プライバシーポリシー

Lyriot（以下「当社」）は、お客様のプライバシーの保護に努めています。本ポリシーでは、EU一般データ保護規則（GDPR）および適用されるフランス法に従い、当社がお客様の個人データをどのように収集し、利用し、共有し、保護するかについて説明します。

当社は、以下の種類のデータを収集します。

• 登録データ：氏名、メールアドレス、暗号化されたパスワード（bcrypt）、市区町村、国、性別、生年月日、電話番号（任意）。
• プロフィールデータ：プロフィール写真（Cloudflare R2 に保存）、自己紹介、興味・関心。
• 利用状況のデータ：作成および参加したイベント、キャンセル待ちへの登録、投稿したコメント、リアクション、QRコードによるチェックイン、やり取りしたメッセージ（内容および日時）、フレンド関係、メッセージの既読状態（既読通知）、獲得した実績、連続利用記録、招待コードおよび招待した方の一覧。
• ゲーミフィケーションのデータ：獲得元ごとのポイント、現在のランク、ランキングの履歴、有効なブーストとその有効期限、ポイントウォレットの残高および履歴。
• 決済データ：取引履歴（サブスクリプション、有料イベント、ブースト）、有効なサブスクリプションおよび更新日。銀行口座およびカードの情報は Stripe のみが取り扱い、当社が保存することは一切ありません。
• 主催者のデータ（Stripe Connect）：支払いを受け取る主催者については、本人確認のためのデータを Stripe が直接収集します。本人確認情報（氏名、生年月日、本人確認書類のスキャン）、完全な住所、銀行情報（IBAN または口座番号）、該当する場合は法人情報（商号、納税者番号）です。これらのデータには Stripe のプライバシーポリシーが適用されます。
• 位置データ：イベント作成時に入力される GPS 座標（緯度・経度）。地図の表示および近隣検索のために用います。当社が位置情報を継続的に取得することはありません。 端末で位置情報の利用をすでに許可している場合、約10キロ単位に丸めた位置情報は都市候補の並べ替えにも使われます。この位置情報はアカウントには保存されません。
• 応募データ：/careers/apply から送信され、Cloudflare R2（バケット「resumes」）に保存される履歴書、志望動機書および LinkedIn のアドレス。保存期間は最長 2 年です。
• お問い合わせデータ：/contact フォームから送信されたお名前、メールアドレスおよびメッセージの内容。
• 技術的データ：IP アドレス、ブラウザーの種類、閲覧したページ、接続日時、セッション識別子（NextAuth）、プッシュ通知用トークン（Firebase）。

お客様のデータは、次の目的で利用します。

• 当社サービスの提供、運営および改善
• お客様の認証およびアカウントの保護（メールアドレスとパスワードによるログイン、または Google OAuth によるログイン）
• お客様に関係するイベント、プロフィールおよびランキングの表示
• Stripe を通じた決済処理（サブスクリプション、有料イベント、ブースト）
• Stripe Connect を通じた有料イベント主催者への送金
• 通知の送信（Resend によるメール、Firebase によるプッシュ通知）
• 定期実行タスク（cron）による 15 分ごとの自動ポイント付与
• ユーザーのランクの自動計算および更新
• 繰り返しイベントの各回の自動生成（毎週、毎月など）
• イベント代金の収受および主催者への送金
• 週間・月間・年間ランキングの定期的なリセット
• 招待プログラムの条件の確認（不正利用の防止）
• オンライン状態および最終利用日時のフレンドへの表示
• コンテンツのモデレーションおよび通報への対応
• 不正行為、不正利用および複数アカウントの防止
• 法令上および会計上の義務の履行

当社は、以下の法的根拠に基づいてお客様のデータを取り扱います。

• 契約の履行：お客様がお申し込みになった Lyriot のサービス（アカウント、イベント、決済、メッセージ）を提供するため
• 正当な利益：プラットフォームの改善、不正行為の防止、安全性の確保、オンライン状態の表示およびランキングの運用のため
• 同意：プッシュ通知（設定からいつでも撤回できます）および任意の商業的なご案内のため
• 法令上の義務：適用される法令を遵守するため。特に会計上の義務（5 年間の保存）および司法当局からの開示要請への対応

当社がお客様の個人データを販売することは一切ありません。サービスの提供に必要な範囲に限り、技術的な委託先とのみ共有します。

• Stripe：決済処理（サブスクリプション、有料イベント、ブースト）および Stripe Connect による主催者への送金 —— Stripe のポリシー
• OVH：PostgreSQL データベースのホスティング（VPS、フランス）／Cloudflare R2：ファイルの保存（プロフィール写真、履歴書）
• Resend：取引に関するメールの送信（登録の確認、パスワードの再設定、イベントのお知らせ）
• Mapbox：イベント開催地の地図表示および近隣検索
• Photon（komoot）および Nominatim（OpenStreetMap Foundation、データは英国とオランダ）：入力中に都市の候補を表示します。Nominatim は Photon が応答しない場合にのみ使用します。当社のサーバーが送信するのは入力された文字列のみで、Photon にはおおよその位置（お住まいの国の中心、または位置情報の利用をすでに許可している場合は約10キロ単位に丸めた位置）も送信します。氏名、IPアドレス、アカウントが送信されることはありません。
• Firebase（Google）：お客様の端末へのプッシュ通知の送信（お客様が有効にしている場合）
• Google OAuth：Google でのログインを選択された場合、お客様の氏名、メールアドレスおよび Google のプロフィール写真が Lyriot に送信されます
• 権限を有する当局：法令、裁判所の決定、または当社の正当な権利の防御により必要とされる場合

一部の委託先は欧州連合域外に所在します（米国の Firebase／Google、Stripe）。これらの移転は、以下により保護されています。

• 欧州委員会が採択した標準契約条項
• 欧州委員会による十分性認定（例：Stripe および Google に関する EU・米国データプライバシーフレームワーク）
• GDPR 第 46 条に定める適切な保護措置

当社は、お客様のアカウントが有効である間、データを保存します。アカウントを削除された場合、法令上の義務がある場合を除き、30 日以内にデータを消去します。

• 取引データ：5 年（フランスの会計上の保存義務）
• 応募データ（履歴書、志望動機書）：最長 2 年
• 技術ログ：12 か月
• モデレーションおよび措置の履歴：期限を定めずに保存（安全性の確保および不正利用の防止）
• 削除された個人間メッセージ：メタデータ（日時、参加者）は、本文を削除した後も保存されることがあります

GDPR に基づき、お客様は以下の権利を有します。

• アクセス権：当社が保有するお客様に関するデータを確認すること
• 訂正権：正確でないデータを訂正すること（設定画面から直接、または当社へご連絡いただくことにより）
• 削除権：「設定 → センシティブ領域」からアカウントを削除すること（30 日以内に処理します）
• データポータビリティの権利：構造化された形式でデータの写しを受け取ること
• 異議申立権：一定の取扱いに異議を申し立てること（商業的なご案内、オンライン状態の表示など）
• 取扱い制限の権利：一定の場合に取扱いの停止を求めること
• 自動化された決定に関する権利：自動処理（ポイントの付与、ランクの算定、招待の確認）について説明を受け、その結果に異議を申し立てること

これらの権利の行使についてはお問い合わせフォームをご利用ください。CNIL に苦情を申し立てることもできます。

実施している技術的および組織的措置：

• 通信経路上のすべての通信の暗号化（HTTPS/TLS）
• パスワードの bcrypt による暗号化（平文で保存することはありません）
• 最小権限の原則に基づくデータへのアクセス制限
• Cloudflare R2 におけるファイルの安全な保存（一時的な署名付き URL によるアクセス）
• すべてのフォームにおける CSRF 対策（NextAuth トークン）
• 管理操作のログ記録
• データベースの定期的なバックアップ
• データ侵害が発生した場合、GDPR の定めに従い 72 時間以内に対象となる方へ通知します

当社は、プラットフォームの動作に必要な技術的クッキーを使用しています（ユーザーセッション、CSRF 対策）。また、お客様の設定（ライトまたはダークテーマ、表示通貨、言語）を記憶するために、ブラウザーのローカルストレージを使用しています。これらのデータがお客様の端末の外に出ることはありません。詳しくは当社のクッキーポリシーをご覧ください。

Lyriot は、フランスのデータ保護法第 7-1 条に従い、15 歳以上の方にご利用いただけます。法令が異なる年齢を定めている国（例：COPPA に基づき米国では 13 歳、EU の一部加盟国では 16 歳）では、より保護の厚い年齢が適用されます。当社は、必要な年齢に達していない未成年者のデータを故意に収集することはありません。そのような未成年者がアカウントを作成したとお考えの場合は、直ちに当社までご連絡ください。

欧州の GDPR に加え、Lyriot はお客様の居住国に応じて以下のデータ保護法令を遵守します。

• カリフォルニア州（CCPA/CPRA）：カリフォルニア州にお住まいの場合、カリフォルニア州消費者プライバシー法およびカリフォルニア州プライバシー権法に基づき、追加の権利を有します。どの個人情報が収集されるかを知る権利、削除を求める権利、情報の販売を拒否する権利（当社はお客様の情報を販売しません）、およびこれらの権利を行使したことを理由に差別的取扱いを受けない権利です。行使をご希望の場合は contact@lyriot.com までご連絡ください。
• 英国（UK GDPR）：当社は、EU 離脱後の英国 GDPR を遵守しています。監督機関は ICO（Information Commissioner's Office）です。お客様の権利は欧州 GDPR におけるものと同等です。
• ブラジル（LGPD）：一般個人データ保護法（Lei Geral de Proteção de Dados Pessoais）に基づき、アクセス、訂正、削除、データポータビリティおよび異議申立ての権利を有します。管轄機関は ANPD（Autoridade Nacional de Proteção de Dados）です。
• カナダ（PIPEDA および法律第 25 号）：当社は個人情報保護および電子文書法（PIPEDA）を、ケベック州においては法律第 25 号（個人情報保護に関する法規定の現代化に関する法律）を遵守しています。管轄機関は OPC（連邦）および CAI（ケベック州）です。
• オーストラリア（Privacy Act 1988）：当社はオーストラリアプライバシー法および Australian Privacy Principles を遵守しています。管轄機関は OAIC（Office of the Australian Information Commissioner）です。
• 日本（APPI）：個人情報の保護に関する法律に基づき、当社は同法上の義務を履行します。管轄機関は個人情報保護委員会（PPC）です。
• 中国（PIPL）：個人情報保護法（个人信息保护法）に基づき、当社は適法性、正当性および必要性の原則に従ってお客様のデータを取り扱います。管轄機関は国家インターネット情報弁公室（CAC／国家互联网信息办公室）です。
• 韓国（PIPA）：個人情報保護法（개인정보 보호법）に基づき、アクセス、訂正、削除および異議申立ての権利を有します。管轄機関は個人情報保護委員会（PIPC／개인정보보호위원회）です。
• インド（DPDP Act 2023）：2023 年デジタル個人データ保護法に基づき、ご自身のデジタル個人データについて説明を受け、訂正および削除を求める権利を有します。管轄機関は Data Protection Board of India（MeitY により設置手続中）です。
• トルコ（KVKK）：個人データ保護に関する法律第 6698 号（Kişisel Verilerin Korunması Kanunu）に基づき、アクセス、訂正および削除の権利を有します。管轄機関は KVKK（Kişisel Verileri Koruma Kurumu）です。
• インドネシア（UU PDP）：個人データ保護に関する 2022 年法律第 27 号（Undang-Undang Perlindungan Data Pribadi）に基づき、アクセス、訂正および削除の権利が含まれます。管轄機関は Kementerian Komunikasi dan Informatika です。
• タイ（PDPA）：個人データ保護法 B.E. 2562（2019 年）に基づき、アクセス、データポータビリティ、削除および異議申立ての権利を有します。管轄機関は PDPC（Personal Data Protection Committee）です。
• サウジアラビア（PDPL）：個人データ保護法（نظام حماية البيانات الشخصية）に基づき、アクセスおよび訂正の権利を有します。管轄機関は SDAIA（サウジデータ・人工知能庁／الهيئة السعودية للبيانات والذكاء الاصطناعي）です。

各国の監督機関 :

当社は、本ポリシーをいつでも更新することがあります。重要な変更を行う場合には、メールまたはプラットフォーム上の通知でお知らせします。当該通知の後も Lyriot をご利用いただいた場合、変更に同意されたものとみなします。

本ポリシーはフランス語で作成されています。他の言語による版は参考のために提供される翻訳であり、相違がある場合はフランス語版のみが法的拘束力を有します。

管理者：Lyriot（フランス）。

お客様の個人データに関するご質問、GDPR 上の権利の行使（アクセス、訂正、削除、データポータビリティ、異議申立て、取扱いの制限）、またはデータの取扱いに関する苦情については、お問い合わせフォーム、もしくは直接 contact@lyriot.com までご連絡ください。

管轄の監督機関に苦情を申し立てることもできます：Commission Nationale de l'Informatique et des Libertés (CNIL)、3 Place de Fontenoy, 75007 Paris。