プライバシーポリシー
最終更新日：2026年4月29日
大坪 侑雅（以下「運営者」）は、フリーランス向け業務管理サービス「SOAR」（以下「本サービス」）において、ユーザーの個人情報およびプライバシーの保護を重大な責務と認識しています。本プライバシーポリシー（以下「本ポリシー」）は、運営者が収集する情報の種類、その利用目的、管理方法、ならびにユーザーの権利について明確に説明するものです。本サービスを利用することにより、ユーザーは本ポリシーに同意したものとみなされます。
第1条（適用範囲）
本ポリシーは、本サービスのウェブサイト（soar.o3shy.com）およびそれに付随するすべての機能・ページに適用されます。本サービスと連携する外部サービス（Stripe・Supabase・Vercel等）については、それぞれのプライバシーポリシーが適用されます。
本ポリシーは、個人情報の保護に関する法律（個人情報保護法）、および関連するガイドラインに準拠しています。
第2条（収集する情報の種類）
運営者は、以下の情報を収集・保存します。
① アカウント情報
- メールアドレス（アカウント登録・ログイン認証に使用）
- ニックネーム（任意。ユーザーが設定した場合のみ）
- 年齢層（任意。「20代」「30代」等の大まかな区分）
- 仕事のカテゴリ（任意。クリエイティブ・エンジニア等）
② 業務データ
ユーザーが本サービスに入力した以下の業務情報を保存します。
- 案件名・クライアント名・取引金額・ステータス
- 請求書の内容（発行日・支払期日・金額・備考等）
- 収益カレンダーの記録（日付・金額・メモ等）
- 出費・経費の記録（カテゴリ・金額・月等）
- 単価表の内容（仕事タイプ・単価・単位等）
- 貯金目標の設定（目標名・金額・期日等）
- AIチャットの会話履歴（有料プランユーザーのみ）
③ 決済情報
- クレジットカード情報は運営者のサーバーには一切保存されません。すべてStripe, Inc.のシステム上でPCI DSS準拠の形式で管理されます。
- 運営者が保存するのは、Stripeが発行する顧客ID・サブスクリプションIDのみです。これ単体では個人を特定することはできません。
④ アクセス情報
- IPアドレス（Supabaseの認証ログとして自動記録）
- ブラウザの種類・OSのバージョン（サービス改善のための参考情報）
- サービスの利用日時・操作ログ
第3条（情報の利用目的）
収集した情報は、以下の目的のためにのみ利用します。目的外での利用は行いません。
- 本サービスの提供・運営・機能の改善および新機能の開発
- ユーザー認証およびアカウントの管理
- 有料プランの決済処理・サブスクリプション管理
- ユーザーからのお問い合わせ・サポートへの対応
- サービスに関する重要なお知らせ（障害・変更等）の通知
- 不正アクセス・不正利用の検知および防止
- 利用状況の集計・分析（個人を特定しない形での統計利用）
第4条（第三者への提供）
運営者は、以下の場合を除き、ユーザーの個人情報を第三者に提供・開示・売却しません。
- ユーザー本人から事前の同意を得た場合
- 法令に基づき、裁判所・警察・行政機関等から開示を求められた場合
- 人の生命・身体・財産の保護のために緊急に必要な場合
委託先・利用する外部サービスについて
本サービスは以下の外部サービスにデータ処理を委託しています。各社のプライバシーポリシーに基づいてデータが処理されます。
Supabase, Inc. — データベース・ユーザー認証
ユーザーデータの保存・認証処理を担当。米国サンフランシスコ拠点。SOC 2 Type IIおよびGDPR準拠。
Stripe, Inc. — 決済処理
有料プランの決済処理を担当。カード情報はStripeのみが保持。PCI DSS Level 1準拠。
Vercel, Inc. — ウェブサイトホスティング
本サービスのウェブサイト配信を担当。米国デラウェア州拠点。
第5条（セキュリティ対策）
運営者は、ユーザーの個人情報を不正アクセス・漏洩・紛失・改ざんから保護するために、以下の技術的・組織的な安全管理措置を実施しています。
技術的安全管理措置
- 通信の暗号化：本サービスはすべての通信にTLS（HTTPS）を使用し、データの盗聴・改ざんを防止しています。
- 行レベルセキュリティ（RLS）：データベースにRow Level Security（RLS）を設定しており、各ユーザーは自身のデータのみにアクセスできます。他のユーザーのデータを参照・取得することは技術的に不可能です。
- 認証情報の保護：パスワードはSupabaseのシステム上でハッシュ化して保存され、運営者を含む何者も平文のパスワードを確認することはできません。
- アクセスキーの管理：データベースへの管理者アクセスキーは環境変数として安全に管理され、ソースコード（GitHubリポジトリ等）には一切含まれていません。
- 多要素認証：運営者のSupabaseアカウントには多要素認証（MFA）を設定し、不正ログインを防止しています。
- 静止時の暗号化：Supabaseのデータベースおよびストレージは、AES-256による暗号化が施された状態で保存されています。
組織的安全管理措置
- 運営者は、技術的なサポート・保守目的以外で、ユーザーの業務データ（案件・請求書・収益・出費等）を閲覧・利用しません。
- データベースへのアクセスはログとして記録・保持され、目的外アクセスの抑止および検知に活用します。
- 第三者に対して管理者アクセス権限を付与しません。
第6条（データの保存期間）
ユーザーデータは以下の期間保存されます。
- アカウントが有効な期間中は、すべてのデータを保存します。
- アカウント削除の申請をいただいた場合、合理的な期間内（原則30日以内）にすべての個人データを削除します。
- 法令上の保存義務がある情報については、当該法令で定められた期間保存する場合があります。
- Stripeの決済記録については、Stripeのデータ保持ポリシーに従います。
第7条（クッキー（Cookie）について）
本サービスでは、ユーザー認証のセッション管理のためにクッキーを使用しています。これはサービスの基本機能に必要なものであり、広告目的や第三者へのトラッキングのためには使用していません。
ブラウザの設定によりクッキーを無効にすることは可能ですが、その場合は本サービスへのログインが正常に機能しない場合があります。
第8条（未成年者の利用）
本サービスは、13歳未満の方のご利用を意図していません。13歳未満の方の個人情報を意図して収集することはなく、もし13歳未満の方の情報が収集されていることが判明した場合は、速やかに削除します。
第9条（国際的なデータ転送）
本サービスが利用するSupabase・Stripe・Vercelは米国に拠点を置く企業であり、ユーザーデータが日本国外（主に米国）のサーバーで処理・保存される場合があります。各社は適切なデータ保護の枠組みに基づいて運営されており、運営者はこれらの委託先が適切な安全管理措置を講じていることを確認しています。
第10条（ユーザーの権利）
ユーザーは、自身の個人情報に関して以下の権利を有します。
- 開示請求：運営者が保有するご自身の個人情報の内容を確認する権利
- 訂正・追加：不正確な個人情報の訂正または追加を求める権利
- 削除請求：個人情報の削除（アカウント削除）を求める権利
- 利用停止：目的外利用が行われていると判断した場合に利用停止を求める権利
これらのご要望は、下記お問い合わせ先へメールにてご連絡ください。本人確認を行った上で、合理的な期間内（原則2週間以内）に対応いたします。
第11条（ポリシーの変更）
本ポリシーは、法令の改正・サービスの変更・その他必要が生じた場合に改訂することがあります。重要な変更を行う場合は、本サービス上での告知またはメールにて事前にお知らせします。変更後のポリシーは、本ページに掲示した時点から効力を生じます。
第12条（お問い合わせ）
本ポリシーに関するご質問、個人情報の開示・訂正・削除等のご要望は、以下の窓口までご連絡ください。