プライバシーポリシー

当社は、アカウント、ワークスペース、請求、サポート、セキュリティ、ウェブサイトに関するデータなど、事業運営のために収集する個人データの管理者です。

法人のお客様がプロンプトやファイル、それらから生成された出力などのコンテンツをサービス経由で送信する場合、そのコンテンツに含まれる個人データについて、当社はお客様に代わり、その指示に従って処理者またはサービスプロバイダーとして処理します。この処理には当社のデータ処理付属書が適用されます。当社のお客様が提供する製品の利用者は、ご自身のデータについて、そのお客様にお問い合わせください。当社が受け取ったご依頼は、そのお客様に転送します。

2.1 アカウントとワークスペースのデータ。 メールアドレス、入力された場合の氏名、ワークスペース名、チームへの所属と役割、設定を収集します。サインインにはメールでお送りするワンタイムコードを使用するため、パスワードは保存しません。

2.2 API キー。 各キーの名前、プレフィックス、制限を保存します。シークレット全体は一度だけ表示し、当社では一方向ハッシュとしてのみ保存します。

2.3 請求データ。 購入履歴、クレジット残高と取引記録、プロモーションクレジット、領収書と請求書、決済代行会社から提供される識別子を保存します。カード情報は決済代行会社が収集・保存し、当社がカード番号全体を受け取ることはありません。

2.4 利用データ。 リクエストごとに、日時、使用したモデル、エンドポイント、API キー、トークン・画像・動画の数、費用と定価、ステータスとエラーコード、応答時間、処理に使用した当社のルートを記録します。これらは、請求、リクエスト履歴の表示、サービスの運営・改善、セキュリティの維持に使用します。

2.5 サービスを通じて送信されるコンテンツ。

• API 経由のチャット・テキストリクエスト: プロンプトとレスポンスはリクエストの処理中にメモリ上で処理し、保存しません。
• Playground のチャット: Playground でのチャットは、後から開き直せるようアカウントに保存されます。閲覧できるのはご本人だけです。各ワークスペースで新しいものから 300 件を、削除されるまで保存します。チャットに添付したファイルは一緒に保存されません。
• Playground に追加した画像: Playground にアップロード、貼り付け、またはドロップした画像は、再利用できるようワークスペースの「最近のアップロード」に保存されます。ワークスペース内の全員が閲覧でき、30 日後に削除されます。
• 画像: 生成された画像とその生成に使用したプロンプトは、閲覧・ダウンロードできるよう保存され、30 日後に削除されます。
• 動画: 送信されたプロンプト、設定、参照画像は、動画の生成と提供のために保存されます。動画、プロンプト、参照画像は 30 日後に削除されます。これらのコンテンツを含まないジョブの記録（日時、モデル、長さ、ステータス、費用）は、請求履歴に残ります。
• エラーの詳細: リクエストの処理に失敗した場合、問題の調査のため、返されたエラーメッセージを最大 30 日間保存します。メッセージにリクエストやレスポンスの一部が引用されることがあります。
• コンテンツは出力の生成のためにインフラストラクチャプロバイダーに送信されます（第 4 条を参照）。当社はお客様のコンテンツを AI モデルの学習に使用せず、販売もしません。

2.6 コミュニケーション。 サポートへのお問い合わせや当社に送信されたメッセージ（サポートページで入力された氏名、メールアドレス、会社名を含む）、および当社から送信したメールの記録を保存します。これには、サインインコードや確認コード、領収書、アカウントに関する通知、製品ニュースのほか、製品に関するメールが開封されたかどうかも含まれます。

2.7 デバイスとログのデータ。 ウェブサイト、ダッシュボード、API の利用時に、IP アドレス、ブラウザーとデバイスの情報、日時、セキュリティ関連のイベントをサーバーログに記録します。また、不正行為の防止と決済に関する異議申し立てへの対応のため、サインイン、ダッシュボードの利用、カードの保存、決済、API の呼び出しに使われた IP アドレスとデバイスのアクセス記録を、それぞれ最初と最後に確認された日時とともに保存します。お問い合わせの際にサポートチームが対応できるよう、Cloudflare が IP アドレスから判定したダッシュボードの利用国と、それぞれ最初と最後に確認された日時もアカウントに記録します。サインインまたはサインアップ用のコードを要求すると、Cloudflare Turnstile が自動化されたスクリプトではなく人による要求かを確認します。そのために IP アドレスとブラウザーからの情報を受け取ります。また、自動サインアップを制限するため、新しいアカウントの作成元ネットワークも記録します。

2.8 Cookie とローカルストレージ。 Meta、Google、X の広告効果測定用 Cookie と、当社のどの広告がクリックされたかの記録（2.9）を除き、当社が使用するのはサービスの動作に必要なものだけです。サインイン状態の維持には、ブラウザーのローカルストレージと、サインアウトするまで有効な Cookie（最大 400 日間、アクセス時に更新）を使用します。また、テーマや選択した言語などの設定を記憶するために、1 年間有効な Cookie を使用します。当社独自のウェブサイト分析（2.10）は Cookie を設定せず、デバイスにも何も保存しません。ウェブサイトのホスティング事業者も、閲覧されたページや閲覧頻度などの匿名のページ閲覧統計を収集し、そのために Cookie を設定する場合があります。

2.9 広告効果の測定（Meta、Google、X）。 FacebookとInstagramでの広告効果を測定するため、当社のウェブサイトではMeta Pixelを読み込みます。Meta PixelはMetaのクッキー（_fbp、およびMetaの広告経由でアクセスした場合は_fbc）を設定し、お客様が訪問した当社のページをMetaに伝えます。お客様がアカウントを作成したとき、初めてAPIリクエストに成功したとき、クレジットを購入したときには、当社のサーバーからもMetaに直接情報を送信します。送信する情報は、ハッシュ化したメールアドレスとアカウントID、IPアドレスとブラウザの情報、Metaのクッキーの値、および購入時の金額です。Googleでの広告効果を測定するため、当社のウェブサイトではGoogle Ads用のGoogleタグも読み込みます。このタグはGoogleのクッキー（_gcl_au、およびGoogleの広告経由でアクセスした場合はgclidなどのクリックIDを含む_gcl_awまたは_gcl_gb）を設定し、お客様が訪問した当社のページをGoogleに伝えます。お客様がアカウントを作成したとき、初めてAPIリクエストに成功したとき、クレジットを購入したときには、ブラウザからGoogle Adsに情報を送信します。送信する情報は、イベントのID、ハッシュ化したメールアドレス（Googleの拡張コンバージョン）、IPアドレスとブラウザの情報、Googleのクッキーの値、および購入時の金額です。初回のAPIリクエストと購入に関する情報は、次に当社のダッシュボードを開いたときに送信されます。当社はGoogle Adsを広告効果の測定にのみ使用し、お客様にパーソナライズされた広告を表示するためには使用しません。Xでの広告効果を測定するため、当社のウェブサイトではXのピクセルも読み込みます。このピクセルはXのクッキー（_twpidと_twsid、およびXの広告経由でアクセスした場合はクリックIDであるtwclidを含む_twclid）を設定し、お客様が訪問した当社のページをXに伝えます。Xは、自社のウェブサイトで設定したクッキーを読み取る場合もあります。お客様がアカウントを作成すると、ブラウザからXにイベントのID、IPアドレスとブラウザの情報、XのクリックIDを送信します。メールアドレスはXに送信しません。MetaまたはGoogleの広告経由でアクセスした場合は、広告のURLに含まれるキャンペーンタグ（キャンペーンや広告の名前、IDなど）とクリック日時も、ブラウザのローカルストレージに最長90日間保存します。これは、後日アカウントを作成した場合に、当社のウェブサイト解析（2.10）でどの広告経由かを把握するためです。この記録はMetaやGoogleには送信しません。欧州経済領域、英国、スイスでは、これらすべては当社のバナーで許可した場合にのみ行われます。それ以外の地域では、当社のページ下部にあるプライバシー設定でオフにしない限り有効です。ブラウザからのGlobal Privacy Controlシグナルも、オフにする意思表示として扱います。オフにすると、Meta Pixel、Googleタグ、Xのピクセルを停止し、それらが当社のウェブサイトで設定したクッキー、クリックした広告に関するブラウザ内の当社の記録、および当社がこれらのサービス向けに保持していた識別子を削除します。

2.10 ウェブサイト解析。 当社のウェブサイトがどのように見つけられ、利用されているかを把握するため、zurelay.com（ログイン後のダッシュボードを除きます）で訪問したページと各ページの表示時間、参照元のウェブサイトやアプリ、URL内のキャンペーンタグ（UTMパラメータ）、広告のクリック経由でアクセスしたかどうか（gclidなど、広告のクリックパラメータの名前のみで、値は含みません）、IPアドレスから推定した国、デバイス・ブラウザ・オペレーティングシステムの種類を記録します。このためにクッキーを設定したり、お客様のデバイスに何かを保存したりすることはありません。個人を特定せずに訪問者数を数えるため、IPアドレスとブラウザの情報を毎日更新されるランダムな値と組み合わせ、生成されたコードのみを保持します。そのため、異なる日の訪問を関連付けることはできません。IPアドレスは保持しません。お客様がアカウントを作成した場合、その日の登録につながった訪問を記録します。また、広告効果の測定（2.9）が有効で、以前にGoogleまたはMetaの広告経由でアクセスしていた場合は、そのプラットフォームと広告（キャンペーンタグ）も記録します。これにより、どの流入元や広告が顧客獲得につながっているかを把握します。

GDPR、英国GDPRまたは類似の法律が適用される場合、当社は括弧内に示す法的根拠に基づいて個人データを利用します。

• アカウントとワークスペースの作成・運用、本人認証、リクエストの処理、生成されたファイルの保存のため（お客様との契約の履行）。
• サービスの料金請求、決済やプロモーションの処理、不正行為の防止、税務・会計記録の保持のため（契約、法的義務、および支払いを受け不正行為を防止するという当社の正当な利益）。
• サービスの安全性の確保、信頼性の監視、不正利用の防止、利用規約の適用のため（正当な利益）。
• サポートの提供と、領収書、セキュリティに関する通知、利用規約の変更など、サービスに関するお知らせの送信のため（契約および正当な利益）。
• 主に集計済みまたは個人を識別できない利用データを通じて、サービスの利用状況を把握し、改善するため（正当な利益）。
• 2.10に記載のとおり、当社のウェブサイトがどのように見つけられ、利用されているか、またどの流入元が顧客獲得につながっているかを把握するため（正当な利益）。
• 2.9に記載のとおり、Meta、Google、Xでの広告効果を測定し、改善するため（法律で必要な場合はお客様の同意、それ以外の場合は当社の正当な利益。いつでもオフにできます）。
• 法律で認められる場合に、利用開始のご案内や初回入金時のボーナスなど、当社製品に関するニュース、ヒント、特典をお送りし、メールの開封状況を確認するため（同意または正当な利益）。すべてのメールに配信停止リンクがあります。配信を停止しても、サインインコード、領収書、その他のサービスに関するメッセージは引き続き届きます。
• 法律を遵守し、適法な要請に対応し、法的請求を提起、行使、または防御するため（法的義務および正当な利益）。

• インフラプロバイダー。 リクエストの処理にあたり、当社が選定・審査したAIモデルの開発元、クラウドプラットフォーム、独立系再販事業者、その他のモデル処理能力の提供事業者に、出力の生成に必要な内容とパラメータを送信します。これらの事業者は、自社の規約や運用に従ってデータを処理します。これには、データの記録、保持、確認、サービス改善への利用が含まれる場合があります。また、事業者は米国またはその他の国に所在する場合があります。当社は、お客様の氏名、メールアドレス、請求情報をこれらの事業者に送信しません。
• サービスプロバイダー。 ホスティング、データベース、ストレージ、決済処理、メール配信、ボット対策、サポートツールを提供する企業です。個人データの利用を当社へのサービス提供に限定する契約を結んでいます。
• お客様のワークスペース。 ワークスペースのメンバーと管理者は、それぞれの役割に応じてワークスペースのデータを閲覧できます。
• 法的対応と安全確保。 法律や適法な要請への対応、当社の利用規約の執行、第三者の権利・財産・安全の保護、不正行為や悪用の調査のために開示が必要であると当社が誠実に判断した場合です。児童性的虐待コンテンツの当局への通報も含まれます。
• 事業譲渡。 合併、買収、資金調達、組織再編、資産売却に関連して、本ポリシーに従い共有する場合があります。
• Meta（広告効果測定）。 Meta Platformsは、当社の広告の効果を測定し、サービスに関心を持つ可能性が高い方に広告を表示するために、2.9に記載されたデータを受け取ります。Metaは自社の規約とプライバシーポリシーに従ってデータを利用し、GDPRが適用される場合は独立した管理者として扱います。
• Google（広告効果測定）。 Google LLCは、Google上の当社の広告の効果を測定するために、2.9に記載されたデータを受け取ります。Googleは自社の規約とプライバシーポリシーに従ってデータを利用します。当社はGoogleに対し、このデータを広告のパーソナライズに使用しないよう指示しています。
• X（広告効果測定）。 X Corp.は、X上の当社の広告の効果を測定し、サービスに関心を持つ可能性が高い方に広告を表示するために、2.9に記載されたデータを受け取ります。Xは自社の規約とプライバシーポリシーに従ってデータを利用します。
• お客様の同意がある場合、またはお客様の指示に従う場合。

当社は個人データを金銭と引き換えに販売しません。広告効果測定のためにMeta、Google、Xへデータを送信すること（2.9）は、米国の一部の州法では、サイトやサービスをまたいだ行動に基づく広告のための「共有」、または「ターゲティング広告」に該当する場合があります。ページ下部のプライバシー設定からいつでもオプトアウトできます。当社はGlobal Privacy Controlにも対応しています。

Zurelayは米国に拠点を置いています。当社、当社のサービスプロバイダーおよびインフラプロバイダーは、米国やその他の国で個人データを処理します。これらの国のデータ保護法は、お客様の居住国の法律と異なる場合があります。法律で義務付けられる場合、当社へのデータ移転には欧州委員会の標準契約条項など、認められた保護措置を講じます。一部のインフラプロバイダーは自社の標準規約でのみサービスを提供するため、当社がそれらの事業者との間で同様の保護措置を講じられない場合があります。

法律で義務付けられる場合、紛争の解決や契約の執行に必要な場合には、データをより長く保存することがあります。バックアップは通常のスケジュールに従って削除されます。

当社は、通信時の暗号化、APIキーの一方向ハッシュのみでの保存、ホスティング事業者による保存データの暗号化、本番システムへのアクセスの必要な担当者への限定など、リスクに応じた対策で個人データを保護します。ただし、完全に安全なシステムはないため、個人データの安全性を保証することはできません。APIキーとメールアカウントの安全な管理は、お客様の責任です。

お住まいの地域によっては、個人データへのアクセス、訂正、削除、コピーの受け取り、当社による処理への異議申し立てや処理の制限、同意の撤回、個人データの販売・共有やターゲティング広告からのオプトアウトを求める権利があります（当社は個人データを販売しません。広告効果測定のための共有からオプトアウトするには、ページ下部のプライバシー設定を使用するか、ブラウザでGlobal Privacy Controlを有効にしてください）。欧州経済領域、英国、スイスにお住まいの場合は、データ保護当局に苦情を申し立てることもできます。製品に関するお知らせの配信を停止するには、該当するメールの配信停止リンクを使用してください。

権利を行使するには、件名を「Privacy request」として help@zurelay.com にメールをお送りください。対応前にご本人確認を行います。代理人からの請求には、代理権を証明する書類をお願いする場合があります。法定の期間内に回答します。請求をお断りした場合は、当社の回答に返信して異議を申し立てることができます。権利を行使したことを理由に、不利益な取り扱いはしません。お客様が本サービスを通じて送信したコンテンツに関する請求は、該当するお客様におつなぎします。

本サービスは事業者向けであり、子どもを対象としていません。18歳未満の方の個人データを、認識したうえで収集することはありません。子どもが当社に個人データを提供したと思われる場合は、ご連絡ください。該当するデータを削除します。

本ポリシーは随時更新する場合があります。更新後のポリシーには新しい日付を記載して公開し、重要な変更についてはメールまたは本サービス内でお知らせします。

プライバシーに関するご質問やご請求は、Zurelay LLC（help@zurelay.com）までお送りください。アカウントや本サービスに関するサポートが必要な場合は、サポートページ（zurelay.com/support）からお問い合わせください。