1. 事業者・運営者情報

2. 取得する情報

2.1 ユーザーが直接ご提供いただく情報

• 氏名・表示名・メールアドレス・パスワード（ハッシュ化）
• 生年月日（年齢帯判定および未成年判定のため）
• 未成年者の場合：保護者のメールアドレス・親同意記録
• 志望校・志望分野・GPA・語学スコア・ポートフォリオURL等の留学準備情報
• 決済情報（クレジットカード番号は Stripe 社のシステムに直接送信され、当社のサーバーには保存されません）
• AI対話機能（Atlas/Sage/Echo/Forge）で入力された会話内容
• お問い合わせ・サポート対応時にいただく内容

2.2 利用に伴って自動的に取得する情報

• IPアドレス・端末情報・ブラウザ情報・OS情報
• サービス利用ログ（アクセス日時・参照URL・操作履歴の匿名化集計値）
• クッキーおよび類似技術により取得される識別子（詳細は§9）

2.3 取得しない情報

• マイナンバー・健康情報・人種・信条・社会的身分等の要配慮個人情報は取得しません
• 顔写真・指紋・声紋等の生体情報は取得しません

3. 利用目的（個人情報保護法第17条）

1. 本サービスの提供・本人確認・年齢確認
2. 未成年者の保護のための親同意確認・連絡
3. 志望校・出願情報の整理・通知（締切リマインド等）
4. AI対話機能の提供（§6 に詳述）
5. 決済処理（Stripe を介して行います）
6. サポート対応・お問い合わせへの回答
7. 利用状況の分析・サービス改善（個人を特定しない統計処理）
8. 流入経路・紹介経路の記録および分析（招待リンクの参照コード・UTM パラメータ等のマーケティング経路情報。詳細は§9）
9. 不正利用の検知・防止・規約違反対応
10. 法令上の義務の遵守・監督官庁への報告

上記利用目的の範囲を超えて個人情報を取扱う必要が生じた場合は、改めて同意を取得します。

4. 第三者提供・委託先

4.1 第三者提供は原則として行いません

以下のいずれかに該当する場合を除き、ご本人の同意なく第三者に提供することはありません。

• 法令に基づく場合
• 人の生命・身体・財産の保護のために必要な場合で本人同意取得が困難なとき
• 監督官庁・捜査機関等からの適法な開示請求

4.2 サービス提供のための委託先

以下の事業者にサービス運営の一部を委託しています。委託先には個人情報保護法第25条に基づく必要な監督を行います。

5. 越境移転（米国・他国への移転）

§4.2 のとおり、当社のサービス運営にあたって、ユーザーの個人情報は米国に所在する事業者のサーバーで処理されます。これは個人情報保護法第28条に定める「外国にある第三者への提供」に該当します。

5.1 移転先国における個人情報保護に関する制度

米国は、日本のように国全体としての包括的な個人情報保護法を有しておらず、分野別・州別の法制度を採用しています。日本と同水準の保護が法令上保証されているとは限りません。

5.2 当社が講じている措置

• 各委託先と、個人情報保護法および GDPR 等に整合する Data Processing Agreement (DPA) を締結しています。
• 機密性の高い情報（パスワード等）はハッシュ化、決済情報は当社サーバーを経由せず直接 Stripe へ送信します。
• AI対話データの取扱いは §6 を参照してください。

5.3 ご本人の同意

本サービスへの登録および利用をもって、上記の越境移転にご同意いただいたものとして取扱います。同意いただけない場合は本サービスをご利用いただけません。

6. AI対話機能におけるデータの扱い

6.1 学習目的での利用

Anthropic 社の API 利用契約条項により、当社が API 経由で送信した会話データは、Anthropic 社のAIモデルの学習には使用されません。

6.2 保存期間

• Anthropic 社における保存：最大30日間（不正利用検知・利用規約遵守確認・セキュリティインシデント対応の目的）。期間経過後は Anthropic 社により自動削除されます。
• 当社サーバーにおける保存：ユーザーが「AI学習への同意（consent_persona_learning）」を有効にしている場合のみ、会話履歴を当社データベースに保存します。同意を撤回された場合、30日以内に削除します。

6.3 AI対話機能の対象年齢

β期間中、AI対話機能は18歳以上のユーザーに限定して提供します。18歳未満のユーザーはアカウント登録自体は可能ですが、AI対話機能は表示されません。これは未成年者の越境データ移転リスクへの配慮によるものです。

6.4 同意の撤回

AI学習への同意は、マイページから随時撤回可能です。撤回後、当社サーバーに保存された会話履歴は30日以内に削除します。Anthropic 社のログは前述の通り、別途最大30日で自動削除されます。

7. 安全管理措置

7.1 組織的・人的措置

• 個人情報保護管理者の設置（Mika Suzuki）
• 個人情報を取扱う者の最小化
• 本ポリシーおよび関連ルールに基づく取扱い

7.2 技術的措置

• パスワードのハッシュ化（bcrypt 等）
• 通信の TLS 暗号化（HTTPS 必須）
• 認証トークンの定期ローテーション
• 本番システムへのアクセス制限
• 定期的なセキュリティアップデート

7.3 物理的措置

当社が直接管理する物理サーバーはありません。委託先（Supabase / Fly.io 等）は ISO 27001 等の国際認証を取得した施設で運用しています。

8. 本人の権利（開示・訂正・削除・利用停止）

ユーザーは、当社が保有する自身の個人情報について、以下の請求を行うことができます（個人情報保護法第33条〜第39条）。

1. 利用目的の通知請求
2. 開示請求（電磁的記録での開示を含む）
3. 訂正・追加・削除請求
4. 利用停止・消去請求
5. 第三者提供停止請求

請求はマイページからのセルフサービス、または support@buddy-abroad.com 宛のメールで受け付けます。本人確認のうえ、原則として2週間以内に対応します。

β期間中、アカウント削除請求の処理は手動運用のため最大数営業日を要します。本人を特定可能な情報（氏名・メール・連絡先・認証情報・書類等）は遅滞なく匿名化し、年齢帯・国・志望分野等の非個人情報は匿名化後の状態で統計目的に保持する場合があります（個人情報保護法第34条の3、GDPR Art.17 但書）。

9. クッキー・トラッキング

本サービスでは、サービス提供および利便性向上のためにクッキーおよび類似技術を使用します。

9.1 必須クッキー

• ログインセッション維持のための認証クッキー
• CSRF対策トークン
• 言語設定・表示設定

9.2 分析クッキー（オプション）

サービス改善のための利用状況分析に使用します。匿名化された統計値のみを取扱います。

9.3 広告トラッキング

β期間中、第三者広告トラッキングは行いません。

9.4 流入経路の記録（ローカルストレージ）

招待リンクや各種リンクからのアクセス経路を把握するため、ブラウザのローカルストレージ（localStorage）に、参照コード（ref）・UTM パラメータ・最初に開いたページのパス・参照元ホスト・初回アクセス日時を保存し、最長90日間保持します。これらはどのチャネルからの登録かを集計するためにのみ利用し、当社サーバー（第一者）に記録するもので、第三者へ送信・提供しません。会員登録・メンター申請を行った場合、上記の経路情報はその登録記録に紐づけて保存されます。ローカルストレージはブラウザの設定で削除・無効化できます。

クッキーはブラウザ設定で無効化できますが、ログイン等の主要機能が利用できなくなる場合があります。

10. 未成年者の取扱い

10.1 年齢別の取扱い

10.2 保護者同意

未成年者の登録時には、保護者のメールアドレスを通じて電子的に同意確認を行います。同意なき場合、当該アカウントは有効化されません。

10.3 AI機能の年齢制限の理由

§6 のとおり、AI対話機能は越境データ移転を伴います。未成年者の個人情報の米国への移転リスクを考慮し、β期間中は18歳以上に限定しています。今後、Zero Data Retention 契約締結または日本国内処理基盤の整備をもって、再評価します。

11. AIによる助言と意思決定の主体

本サービスのAI対話機能（Atlas/Sage/Echo/Forge）が提供する応答は、ユーザーの判断を補助する提案・分析・問いかけであり、決定そのものではありません。

• 進学先・出願戦略・志望理由書の内容等、すべての最終的な判断はユーザー本人が行うものとします。
• AIの応答内容には誤り・不正確な情報が含まれる可能性があります。重要な事項は必ず公式情報・専門家にご確認ください。
• AIの応答内容に基づいてユーザーが行った判断および結果について、当社は責任を負いません。
• AIによって生成された助言・分類・評価に異議がある場合、ユーザーは当該結果の利用停止を請求できます（§8）。

当社は、AIの出力を「リスクと選択肢の可視化」として位置付け、ユーザーの自己決定を尊重します。

12. 改定履歴

本ポリシーを改定する場合、施行日の前に本ページに掲載するとともに、重要な変更については登録メールアドレスへ通知します。

13. お問い合わせ

本ポリシーに関するご質問、本人の権利行使（§8）に関するご請求は、以下までお問い合わせください。

• メール：support@buddy-abroad.com
• 運営：NEER. ／ 個人情報保護管理者：Mika Suzuki

事業者所在地は§1のとおりです。請求があれば遅滞なく開示します。