LEGAL / 国際プライバシーポリシー
SkyPeople.online 国際プライバシーポリシー
Privacy Policy
- データ管理者
- メディアシステム有限会社 / Media System Co., Ltd.
- 制定日・改訂日
- 2026年10月26日 (v1.2)
- DPO 法務窓口
- contact@media-system.org
第1条（基本理念・国際法務遵守宣言およびデータ管理者情報）
メディアシステム有限会社（Media System Co., Ltd.、以下「当社」）は、航空・スカイダイビングテレメトリ解析プラットフォーム「SkyPeople.online」（以下「本サービス」）のグローバル展開にあたり、利用者のプライバシーの尊重と個人データの適法かつ適正な取扱いを最重要の経営責務と認識しています。
当社は、以下の世界主要国の包括的プライバシー保護法令を遵守します：
日本国: 個人情報の保護に関する法律（APPI）および関連ガイドライン。
欧州連合（EU / EEA）: 一般データ保護規則（General Data Protection Regulation - Regulation (EU) 2016/679: GDPR）および各加盟国の国内法。
英国（UK）: 英国一般データ保護規則（UK GDPR）および 2018 年データ保護法（Data Protection Act 2018）。
アメリカ合衆国（US）: カリフォルニア州消費者プライバシー法（CCPA）およびカリフォルニア州プライバシー権利法（CPRA）、バージニア州（VCDPA）、コロラド州（CPA）、コネチカット州（CTDPA）、テキサス州（TDPSA）等の各州包括的プライバシー法、並びに連邦児童オンラインプライバシー保護法（COPPA）。
【データ管理者（Data Controller / 事業者）の情報】:
法人名: メディアシステム有限会社（Media System Co., Ltd.）
本店所在地: 日本国 静岡県浜松市中央区（旧：中区）伝馬町
グローバル法務・データ保護責任組織: Data Protection Officer / Legal Compliance Team
公式連絡先メールアドレス: contact@media-system.org
公式コーポレートサイト: https://media-system.org
第2条（収集する個人情報のカテゴリーおよび取得方法）
当社は、本サービスの提供に伴い、段階的かつ必要最小限の原則（Data Minimization）に基づき、以下の個人情報を取得します。なお、米国カリフォルニア州法（CCPA/CPRA § 1798.140）に準拠したカテゴリー区分を併記します：
【Level 0: 匿名識別情報（セキュアストレージ連動）】:
識別子（Identifiers / CCPA Category A）:
個人実名を紐付けない暗号化された一意の匿名 UUID。Apple 端末の iCloud Keychain、または Android 端末の暗号化ハードウェア（Android Keystore / EncryptedSharedPreferences）を介して安全に保持されます。ユーザーが明示的に実名やメールアドレスを登録しない限り、個人を特定不能な状態で管理されます。
インターネットその他の電子ネットワーク活動情報（Internet/Network Activity / CCPA Category F）:
OS バージョン（iOS, Android, watchOS, Garmin OS, Wear OS等）、ハードウェアモデル（iPhone, Apple Watch Ultra, 各社 Android 端末, Garmin 各種スマートウォッチ等）、アプリバージョン、通信状態、および画面解像度。
【Level 1: 認証・アカウント情報（ユーザーが登録した場合）】:
識別子および顧客記録情報（Identifiers & Customer Records / CCPA Category A & B）:
メールアドレスおよびハッシュ化暗号化パスワード。
Sign in with Apple 識別子: Apple ID 連携時に取得する暗号化リレー識別子（匿名転送メールを含む）。
Google アカウント認証識別子: Google ログイン（Google OAuth）連携時に取得するユニークユーザー識別子。
ユーザーが任意で設定した公開ニックネームおよびアバター画像。
【Level 2: スカイダイビング活動・テレメトリデータ】:
高精度位置情報（Geolocation Data / CCPA Category G）:
Apple Watch, Garmin, Wear OS, Android/iOS 端末の内蔵センサー、または外部 GNSS ロガー機器から取得される高精度 GNSS 座標（経度・緯度・楕円体高）、気圧高度、降下速度、水平速度、滑空比、加速度（Gフォース 3軸）、角速度、および方位角の時系列データ。
ダイブログ属性情報:
ジャンプ日時、降下回数、ドロップゾーン（降下場）、航空機型式、キャノピー（メイン・予備）、リグ情報、およびメモ。
センシティブ個人情報／特別カテゴリーデータ（Sensitive Personal Information / GDPR Art. 9 / CCPA § 1798.140(ae)）:
各種対応スマートウォッチ（Apple Watch, Garmin, Wear OS 等）で計測された心拍数データ（健康・生体データ）、およびユーザーが航空力学・翼面荷重（Wing Loading）解析のために任意で入力した体重・装備重量。
【決済・商業的取引情報（Commercial Information / CCPA Category D）】:
Stripe、Apple App Store（StoreKit）、または Google Play（Google Play Billing）から受領する決済トークン、顧客 ID、購入プラン種別、有効期限、および決済成否ステータス。
※当社サーバーは、ユーザーの完全なクレジットカード番号（PAN）やセキュリティコード（CVV）を一切保持・保存せず、PCI DSS 準拠の決済代行機関（Stripe / Apple / Google）が直接処理します。
【監査およびセキュリティログ（CCPA Category F）】:
IP アドレス、アクセス日時、リクエスト URL、HTTP ステータスコード、および不正アクセス検知ログ（admin_audit_logs）。
第3条（個人情報の利用目的および適法処理の根拠）
当社は、収集した個人情報を以下の目的のために利用します：
本サービスの基本機能（ダイブログ記録、3D フライトリプレイ SkyStage™、テレメトリ解析、マルチベンダーデバイス連携、およびデータクラウド同期）の提供・維持。
PRO 有料サブスクリプションの課金管理、更新、および権利認証。
AI 復習アシスタント機能（飛行軌道の統計的解析および安全振り返りコメントの生成）。
アカウント認証、パスワードリカバリ、およびカスタマーサポート対応。
不正アクセス、テレメトリデータの改ざん、サービス妨害、および利用規約違反行為の検知・調査・防御（監査証跡の保全）。
法令上の義務の履行、および法的主張の立証・行使・防御。
【欧州 GDPR および英国 UK GDPR に基づく適法処理の根拠（Legal Bases for Processing）】:
契約の履行（Art. 6(1)(b)）: 本規約に基づく本サービスの提供、アカウント管理、および決済の処理。
正当な利益（Art. 6(1)(f)）: システムのセキュリティ確保、プラットフォームの完全性維持、不正行為・Ban逃れの防止、サービスの品質向上、および法的紛争からの自己防衛。
明示的な同意（Explicit Consent / Art. 6(1)(a) & Art. 9(2)(a)）: 特別カテゴリーデータに該当する心拍数等の生体データの処理、および任意のマーケティング連絡。ユーザーはいつでも同意を撤回できます。
法的義務の遵守（Art. 6(1)(c)）: 税法、商法、および電子商取引規制に基づく財務・取引記録の保管。
第4条（プライバシー・バイ・デザイン・匿名優先および高精度位置情報保護）
【匿名優先アーキテクチャ（Privacy by Design）】:
本サービスは、ユーザーがメールアドレスや実名を提供することなく、Apple iCloud Keychain または Android Keystore 等の端末暗号化ストレージ連動の匿名 UUID のみで 3D ログブックの全記録を開始できるアーキテクチャを実装しています。
【公開・非公開の完全制御（プライバシートグル）】:
ユーザーが記録したダイブログおよび 3D 軌跡データは、デフォルトで「完全非公開（Private）」として保存されます。ユーザー自身の明示的な操作により「公開（Public）」または「マルチプレイヤー共有」に設定されない限り、第三者に公開されることはありません。
【高精度位置情報（生座標）の防護】:
コミュニティ表示や共有リンクにおいて、ドロップゾーンの安全境界および私有地防護のため、離陸滑走路や着地地点の超高精度な生座標は、ユーザーの設定に基づきマスキングまたは低解像度化して表示されます。
第5条（個人情報の第三者提供・販売および共有の不実施・業務委託）
【個人情報の販売・共有の完全不実施（NO SALE & NO SHARING FOR BEHAVIORAL ADVERTISING）】:
当社は、米国カリフォルニア州法（CCPA/CPRA）およびその他の適用法令に定義される「個人情報の金銭的またはその他の有価対価を得るための販売（Sale）」を行っていません。
当社は、クロスコンテキスト行動ターゲティング広告（Cross-Context Behavioral Advertising）を目的とした個人情報の第三者との「共有（Sharing）」を行っていません。過去 12 か月間においても同様です。
【信頼できるサービスプロバイダー（業務委託先）への委託】:
当社は、本サービスの安定的・安全な提供のため、厳格な守秘義務・データ保護契約を締結した以下のクラウド基盤事業者にデータのホスティングおよび処理を委託しています：
Supabase, Inc.（米国）: データベース（PostgreSQL / PostGIS）、ユーザー認証、および Edge Functions（暗号化通信）。
Vercel, Inc.（米国）: Web アプリケーション配信およびエッジ CDN。
Stripe, Inc. / Apple Inc. / Google LLC（米国）: 有料サブスクリプション決済処理およびアプリ配信基盤。
Resend, Inc.（米国）: トランザクション認証メール送信。
第6条（国際データ越境移転および法的保護措置）
本サービスのクラウドインフラは、主に米国および日本等のデータセンターに配置されています。
【欧州連合（EU）および英国からのデータ越境移転】:
欧州経済領域（EEA）から日本へのデータ移転は、欧州委員会による十分性認定（Adequacy Decision）に基づき適法に実施されます。
EEA または英国から米国その他の十分性認定未取得国へのデータ移転に際しては、欧州委員会採択の標準契約条項（Standard Contractual Clauses - SCCs / 施行決定 (EU) 2021/914）、英国情報コミッショナー庁（ICO）採択の国際データ移転協定（International Data Transfer Addendum - IDTA）、またはデータ保護フレームワークに基づき、欧州と同等の厳格な法的保護措置を担保します。
第7条（安全管理措置および技術的防護）
当社は、個人データの漏洩、滅失、毀損、改ざん、および不正アクセスを防止するため、APPI、GDPR 第32条、および CCPA に準拠した以下の多層防御措置を講じています：
通信の完全暗号化: すべての外部通信（Web、モバイル、ウェアラブル、API）において TLS 1.3 を強制。
行レベルセキュリティ（RLS: Row Level Security）: データベース層において、各ユーザーが自己の所有するデータレコードにのみアクセスできる厳格なアクセス制御を強制。
特権アクセスの最小化: 本番データベースおよび管理ポータルへのアクセスは、HMAC 署名認証および強固な管理者権限により厳格に制限され、全操作を監査ログ（admin_audit_logs）に不変記録。
クライアント境界のデータ純化: ルートレイアウトおよび RSC ペイロードにおいて、不要な管理情報や内部特許出願番号等を型レベル・データレベルで完全除外する「データ最小化フィルター」（#PD-075 準拠）。
第8条（データ保有期間および不正アカウント凍結時の保持例外）
当社は、個人データを、利用目的の達成に必要な期間、または適用法令に定められた法定保存期間に限り保有します。
ユーザーがアカウントの自己退会・データ消去（user-purge）を執行した場合、関連する個人データおよびダイブログは、バックアップからの自然消去期間（最大30日）を除き、直ちに不可逆的に消去または匿名化されます。
【不正調査・凍結アカウントにおける保持例外（#PD-089 整合 / GDPR & CCPA 適合）】:
利用規約違反、テレメトリ改ざん、または不正アクセスにより利用停止（凍結）されたアカウントについては、証拠隠滅（Audit Tampering）防止、Ban 逃れ防止、および法的防護のため、GDPR 第17条第3項(e)（法的請求の立証・行使・防御）および CCPA § 1798.105(d) に基づき、自己消去 API が制限されます。
当該アカウントの識別子、通信ログ、および監査証跡は、不正調査の完了、または適用ある法定消滅時効期間（原則 3〜5 年間）が満了するまで、安全に隔離保持された後に完全に消去されます。
第9条（データ主体の権利および国際 DSAR 行使手続き）
ユーザーは、居住国の法令に基づき、自己の個人データに関して以下の権利を行使することができます：
【欧州 GDPR および英国 UK GDPR に基づくデータ主体の権利】:
アクセス権（Right of Access / Art. 15）: 自己のデータが処理されているかどうかの確認および写しの取得。
訂正権（Right to Rectification / Art. 16）: 不正確な個人データの速やかな訂正。
消去権 / 忘れられる権利（Right to Erasure / Art. 17）: 法定要件を満たす場合のデータ消去（※第8条第3項の法的例外を除く）。
処理の制限権（Right to Restriction of Processing / Art. 18）。
データポータビリティ権（Right to Data Portability / Art. 20）: 構造化された一般的な電子形式でのデータ受領および他社への移転。
異議申立権（Right to Object / Art. 21）。
自動化された意思決定・プロファイリングの対象とならない権利（Art. 22）。
【米国カリフォルニア州（CCPA/CPRA）および各州法に基づく権利】:
知る権利およびアクセス権（Right to Know & Access）: 収集された個人情報のカテゴリー、利用目的、および具体的な情報の開示請求。
削除する権利（Right to Delete）: 収集された個人情報の削除請求（※第8条第3項のセキュリティ例外を除く）。
訂正する権利（Right to Correct）: 不正確な個人情報の訂正請求。
センシティブ個人情報の利用制限権（Right to Limit Use of Sensitive Personal Information）: サービスの提供に不可欠な範囲を超えたセンシティブ個人情報の利用・開示を制限する権利。
販売・共有のオプトアウト権（Right to Opt-Out）: （※当社は販売および共有を行っていません）。
差別されない権利（Right to Non-Discrimination）: プライバシー権の行使を理由として不利益な扱いを受けない権利。
【日本国個人情報保護法（APPI）に基づく権利】:
保有個人データの利用目的の通知、開示、訂正・追加・削除、および利用停止・消去・第三者提供の停止を請求する権利。
【データ主体の権利請求（DSAR）の行使プロトコル】:
権利行使をご希望のユーザーは、ご本人確認のため、登録メールアドレスまたは公式連絡先から、以下の公式窓口へ電子メールにてご請求ください：
請求先: contact@media-system.org（件名: "Data Subject Access Request (DSAR)"）
対応期間: 法令の定めに従い、合理的な期間内（GDPR / APPI は原則 30 日以内、CCPA は原則 45 日以内）に遅滞なく回答および対応を行います。
第10条（米国各州居住者向け特約条項）
【カリフォルニア州 Shine the Light 法（Cal. Civ. Code § 1798.83）】:
当社は、ダイレクトマーケティングを目的として第三者に個人情報を開示していません。
【グローバル・プライバシー・コントロール（GPC）信号への対応】:
本サービスは、ブラウザから送信されるオプトアウト優先信号（Global Privacy Control - GPC）を尊重し、該当する法域からのアクセスに対して自動的にオプトアウト要求として処理します。
第11条（クッキー・ローカルストレージおよびトラッキング技術）
本サービスは、ログインセッションの維持、セキュリティの担保（HMACトークン）、および言語選択の保持を目的として、Cookie およびブラウザのローカルストレージ（Local Storage）を利用します。
当社は、ユーザーの Web 閲覧行動を追跡して行動ターゲティング広告を配信するサードパーティ製マーケティングクッキーは使用していません。
ユーザーはブラウザの設定により Cookie の受け入れを拒否することができますが、その場合、本サービスの一部（ログインや認証必須機能）が正常に機能しなくなる場合があります。
第12条（未成年者・児童のプライバシー保護）
本サービスは、米国児童オンラインプライバシー保護法（COPPA）に準拠し、13 歳未満の児童を対象としておらず、意図的に 13 歳未満の児童から個人情報を収集することはありません。
欧州連合（EU）および英国において、国内法が定めるデジタル同意年齢（13 歳〜16 歳）未満の未成年者についても、親権者等の事前の明示的な同意がない限りデータを収集しません。
万一、法定年齢未満の児童から個人データを収集したことが判明した場合は、直ちに当該データを当社のシステムから削除する措置を講じます。
第13条（本ポリシーの変更および告知）
当社は、法令の改正、本サービスの機能追加、またはデータ処理運用の見直しに伴い、本ポリシーを随時改定することがあります。本ポリシーを変更した場合は、本プラットフォーム上での掲示その他合理的な方法により告知し、改定後のポリシーの効力発生日より適用されます。
第14条（国際法務窓口および各国監督機関への申出）
【当社公式法務窓口】:
当社の個人情報の取扱い、プライバシー権の行使、または本ポリシーに関するご質問、苦情、およびご相談は、以下の窓口まで電子メールにてご連絡ください：
運営会社: メディアシステム有限会社（Media System Co., Ltd.）
担当部署: グローバル法務・データ保護コンプライアンス窓口 (Data Protection Officer)
電子メール: contact@media-system.org
公式コーポレートサイト: https://media-system.org
【監督機関への不服申立権】:
欧州経済領域（EEA）: 居住国または侵害が疑われる加盟国のデータ保護監督機関（Data Protection Authority - DPA）。
英国（UK）: 情報コミッショナー庁（Information Commissioner's Office - ICO: https://ico.org.uk）。
日本: 個人情報保護委員会（PPC: https://www.ppc.go.jp）。