個人データ処理ポリシー
1. 総則
1.1. 本ポリシーは、運営者が本サービスに関連して、自動化された手段を用いて、または用いずに処理するすべての個人データに適用されます。
1.2. 本サービスへのログインは、polyzon.orgのアカウントで行われます。本サービスとpolyzon.orgは同一の運営者に帰属します。polyzon.org上のアカウントデータの処理については、polyzon.orgの文書に記載されています。
1.3. 個人データは、第4節に掲げる法的根拠に基づいて処理されます。本サービスの運営のために、処理についての個別の同意は必要ありません。この処理は、ユーザーが当事者である利用規約およびオファーの履行に必要なためです。運営者が同意を要する処理（たとえば広告メールの配信や分析）を開始する場合は、他の文書とは別に同意を求めます。
2. 運営者に関する情報
- 個人事業主 Nikulin Artem Andreevich
- INN（ロシアの納税者番号）：434547133957、OGRNIP（個人事業主の主たる国家登録番号）：326430000048653
- 国家登録：2026年7月30日、キーロフ州連邦税務局
- お問い合わせの郵便送付先：office 1022, 109 Lenina St., Kirov, Russia
- 個人データの主体からのお問い合わせ用メールアドレス：support@polyzon.org
- 個人データの処理の管理責任者は、運営者本人です。
3. 処理の原則
運営者は、個人データを次のとおり処理します。
- 適法かつ公正に、第4節に定めるあらかじめ特定された目的のためにのみ処理します。
- これらの目的に必要な範囲で処理し、目的が両立しないデータベースを統合しません。
- データの正確性を確保し、不正確なデータを削除または訂正するための措置を講じます。
- 処理の目的、契約または法律が求める期間を超えて処理せず、その後はデータを消去または匿名化します。
4. 目的、データの内容、法的根拠および保存期間
| 目的 | データ | 法的根拠 | 保存期間 |
|---|---|---|---|
| ログインおよびアカウントの管理 | polyzon.orgアカウントの仮名識別子。ユーザーが提供を許可した場合は、メールアドレス、氏名およびプロフィール画像のURL。紹介コード。作成日。文書に同意したバージョンと日時、および同意時のIPアドレス | 契約の履行（個人データ法第6条第1項第5号） | アカウントの削除まで。文書への同意に関する記録は、運営者の権利を保護するため、削除後3年間（出訴期限）保存します（第6条第1項第7号） |
| 本サービスの提供 | 説明およびメッセージ、アップロードされた画像、写真および3Dモデル、作成された成果物、生成およびアシスタントとのチャットの履歴、公開リンク、お気に入りのツール、設定 | 契約の履行（第6条第1項第5号） | ユーザーが該当する素材またはアカウントを削除するまで |
| 支払いおよびトークンの管理 | パック、支払いの金額、日付および状態、YooKassaにおける支払ID、領収書の送付先メールアドレス、トークン残高の取引 | 契約の履行（第6条第1項第5号）。レジスター機器、税務会計および会計に関する法律上の義務（第6条第1項第2号） | 取引が行われた年の末日から5年間 |
| 紹介プログラム | 紹介コード、「招待者と被招待者」の関係、付与されたトークン、Cookie studio_ref | 契約の履行（第6条第1項第5号） | アカウントの削除まで。付与の記録は残高の取引の一部として保存 |
| サポート、請求およびフィードバック | 「ヘルプ」チャットおよびメールでのメッセージ、アシスタントの回答に対する評価およびフィードバック、申立ておよび請求に含まれる情報 | 契約の履行（第6条第1項第5号）。本サービスの改善および自己の権利の保護に関する運営者の正当な利益（第6条第1項第7号） | アカウントの削除まで。ただし、最後のメッセージから3年を超えない期間 |
| セキュリティの確保および不正利用の防止 | IPアドレス、ブラウザーのデータ（User-Agent）、セッションキーのハッシュ、ログインおよびリクエストの日時、リクエスト頻度制限のカウンター、技術ログ | 本サービスおよびユーザーの保護に関する運営者の正当な利益（第6条第1項第7号） | セッション：ログアウトまたは有効期限（30日）まで。技術ログ：12か月以内 |
| 法律上の要件の遵守 | 個人データの主体、裁判所および権限ある機関からの照会に回答するために必要な情報 | 法律上の義務（第6条第1項第2号） | 法律で定める期間 |
4.1. データが処理される主体：本サービスのユーザー、ウェブサイトの訪問者、および運営者に問い合わせまたは申立てを送付した者。
4.2. 運営者は、特別な種類の個人データおよび生体個人データを処理しません。アップロードされた写真は、依頼に応じた画像および3Dモデルの作成にのみ使用され、個人の識別には使用されません。
4.3. 運営者は、第三者に関する情報を意図的に収集しません。ユーザーが他人の写真をアップロードする場合、ユーザーはその人の同意を得なければなりません（利用規約第8節）。写っている本人の求めがあれば、そのような素材は削除されます。
4.4. 本サービスは、14歳未満の者を対象としていません。そのような者のアカウントは、法定代理人の求めにより、またはその事実が判明した時点で、データとともに削除されます。
4.5. 運営者は、自動化された処理のみに基づいて、ユーザーに法的効果を生じさせる決定を行いません。AIプロバイダーの自動フィルターが生成を拒否する場合があります。その場合、当該生成のトークンは返還され、ユーザーはサポートに問い合わせることができます。
5. 処理の手続および条件
5.1. 処理には、収集、記録、体系化、蓄積、保存、訂正、抽出、利用、移転（提供、アクセス）、匿名化、ブロック、削除および消去が含まれます。処理は主に自動化された手段で行われます。
5.2. データは、ユーザー本人から、およびログイン時にpolyzon.orgから取得されます。ロシア連邦国民の個人データの記録、体系化、蓄積、保存、訂正および抽出は、ロシア連邦の領域内にあるサーバー上のデータベースで行われます（個人データ法第18条第5項）。
5.3. 「ツール」セクションのツールはユーザーのブラウザー上で動作します。ツールにアップロードされたファイルは、ユーザー自身が成果物をスタジオ、ライブラリまたはアシスタントに送信しない限り、運営者に送信されません。
6. データの提供
6.1. 運営者は、目的に必要な範囲でのみ、個人データを次の者に提供します。
- ノンバンク信用機関YooMoney有限責任会社（YooKassaサービス、ロシア）：支払いの受付および領収書の送付のため。金額、購入内容、本サービスにおける注文IDおよびユーザーID、領収書の送付先メールアドレス。カード情報はユーザーがYooKassa側で入力し、運営者はこれを受け取りません。
- ホスティングサービス事業者（ロシア国内のデータセンター）：運営者の委託により、本サービスをホスティングし、データを保存するため。
- AIプロバイダー：ユーザーの依頼を実行するため。OpenRouter, Inc.（米国）およびそれがリクエストを送信する人工知能モデル、ならびに3DモデルについてはMeshy（米国）。提供されるのはリクエストの内容（説明、アシスタントへのメッセージ、アップロードされた画像およびモデル）のみであり、氏名、メールアドレスおよびアカウントの識別子は含まれません。
- 国家機関および裁判所：法律で定める場合および手続による。
6.2. AIプロバイダーへの提供は越境移転であり、その移転先は、個人データの主体の権利の適切な保護を確保する国の一覧に含まれない国です。この移転は、個人データ法第12条に定める手続に従い、ユーザーの依頼に基づいてユーザーとの契約を履行するためにのみ行われます。個人データがAIプロバイダーに渡るのは、ユーザー自身がそれをリクエストに含めた場合に限られます。説明やメッセージに個人データを含めないでください。また、人物の写真は本人の同意を得た場合にのみアップロードしてください。
6.3. AIプロバイダーは、受け取ったデータを、それぞれのウェブサイトで公開している自らの規則に従って処理します。運営者は、ユーザーの素材を人工知能モデルの学習に使用せず、個人データを販売しません。
7. 処理の終了および消去
7.1. 運営者は、目的が達成された場合、第4節に定める期間が満了した場合、同意が撤回された場合（処理が同意に基づいていた場合）、正当な利益に基づく処理の停止を主体が求めた場合、または違法な処理が判明した場合には、個人データ法第21条に定める期間内（原則として30日以内）に、処理を終了し、個人データを消去します。
7.2. ユーザーは、本サービス内の自己の素材を、ライブラリおよび「アカウント」セクションで自ら削除します。アカウント全体は、依頼に応じて運営者が削除します。運営者が法律により保存を義務づけられているデータ（第4節「支払いおよびトークンの管理」）は、期間の満了まで分離して保存され、他の目的には使用されません。バックアップからは、定期的な上書きの際にデータが削除されます。
7.3. 消去は、ロスコムナゾール（ロシアの個人データ保護監督機関）が定める手続に従い、消去証明書およびログの抽出記録により確認されます。
8. 個人データの保護
8.1. 運営者は、次のものを含む法的、組織的および技術的な保護措置を講じます。
- OpenID Connectプロトコル（authorization code + PKCE）によるpolyzon.org経由のログイン。本サービスはパスワードを受け取らず、保存しません。
- セッションキーをSHA-256のハッシュとしてのみ保存すること。
- TLSプロトコルによる通信の暗号化。
- データおよび管理機能へのアクセスの制限。
- 総当たり攻撃および不正利用の防止：リクエスト頻度の制限、CSRF対策、入力値の検証。
- ソフトウェアの定期的な更新と脆弱性の解消。
- バックアップの作成、および本ポリシーの遵守状況の管理。
8.2. 主体の権利の侵害をもたらす個人データの違法な移転があった場合、運営者は24時間以内にロスコムナゾールに通知し、調査結果を72時間以内に通知します（個人データ法第21条第3.1項）。
9. 個人データの主体の権利
9.1. 個人データの主体は、次の権利を有します。
- 自己の個人データの処理に関する情報を得ること。
- データが不完全、古い、不正確、違法に取得された、または表明された目的に必要でない場合に、その訂正、ブロックまたは消去を求めること。
- 運営者の正当な利益に基づいて行われる処理の停止を求めること、および処理が同意に基づいていた場合に同意を撤回すること。
- 運営者の行為についてロスコムナゾールまたは裁判所に不服を申し立て、損害の賠償および精神的損害の補償を求めること。
9.2. 請求は、アカウントのメールアドレスからsupport@polyzon.org宛てに、または次の住所宛ての書面で送付します：office 1022, 109 Lenina St., Kirov, Russia。請求には、運営者との関係を確認できる情報（たとえばアカウントのメールアドレス）と、請求の内容を記載します。
9.3. 運営者は、請求の受領日から10営業日以内に回答します。この期間は、理由を付した通知を送付することにより、5営業日を超えない範囲で延長されることがあります。
10. Cookie
本サービスは、必須Cookieと機能Cookieのみを使用しており、分析用および広告用のCookieはありません。詳しくはCookieポリシーをご覧ください。
11. 本ポリシーの変更
11.1. 運営者は、本ポリシーを変更することができます。新しい版は、別段の定めがない限り、公表の時点から効力を生じます。重要な変更については、運営者は本サービス内で通知します。
11.2. 現行版は、常にhttps://studio.polyzon.org/ja/legal/data-processingで確認できます。