プライバシーポリシー

同意いただいた場合、公開ページへの訪問をGoogle Analyticsで分析します。Googleは利用状況と端末のデータを受け取り、米国で処理される可能性があります。同意がなければ分析は無効のままです。選択は180日間保存され、ここでいつでも変更できます。

1. 管理者

KENJTEC UG (haftungsbeschränkt)（設立手続き中）、メール：legal@kenjtec.com（住所は運営者情報をご覧ください）。

2. ホスティングと配信

当社のシステムはGoogle Cloudのeurope-west1リージョン（ベルギー）で稼働しており、データベースは毎日、複数のEUリージョンにバックアップされます。メディアライブラリ（MediaStudio）のファイルは、Cloudflare R2がEU内（EUの法域）に保存します。サービスの前段には、世界規模のネットワークを持つCloudflare（DNS、配信、保護）があります。アクセスは通常、最寄りの拠点で受け付けられ、それがEU域外の拠点である場合もあります。ページを開く際、これらの事業者は技術上必要な範囲でお客様のIPアドレスを処理します（GDPR第6条第1項f号 — これなしにサイトは動作しません）。

3. Cookie

必須Cookieと分析の選択は別に管理します。Google AnalyticsのCookie（_ga、_ga_*）は同意がある場合のみ、自動延長なしで最長60日間保存します。選択はブラウザに180日間保存します。

• お客様が選択した言語と通貨、
• ログイン中のログイントークン、
• 一般公開前：入口ゲートのCookie。

4. アカウント

登録時に、メールアドレス、パスワード（ハッシュ化して保存、平文では保存しません）、および入力された場合は氏名・言語・通貨を保存します（GDPR第6条第1項b号 — 契約の履行）。ログインとログイン試行はIPアドレスとともに180日間記録し（GDPR第6条第1項f号 — アカウントの安全）、その後は削除します。

「Googleで続ける」でログインする場合、Googleからお客様の確認済みメールアドレスと氏名が当社に送信されます。Googleでのログインそのものについては、Googleが管理者です。

5. お支払い

決済はStripeが処理します。カード情報はStripeにあり、当社のシステムに届くことはありません。Stripeから当社が受け取るのは、カードのブランド、下4桁、有効期限、およびカード番号を割り出すことのできない識別子のみです。これにより、同じカードが登録されているアカウントが3件以下であることを確認します。Stripeは決済処理について独立した管理者です。

6. メール

システムメール（登録、パスワード、通知）はMailjet経由で送信します。そのためにお客様のメールアドレスがMailjetに送信されます（GDPR第6条第1項b号）。広告メールはお客様の明示的な同意がある場合にのみ送信します。

7. AI機能

AI機能（Kenji）は4つの事業者を利用しています：Google（Vertex AI、EUマルチリージョンでの処理）、Mistral AI（EU内での処理）、Anthropic（Claude。保存は米国で行われ、回答の計算は他の国で行われる場合もあります）、OpenAI（米国での処理）。どの事業者がタスクを担当するかは、測定した品質と価格に基づいてタスクごとに決めています。ある事業者が応答しない場合、または求められた形式で応答しない場合は、次の事業者が引き継ぎます。現在、比較的簡単なタスク — 例えばテキストやSEOの提案、画像の説明文、フォームの回答の分析、写真からの商品作成 — は、まずGoogleに送られ、Anthropicが代替となります。高度なタスク — 例えばウェブサイト、フォーム、ショップの生成 — はAnthropicを通じて実行されます。Mistral AIとOpenAIは、私たちの測定でそこが最適だと示された時点でタスクを担当します。画像の生成はGoogleのみが行い、こちらもEUマルチリージョンを経由します。

送信されるのはお客様がAIに与えたもの — テキスト、入力内容、画像を扱うタスクでは画像（画像の説明文の場合は縮小した複製）です。これはお客様がAI機能を実行した場合にのみ行われます。バックグラウンドでも、アップロード時にも、コンテンツがAI事業者に届くことはありません。データはお客様ごとに分離されており、あるアカウントのAIはそのアカウントのデータしか見られません。4つの事業者はいずれも、それぞれの契約条件に基づき、これらの入力をモデルの学習に使用しません。Mistral AIとOpenAIは、不正利用を検知するため、入力と出力を最長30日間保管します。法的根拠はGDPR第6条第1項b号です。

8. アップロード時の画像検査

当社にアップロードされた画像、または画像ライブラリから組み込まれた画像は、受け取った時点で自動的に検査します — 対象は、メディアライブラリ（そこではPDFファイルも）、フォーム（回答者がアップロードする画像や署名も含む）、ウェブサイト、ならびに請求書および見積書のロゴです。ウェブサイトにふさわしくない描写（例えば性的に露骨なコンテンツ、暴力、ヘイトシンボル）がないかを確認します。そのために、縮小した複製がAmazon Web Services（Amazon Rekognition、eu-central-1リージョン、フランクフルト）に送信されます：長辺が最大1,024ピクセルで、JPEGとして再エンコードしたものです。PDFファイルの場合は、最初の数ページをラスタライズした複製です。メディアライブラリの画像については、同じ複製から、その中での検索に使うキーワードが生成されます。そのために原本を送信することはありません。

法的根拠は、検査についてはGDPR第6条第1項f号 — 当社のドメインで違法なコンテンツを配信しないという当社の正当な利益 — 、キーワードについてはGDPR第6条第1項b号です。AWSはその条件に基づき、これに対して異議が述べられない限り、こうした入力を、別のリージョンにおいても、保存し自社サービスの改善に利用することができます。当社のアカウントでこの異議が設定されているかどうかは、追って記載します。

9. 画像、フォント、地図

お客様がPexelsおよびPixabayのライブラリから選んだ画像は、ダウンロードして当社のストレージから配信します — お客様のサイトの訪問者がこれらの事業者に接続することはありません。お客様が画像選択画面で検索している間に限り、お客様のブラウザは小さなプレビュー画像をPexelsまたはPixabayから直接読み込みます。その際、これらの事業者にはお客様のIPアドレスが見えます。

KENJTECの画面で使う標準フォントは、当社から配信します。フォントのプレビューやお客様のコンテンツでは、Bunny Fonts（BunnyWay d.o.o.、スロベニア／EU）から追加のフォントを読み込むことがあります。その際、お客様のブラウザは fonts.bunny.net に接続しますが、提供元によれば訪問者データの記録も Cookie の設定も行われません。当社のページおよびテンプレートに Google Fonts は組み込んでいません。

当社のページでは、地図を使って配信ネットワークとサーバーリージョンを説明しています。最初に表示されるのは当社独自の図で、外部から何も読み込みません。お客様が「Googleの地図を読み込む」をクリックして初めて、Google Mapsの地図が読み込まれます。その際、お客様のブラウザはGoogleのサーバーに接続し、Googleはお客様のIPアドレスを受け取ります（GDPR第6条第1項a号 — クリックによるお客様の同意。この同意は今回のページの表示に限り有効で、保存されません）。Googleはこれについて独立した管理者であり、その条件に基づき、こうしたデータを自社サービスの改善にも利用することができます。

10. ドメイン

当社を通じてドメインを登録する場合、お客様がそのために入力する登録者情報を、カナダにある当社のレジストラTucows（OpenSRS）に提供します。Tucowsは、それぞれのドメイン末尾が求める範囲で、その情報を各レジストリに転送します（GDPR第6条第1項b号 — これらの情報なしにはドメインを登録できません）。

11. お客様がKENJTECで作成するフォーム

KENJTECの顧客が作成したフォームに入力する場合、その顧客が回答の管理者であり、当社はその委託を受けて処理します。その際に画像または署名をアップロードすると、それは第8項に記載の自動画像検査を経ます。メール欄ではCloudflareへのDNS照会でドメインの実在を確認します — 送信されるのは@より後の部分のみで、アドレス自体は送信されません。

12. 通報手続きと当社へのメール

当社の通報手続きでコンテンツを通報された場合、処理およびDSA第17条に基づく証拠として、その内容を保存します（GDPR第6条第1項c号 — 法的義務）。その際、IPアドレスは保存しません。

お客様が当社にメールを送る場合（例えばlegal@kenjtec.comまたはabuse@kenjtec.com宛）、Cloudflareがこれを受信し、Google（Gmail）にある当社のメールボックスに転送します。対応のため、その複製を当社独自のシステムに保管します（GDPR第6条第1項b号、契約外のお問い合わせの場合はGDPR第6条第1項f号）。

13. お客様の権利

お客様には、アクセス、訂正、削除、処理の制限、データポータビリティ、および異議申立ての権利があります（GDPR第15〜21条）。上記のアドレスに形式を問わずご連絡ください。また、データ保護監督当局に苦情を申し立てることもできます — 当社の管轄は、ハンブルク・データ保護および情報自由担当官です。アカウントの削除は、ダッシュボードの「アカウント」からご自身で行えます。削除は、お申し込みと契約期間の終了の両方から早くても30日後で、それまではお申し込みを取り消せます。

14. サービス提供事業者と第三国への移転

以下のサービス提供事業者は、当社のために個人データを処理するか、当社から個人データを受け取ります。まだ裏付けのない記載については「追って記載します」と記しています — 当社は、証明できないことは書きません。

• Google Cloud — Google Cloud EMEA Limited、ダブリン（アイルランド）。運用、データベース、ファイルおよびバックアップ（ベルギーのeurope-west1リージョン、バックアップはEUリージョン）、EUマルチリージョンでのVertex AIによるAI。処理者。データが米国のGoogle LLCに移転される場合：EU-US Data Privacy Framework、補助的に標準契約条項。
• Cloudflare — Cloudflare, Inc.（米国）。世界規模のネットワークによるDNS、配信および保護、当社のアドレス宛のメールの受信、EU内でのメディアファイルの保存（R2）。処理者。根拠：EU-US Data Privacy Framework、補助的に標準契約条項。
• Anthropic — Anthropic Ireland, Limited、ダブリン（アイルランド）。親会社はAnthropic, PBC（米国）。AI機能。保存は米国で行われ、回答の計算は他の国で行われる場合もあります。処理者。根拠：Anthropicのデータ処理契約に含まれる標準契約条項。
• Mistral AI — Mistral AI SAS、パリ（フランス）。欧州向けアクセスを経由するAI機能（EU内での処理）。処理者。
• OpenAI — OpenAI Ireland Limited、ダブリン（アイルランド）。AI機能。処理は米国で行われます。処理者。根拠：OpenAIのデータ処理契約に含まれる標準契約条項。
• Amazon Web Services — Amazon Web Services EMEA SARL（ルクセンブルク）。画像検査とキーワード、eu-central-1リージョン（フランクフルト）。独自目的での保存については第8項をご覧ください。処理者。データが米国に移転される場合：EU-US Data Privacy Framework、補助的に標準契約条項。
• Mailjet — Mailjet SAS（Sinch）、パリ（フランス）。システムメールの送信。EU内での処理。処理者。
• Stripe — Stripe Payments Europe, Limited（アイルランド）。決済。独立した管理者。データが米国のStripe, LLCに移転される場合：EU-US Data Privacy Framework。
• Tucows（OpenSRS） — トロント（カナダ）。ドメイン登録。根拠：カナダに関する欧州委員会の十分性認定（2002/2/EC）。
• Bunny Fonts — BunnyWay d.o.o.、リュブリャナ（スロベニア）。フォントのプレビューおよびお客様のコンテンツで使うフォントの配信。EU内での処理。
• Geoapify — KEPTAGO LTD、パフォス（キプロス）。BrandStudioでの住所候補の表示。検索をご利用の場合に限り、検索テキスト、言語、必要に応じて選択された国を当社のサーバー経由で送信します。お客様のIPアドレスやアカウント情報は送信されません。EU内での処理。処理者。
• Google — Googleでのログイン、地図（Google Maps）、および当社宛のメールのための当社のメールボックス（Gmail）。これらについてGoogleは独立した管理者です。データが米国のGoogle LLCに移転される場合：EU-US Data Privacy Framework。
• PexelsおよびPixabay — Canva Germany GmbH、ベルリン。画像選択画面のプレビュー画像。独立した管理者。

Google Analytics 4

Google Analytics 4の提供者はGoogle Ireland Limited（Gordon House, Barrow Street, Dublin 4, Ireland）です。ページビュー、時刻、端末・ブラウザ情報、言語、参照元とCookie識別子を取得し、IPアドレスは接続のために処理します。法的根拠はGDPR第6条1項a号とTDDDG第25条1項です。Cookie設定で同意を撤回できます。撤回前の処理の適法性は変わりません。米国で処理される場合があります。移転と保護措置：Googleの処理条件。詳細：Googleのプライバシー。

Google Analyticsのユーザー・イベントデータは、新しい操作による延長なしで2か月後に削除されます。集計済みの標準レポートにはこの期間は適用されません。