プライバシーポリシー

事業者

• 名称: 株式会社Suono（サービス名: OtoMarket／運営責任者: 杉之下 将一）
• 所在地: 〒107-0061 東京都港区北青山1-3-3 三橋ビル 3階
• お問い合わせ: support@otomarket.jp

収集する個人情報

• 【アカウント情報】メールアドレス、表示名、プロフィール情報（任意）、パスワードのハッシュ値。
• 【購入・決済情報】注文 ID、購入商品、決済プロバイダ（Stripe）上の Customer ID・Checkout ID・PaymentIntent ID。クレジットカード番号等の決済情報は Stripe が管理し当サービスでは保存しません。
• 【ライブラリ・ライセンス情報】購入済み商品のエンタイトルメント、ライセンスキー、ライセンス有効状態、ダウンロード回数・日時。
• 【通信・ログ情報】IP アドレス、ユーザーエージェント、アクセス日時、ダウンロードログ、Webhook 受信ログ、監査ログ。
• 【出品者情報】クリエイター申請内容、プロフィール、インボイス登録番号（任意）、Stripe Connect アカウント ID（将来の自動精算導入時）、精算記録。
• 【問い合わせ・通報情報】サポート・問い合わせフォームへの入力内容（氏名・メール・本文）。
• 【TOTP・セキュリティ情報】管理者の TOTP シークレット（暗号化保存）、ログイン試行記録、ロックアウト情報。

利用目的

• アカウント認証、ログイン状態の管理、2FA の提供。
• 購入処理、決済確認、購入済みライブラリ・ライセンスの管理・提供。
• メール確認・パスワード再設定などのトランザクショナルメール送信。
• 出品者の申請審査、商品・ファイル審査、精算管理。
• 不正アクセス、不正購入、権限外ダウンロード、マルウェア配布等の調査・防止。
• 問い合わせ・通報への対応、返金処理、法令に基づく義務の履行。
• サービス改善のためのアクセス解析（Vercel Analytics による匿名集計）。
• Sentry によるエラー監視（個人を特定する情報の意図的な送信は行いません）。

第三者提供

以下に該当する場合を除き、個人情報を第三者に提供しません。①法令に基づく場合。②人の生命・身体・財産の保護に必要な場合。③公衆衛生の向上または児童の健全育成の推進に特に必要な場合。④国の機関等の法令の定める事務への協力に必要な場合。

委託先（処理者）

• Stripe, Inc.（米国）：決済処理、PaymentIntent・Customer 管理。
• Cloudflare R2（米国）：商品ファイルの保管・配信。
• Vercel Inc.（米国）：アプリケーションホスティング、CDN、Analytics。
• Neon（米国）：データベースホスティング（Postgres）。
• Resend Inc. / Postmark（米国）：トランザクショナルメール送信。
• Upstash（米国）：レート制限用 Redis キャッシュ。
• Sentry（米国）：エラー監視。
• 各委託先はデータ処理契約またはプライバシーシールドに基づき個人情報を取り扱います。

海外への個人情報移転

上記委託先はすべて日本国外（主に米国）のサーバーを使用しています。個人情報保護委員会の定める基準を踏まえ、契約上の安全管理措置を講じた上で移転します。移転先国の個人情報保護制度については、個人情報保護委員会の公表情報をご参照ください。

保存期間

• アカウント情報：退会後1年間（不正利用の防止、お問い合わせ・係争への対応のため）保存した後、削除します。ただし、取引・会計・税務に関する情報や法令上の保存義務がある情報は、下記または当該法令の定める期間に従います。
• 注文・決済情報：最終取引日の属する事業年度の確定申告期限の翌日から7年間保存します（法人税法等に基づく帳簿書類の保存期間に準拠）。会計帳簿に該当する情報は、会社法に基づき10年間保存する場合があります。
• ダウンロードログ・監査ログ：不正アクセスやセキュリティインシデントの調査のため、取得から2年間保存します。
• 問い合わせ記録：対応完了後3年間保存します（係争対応等の必要に応じて延長する場合があります）。
• メール送信ログ：送信日から1年間保存します。なお、配信に関する同意の記録は、配信終了後も必要な期間保存します。
• 上記の保存期間は目安であり、法令上の保存義務、セキュリティ調査、係争対応その他正当な理由がある場合には、必要な範囲で延長することがあります。

Cookie・解析

• サイトの動作に必要な Cookie（認証セッションの `next-auth.session-token`・CSRF トークン、クローズドベータ中のアクセス管理 Cookie 等）を使用します。これらはサービス提供に不可欠なため、同意なく使用します。
• 利便性のための機能 Cookie として、表示言語を保存する `otomarket_locale`、初回の言語選択を記録する `otomarket_locale_choice`、Cookie 同意の選択内容を記録する `otomarket_cookie_consent` を使用します。
• 紹介（リファラル）の成果計測のための `otomarket_ref` Cookie は、利用者が Cookie バナーで同意した場合にのみ使用します。同意しない場合は設定しません。
• Cookie の同意・拒否は初回表示されるバナーで選択でき、選択内容はフッターの「Cookie 設定」からいつでも変更・撤回できます。
• Vercel Analytics による匿名のページビュー集計を行います。個人を特定する情報はこの目的では使用しません。
• 広告目的の Cookie やトラッキングピクセルは使用していません（`otomarket_ref` は招待元を特定するための成果計測であり、第三者広告配信には利用しません）。

外部送信に関する公表（外部送信規律）

電気通信事業法に基づき、当サービスが利用者の端末から外部の事業者へ送信させる情報、送信先および利用目的を以下のとおり公表します。

• Vercel Analytics（Vercel Inc.／米国）：アクセス状況の匿名集計。送信される情報＝閲覧ページの URL・リファラ・概略のデバイス情報等。目的＝サービスの利用状況の分析と改善。
• Sentry（Functional Software, Inc.／米国）：エラー監視。送信される情報＝エラー発生時の技術情報（発生 URL・ブラウザ情報・スタックトレース等）。目的＝不具合の検知と修正。
• Stripe（Stripe, Inc.／米国）：決済処理。決済関連ページで Stripe のスクリプトを読み込み、決済の実行と不正利用防止のための情報を送信します。目的＝決済処理および不正検知。
• 動画の埋め込み（YouTube・Vimeo 等）：商品・サポーターページ等に動画を埋め込む場合、再生のために各動画配信事業者へ端末情報が送信されます。目的＝動画の表示・再生。各事業者のプライバシーポリシーが適用されます。
• 上記はサービスの提供・改善・安全管理のために利用するものであり、広告目的の外部送信は現時点では行っていません。
• ブラウザの設定で Cookie を無効化することにより、一部の外部送信を停止できる場合があります。

安全管理措置

• 通信は HTTPS（TLS）で暗号化されます。
• パスワードは bcrypt 等のハッシュアルゴリズムで保存し、平文では保存しません。
• 管理者アカウントには TOTP 二要素認証を適用しています。
• レート制限、ログイン試行制限、監査ログにより不正アクセスを検知・防止します。
• 商品ファイルの署名付き URL は短時間で失効し、ストレージキーは利用者に公開しません。

開示・訂正・削除・利用停止等の請求

ご本人は当サービスに対し、保有個人データの開示・訂正・追加・削除・利用停止・第三者提供停止を請求できます。請求はサポートフォームまたは support@otomarket.jp へ、ご本人確認ができる情報を添えてお送りください。合理的な期間内（原則として受領後2週間以内）に対応します。法令上の例外に該当する場合は対応できないことがあります。

未成年者

本サービスは18歳以上の方を対象としています。18歳未満の方は保護者の同意を得た上でご利用ください。未成年者の個人情報と判明した場合、保護者からの削除請求には速やかに対応します。

ポリシーの改定

本ポリシーを改定する場合は、サービス上での告知またはメール通知により事前にお知らせします。重要な変更がある場合は、改定日から相当期間前に周知します。

お問い合わせ

個人情報の取り扱いに関するご相談・ご質問は support@otomarket.jp またはサポートフォームからお問い合わせください。