プライバシーポリシー

• 事業者名：株式会社anytools
• 所在地：
• 代表者または個人情報保護管理者：代表取締役 服部 雄治朗

本ポリシーは、本サービスのWebサイト、アプリケーション、API、ドキュメント、サポート窓口等における情報の取扱いに適用されます。

• 認証情報（アカウントID、セッションID、ログイン履歴のメタ等）
• アカウント情報（メールアドレス、表示名等）
• プロジェクト/アプリ情報（名称、説明、設定、ドメイン設定等）
• お客様コンテンツ（デプロイ資材・ビルド成果物・アセット等。原則ビルド/配信のための一時的処理に限り取扱）
• サービスデータ（アカウント/プロジェクト/ログ/監査情報、請求情報、アクセス集計（Workspace Usage）等）
• 決済関連情報（StripeカスタマーID、支払状況、請求履歴）。クレジットカード番号等の機微情報はStripeが保持し、当社は保持しません。
• メール送信メタ（宛先、送信結果、バウンス情報等）。通知/レシート送信用に AWS SES を利用します。
• GitHub連携情報（インストールID、必要最小限のメタデータ。アクセストークンは短期間で失効）
• 配信・運用・課金に必要なログ（IPアドレス、User-Agent、リクエストURL、HTTPメソッド、ステータスコード、レスポンスサイズ、転送量、リクエスト時刻、プロジェクト・ドメイン識別子）
• 任意のサイト分析に関する計測情報（閲覧URL、限定的に加工した参照元情報、ページ表示、CTAクリック、外部リンククリック、コンバージョン完了イベント、JavaScriptエラー、Web Vitalsを含むパフォーマンス指標、ブラウザ・OS・端末種別、画面サイズ、計測用Cookie ID、オプトアウト設定Cookie、特定の個人を直接識別しない訪問識別子）
• 当社が運営するWebサイト上のフォーム送信情報（入力された項目名・入力内容、送信日時、送信元IPアドレス、User-Agent、限定的に加工したリファラー、通知先メールアドレス、送信結果等）
• お客様が公開サイト上でフォーム機能を利用する場合のフォーム送信情報（フォームの項目名・入力内容、送信日時、送信元IPアドレス、User-Agent、限定的に加工した参照元情報、スパム・不正送信対策に必要なメタデータ、通知先メールアドレス、送信結果等）。サイトに埋め込むフォーム（Static Forms）では、送信元IPアドレスとUser-Agentは処理に用いますが保存先には残さず、不正送信対策のため、送信元IPアドレスの範囲を復元できない形に加工した値を1日だけ保持します。ボット対策は送信前にブラウザの中で行う計算の確認で、外部のボット判定サービスへ情報を送りません。お客様がスパムの判定（順次提供の予定の機能）を有効にした設置では、スパムの判定のため、入力内容（40文字以上の項目の値とURLのホスト名）そのものは残さず、鍵付きの変換をした値（仮名のデータ）を保持します。
• 招待・共有のための連絡先（メールアドレス等）

• ビルド/デプロイ/配信の提供・保守（障害対応、性能分析、キャッシュ最適化等）
• セキュリティ対策（不正アクセス検知・ブロック、監査ログの保持、脆弱性調査等）
• サポート（本人確認、障害調査時の限定的アクセスと記録）
• 課金・請求（Stripeによる決済処理、従量課金の算出・報告、受領書の送付）
• トランザクション通知・各種お知らせの送信（AWS SES によるメール送信）
• 新機能・キャンペーンなどのお知らせメールの送信（受け取ることを選んだ方だけ。アカウント設定またはメール内のリンクから、いつでも停止できます）
• 200stackの計測機能の提供、公開サイトの利用状況の可視化、サイト改善、障害解析、パフォーマンス改善、セキュリティ対策、従量課金算定
• 当社が運営するWebサイト上のフォームに関する問い合わせ対応、本人確認、連絡、サービス改善
• お客様が公開サイト上で利用するフォームの受付、通知の配送までの一時的な保管、通知・自動返信の送信、スパム・不正送信対策、障害調査、送信件数に基づく課金算定その他サービス提供（お客様からの委託に基づく取扱いを含みます。「5. 第三者提供・委託」を参照）
• 法令対応（会計・税務、当局照会対応 等）

本サービスは、契約の履行、正当な利益、法令遵守、（必要に応じ）同意を根拠として個人データを取り扱います。

GDPR対象者向けには、目的ごとの法的根拠（例：サービス提供=Art.6(1)(b)、セキュリティ=Art.6(1)(f)、法令=Art.6(1)(c) 等）の対応表を提供します。

当社は、提供に必要な範囲でサブプロセッサー（クラウド、CDN、メール、監視等）を利用します。適切な契約・安全管理措置を講じ、一覧と変更履歴を以下で公開します。

公開ページ：/legal/subprocessors

• クラウドインフラ（例: Google Cloud（Cloud Run等））
• ストレージ/CDN/エッジ（例: Cloudflare Workers・D1・R2・KV・Queues 等の処理・保存・配信、従来のフォーム機能での Turnstile による不正送信対策）
• 決済処理（Stripe）
• メール送信（AWS Simple Email Service: SES）
• サポート/監視ツール
• GitHub連携（GitHub Appによるアクセストークンの発行・API利用）
• ドメイン接続（Vercel。apex ドメインへのアクセスを www 付きのアドレスへ転送）

お客様が公開サイト上でフォーム機能を利用する場合、当社は、フォームの送信者の情報を、お客様（サイト運営者）からの委託を受けて、お客様の指示の範囲で取り扱います（受付、通知の配送までの一時的な保管、通知・自動返信の送信、不正送信対策）。お客様の指示の範囲を超えて利用しません。サイトに埋め込むフォーム（Static Forms）では、送信内容を、通知の配送が終わるか受付から24時間を過ぎた後に、定期処理で削除します。お客様がスパムの判定（順次提供の予定の機能）を有効にした設置では、入力内容そのものは残さず、鍵付きの変換をした値（仮名のデータ）を用いてスパムの疑いを判定します。判定は外部の判定サービスを使わずに当社の中で行い、判定の材料はそのお客様（ワークスペース）の判定にだけ用い、他のお客様の判定や当社の学習には用いません。お客様が配送の保留を選んだ場合、疑いの強い送信は通知を送らずに保留します。お客様の管理者が管理画面で確認したものは、配送するかスパムとするかを管理者が決めます。保留した送信の削除の期限は他の送信内容と同じで、配送の操作を受け付けるのは受付から23時間30分までで、それまでに配送の手続きに入らなかったもの（配送の操作の後の順番待ちを含みます）は、通知されずに自動で削除されます。配送の操作をしたものでも、送信者への自動返信は送りません。送信件数は、個人を識別しない件数として課金の算定に用います。送信者の方からのお問い合わせや請求は、原則としてフォームを設置したサイト運営者が対応し、当社はその対応を支援します。

国外のサーバやサービス（Stripe, Cloudflare, GitHub, Amazon Web Services, Google Cloud, Vercel, Google アナリティクス, X Corp. 等）を利用する場合があります。その際、適用法に基づく適切な移転保護措置（例：標準契約条項（SCC）、EU-US Data Privacy Framework への準拠、契約上の安全管理措置）を講じます。

主な受領国/地域：米国（Stripe, Cloudflare, GitHub, AWS, Vercel, Google アナリティクス, X Corp.）、日本/シンガポール/米国（Google Cloud）。措置の詳細は必要に応じて更新し、本ページまたは関連ドキュメントで公表します。

アカウント/請求：契約期間＋法定保持期間。運用/セキュリティログ：原則30日。監査ログ：期限を定めず保持（退会されたときは、個人のワークスペースの記録をあわせて削除。保存期間を定めたら、データ保存期間ページで公表します）。サイトに埋め込むフォーム（Static Forms）の送信内容：通知の配送が終わるか受付から24時間を過ぎると削除の対象とし、定期処理で削除。同フォームの受付記録（送信内容を含まない）：90日を目安に削除。スパムの判定（順次提供の予定）を有効にした設置では、次のとおり削除します。判定のための値（送信内容そのものは残さず、鍵付きの変換をした値。仮名のデータ）：7日。そのうちお客様が「スパム」または「スパムでない」として今後の判定に使うことにしたもの：最後の確定から30日。判定の結果（送信内容を含まない）：受付記録と同じく90日を目安。お客様の評価の記録（送信内容を含まない）：回答から90日。いずれも、30日のバックアップに残る分を除きます。同フォームの通知先メールアドレス：原則として、設置を止める処理が完了してから30日で削除（送信の受付側に置く設定、デプロイごとの設定の写しなどの扱いはデータ保存期間ページで公表します）。計測イベントの生データ、計測用識別子、集計済みWorkspace Usageの保存期間はデータ保存期間ページで公表します。例外時は法的義務等に基づき延長する場合があります。

詳細な保持表は：/legal/retention を参照してください。

アクセス制御、暗号化（転送時/保存時）、最小権限、鍵管理、監査、サプライヤー管理、脆弱性対応等を実施します。

漏えい等が発生した場合、法令に基づき所管官庁・監督機関への報告や本人通知（要否判断を含む）を適切に行います。

必須Cookie（セッション/CSRF等）に加え、Stripe Checkout・Customer Portal、Cloudflare（CDN/Analytics）、GitHub App連携、200stack など本サービス提供に必要なタグ/SDKを使用する場合があります。

本サイト（www.200stack.com）と管理画面（dashboard.200stack.com）では、利用状況の把握と改善のため Google アナリティクス（Google LLC）を使用しています。Google には、閲覧したページの URL、ページ表示やクリック等のイベント、ブラウザ・端末の種類、Cookie 等に保存される識別子、IP アドレスが送られます。管理画面での一部の操作（アプリの作成、デプロイの開始、招待など）は、操作した方の計測設定が許可のときだけ、当社のサーバーからプロジェクト・アプリ等の識別子とともに送ります。本サイト下部の「計測設定」で停止を選ぶと、このブラウザでは本サイトと管理画面の両方で、当社のサーバーからの送信を含めて止めます。開いたままの別のタブには、そのタブに戻ったときに反映します。お客様の公開サイトに、200stack が Google アナリティクスを埋め込むことはありません。EEA・英国・スイスからの訪問と判定した場合は、画面下のバナーで「同意する」を選ぶまで Google アナリティクスを使いません（当社のサーバーからの送信を含みます）。判定には、本サイトではブラウザのタイムゾーンと Cloudflare が示す接続元の国を用い、接続元の国を確かめられないときも「同意する」を選ぶまで使いません。管理画面ではブラウザのタイムゾーンと、本サイトで判定した結果（ブラウザに 1 日保存します）を用います。それ以外の地域からの訪問では、停止を選ぶまで使用します。ただし、本サイトを経ずにログイン前の管理画面を初めて開いた場合は、バナーで選ぶまで使いません。

本サイト（www.200stack.com）では、X（旧 Twitter）の広告の効果測定のため、X Corp. のピクセル（X のコンバージョントラッキング）を使用しています。X には、閲覧したページの URL、参照元、ページ表示と登録ボタンを押したこと等のイベント、ブラウザ・端末の種類、Cookie 等に保存される識別子、IP アドレスが送られます。X にログインしているブラウザでは、X のアカウントと結び付けられる場合があります。X のピクセルは、本サイト下部の「計測設定」で停止を選ぶまで読み込みます。ただし、EEA・英国・スイスからの訪問と判定した場合と、接続元の国を確かめられない場合は、画面下のバナーで「同意する」を選ぶまで読み込みません（読み込んだ後に判定が変わった場合は、ページを読み直して止めます）。停止を選ぶと、ピクセルを読み込んだページは読み直して止め、以後このブラウザでは本サイトで X のピクセルを読み込みません。別のタブで停止した場合は、そのタブに戻ったときに読み直します。管理画面とお客様の公開サイトに、200stack が X のピクセルを埋め込むことはありません。

200stackの計測は、配信・セキュリティ・障害解析・従量課金算定に必要な運用計測と、ページ表示、クリック、コンバージョン、エラー、パフォーマンス指標を把握する任意のサイト分析に分けて取り扱います。

• 運用・課金計測：リクエスト数、ステータスコード、転送量、配信時刻、IPアドレス、User-Agent、リクエストURL、HTTPメソッド、プロジェクト・ドメイン識別子を、サービス提供、セキュリティ対策、障害解析、従量課金算定のために利用します。サービス提供上必要な範囲で取得するため、原則として個別に停止できません。
• 任意のサイト分析：閲覧URL、限定的に加工した参照元情報、ページ表示、CTAクリック、外部リンククリック、コンバージョン完了イベント、JavaScriptエラー、Web Vitalsを含むパフォーマンス指標、ブラウザ・OS・端末種別、計測用Cookie ID、オプトアウト設定Cookie、特定の個人を直接識別しない訪問識別子を、利用状況の可視化、サイト改善、障害解析、パフォーマンス改善のために利用します。

当社は、200stackの標準計測情報を、行動ターゲティング広告、個人データの第三者への販売、または複数の独立したサイトを横断した個人単位の広告プロファイリングのためには利用しません。

当社は、計測情報の取得にあたり、URLのクエリ文字列やハッシュ、リファラー、エラーメッセージ、stack trace等に含まれるトークン、認証情報、メールアドレスその他不要な情報が取得・保存されないよう、削除、マスキング、集計化等の措置を講じる場合があります。

本サイト（www.200stack.com）における任意のサイト分析は、本サイト下部の「計測設定」から、このブラウザで停止・再開できます。お客様の公開サイトにおける任意のサイト分析は、当該公開サイトと同一ドメイン上の /.well-known/200stack-privacy またはサイト運営者が案内するページから停止・再開できます。ただし、配信、セキュリティ、請求、障害解析に必要なログおよび集計は、サービス提供上必要な範囲で取得・利用されます。

お客様が200stackの計測機能またはフォーム機能を自らの公開サイトで利用する場合、お客様は、当該公開サイトの利用者に対し、送信される情報、送信先、利用目的、停止方法、フォームの取得項目、第三者提供または委託の有無、保存期間その他必要な事項を、自らのプライバシーポリシー、Cookieポリシーまたは外部送信ポリシー等で公表するものとします。

当社は、本ポリシーおよび外部送信ポリシーにおいて、送信される情報、送信先、利用目的、管理方法を公表しています。適用される法令、対象地域、サイトの利用目的、外部タグの利用状況により、別途同意管理が必要となる場合があります。EEA、UKその他同意管理が求められやすい地域を積極的に対象とする場合、または広告タグ、リターゲティング、外部DMP、CRM連携を利用する場合は、事前同意を取得した後に限り計測を有効化する設定が必要となる場合があります。

電気通信事業法の外部送信規律に基づく公表：/legal/external-transmission

Cookie、localStorage等の保存をブラウザ設定や拡張機能で制限することにより、任意計測の一部または全部を停止できます。その場合、本サービスの一部機能や計測結果が正常に動作しないことがあります。

当社は、個人データの第三者への販売（いわゆる「販売」）は行っていません。

また、当社が行動ターゲティング広告を目的としたプロファイリングを行うことはありません。ただし、本サイトの X のピクセルにより X Corp. に送られた情報は、同社のプライバシーポリシーに基づき、同社の広告の表示や最適化に使われる場合があります。X での広告の表示は、X のプライバシー設定（パーソナライズ広告）で管理できます。

本ポリシーや個人情報の取扱いに関するご質問は、contact@anytools.app までご連絡ください。

重要な変更は原則として発効日の14日前までに通知・周知します（緊急対応等の例外を除く）。

日本の個人情報保護法に基づき、利用目的の通知、開示、訂正・追加・削除、利用停止・消去、第三者提供の停止等を求めることができます。contact@anytools.app までご連絡いただく際は、ご本人または代理人であることを確認できる情報をご提示ください。法令に定める場合を除き、速やかに対応します。

EEA/UK のデータ主体は、GDPRに基づきアクセス権、訂正権、消去権、処理制限、異議申立て、データポータビリティの権利を有します。これらの権利行使は同じ窓口で受け付けます。対応に不満がある場合は、居住国・勤務先・疑義発生地の監督機関に苦情を申し立てることができます。

カリフォルニア州消費者プライバシー法（CPRA）その他の域外法が適用される場合は、同等の権利を保障し、必要に応じて「Do Not Sell or Share」等の仕組みを提供します。