プライバシーポリシー

1. はじめに

SOAPless（以下「SOAPless」「当サービス」）は、お客様のプライバシーの保護に努めています。本プライバシーポリシーは、お客様が当サービスのプラットフォームおよびサービスを利用する際に、当サービスがどのように情報を収集、使用、開示、保護するかについて説明するものです。

本ポリシーは、現在のデータ取扱い実務を説明するものであり、GDPR、CCPA、日本の個人情報保護法などで問題になりやすい論点を踏まえて整理しています。認証や適合性を示す表明ではありません。

2. データ管理者

SOAPless（運営者: miravy / 個人情報取扱事業者）は、本サービスを通じて処理される個人データのデータ管理者です。データ処理に関するお問い合わせは、hello@soapless.miravy.com までご連絡ください。開示、訂正、削除等の請求や、個人情報保護法上の公表事項に関するお問い合わせも同じ窓口で受け付けます。

3. 収集するデータ

3.1 お客様が提供する情報

• アカウント情報: アカウント登録時のメールアドレス、氏名、会社名。
• 支払い情報: Stripe により処理・保存される請求情報。当サービスのサーバーにクレジットカード番号は保存しません。
• WSDL URL: お客様がプラットフォームに登録した SOAP サービスの URL。
• サポート通信: お客様がサポートチームに送信するメッセージ。

3.2 自動的に収集する情報

• 利用メタデータ: API コールのタイムスタンプ、オペレーション名、HTTP ステータスコード、レスポンスタイム、サービス識別子、エラー分類。エラーメッセージは切り詰めおよびサニタイズされ、個人データの含まれる可能性を排除しています。リクエストおよびレスポンスボディのログは記録しません。
• デバイス情報: ブラウザの種類、オペレーティングシステム。なお、IP アドレスはインフラプロバイダー（Vercel、Supabase）により一時的に処理されますが、SOAPless アプリケーション層では保存しません。
• ウェブサイト解析情報: 公開されているマーケティングページ、ドキュメント、ブログでは、Google Analytics によりページビュー、参照元、おおまかな地域、ブラウザ、デバイス情報が収集される場合があります。この計測は SOAP のリクエスト本文、API payload、ダッシュボード入力内容を解析するためには使いません。
• 認証 Cookie: ログイン状態を維持するためのセッショントークン。

3.3 収集しないデータ

• SOAP リクエスト/レスポンスボディ: 当サービスのプロキシを通過する API リクエストまたはレスポンスの内容をログ記録、保存、検査することはありません。
• SOAP 認証情報の平文: 上流の SOAP サービスの認証情報は、保存時に AES-256-GCM で暗号化され、リクエストのプロキシ時にのみ復号されます。

4. 処理の法的根拠（GDPR）

当サービスは、以下の法的根拠に基づいてお客様の個人データを処理します。

• 契約の履行: お客様がサブスクライブした本サービスの提供に必要な処理（第 6 条第 1 項(b)号）。
• 正当な利益: 分析、不正防止、サービス改善（第 6 条第 1 項(f)号）。
• 法的義務: 税務、請求、および規制要件の遵守（第 6 条第 1 項(c)号）。
• 同意: 製品アップデートなどの任意の通信について、該当する場合（第 6 条第 1 項(a)号）。

5. データの利用方法

• 本サービスの提供、維持、改善
• 支払いの処理およびサブスクリプションの管理
• お客様のアカウントの利用分析およびダッシュボードの生成
• 不正行為および不正利用の検出と防止
• サービスの更新、セキュリティアラート、サポートの連絡
• 法的義務の遵守

6. 第三者データプロセッサー

当サービスは、データ処理契約に基づき、以下の第三者プロセッサーとお客様のデータを共有します。

当サービスはお客様の個人データを第三者に販売することはありません。

7. 国際データ移転

お客様のデータは、当サービスのプロセッサーが運営するアメリカ合衆国およびその他の国に移転・処理される場合があります。欧州経済領域（EEA）、英国、またはスイスからの移転については、以下に依拠します。

• 欧州委員会が承認した標準契約条項（SCC）
• 該当する場合の十分性認定
• プロセッサー固有の認証およびコンプライアンスフレームワーク

日本の個人データの移転については、同等のレベルの保護を確保することを含む、個人情報保護法の越境移転に関する要件に準拠します。

8. データの保持

• アカウントデータ: アカウント削除時に直ちに削除されます。関連するすべてのデータ（サービス、API キー、利用ログ）は、データベースのカスケード削除により削除されます。
• 利用メタデータ: プランに応じて自動的にクリーンアップされます。Free は 7 日、Starter は 30 日、Pro は 90 日です。アカウント削除時にすべてのログが直ちに削除されます。
• 決済記録: 決済処理は Stripe が担当しています。SOAPless はクレジットカード番号や決済情報を保存しません。Stripe は独自のプライバシーポリシーに従って請求記録を保持します。
• SOAP 認証情報: 保存時に暗号化されています。サービスの削除またはアカウント削除時に直ちに削除されます。

9. お客様の権利

お客様の所在地に応じて、個人データに関する以下の権利を有する場合があります。

• アクセス権: 当サービスが保有するお客様の個人データのコピーを請求する権利。
• 訂正権: 不正確または不完全なデータの訂正を請求する権利。
• 消去権: 個人データの削除を請求する権利（「忘れられる権利」）。
• データポータビリティ権: 構造化された機械可読形式でデータを受け取る権利。
• 異議申立権: 正当な利益に基づく処理に対して異議を申し立てる権利。
• 処理制限権: 特定の状況下で処理の制限を請求する権利。
• 同意撤回権: 同意に基づく処理について、いつでも同意を撤回する権利。

CCPA 固有の権利: カリフォルニア州の居住者は、収集された個人情報を知る権利、削除を請求する権利、個人情報の販売をオプトアウトする権利を有します。当サービスは個人情報を販売しません。

個人情報保護法に基づく権利: 日本の居住者は、個人情報保護法に基づき、個人データの開示、訂正、利用停止、または削除を請求することができます。

これらの権利を行使するには、hello@soapless.miravy.com までご連絡ください。30 日以内（または適用法で要求される期間内）に回答いたします。

10. Cookie の使用

SOAPless では、ダッシュボードのログイン状態を保つために Supabase の認証セッション Cookie を使用しています。加えて、公開ページでは Google Analytics により、集計レベルのアクセス状況とページビューを計測します。広告目的の Cookie や広告リターゲティング用タグは使用していません。

詳細については、Cookie ポリシーをご覧ください。

11. データ処理契約

GDPR 遵守のためにデータ処理契約（DPA）が必要なお客様には、リクエストに応じて DPA をご提供いたします。hello@soapless.miravy.com までお問い合わせください。

12. 未成年者のプライバシー

本サービスは 18 歳未満の方の利用を想定していません。当サービスは、未成年者の個人データを意図的に収集することはありません。未成年者のデータを収集したことが判明した場合、速やかに削除する措置を講じます。

13. 本ポリシーの変更

運営者は、本プライバシーポリシーを随時更新する場合があります。重要な変更については、メールおよび「最終更新日」を更新した改定ポリシーの当サービスのウェブサイトへの掲載によりお知らせします。変更が有効になった後も本サービスを継続して使用することにより、改定されたポリシーに同意したものとみなされます。

14. お問い合わせ

プライバシーに関するお問い合わせ、または権利の行使については、以下までご連絡ください。

SOAPless
Email: hello@soapless.miravy.com

苦情については、お客様の所在地のデータ保護機関（EU/EEA 居住者）、カリフォルニア州司法長官（カリフォルニア州居住者）、または個人情報保護委員会（日本居住者）にご連絡いただくことも可能です。