プライバシーポリシー

Psynaut（以下「本サービス」）は、ユーザーの個人情報の取扱いについて、以下のとおりプライバシーポリシー（以下「本ポリシー」）を定めます。

第1条（個人情報取扱事業者）

本サービスの個人情報取扱事業者は Psynaut 運営チーム（代表者：金城翔太郎、連絡先：info@xiknot.com）です。お問い合わせは前記メールアドレスまたはお問い合わせフォームからご連絡ください。

第2条（収集する情報）

本サービスでは、以下のカテゴリの情報を収集することがあります。

1. Google OAuth 2.0 認証情報：氏名、メールアドレス、プロフィール画像URL、メール確認状態、GoogleユーザーID（providerAccountId）など
2. Google Drive・Sheets API 連携情報：アクセストークン（有効期限1時間）、リフレッシュトークン（ユーザー削除まで保持）、連携先スプレッドシートのID・URL
3. サービス利用情報：本サービスの利用状況・機能利用履歴・操作ログ、アンケート回答データ、セッション情報（有効期限30日）
4. 技術情報：Cookie等で収集される閲覧履歴、IPアドレス、ブラウザ・端末情報、リファラ情報

第3条（情報の利用目的）

収集した情報は以下の目的で利用します。

• 本サービスの提供・本人確認・ログイン管理・課金/請求のため
• お問い合わせへの対応、重要なお知らせやメンテナンス情報の通知のため
• 本サービスの改善、新機能開発、品質向上、セキュリティ強化のため
• 不正行為・利用規約違反の検出/防止、紛争解決、権利の保護のため
• Google Sheets連携やアクセストークン自動更新などAPI連携機能の提供のため
• 統計データの作成、匿名加工情報の生成および利活用のため
• 法令または行政機関の要請に応じるため

第4条（処理の法的根拠）

EU/EEA を含む地域から本サービスを利用する場合、個人情報の処理は以下の法的根拠に基づきます。(1)利用契約の履行および契約締結前の手続き、(2)法的義務の遵守、(3)サービス品質やセキュリティ確保等の正当な利益、(4)Google Sheets連携など同意が必要な機能に対するユーザーの明示的同意。

アクセス解析（第9条）のためにCookie等で取得する情報の処理は、上記(3)のサービス品質やセキュリティ確保等の正当な利益を法的根拠とします。ユーザーは第9条に記載のオプトアウト手段またはブラウザ設定により、いつでもこの処理を停止できます。

第5条（第三者提供および委託）

本サービスは、以下の第三者または委託先に対して個人情報を提供または預託することがあります。

1. Google LLC：OAuth認証、Google Drive・Sheets API連携のため、認証リクエスト、アクセストークン、API呼び出しログ等を送信します。
2. ホスティング/インフラ提供者（Google Cloud Platform、Vercel、Neon Tech 等）：アプリケーション/データベース/ストレージの運用に必要な範囲でデータを処理します。
3. メール配信・エラーログ監視サービス（SendGrid、Sentry 等）：障害対応や通知送信のために必要な情報を取り扱うことがあります。
4. アクセス解析サービス提供者（Google LLC「Google アナリティクス」、PostHog Inc.）：本サービスの利用状況を把握し改善するため、Cookie等で取得した閲覧履歴、IPアドレス、ブラウザ・端末情報、リファラ情報、およびログイン中のユーザーを識別する内部ユーザーID（本サービスが発行するランダムな識別子）を送信します。氏名・メールアドレス等、個人を直接特定できる情報は送信しません。

上記の Google LLC、PostHog Inc. および Functional Software, Inc.（Sentry）はいずれも米国に所在します。個人情報の保護に関する制度が日本と異なる外国にある第三者への提供にあたるため、当該国の制度については個人情報保護委員会が公表する外国制度に関する情報（https://www.ppc.go.jp/）をご参照ください。本サービスは、これらの事業者との間で契約により、日本の個人情報保護法に相当する水準の安全管理措置を継続的に講じています。

上記以外では、法令に基づく場合、人命/財産保護に必要で同意取得が困難な場合、公衆衛生や児童の健全育成のため特に必要な場合、行政機関の事務に協力する必要がある場合を除き、あらかじめユーザーの同意を得ずに第三者への提供を行いません。

第6条（研究データの管理）

本サービスで収集されるアンケート回答等の研究データは、フォーム作成者（研究実施者）が管理責任者となります。運営者は研究実施者の指示に従ってデータ処理を行うデータ処理者として行動し、研究実施者は自らのプライバシーポリシーや倫理規定を提示し、必要な同意を取得する義務を負います。

第7条（トークン管理とセキュリティ）

1. Google OAuthアクセストークンとリフレッシュトークンはデータベースに安全に保存し、権限のあるサーバーのみがアクセスします。
2. アクセストークンは有効期限経過後、自動的に更新され、リフレッシュトークンは連携解除・権限取り消し・アカウント削除時に速やかに消去します。
3. 認証通信およびAPI呼び出しはすべてHTTPSで暗号化されます。

第8条（Google Sheets自動同期機能）

1. 自動同期を有効にすると、フォーム回答がリアルタイムで連携先 Google Sheets に追記されます。
2. 同期されるデータには、参加者の氏名/メールアドレス（フォームで収集した場合）、回答日時、回答内容、逆転項目計算結果などが含まれます。
3. 同期は非同期処理であり、ネットワーク状況やAPI制限により遅延する場合があります。
4. フォーム設定画面からいつでも自動同期を無効化できます。既に同期されたデータは自動削除されないため、必要に応じてユーザー自身で削除してください。

第9条（Cookie等の利用およびアクセス解析）

1. 本サービスは、ログイン状態の維持、CSRF対策、紹介コードの引継ぎ等のために必須Cookieを使用します。これらはサービスの提供に不可欠であり、無効化するとログイン等の機能が利用できなくなります。
2. 本サービスは、利用状況の把握とサービス改善のため、以下のアクセス解析ツールを利用しています。いずれもCookieまたはブラウザのローカルストレージを使用し、閲覧履歴、IPアドレス、ブラウザ・端末情報、リファラ情報を収集します。
   • Google アナリティクス（提供者：Google LLC、測定ID：G-SQVG3MHVKR）
   • PostHog（提供者：PostHog Inc.）
3. 本サービスは、これらの解析ツールに氏名・メールアドレス等、個人を直接特定できる情報を送信しません。ログイン中のユーザーについては、本サービスが発行する内部ユーザーID（ランダムな識別子）のみを送信します。
4. 本サービスは、解析用Cookieの利用について同意取得バナーを表示していません。処理の法的根拠は第4条(3)の正当な利益であり、ユーザーは第6項の方法でいつでも停止できます。
5. Google アナリティクスがデータを収集・処理する仕組みについては、「Google のサービスを使用するサイトやアプリから収集した情報のGoogleによる使用」をご覧ください。
6. ユーザーは以下のいずれかの方法でアクセス解析を停止できます。
   • Google アナリティクス オプトアウト アドオンをブラウザに導入する
   • ブラウザの設定でCookieを無効化する、またはトラッキング防止機能を有効にする
7. フォーム回答画面、回答完了画面、およびスケジュール参加画面（いずれも回答者向けのページ）を回答用 URL から直接開いた場合、本条の解析ツールは読み込まれず、閲覧情報の送信も行いません。

第9条の2（利用者情報の外部送信）

電気通信事業法第27条の12に基づき、本サービスがユーザーの端末から外部の事業者へ送信する情報を以下のとおり公表します。

送信の停止方法は第9条第6項をご参照ください。なお Sentry への送信は不具合の検知と安全な運用に必要なため、個別の停止手段は提供していません。また、回答者向けページ（第9条第7項）ではGoogle アナリティクスおよびPostHogへの送信は行いません。

第10条（セキュリティ対策）

本サービスは、アクセス制御、暗号化、監査ログ、脆弱性診断等の措置により個人情報を保護します。ただし、インターネット上での完全な安全を保証するものではなく、ユーザーにも強固なパスワード管理等の協力をお願いしています。

第11条（保存期間）

• セッション情報：最終アクセスから30日後に自動削除します。
• フォーム回答やスケジュール等の業務データ：ユーザーが削除するまで保存し、退会後は30日以内にバックアップを含め削除します。
• ログ・監査データ：不正検知・システム運用のため最大1年間保管し、その後安全に廃棄します。
• 法令で保存義務がある情報（請求・決済記録等）は、当該法令に従い所定期間保管します。

第12条（個人情報の開示・訂正・削除などの権利）

1. ユーザーは、本人確認のうえ、自己の個人情報について開示・訂正・利用停止・削除を求めることができ、原則30日以内に書面またはメールで回答します。
2. Google Sheets 連携情報はフォーム設定画面で解除でき、本サービスへの権限は Google アカウント設定（https://myaccount.google.com/permissions）から取り消せます。
3. アカウント削除は info@xiknot.com 宛のご連絡で受け付け、ユーザー情報やトークン情報、ユーザーが希望したフォーム/スケジュール/回答データを完全に削除します。Google Sheets に同期済みのデータはユーザー自身で削除してください。
4. 本ポリシーに関する苦情は、個人情報保護委員会（PPC）等の監督機関へも申し立てることができます。

第13条（プライバシーポリシーの変更）

本ポリシーは法令改正やサービス内容の変更等に応じて改定します。重要な変更を行う場合は、本サービス上の掲示やメール通知等により周知し、法令で同意が必要な場合はユーザーの同意を得ます。改定後の本ポリシーは掲示日から効力を生じます。

第14条（お問い合わせ窓口）

本ポリシーに関するお問い合わせは info@xiknot.com またはお問い合わせフォームまでご連絡ください。