プライバシーポリシー

1. 当社について、およびお問い合わせ方法

ONTHEBIAS, Inc.（以下「ONTHEBIAS」、「当社」といいます）は、onthebias.co および app.onthebias.co において ONTHEBIAS デザインプラットフォームを運営するデラウェア州法人です。当社は、以下の DPA により当社がお客様の処理者となる場合を除き、本サービスを通じて収集される個人データの管理者です。プライバシーに関するご質問、データ主体からの請求、または DPA に関するご請求は、次の宛先まで電子メールでお願いします。 privacy@onthebias.co.

郵送先住所： ONTHEBIAS, Inc., c/o Registered Agent, State of Delaware（登録された完全な住所は privacy@onthebias.co にご請求いただけます）。

2. 収集する情報

当社は、次の 4 つの区分のデータを収集します。

• アカウント情報 - 電子メール、氏名、アバター、ワークスペース名、電話番号（任意）、優先言語、およびご登録時の請求先住所。サインアップ時または後日アプリ内で提供されます。
• デザインコンテンツ - プロジェクト、キャンバスの状態、OBIE チャットメッセージ、生成されたモックアップ、フラットスケッチ、テックパック、アップロードされたブランドアセット、ライブラリのお気に入り、サプライヤーに送信する RFQ およびメッセージ。
• 利用テレメトリ - ページビュー、機能の利用、エラートレース、デバイス／ブラウザの種類、IP アドレス（書き込み時に切り詰められます）、およびマーケティング帰属 Cookie（Cookie ポリシーをご覧ください）。製品の運用および改善に使用されます。
• 商業データ - サブスクリプションの階層、クレジット残高および履歴、行われた注文、承諾された見積り、請求書、および支払い。支払カード番号自体は Stripe が取り扱い、当社のサーバーに触れることはありません。

当社は、個人データを販売せず、また第三者の自身の広告またはマーケティングのために個人データを共有しません。

3. 情報の利用方法

• プラットフォームを運用し、お客様がお申し込みになった機能を提供するため。
• Stripe を通じて支払いを処理し、サプライヤーへのマーケットプレイスの支払金を送るため。
• 取引に関する電子メール（サインアップ確認、パスワードリセット、注文の更新、紹介通知）を送信するため。当社は、明示的なオプトインなしに、お客様のアドレスに対してマーケティングキャンペーンを実施しません。
• 集約され匿名化された利用分析を通じて製品を改善するため。
• 詐欺、不正利用、スクレイピング、セキュリティインシデント、および本規約違反を検出し、防止するため。
• 当社の法的義務（税務記録、制裁スクリーニング、適法な要求への対応）を遵守するため。

4. 法的根拠（GDPR／UK GDPR）

EU、EEA、英国、およびスイスの利用者について、Article 6 GDPR の下で当社が依拠する法的根拠は次のとおりです。

• 契約の履行 - お客様がお申し込みになったサービスの提供、支払いの処理、およびお客様の注文の履行のため。
• 正当な利益 - 本サービスの安全確保、詐欺および不正利用の防止、製品利用の全体像の把握、ならびに運用上の更新の連絡のため。当社は、これらをお客様の権利と衡量し、お客様は privacy@onthebias.co に電子メールを送ることでいつでも異議を申し立てることができます。
• 同意 - マーケティング電子メール、必須でない Cookie（分析および広告）、EU／EEA／英国／スイス／ブラジルにおける Meta ピクセル、および将来のオプトイン AI 学習プログラムのため。お客様は、撤回前の処理の適法性に影響を与えることなく、いつでも同意を撤回できます。
• 法的義務 - 税務、会計、制裁、およびその他の適用法を遵守するため。

5. AI の学習

お客様のデザインコンテンツは、当社が所有するいかなるモデルの学習にも使用されません。また、当社の第三者 AI 提供者がお客様のコンテンツを用いて自社のモデルを学習させることを許可しません。当社は、お客様のプロンプトおよびアップロードされた画像を、学習を行わない商用 API の下で、お客様がその場でリクエストした生成を実行するためにのみ、AI 提供者（Anthropic、Google）に送信します。当社は将来、定められた便益と引き換えに、お客様のコンテンツが ONTHEBIAS 所有のモデルの学習に使用されることに同意できる、ワークスペースごとの個別オプトインプログラムを提供することがあります。かかるプログラムは、オプトイン制のみであり、いつでも取り消すことができ、同意の時点で明確に表示されます。

6. 副処理者

当社は、本サービスを運用するためにこれらの提供者に依拠しています。それぞれが自らの業務を遂行するために必要なデータのみを受領し、それぞれが GDPR に適合したデータ保護条項を含む書面による契約の下にあります。

• Supabase - データベース、認証、ファイルストレージ（米国リージョン）
• Vercel - ホスティング、エッジネットワーク（グローバル）
• Stripe - 支払いおよびマーケットプレイスの支払金（米国）
• Anthropic、Google - AI 生成（プロンプト／出力のみ、学習を行わない商用 API）
• Liveblocks - リアルタイムのキャンバスおよびコメント（米国）
• Resend - 取引に関する電子メール（米国）
• SerpAPI - テックパック BOM 用の画像検索（米国）
• AWS S3 - レガシーライブラリアセットストレージ（us-east-2）
• Trigger.dev - 長時間実行される生成のための堅牢なジョブオーケストレーション（米国）
• Sentry - エラー追跡およびパフォーマンス監視（米国）
• Google Cloud Run - AI 生成のためのフォールバックコンピュート（米国）
• Meta - 広告測定。お客様のマーケティング同意がある場合にのみ実施。コンバージョンイベントはお客様の電子メールをハッシュ化して送信されます

7. 副処理者の変更

上記のリストは、本ページ上部の最終更新日時点で最新のものです。当社が個人データを処理する新しい副処理者を追加する場合、当社はこのリストを更新し、変更の効力発生の少なくとも 30 日前に、アプリ内でワークスペース管理者に通知します。お客様が新しい副処理者に異議を唱え、当社が合理的にその異議に対応できない場合、お客様はサブスクリプションを解約し、未使用の前払い期間について按分した返金を受けることができます。

8. 国際的なデータ移転

ONTHEBIAS は米国を拠点とし、当社の副処理者の多くも米国を拠点としています。当社が個人データを欧州経済領域、英国、またはスイスから米国もしくはその他の法域に移転する場合、当社は、欧州委員会の標準契約条項（SCCs）、UK International Data Transfer Addendum、および同等のスイスの手段に依拠し、必要な場合には補完的な技術的および組織的措置を併せて講じます。お客様と当社との関係に適用される SCCs の写しは、privacy@onthebias.co に電子メールを送ることで入手できます。

9. 保持

当社は、上記の目的のために必要な期間に限り、個人データを保持します。

• アカウントおよびデザインコンテンツ - お客様のアカウントが有効である限り。アカウント削除後、当社はデザインコンテンツを 30 日以内に削除します。ただし、バックアップ（標準のバックアップローテーションで消去され、最大 90 日）は除きます。
• 商業記録 - 請求書、支払い、注文履歴、および税務記録は、会計および税務上の義務を満たすために最大 10 年間保持されます。
• 利用テレメトリおよびログ - 最大 24 か月、その後は集約または削除されます。
• マーケティング同意記録 - お客様がサブスクライブしている間、および最後の接触から 3 年間、お客様の同意があったことを証明できるよう保持されます。
• セキュリティおよび不正防止の記録 - 本サービスを保護するために必要な期間、通常は 3 年を超えない期間、保持されます。

10. お客様の権利

お客様の居住地に応じて、お客様は自身の個人データについて以下の権利の一部またはすべてを有します。

• アクセス - 当社が保有するお客様に関する個人データの写しを請求すること。
• 訂正 - 不正確または不完全な個人データを修正すること。
• 消去 - 削除を請求すること（法定の保持義務に従います）。
• 制限 - 特定の目的のためのお客様のデータの処理を停止するよう当社に求めること。
• ポータビリティ - お客様が提供したデータの写しを機械可読形式で受領すること、または技術的に可能な場合には別の管理者へ送信するよう当社に求めること。
• 異議 - 正当な利益に基づく処理に対して、およびダイレクトマーケティングに対していつでも異議を申し立てること。
• 同意の撤回 - 処理が同意に基づく場合、いつでもこれを撤回すること。
• 苦情 - お客様の地域のデータ保護当局に苦情を申し立てること。EU においてはお客様の各国監督機関、英国においては情報コミッショナー事務局（ico.org.uk）です。

いずれかの権利を行使するには、当社がお客様およびお客様のご請求を特定できる十分な詳細を添えて privacy@onthebias.co に電子メールをお送りください。当社は 30 日以内に対応し、GDPR が認めるとおり、複雑なご請求については 60 日延長できます。ご請求が明らかに根拠がないか過度である場合を除き、手数料はかかりません。ワークスペース管理者は、個々のプロジェクトおよびキャンバスのデータをアプリから直接削除することもできます。

11. Cookie

当社は、認証のためのセッション Cookie、およびお客様のアクティブなワークスペースを記憶するための小さな設定 Cookie を使用します。また、当社の広告を測定するために Meta（Facebook／Instagram）ピクセルを読み込み、コンバージョンイベント（サインアップ、サブスクリプション）を、お客様の電子メールを先にハッシュ化した上で Meta に送信します。これは既定で有効であり、Cookie の管理リンクからいつでもオプトアウトできます。EU、EEA、英国、スイス、およびブラジルでは、お客様がオプトインした後にのみ読み込みます。完全なリストについては、当社の Cookie ポリシー をご覧ください。

12. 子ども

本サービスは 16 歳未満の子どもを対象としておらず、当社は 13 歳未満（またはデジタル同意年齢が 16 歳とされる法域では 16 歳未満）の子どもから故意に個人情報を収集することはありません。子どもが当社に個人データを提供したと思われる場合は、privacy@onthebias.co に電子メールをお送りください。当社はそれを削除します。

13. 米国州のプライバシー権（カリフォルニア州その他）

お客様がカリフォルニア州の居住者である場合、お客様は California Consumer Privacy Act（CPRA により改正）の下で権利を有します。これには、個人情報の販売または共有について知る権利、削除する権利、訂正する権利、およびオプトアウトする権利が含まれます。当社は、CCPA で定義される意味において個人情報を販売または共有していません。同様の権利は、バージニア州、コロラド州、コネチカット州、ユタ州、テキサス州、オレゴン州、モンタナ州、および包括的なプライバシー法を有するその他の米国州のプライバシー法の下でも利用できます。これらの権利は、privacy@onthebias.co に電子メールを送ることで行使してください。

14. EU 代理人

ONTHEBIAS は、現在、Art. 27 GDPR に基づく欧州連合における指定代理人を置いていません。EU の利用者は、すべてのデータ保護に関する請求および苦情を privacy@onthebias.co、および自国の監督機関に向けることができます。当社は Art. 27 の代理人を選任する手続きを進めており、それが完了し次第、ここに代理人を掲載します。

15. セキュリティ

当社は、転送中の暗号化（TLS 1.2 以上）、データベースおよびファイルストレージの保管時の暗号化、ロールベースのアクセス制御、ユーザーデータの行レベルセキュリティ、監査ログ、および定期的な脆弱性スキャンを含む、業界標準の技術的および組織的措置を用いて個人データを保護します。完全に安全なシステムはありません。当社は、お客様の個人データに影響する侵害を認識した場合、法律で要求されるとおり、お客様および該当する監督機関に通知します。

16. 変更

当社は、本ポリシーを更新することがあります。重要な変更は、法律でより短い期間が義務付けられる場合を除き、効力発生の少なくとも 30 日前に、アプリ内でお知らせし、有効なアカウントに電子メールでお送りします。変更の効力発生後も継続して利用されることは、更新されたポリシーに同意したことを意味します。従前のバージョンは、privacy@onthebias.co にご請求いただければ入手できます。