プライバシーポリシー
最終更新：2026年8月9日
1. 処理責任者
サイトwww.pokeitem.frおよびアプリPokéItemを通じて収集される個人情報の処理責任者は、以下のとおりです：
SAS POKEITEM
SIREN：105 186 597、RCS Toulouse
所在地：26A route de Léguevin, 31820 Pibrac, フランス
データに関するお問い合わせ：[email protected]
2. 収集するデータ
利用するサービスに応じて、以下のデータが収集される場合があります：
| データ | 取得元 | 必須 |
|---|---|---|
| メールアドレス | アカウント登録 | はい |
| パスワード（ハッシュ化） | アカウント登録 | はい |
| ニックネーム／ユーザー名 | アカウント登録 | はい |
| プロフィール写真 | ユーザープロフィール | いいえ |
| コレクションデータ（カード） | アプリの利用 | いいえ |
| 入力された購入価格 | アプリの利用 | いいえ |
| カードの状態／グレード | アプリの利用 | いいえ |
| 支払いデータ | Proサブスクリプション（Stripe経由） | いいえ |
| IPアドレス、ブラウザ | 自動的なナビゲーション | いいえ |
| 利用データ（閲覧ページ） | 匿名の分析 | いいえ |
| 紹介コード | 紹介 | いいえ |
| アプリ内取引ID | iOS/Androidサブスクリプション（RevenueCat経由） | いいえ |
| カードの写真（AIスキャン） | アプリのスキャン機能 | いいえ |
| 生年月日 | ソーシャル機能およびメッセージ機能の利用 | はい |
| 投稿されたコンテンツ（ユーザー名、プロフィール画像、バナー、自己紹介、ショーケース、マーケットの出品、フィードの投稿） | ソーシャル機能 | いいえ |
| プライベートメッセージ（本文、送信日時、既読情報） | ユーザー間のメッセージ | いいえ |
| ソーシャルな関係（フォロー、ブロック、送信・受信した報告） | ソーシャル機能 | いいえ |
| アプリの利用データ（操作イベント） | アプリの利用 | いいえ |
| 獲得パラメータ（utm_source、utm_medium、utm_campaign、utm_content、utm_term）。インストールリンクまたはランディングページに由来します | アプリのインストール / サイトの閲覧 | いいえ |
Stripeに関する注記：支払いデータ（カード番号等）はPokéItemによって保存されることは一切ありません。これらは、PCI DSS認証を受けた決済事業者Stripeによってのみ処理されます。PokéItemは、取引ID、サブスクリプションの状態、請求日のみを保持します。
PokéItemは、GDPRの意味における機微なデータ（健康データ、民族的出自、政治的意見等）を一切収集しません。
一部のデータは、ユーザー自身によって公開されます：ユーザー名、プロフィール画像、バナー、自己紹介、ショーケース、マーケットの出品です。これらは他のユーザーに表示され、バインダーの共有リンクを介して、アカウントを持たない方を含め、そのリンクを知る誰もが閲覧できます。プロフィールは設定からいつでも非公開に切り替えられ、コレクション金額は個別に非表示にできます。
3. 処理の目的
個人情報は以下の目的で処理されます：
- →ユーザーアカウントの作成と管理
- →サービスの提供（コレクション管理、価格見積もり）
- →AIによるカードの識別（スキャン機能）
- →Proサブスクリプションと請求の管理
- →取引メールの送信（確認、更新のリマインダー）
- →サービスの改善（匿名の分析）
- →法的義務の遵守（会計上の保存）
- →ソーシャル機能（15歳以上）およびプライベートメッセージ（16歳以上）の利用に必要な最低年齢の確認
- →投稿画像の公開前の自動モデレーション、およびテキストのフィルタリング
- →報告およびブロックへの対応、不当なアカウントの停止
- →改善のためのアプリ利用状況の測定
- →インストールおよびサブスクリプションの獲得経路を測定し、獲得キャンペーンの効果を評価すること
4. 処理の法的根拠
| 目的 | 法的根拠 |
|---|---|
| アカウントとサービスの管理 | 契約の履行（GDPR第6.1.b条） |
| 請求とサブスクリプション | 契約の履行（GDPR第6.1.b条） |
| 会計上の義務 | 法的義務（GDPR第6.1.c条） |
| 匿名の分析 | 正当な利益（GDPR第6.1.f条） |
| マーケティングメール（該当する場合） | 同意（GDPR第6.1.a条） |
| 投稿コンテンツ、出品、メッセージ機能 | 契約の履行（GDPR第6.1.b条） |
| 年齢確認およびモデレーション | 法的義務（GDPR第6.1.c条および第8条。フランスではデジタル同意年齢が15歳）ならびに正当な利益（GDPR第6.1.f条） |
| アプリ利用状況の測定 | 正当な利益（GDPR第6.1.f条） |
| インストールおよびサブスクリプションの獲得経路の測定 | 正当な利益（GDPR第6.1.f条） |
5. 保存期間
| データ | 期間 |
|---|---|
| 有効なユーザーアカウント | アカウントの存続期間 |
| 削除後のアカウントデータ | 30日間（最終的な消去） |
| 請求データ | 10年間（法的義務） |
| 接続ログ | 12か月 |
| 匿名の分析データ | 26か月 |
| スキャンされたカードの写真 | PokéItemは保存しません（一時的な処理、第6項参照） |
| プライベートメッセージ | 会話が存在する間。アカウント削除時に削除 |
| マーケットの出品 | 出品の終了時またはアカウント削除時に削除 |
| 報告 | 対応に必要な期間。その後は再発時の証拠として保管 |
| 生年月日 | アカウントが存続する間 |
6. データの受領者
ユーザーの個人情報は、SAS POKEITEMおよびその技術的な委託先により処理されます：
- →Railway Corp.（米国）、ウェブサイト、ウェブアプリケーション、APIおよびPostgreSQLデータベースのホスティング
- →Brevo SA（フランス）, 取引メールの送信（登録確認、サブスクリプション更新のリマインダー）
- →Stripe, Inc.（アメリカ合衆国 / アイルランド）, ウェブ取引の処理（サイト経由のプレミアムサブスクリプション）
- →Apple Inc.（アメリカ合衆国）,「Sign in with Apple」による認証。ユーザーが「メールアドレスを非公開」オプションを有効にした場合、PokéItemはAppleのプライベートリレーアドレス（@privaterelay.appleid.com）のみを受け取り、実際のアドレスはApple側で秘匿されます。
- →Google LLC（アメリカ合衆国）,「Sign in with Google」（OAuth 2.0）による認証。接続時にPokéItemに送信されるのは、Google ID、メールアドレス、プロフィール写真のみです。
- →RevenueCat, Inc.（アメリカ合衆国）, iOSおよびAndroidのアプリ内サブスクリプションの技術的管理（Apple App StoreおよびGoogle Playのレシート検証、サブスクリプション状態の追跡）。RevenueCatと共有されるデータ：匿名のappUserID、デバイスID、購入イベント、Apple/Googleのレシート。銀行情報がRevenueCatに送信されることは一切ありません。また、RevenueCatは獲得パラメータも受け取り、サブスクリプションを獲得元のキャンペーンに紐づけます。
- →TCG API, tcgapi.io（欧州連合）, スキャン機能で使用されるカードの認識と価格算出の技術プラットフォーム。ユーザーがアプリでカードをスキャンすると、撮影された写真がtcgapi.io APIに送信され、カードの識別と価格カタログとの照合を統括します。送信されるのは画像のみで、リクエストにユーザーID、メール、名前は一切含まれません。写真は識別結果が返された後は保存されず、PokéItemによって保存されることもありません。
- →Google LLC（アメリカ合衆国）, Gemini API経由のAIによるポケモンカード識別（スキャンの主要プロバイダー）。カードの写真はGeminiモデルにより分析され、カード（名称、拡張パック、番号）が認識されます。有料プランに適用されるGemini APIの条件に従い、送信されたデータはモデルの学習には使用されず、不正検出の目的で一時的にのみ保存された後、削除されます。
- →Anthropic, PBC（アメリカ合衆国）, Claude API経由のAIによるポケモンカード識別。主要プロバイダーが利用できない場合のフォールバック（予備）として使用されます。同じ保証：画像のみが送信され、ユーザーIDは一切含まれません。Anthropic APIの利用規約に従い、送信されたデータはモデルの学習には使用されず、安全性（trust & safety）の目的で最大30日間のみ保存された後、削除されます。
- →Google LLC（米国）、Gemini APIによる投稿画像の自動解析（モデレーション目的に限る）
- →PokéItemの画像CDN（cdn.pokeitem.fr）、投稿された写真のホスティング
- →Mixpanel, Inc.（米国）、アプリ利用状況およびインストール経路の測定
セッションと認証：セッションの管理はNextAuth.js v4（オープンソース、セルフホスト, 第三者へのデータ転送なし）により行われます。セッションはJWTトークンにより保護され、30日間有効で自動的に更新されます。
PokéItemは、ユーザーの個人情報を商業目的で第三者に販売、賃貸、または譲渡することはありません。
7. 欧州連合外への移転
以下のサービスはアメリカ合衆国へのデータ移転を伴います：
| 事業者 | 用途 | 保証 |
|---|---|---|
| Railway Corp. | ホスティングおよびデータベース | SCC（決定2021/914） |
| Stripe, Inc. | ウェブ決済 | SCC + DPF |
| Apple Inc. | iOS決済、Sign in with Apple、App Store | DPF（2023年7月認証） |
| Google LLC | Sign in with Google（OAuth）、AIスキャン（Gemini API）、投稿画像のモデレーション（Gemini API） | DPF（2023年7月認証） |
| RevenueCat, Inc. | アプリ内サブスクリプションの管理（iOS + Android） | SCC（決定2021/914） |
| Anthropic, PBC | AIスキャン（Claude API, 予備） | SCC（決定2021/914） |
| Mixpanel, Inc. | アプリ利用状況の測定 | SCC（決定2021/914） |
標準契約条項（SCC）は、欧州委員会により承認されています（決定2021/914）。EU・アメリカ間のデータプライバシーフレームワーク（DPF）は、GDPRに従い適切な保護レベルを保証します。
Brevo SAはフランスの企業（本社はパリ）です：このサービスについてEU外への移転はありません。
TCG API（tcgapi.io）は欧州連合でホスティングされています：このサービスについてEU外への移転はありません。
NextAuth.jsはセルフホストです：第三者へのデータ転送はありません。
8. あなたの権利（GDPR）
規則（EU）2016/679（GDPR）に従い、あなたは自身の個人情報について以下の権利を有します：
- →アクセス権, データのコピーを取得する
- →訂正権, 不正確なデータを修正する
- →消去権, データの削除を要求する
- →ポータビリティ権, 構造化された形式でデータを受け取る
- →異議申立権, 特定の処理に異議を申し立てる
- →制限権, 処理を一時的に制限する
- →いつでも同意を撤回する権利
これらの権利を行使するには、[email protected]までご連絡ください。当社は1か月以内に回答することをお約束します。
回答にご満足いただけない場合、CNIL（情報処理・自由全国委員会）に苦情を申し立てることができます, www.cnil.fr。
9. Cookieとトラッカー
サイトwww.pokeitem.frは以下を使用しています：
| ツール / Cookie | 目的 | 同意の要否 |
|---|---|---|
| 技術的Cookie | サイトの動作、ユーザーセッション | 不要 |
| 認証Cookie（JWT） | ログイン中のユーザーセッションの維持 | 不要（サービスに必要） |
| Google Tag Manager（GTM） | 分析ツールの条件付き読み込み, 同意後にのみ有効 | 必要（Cookieバナー経由） |
| Google Analytics 4（GA4） | 匿名化されたアクセス統計（GTM経由） | 必要（Cookieバナー経由） |
| Meta Pixel | 広告分析, 準備中、未稼働 | 必要（有効化時） |
| TikTok Pixel | 広告分析, 準備中、未稼働 | 必要（有効化時） |
Google Tag Manager（GTM）はwww.pokeitem.frで稼働しています。Cookieバナーによるあなたの明示的な同意後にのみ読み込まれます。拒否した場合、分析スクリプトは一切実行されません。ページ下部の「Cookieの管理」リンクから、いつでも選択を変更できます。
Meta PixelおよびTikTok Pixelは、www.pokeitem.fr のサイト上では有効化されておらず、将来有効化する場合にはお客様の同意を得たうえで行います。Facebook SDKはモバイルアプリケーションのバイナリに含まれていますが、初期化されることはありません。自動初期化および自動イベントログは無効化されており、広告ID（AD_ID）の読み取りに必要なAndroidの権限も宣言されていません。したがって、アプリケーションからMetaへデータが送信されることはありません。ブラウザの設定でCookieを拒否することもできますが、その場合、本サービスの一部の機能に影響が出ることがあります。
10. データのセキュリティ
PokéItemは、あなたの個人情報を不正なアクセス、消失、改ざん、または漏洩から保護するため、適切な技術的・組織的措置を講じています。特に以下のとおりです：
- →通信の暗号化（HTTPS/TLS）
- →パスワードの安全なハッシュ化（bcrypt）
- →データへのアクセスを権限のある担当者に限定
- →認証済みインフラでのホスティング（Railway）
あなたの権利にリスクをもたらすおそれのあるデータ侵害が発生した場合、GDPR第34条に従い、可能な限り速やかにお知らせします。
11. ポリシーの変更
PokéItemは、特に規制の変化に対応するため、本プライバシーポリシーをいつでも変更する権利を留保します。重要な変更については、メールまたは本サービスを通じてユーザーに通知されます。
有効なバージョンは、本ページに公開されているもので、ページ上部に最終更新日が記載されています。
ご質問は：[email protected]