プライバシーポリシー

1. 概要

BabySteps（以下「本サービス」）は、0歳から10歳のお子様を対象としたAI学習プラットフォームです。本ポリシーでは、適用される児童データ保護法（例：米国のCOPPA、EUのGDPR-K、韓国の個人情報保護法（PIPA）第30条（韓国ユーザー向け））に基づき、本サービスがお客様の個人データをどのように収集、使用、保存、削除するかを説明します。

2. 収集する個人データ

2-1. アカウント登録と管理（保護者／法定代理人）

• 必須：メールアドレス、および固有のソーシャルアカウントID（GoogleまたはAppleサインイン）
• 任意：ニックネーム、プロフィール画像

2-2. サービス利用記録

• AI学習コンテンツ履歴（物語、英語、韓国語、数字、塗り絵）
• 生成されたコンテンツのテキストとアセット（物語本文、学習教材、塗り絵ページ）
• お子様が作成した塗り絵のストロークデータ（coloring_strokes）
• 機能ごとの利用回数、タイムスタンプ、トークン使用量（usage_logs）— 請求および製品改善のために使用されます
• 学習進捗データ（クイズ結果など）

2-3. 支払い情報（有料サブスクリプション）

• 購入日時、金額、支払い方法の種類、サブスクリプション期間
• * クレジットカード番号、有効期限、その他の実際の支払い情報は、本サービスでは一切保存されません。Apple App Store、Google Play、および当社のサブスクリプション処理業者（RevenueCat）がこれらを処理します。

2-4. 音声プロフィール（オプション機能）

• ユーザーが入力したTTS APIキー（Fish Audio）、暗号化されて保存されます
• 音声モデル作成のためにユーザーが録音した音声サンプル（Fish Audioに送信。童謡カバー生成時はReplicateにも送信）、生成された音声プロフィールIDと音声設定

2-5. 自動的に収集される情報

• アクセス IP、ブラウザ種別、OS、アクセス日時（Vercel サーバーログ・Cloudflare プロキシ）
• クッキーおよびセッショントークン（Supabase Auth）
• 利用統計用 Cookie（Google Analytics — EEA・英国・スイスでは収集しません）

2-6. 収集しない情報

• お子様の氏名、生年月日、住所、電話番号、その他直接個人を特定できる情報
• 位置情報、デバイスの連絡先、写真ライブラリ、カメラまたはマイクの許可
• 広告識別子（GAID / IDFA）

3. 個人データの利用方法

• アカウントの認証、アカウントの管理、および本サービスの提供
• 年齢に応じたAI学習コンテンツの生成と提供
• サブスクリプション支払いの処理とサブスクリプションステータスの管理
• サービス利用統計、品質改善、エラー分析
• 不正利用の防止と本サービスのセキュリティ維持
• 適用される電子商取引法に基づく取引記録の保持など、法的義務の履行

4. 保持と削除

• アカウント情報とプロフィール：アカウントを閉鎖すると直ちに削除されます
• 学習コンテンツ：14日（無料版）または30日（プレミアム版）後に自動的に削除されます。永久保存としてマークされたアイテムは保持されます
• 利用ログ（usage_logs）：アカウント閉鎖後90日間保持され、その後削除されます
• 支払いおよび取引記録：適用される電子商取引法（韓国ユーザー向けには韓国電子商取引消費者保護法）により義務付けられている場合、5年間保持されます
• アクセスログ：適用される通信秘密保護法（韓国ユーザー向けには韓国通信秘密保護法）により義務付けられている場合、3ヶ月間保持されます
• 不正利用記録：1年間保持され、その後削除されます

5. 第三者との共有および処理

当社は、お客様の個人データを第三者に販売したり、第三者自身の目的のために共有したりすることはありません。本サービスを運営するため、当社は以下の信頼できる処理業者を利用しています。一部はお客様の国以外に所在するため、登録時にこの移転について開示しています。

AIコンテンツを生成する際、生成に必要な情報（トピックや年齢範囲など）のみがGoogle・Fish Audioに送信されます。童謡カバーを作成する際は、登録した声の参照音声がReplicateに送信されます。メールアドレスなどの個人を特定する情報は、いずれの場合も送信されません。

6. お子様のプライバシー (保護者の同意)

本サービスはお子様向けに作られており、お子様のプライバシー保護を最優先事項としています。

• 14歳未満のお子様が本サービスを利用するには、適用される児童データ保護法（例：米国のCOPPA、EUのGDPR-K、韓国の個人情報保護法第22条の2）に基づき、保護者または法定代理人の方からの事前の同意が必要です。
• サインアップは、保護者または法定代理人の方がGoogleまたはAppleアカウントを使用して行います。サインアップの流れには、保護者の同意チェックボックスが含まれています。
• 当社はお子様から直接個人データを収集することはありません。サインアップ、支払い、アカウント管理はすべて保護者または法定代理人の方が行います。
• 当社は、お子様を対象とした行動追跡、プロファイリング、ターゲット広告は行いません (COPPA / GDPR-K準拠)。
• 当社は、チャット、コメント、共有など、お子様同士のコミュニケーション機能は提供していません。
• チェックアウト時のペアレンタルゲートにより、お子様による誤った購入を防ぎます。
• 保護者または法定代理人の方は、いつでもお子様の個人データへのアクセス、訂正、削除、または処理の停止を要求することができます。

詳細については、保護者の同意に関する通知をご覧ください。

7. お客様の権利と行使方法

• お客様は、いつでもご自身の個人データへのアクセス、訂正、削除、または処理の停止を要求することができます。
• プロフィールメニューからアカウントを閉鎖することで、お客様のすべての個人データを直ちに削除できます。
• プロフィールメニューまたはkyd3534@gmail.comまでご請求ください。遅滞なく対応いたします。
• 14歳未満のお子様の場合、保護者または法定代理人の方がお子様に代わってこれらの権利を行使することができます。

8. お客様のデータを安全に保つ方法

• すべての通信はHTTPS (TLS) 暗号化を使用しています。
• パスワードは保存しません (GoogleおよびAppleサインインのみをサポートしています)。
• TTS APIキー (Fish Audio) などの機密性の高い値は、保存時に暗号化されます。
• Supabaseの行レベルセキュリティ (RLS) により、各ユーザーのデータは分離されています。
• 管理アクセスは指定されたアカウントに限定され、アクセス活動はログに記録されます。
• 社内スタッフは定期的にプライバシーおよびデータ保護に関するトレーニングを受けています。

9. クッキーおよび類似の技術

• お客様のサインイン状態を維持するために、必須クッキー (Supabase Auth) を使用しています。
• Vercel Analyticsは、サービスの改善に役立てるため、集計された訪問統計を収集する場合があります (個人を特定する情報はありません)。
• 当社は、広告または追跡クッキーを使用しません。

10. プライバシーに関するお問い合わせ

当社のプライバシー責任者および事業連絡先に関する情報は、事業者情報ページでご確認いただけます。プライバシーに関するご質問は、kyd3534@gmail.comまでメールでお問い合わせください。

他の法域にお住まいの場合は、現地のデータ保護当局（例：米国のFTC、英国のICO、該当するEUのDPA、または韓国のユーザーの場合はKISAの個人情報侵害申告センターprivacy.kisa.or.kr）にもお問い合わせいただけます。

11. 本ポリシーの変更

本ポリシーを更新する場合、変更が発効する少なくとも7日前にサービス内で通知を掲載します。ユーザーに不利益をもたらす変更については、30日前に通知します。