プライバシーポリシー

1. 当社について

本サービスはNobami Teamによって運営されており、GDPR上の管理者（コントローラー）およびPIPA上の個人情報処理者として、皆様の個人情報の管理責任を負います。

当社（データ保護責任者および個人情報保護責任者を含む）へのご連絡は、[email protected] までお願いいたします。

2. 収集する情報

2.1 アカウント情報。 アカウントを作成する場合、メールアドレス、任意で選択した表示名、およびパスワードを収集します。パスワードはソルト付き一方向ハッシュ（argon2id）としてのみ保存され、平文で保存または閲覧することはありません。

2.2 ドキュメントおよびコンテンツ。 デフォルトでは、開いたり作成したファイルはご自身のデバイス上（例：ブラウザのIndexedDBストレージ）でのみ処理・保存されます。サインインしてクラウド同期を有効にした場合や共有リンクを作成した場合、ドキュメントの内容、タイトル、ファイル種別、バージョン履歴、共有設定を当社サーバーに保存し、同期や共有を実現します。

2.3 AIリクエスト。 AI機能を利用する際、入力した指示や選択したコンテンツ（例：選択テキストや現在のドキュメント）が、選択したAIプロバイダーに送信されます：

• Nobami Cloud（デフォルト）： リクエストは当社APIサーバーに送信され、Anthropic, PBC（Claudeモデル）へテキスト用、OpenAI, L.L.C.へ画像生成用として転送されます。当社はレスポンス返却のためにリクエストを処理しますが、リクエスト完了後はプロンプトやレスポンスの内容を保持しません（第7条に記載の例外を除く）。
• 独自キー（BYOK）： Anthropic、OpenAI、Google（Gemini）、OpenRouterのAPIキーを入力した場合、リクエストはご自身のブラウザから直接該当プロバイダーへ送信されます。これらのリクエストは当社サーバーを経由せず、各プロバイダーが独自の利用規約・プライバシーポリシーの下で処理します。
• ローカルAI： ローカルモデル（例：Ollama、LM Studio、llama.cpp、vLLM等）を接続した場合、リクエストはご自身が管理する環境から外部に送信されません。

2.4 APIキー。 BYOKプロバイダー用に入力したAPIキーは、ご自身のデバイス（ブラウザのローカルストレージまたはアプリのローカルストレージ）にのみ保存され、Nobamiのサーバーには一切送信されません。

2.5 技術情報およびログデータ。 デバイスが当社APIと通信する際、サーバーはIPアドレス、ブラウザ・デバイス種別、OS、リクエスト時刻、リクエスト先エンドポイント、レスポンスステータス、エラー詳細等の技術情報を自動記録します。これらはサービス運営、不正防止、レート制限の適用、セキュリティ維持のために利用します。第三者広告トラッカーやクロスサイト解析用クッキーは使用しません。

2.6 コミュニケーション。 当社にメールを送信された場合、メールアドレスおよびメッセージ内容、添付ファイルを受領します。

2.7 支払情報。 有料プランを提供しご契約いただいた場合、支払いは第三者決済代行業者が処理します。当社が受領するのはプラン情報、取引ID、支払状況、カード番号下数桁等の限定的な情報のみであり、カード番号全体は受領・保存しません。

当社は、機微情報（健康情報、生体情報、政治的意見等）を意図的に収集せず、送信しないようお願いしています。同期されたドキュメントにはご自身が選択した情報が含まれる場合がありますが、当社はサービス提供のためにのみその内容を処理します。

3. 情報の利用目的

当社は、個人情報を以下の目的でのみ利用します：

• サービスの提供・運営・維持（アカウント認証、クラウド同期、バージョン履歴、共有リンク等）;
• Nobami Cloud経由でのAIリクエスト処理および結果返却;
• 無料枠利用制限の適用、不正・スパム・悪用・セキュリティインシデントの防止;
• ご要望・ご質問・サポートメッセージへの対応;
• セキュリティ通知や利用規約・本ポリシー変更等、サービス関連のお知らせ送信;
• 有料プラン選択時の支払処理およびサブスクリプション管理;
• 集計または匿名化した技術データを用いた問題診断、サービスの信頼性・性能向上;
• 法的義務の履行および法的請求権の確立・行使・防御。

当社は、個人情報を販売せず、ドキュメントやAIプロンプトをAIモデルの学習に利用せず、ターゲティング広告目的で個人情報を利用しません。

4. 処理の法的根拠（EEAおよび英国）

欧州経済領域（EEA）または英国にお住まいの場合、GDPR第6条に基づき以下の法的根拠に依拠します：

• 契約の履行 – アカウント作成・管理、ドキュメントの同期・共有、要求された機能の提供;
• 正当な利益 – サービスのセキュリティ確保、不正防止、レート制限の適用、信頼性向上（ただし、これらの利益がご自身の権利に優越しない場合）;
• 同意 – AIプロバイダーへのコンテンツ送信等の任意機能利用時や、当社が同意を求める場合。同意はいつでも撤回でき、撤回前の処理の適法性には影響しません;
• 法的義務 – 法令遵守のため情報を保持・開示する必要がある場合。

5. 情報の共有および処理の委託

当社は、サービス運営に必要な業務委託先（処理者）と、契約に基づき個人情報の保護および当社の指示のみに従った利用を義務付けた上で、個人情報を共有します。現在、以下の企業に処理を委託しています：

• Cloudflare, Inc. – ウェブサイトおよびウェブアプリのコンテンツ配信・ホスティング、ネットワークセキュリティ;
• Railway Corporation – APIサーバーおよびデータベース（アカウントデータ、同期ドキュメント、ログ）のホスティング;
• Anthropic, PBC – Nobami Cloud経由のAIテキストリクエスト処理;
• OpenAI, L.L.C. – Nobami Cloud経由のAI画像生成リクエスト処理;
• GitHub, Inc. – Windowsアプリのダウンロード配信（GitHubは独自のポリシーの下でダウンロードリクエストを記録する場合があります）;
• Google LLC（Google Play） – Androidアプリの配信（Googleの独自ポリシーに基づく）。

委託先の追加・変更があった場合は本リストを更新します。また、（a）法令、裁判所命令、公的機関の正当な要請により必要な場合、（b）Nobami、ユーザーまたは公衆の権利・財産・安全の保護のため、（c）合併・買収・資産譲渡等に関連する場合には、法令に従い事前に通知の上、情報を開示することがあります。

BYOKまたはローカルAIプロバイダーをご利用の場合、コンテンツは直接該当プロバイダーと共有され、当社はその移転に関与しません。

6. 国際的な情報移転

当社のサービス提供会社は、米国その他データセンターの所在国を含む、皆様の居住国以外で個人情報を処理する場合があります。海外移転の詳細は以下の通りです：

• 受領者および国： Cloudflare, Inc.（米国およびグローバルネットワーク）、Railway Corporation（米国）、Anthropic, PBC（米国）、OpenAI, L.L.C.（米国）;
• 移転対象項目： アカウント情報、同期ドキュメント内容、AIリクエスト内容（Nobami Cloud利用時のみ）、技術ログデータ（各プロバイダーに該当する範囲）;
• 移転時期・方法： 該当機能利用時に暗号化通信（TLS）で送信;
• 目的・保存期間： 各プロバイダーの役割に応じて第3条および第7条に記載の通り。

GDPRが適用される場合、当社は十分性認定または欧州委員会の標準契約条項（および英国アドエンダム）に基づき移転を行います。PIPAが適用される場合、本ポリシーで開示の上、契約履行に必要な範囲で移転します。海外移転を希望されない場合、アカウント未作成・クラウド同期未使用・ローカルAIプロバイダー利用により、当社または委託先への個人情報移転を回避できます。

7. 保管および破棄

個人情報は、上記目的のために必要な期間のみ保管します：

• アカウント情報： アカウント削除まで保管し、削除後30日以内に消去;
• 同期ドキュメント・バージョン履歴： ご自身またはアカウント削除時まで保管。削除済み項目は30日以内に完全消去、バックアップからは35日以内に消去;
• 共有リンク： 取り消しまたはドキュメント削除まで;
• Nobami Cloud AIリクエスト： レスポンス返却後は内容を保存しません。利用メタデータ（時刻、トークン数、匿名化識別子等）はレート制限・不正防止のため最大90日間保存;
• サーバーログ： 最大90日間（セキュリティインシデント調査が必要な場合は延長あり）;
• サポートメール： 問題解決後最大3年間保存。

法令によりより長期の保存が義務付けられる場合は、必要期間のみ別途保管します。例として、韓国法では：契約または申込撤回記録、支払・財貨供給記録は5年、消費者苦情・紛争処理記録は3年（電子商取引等における消費者保護に関する法律）、ウェブサイト接続ログは3ヶ月（通信秘密の保護に関する法律）です。

破棄手続および方法。 保管期間満了または処理目的達成時には、遅滞なく個人情報を破棄します。電子ファイルは復元不可能な技術的方法で削除し、紙媒体は裁断または焼却します。

8. ご本人の権利

お住まいの地域により、以下の権利の一部または全部を有します：

• ご自身の個人情報へのアクセスおよび写しの受領;
• 不正確または不完全な情報の訂正;
• 情報の削除（アプリ内でドキュメントやアカウントを随時削除可能）;
• 処理の制限・停止、正当な利益に基づく処理への異議申立て;
• データポータビリティ：ドキュメントをDOCX、XLSX、PPTX、HWPX、PDF等の標準形式で随時エクスポート可能;
• 同意の随時撤回;
• データ保護監督機関への苦情申立て。

カリフォルニア州居住者（CCPA）。 当社が収集・利用・開示する個人情報の内容確認、削除、訂正、販売・共有のオプトアウト権があります。当社は個人情報を販売せず、クロスコンテキスト行動広告のための共有も過去12ヶ月間行っていません。また、制限権を要する目的で機微な個人情報を利用・開示しません。権利行使による差別的取扱いは行いません。代理人による請求も可能です。

韓国ユーザー（PIPA）。 ご本人（または法定代理人・委任を受けた者）は、個人情報の閲覧、訂正・削除、処理停止の請求、同意の撤回がいつでも可能です。訂正・削除請求時は完了まで当該情報を利用・提供しません。個人情報侵害に関する救済は、個人情報紛争調整委員会（www.kopico.go.kr、1833-6972）、KISA個人情報侵害申告センター（privacy.kisa.or.kr、118）、最高検察庁サイバー捜査課（www.spo.go.kr、1301）、警察庁サイバー局（ecrm.police.go.kr、182）にもご相談いただけます。

権利行使方法。 アカウントに紐づくメールアドレスから[email protected]へご連絡いただくか、アプリ内アカウント設定をご利用ください。ご請求前に本人確認をお願いする場合があります。遅滞なく、法定期間内（例：PIPAは10日以内、GDPRは1ヶ月以内、CCPAは45日以内（延長可能））に対応します。

9. クッキーおよびローカルストレージ

本サービスは広告用クッキーや第三者トラッキングクッキーを使用しません。ご利用機能に必須な範囲で、ブラウザのローカルストレージ技術を利用します：

• IndexedDB – ドキュメント、最近のファイル、自動保存バージョンをデバイス上に保存;
• localStorage – 設定（言語、テーマ、AIプロバイダー等）、サインイントークン（ログイン時）、BYOK APIキーの保存;
• Service worker cache – アプリの高速起動・オフライン動作のためのキャッシュ。

これらの情報はデバイス内にとどまり、ウェブサイト間の追跡には利用されません。サインアウト、アプリ内でのドキュメント削除、ブラウザ設定（例：Chromeの場合「設定＞プライバシーとセキュリティ＞サイトデータ」）でいつでも削除可能です。サイトデータを削除すると、デバイス内のドキュメントも完全に消去されるため、必要なものは事前にエクスポートしてください。

10. 子どもについて

本サービスは子どもを対象としていません。韓国でアカウントを作成するには14歳以上、EEAおよび英国では16歳以上（または各国法で定める下限年齢）、その他地域では13歳以上である必要があります。該当年齢未満の場合、保護者または法定代理人の同意がある場合のみ利用可能です。必要な同意なく子どもから個人情報を収集したことが判明した場合、速やかに削除します。保護者または法定代理人の方は[email protected]までご連絡ください。

11. セキュリティ

当社は、以下を含む管理的・技術的・物理的措置により個人情報を保護します：

• 通信時の暗号化（HTTPS/TLSおよびHSTS）およびホスティング事業者による保存時暗号化;
• argon2idによるパスワードの一方向ハッシュ化、署名付き有効期限付き認証トークン;
• 厳格なContent Security Policy、入力値検証、パラメータ化されたデータベースクエリ;
• 個人情報へのアクセスは必要最小限の者に限定し、アクセスログを記録;
• レート制限、監視、依存関係の定期的なセキュリティ監査;
• 個人情報保護のための内部管理計画およびインシデント対応手順。

いかなる送信・保存方法も完全な安全性を保証するものではありません。個人情報に影響する漏洩が発生した場合、法令に従い速やかにご本人および関係当局へ通知します。セキュリティ脆弱性の報告は[email protected]までご連絡ください。

12. 個人情報保護責任者

当社は、個人情報処理および苦情・救済請求対応の責任者として、個人情報保護責任者（データ保護責任者）を指定しています：

• 個人情報保護責任者： Nobami Team, Privacy Lead
• 担当部署： Nobami Team Privacy Office
• メールアドレス： [email protected]

プライバシーに関するご質問、ご相談、救済請求は個人情報保護責任者までご連絡ください。迅速に対応いたします。

13. 本ポリシーの変更

本プライバシーポリシーは随時更新される場合があります。更新時は本ページに新たな発効日とともに掲載し、発効の少なくとも7日前にウェブサイトまたはアプリ内で変更を告知します。ご本人の権利に重大な影響を及ぼす変更の場合、少なくとも30日前に通知し、法令で必要な場合は同意取得またはメール通知を行います。

14. お問い合わせ

本プライバシーポリシーまたは当社のデータ取扱いに関するご質問は、Nobami Team（[email protected]）までご連絡ください。