プライバシーポリシー

一般社団法人日本セルフエスティーム普及協会（以下「当協会」といいます）は、自己肯定感向上支援サービス「My Compass」（以下「本サービス」といいます）において、ユーザーの個人情報の保護を重要と考え、個人情報の保護に関する法律（個人情報保護法）その他の関連法令を遵守し、以下のプライバシーポリシーを定めます。

1. 個人情報管理責任者

当協会は、個人情報の適切な管理のため、以下の者を個人情報管理責任者として定めています。

一般社団法人日本セルフエスティーム普及協会
代表理事 工藤紀子
連絡先: support@self-esteem.or.jp

2. 収集する情報

当協会は、本サービスの提供にあたり、以下の情報を収集することがあります。

• アカウント情報: ユーザー名、メールアドレス、パスワード（不可逆暗号化して保存）
• 利用記録: 自己肯定感チェックの結果、プラクティスノートの記録、気分記録、栄養記録、瞑想記録
• 写真データ: ユーザーがプラクティスノートに添付した写真（Cloudflare R2に保存）
• 決済情報: Stripe社を通じて処理されるクレジットカード情報（当協会のサーバーにカード番号は保存されません）
• アクセス情報: IPアドレス（匿名化して保存）、ブラウザの種類、アクセス日時、利用ページ
• デバイス情報: デバイスの種類、OS、画面サイズ

※ 企業契約（B2B）でご利用の場合、上記に加えて組織ID・従業員コード等、企業管理者が指定する情報を収集することがあります。

3. 情報の利用目的

収集した情報は、以下の目的で利用します。

• 本サービスの提供、維持、改善
• ユーザーアカウントの管理・認証
• 有料サービスの課金処理
• AIコーチ機能によるパーソナライズされたアドバイスの生成
• ユーザーからのお問い合わせへの対応
• サービスに関する重要なお知らせ・リマインダーの送信
• サービスの利用状況の分析・統計（個人を特定しない形で集計）
• 不正利用の防止およびセキュリティの確保

4. 情報の第三者提供

当協会は、以下の場合を除き、ユーザーの個人情報を第三者に提供することはありません。

• ユーザーの同意がある場合
• 法令に基づく場合
• 人の生命、身体または財産の保護のために必要な場合
• 公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合
• 国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合

なお、以下の場合は第三者提供には該当しません。

• サービス提供のために必要な業務委託先への提供（後述「6. 外部サービスとの連携」参照）
• 企業契約（B2B）において、当該企業の管理者が従業員の利用状況（個別の記録内容を除く）を閲覧する場合

5. 安全管理措置

当協会は、個人情報の漏洩、滅失または毀損の防止その他の安全管理のために、以下の措置を講じています。

技術的安全管理措置

• 全通信のHTTPS暗号化（TLS 1.2以上）
• パスワードの不可逆暗号化保存（PBKDF2-SHA256アルゴリズム、当協会スタッフも閲覧不可）
• データベースへの全アクセスにおけるパラメータ化クエリの使用（SQLインジェクション防止）
• クロスサイトスクリプティング（XSS）対策の入力検証
• セッション管理によるなりすまし防止
• ログイン試行回数の制限（ブルートフォース攻撃対策）
• アクセスログにおけるIPアドレスの匿名化

組織的安全管理措置

• 個人情報管理責任者の設置
• APIキー等の秘密情報の暗号化管理（環境変数による管理、コードへの埋め込み禁止）
• 定期的なセキュリティ監査の実施（直近: 2026年2月）
• 使用ライブラリの脆弱性スキャンの実施

物理的安全管理措置

• データはCloudflare社のグローバルエッジネットワーク上で管理され、物理的セキュリティはCloudflare社が担保
• サーバーへの物理アクセスは当協会には不要な設計（サーバーレスアーキテクチャ）

6. 外部サービスとの連携

本サービスでは、以下の外部サービスを利用しています。これらのサービスにおける個人情報の取り扱いについては、各サービスのプライバシーポリシーをご確認ください。

7. Cookieの使用

本サービスでは、以下の目的でCookieを使用しています。

• 認証Cookie（必須）: ログイン状態の維持。HttpOnly属性により、JavaScriptからのアクセスを制限しています
• セッションCookie（必須）: サービスの正常な動作のため。サーバーサイドで有効性を検証しています
• 表示用Cookie: ユーザー名の画面表示のため（機密情報は含みません）

本サービスでは、広告目的のトラッキングCookieは使用していません。ブラウザの設定でCookieを無効にすることは可能ですが、その場合本サービスのログイン機能が利用できなくなります。

8. データの保存場所と保持期間

保存場所

ユーザーデータは、Cloudflare社のグローバルネットワーク上に保存されます。Cloudflare D1（データベース）およびCloudflare R2（ファイルストレージ）を使用しています。

保持期間

• アカウント情報・利用記録: アカウント削除まで保持
• セッション情報: ログインから7日間（期限切れ後に自動削除）
• アクセスログ: 統計処理後、個人を特定できない形で集計保存
• パスワードリセットトークン: 発行から1時間で無効化
• レート制限記録: 所定の時間経過後に自動削除

アカウント削除時は、当該ユーザーに紐づく全てのデータを削除します。

9. ユーザーの権利

ユーザーは、個人情報保護法に基づき、以下の権利を有します。

• 開示請求権: ご自身の個人情報の開示を求める権利
• 訂正・追加・削除請求権: 不正確な個人情報の訂正等を求める権利
• 利用停止・消去請求権: 個人情報の利用停止または消去を求める権利
• データポータビリティ: 本サービスのバックアップ機能を使用してデータをエクスポートする権利

これらの権利の行使については、下記連絡先までお問い合わせください。ご本人確認のうえ、合理的な期間内に対応いたします。

10. 企業契約（B2B）における取り扱い

企業・団体が契約主体として本サービスを利用する場合、以下の特則が適用されます。

• 企業の管理者は、所属する従業員の利用状況（利用回数、最終利用日等）を閲覧できます。ただし、個別の記録内容（チェック結果の詳細、ノートの内容等）は閲覧できません
• 従業員のデータは組織IDにより他の企業・個人ユーザーのデータと完全に分離されます
• 企業との契約終了時のデータの取り扱いは、個別の契約条件に従います

11. 未成年者の利用

本サービスは、原則として13歳以上の方を対象としています。13歳未満の方が本サービスを利用する場合は、保護者の同意が必要です。

12. プライバシーポリシーの変更

当協会は、法令の改正やサービス内容の変更に伴い、本プライバシーポリシーを変更することがあります。重要な変更がある場合は、本サービス上またはメールにてお知らせします。変更後のプライバシーポリシーは、本ページに掲載した時点から効力を生じます。