて処理されるデータは米国に保存される場合があります。EEAユーザーには標準契約条項（SCCs）が適用されます。

7.2 Stripe（支払い処理）

すべての支払い処理はStripe, Inc.（EEAユーザーの場合はStripe Payments Europe Ltd.）が担当します。StripeはPCI DSS Level 1に準拠して支払いカード情報を処理します。Smart Money APIが支払いカード番号を保存することはありません。Stripeのプライバシーポリシー: stripe.com/privacy.

7.3 Cloudflare（CDNとDDoS保護）

当社ウェブサイトはCloudflareのコンテンツ配信ネットワークを通じて提供されます。CloudflareはセキュリティとパフォーマンスのためにIPアドレス、ブラウザ特性、リクエストヘッダーを処理します。Cloudflareのプライバシーポリシー: cloudflare.com/privacypolicy.

7.4 Telegram（オプションのアラート）

Telegramボットアラート（Proプラン）を設定した場合、TelegramチャットIDが安全に保存され、設定したアラートの配信のみに使用されます。Telegramのメッセージ履歴にアクセスすることはありません。

7.5 Google Analytics 4およびGoogle Tag Manager（Google）

Google Tag Managerは、ほとんどのページでクッキーの選択を行う前に読み込まれます。読み込むことはGoogleへのリクエストであり、したがってGoogleはあなたのIPアドレスとブラウザの詳細を受け取ります。Google Analytics 4は、アナリティクスクッキーを受け入れた後にのみ実行され、あなたの訪問に関するデータを受け取ります: 表示したページのアドレスとタイトル、クッキーに保存されたランダムな識別子、言語と画面サイズ、およびIPアドレス。当社のクッキーポリシーとGoogleのプライバシーポリシー（policies.google.com/privacy）をご覧ください。

7.6 訪問者マップ (Cloudflareからの位置情報)

あなたは、アナリティクスクッキーを受け入れるかどうかに関係なく、訪問者マップ上にドットとして表示されます。このサイトで開く各ページは、あなたがオンラインであることをサーバーに伝え、ページが画面に開いている間、1分ごとにそれを続けます。これのためにIPアドレスを位置情報サービスに送信することはありません。アナリティクスクッキーを受け入れていない場合、マップはあなたの国のみを表示します。サーバーは、Cloudflareがサイトへのすべてのリクエスト（セクション7.3）に添付する国を読み取り、マップはその国の中央にあなたを描画します。あなたの都市や座標は使用せず、これのためにデバイスに何も保存されず、ブラウザは識別子や位置情報を送信しません。アナリティクスクッキーを受け入れる場合、あなたのおおよその位置もCloudflareから取得されます。あなたの国と、Cloudflareが提供する場合のおおよその緯度と経度で、0.1度（約11 km）に丸めます。丸めた場所、または国のみを、あなたの国、ウェブサイト、iOSまたはAndroidの使用状況、およびIPアドレス、サーバーの秘密鍵、日付から作成された一方向コードとともに5分間保持します。IPアドレス自体や都市名を保存することはありません。その5分間、マップはあなたを地域のカウントの一部として表示し、個別のエントリとして表示することはなく、1つのネットワークアドレスを共有する訪問者は1回カウントされます。訪問を二重にカウントしないために、IPアドレスとブラウザの詳細から作成された同様の一方向コードを2日間保持します。また、地域と時間のプレーンカウントに1を追加します（セクション9参照）。同意を撤回すると、マップはそれ以降あなたの国のみを表示します。5分間の記録は5分以内に、2日間のコードは2日以内に期限切れになります。既に追加されたカウントは残ります。それらにはあなたにリンクするものは何もありません。マップはまた、APIへのアクティブな接続のおおよその都市も表示します。APIキーを含むリクエストに対して、サーバーはCloudflareがリクエストに添付するおおよその緯度と経度を読み取り、0.1度（約11 km）に丸め、ウェブサイトへの訪問と同様に処理します。同じ種類の一方向コードと5分間の記録なので、ライブマップ上でサイトを閲覧しAPIを呼び出すアドレスは1つのエントリです。時間ごとのカウントは別々に保持されるので、両方を行うアドレスは同じ時間内にそれぞれ1回カウントされることがあります。これはクッキーバナーに依存しません。クッキーバナーはウェブサイトのみに適用されます。そのようなドットには、API接続から来ていることを示すラベルはなく、アカウント、APIキー、またはその他のIDは保存されません。私たち自身のサービスは1つのポイントとしてまとめて表示されます。ドットをクリックすると、マップはページに組み込まれたリストから最も近い大都市の名前を表示します。これのために何も誰かに送信されることはありません。

8. クッキーとトラッキング

サービスの運用と体験向上のためにクッキーおよび類似技術を使用しています。使用するクッキーの詳細と管理方法については、 クッキーポリシー.

要約:

• 必須クッキー: 認証、セッション管理、セキュリティに必要です。無効にするとコア機能が破損します。
• 分析用クッキー： 利用パターンを理解するために使用されます。クッキー同意バナーで拒否できます。
• サードパーティークッキー： 決済および認証フローのため、StripeとFirebaseによって設定されます。

ウェブサイトのフッターにある「Cookie設定」をクリックするか、ブラウザの設定を調整することで、いつでもクッキーの選択を変更できます。

9. データ保持期間

個人データは、本ポリシー記載の目的に必要な期間のみ保持します：

• 有効なアカウント： アカウントデータと設定（アカウントに保存されたおおよその位置情報とそれに紐づくページ閲覧を含む）は、アカウントが有効な間保持されます。
• 訪問者マップ: オンラインナウの記録（あなたの国と、アナリティクスクッキーを受け入れた場合のみの丸められた位置、プラットフォーム、および毎日変更される一方向のコード）は5分間保持されます。重複チェックコードは2日間保持されます。訪問カウントは約11 kmの地域ごとおよび1時間ごとに30日間保持され、その後約110 kmの地域ごとに1日ごとにまとめられ、無期限に保持されます。それらにはコードや訪問者への他のリンクは含まれません。アクティブなAPI接続のおおよその位置も同じ方法で保持されます。
• APIリクエストログ： 詳細ログは90日間デバッグ・セキュリティ目的で保持。匿名化集計統計は無期限保持。
• IPアドレス： 完全なIPアドレスは30日後に匿名化。匿名化記録はセキュリティ分析で保持される場合あり。
• 課金記録： Stripeの支払い・サブスクリプション記録は財務記録義務のため7年間保持。
• 削除済みアカウント： アカウント削除後、個人データ（メール・設定・APIキー）は30日以内に削除。匿名化集計分析データは保持される場合あり。 リンクされた無料アカウントの記録は、アカウントと共に削除されます。それらに含まれるIPアドレスは、キー付きハッシュ（サーバーシークレットを使用して作成された一方向コード）としてのみ保持され、アドレス自体としては保持されません。
• 問い合わせフォーム送信： サポート履歴追跡のため最大2年間保持後削除。

10. お客様の権利

お住まいの地域に応じて、個人データに関して以下の権利を有する場合があります：

• アクセス権（GDPR第15条）： 当社が保持する個人データのコピーを請求できます。
• 修正権（GDPR第16条）： 不正確または不完全なデータの修正を請求できます。
• 削除権（「忘れられる権利」GDPR第17条）： 当社が処理を継続する法的理由がない場合、個人データの削除を請求できます。
• 処理制限権（GDPR第18条）： 特定の状況下でデータ処理の制限を請求できます。
• データポータビリティ権（GDPR第20条）： 構造化された機械可読形式でデータを受け取り、別の管理者に移管できます。
• 異議申立て権（GDPR第21条）： 当社の正当な利益に基づく処理に異議を申し立てられます。
• 同意撤回権： 同意に基づく処理の場合、以前の適法な処理に影響を与えずにいつでも撤回可能。
• 苦情申立て権： 自国のデータ保護機関（英国のICOやEUの監督機関など）に苦情を申し立てられます。

これらの権利を行使する場合は、当社の 問い合わせフォームからご連絡ください。30日以内に回答します。特定の請求については本人確認を求める場合があります。

11. セキュリティ

個人データを不正アクセス・改ざん・開示・破壊から保護するため、適切な技術的・組織的対策を実施：

• 転送中データのHTTPS/TLS暗号化
• 保管前のAPIキーbcryptハッシュ化
• Firebase Authenticationの業界標準セッション管理
• ファイルシステム権限を制限したSQLiteデータベース
• Cloudflare DDoS保護＆WAF
• 最小限のデータアクセスに制限するアクセス制御

インターネット送信・電子保管の方法は100%安全ではありません。商業的に許容される手段で保護に努めますが、完全な保証はできません。権利・自由にリスクをもたらすデータ侵害が発生した場合、法律に従い影響を受けるユーザーと監督機関に通知します。

12. 国際データ移転

Smart Money APIは欧州経済領域（EEA）内で運営されています。ただしGoogle/FirebaseやStripeなど一部のサービスプロバイダーは米国でデータを処理します。EEAまたは英国外に個人データを移転する場合、以下の適切な保護措置を確保：

• 欧州委員会承認の標準契約条項（SCC）
• 適用可能な十分性認定
• 適用可能な拘束的企業準則

当社が依拠する具体的な移転メカニズムについては、 問い合わせフォーム.

13. 児童のプライバシー

当サービスは18歳未満を対象としていません。児童から個人データを収集することはありません。保護者でお子様が個人データを提供したとお考えの場合は、 問い合わせフォーム からご連絡ください。速やかにデータを削除します。

14. 本ポリシーの変更

プラクティスまたは適用法律の変更を反映するため、本プライバシーポリシーを随時更新する場合があります。重要な変更がある場合：

• 本ページ上部の「最終更新日」を更新
• 権利に重大な影響を与える変更は登録ユーザーにメール通知
• ウェブサイト上で目立つ通知を表示

定期的なポリシー確認をお勧めします。変更後のサービス継続利用は、改訂版ポリシーの受諾とみなされます。

15. お問い合わせ

本プライバシーポリシーまたは個人データに関する質問・懸念・請求は以下まで：

回答にご満足いただけない場合、データ保護機関に苦情を申し立てる権利があります。当社はイタリアに設立されているため、主監督機関はGarante per la protezione dei dati personali（garanteprivacy.it）。EU/EEAユーザーは地元の監督機関にも連絡可能。