プライバシーポリシー

1. 収集する情報

当社は以下のカテゴリーの情報を収集します。

• アカウント情報：メールアドレス、ユーザー名、およびハッシュ化されたパスワード。
• 利用データ：IPアドレス、User-Agent、リクエストのタイムスタンプ、APIコールのメタデータ（サービスの運用およびセキュリティ確保のために収集）。
• 決済情報：請求情報はStripeが処理します。CaptchaLaは自社サーバーに完全なカード番号を保存しません。
• Cookieおよびローカルストレージ：セッショントークン、言語設定、基本的な分析用識別子。

2. 情報の利用目的

• CaptchaLaサービスの提供、維持、改善（API認証およびダッシュボードを含む）。
• 不正、不正利用、自動化された攻撃を検出し防止します。これは本サービスの中核的な機能です。
• 法令、税務、コンプライアンス上の義務の履行、および合法的な要請への対応。
• セキュリティ通知、請求書、サービスに関するお知らせなど、取引に関する通知の送信。

3. 第三者サービス

サービス運用に必要な範囲で、信頼できる以下の処理者にデータを共有します。

• Stripe——決済処理およびサブスクリプション課金。
• Google OAuth——任意のGoogleアカウントログイン。
• 分析サービス（Google Analyticsなど）——有効化されている場合、集計されたトラフィック計測。
• メール配信サービス——認証メールや請求書などの取引メール送信。

4. データの保存

アカウントが有効である間、当社はアカウント情報を保持します。アカウント削除後は、30日以内に個人情報を削除します。ただし、法律、税務、または不正防止の目的で、より長期の保持が必要な場合を除きます。

5. 利用者の権利

適用される法律（GDPRおよびCCPAを含む）に従い、利用者には以下の権利があります。

• 当社が保有するご自身の個人情報へのアクセス。
• 不正確または不完全なデータの訂正。
• アカウントおよび関連データの削除請求。
• 可搬形式でのデータコピーの請求。
• 特定の処理活動への異議または制限。

これらの権利を行使するには、[email protected] までご連絡ください。

6. セキュリティ

すべてのデータはTLSで送信され、パスワードはbcryptでハッシュ化されます。定期的なセキュリティレビューを実施し、必要最小限の原則に基づいて内部アクセスを制限しています。完全に安全なシステムは存在せず、絶対的な安全性は保証できません。

7. 児童について

CaptchaLaは13歳未満の個人を対象としていません。児童から意図的に個人情報を収集することはありません。児童が情報を提供したと思われる場合はご連絡ください。速やかに削除します。

8. 本ポリシーの変更

本プライバシーポリシーは随時更新される場合があります。重大な変更については、発効の少なくとも14日前にメールまたは製品内通知でお知らせします。

9. お問い合わせ

プライバシーに関するご質問・ご要望は、[email protected] までご連絡ください。EU・英国に関するお問い合わせも同じアドレスで承ります。

10. 処理の法的根拠（GDPR第6条）

EU・英国の一般データ保護規則が適用される場合、当社は以下の法的根拠に基づいて個人データを処理します。

• 契約の履行——お申し込みいただいたサービスを提供し、課金するため。
• 正当な利益——利用者の権利との均衡を図りつつ、サービスの安全確保、不正・濫用の防止、製品の改善を行うため。
• 法的義務——税務、会計その他の法令上の要件を満たすため。
• 同意——任意の分析用Cookieおよびマーケティング通信のため。いつでも撤回できます。

11. お客様のGDPR上の権利

EU、英国、または同等の権利を認めるその他の法域に所在する場合、以下の権利を行使できます。

• アクセス権——ご自身の個人データの確認およびその写しの取得。
• 訂正権——不正確または不完全なデータの訂正。
• 消去権——ご自身の個人データの削除請求（「忘れられる権利」）。
• データポータビリティ権——構造化され機械可読な形式でご自身のデータを受け取る権利。
• 制限権——特定の状況において処理の制限を請求する権利。
• 異議申立権——正当な利益に基づく処理またはダイレクトマーケティングに対して異議を申し立てる権利。

また、所在地の監督機関に苦情を申し立てる権利があります。当社はすべての請求に30日以内に対応するよう努めます。

12. 管理者および処理者の役割

お客様ご自身のアカウントに関するデータ（登録、課金、サポート）については、SaaSoftware LLCがデータ管理者として行動します。お客様が当社のAPIを利用してご自身の利用者に代わってエンドユーザーのデータを処理する場合（例えば、CAPTCHAチャレンジ中に収集されるIPアドレスや行動シグナル）、SaaSoftware LLCはデータ処理者として行動し、お客様が管理者となります。この関係はデータ処理契約により規律されます——第14節をご覧ください。

13. サブプロセッサー

当社はサービス提供のために審査済みのサブプロセッサーを利用します。現在のサブプロセッサーは以下のとおりです。

• Stripe, Inc.（米国）——決済およびサブスクリプションの処理。
• Google LLC（米国）——任意のOAuthログイン、および有効化されている場合は集計分析。
• メール配信事業者——取引メール（認証、請求書、通知）。
• クラウドインフラおよびCDN事業者——ホスティング、ストレージ、コンテンツ配信。

最新のサブプロセッサー一覧はご請求に応じて提供し、データ処理契約には変更時のお客様への通知方法を記載しています。

14. 国際的なデータ移転

個人データは米国およびその他の国で処理される場合があります。EU、英国、またはスイスから米国へデータを移転する場合、当社はEU標準契約条項（SCCs）に依拠し、適用される場合はEU-US Data Privacy Framework（およびその英国拡張版ならびにスイス-米国フレームワーク）に依拠するとともに、必要に応じて補完的な保護措置を講じます。

15. データ処理契約

CaptchaLaを利用してご自身のエンドユーザーの個人データを処理するビジネスのお客様は、GDPR第28条の条件およびSCCsを組み込んだ当社のデータ処理契約（DPA）を締結できます。DPAは /dpa にて、または[email protected] へのご請求により入手できます。 /ja/dpa