プライバシーポリシー / Privacy Policy

第1条（取得する情報） / Article 1 (Information We Collect)

当社は、本サービスの提供に必要な範囲で、以下の情報を取得します。データ最小化の原則（GDPR Art. 5(1)(c)）に従い、目的達成に必要な情報のみを収集し、不要な情報は取得しません。

1.1 ユーザーが直接提供する情報:

• 登録情報: メールアドレス（必須）、表示名（任意）、ロケール / タイムゾーン（任意）、研究参加同意状況（第 11 条参照）
• 認証情報: パスワード（bcrypt ハッシュで保管、平文では一切保持しない）、Google / GitHub OAuth 連携情報（OAuth プロバイダーから提供される ID / メール / プロフィール画像 URL）
• API キー: 第三者 AI サービス（OpenAI、Anthropic、Google、Mistral 等）の API キー（AES-256-GCM 認証付き暗号化で保管）
• 課金情報: Stripe を通じた決済処理に必要な情報（カード番号は当社では保持せず、Stripe にて直接処理されます）
• コンテンツ: ユーザーが本サービスを通じて生成・アップロード・保存するチャット履歴、ファイル、フォルダー、メモ、議事録等
• サポート問合せ: support@synquorum.com 宛の連絡内容
• バグ報告: in-app フォームで送信される報告内容、添付スクリーンショット、IP アドレス、ユーザーエージェント

1.2 自動的に取得される情報:

• アクセスログ: IP アドレス、ユーザーエージェント、リファラ、リクエスト時刻、HTTP ステータスコード（Vercel ログとして 90 日間自動保管後削除）
• セッション情報: Supabase Auth が発行するセッショントークン（HttpOnly Cookie）
• 使用統計: ポイント消費量、API リクエスト数、エラー発生数（個別の入力内容は含まない）
• 規約同意の電子記録: 同意時刻、規約バージョン、IP、ユーザーエージェント、スクロール完了確認（terms_consent_log テーブル）
• Cookie: 認証 Cookie（必須）、ロケール Cookie（必須）、その他第 8 条参照

1.3 第三者から取得する情報:

• OAuth 認証情報: Google / GitHub から OAuth 連携時に提供される基本プロフィール（ID、メール、表示名）
• 決済処理結果: Stripe からの支払い成功 / 失敗、サブスクリプション状態の Webhook 通知

1.4 当社が取得しない情報:

• クレジットカード番号、CVV、銀行口座情報（全て Stripe 側で処理）
• 位置情報（GPS）、デバイスの連絡先・写真ライブラリ・マイク・カメラへのアクセス（明示的な許可なく）
• ユーザーが第三者 AI サービスから受信した出力の内容（ユーザーが意図的にチャット履歴として保存した場合を除く）

The Company collects only information necessary for service provision (data minimization principle, GDPR Art. 5(1)(c)). Directly provided: email (required), display name, locale/timezone (optional), research participation consent, authentication credentials (passwords as bcrypt hashes; OAuth IDs from Google/GitHub), API keys (AES-256-GCM encrypted), billing information (Stripe processes cards directly), Content (chats, files, folders, notes, minutes), support inquiries, bug reports. Automatically collected: access logs (IP, user agent, request times — Vercel retains 90 days), session tokens (HttpOnly), usage statistics (points, request counts — no input content), Terms consent records, Cookies. From third parties: OAuth profile basics (Google/GitHub), payment status from Stripe webhooks. NOT collected: card numbers/CVV/bank info (Stripe handles), GPS/contacts/photos/mic/camera (without explicit permission), AI output content (unless saved as chat history).

根拠法令 / Legal basis: GDPR Art. 5(1)(c) (データ最小化), Art. 6 (処理の適法性), 個人情報保護法 第 17 条 (取得時の利用目的明示), CCPA Cal. Civ. Code § 1798.100(a).

第2条（利用目的） / Article 2 (Purposes of Use)

取得した情報は、以下の目的にのみ使用します。目的制限の原則（GDPR Art. 5(1)(b)）に従い、当初の収集目的と両立しない用途には使用しません。

• サービス提供: アカウント管理、認証、機能提供、AI プロバイダーへのリクエスト中継、コンテンツの保管・表示
• 課金処理: Stripe を通じた料金徴収、領収書発行、税務処理
• サービス改善: 匿名化された使用統計に基づく機能改善、バグ修正、性能改善（個人を識別する形での分析は行わない）
• セキュリティ: 不正アクセス検知、悪用防止、システム監視（Sentry によるエラー追跡）
• ユーザーサポート: 問い合わせ対応、技術的支援、バグ報告のレビューおよびクレジット付与
• 法令遵守: 法的義務の履行、捜査機関等からの正式な要請への対応、紛争解決
• 通知: 規約・ポリシー変更、サービス終了・変更、メンテナンス、料金変更、セキュリティ事案、課金関連の通知
• 研究開発（オプトイン時のみ）: 第 11 条「研究参加プログラム」に明示的にオプトインしたユーザーのコンテンツのみ、当社が開発する次世代 AI アシスタントの学習・評価に使用

当初の目的を超える利用について: 上記以外の目的で個人データを使用する必要が生じた場合、当社は事前にユーザーに通知し、必要に応じて改めて同意を取得します（GDPR Art. 6(4)）。

Information is used only for: service provision (account management, authentication, feature delivery, AI provider request relay, Content storage/display), billing (via Stripe), service improvement (anonymized usage statistics; no individual identification), security (intrusion detection, abuse prevention, Sentry error tracking), user support, legal compliance, notifications, and research (opt-in only, see Article 11). New purposes incompatible with the original collection purpose require prior notice and renewed consent (GDPR Art. 6(4)).

根拠法令 / Legal basis: GDPR Art. 5(1)(b) (目的制限), Art. 6(4) (両立性テスト), 個人情報保護法 第 18 条 (利用目的の変更), CCPA § 1798.100(b).

第3条（第三者提供・サブプロセッサー） / Article 3 (Third-Party Disclosure and Subprocessors)

当社は、ユーザーの個人データを以下の場合を除き、第三者に提供しません:

3.1 サブプロセッサー（業務委託先）: 本サービスの提供に必要な機能を以下のサブプロセッサーに委託しています。各サブプロセッサーとは、GDPR 第 28 条に基づくデータ処理契約（DPA: Data Processing Addendum）を締結しています。

3.2 BYOK 経由の第三者 AI サービス: ユーザーが BYOK モデルにより接続した第三者 AI サービス（OpenAI、Anthropic、Google、Mistral 等）には、ユーザーのコンテンツがリクエストとして送信されます。これは「第三者提供」ではなく、ユーザー自身の指示による直接的なリクエスト中継です。各 AI サービスのプライバシーポリシーは、各社のものが適用されます。

3.3 法令に基づく開示: 以下の場合、当社は適用される法令に従い、必要最小限の範囲で個人データを開示することがあります:

• 裁判所、捜査機関、その他の権限ある公的機関からの正式な要請
• 法的義務の履行（税法上の帳簿保存義務等）
• ユーザーまたは第三者の生命、身体、財産の保護
• 会社の合併・買収・組織再編時の事業承継

これらの開示が法的に許される場合、当社はユーザーに通知するよう努めます（ただし、捜査妨害となる場合等の例外があります）。

3.4 同意に基づく提供: 上記以外の第三者提供は、ユーザーの明示的な同意を得たうえでのみ行います。

The Company does not disclose personal data to third parties except as follows. 3.1 Subprocessors: Stripe (payments), Vercel (hosting), Supabase (database/auth/storage), Sentry (error monitoring), Inngest (background jobs), Cloudflare (DNS/CDN/email/DDoS). All have GDPR Article 28 DPAs in place. Primary data location: United States; EU users protected via Standard Contractual Clauses. 3.2 BYOK third-party AI services: User Content is relayed to OpenAI/Anthropic/Google/Mistral etc. per the User's BYOK setup; this is User-directed request relay, not third-party disclosure by the Company. Each AI service's own privacy policy applies. 3.3 Legal disclosure: minimum necessary, in response to formal court/government requests, legal obligations, protection of life/safety/property, or M&A. Notification to User where legally permissible. 3.4 Consent-based: All other disclosures require explicit user consent.

根拠法令 / Legal basis: GDPR Art. 28 (processor obligations), Art. 6(1)(c) (legal obligation), 個人情報保護法 第 27 条 (第三者提供の制限), CCPA § 1798.115 (right to know).

第4条（国際データ移転） / Article 4 (International Data Transfers)

本サービスのデータは主に米国のデータセンターで処理・保管されます。EU/EEA/UK のユーザーから米国への個人データ移転については、以下の保護措置を講じています:

• Standard Contractual Clauses (SCC): 各サブプロセッサーは EU 委員会承認の SCC（Decision (EU) 2021/914）を締結しており、移転先での GDPR 同等の保護を契約により保証しています。
• EU-US Data Privacy Framework: Stripe、Sentry 等の主要サブプロセッサーは EU-US DPF（2023 年発効）に参加しており、米国側で追加の保護を提供しています。
• Transfer Impact Assessment: 米国の法的環境（FISA 702 / Executive Order 12333 等）を踏まえた移転影響評価を実施し、追加の技術的・組織的措置（暗号化、アクセス制限等）を講じています。

その他の地域からの移転: アジア・太平洋・南米・アフリカ等のユーザーデータも米国データセンターで処理されます。各国データ保護法（PIPL / LGPD / PIPA / DPDP Act / POPIA / PDPA 等）の要請に従い、必要な保護措置を講じています。

中国本土: 第 2 条（適用範囲）により、中国本土からのアクセスは提供対象外であり、データ移転は発生しません。

Data is primarily processed and stored in United States data centers. Transfers from EU/EEA/UK to the US are protected by: Standard Contractual Clauses (Decision (EU) 2021/914) with each subprocessor; EU-US Data Privacy Framework (2023, applicable to Stripe, Sentry, etc.); and Transfer Impact Assessments accounting for US legal environment (FISA 702, EO 12333) with additional technical/organizational measures (encryption, access controls). Users from other regions (APAC, LATAM, Africa) are also handled in US data centers with applicable safeguards (PIPL, LGPD, PIPA, DPDP Act, POPIA, PDPA). Mainland China is excluded per Article 2 of the Terms; no data transfer occurs.

根拠法令 / Legal basis: GDPR Art. 44-50 (Chapter V transfers), EU Commission Decision (EU) 2021/914 (SCC), EU-US Data Privacy Framework (2023), Schrems II (CJEU C-311/18), 個人情報保護法 第 28 条 (外国にある第三者への提供).

第5条（保管期間） / Article 5 (Retention Period)

個人データの保管期間は以下の通りです。保管制限の原則（GDPR Art. 5(1)(e)）に従い、目的達成に必要な期間のみ保管します。

削除要求時の処理: ユーザーがアカウント削除を要求した場合、当社は 30 日以内にユーザーデータを物理的に削除します（バックアップからの削除はローリング期間に依存し、最大 30 日後に完全消滅）。一部の法的義務（税法、規約同意の証跡保管等）により、最小限の情報のみ保持される場合があります。

Per the storage limitation principle (GDPR Art. 5(1)(e)), retention is limited to necessary periods. Account info and Content: while account is active, physically deleted within 30 days of deletion request. Access logs (Vercel): 90 days. Error logs (Sentry): 90 days. Billing records: 7 years (tax law, e.g., Japanese Corporate Tax Act, U.S. IRS). Audit logs: 1-3 years (SOC 2). Terms consent records: permanent (anonymized on account deletion to preserve legal trail). Bug report/credit history: while account active; anonymized on deletion. Backups: max 30 days rolling.

根拠法令 / Legal basis: GDPR Art. 5(1)(e) (storage limitation), Art. 17 (right to erasure), 法人税法 第 126 条 (帳簿書類の保存), 個人情報保護法 第 19 条 (正確性の確保等).

第6条（セキュリティ対策） / Article 6 (Security Measures)

当社は、個人データを不正アクセス、改ざん、漏洩、紛失等から保護するため、以下の適切な技術的・組織的措置（GDPR Art. 32）を講じています:

技術的措置:

• 暗号化: パスワードは bcrypt ハッシュ化、API キーは AES-256-GCM 認証付き暗号化、HTTPS（TLS 1.2+）による通信路保護
• アクセス制御: Supabase Row Level Security による行レベル権限制御、最小権限の原則に基づく管理者アクセス
• セキュリティ監視: Sentry によるエラー追跡、Vercel Web Application Firewall、Cloudflare DDoS 対策
• 定期的な脆弱性管理: Dependabot による依存ライブラリの自動更新、Semgrep / GitLeaks による静的解析（CI 統合）、ZAP DAST 週次スキャン
• 監査ログ: 全ての重要操作（管理者操作、認証イベント、データアクセス、削除等）を audit_logs テーブルに記録（SOC 2 監査対応レベル）
• Content Security Policy: CSP / COOP / CORP ヘッダーによるブラウザレベル防御

組織的措置:

• 役割と責任の明確化: 個人データへのアクセス権限を必要最小限の担当者に限定
• 従業員教育: 個人情報保護に関する継続的な教育（β 段階では創業者のみ）
• サブプロセッサー管理: 各サブプロセッサーとの DPA 締結、年次レビュー
• インシデント対応プラン: 漏洩発見 → 内部評価 → 通知の SOP 文書化

The Company implements appropriate technical and organizational measures (GDPR Art. 32). Technical: encryption (bcrypt for passwords, AES-256-GCM for API keys, TLS 1.2+ in transit), access control (Supabase RLS, least privilege), security monitoring (Sentry, Vercel WAF, Cloudflare DDoS), vulnerability management (Dependabot, Semgrep, GitLeaks, weekly ZAP DAST), comprehensive audit logging (audit_logs, SOC 2 grade), CSP/COOP/CORP headers. Organizational: role-based access control, employee training (founders only in beta), subprocessor DPAs with annual review, documented incident response plan.

根拠法令 / Legal basis: GDPR Art. 32 (適切な技術的及び組織的措置), 個人情報保護法 第 23 条 (安全管理措置), CCPA § 1798.150 (data security obligations).

第7条（ユーザー権利・データ主体の権利） / Article 7 (User Rights / Data Subject Rights)

ユーザーは、以下の権利を行使できます。これらの権利は GDPR、CCPA/CPRA、PIPL、LGPD、PIPA、DPDP Act、POPIA、PDPA 等の各国データ保護法により保障されています:

• アクセス権 (Right of Access): 当社が保有するユーザーの個人データの内容、利用目的、保管期間、第三者提供先等の情報を請求できます。Settings → Account → Export Data から自分の全データを JSON 形式でエクスポート可能。
• 訂正権 (Right to Rectification): 不正確・不完全な個人データの訂正・補完を要求できます。Settings から直接編集可能。
• 削除権 (Right to Erasure / 「忘れられる権利」): アカウント削除を要求できます。受領から 30 日以内に物理的に削除します。
• 処理制限権 (Right to Restrict Processing): 特定の処理について制限を要求できます。
• データポータビリティ権 (Right to Data Portability): 構造化された機械可読フォーマット（JSON）でデータを提供します。Settings → Account → Export Data から取得可能。他サービスへの直接転送は技術的制約により未対応（Phase 2 で対応予定）。
• 異議申立権 (Right to Object): 特定の処理（直接マーケティング等）に対して異議を申し立てる権利があります。
• 自動意思決定の対象とならない権利 (Right not to be Subject to Automated Decision-Making): 当社は本サービスにおいて、ユーザーに法的影響を及ぼす完全自動化された意思決定を行いません。
• 同意撤回権 (Right to Withdraw Consent): 同意に基づく処理について、いつでも同意を撤回できます（撤回前の処理の適法性は影響しません）。

権利行使の方法:

• Settings → Account から自己サービス可能な操作（エクスポート、削除）
• support@synquorum.com への連絡
• 監督機関への苦情（第 12 条参照）

応答期限: 当社は権利行使要求の受領から原則 30 日以内に応答します（GDPR Art. 12(3)）。複雑な要求の場合は最大 2 ヶ月延長することがあり、その場合はその旨と延長理由を通知します。

無料での権利行使: ユーザー権利の行使は原則として無料です（明らかに過剰または繰り返しの要求の場合を除く、GDPR Art. 12(5)）。

Users may exercise rights of access, rectification, erasure, restrict processing, data portability, object, not subject to automated decisions, and withdraw consent. Equivalent rights are honored under GDPR, CCPA/CPRA, PIPL, LGPD, PIPA, DPDP Act, POPIA, PDPA. Methods: Settings → Account (self-service for export/deletion); support@synquorum.com; regulatory complaint (Article 12). Response within 30 days (GDPR Art. 12(3)), extendable to 2 months for complex requests with notification. Free of charge except for excessive/repetitive requests (GDPR Art. 12(5)).

根拠法令 / Legal basis: GDPR Art. 12-22 (rights of the data subject), CCPA Cal. Civ. Code § 1798.100-150, 個人情報保護法 第 28-37 条 (本人関与の権利), PIPL (中华人民共和国个人信息保护法 第 44-50 条), LGPD Lei No. 13.709/2018 Art. 17-22, PIPA (개인정보 보호법 제 35-38 조), DPDP Act 2023 Section 11-14, POPIA Act No. 4 of 2013 Sections 23-25.

第8条（Cookie および類似技術） / Article 8 (Cookies and Similar Technologies)

当社は、本サービスの提供および利便性向上のため、Cookie および類似技術（localStorage 等）を使用します。EU ePrivacy Directive および各国類似規制に従い、必須 Cookie 以外は明示的な同意を得てから使用します。

使用する Cookie:

Cookie 同意の管理: ページフッターから「Cookie 設定」リンクを通じて、いつでも同意の確認・変更が可能です。

第三者 Cookie: 当社は第三者の追跡 Cookie を一切使用しません。Stripe Checkout 画面遷移時に Stripe が独自の Cookie を使用しますが、それは Stripe のドメイン上で動作し、Stripe のプライバシーポリシーが適用されます。

The Service uses Cookies and similar technologies (e.g., localStorage) per the EU ePrivacy Directive and equivalent regulations; non-essential Cookies require explicit consent. Essential: Supabase Auth session (HttpOnly, Secure, SameSite=Lax), locale/timezone — no consent required. Functional: UI preferences, Workspace settings — consent via cookie banner. Analytics: not currently used; future analytics (e.g., Vercel Analytics) will require prior notice and explicit consent. Marketing: not used. Consent management via "Cookie Settings" link in footer. Third-party Cookies: none used directly; Stripe uses its own Cookies on Stripe-hosted checkout (Stripe's privacy policy applies).

根拠法令 / Legal basis: EU ePrivacy Directive 2002/58/EC (as amended), GDPR Art. 7 (consent), 個人情報保護法 第 27 条の 2 (個人関連情報の第三者提供), CCPA § 1798.135 (do not sell/share).

第9条（児童のプライバシー） / Article 9 (Children's Privacy)

本サービスは 18 歳以上の方を対象としており、18 歳未満の方からの個人データを意図的に収集することはありません（規約 §第 3 条参照）。

当社が 18 歳未満のユーザーから誤って個人データを収集したことが判明した場合、当社は以下の措置を講じます:

• 該当アカウントを直ちに停止
• 収集した個人データを 30 日以内に物理的に削除
• 該当ユーザーに通知（保護者への通知が望ましい場合は連絡先を求める）
• 当該事象を audit_logs に記録

保護者または法定代理人の方が、お子様の個人データが当社により収集されている可能性があると認識された場合、support@synquorum.com までご連絡ください。当社は速やかに調査し、該当データを削除します。

The Service is intended for users 18 years and over (Terms §3); the Company does not knowingly collect personal data from individuals under 18. If discovered, we immediately suspend the account, physically delete the data within 30 days, notify the user (or seek guardian contact), and log the incident. Parents/guardians who believe their child's data has been collected should contact support@synquorum.com for prompt investigation and deletion.

根拠法令 / Legal basis: U.S. COPPA 15 U.S.C. § 6501-6506, GDPR Art. 8 (children's consent), GDPR Recital 38 (specific protection of children), UK Age Appropriate Design Code, 個人情報保護法 (児童に関する条文を強化).

第10条（データ侵害通知） / Article 10 (Data Breach Notification)

個人データの不正アクセス、漏洩、滅失、毀損等（以下「データ侵害」）が発生した場合、当社は以下の手順で対応します:

10.1 内部対応（侵害発見後 72 時間以内）:

• 侵害範囲の特定（影響を受けたデータ種別・件数・ユーザー）
• 侵害経路の特定と封鎖
• 被害拡大防止措置（パスワードリセット、API キー無効化等、必要に応じて）
• 監査ログでの記録および証拠保全

10.2 監督機関への通知:

• EU/EEA: GDPR Art. 33 に従い、関連監督機関（DPA: Data Protection Authority）に 72 時間以内に通知（高リスクの場合）
• 日本: 個人情報保護法第 26 条に基づく個人情報保護委員会への報告（不正アクセスによる漏洩等の場合）
• 米国カリフォルニア州: CCPA § 1798.82 に基づく通知
• その他の地域: 該当する各国法に従い必要な通知を実施

10.3 影響を受けたユーザーへの通知: ユーザーの権利・自由に高いリスクがある侵害の場合、当社は遅滞なく、以下の方法で影響を受けたユーザーに通知します（GDPR Art. 34）:

• 登録メールアドレスへの個別通知
• 本サービス上のバナー / モーダル表示
• 必要に応じて公開ページでの告知

通知内容には、侵害の性質、影響を受けたデータ種別、起こりうる結果、当社の対応措置、ユーザーが取るべき推奨アクション、連絡先（DPO 等）を含めます。

10.4 透明性の確保: 当社は、データ侵害事案について、解決後に詳細な事後分析報告（post-mortem）を /trust ページ（Phase 2 で公開予定）に公表します。これは透明性確保および学術的検証のためです。

In case of data breach (unauthorized access, leak, loss, or damage): Within 72 hours of discovery, we identify scope, contain the breach, take protective measures, and preserve evidence. Regulatory notification: EU/EEA DPAs within 72 hours per GDPR Art. 33 (high-risk cases), Japan's PIPC per APPI Art. 26, California per CCPA § 1798.82, and other jurisdictions as required. User notification: for high-risk breaches per GDPR Art. 34, via email, in-app banner/modal, and public announcement if needed; including breach nature, affected data, consequences, response, recommended user actions, and DPO contact. Transparency: post-mortems published on /trust (Phase 2) for transparency and academic review.

根拠法令 / Legal basis: GDPR Art. 33 (notification to supervisory authority within 72 hours), Art. 34 (communication to data subject), 個人情報保護法 第 26 条 (漏えい等の報告等), CCPA § 1798.82 (data breach notification), PIPL Art. 57, LGPD Art. 48, NY SHIELD Act.

第11条（研究参加プログラム） / Article 11 (Research Participation Program)

当社は、本サービスとは別に、次世代 AI アシスタントの研究開発を行っています。ユーザーは、明示的なオプトインにより、自身のコンテンツを当該研究に提供することができます。

11.1 オプトインの方式:

• サインアップ直後の独立画面で「参加する / 参加しない」の強制選択（スキップ不可）
• 登録後はいつでも Settings → Privacy → Research Participation から変更可能
• 参加状態は users.research_participant カラム（注: コードベース上では「ステルス命名」されており、UI には「次世代 AI アシスタント研究」として表示）

11.2 提供されるデータ: オプトインに同意したユーザーのチャット履歴、ユーザーが選択した AI 出力（複数 AI 比較の選択結果等）、フィードバック等が含まれます。API キーは含まれません（学習データに混入させない技術的措置あり）。

11.3 利用目的: 当社が独自に開発する次世代 AI アシスタントの学習・評価データとして使用します。学習データは、特定個人を識別できない形に匿名化されたうえで使用されます。

11.4 オプトアウト時の扱い: オプトアウト後は、それ以降のデータは研究目的では収集しません。ただし、過去にオプトイン状態で収集されたデータは、すでに学習に使用された場合は技術的に除外できないため、残存します。これは GDPR の「忘れられる権利」よりも厳しく解釈し、オプトアウト後の新規データのみを研究対象から除外する運用です。

11.5 参加者特典: 30 日継続オプトインで一律 1,500 ポイントを付与（1 アカウント 1 回限り、プラン無関係）。Maximum プランは無制限プランのためポイント特典の意味が無いため、別途代替特典は予定していません（Phase 2 で見直し可能性あり）。

11.6 透明性: 研究参加プログラムへの参加状況は、Settings → Privacy → Research Participation でいつでも確認できます。研究の目的、収集データ、利用方法に関する詳細情報は、当社が公開する研究透明性レポート（Phase 2 で /research-transparency ページ公開予定）に記載します。

Separately from the Service, the Company conducts research on a next-generation AI assistant. Users may opt in to contribute their Content to this research. 11.1 Opt-in: mandatory binary choice at signup (no skip), changeable anytime in Settings → Privacy → Research Participation. 11.2 Data shared: chat history, selected AI outputs (multi-AI comparison choices), feedback. API keys are excluded (technical safeguards prevent leakage). 11.3 Use: training and evaluation of the Company's next-generation AI assistant; data is anonymized before use. 11.4 Opt-out: from then on, no new data is collected for research; previously-collected data already used in training cannot be technically excluded but new data is excluded. 11.5 Incentive: 1,500 points after 30-day continuous opt-in (one-time per account, plan-agnostic; Maximum plan has unlimited points so the incentive does not apply). 11.6 Transparency: participation status visible in Settings; detailed research transparency report at /research-transparency (Phase 2).

根拠法令 / Legal basis: GDPR Art. 6(1)(a) (consent), Art. 7 (conditions for consent), Art. 89 (research safeguards), 個人情報保護法 第 41 条 (匿名加工情報), CCPA § 1798.140(o)(1) (opt-in for sale).

第12条（監督機関への苦情） / Article 12 (Right to Complain to Supervisory Authority)

ユーザーは、当社のデータ取扱いに不満がある場合、自国の監督機関に苦情を申し立てる権利を有します:

• EU/EEA: 居住国のデータ保護当局（DPA: Data Protection Authority）。リスト: EDPB Members
• 日本: 個人情報保護委員会 (PPC)
• 米国: FTC、California AG（CCPA 関連）
• UK: ICO
• 韓国: PIPC
• その他の地域: 各国データ保護当局

苦情申立前に、まず support@synquorum.com までお問い合わせいただければ、迅速な解決に努めます。

Users may file complaints with their country's data protection authority (EDPB members in EU/EEA, PPC in Japan, FTC and California AG in US, ICO in UK, PIPC in Korea, equivalent bodies elsewhere). Before filing, please consider contacting support@synquorum.com for prompt resolution.

根拠法令 / Legal basis: GDPR Art. 77 (right to lodge a complaint with a supervisory authority), 個人情報保護法 第 40 条 (個人情報保護委員会への申出), CCPA § 1798.150-155.

第13条（データ管理者・連絡先） / Article 13 (Data Controller and Contact)

データ管理者 / Data Controller: 本サービスを運営する事業者。事業者の正式名称、所在地、代表者氏名等の詳細は特定商取引法に基づく表記をご参照ください。

個人データ保護に関する連絡先:

• 一般的な問い合わせ: support@synquorum.com
• データ主体権利の行使: support@synquorum.com または Settings → Account から直接
• セキュリティ事案・脆弱性報告: support@synquorum.com または in-app バグ報告フォーム

EU 代表者 (GDPR Art. 27): 当社の β 段階では現状未指定。月間アクティブ EU ユーザーが規模に達した場合、EU 代表者を指名し、本ポリシーで明示します（Phase 2-3 で対応）。

データ保護責任者 (DPO, GDPR Art. 37): 現状の事業規模では指名義務がないため未指名。事業拡大に伴い任命を検討します。

Data Controller: the operator of the Service (see Tokushoho disclosure). General inquiries / data subject rights / security: support@synquorum.com or in-app Settings. EU Representative (GDPR Art. 27): not currently designated; will be appointed if EU monthly active users reach the threshold (Phase 2-3). Data Protection Officer (GDPR Art. 37): not currently required by scale; will be appointed as the business grows.

根拠法令 / Legal basis: GDPR Art. 4(7) (controller), Art. 27 (representative), Art. 37 (DPO), 個人情報保護法 第 21 条 (個人情報の利用目的の通知).

第14条（ポリシーの改訂） / Article 14 (Modifications to This Policy)

当社は、法令の変更、サービス内容の変更、運用上の必要等により、本ポリシーを変更することがあります。変更時の手続きは規約 §第 18 条に準じます:

• 重要な変更（取得情報の追加、利用目的の変更、第三者提供の追加、保管期間の延長等）は、施行日の 30 日前までに登録メールおよび本サービス上で通知します。
• 軽微な変更（誤字訂正、表現整理）は同意なく適用されます。
• 歴代バージョンは /legal/history（Phase 2 公開予定）で永続的に公開します。

本ポリシーは規約と一体として効力を有するため、規約への同意を継続することは、本ポリシーへの同意を含みます。同意しない場合は、施行日までに解約することができます。

The Company may modify this Policy due to legal or operational changes, following procedures in Terms §18. Material changes (new data collected, purposes, third-party sharing, retention extensions) require 30-day prior notice via email and in-app. Minor changes (typos, phrasing) take effect immediately. Historical versions are permanently published at /legal/history (Phase 2). This Policy operates with the Terms; continued use after the effective date constitutes acceptance, or the User may cancel before that date.