プライバシーポリシー
最終更新日: 2026-06-18
FactSpot 運営者である大東 洋克（以下「当方」）は、メディア記事ファクトチェック・SEO/AI 対策スコアリングサービス「FactSpot」（以下「本サービス」）の提供にあたって、日本の個人情報保護法および EU 一般データ保護規則（GDPR）等の各国法令の趣旨を踏まえ、ユーザーの個人情報および利用情報を以下のとおり取り扱います。
1. 取得する個人情報
- メールアドレス: Google OAuth を通じて取得します。氏名・プロフィール画像は取得しません。内部識別子（user_id）はメールアドレスの SHA-256 を 32 文字に切り詰めた値で、ハッシュ前のメール本体は別途暗号化された接続で保管します。
- 利用ログ: ユーザーが入力した URL・ドメイン・HTML・アイデアメモ等のテキスト、本サービスが生成した分析結果・スコア・5 軸の問い・反証データ・リライト案・SNS 文案・要約等。
- 課金情報: 有料プラン契約者については、Stripe を経由して請求書 ID、サブスクリプション状態、決済通貨・金額・期間を保管します。クレジットカード番号・有効期限・CVC は当方サーバーに到達せず、Stripe 側のみが保持します。
- 連携時の認証情報: Chartbeat API キー、GA4 サービスアカウント JSON、Slack Webhook URL 等、ユーザーが任意で登録する外部サービスの認証情報。これらは AES-256-GCM 方式で暗号化してデータベースに保管します。
- アクセス解析情報: Google Analytics 4 による IP アドレス（匿名化済み）・ブラウザ情報・参照元・ページビュー等。
2. 利用目的
- 本サービスの提供（認証、分析処理、履歴の保存と再閲覧、共有 URL の発行）
- 有料プランの提供および請求
- 外部サービス連携機能（Chartbeat / GA4 / Slack）の実行
- 不正利用・スパム・自動化アクセスの検知と対応
- 本サービスの品質改善・機能拡張・障害調査（個人を特定しない形での集計・統計分析を含む）
- 重要なお知らせの通知
- 法令・利用規約に基づく権利行使
3. 第三者提供
当方は、以下の場合を除き、ユーザーの個人情報を第三者に提供しません。
- ユーザー本人の同意がある場合
- 法令に基づき開示が義務付けられる場合
- 後述「4. 業務委託先（ベンダーリスト）」に該当する業務委託の場合
- 事業の承継に伴い権利義務とともに個人情報が移転する場合（事前に通知します）
4. 業務委託先（ベンダーリスト）
本サービスの提供にあたり、以下のベンダーに個人情報の取扱いを業務委託しています。各社はそれぞれのプライバシーポリシーおよびデータ処理契約に従ってデータを取り扱います。
| ベンダー | 所在地 | 用途 |
|---|---|---|
| Supabase | 米国 / EU リージョン | PostgreSQL データベース（メールアドレス、利用ログ、暗号化された連携情報の保管） |
| Vercel | 米国 | アプリケーションホスティング・配信 |
| Google (OAuth) | 米国 | ログイン認証（メールアドレス取得） |
| Stripe | 米国（PCI-DSS Level 1） | 決済処理・サブスクリプション管理・Customer Portal |
| Anthropic | 米国 | Claude API による LLM 推論（記事チェック・生成） |
| Google (Gemini API) | 米国 | Gemini API による LLM 推論（記事チェック・生成） |
| Google Analytics 4 | 米国 | サイト利用統計（IP 匿名化） |
| Slack | 米国 | 月次サマリ等の Webhook 配信（ユーザーが任意設定した場合のみ） |
5. データの保管場所
- 主データベース: Supabase の米国（一部 EU）リージョン
- アプリケーションホスティング: Vercel 米国リージョン
- 決済データ: Stripe 米国データセンター
6. データ保管期間
- Free プラン: 履歴・生成物・スキャン結果は作成から 30 日で自動削除します。
- Pro / Team / Contributor プラン: ユーザーが本サービスを利用している間、永続的に保管します。ユーザーからの削除リクエストには即時対応します。
- アカウント削除リクエスト: メール受領から 30 日以内に該当ユーザーのデータベース上の個人情報・履歴を削除します。バックアップに残るデータは、バックアップローテーションに従って順次消去されます。
- 請求関連データ: 法令上の保管義務（税務関連）に従い、最大 7 年間保管することがあります。
- アクセスログ・GA4 データ: 各サービスの標準保管期間に従います（GA4 はデフォルト 14 ヶ月）。
7. Cookie・トラッキング
- 認証 Cookie: Auth.js v5 が発行するセッション Cookie（
__Secure-プレフィックス、HttpOnly、SameSite=lax、Secure）。本サービスの認証維持に必須です。 - 解析 Cookie: Google Analytics 4 の
_ga/_gid等。IP は匿名化されています。 - ブラウザ設定で Cookie を拒否することは可能ですが、認証等の主要機能が利用できなくなる場合があります。
8. 安全管理措置
- 連携情報（Chartbeat API キー、GA4 サービスアカウント JSON）は AES-256-GCM で暗号化して保管
- 外部 URL 取得時は SSRF guard（プライベート IP・IPv6・DNS 検証＋手動リダイレクト追跡）を実施
- 全パスに HSTS・
X-Content-Type-Options・X-Frame-Options・Referrer-Policyを付与 - Supabase の Row Level Security (RLS) を
deny_all既定とし、サーバー側service_role経由でのみアクセス - レート制限を Supabase に永続化して DoS・乱用を抑止
- 四半期ごとの内部監査および自動依存脆弱性スキャン
- API キー等の機密情報はサーバー環境変数として管理し、リポジトリには含めない
9. ユーザーの権利
ユーザーは、自身の個人情報について以下の権利を有します。第 13 条のお問い合わせ窓口までご連絡ください（本人確認のため、登録済みメールアドレスからのご連絡をお願いします）。
- 保有個人データの開示請求
- 訂正・追加・削除請求
- 利用停止・第三者提供停止請求
- データポータビリティ（保有データの可搬な形式での提供）
- 同意の撤回（同意を根拠としている処理について）
10. 個人情報の越境移転
上記のとおり、本サービスは米国所在のベンダーを利用しています。これらの越境移転にあたっては、各ベンダーが提供する標準契約条項（SCC）または同等の保護措置に依拠します。EEA・UK 在住のユーザーは、欧州データ保護当局への申立て権を有します。
11. 児童（13 歳未満）の保護
本サービスはビジネス利用を前提としており、13 歳未満のユーザーによる利用を想定していません。13 歳未満であることが判明したアカウントについては、当方の判断で速やかに削除します。
12. プライバシーポリシーの改定
当方は、必要に応じて本ポリシーを改定します。改定後のポリシーは、本ページに掲示した時点から効力を生じます。重要な変更については、ログイン後の画面、メール、その他適切な方法でユーザーに通知します。
13. お問い合わせ窓口
- メール: ohigashi@gmail.com
- X (旧 Twitter) DM: @h_ohigashi
- 運営者: 大東 洋克（FactSpot master admin）
14. 改定履歴
- 2026-06-18: 全面改定（有料プラン・ベンダーリスト・GDPR 配慮・暗号化方式・保管期間を明示）
- 2026-06-17: 初版
以上