プライバシーポリシー

1. はじめに

Illustroを運営するMOUNTAIN PEAK OOD（以下「当社」といいます）は、お客様のプライバシーを尊重し、個人情報の保護に努めています。本プライバシーポリシー（以下「本ポリシー」といいます）は、お客様がIllustro（ウェブサイト、エディターおよびFigmaプラグインを含みます。以下「本サービス」といいます）をご利用になる際に、お客様を識別できる情報またはお客様と関連付けられる情報（以下「個人情報」といいます）を、当社がどのように取得、利用、保存および保護するかを定めるものです。

お客様の個人情報の管理者（コントローラー）は、MOUNTAIN PEAK OODです。MOUNTAIN PEAK OODは、ブルガリアで登記された法人で、統一識別コード（UIC）は207115644、VAT番号はBG207115644、登記上の所在地はul. Stefan Karadzha 10, 3階, 1000 Sofia, ブルガリアです。ご連絡はinfo@illustro.appまでお送りください。当社の取扱いの内容では法令上の選任義務がないため、データ保護責任者（DPO）は選任していません。

本ポリシーは、当社がお客様の個人情報をどのように取り扱うかをお知らせするもので、契約ではありません。本サービスを利用されたことをもって、何かに同意したものとみなすことはありません。同意が必要な場合は別途お願いし、お客様はいつでもその同意を撤回できます（第7条をご覧ください）。日本にお住まいのお客様については、個人情報の保護に関する法律（以下「個人情報保護法」といいます）に基づく事項を第12条にまとめています。

2. 取得する情報

2.1 お客様からご提供いただく情報

• アカウント情報：アカウントの作成時にメールアドレスを取得します。Googleアカウントでログインした場合、またはプロフィールに追加された場合は、氏名とプロフィール画像も取得します。
• コンテンツデータ：お客様が入力したテキストプロンプト、アップロードした画像やファイル（写真、スケッチ、SVGファイルなど）、および作成したイラスト、アニメーションその他の生成結果を取得します。
• 支払情報：クレジットのご購入時には、決済代行事業者のStripeが、お支払い情報と請求先住所（ご入力いただいた場合は税務登録番号も）を取得します。当社は、購入内容、金額、日時などのご購入の詳細を受け取りますが、カード番号の全体を受け取ることはありません。
• お問い合わせ等：カスタマーサポートへのお問い合わせやアンケートへのご回答の際に、ご提供いただく情報を取得します。
• Figmaプラグイン：Figmaプラグインをアカウントに接続された場合、その接続情報（ログイン用のトークンと最終利用日時）を保存します。プラグインからは、お客様が入力したプロンプトと、編集を選択された場合はそのレイヤーが当社に送信されます。Figmaのアカウント情報やその他のファイルを当社が受け取ることはありません。プラグインの接続は、プラグイン内またはアカウント設定からいつでも解除できます。

2.2 自動的に取得する情報

• 利用データ：ご利用の機能、利用時間、閲覧したページなど、本サービスのご利用状況に関する情報を取得します。
• 端末情報：IPアドレス、ブラウザの種類、OS、端末の設定など、ご利用の端末に関する情報を取得します。
• Cookieおよび類似の技術：Cookieおよびこれに類する技術（ブラウザのローカルストレージなど）を、2.3項のとおり使用します。

2.3 Cookieおよび類似の技術

• 必須のもの：ログイン状態の維持、ボットからのログインの保護、Cookieに関するお客様の選択の記憶、本サービスの安全の確保に使います。これらには同意は必要ありません。
• Cookieを使わない統計：PlausibleとVercel Web Analyticsは、お客様の端末にCookieや識別子を保存せずに訪問数を集計します。
• アクセス解析用のCookie：Google Analytics、Microsoft Clarity（クリックやスクロールなど、ページ上での操作も記録します）およびDataFastは、本サービスの利用状況を把握するために使います。欧州経済領域、英国またはスイスにお住まいのお客様の場合は、Cookieバナーで同意された後にのみ読み込まれ、各ページ下部の「Cookie設定」からいつでも選択を変更できます。それ以外の地域では、ページを開いた時点で読み込まれます。
• エラーの監視：Sentryは、エラーに関する技術的な情報と、一部の訪問については、文字や画像を隠した状態でページ上の操作を再現した記録を残します。不具合を見つけて修正するためです。

3. 情報の利用目的

当社は、個人情報を次の目的で、それぞれに記載した法的根拠（EU一般データ保護規則（以下「GDPR」といいます）第6条第1項）に基づいて利用します。

• 本サービスの提供：アカウントの作成とログイン、イラストその他の生成結果の作成と保存、Figmaプラグインの運用のため。法的根拠：お客様との契約の履行（第6条第1項(b)）。
• お支払いと記録：ご購入の処理、クレジットの付与、請求書の発行、および法令で義務付けられた税務・会計記録の保存のため。法的根拠：お客様との契約および当社の法的義務（第6条第1項(b)および(c)）。
• ご連絡：お問い合わせへの回答、アカウントやご購入に関するメールの送信のため。法的根拠：お客様との契約、およびお客様以外の方からのお問い合わせに回答するという当社の正当な利益（第6条第1項(b)および(f)）。
• セキュリティ：本サービスの安全を守り、不正や悪用を防ぐため（ログイン時のボットの確認、リクエスト回数の制限、使い捨てメールアドレスのブロックなど）。法的根拠：安全に機能するサービスを提供するという当社の正当な利益（第6条第1項(f)）。
• 本サービスの改善：Cookieを使わない統計とエラーの監視により、エラーを見つけて修正し、本サービスの利用状況を把握するため。法的根拠：よく機能するサービスを提供するという当社の正当な利益（第6条第1項(f)）。
• アクセス解析用のCookie：Google Analytics、Microsoft ClarityおよびDataFastにより、本サービスの利用状況を測定するため。法的根拠：法令上必要な場合はお客様の同意（第6条第1項(a)）、それ以外の場合は利用状況を把握するという当社の正当な利益（第6条第1項(f)）。
• 法令遵守：適用される法令、規則および法的手続に従うため。法的根拠：当社の法的義務（第6条第1項(c)）。

アカウントの作成にはメールアドレスを、クレジットのご購入にはお支払い情報をご提供いただく必要があります。ご提供いただけない場合、本サービスのその部分を提供できません。

当社は、お客様のプロンプト、アップロードした画像その他のファイル、および生成結果をAIモデルの学習に利用しません。当社が利用するAIサービスの提供事業者も、これらを自らのモデルの学習に利用しません。また、当社は、お客様に法的な影響またはこれと同様の重大な影響を与える決定を、自動化された処理のみに基づいて行うことはありません。

4. 情報の共有および開示

当社は、次の者に限り個人情報を共有します。

• サービス提供事業者：当社の委託を受けて個人情報を取り扱う事業者です。契約により、個人情報の秘密を守り、当社の指示に従ってのみ利用する義務を負っています。Vercel（ホスティング）、Neon（データベース）、Amazon Web Services（ファイルの保存）、Resend（メールの配信）、Cloudflare（ネットワークのセキュリティとボットの確認）、Upstash（リクエスト回数の制限）、UserCheck（使い捨てメールアドレスの確認）、Sentry（エラーの監視）、ならびにPlausibleおよびVercel（Cookieを使わない統計）がこれにあたります。
• 米国のAIサービスの提供事業者もこれに含まれます。これらの事業者は、生成結果の作成や、プロンプトの改善と翻訳のために、お客様が入力したプロンプトとアップロードした画像を受け取ります。
• 決済処理：お支払いはStripeが処理します。不正の防止やStripe自身の法的義務の履行など一部の目的については、Stripeは独立した管理者として、自らのプライバシーポリシーに従って個人情報を取り扱います。
• ログインとアクセス解析の提供事業者：Googleアカウントでログインされた場合、Googleがお客様の本人確認の結果を当社に伝えます。アクセス解析用のCookieに同意された場合、または同意が不要な地域の場合（2.3項をご覧ください）、Google（Google Analytics）、Microsoft（Clarity）およびDataFastが、お客様の訪問に関するデータを受け取ります。GoogleとMicrosoftは、それぞれのプライバシーポリシーに記載のとおり、このデータを自らの目的に利用することもあります。
• 公的機関：法令、裁判所の命令または行政上の規制により求められた場合に、情報を開示することがあります。
• 事業の承継：当社が合併、買収または資産の譲渡の当事者となった場合、お客様の情報は、その取引の一環として移転されることがあります。

当社は、お客様の個人情報を販売しません。

5. 個人情報の安全管理

当社は、お客様の個人情報を不正アクセス、改ざん、漏えいおよび破壊から守るため、適切な技術的・組織的措置を講じています。主な措置は次のとおりです。

• 通信の暗号化
• 安全なネットワークおよびサーバーの使用
• 定期的なセキュリティ評価
• 従業員および業務委託先のアクセス制御

当社は個人情報の保護に努めていますが、インターネット上の通信や電子的な保存において、完全に安全な方法は存在しません。そのため、お客様の情報の絶対的な安全性を保証することはできません。

6. 個人情報の保存期間

当社は、本ポリシーに定める目的に必要な期間に限り、個人情報を保存します。

• アカウントとコンテンツ：アカウントをお持ちの間は保存します。保存したものは、お客様が削除されるか、アカウントを削除されるまで残ります。写真変換ツールと線画ツールの下書きは、最後の変更から30日後に削除し、これらのツールにアップロードされた写真は、生成結果ができた後は保持しません。
• アカウントを削除された場合：アカウント情報、イラスト、アップロードしたファイルおよび残りのクレジットは、次に記載するものを除き、直ちに削除します。
• 支払いの記録：Stripeがお客様の請求書と顧客記録を保存し、当社は、有料のクレジット購入ごとの記録を、アカウントとの結び付きを外したうえで、税務・会計に関する法令が求める期間（購入した年の末日から最長10年間）保存します。
• サポートへのお問い合わせ：お問い合わせとその後のやり取りへの対応に必要な期間、保存します。
• 技術的なデータ：ログイン用のリンク、リクエスト回数の制限のためのデータ、ログおよびエラーの報告は、最長でも90日以内に自動的に削除されます。削除したデータは、データベースのバックアップに最長30日間残ることがあります。
• アクセス解析のデータ：各解析事業者の設定で定めた期間、保存されます。Google Analyticsの場合は、最長14か月です。

7. お客様の権利と選択

GDPRその他のデータ保護に関する法令に基づき、お客様は次の権利を有します。

• アクセスの権利：当社が保有するお客様の個人情報について、その内容の開示を求めることができます。
• 訂正の権利：お客様に関する誤った情報や不完全な情報の訂正を求めることができます。
• 消去の権利：一定の場合に、お客様の個人情報の消去を求めることができます。
• 取扱いの制限の権利：当社によるお客様の情報の利用を制限するよう求めることができます。
• データポータビリティの権利：お客様の情報の写しを、構造化され、一般的に利用される機械可読形式で受け取ることを求めることができます。
• 異議を述べる権利：当社の正当な利益に基づく取扱いに対して、お客様の個別の状況を理由に、いつでも異議を述べることができます（GDPR第21条）。この場合、当社は、やむを得ない正当な理由がある場合または法的請求のために必要な場合を除き、その取扱いを停止します。
• 同意を撤回する権利：当社がお客様の同意に基づいて取り扱っている場合は、いつでもその同意を撤回できます。アクセス解析用のCookieについては、各ページ下部の「Cookie設定」から撤回できます。撤回前の取扱いには影響しません。

これらの権利を行使される場合は、info@illustro.appまでご連絡ください。アカウントは、プロフィールページからご自身で削除することもできます。ご請求には、適用される法令が定める期間内（GDPRでは1か月以内）に対応いたします。

お客様は、データ保護の監督機関に苦情を申し立てることもできます。お住まいの国、勤務地の国、または違反があったと思われる国の監督機関が対象となります。当社を所管する監督機関は、ブルガリアの個人データ保護委員会（Commission for Personal Data Protection、2 Prof. Tsvetan Lazarov Blvd., 1592 Sofia, Bulgaria、www.cpdp.bg）です。日本にお住まいのお客様のご請求とご相談の窓口は、第12条をご覧ください。

8. 国外へのデータ移転

当社は欧州連合（EU）のブルガリアに所在していますが、当社が利用するホスティング、データベース、ファイルの保存およびAIの各サービスの提供事業者は、主に米国でデータを保存し、処理しています。第4条に記載したその他の事業者も、欧州経済領域の外でデータを処理することがあります。

個人情報を欧州経済領域の外に移転する場合、当社は、欧州委員会の十分性認定（EU・米国データプライバシー・フレームワークの認証を受けた事業者についての認定など）、または事業者との契約に組み込んだ欧州委員会承認の標準契約条項（GDPR第46条第2項(c)）に依拠します。これらの保護措置の写しは、info@illustro.appまでご請求いただけます。日本の個人情報保護法に基づく外国にある第三者への提供については、第12条をご覧ください。

9. お子様の個人情報

本サービスは、16歳未満（またはお住まいの国で定められた最低年齢未満）のお子様を対象としていません。当社は、お子様の個人情報を、それと知りながら取得することはありません。保護者の適切な同意なくお子様が当社に個人情報を提供したことにお気づきの場合は、当社までご連絡ください。当該情報を削除するための措置を講じます。

10. 本ポリシーの変更

当社は、本ポリシーを随時改定することがあります。改定した場合は、改定後のポリシーを本ページに掲載し、「最終更新日」を更新することによりお知らせします。重要な変更の場合は、その効力が生じる前に、メールまたは本サービス上でもお知らせします。当社がお客様の情報をどのように保護しているかを把握していただくため、本ポリシーを定期的にご確認いただくことをおすすめします。

11. お問い合わせ

本ポリシーまたは当社における個人情報の取扱いについてのご質問は、info@illustro.appまでお問い合わせください。

MOUNTAIN PEAK OOD
ul. Stefan Karadzha 10, 3階
1000 Sofia
ブルガリア
VAT番号：BG207115644
統一識別コード（UIC）：207115644

12. 日本にお住まいのお客様へ（個人情報保護法に基づく公表事項）

事業者

MOUNTAIN PEAK OOD（住所：ul. Stefan Karadzha 10, 3階, 1000 Sofia, ブルガリア）
代表者：Luca Mussari、Irene Wang

利用目的と第三者提供

当社は、第3条に定める利用目的の範囲内でのみ個人情報を取り扱い、法令に基づく場合を除き、あらかじめご本人の同意を得ることなく、個人データを第三者に提供しません。第4条のサービス提供事業者への提供は、利用目的の達成に必要な範囲での取扱いの委託として行います。合併などによる事業の承継に伴って個人データが移転される場合も、承継前の利用目的の範囲内で取り扱われます。

外国にある第三者への提供

当社はブルガリア（EU）の事業者で、個人データは主に米国にあるサービス提供事業者のサーバーで取り扱われます。当社は、これらの事業者との間で、個人情報保護法に定める措置に相当する措置を継続的に講じることを契約（EUの標準契約条項を含みます）により義務付けており、その実施状況を必要に応じて確認しています。この措置の内容および提供先の国の個人情報保護制度については、ご請求に応じて情報を提供します。米国には、日本の個人情報保護法に相当する包括的な連邦法はなく、州法や分野ごとの法律によって個人情報が保護されています。

安全管理措置

• 基本方針と取扱規律：本ポリシーを定め、取得、利用、保存、提供、削除の各段階での取扱方法を定めています。
• 組織的措置：個人データの取扱いの責任者を定め、漏えい等の事案が発生した場合の報告と対応の体制を整えています。
• 人的措置：個人データを取り扱う者に守秘義務を課し、必要な指導を行っています。
• 物理的措置：当社は自社でサーバーを保有せず、物理的な安全管理が行われているクラウド事業者のデータセンターで個人データを保管しています。
• 技術的措置：通信の暗号化、アクセス権限の最小化とアクセス制御、不正アクセスの監視を行っています。
• 外的環境の把握：個人データを取り扱う国（ブルガリアおよび米国）の個人情報保護制度を把握したうえで、安全管理措置を講じています。

開示等の請求とご相談の窓口

保有個人データの利用目的の通知、開示（第三者提供記録の開示を含みます）、訂正、追加、削除、利用停止、消去、第三者提供の停止のご請求は、info@illustro.appまでメールでお送りください。ご本人であること（代理人によるご請求の場合は代理権）を確認したうえで、遅滞なく対応します。手数料はいただきません。個人情報の取扱いに関するご相談や苦情も、同じメールアドレスで受け付けます。

外部送信について

本サービスのウェブサイトでは、次の事業者のサービスを利用しており、お客様の端末から次の情報がそれぞれの事業者に送信されます（電気通信事業法第27条の12に基づく公表）。ブラウザの設定でCookieを無効にすることで、Cookieを使う送信を止めることができます。

• Google Analytics（Google LLC）：Cookie識別子、閲覧したページ、端末とブラウザの情報、IPアドレス。アクセス解析のため。
• Microsoft Clarity（Microsoft Corporation）：Cookie識別子、ページ上のクリックやスクロールなどの操作、端末とブラウザの情報、IPアドレス。使いやすさの分析のため。
• DataFast（JustShipIt Pte. Ltd.）：Cookie識別子、閲覧したページ、参照元、IPアドレス。アクセス解析と購入経路の分析のため。
• Plausible Analytics（Plausible Insights OÜ）：閲覧したページ、参照元、端末とブラウザの種類（Cookieは使いません）。アクセス解析のため。
• Vercel Web Analytics（Vercel Inc.）：閲覧したページ、端末とブラウザの種類（Cookieは使いません）。アクセス解析のため。
• Sentry（Functional Software, Inc.）：エラーの内容、端末とブラウザの情報、IPアドレス、ログイン中のユーザーID、一部の訪問での画面操作の記録（文字や画像は隠されます）。不具合の検出と修正のため。
• Cloudflare Turnstile（Cloudflare, Inc.）：端末とブラウザの情報、IPアドレス。ログイン時の不正利用の防止のため。