プライバシー

1. 当社について

Qrious Technologies Inc. は、米国デラウェア州の C コーポレーションであり、本社所在地は 251 Little Falls Drive, Wilmington, DE 19808, USA です。当社は、sparks.qrious.social でホストされるウェブサービス Sparks を運営しており、自己理解のための診断ファミリーを継続的に拡張しながら提供しています。現在のファミリーには性格診断が含まれており、その他の形式も開発中です。

プライバシーに関するお問い合わせは、次の連絡先までお願いいたします： privacy@qrious.social.

2. 本ポリシーの適用範囲

本ポリシーは、sparks.qrious.social の Sparks ウェブサイト（以下「本サービス」といいます）に適用されます。現在および今後 Sparks で公開されるすべての診断を対象とします。

本ポリシーは、所在地を問わずすべての訪問者に適用されますが、お客様の所在する法域に応じて追加の権利が適用される場合があります（下記の お客様の権利 をご参照ください）。

3. 年齢要件

Sparks は 18 歳以上 の訪問者を対象としています。本診断は未成年者向けに設計されておらず、一部の結果コンテンツは年少の方には適切でない場合があります。保護者の方で、未成年者が本サービスを利用したと思われる場合は、次の連絡先までご連絡ください： privacy@qrious.social.

4. 当社が収集する情報

お客様の診断回答

お客様の回答はブラウザ内に留まります。診断の実施中、選択内容は spark-quiz というキーで sessionStorage に保存されます。これらは当社のサーバーへ送信されることはなく、タブを閉じると自動的に消去されます。

お客様の結果

結果は、回答からお客様のブラウザ内で算出されます。当社は、結果をお客様の本人情報と紐付けて保存することはありません。お客様が共有を選択された場合、結果の圧縮表現を含む URL を生成し、その URL が共有対象となります。

匿名の利用分析

当社は PostHog を利用し、匿名のインタラクションイベント（ページ読み込み、質問への回答、結果到達、共有クリック）を記録します。これにより、どの診断が機能しているか、どの質問が混乱を招くか、どこで体験が破綻するかを把握できます。PostHog は欧州連合（eu.i.posthog.com）から稼働しています。イベントは、初回訪問時に当社が生成するランダムなセッション ID に紐付けられます。当社は、お客様の氏名、メールアドレス、または回答内容を PostHog に送信することはありません。

初回訪問時のコンテキスト

初回訪問時、当社は、お客様が辿り着いた際のマーケティング上のコンテキスト、すなわち参照元 URL、クエリ文字列内の UTM パラメータ、ブラウザの言語およびタイムゾーンを取得します。当社はこれらを PostHog のセッション記録に付与し、どのチャネルから訪問者が訪れているかを把握するために用います。これらの情報により個人を識別することはできません。

メーリングリスト（任意）

ローンチ用メーリングリストへの参加を選択された場合、当社はお客様のメールアドレスを収集し、ダブルオプトイン確認のうえ、Brevo（Sendinblue SAS、フランス）に保管します。これは、お客様が登録された更新情報のお届けのみに使用されます。お客様は、いつでもメール内から登録解除いただけます。

技術的リクエストデータ

当社のホスティングプロバイダ（AWS Amplify）および CDN（Cloudflare）は、標準的なリクエストデータ、すなわち IP アドレス、ユーザーエージェント、リクエスト URL、および IP から導かれる概略位置情報を自動的に受信します。これらは、サイトの配信、不正利用からの保護、およびセキュリティ上必要な運用ログの保持に使用されます。

5. 当社が収集しないもの

当社が意図的に収集または保存しないこととしている事項は、次のとおりです：

• お客様の氏名。 当社が氏名をお尋ねすることは一切ありません。メーリングリストはメールアドレスのみで受け付けます。
• 連絡先、カレンダー、写真。 Sparks はウェブブラウザ内で完結します。ページに入力された内容を超えて、お客様の端末にアクセスすることはありません。
• クロスサイト追跡識別子。 当社は、Meta Pixel、Google Ads タグ、TikTok Pixel、LinkedIn Insight、その他あらゆる第三者の広告トラッカーを埋め込みません。Sparks に広告 Cookie は存在しません。
• 回答と紐付けられた IP アドレス。 PostHog および Cloudflare は、運用上の理由により IP アドレスを参照しますが、当社が IP アドレスを診断回答の内容と結びつけることはありません。回答はそもそもブラウザの外に出ないためです。
• 広告目的でのセンシティブな個人情報。 当社は、広告ターゲティングを目的として、お客様の心理プロファイル、政治的見解、宗教的信念、性的指向を回答から推定することはありません。診断自体が結果を導くために推定を行うことはありますが、それが診断の本来の目的であり、結果はお客様のブラウザ内に留まります。
• 決済情報。 Sparks には現時点で有料機能はありません。本サイト上でクレジットカードを処理する仕組みは一切ありません。

6. 当社による情報の利用方法

• 本サービスの提供： ページを配信し、ブラウザ内で結果を算出し、お客様が選択された場合に共有を可能にします。
• 本サービスの改善： 集計分析を用いて、どの診断および質問が機能し、どれが再設計を要するかを把握します。
• お客様との連絡： privacy@qrious.social にいただいた質問への回答、および（オプトインされた場合）メーリングリストからのローンチ更新情報の送信を行います。
• 不正利用からの保護： 他の訪問者にとっての本サービスの可用性を脅かすボット、スクレイピング、トラフィックパターンを検出します。
• 法令遵守： 適法な法的要求に対応し、当社の規制上の義務を履行します。

7. 処理の法的根拠（GDPR）

欧州経済領域、英国、その他個人データ処理の法的根拠を求める法域からの訪問者については、当社は以下を根拠とします：

• 同意（Art. 6(1)(a)）： Cookie バナーでアナリティクスまたは機能性 Cookie をご承諾いただいた時点、および当社メーリングリストへのダブルオプトイン確認時に、お客様は同意を付与されます。
• 契約の履行（Art. 6(1)(b)）： お客様の要求された本サービスの提供に必要な処理。すなわち、ページの配信、およびお客様のブラウザ内での診断結果の描画です。
• 正当な利益（Art. 6(1)(f)）： 本サービスの不正利用および詐欺からの保護、ならびにサイトの可用性を維持するために当社のホスティングプロバイダおよび CDN が行う限定的な運用ログの記録。お客様の権利が優越しない範囲で適用されます。
• 法的義務（Art. 6(1)(c)）： 適用される法令の遵守に必要な処理。法執行機関または規制当局からの適法な法的要求への対応を含みます。

8. 利用しているサービス

当社は、お客様のデータに触れる他の主体について率直にお伝えします。以下の各プロバイダは特定の役割のみを担い、必要な情報のみを受領し、当社のデータ処理契約により、それ以外の目的でお客様のデータを利用することは禁じられています。

• PostHog：プロダクト分析。 本サービスがどのように利用されているかを把握するために、匿名化されたインタラクションイベントを記録します。トラフィックを EU 圏内に留めるため、当社の /ph プロキシ経由で eu.i.posthog.com にルーティングされます。当社は、診断回答の内容、お客様の氏名、メールアドレスを PostHog に送信しません。PostHog は、欧州の訪問者に対して EU のインフラを運用しています。
• Brevo：メーリングリストおよびトランザクションメール。 ローンチ更新情報にご登録いただいた場合、ダブルオプトイン確認のうえ、お客様のメールアドレスは Brevo のマーケティングリストに保管されます。運営者はフランスの Sendinblue SAS です。法的根拠：Art. 6(1)(a) 同意。お客様は、いつでもメール内から登録解除いただけます。
• AWS Amplify（Amazon Web Services）：ウェブサイトホスティング。 sparks.qrious.social は、AWS Amplify の ap-southeast-1 リージョン（シンガポール）でホストされています。サイト配信に必要な情報、すなわちリクエスト URL、IP アドレス、ユーザーエージェントのみを受信します。法的根拠：Art. 6(1)(f) 当社ウェブサイトの提供および保護に対する正当な利益。
• Cloudflare：コンテンツデリバリネットワーク。 当社は、静的アセットの配信、エッジルーティング、および DDoS 対策のため、ホスティングの前段で CDN として Cloudflare, Inc.（米国）を利用しています。Cloudflare はリクエスト URL、IP アドレス、標準的なリクエストヘッダを参照しますが、そもそもブラウザの外に出ない診断回答の内容にはアクセスできません。法的根拠：Art. 6(1)(f) 当社ウェブサイトの提供および保護に対する正当な利益。
• サブプロセッサの変更。 個人データを取り扱うサブプロセッサを追加、削除、または交代した場合、当社はこのリストを更新します。必要に応じて、EU および英国の訪問者には合理的な期間をもって事前に通知します。

9. データの所在

Qrious Technologies Inc. は米国に本社を置いていますが、Sparks は複数地域にまたがるインフラ上で稼働しています。ウェブサイトは、Cloudflare の背後で、シンガポール（ap-southeast-1）の AWS Amplify から配信されます。分析イベントは、欧州連合の PostHog にルーティングされます。メーリングリストは、フランスの Brevo に保管されます。

欧州経済領域、英国、およびスイスからの訪問者については、当社は、個人データの国際移転が適用されるデータ保護法令に従って実施されることを担保しています。具体的には、欧州委員会の標準契約条項（SCC）、英国の国際データ移転補遺（IDTA）、および（米国への移転については）EU-U.S. データプライバシー枠組（DPF）ならびにその英国およびスイスの拡張に基づき自己認証されたプロバイダの利用（利用可能な場合）といった適切なセーフガードを用います。必要に応じて、追加の技術的および組織的措置を講じます。

10. お客様の権利

EEA、英国、およびスイス（GDPR および UK GDPR）

お客様の所在する法域に応じて、お客様の個人データに関し以下の権利を有します：

• アクセス： 当社が保有するお客様の個人データの複写を要求できます。
• 訂正： 不正確または不完全な個人データの訂正を要求できます。
• 消去： 法令上の保存義務に従うことを条件として、個人データの削除を要求できます。
• ポータビリティ： 構造化され、一般に利用される、機械可読な形式でのデータの提供を要求できます。
• 同意の撤回： 処理が同意に基づく場合、お客様は、撤回前の処理の適法性に影響を与えることなく、いつでも同意を撤回できます。
• 処理への異議： プロファイリングを含む、正当な利益に基づく処理に対し異議を述べることができます。
• 処理の制限： 一定の状況において、当社による処理の制限を要求できます。
• 自動化された決定： お客様に対し法的効果を生じさせる、または同等に重大な影響を及ぼす、もっぱら自動化された処理（プロファイリングを含む）にのみ基づく決定の対象とならない権利（Art. 22）。本権利が Sparks にどのように適用されるかは、下記第 11 条をご参照ください。
• 苦情の申立て： お客様の所在地のデータ保護当局に苦情を申し立てることができます。英国の訪問者は、Information Commissioner's Office（ICO）（ico.org.uk）に連絡できます。

カリフォルニア（CCPA / CPRA）

カリフォルニア州の居住者である場合、カリフォルニア州消費者プライバシー法により、以下の追加の権利が認められています：

• 収集するカテゴリ： インターネット利用情報（Cookie、ページビュー、クリックイベント）、および本サービスとのインタラクションから導かれる推定情報。メーリングリストにご登録いただく場合は、メールアドレスも収集します。
• 情報源： お客様から直接、お客様のブラウザから自動的に、および第 8 条に掲げる当社のサービスプロバイダから取得します。
• 利用目的： 本サービスの運営、（オプトインされた場合の）お客様との連絡、不正利用からの保護、および法令遵守。
• 提供先： 第 8 条に掲げるサービスプロバイダのみです。当社は、クロスコンテキスト行動広告のために個人情報を販売または共有しません。
• お客様の権利： 知る権利、削除を求める権利、訂正を求める権利、販売または共有のオプトアウト権（当社は販売しません）、これらの権利を行使したことを理由とする差別的取扱いを受けない権利。
• センシティブな個人情報（Cal. Civ. Code §1798.121）： 当社の一部の診断は、回答からの推定により、心理プロファイル、政治的見解、宗教的信念、または性的指向に関する情報を示唆することがあります。当該推定はお客様のブラウザ内で算出され、お客様の本人情報と紐付けて保存されることはありません。当社に到達したセンシティブな個人情報（例えば、お客様が privacy@qrious.social に権利行使のためご連絡され、その依頼内にそのような情報を開示された場合）については、その利用を制限する権利を有します。本権利を行使するには、件名を「Limit SPI」として privacy@qrious.social までメールしてください。
• 12 か月遡及（§1798.130(a)(5)）： 上記に記載した個人情報のカテゴリは、本ポリシーの発効日に先立つ 12 か月間に、当社が事業目的で収集、利用、開示したものを反映しています。当該期間内に、クロスコンテキスト行動広告のために個人情報を販売または共有したことはありません。
• Global Privacy Control（GPC）： 当社は、お客様のブラウザからの Global Privacy Control シグナルを、カリフォルニア州司法長官のガイダンスに沿って、クロスコンテキスト行動広告のための個人情報の販売または共有をオプトアウトする有効な要求として取り扱います。当社は現在販売も共有も行っていませんが、本シグナルはお客様のセッションに対して記録されます。

これらの権利を行使するには、次の連絡先までメールしてください： privacy@qrious.social. 当社は 30 日以内に対応いたします。

11. 特別カテゴリデータおよび自動化された決定

特別カテゴリデータ（GDPR Art. 9）

Sparks 上の一部の診断（現在は性格診断、開発中のものとして政治的志向コンパス、占星術スタイルのプロファイル、アタッチメントスタイル診断）は、回答から、GDPR が第 9 条において特別カテゴリとして扱う情報、すなわち政治的見解、宗教的または哲学的信念、性的指向、または健康関連プロファイルを明らかにする可能性があります。すべての診断はお客様のブラウザ内で完結するため、当社は回答を受け取ることも、そうした推定をサーバー上で行うこともありません。結果はローカルで描画され、お客様の手元に留まります。お客様が生成された URL を通じて結果を共有することを選択された場合、当該共有はお客様の判断と行為によるものであり、当社は結果をお客様の本人情報と紐付けて保存しません。特別カテゴリデータが当社に到達することはないため、Art. 9(2)(a) に基づく同意取得の儀礼は不要です。

自動化された意思決定（GDPR Art. 22）

お客様の診断結果は、お客様が入力した回答に基づき、ブラウザ内のアルゴリズムにより算出されます。結果はお客様に表示されますが、GDPR 第 22 条にいう、お客様に法的効果を生じさせ、または同等に重大な影響を及ぼすものではありません。すなわち、当社はお客様の結果を用いて、何らかの利用を拒否し、価格を設定し、お客様に関する何らかの決定を行うことはありません。法的効果または同等に重大な影響を伴うもっぱら自動化された意思決定に該当する機能を将来導入する場合は、明示的な同意を取得し、privacy@qrious.social へのメールにより人間によるレビューを提供します。

12. データ保持

• 診断回答： 当社が保存することはありません。回答はブラウザの sessionStorage に存在し、タブを閉じると消去されます。
• メーリングリスト： 登録解除されるまで。登録解除により、Brevo のマーケティングリストからお客様のメールアドレスが 24 時間以内に削除されます。
• 分析イベント： PostHog において最長 7 年間保持され、その後自動的に削除されます。イベントは、お客様の本人情報ではなく、ランダムなセッション ID に紐付けられます。
• サーバーアクセスログ： AWS Amplify および Cloudflare により、各プロバイダの定める期間（運用ログとして通常 30〜90 日）保持されます。
• 匿名化データ： お客様を識別できない集計済み・匿名化済みデータは、分析および製品改善のため無期限に保持する場合があります。

13. データセキュリティ

当社は、お客様の個人データを不正アクセス、改ざん、開示、または破壊から保護するため、業界標準のセキュリティ対策を実施しています：

• 通信中（TLS）および保管時のデータの暗号化。
• 内部システムに対するアクセス制御および認証。
• 定期的なセキュリティ評価および監視。
• 潜在的なデータ侵害に対するインシデント対応手順。

インターネット上の通信または電子的保存の方法には、100% 安全なものはありません。当社は、絶対的な安全性を保証することはできませんが、いかなるインシデントにも速やかに対応することを約束します。

個人データ侵害について：GDPR 第 33 条に基づき監督当局への通知が義務付けられる場合、当社は不当に遅延することなく、可能な限り、侵害を認知してから 72 時間以内に通知します。侵害がお客様の権利および自由に対し高いリスクをもたらす可能性が高い場合、当社は第 34 条に基づき、影響を受ける訪問者に対しても、侵害の性質、想定される影響、講じた措置、および追加情報のための連絡先を示し、不当に遅延することなく通知します。UK GDPR、タイ PDPA、およびカリフォルニア州 Civ. Code § 1798.82 が適用される場合には、それぞれにおいて同等の通知を行います。

14. Cookie およびローカルストレージ

初回訪問時に、3 つのボタン（すべて承諾、すべて拒否、カスタマイズ）を備えた同意バナーが表示されます。お客様の選択はブラウザ内にのみ保存され、フッターの「Cookie の管理」からいつでも変更できます。

現在 sparks.qrious.social で稼働しているもの：

厳密に必要な項目（同意記録、診断状態、言語、ボット管理）は常に稼働します。機能性項目（表示およびスケールの設定）およびアナリティクス項目（PostHog）は、ご同意のある場合にのみ読み込まれます。Sparks では、第三者の広告 Cookie は稼働しません。

バナーに表示される同意カテゴリ：

• 厳密に必要： サイトの動作に必要です（同意記録、診断状態、言語、ボット保護）。無効化できません。
• 機能性： 表示設定（ビジュアルモード、回答スケールスタイル）を記憶します。既定ではオフであり、Cookie バナーからオプトインできます。
• アナリティクス（既定でオフ）： どの診断が機能し、どこで体験が破綻するかを把握するための PostHog イベント。ご同意のある場合にのみ読み込まれます。
• マーケティング： 現在マーケティング用スクリプトは稼働していません。将来追加する場合、ご同意のある場合にのみ読み込まれます。
• 広告 Cookie なし、クロスサイト追跡なし。 当社は、第三者の広告 Cookie を稼働させず、クロスサイトでの行動追跡も許可しません。これは上記の選択とは独立した方針です。

法令で求められる場合（EEA、英国）、当社は必須でない Cookie を設定する前にお客様の同意を取得し、閲覧の継続のみをもって同意とは推定しません。フッターの「Cookie の管理」リンクから、いつでも同意を撤回できます。

15. EU 代理人（GDPR Art. 27）

当社は、欧州連合の域外で設立されながら EU 域内の方々に本サービスを提供している会社として、GDPR 第 27 条に基づく代理人を指定しています。EU データ主体および監督当局は、個人データの処理に関するあらゆる事項について、当社代理人に連絡することができます。

代理人： Pablo Daniel Oba

住所： Berlin, Germany

メール： dpo@qrious.social

16. 連絡先

本プライバシーポリシーまたは当社のデータ取扱いに関するご質問、ご懸念、ご要望がある場合は、以下までご連絡ください：

プライバシーに関するお問い合わせ： privacy@qrious.social

郵送： Qrious Technologies Inc., 251 Little Falls Drive, Wilmington, DE 19808, USA

17. タイ（PDPA）

タイから本サービスにアクセスされる場合、上記の権利に加えて、個人情報保護法 B.E. 2562（2019 年）が適用されます。本ポリシーのタイ語版が利用可能です。本セクションでは、タイの訪問者に適用される権利および根拠を要約します。

• 法的根拠（Secs. 24 and 26）。 当社は、お客様の同意、契約の履行、当社の正当な利益、または PDPA で認められるその他の適法な根拠に基づき、個人データを処理します。
• お客様の権利。 アクセス、訂正、削除、処理の制限または異議、データポータビリティ、および同意の撤回を要求できます。タイ個人データ保護委員会（PDPC）に苦情を申し立てることができます。
• 越境移転（Sec. 28）。 当社は、シンガポール、フランス、米国、ドイツのプロバイダに個人データを移転します。移転は、十分性、お客様の同意、契約の履行、または PDPA 第 28 条に基づき認められる適切なセーフガードに依拠します。
• センシティブな個人データ（Sec. 26）。 診断回答から推定され得る情報（政治的見解、宗教的信念、性的指向など）は、お客様のブラウザ内で算出され、当社のサーバーには送信されません。当社は、診断結果に関連して、PDPA 第 26 条にいうセンシティブな個人データを処理しません。

プライバシー連絡先： privacy@qrious.social