2026年11月6日施行。Hibira は台湾を拠点とする個人事業主が用いる屋号です（以下「Hibira」または「当方」。事業者の氏名はご請求があれば遅滞なく開示します）。当方は Gaya（gaya.hibira.io、そのアプリおよび MCP サーバー）を運営し、本ポリシーに記載する個人情報について責任を負います。
1. 取得する情報と目的
| 情報 | 取得元 | 目的 | 法的根拠（GDPR） | 保存期間 |
|---|---|---|---|---|
| メールアドレス、氏名、プロフィール画像、言語、ログインに使う Google・GitHub・Apple のアカウント ID | あなた、またはあなたの許可を得たログインサービス | アカウント作成、ログイン、メール送信 | 契約 | アカウントがある間 |
| ログイン Cookie（ハッシュ値のみ保存）と1回限りのログインリンク | ログイン時に設定 | ログイン状態の維持 | 契約、正当な利益（セキュリティ） | セッション30日、リンク15分 |
| 18歳以上であることを確認した日 | あなた | Gaya を成人向けに保つため | 法的義務、正当な利益 | アカウントがある間 |
| ルーム：質問、メッセージ、編集、リアクション、投票、結論、参加ペルソナ、ルーム設定、参加者とその表示名 | あなたとルームの参加者 | 話し合いを行い、ルームを読める人に表示するため | 契約 | ホストがルームを削除する、メッセージが削除される、またはホストのアカウントが削除されるまで |
| 投稿した写真・動画と、ブラウザ内で動画から取り出した静止画 | あなた | ルームに表示し、ペルソナが見られるようにするため | 契約 | ルームのメッセージと同じ |
| ペルソナのメモ：ホスト自身のメッセージからペルソナが書く短いメモ | あなたのメッセージ | 次のルームでペルソナがあなたを覚えているため | 契約 | 「記憶」ページで削除するか、記憶をオフにするまで |
| あなたの記憶：他の AI アシスタントから取り込んだ内容と、保存した行 | あなた | ペルソナにあなたの背景を伝えるため | 同意、契約 | 取り込んだ内容はモデルで要約し、保存しません。保存した行は削除するまで |
| 自作のペルソナとその写真、共有したペルソナについては誰がコピーしたか | あなた | ルームで使うため、共有したペルソナを他の人に表示するため | 契約 | 削除するまで。ルームと他の人が作ったコピーにはそれぞれ残ります |
| 音声入力：Gaya に話しかけた録音 | マイク（マイクボタンを押したときのみ） | 話した言葉を文字にするため | 契約 | すぐに文字に変換し、録音は保存しません |
| That's What They Said：アップロードしたチャットやスクリーンショット（名前、電話番号、メールアドレスは伏せ字化）とレポート | あなた | ご依頼のレポートを作成するため | 契約 | アップロードから30日後に削除。レポートやアカウントを削除したときは直ちに削除 |
| 接続したツール：サーバーのアドレス、ツール名、暗号化したアクセストークン | あなたとツールのログイン | 選んだツールをペルソナが呼び出すため | 契約 | 接続を解除するまで |
| Gaya の MCP サーバーに接続した AI アシスタント：アプリ名とハッシュ化したトークン | あなたとアシスタント | アシスタントがあなたの代わりに Gaya を使うため | 契約 | 取り消すまで。リフレッシュトークンは60日 |
| プラン、Creem の顧客・サブスクリプション ID、支払い、領収書、AI返信の履歴 | Creem とあなた | 請求、AI返信の残高、サポート | 契約、法的義務 | アカウントがある間、その後は税務・会計法令が求める期間 |
| カード情報と請求先住所 | あなたから直接 Creem へ | お支払い | 契約 | Creem が保管し、当方はカード番号の全体を見たり保存したりしません |
| 通知設定、アカウントに紐づくプッシュ購読、最後にルームにいた時刻 | ブラウザまたはアプリ（通知をオンにした場合のみ） | 不在中の返信をお知らせするため | 同意 | 通知をオフにするか、アカウントを削除するまで |
| 通報と審査：通報内容、通報されたメッセージのコピー、対応結果 | 通報者、当方の審査担当 | ルームの安全確保、不正利用への対応 | 正当な利益、法的義務 | 通報の処理と繰り返しの不正への対応に必要な期間 |
| 写真の自動チェックの結果 | Amazon Nova | 違法・有害な画像を保存前に拒否するため | 正当な利益、法的義務 | 拒否した画像は保存せず、チェック結果を記録します |
| IP アドレス、国、ブラウザと端末、リクエストログ、ボット確認 | あなたのリクエスト、Cloudflare、Turnstile | セキュリティ、回数制限、お住まいの地域で適法に使える AI モデルの選択 | 正当な利益 | 短期間のログとカウンター |
| 登録時の確認：登録したネットワークアドレスとブラウザ Cookie（gaya_device）の鍵付きハッシュ、削除されたアカウントのメールの鍵付きハッシュ | サインイン時のブラウザ | 同じ人が複数のアカウントで無料のAI返信を何度も受け取るのを防ぐ | 正当な利益 | 最長3年（アカウント削除後も）。アドレスや Cookie そのものは保存しません |
| 閲覧したページ、流入元、端末とおおよその位置、ランダムなブラウザ ID（Google Analytics がオンのときのみ。第 8 条） | あなたのブラウザ（Google Analytics 経由） | どのページが役に立っているかを知り、Gaya を改善するため | 地域の法令が求める場合は同意、それ以外は正当な利益 | Google Analytics で最長 14 か月 |
| 当方が送るメール（宛先、テンプレート、時刻、状態）とサポートのメール | 当方のメールシステムとあなた | メールの送信、お問い合わせへの回答 | 契約、正当な利益 | 最長2年 |
| サポートチャット：サポートチームとのメッセージ | あなた、当方のサポート担当 | お問い合わせへの回答 | 契約、正当な利益 | ログイン済みの方は最長2年、ログイン前に始めたチャットは180日 |
当方は個人情報を販売せず、広告やプロファイリングに使わず、あなたのコンテンツを AI モデルの学習に使わず、法的効果またはそれに準じる重大な影響を及ぼす決定を自動処理だけで行うこともありません。Gaya に広告用の Cookie はなく、分析用の Cookie は第 8 条のとおりにのみ使います。
Google、Apple、GitHub でログインする場合、当方が求めるのはアカウント ID、確認済みのメールアドレス、氏名（提供される場合はプロフィール画像）だけです。アクセストークンは保存せず、その他のデータも読みません。Google API から受け取った情報の Gaya による使用と転送は、限定的使用の要件を含む Google API サービスのユーザーデータに関するポリシーに準拠します。
2. ルームや取り込みに含まれる他人の情報
メッセージ、写真、取り込んだチャットには、他の人の情報が含まれることがあります。何を投稿・取り込むかはあなたが決め、共有する権利があることもあなたの責任です（規約第5条）。当方はあなたのために Gaya を運営する目的でのみこれを処理し、第1節のとおり必要なものだけを保存します。取り込んだ内容は数行に要約され、あなたが確認してから保存されます。「That's What They Said」にアップロードされたグループチャットも同様で、保存やモデルによる読み込みの前に伏せ字化され、そのレポートだけに使われ、30日後に削除されます。他の人のルーム、取り込み、アップロードされたチャットにあなたの情報があり、削除を希望する場合は privacy@hibira.io までご連絡ください。
3. あなたのコンテンツを見られる人
- ルームの参加者は、ルームのメッセージと参加者の表示名を見られます。ペルソナは返信のため、ルームのメッセージと、ホストのメモと記憶を参照します。そのため、他の人がいるルームでは、ペルソナの発言にホストのメモや記憶が反映されることがあり、ルームの全員がそれを読めます。望まない場合は、そのルームの記憶をオフにしてください。
- ホストがリンクで共有した場合、リンクを知っている人は誰でもログインせずに読めます。「見つける」に掲載した場合は誰でも見つけられ、検索エンジンに登録されることがあります。人の名前は名のみ表示され、メールアドレスやアカウント ID は表示されません。
- 当方の審査担当は、通報されたメッセージとルームを見ます。それ以外に、ご報告いただいた問題の解決、不正の調査、または法律で求められる場合を除き、非公開ルームを読むことはありません。
4. 情報の提供先
当方は、当方の指示に従う以下の事業者、あなたがルームを共有した相手、および法律で求められる場合の当局にのみ、個人情報を提供します。
| 提供先 | 役割 | 情報 | 所在地 |
|---|---|---|---|
| Cloudflare | ホスティング（Workers、D1 データベース、R2 ファイル保存）、DNS、ネットワーク保護、ボット確認（Turnstile）、音声の文字起こし（Workers AI） | Gaya のすべてのデータ、音声の録音 | Cloudflare のグローバルネットワーク |
| Amazon Web Services：Amazon Bedrock | 返信の作成と写真チェックを行う AI モデル（Anthropic の Claude、Amazon Nova）の実行。モデルの開発元にデータは渡らず、学習にも使われません | ルームのメッセージ、写真と静止画、メモ、記憶、ツールの結果 | 日本（東京） |
| Amazon Web Services：Amazon SES | メール送信 | メールアドレス、メール本文 | シンガポール |
| Hibira リアルタイム配信と Hibira Push（当方自身のサービス） | ルームのメッセージとプッシュ通知のリアルタイム配信 | ルームのイベント、通知用のアカウント ID | 香港（AWS） |
| Creem（Armitage Labs OÜ） | 販売代理店（Merchant of Record）として、プラン・パック・レポートを販売し、決済、領収書、サブスクリプション、返金、消費税等を扱います。Creem は自身のプライバシーポリシーに基づく独立した管理者でもあります | メールアドレス、氏名、国、支払い情報、金額 | エストニアおよび Creem の決済パートナー |
| Google、GitHub、Apple | ログイン（選んだ場合） | アカウント ID、メールアドレス、氏名 | 米国 |
| Google（Google Analytics） | 訪問数を数え、役に立っているページを示す。第 8 条のとおりにのみ | 閲覧したページ、端末、おおよその位置、ランダムなブラウザ ID | 米国その他の Google の拠点 |
| ブラウザやスマートフォンのプッシュサービス（Google、Mozilla、Apple など） | 通知の配信（オンにした場合のみ） | プッシュの宛先、通知内容 | 通常は米国 |
| ウェブ検索事業者（Brave Search、Tavily、Parallel または Perplexity） | ペルソナのウェブ検索とディープサーチ（有効な場合） | ペルソナが選んだ検索語と、読み込みを求めたページ | 米国その他 |
| あなたが接続したツール（GitHub、Notion など） | ペルソナのツール呼び出しへの応答 | ペルソナがツールに問い合わせる内容 | そのサービスの所在地 |
| 切り替える可能性のあるメール事業者（Resend または Google Workspace） | Amazon SES の代わりにメール送信 | メールアドレス、メール本文 | 米国 |
当方の MCP サーバーを通じて AI アシスタントから Gaya を使う場合、そこでやり取りする内容は、そのアシスタントの提供者もその規約に基づいて取り扱います。Gaya が承継者に移る場合、データも移ることがあり、承継者は本ポリシーを守る必要があります。
5. 外国への移転
当方は台湾を拠点とします。Gaya は Cloudflare のグローバルネットワーク上で動き、AI モデルは日本、メールはシンガポール、リアルタイム配信は香港で動くため、あなたの情報はお住まいの国以外で処理されます。当方は、契約により同等の保護（EU 標準契約条項など）を約束し、公的に認められたセキュリティ認証を持つ事業者を選んでいます。
6. セキュリティ
通信は TLS で暗号化します。セッションとアクセストークンはハッシュ値のみを保存し、ツールのトークンなどの秘密情報は暗号化します。データへのアクセスは事業者と守秘義務を負う者に限ります。完全に安全なシステムはありません。漏えいによりあなたに害が及ぶおそれがある場合は、法律に従ってあなたと当局にお知らせします。
7. あなたの選択と権利
- 「記憶」ページでペルソナのメモと記憶を確認・削除でき、アカウントページで通知をオフにしたりツールの接続を解除したりできます。ホストはルームを非公開にしたり削除したりできます。
- 情報の開示やコピーの提供、訂正、削除、利用の停止や制限、移転を求めることができ、同意はいつでも撤回できます。アカウントはアカウントページ（アカウントを削除）からご自身で削除できます。他の人のルームに書いたメッセージはそのルームに残りますが、privacy@hibira.io にご連絡いただければ削除します。その他は privacy@hibira.io までご連絡ください。30日以内（法律でより短い期間が定められている場合はその期間内）に回答し、ご本人確認をお願いすることがあります。支払記録など法律で保存が必要な情報は残ることがあります。削除したデータは30日以内にバックアップからも消えます。
- お住まいの地域の個人情報保護機関に苦情を申し立てることができます。
8. Cookie とストレージ
| 名前 | 種類 | 目的 | 期間 |
|---|---|---|---|
gaya_session | Cookie（必須） | ログイン状態の維持 | 30日 |
gaya_oauth | Cookie（必須） | Google・GitHub・Apple ログインの保護 | 数分 |
gaya_visitor | Cookie（必須） | ログイン前に始めたサポートチャットの保持 | 180日 |
| 言語、テーマ、下書き、保存した組み合わせ、読み上げ | ブラウザのストレージ（必須） | この端末での選択を記憶 | サイトのデータを消去するまで |
| Turnstile | 必須 | メールログインのボット確認 | 確認のために Cloudflare が設定 |
_ga、_ga_<id> | Cookie、分析（任意） | Google Analytics：訪問数を数え、役に立っているページを知る | 最長 2 年 |
分析用の Cookie は、あなたが許可したとき、またはお住まいの地域で既定で認められるときにのみ保存されます。欧州経済領域、英国、スイス、中国本土、韓国、タイ、ベトナム（または国を判定できない場合）では「分析を許可」を選んだ後にのみ、米国ではオフにするまで（グローバル・プライバシー・コントロールの信号でもオフになります）、その他の地域では一度だけお知らせを表示したうえで使います。選択はページ下部の「Cookie 設定」からいつでも変更できます。広告用の Cookie や広告のパーソナライズは一切許可しません。
アナリティクスを許可している場合は、これらの Cookie にある Google アナリティクスのブラウザ ID をアカウントにも保存し、ページではなくサーバー側で起きるいくつかのイベント（登録、支払い、プランの解約）を Google アナリティクスに送ります。これにより、それらがあなたの訪問と合わせて集計されます。アナリティクスをオフにすると、すぐに送信を止め、ID を削除します。これらのイベントに氏名、メールアドレス、支払い情報は含まれず、広告シグナルは常にオフです。
9. 国・地域別の情報
台湾（個人資料保護法）。 台湾の個人資料保護法は当方の本国法で、収集者は Hibira の屋号を用いる個人事業主です。識別情報（C001）、財務識別情報（C002）、個人の描写（C011）、およびあなたが投稿を選んだ内容を、契約その他の法律関係事務（069）、消費者・顧客管理とサービス（090）、情報通信サービス（135）、情報通信とデータベース管理（136）、オンラインショッピングその他の電子商取引サービス（148）、調査・統計・研究分析（157）の目的で収集します。利用期間は第1節、利用地域は第4・5節、利用者は同節の提供先です。第3条に基づき、照会・閲覧、複製物の交付、補充・訂正、収集・処理・利用の停止、削除を請求できます。アカウントに必要な情報をご提供いただけない場合、Gaya を提供できません。
日本（個人情報の保護に関する法律）。 個人情報取扱事業者は、台湾を拠点とし Hibira の屋号を用いる個人事業主です。事業者の氏名・住所はご請求があれば遅滞なく開示します。個人情報は第1節の目的の範囲内でのみ利用し、第三者には第4節のとおり、または法令で認められる場合にのみ提供します。提供先は第4・5節の国にあり、当方はそれぞれの国の個人情報保護制度を踏まえて安全管理措置を講じています（各国の制度に関する情報は個人情報保護委員会のウェブサイトで確認できます）。ご請求があれば、各提供先が講じる措置についてもお知らせします。利用目的の通知、開示（第三者提供記録を含む）、訂正、利用停止、消去、第三者提供の停止のご請求と苦情は、privacy@hibira.io まで（手数料はかかりません）。個人情報保護委員会（ppc.go.jp）にご相談いただくこともできます。
韓国（個人情報保護法）。 収集項目：メールアドレス、氏名、プロフィール画像、サービス利用記録、アクセスログ、IP アドレス、支払記録、投稿した内容。保存期間は第1節のとおりで、期間経過後は復元できない方法でファイルを破棄します。国外移転：提供先、国、項目、目的は第4節のとおりで、Gaya の利用時にネットワーク経由で移転され、第1節の期間保存されます。拒否することもできますが、その場合 Gaya を提供できません。個人情報保護責任者：Hibira の事業者、privacy@hibira.io。個人情報侵害申告センター（privacy.kisa.or.kr、118）にもご相談いただけます。
香港（個人資料（私隠）条例）。 香港にお住まいの方にとって、本ポリシーは当方の個人情報収集声明です。privacy@hibira.io で情報の閲覧と訂正を請求でき、条例が認める範囲で閲覧に合理的な手数料をいただくことがあります。ダイレクトマーケティングには使いません。監督機関は個人資料私隠専員公署（pcpd.org.hk）です。
シンガポール（個人データ保護法）。 データ保護責任者には privacy@hibira.io で連絡できます。通知により同意を撤回でき、対応前に予想される影響をお知らせします。
タイ（個人情報保護法 B.E. 2562）。 第1節の根拠に基づき処理し、適切な保護水準を求める契約のもとで第4・5節の国に移転します。privacy@hibira.io で閲覧、コピー、ポータビリティ、訂正、削除、制限、異議を請求し、同意を撤回できます。必要な場合は72時間以内に個人情報保護委員会事務局に漏えいを報告し、同事務局に苦情を申し立てることもできます（pdpc.or.th）。
ベトナム（個人データ保護法 第91/2025/QH15 号）。 第1節の目的で処理し、通知と記憶の取り込みへの同意は別途お尋ねし、いつでも撤回できます。これらの目的で第4・5節の国に移転します。privacy@hibira.io で閲覧、コピー、訂正、削除、制限、異議を請求できます。漏えいが起きた場合は72時間以内に所管当局に報告し、公安省の個人データ保護当局（A05）に苦情を申し立てることもできます。
欧州経済領域、英国、スイス（GDPR）。 法的根拠は第1節のとおりです。正当な利益に基づく処理には異議を述べることができます。お住まいの監督機関に苦情を申し立てることができます。
米国（カリフォルニア州その他の州のプライバシー法）。 個人情報を販売せず、クロスコンテキスト行動広告のために共有せず、広告用の Cookie も使いません。分析用の Cookie はページ下部の「Cookie 設定」からオフにでき、グローバル・プライバシー・コントロールの信号にも従います。privacy@hibira.io で個人情報の開示、訂正、削除を求めることができ、それを理由に差別的な扱いをすることはありません。
中国本土、香港、マカオ。 Anthropic の AI モデルが提供されていない地域の方がいるルームでは、日本で動く Amazon Nova を使います。Gaya を使うと、第5節のとおりお住まいの地域の外で情報が処理されます。
10. 子ども
Gaya は18歳以上の方専用です。18歳未満の方のアカウントと判明した場合は、閉鎖してデータを削除します。
11. 変更
変更はこのページに新しい施行日とともに掲載し、重要な変更は施行の少なくとも30日前にメールまたは Gaya 内でお知らせします。
12. お問い合わせ
privacy@hibira.io · Hibira（台湾）。事業者の氏名と住所はご請求があれば遅滞なく開示します。