プライバシーポリシー

Lovai（以下「当サービス」といいます）は、ユーザーの個人情報の保護を重要視し、 一般データ保護規則（GDPR）、カリフォルニア州消費者プライバシー法（CCPA）、日本の個人情報保護法（APPI）、 およびその他の適用されるプライバシー法を遵守して、以下のとおりプライバシーポリシーを定めます。 本ポリシーでは、情報の収集、利用、共有、保護について説明します。

1. 収集する情報

当サービスは、以下の情報を収集することがあります。

1.1 アカウント情報

• メールアドレス
• ユーザー名（ハンドル名）
• 表示名
• プロフィール画像
• 自己紹介文

1.2 利用・マーケットプレイス情報

• 投稿・コメント内容
• 公開したリポジトリ購読対象のメタデータ（タイトル、説明、プレビュー、ライセンス種別、月額価格、タグ）
• リポジトリ購読対象で提供されるリポジトリコンテンツ（承認済みsnapshotの内容。MCPアクセス提供のために扱いますが、AIトレーニングには使用しません。利用規約第12条をご参照ください）
• いいね、ブックマーク、フォロー履歴、レビュー・評価
• 購読履歴およびレビューデータ
• ダイレクトメッセージの内容

1.3 技術情報

• IPアドレス
• ブラウザの種類とバージョン
• デバイス情報
• アクセスログ
• Cookie情報

1.4 決済情報

リポジトリ購読および提供者への按分に関連する決済情報は、Stripe Connectを通じて決済代行サービス（Stripe, Inc.）が管理します。 当サービスは、クレジットカード番号等の機密性の高い決済情報を直接保存しません。提供者については、Lovaiは連携Stripeアカウントの識別子（stripe_account_id）、入金ステータス、関連メタデータのみを保持します。KYC情報や入金の基礎データはStripe社が自己のプライバシー規程のもとで保持します。

1.5 GitHub App連携（提供者のみ）

提供者が当社のGitHub Appを通じてリポジトリ購読対象にGitHubリポジトリを連携した場合、Lovaiは同期、検証、説明に必要な以下のメタデータのみを読み取ります。

• SPEC.md、AGENTS.md、README.md等のドキュメントファイルの有無およびサイズ
• リポジトリサイズおよびファイルツリー構造（同期、検証、価格提案のヒントとして利用）
• バージョン識別に必要なコミット・リリースメタデータ

Lovaiは、承認済みsnapshotを生成、検証し、read-only MCPで提供するために厳密に必要な範囲を超えて、リポジトリの全体を複製・保存することはありません。また、提供者が明示的に連携していないプライベートリポジトリを読み取ることもありません。提供者はGitHubの設定から随時GitHub Appの認可を取り消すことができ、Lovaiは次回の同期以降リポジトリの読み取りを停止します。

1.6 MCPアクセスと一時的な配信メタデータ

購読者が購読を開始すると、Lovaiは購読スコープ付きのMCPアクセスレコードを作成し、承認済みsnapshotを提供するために必要な一時的な配信メタデータを処理することがあります。アクセスキーは購読中のリポジトリに限定され、失効またはローテーションできます。snapshot id、ファイルパス、サイズ、ハッシュ、アクセス状態、失効時刻などの運用メタデータは、セキュリティ、サポート、紛争対応のために保持されます。

2. 情報の利用目的

収集した情報は、以下の目的で利用します。

• アカウントの作成と管理
• サービスの提供と運営
• ユーザーサポートの提供
• サービスの改善と新機能の開発
• 利用状況の分析
• 不正行為の検知と防止
• 法令に基づく対応
• 重要なお知らせの送信

3. 処理の法的根拠（GDPR）

以下の法的根拠に基づいて個人データを処理します：

4. 情報の共有と開示

当サービスは、個人情報を販売しません。以下の場合のみデータを共有します：

• ユーザーの同意がある場合
• 法令または有効な法的手続きに基づく場合
• 人の生命、身体または財産の保護のために必要な場合
• 当社に代わってデータを処理するサービスプロバイダー（データ処理契約に基づく）
• 合併、買収、または事業譲渡に関連する場合（ユーザーへの通知付き）

4.1 利用する外部サービス

当サービスは、以下の外部サービスを利用しています。

各サービスのプライバシーポリシーは、それぞれのウェブサイトでご確認ください。

5. データ保持期間

以下の期間データを保持します：

6. Cookieの使用

当サービスは、以下の目的でCookieを使用します。

• ログイン状態の維持
• ユーザー設定の保存（ダークモード等）
• サービスの利用状況の分析

ブラウザの設定でCookieを無効にすることができますが、 一部の機能が正常に動作しなくなる可能性があります。

7. 情報の保護

当サービスは、収集した情報を適切に保護するため、以下の対策を講じています。

• SSL/TLSによる通信の暗号化
• データベースへのアクセス制限
• 行レベルセキュリティ（RLS）によるデータアクセス制御
• 定期的なセキュリティ監査

8. プライバシーに関する権利

お住まいの地域により、以下の権利の一部または全部を有する場合があります：

• アクセス権：個人データのコピーを請求する権利
• 訂正権：不正確または不完全なデータを訂正する権利
• 削除権（「忘れられる権利」）：データの削除を請求する権利
• 処理制限権：データの使用方法を制限する権利
• データポータビリティ権：機械可読形式でデータを受け取る権利
• 異議申立権：AIトレーニングを含む正当な利益に基づく処理に異議を申し立てる権利
• 同意撤回権：同意に基づく処理についていつでも同意を撤回する権利

これらの権利を行使する場合は、support@lovai.appまでご連絡ください。30日以内（または適用法で定められた期間内）に回答いたします。 個人データの直接ダウンロードはデータエクスポートページ、 著作権侵害の報告はDMCA 通知ページからも行えます。

9. EU/EEA/UK居住者の権利（GDPR）

欧州連合、欧州経済領域、または英国にお住まいの場合、以下の追加の権利があります：

• 苦情申立権：お住まいの地域のデータ保護機関（DPA）に苦情を申し立てることができます。
• 自動化された意思決定：法的効果を生じる完全に自動化された意思決定は行いません。
• データ保護責任者：DPOへの連絡はprivacy@lovai.appまで。

国際的なデータ移転

お客様のデータはEU/EEA外に転送される場合があります。以下により適切な保護を確保しています：

• 欧州委員会承認の標準契約条項（SCC）
• 十分性認定を受けた国への転送
• 該当する場合は拘束的企業準則

10. カリフォルニア州居住者の権利（CCPA/CPRA）

カリフォルニア州にお住まいの場合、CCPAおよびCPRAに基づき以下の権利があります：

• 知る権利：収集した個人情報のカテゴリーおよび具体的な情報についての情報を請求
• 削除権：個人情報の削除を請求
• 訂正権：不正確な個人情報の訂正を請求
• 販売/共有のオプトアウト権：当サービスは個人情報を販売したり、クロスコンテキスト行動広告のために共有したりしません
• 機密個人情報の制限権：機密個人情報の使用と開示を制限
• 差別を受けない権利：プライバシー権を行使しても差別的な扱いを受けません

過去12ヶ月間に収集した情報のカテゴリー：

• 識別子（メール、ユーザー名、IPアドレス）
• 商業情報（購読履歴）
• インターネット活動（閲覧履歴、操作）
• 推論（利用状況から導き出された嗜好）

リクエストはprivacy@lovai.appにメールするか、フッターの「個人情報を販売しないでください」リンクからお送りください。

11. 米国その他の州居住者の権利

バージニア州（VCDPA）、コロラド州（CPA）、コネチカット州（CTDPA）、ユタ州（UCPA）、およびプライバシー法を持つその他の州の居住者は、以下を含む同様の権利を有します：

• 個人データへのアクセス、訂正、削除の権利
• データポータビリティの権利
• ターゲット広告および個人データの販売からのオプトアウト権
• リクエストに関する当社の決定に対する異議申立権

これらの権利を行使するにはprivacy@lovai.appまでご連絡ください。

12. アカウント削除時の取り扱い

アカウントを削除した場合、以下のとおり情報を取り扱います：

• プロフィール情報：30日以内に削除
• リポジトリ購読対象と承認済みsnapshot：取り下げ・削除（購読履歴のあるリポジトリ購読対象は、購読者のアクセス継続と紛争解決のため、最小限の記録（タイトル、月額価格、ライセンス種別）を保持することがあります）
• 購読履歴・評価：法令・税務対応および提供者・購読者間の紛争解決のため、アカウント削除後も7年間保持
• Stripeデータ：Lovai側の stripe_account_id との紐付けを削除。Stripe社は自社規程に基づき基礎データを保持します
• ログデータ：90日後に削除
• バックアップ：90日以内にバックアップから削除

13. 未成年者のプライバシー

当サービスは、18歳未満の方の利用を想定していません。 16歳未満（米国では13歳未満）の子どもから故意に個人情報を収集することはありません。 そのような情報を収集したことが判明した場合、速やかに削除します。 お子様が個人情報を提供したと考える保護者の方は、直ちにご連絡ください。

14. 国際的なデータ転送

お客様のデータは、居住国以外の国に転送され、処理される場合があります。 以下を含む適切な保護措置を講じています：

• EU/EEA転送のための標準契約条項
• すべての処理業者とのデータ処理契約
• 技術的および組織的セキュリティ対策

主なデータ所在地：

• データベース：AWS（東京、日本/米国リージョン）
• 認証：Supabase（AWSインフラ）
• 決済：Stripe（グローバルコンプライアンス対応の米国）
• ホスティング：Vercel（グローバルCDN）

15. プライバシーポリシーの変更

当社の慣行または法的要件の変更を反映するため、本ポリシーを更新することがあります。 重要な変更については、発効の少なくとも30日前に以下の方法でお知らせします：

• メール通知（重要な変更の場合）
• アプリ内通知
• 上部の「最終更新日」の更新

発効日以降の継続利用は、更新されたポリシーへの同意とみなされます。

16. お問い合わせ

本ポリシーに関するお問い合わせまたはプライバシー権の行使については：

以上