プライバシーポリシー（アプリ・サービス版）

1. 事業者の表示

本ポリシーにおいて「当方」とは、業務管理サービス「AKIYUI Core」の企画・開発・提供を行う AKIYUI（熊部 竜之介）を指します。法人ではなく、個人による事業です。

当方の住所は、ご本人からのご請求に応じて、遅滞なくお知らせします。 下記12のお問い合わせ窓口までご連絡ください。

2. 本サービスの性質

本サービスは、自動車のコーティング・洗車等を行う店舗（以下「加盟店」）が、 自店の顧客情報および施工記録を管理するためのサービスです。

本サービスに入力される情報には、加盟店の顧客（以下「エンドユーザー」）に関する個人情報が含まれます。 当方は、加盟店からの委託を受けて、これらの情報を保管・処理します。

• 情報の持ち主：加盟店
• 保管する場所：当方が契約するクラウド（Supabase）
• 当方の立場：加盟店から預かって保管する

3. 取得する情報

3-1. 加盟店に関する情報

• 店舗の情報：店名、会社ID
• 従業員の情報：個人ID、表示名、役割、パスワード（ハッシュ化して保管）
• 施工メニュー：作業の名称、標準価格、次回のご案内までの間隔
• 招待コード：従業員が最初にパスワードを決めるために、店の管理者が発行する6桁のコード。 ハッシュ化して保管し、48時間で失効します。使用済みおよび失効したものは使用できません
• 取り込みの記録：加盟店が顧客名簿を取り込んだ際に、そのファイル名、取り込んだ件数、 実施した従業員、取り消しの有無を保管します

3-2. エンドユーザー（加盟店の顧客）に関する情報

これらは加盟店が入力するものであり、当方が直接取得するものではありません。

• 連絡先：氏名、電話番号、メールアドレス
• 対象物：車名、および加盟店が入力した場合に限り 車種・年式・色・ナンバー・走行距離
• 施工の記録：施工日、施工内容、価格、担当者、メモ、次回のご案内日
• 来店のご予定：予約の日時、担当者、作業の種類、メモ、 予約の状態（予約済み・来店・完了・取消）
• 記録の変更履歴：施工記録が後から修正された場合、いつ・どの従業員が・どの項目を・ 変更前後どのような値に変更したかを保管します。複数人で1台を担当した際に、 記録の食い違いを確認できるようにするためです。 この履歴は加盟店の管理者のみが閲覧でき、変更・削除はできません。 加盟店が施工記録を取り消した場合は、取り消した従業員も保管します
• 写真：施工前・施工後等の写真、施工前・施工後等の区分、 その写真を本サービスに登録した日時、アルバムから追加したものかどうかの区別

写真には、エンドユーザーの車両およびナンバープレートが写ります。 写真は自動的に長辺2048ピクセルまで縮小して保管し、原本は保管しません。 縮小の際に、撮影日時・機種・位置情報を含む付帯情報（Exif）はすべて削除されます。 このため当方が保管するのは、撮影された日時ではなく、本サービスに登録された日時です。 1回の来店につき20枚までです。

3-3. アプリの通知に使う情報

スマートフォンのアプリで通知を受け取る設定にした場合、 その端末を指す宛先（プッシュ通知トークン）を保管します。

• 何に使うか：次回のご案内がある日に、店の担当者へ知らせるためだけに使います
• 中身：端末を指す札のみです。エンドユーザーの氏名・車両その他の情報は含みません
• 通知の本文：「◯人のお客様に、そろそろご案内する日です」という件数のみをお送りします。 お客様を特定できる情報は通知の本文に含めません。
• 任意です。アプリの中でいつでも切ることができ、切っても他の機能は使えます。 切った場合、その端末の宛先は当方の保管から削除します
• 経路：通知を端末まで届けるため、この宛先は Google LLC（Firebase Cloud Messaging）の 配信の仕組みを経由します。詳しくは下記5-2をご覧ください

3-4. 端末に一時的に保存する情報

スマートフォンのアプリでは、電波の届かない場所でも記録できるよう、以下を端末内に一時的に保存します。

• 顧客の氏名・電話番号・車両（電波が無い場所で顧客を選ぶために必要）
• 作業の種類
• 送信できていない施工記録（電波が戻ったときに自動で送ります）

ログアウトすると、顧客と車両の情報は端末から消去されます。 送信できていない施工記録は、記録の消失を防ぐため残ります。 端末に写真は保存しません。

4. 利用目的

• 本サービスの提供・維持・改善
• 加盟店への連絡
• 不具合の調査と対応

当方は、エンドユーザーの情報を広告に利用しません。
当方は、エンドユーザーの情報を第三者に販売しません。

5. 第三者への提供と、外国にある事業者の利用

当方は、以下の場合を除き、取得した情報を第三者に提供しません。

• 本人の同意がある場合
• 法令に基づく場合
• 人の生命・身体・財産の保護に必要で、本人の同意を得ることが困難な場合

当方は、本サービスを動かすために、次の2社を利用しています。いずれも外国にある事業者です。 当方は、両社との契約により、個人情報の保護に関する法律 第4章第2節に相当する措置を 継続的に講ずるために必要な体制が整備されていることを確認したうえで利用しています （個人情報の保護に関する法律施行規則 第16条第1号）。

5-1. データの保管：Supabase Pte. Ltd.（シンガポール）

• 渡すもの：本ポリシー3で挙げた情報のうち、端末内に一時保存するもの以外のすべて
• 目的：データベース、ログイン（認証）、写真等のファイルの保管
• 保存先：当方は、主たるデータの保存先として東京リージョン（AWS ap-northeast-1）を指定しています。 ただし、サービスの提供、サポート、配信、監視その他の業務に伴い、 シンガポール、アメリカ合衆国その他の日本国外で取り扱われる場合があります（下記5-3）
• 再委託：同社は業務の一部を再委託しています。主なものは Amazon Web Services, Inc.（サーバーの提供）および Supabase, Inc.（サポート業務の提供）です
• 契約：同社の Data Processing Addendum。当方の指示に従ってのみ取り扱うこと、 保存時および通信時の暗号化、アクセス権限の限定、従業者の守秘義務、 再委託先に同等以上の義務を課すこと、漏えい時に当方へ通知すること、 契約終了時に返還または削除することが定められています

5-2. 通知の配信：Google LLC（アメリカ合衆国）

• 渡すもの：端末を指す宛先（プッシュ通知トークン）と、通知の本文（件数のみ）。 エンドユーザーの氏名・連絡先・車両・写真は渡りません
• 目的：スマートフォンへ通知を届けること
• いつ渡るか：加盟店の担当者が通知を受け取る設定にしている場合に限ります
• 契約：Firebase Data Processing and Security Terms。当方の指示に従ってのみ処理すること、 従業者の守秘義務、再委託先の変更を事前に通知しその行為について責任を負うこと、 漏えい時に速やかに通知すること、削除の期限が定められています

5-3. データを取り扱う国と、その把握について

シンガポール共和国（5-1）について、個人情報保護委員会の公表資料 （「外国における個人情報の保護に関する制度等の調査」。2022年1月25日更新）によれば、 個人データ保護法（Personal Data Protection Act 2012）という 個人情報の保護に関する包括的な法律があり、他方で、刑事手続に関する法律に基づき、 警察官が事業者に対して情報の提出等を命じることが認められており、 この求めについて、独立した機関による承認、取扱いの制限、透明性の確保、遵守状況の監督に関する定めは 置かれていないとされています。 また、同資料では、本人の権利利益に重大な影響を及ぼす可能性のある域内保存義務に係る制度は 記載されていません。

アメリカ合衆国（5-2、および5-1の再委託先）には、個人情報の保護に関する包括的な連邦法は無く、 分野別の法律および州法によって規律されており、政府機関によるデータへのアクセスが認められる場合があります。

当方はこれらを把握したうえで、下記6の安全管理措置を実施しています。 東京リージョンを指定していることは、日本国外で取り扱われることが無いという意味ではありません。 上記5-1のとおり、サポート、配信、監視等に伴い日本国外で取り扱われる場合があるため、 保存先の指定にかかわらず、上記の把握を行っています。

5-4. 継続的な確認について

当方は、上記2社が相当する措置を継続して講じているかを、年1回を目安に、 公表されている契約およびセキュリティに関する資料を確認する方法で把握しています。 このとき、両社が公表する再委託先（サブプロセッサー）の一覧、 および提供先の国の制度について公表されている情報もあわせて確認します。 契約の改定や再委託先の変更の通知を受けたときは、その都度確認します。

加盟店およびエンドユーザーの方は、下記12の窓口にお申し出いただくことで、 両社が講ずる措置の概要、当方による確認の方法と頻度、提供先の国の名称、 その国の制度で措置の実施に影響を及ぼしうるものについて、情報の提供を求めることができます。

6. 安全管理

• 通信の暗号化：すべての通信を HTTPS で行います
• 保管場所の分離：加盟店ごとにアクセスを制限し、他の加盟店のデータを参照できない仕組み（RLS）にしています
• 写真の非公開：写真は公開URLを持ちません。閲覧には、その都度発行する期限つき（1時間）のURLが必要です
• パスワード・招待コード：ハッシュ化して保管し、当方も原文を参照できません

7. 万一、漏えい等が起きたとき

取得した情報の漏えい・滅失・毀損またはそのおそれが判明した場合、当方は次の対応を行います。

• 事実関係の調査を行い、被害の拡大を防ぐための措置を直ちに実施します
• 個人情報保護委員会へ、法令の定めに従って報告します
• 加盟店へ速やかに連絡します。エンドユーザーご本人への通知は、情報の持ち主である加盟店と協議のうえ行います
• 原因と再発防止策を、加盟店へお知らせします

8. 保存期間

• 加盟店が本サービスを利用している間、保管します
• 加盟店が削除を求めた場合、30日以内に削除します
• 契約が終了した場合、法令上または業務上合理的に必要な期間を経過したのち、削除します
• 加盟店が施工記録を取り消した場合、誤操作から復元できるよう30日間は取り消した状態で 保持した後、写真を含めて削除します。この間、その記録は通常の画面には表示されません。 取り込みを取り消した場合も、30日間保持した後、写真を含めて削除します
• 当方が利用するクラウドのバックアップに、削除した情報が一時的に残ることがあります。 その場合も、そのバックアップの保存期間（最長30日）の経過をもって消去されます

9. 開示・訂正・削除の求め

エンドユーザーご本人からの求めは、まず加盟店へお願いします。 情報の持ち主は加盟店であり、当方は加盟店の指示に従って処理します。

加盟店を通じた対応が困難な場合は、下記12の窓口までご連絡ください。

お求めの手続

• 方法：下記12のメールアドレス宛にお送りください
• お書きいただくこと：お名前、ご連絡先、施工を受けた加盟店の店名、お求めの内容（開示・訂正・利用停止・削除のいずれか）
• ご本人の確認：加盟店に登録されているお名前・電話番号等との照合により行います。確認ができない場合はお応えできません
• 手数料：無料です
• ご回答：原則としてメールでお返しします

苦情の申出先

本サービスにおける個人情報の取り扱いに関する苦情の申出先も、下記12の窓口です。

10. アプリの権限について（Android / iOS）

本サービスのスマートフォンアプリは、以下の権限を利用します。

• カメラ：施工前後の写真を撮影するために使います。拒否した場合、写真を撮れませんが、他の機能は使えます
• 写真・メディア：すでに撮影済みの写真を選ぶために使います。拒否した場合、アルバムから追加できませんが、他の機能は使えます
• 通知：次回のご案内がある日に、店の担当者へお知らせするために使います。拒否した場合、通知は届きませんが、他の機能は使えます（お知らせはアプリのホームで確認できます）

撮影した写真は、施工記録に紐づけて保管する目的以外に利用しません。
位置情報は取得しません。録音は行わず、マイクの権限も使用しません。

11. 本ポリシーの変更

当方は、必要に応じて本ポリシーの内容を変更することがあります。 変更後の内容は、本ページに掲載した時点から適用されます。

12. お問い合わせ窓口

本ポリシーおよび個人情報の取り扱いに関するお問い合わせは、下記までご連絡ください。
AKIYUI（熊部）
メール：akiyui.team@gmail.com