プライバシーポリシー

1. はじめに

ObservaMax（「当社」）は、お客様のプライバシーを保護することに努めています。このプライバシーポリシーは、お客様がobservamax.comでウェブサイト監視サービスを利用する際に、当社がどのようにお客様の情報を収集、使用、開示、保護するかを説明するものです。

2. 収集する情報

2.1 アカウント情報

認証プロバイダー（Clerk）を通じてアカウントを作成する際、以下の情報を収集します：

• メールアドレス（必須）
• 名前（オプション）
• プロフィール画像URL（ソーシャルログインで提供された場合）
• アカウント作成および更新のタイムスタンプ

2.2 モニター設定データ

モニターを作成する際、以下を保存します：

• 監視対象として選択したURL、ホスト名、またはIPアドレス
• モニター名、ラベル、タグ
• モニタータイプ（HTTP、TCP、DNS、Ping、またはHeartbeat）
• チェック間隔の設定（30秒〜30分）
• 期待されるHTTPステータスコードとタイムアウト設定
• TCPポート番号とDNSレコードタイプ
• SSL証明書監視のしきい値
• キーワード/コンテンツ検証文字列
• カスタムHTTPメソッド、ヘッダー、リクエストボディ
• 応答時間低下のしきい値
• Heartbeat監視トークンと期待される間隔
• 変更検出設定（コンテンツタイプ、CSSセレクター、無視パターン）
• スクリーンショットのビューポートサイズ（有効な場合）
• アラートしきい値の設定
• メンテナンスウィンドウのスケジュール

2.3 監視データ

当社のサービスは自動的に監視データを収集します：

• アップタイムチェック結果（ステータス、HTTPレスポンスコード、応答時間（ミリ秒）、チェック場所）
• 失敗したチェックのエラーメッセージ
• SSL証明書の詳細（発行者、有効期限、残り日数）
• 変更検出用のコンテンツスナップショットとハッシュ
• 監視対象ページのスクリーンショット（ProおよびAgencyプラン）
• 変更が検出された場合の視覚的差分パーセンテージ
• DNS解決結果とTCP接続ステータス
• Pingの往復時間
• Heartbeat受信タイムスタンプ

2.4 アラートと通知データ

通知設定とアラート履歴を保存します：

• メール通知設定とカスタムメールアドレス
• WebhookのURLとシークレット（HMAC-SHA256署名検証用）
• SlackのWebhook URLとチャンネル設定
• DiscordのWebhook URL
• TelegramボットトークンとチャットID
• SMSおよび音声通話アラート用の電話番号
• 静音時間設定とタイムゾーン設定
• アラート抑制間隔
• チャネルごとのアラート配信ステータスとタイムスタンプ

2.5 請求データ

支払い処理はStripeが行います。以下を保存します：

• StripeカスタマーIDとサブスクリプションID
• 現在のサブスクリプションプランとステータス
• トライアル期間終了日（トライアルユーザーの場合）

完全なクレジットカード番号は保存しません。支払いカードの詳細はPCI-DSS要件に従ってStripeが直接収集・処理します。

2.6 APIアクセスデータ

APIアクセスを有効にしたProおよびAgencyプランユーザーの場合：

• APIキー（安全に保存）
• APIキー作成タイムスタンプ

2.7 ステータスページデータ

公開ステータスページを作成する場合：

• ステータスページの設定とブランディング設定
• 表示用の関連付けられたモニター
• 購読者のメールアドレス（検証トークンと購読解除トークン付き）
• インシデント記録と更新タイムライン

3. 情報の使用方法

収集した情報は以下の目的で使用します：

• 設定されたURLでアップタイム監視チェックを実行
• コンテンツの変更を検出（HTML、テキスト、タイトル、メタタグ、ビジュアル）
• 視覚的変更検出のためのスクリーンショット撮影
• 問題が検出された場合にメール、Webhook、Slack、Discord、Telegram、SMS、または音声通話でアラート通知を送信
• 監視履歴、統計、アップタイムパーセンテージの表示
• サブスクリプション支払いの処理と請求管理
• プラン制限の適用（モニター数、チェック間隔、機能）
• サービスの公開ステータスページの提供
• インシデント管理とステータスページ購読者への通知
• サポートリクエストへの対応
• 法的義務の遵守

4. サードパーティサービスプロバイダー

サービスの運営を支援する以下のサービスプロバイダーとデータを共有します：

• Clerk - 認証とユーザーアイデンティティ管理
• Stripe - 支払い処理とサブスクリプション請求
• Neon - PostgreSQLデータベースホスティング（US-East-1リージョン）
• Cloudflare R2 - スクリーンショットと画像ストレージ
• Resend - アラート用トランザクションメール配信
• Browserless - スクリーンショット撮影用ヘッドレスブラウザサービス
• Trigger.dev - 監視タスクのバックグラウンドジョブ処理
• Twilio - アラート通知用SMSおよび音声通話配信
• Vercel - アプリケーションホスティング

お客様の個人情報を販売することはありません。各プロバイダーはそれぞれのプライバシーポリシーおよび当社のデータ処理契約に従ってデータを処理します。

5. データ保持

サブスクリプションプランに基づいて監視データを保持します：

• TrialおよびStarterプラン: 7日間
• Proプラン: 30日間
• Agencyプラン: 90日間

これはアップタイムチェック、変更記録、コンテンツスナップショット、およびスクリーンショットに適用されます。アラート履歴はプランに関係なく監査目的で最低30日間保持されます。

自動クリーンアッププロセスがUTC午前3時に毎日実行され、プランの保持期間を超えたデータを削除します。アカウントデータはアカウントがアクティブな限り保持されます。アカウント削除時、法律で保持が必要な場合を除き、30日以内にデータを削除します。

6. データセキュリティ

以下を含む適切なセキュリティ対策を実施しています：

• 暗号化されたデータベース接続（SSL/TLS）
• 送信Webhook用HMAC-SHA256署名検証
• 安全なAPIキー生成と保存
• Clerkのwebhook署名検証（Svix）
• Stripeのwebhook署名検証
• プランベースのアクセス制御適用
• APIアクセス用Bearerトークン認証

7. お客様の権利（GDPR）

一般データ保護規則（GDPR）および同様のデータ保護法に基づき、以下の権利があります：

7.1 アクセス権

当社が保持するすべての個人データのコピーを請求できます。データアクセス請求はsupport@observamax.comまでご連絡ください。

7.2 訂正権

アカウント設定または当社への連絡により、不正確または不完全な個人データを訂正できます。

7.3 消去権（忘れられる権利）

ダッシュボード設定のアカウント管理セクションから、いつでもアカウントと関連するすべてのデータを削除できます。これにより以下が永久に削除されます：

• ユーザープロフィールとアカウント情報
• すべてのモニターとその設定
• すべてのアップタイムチェックと監視履歴
• すべてのアラートと通知設定
• すべてのステータスページと購読者データ
• すべてのインシデントと更新
• すべてのAPIキー
• 組織メンバーシップ

この操作は取り消せません。認証プロバイダー（Clerk）からもアカウントを削除します。

7.4 データポータビリティ権

ダッシュボード設定のアカウント管理セクションから、すべてのデータを機械可読形式（JSON）でエクスポートできます。エクスポートには以下が含まれます：

• プロフィール情報
• モニター設定と最近のチェック履歴
• コンテンツ変更記録
• アラート履歴と設定
• ステータスページとインシデント
• APIキーのメタデータ（キー自体は除く）
• 組織メンバーシップ

7.5 異議申立権

特定の目的での個人データの処理に異議を申し立てることができます。この権利を行使するにはsupport@observamax.comまでご連絡ください。

7.6 同意撤回権

処理に同意を根拠としている場合（Cookieなど）、いつでも同意を撤回できます。ブラウザ設定でCookieの設定を管理できます。ステータスページの購読者は、通知メールの購読解除リンクを使用していつでも購読を解除できます。

7.7 苦情申立権

データ保護権が侵害されたと考える場合、監督当局に苦情を申し立てる権利があります。

これらの権利を行使するには、ダッシュボード設定のセルフサービスオプションを使用するか、support@observamax.comまでご連絡ください。30日以内にご要望に対応します。

8. CookieとConsent

以下の目的で必須Cookieを使用しています：

• 認証セッション管理（Clerk経由）
• ユーザー設定（テーマ、言語選択）

当社のウェブサイトに初めてアクセスすると、Cookie同意バナーが表示されます。選択（同意または拒否）はローカルに保存され、コンプライアンス目的でデータベースにも記録されます。以下を追跡します：

• 与えられた同意の種類
• 同意が与えられたか拒否されたか
• 選択のタイムスタンプ
• IPアドレスとブラウザ情報（監査目的）

ウェブサイトの使用状況を理解するためにVercel Analyticsを使用しています。このサービスは匿名化された使用データを収集し、トラッキングにCookieを使用しません。 詳細についてはCookieポリシーをご覧ください。

9. 国際転送

お客様のデータは主にインフラストラクチャが所在する米国で処理されます（US-East-1リージョンのNeonデータベース、Cloudflare R2ストレージ）。適用されるデータ保護法に準拠した国際データ転送のための適切な保護措置を確保しています。

10. 子供のプライバシー

ObservaMaxは16歳未満のユーザーを対象としないビジネスサービスです。子供から故意に個人情報を収集することはありません。子供からデータを誤って収集したと思われる場合は、すぐにsupport@observamax.comまでご連絡ください。

11. ポリシーの変更

このプライバシーポリシーは随時更新される場合があります。重要な変更については、メールまたはサービス上の目立つ通知でお知らせします。変更後の継続使用は、更新されたポリシーへの同意を意味します。

12. お問い合わせ

このプライバシーポリシーまたは当社のデータ慣行についてご質問がある場合は、以下までご連絡ください：

メール：support@observamax.com