プライバシーポリシー
第1条 個人情報の定義
本プライバシーポリシーにおいて、「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、メールアドレス、その他の記述等により特定の個人を識別できるもの、または個人識別符号が含まれるものをいいます。
第2条 収集する情報
当サービス（Shikumi予約）は、以下の情報を収集します：
2.1 アカウント登録時に提供される情報
- 施設名（テナント名）
- 管理者氏名
- メールアドレス
- パスワード（暗号化して保存）
- サブドメイン（施設固有URL）
2.2 Googleカレンダー連携時に取得する情報
- Googleアカウントのメールアドレス
- プロフィール情報（氏名、プロフィール画像）
- Googleカレンダーのイベント情報（読み取り専用）
- カレンダーへのイベント作成・編集権限
※ カレンダーの削除権限は取得しません。必要最小限のアクセス権限のみを使用します。
2.3 予約管理時に登録される情報
- 生徒・顧客の氏名、メールアドレス、電話番号
- 予約日時、サービス内容
- スタッフ情報、教室・施設情報
2.4 自動的に収集される情報
- IPアドレス
- アクセスログ（訪問日時、閲覧ページ）
- Cookie情報（セッション管理のみに使用）
第3条 情報の利用目的
収集した個人情報は、以下の目的でのみ使用します：
- 予約管理サービスの提供（予約作成、変更、キャンセル）
- Googleカレンダーとの自動同期（スタッフスケジュール管理）
- 予約確認メール、リマインダーメールの送信
- 施設管理者向けの予約統計・レポート提供
- 顧客管理機能（CRM）の提供
- サービス改善のための分析（個人を特定しない統計データ）
- カスタマーサポート対応
- 重要なお知らせ、システムメンテナンス通知
第4条 Googleカレンダー連携の詳細
4.1 連携の仕組み
スタッフがGoogleカレンダー連携を許可すると、当サービスはスタッフのGoogleカレンダーに対して以下の操作を実行します：
- 既存のカレンダーイベントの読み取り（空き時間確認）
- 予約確定時に新しいカレンダーイベントを自動作成
- 予約変更時にカレンダーイベントを更新
- 予約キャンセル時にカレンダーイベントを削除
4.2 データの保存
Googleアクセストークンとリフレッシュトークンは、当サービスのデータベースに暗号化された形式で保存されます。これらのトークンは、カレンダー連携を解除するまで保持されます。
4.3 連携の解除
スタッフ管理画面からいつでもGoogleカレンダー連携を解除できます。連携解除と同時に、保存されたアクセストークンとリフレッシュトークンは削除されます。
第5条 情報の第三者提供
当サービスは、以下の場合を除き、収集した個人情報を第三者に提供することはありません：
- ユーザーの明示的な同意がある場合
- 法令に基づく場合
- 人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難である場合
- サービス提供に必要な範囲で業務委託先に開示する場合（例: メール配信サービス、クラウドホスティング）
注記: Googleカレンダー連携は、ユーザーがGoogle社のOAuth 2.0認証に同意した場合のみ実行されます。当サービスとGoogle社との間でデータ連携が発生しますが、これは利用者の明示的な許可に基づくものです。
第6条 Cookieの使用
当サービスは、以下の目的でCookieを使用します：
- ログインセッションの維持（NextAuth.jsセッションCookie）
- CSRF攻撃対策（セキュリティトークン）
当サービスは、広告配信や行動追跡のためのCookieは使用しません。ユーザーは、ブラウザの設定でCookieを無効化できますが、その場合、一部の機能が利用できなくなる可能性があります。
第7条 データの保存期間
アクティブユーザー
アカウントが有効な間、サービス提供に必要な個人情報を保持します。
退会後
アカウント削除後、30日間は復旧対応のためにデータを保持し、その後完全に削除します。
法令で保存が義務付けられているデータ
決済記録等、法令で保存が義務付けられているデータは、法定期間保持します。
第8条 データの削除
ユーザーは、以下の方法で個人情報の削除を請求できます：
- アカウント設定から「アカウント削除」を実行
- カスタマーサポート（support@shikumill.com）へ削除依頼
- Googleカレンダー連携の解除（スタッフ管理画面から即座に実行可能）
第9条 セキュリティ対策
当サービスは、個人情報の漏洩、滅失、毀損を防止するため、以下のセキュリティ対策を実施しています：
- すべての通信にSSL/TLS暗号化（HTTPS）を使用
- パスワードのハッシュ化（bcrypt）
- OAuthトークンの暗号化保存
- マルチテナント対応による厳格なデータ分離
- 定期的なセキュリティ監査
- 不正アクセス検知システム
第10条 プライバシーポリシーの変更
当サービスは、法令改正やサービス内容の変更に伴い、本プライバシーポリシーを変更する場合があります。変更後のプライバシーポリシーは、本ページに掲載した時点で効力を生じます。重要な変更の場合は、登録されたメールアドレス宛に通知します。
第11条 お問い合わせ
本プライバシーポリシーに関するお問い合わせ、個人情報の開示・訂正・削除の請求は、以下までご連絡ください：
Shikumi予約 カスタマーサポート
メール: support@shikumill.com
営業時間: 平日 10:00-18:00（土日祝日を除く）
第12条 GDPR・CCPA準拠
当サービスは、EU一般データ保護規則（GDPR）およびカリフォルニア州消費者プライバシー法（CCPA）に準拠したデータ保護を実施しています。EU/米国カリフォルニア州在住の方は、以下の権利を有します：
- アクセス権（保有する個人情報の開示請求）
- 訂正権（個人情報の修正請求）
- 削除権（個人情報の削除請求）
- データポータビリティ権（データの移行請求）
- 処理の制限権（データ処理の停止請求）
これらの権利を行使される場合は、上記お問い合わせ先までご連絡ください。