プライバシーポリシー
Cairn（以下「本サービス」）は、利用者のプライバシーを最大限尊重します。本ポリシーは、本サービスが収集・利用・保管する個人情報の取り扱いを定めます。本ドラフトは、GDPR・個人情報保護法・CCPA・LGPD 等の横断レビューを前提としています。
1. 収集する情報
1.1 書き込み者から収集する情報
- 自己申告による氏名
- 自己申告による生年および居住国
- メールアドレス（連絡用）
- 決済情報（決済事業者経由、本サービスは保管しません）
- 書き込み本文
- 書き込み時のIPアドレス・ユーザーエージェント（不正防止）
- 本人確認書類（パスポート、運転免許証、国民ID等のスキャン/写真）: 利用規約第3条3項に基づき、運営者が事後に提出を求め、利用者が同意の上で提出した場合に限り収集します。
1.2 閲覧者から収集する情報
- 閲覧ページ・アクセス日時（匿名集計のみ）
- IPアドレス（30日間のみ保持、DDoS対策用）
閲覧にアカウントは不要で、閲覧者の個人情報は収集しません。
2. 情報の利用目的
| 情報 | 目的 |
|---|---|
| 本人確認書類 | 書き込み者が実在する本人であることの確認、重複登録防止 |
| 氏名・生年 | 同上、および公開メタ情報（生年のみ）への反映 |
| 居住国 | 公開メタ情報、料金体系の適用 |
| メールアドレス | アカウント関連の連絡（書き込み確定・証明書発行等） |
| 書き込み本文 | 本サービスの提供（公開） |
| IP/UA | 不正アクセス防止、地域別料金適用 |
3. 情報の公開範囲
3.1 公開される情報
- 書き込み本文
- 生年（西暦4桁のみ、月日は非公開）
- 国
- 書き込み日付
- 表示名（利用者選択: 実名 / ペンネーム / 無記名）
- コンテンツハッシュ
3.2 公開されない情報
- 本人確認書類の内容
- 氏名（本人が実名公開を選択しない限り）
- 生年月日（月日部分）
- メールアドレス
- 決済情報
- IPアドレス・アクセスログ
4. 第三者提供
以下の場合を除き、個人情報を第三者に提供しません:
- 決済事業者（Stripe等）: 決済処理のため
- クラウドインフラ（Cloudflare等）: データ保管・配信のため（暗号化状態で保管）
- KYC業務委託先（Onfido, Persona等の認定事業者）: 現行運用では本人確認業務を第三者に委託していません。将来委託する場合は、本ポリシーを事前に改定し、必要最小限のデータのみを共有します。
- 法令に基づく開示: 裁判所命令、捜査関係事項照会書等の正当な法的要求
- 本人の明示的同意がある場合
各委託先とは、GDPR準拠のデータ処理契約（DPA）を締結します。
5. 越境データ移転
本サービスのサーバーは複数地域に分散配置されます（冗長性のため）。利用者の個人情報は、日本・米国・欧州連合のサーバーに保管される可能性があります。GDPR第44条以下の越境データ移転要件を満たすため、Standard Contractual Clauses（標準契約条項） を各委託先と締結します。
6. データ保持期間
| データ | 保持期間 |
|---|---|
| 書き込み本文・公開メタ | 永続（書き込み者の意思に従う） |
| 本人確認書類（任意提出のもの） | 当該案件の解決後 90日以内に削除。ただし日本の法令で記録保持が必要な場合は最大 7年（所得税法施行規則による帳簿類保存義務に準拠）。 |
| 本名・メールアドレス・カード指紋（重複検出用） | 該当する書き込みが取り下げられない限り保持。書き込みが取り下げられた場合は 30日以内に削除。 |
| 決済履歴 | 法令上必要な期間（日本: 7年） |
| アクセスログ（IP/UA） | 30日 |
| メールアドレス（連絡用） | アカウント存続期間 |
書き込みデータの「永続」保持は、本サービスの中核的価値です。ただし利用者本人の削除要求（規約第11条）に応じる場合を除きます。
本人確認書類は 運用上は通常取得していません。提出をお願いするのは、不正・重複登録等の疑いが生じた具体的な案件のときだけです。提出は任意であり、提出していただいた書類は上記の期間が経過し次第、暗号化保管領域から物理的に削除されます。
7. 利用者の権利
- アクセス権: 保有する個人情報の開示を求める権利
- 訂正権: 誤った情報の訂正を求める権利（書き込み本文は訂正不可）
- 消去権（忘れられる権利）: 一定条件下で個人情報の削除を求める権利（GDPR第17条準拠、規約第11条に従う）
- データ・ポータビリティ権: 自身のデータを機械可読形式で受け取る権利
- 同意撤回権: KYC情報処理等への同意を将来に向けて撤回する権利
権利行使は、本ポリシー末尾の連絡先まで請求してください。
8. セキュリティ
- 本人確認書類は AES-256暗号化 でクラウドに保管
- 暗号鍵は HSM（ハードウェアセキュリティモジュール） で保護
- アクセスは 多要素認証 + 職務分掌 を徹底
- 年次の第三者セキュリティ監査を実施
- TLS 1.3 による通信暗号化
9. Cookie および類似技術
本サービスは、書き込みフロー中のセッション維持のためにのみ Cookie を使用します。追跡 Cookie・広告目的 Cookie は使用しません。サードパーティ解析（Google Analytics等）も 使用しません。
10. 子どものプライバシー
- 16歳未満の者から直接個人情報を収集しません（保護者代理登録を除く）。
- 保護者代理登録の場合、保護者が子どもの情報を提供する法的権限を有することの確認を求めます。
- 子どもに関する情報は、子どもが成人した時点で、本人に対するデータアクセス権・削除権を認めます。
11. 本ポリシーの変更
本ポリシーは予告なく改訂されることがあります。重大な変更の場合、登録メールアドレスへ通知します。
12. 連絡先
- 屋号: Cairn
- 運営形態: 個人事業主
- 問い合わせ窓口: privacy@c4irn.net
運営責任者の氏名および所在地は、非開示としております。 ただし、特定商取引法その他の法令に基づきご請求があった場合には、遅滞なく書面または電子メールにてお知らせいたします（請求開示方式）。ご請求は上記問い合わせ窓口宛にお願いいたします。
個人情報の開示請求・訂正請求・利用停止請求・その他本ポリシーに関するお問い合わせも、上記窓口宛にご連絡ください。