プライバシーポリシー

本ポリシーに記載された処理の管理者は、4cs BVです。当社はベルギー法に基づき設立された非公開有限責任会社（besloten vennootschap）で、登録事務所はLindekensweg 3, 2160 Wommelgem, Belgium、企業番号はBE 1014.832.509です。本ポリシーにおける「当社」「私たち」は、dev.skoolskill.comおよび関連ドメインでSKØØLSKILLサービス（以下「本サービス」）を運営する4cs BVを指します。

プライバシーチームへのお問い合わせは、[email protected]またはProvider上記住所宛てに「Privacy」宛と記載したうえで郵送でお送りください。

本ポリシーは、お客様が当社のマーケティングサイトを訪問される場合、アカウントを作成される場合、本サービス（ノートのスキャン、練習、AIチューターNovaとのチャット、クラスおよびリーダーボードへの参加、購入を含む）をご利用になる場合、サポートにご連絡いただく場合、その他当社とやり取りされる場合に当社が処理する個人データに適用されます。当社がリンクする第三者のサイトやサービスには適用されません — これらはそれぞれ独自のプライバシーポリシーの下で運営されています。

当社は以下のカテゴリーの個人データを収集します:

3.1 アカウントおよびプロフィールデータ

• メールアドレス、表示名、（Googleでサインインされる場合は）Googleアカウント識別子。
• 認証データ（パスワードのハッシュ値、セッショントークン、サインインタイムスタンプ、デバイスおよびブラウザ情報）。
• 生年、優先言語、タイムゾーン、任意でご追加いただくプロフィール項目。
• クラスのメンバーシップ、利用された招待コード、およびお客様が未成年者の場合は第6条に記載の保護者連絡先情報。

3.2 お客様がご提供になる学習コンテンツ

• スキャンのためにアップロードされたノートや書類の画像。
• それらのアップロードから抽出されたテキスト（「atoms」）、関連づけられるスキル、およびそれらから生成された練習問題。
• 練習問題への回答、間違い、習熟度スコア、連続記録、締切、学習セッション、およびNova AIチューターとやり取りされたメッセージ。

3.3 利用状況およびデバイスデータ

• 閲覧されたページ、使用された機能、パフォーマンスおよびエラーログ、IPアドレス、IPから得られるおおよその位置情報、ブラウザの種類および言語、デバイス識別子。
• ゲーミフィケーション（XP、コイン、ハート、クエスト）に必要なインタラクションイベント、および本サービスの運営・改善に必要なイベント。

3.4 請求データ

• プランの種類、月額サブスクリプションのステータス、AI利用枠および消費量、ジェム残高および取引、購入履歴、請求先国、ご提供いただくVAT詳細。
• お支払いカードおよび請求データはStripeにて直接処理されます — 当社はトークン化された参照情報と限られたメタデータ（下4桁、ブランド、国）のみを受け取ります。当社がカード番号全体を閲覧または保存することは一切ありません。

3.5 コミュニケーション

• サポート、フィードバック、不正利用の報告、法的ご依頼のために当社に送信されたメールやメッセージ、およびそれに対する当社からの返答。

3.6 当社が意図的に収集しないデータ

• 当社は、GDPR第9条に基づく特別カテゴリーの個人データ（健康、民族、宗教、生体情報、性的指向など）を求めることはなく、また送信されるべきではありません。アップロードされるノートにそのようなデータを含めることをお客様ご自身で選択された場合は、お客様ご自身の判断によるものであり、当社は他のアップロードコンテンツと同じ安全対策で取り扱い、プロファイリングには使用しません。

当社は、以下に記載された特定の目的のためにのみ個人データを処理します。各目的について、GDPR第6条(1)に定められた法的根拠に基づきます:

お客様には、正当な利益に基づく処理に対して異議を申し立てる権利があります — 第10条をご覧ください。

SKØØLSKILLのいくつかの機能は大規模言語モデルに依存しています: ノートのスキャン（OCR）、スキルとのマッチング、練習問題の生成、Novaチューターとのチャットです。これらの機能を提供するため、必要最小限のコンテンツ（アップロードされた画像、学習の抜粋、またはチャットメッセージなど）をClaude API経由でAnthropic, PBCに送信し、場合によっては中立的なルーティングレイヤーとして機能するOpenRouter Inc.経由で送信します。

実務上、これは次を意味します:

• 当社は現在、お客様のコンテンツをいかなるAIモデルの学習にも使用していません。また、当社のAIプロバイダーに対し、本サービスを通じて送信されるAPIコンテンツによる学習を許可していません。
• Anthropicは、商用プロダクトのAPI入出力がデフォルトでモデルの学習に使用されないことを公に約束しています。Anthropicの解説をご覧ください: privacy.anthropic.com — "Is my data used for model training?"
• Anthropicは、独自の公表ポリシーに従い、信頼性および安全性、ならびに法的目的のためにAPIコンテンツを限定的な期間保持することがあります。Anthropicのプライバシーポリシーおよび商用利用規約をご覧ください。
• ユーザー向け設定（「AIの改善を支援する」）がアカウント設定で利用可能で、デフォルトではオフになっています。これを有効にすると、将来的に当社がモデルや機能を改善するために匿名化された練習データを使用することへの同意を意味します。オプトインされたユーザーであっても、当社は現在いかなる学習パイプラインも運用していません。これが変更される場合、本ポリシーを更新し、合理的な事前通知を行い、法的に必要な場合は新たな学習目的が開始される前に同意を再確認します。
• AIの出力は誤っていたり、不完全であったり、偏っていたり、古い情報である可能性があります。実際の授業、成績、判断のために依拠される内容については、お客様ご自身で確認する責任を負います。完全な免責事項については利用規約をご覧ください。

EU AI Act。SKØØLSKILLは学習の補助ツールです。本サービスは個人の教育へのアクセスを決定するため、正式な評価の採点、または入学者の割り当てに使用されることはありません。これを踏まえ、当社は本サービスをRegulation (EU) 2024/1689（AI Act）附属書IIIに基づく「高リスクAIシステム」には該当しないと考えています。当社はAI Actに照らして機能セットをモニタリングしており、この分類が変更された場合は開示を更新します。

最低年齢 — 13歳。SKØØLSKILLは世界のどこであっても13歳未満には提供しません。当社は13歳未満の児童のために意図的にアカウントを作成せず、児童の個人データも意図的に収集しません。利用者が13歳未満であることが判明した場合、当社はアカウントを閉鎖し、関連する個人データを第11条に記載のスケジュールに従って削除します。

EEA におけるデジタル同意年齢。GDPR 第8条により、EEA 各加盟国は情報社会サービスのデジタル同意年齢を13歳から16歳の範囲で設定しています(ベルギー13、イタリア14、フランス15、ドイツおよびオランダ16 など)。利用者の居住国のデジタル同意年齢が13歳より高い場合、その年齢未満については保護者または法定後見人が児童に代わって同意する必要があります。いずれの場合も、以下のより厳格な「18歳未満」ルールが適用されます。

より厳格な社内ルール — 18歳未満の保護者の関与。現地のデジタル同意年齢にかかわらず、18歳未満のすべてのユーザーについて保護者の関与を求めます:

• オンボーディング中にユーザーの生年を確認します。ユーザーが18歳未満である場合、親または法定後見人のメールアドレスを提供し、親/後見人が本サービスの利用を許可したことを確認するよう求めます。
• 当社はそのメールアドレスを、親または後見人の連絡先として児童のアカウントに保存します。児童に代わって行われるご依頼への対応、適切な場合は重要なサービスやポリシーの変更について親/後見人への通知、およびアカウントの安全に関するコミュニケーションに使用します。
• 親または法定後見人は、[email protected]宛てに登録されたアドレスからメールを送信するか、権限の合理的な証明を提示することで、児童のアカウントへのアクセス、エクスポート、訂正、停止、削除をいつでもご依頼いただけます。
• 当社は、児童の個人データを行動ターゲティング広告のために意図的に収集または使用することはなく、児童のデータを販売または貸与することもありません。

米国 — COPPA。SKØØLSKILLは一般向けサービスであり、米国の Children's Online Privacy Protection Act(COPPA)の意味において13歳未満の児童を対象としていません。当社は米国内において13歳未満の児童の個人情報を意図的に収集、使用、開示しません。米国の保護者または後見人で、13歳未満の児童が当社に個人情報を提供したと思われる方は、[email protected]までご連絡いただき、削除をご依頼いただけます。

英国 — Age Appropriate Design Code。英国の利用者については、Information Commissioner's Office が発行する Children's Code(年齢に応じた設計規範)の原則に沿って本サービスを設計しています。これにはデータ最小化、既定での個人情報保護設定、児童に対する行動ターゲティング広告の禁止が含まれます。英国の利用者には、本ポリシーで言及する EU GDPR に加えて(より厳格な場合はこれに代えて)UK GDPR が適用されます。

18歳未満の児童が適切な保護者の関与なしにアカウントを作成したと思われる場合、または13歳未満の児童がアカウントを作成したと思われる場合は、当社までご連絡ください。速やかに対応いたします。

当社は、本サービスの運営を支援する少数のサービスプロバイダー（「サブプロセッサー」）と個人データを共有します。各社は、文書化された当社の指示に従ってのみデータを処理し、同等のセキュリティおよび機密保持基準に従うことを定めた書面契約に拘束されます。

サブプロセッサーに変更があった場合、このリストを更新します。お客様のデータ処理方法に影響を与える重要な追加については、メールまたはアプリ内通知にて事前にお知らせします。

当社はまた、権限を有する公的機関、裁判所、または法執行機関に対して、法的に要請または許容される場合、および守秘義務を負う専門アドバイザー（弁護士、会計士、監査人）に対して、厳密に必要な範囲内で個人データを開示します。当局に対して開示する時期および内容についての詳細なルールは、本ポリシーの対となる利用規約第16条（法執行機関・法的ご依頼）に定められています。当局は[email protected]までご連絡いただけます。このアドレスは、デジタルサービス法に基づく第11条（当局）および第12条（受益者）のシングルポイントコンタクトも兼ねています。

4cs BV内でのアクセス。当社スタッフによるお客様の個人データへのアクセスは、特定の正当な業務（サポート、不正利用対応、セキュリティ、請求、法務、インシデント時のエンジニアリング）のために必要なスタッフに限定されています。アクセスはログに記録され、書面による守秘義務の対象となります。当社が日常的にお客様のノート、スキャン、Novaチャットの内容を閲覧することはありません。

コンテンツモデレーションは申立て主導型です。当社は、アップロードされたコンテンツを事前にスクリーニングしません。違法コンテンツに関する具体的な通知（利用規約第14条をご覧ください）、権限を有する当局からの命令、特定のプラットフォーム全体の不正行為パターンをフラグする自動不正検出システムからの信号に基づいて対応します。

当社はお客様の個人データを販売せず、ターゲット広告のために広告主と共有することもありません。

当社のサブプロセッサーの一部は、欧州経済領域外、主に米国に所在しています。個人データがEEAから移転する場合、当社はGDPR第V章に基づき認められた少なくとも1つの移転メカニズムを導入しており、通常は以下のいずれかです:

• 欧州委員会による十分性認定（例: 受領者が認証されている場合のEU-US データプライバシーフレームワーク）、または
• 欧州委員会の標準契約条項（Decision 2021/914）を、適切な場合には追加の技術的・組織的措置（転送時および保管時の暗号化、仮名化、アクセス制御）で補完するもの。

[email protected]までご連絡いただければ、該当する保護措置の写しをリクエストできます。商業上機密となる条項は黒塗りすることがあります。

当社は、本ポリシーに記載された目的に必要な期間に限り、個人データを保持します:

• アカウントおよびプロフィールデータ: アカウントが有効である限り、およびクローズ後最大12か月間保持し、進捗を失うことなく再アクティブ化いただけます。
• アップロードされたノート、atoms、問題、回答、習熟度記録: アカウントが有効である限り保持します。Atoms画面からいつでも個々のアイテムを削除できます。
• Novaチャット履歴: セッションを越えた継続性のために保持されます。いつでも個々の会話を削除できます。
• 認証およびセキュリティログ: 最大12か月間。
• 請求記録およびインボイス: ベルギーの税務および会計法に基づき、該当する会計年度の末日から7年間保持されます。
• サポート対応記録: ケースクローズ後最大3年間。
• バックアップ: 最大35日サイクルでローテーションされます。バックアップ内のデータは災害復旧シナリオでのみ復元され、通常のローテーションの過程で上書きされます。

保持期間が終了した場合、当社はデータを削除するか、またはお客様との紐づけができないよう不可逆的に匿名化します。

GDPRに定められた条件に従い、お客様は以下の権利を有します:

• アクセス — 当社がお客様のデータを処理していることの確認と、そのコピーの取得（第15条）。
• 訂正 — 不正確なデータの訂正、不完全なデータの補完（第16条）。
• 削除 — 第17条に列挙された状況において、データの削除を請求（「忘れられる権利」）。
• 制限 — 紛争解決中の処理の制限を請求（第18条）。
• データポータビリティ — お客様が提供したデータを構造化され、一般的に使用され、機械可読な形式で受け取り、技術的に可能な場合には他の管理者へ送信させる権利（第20条）。
• 異議 — お客様の特定の状況に関連する理由により、プロファイリングを含む正当な利益に基づく処理に対していつでも異議を申し立てる権利（第21条）。ダイレクトマーケティングに対する異議は理由不要でいつでも行えます。
• 同意の撤回 — 同意に基づく処理について、いつでも同意を撤回することができます。撤回前の処理の合法性に影響を及ぼすことはありません（第7条(3)）。
• 専ら自動化された処理に基づく決定であって、法的効果またはそれと同様に重大な影響をお客様に及ぼすものの対象にならない権利（第22条）。第14条をご覧ください。

これらの権利を行使するには、[email protected]までメールをお送りください。1か月以内に返信します（複雑なご依頼の場合はさらに2か月延長でき、その場合は最初の1か月以内にお知らせします）。

なりすましからお客様を保護するため、ご依頼に対応する前に合理的な本人確認書類をお求めすることがあります。

監督機関に苦情を申し立てる権利もあります。ベルギーの監督機関はデータ保護局（Gegevensbeschermingsautoriteit/Autorité de protection des données）、Drukpersstraat 35, 1000 Brussels、www.dataprotectionauthority.beです。お客様の常居所地の監督機関にも苦情を申し立てることができます。

当社は少数のクッキーおよびローカルストレージアイテムを使用しています:

• 厳密に必要なもの — セッションクッキー（認証）、CSRF保護、および言語設定クッキー。これらはお客様がお求めの本サービスの提供に不可欠なため、同意は不要です。
• 機能的なもの — ダーク/ライトモードやオンボーディング状態などの設定。
• アナリティクス/診断 — クラッシュおよびパフォーマンスの問題の特定にのみ使用される最小限のエラー監視ビーコン（Sentry）。当社は第三者による広告やクロスサイトトラッキングクッキーは使用しません。

クッキーはブラウザを通じて管理できます。厳密に必要なクッキーをブロックすると、本サービスは機能しません。

当社は、お客様の個人データを保護するため、合理的かつ適切な技術的および組織的措置を講じています。これには以下が含まれます: 転送時の暗号化（HTTPS/TLS）、保存ファイルおよびデータベースバックアップの保管時の暗号化、最小権限の原則に基づくスコープ付きアクセス制御、監査ログ、時間制限付き認証トークン、パスワードのハッシュ化、レート制限および不正検出、定期的なパッチ適用、および本番環境の分離。

完全に安全なシステムは存在しません。お客様にも重要な役割があります: 強力で一意のパスワードを使用し、利用可能な場合は二要素認証を有効にし、デバイスおよびブラウザを最新の状態に保ってください。

個人データの侵害がお客様の権利と自由にリスクをもたらす可能性がある場合、当社はGDPR第33条および第34条に従い、不当な遅延なく、可能な場合は認識してから72時間以内に権限を有する監督機関に通知します。侵害が高いリスクをもたらす可能性がある場合には、影響を受けるユーザーにも直接通知します。

本サービスは、問題を難易度順にランク付けし、お客様の最も弱いスキルに合わせて練習を調整し、チューターの応答を生成し、XP、連続記録、リーダーボードの順位を付与するためにアルゴリズムを使用します。これらの決定はアプリ内での体験に影響しますが、GDPR第22条にいう法的効果またはそれと同様に重大な影響をお客様に及ぼすものではありません。当社は、クレジットスコアリング、保険、採用、その他の高い影響を与える判断に自動化された意思決定を使用しません。

当社は、本サービス、サブプロセッサー、または法律の変更を反映するため、本ポリシーを更新することがあります。重要な変更を行う場合、上記の「発効日」を更新し、重大な変更についてはメールまたはアプリ内バナーで合理的な事前通知を行います。現行版は常にhttps://skoolskill.com/ja/privacyでご確認いただけます。

個人データに関するご質問、ご依頼、または苦情については、以下までお問い合わせください:

当社の回答にご満足いただけない場合、ベルギーのデータ保護局（詳細は第10条）またはお客様が居住するEU加盟国の監督機関に苦情を申し立てることができます。