プライバシーポリシー
草案（法務確認前）です。Siteon の設計にもとづいて個人情報の扱いを書いたもので、確定版ではありません。公開までに変わることがあります。[要確認] の印がある項目は未確定です。
最終更新日:
1. 運営者
Siteon は、日本法人の株式会社Saucer（Saucer Inc.。以下「当社」）が運営します。
| 項目 | 内容 |
|---|---|
| 名称 | 株式会社Saucer |
| 住所 | 〒169-0075 東京都新宿区高田馬場3丁目1番5号 サンパティオ高田馬場309号室 |
| 代表者 | 村上聡 |
| 個人情報に関するお問い合わせ先 | お問い合わせフォーム（saucer-inc.com/contact） |
| EU 域内の代理人（GDPR 第27条） | [要確認: 未定（未選任）] |
| 英国の代理人（UK GDPR 第27条） | [要確認: 未定（未選任）] |
| データ保護責任者（DPO） | [要確認: 選任の要否。現在は未選任] |
このポリシーは、Siteon（管理画面・API・CLI・MCP サーバー・お客様のサイトのホスティング・お客様のサイトに埋め込むスクリプト）と、このウェブサイト（siteon.dev）に適用されます。
2. 当社の2つの立場
当社は、個人情報を2つの立場で扱います。どちらの立場かで、適用されるルールが変わります。
- 管理者（controller）として: お客様とそのチームのメンバーの情報（アカウント・請求・セキュリティの記録）、お客様が連携した Google のユーザーデータ、このウェブサイトの訪問者の情報。
- 処理者（processor。委託を受けて処理する立場）として: お客様のサイトの訪問者が送信・生成する情報（フォームの送信・予約・アクセス解析）と、お客様が公開するコンテンツ。この情報の管理者は、サイトを運営するお客様（以下「サイト運営者」）です。当社は、サイト運営者に Siteon を提供する目的でだけ、利用規約とデータ処理契約にもとづいて処理します。[要確認: データ処理契約（DPA）の公開と利用規約への組み込み]
Siteon でホスティング・連携されているサイトの訪問者の方が、ご自身の情報の開示や削除を求めるときは、そのサイトの運営者にお問い合わせください。当社にご連絡いただいた場合は、サイト運営者が分かる範囲で、その運営者に取り次ぎます。
3. 管理者として取得する情報
アカウントの情報
- メールアドレス。Google でログインした場合は氏名。
- ログインの手段: パスワードを設定した場合はそのハッシュ、Google でログインする場合は Google アカウントの ID。
- セッションの記録、メールでお送りするログイン用のリンク、所属するアカウント・サイトと役割。
- 作成した API キー（読み戻せない形で保存します）と、CLI や AI エージェントに与えた承認。
請求の情報
- 請求先の国と住所、会社名、任意で入力された VAT 番号などの税務上の番号。
- プラン、支払周期、通貨、請求書、支払いの状態。
- カードの情報は Stripe の画面で入力され、Stripe が保管します。当社はカード番号の全体を受け取らず、保存もしません。
セキュリティと利用の情報
- 管理画面・API・CLI・MCP サーバーを使ったときの IP アドレス、ブラウザやクライアントの情報、日時。
- 重要な操作の監査ログ（プランの変更、API キーの変更、デプロイ、Google の連携など）。AI エージェントが使う API キー経由の操作かどうかも記録します。
- プランの上限を守るための利用量のカウンタ。無料枠の台帳には鍵付きのハッシュだけを保存し、アカウントを削除して作り直しても無料枠が戻らないようにしています。
お問い合わせと通報
- 当社に送られたメール、ホスティング中のサイトについての通報（通報者のメールアドレスと通報の内容）。
このウェブサイトの訪問者
- このウェブサイトは、広告やアクセス解析の Cookie を使いません。
- 言語を選ぶと、その選択がブラウザのローカルストレージに保存され、言語の案内を再び出さないようにします。当社には送られません。
- 書体を Google Fonts から読み込むため、ページを開いたときにブラウザから Google に IP アドレスが送られます。
4. 利用目的と法的根拠
欧州経済領域（EEA）と英国の方については、GDPR・UK GDPR 上の法的根拠を併記します。
| 利用目的 | 情報 | 法的根拠（GDPR） |
|---|---|---|
| サービスの提供（アカウント、ログイン、サイト、ホスティング、フォーム、予約、アクセス解析、通知） | アカウントの情報、コンテンツ、利用の情報 | 契約の履行（第6条1項b） |
| 請求、請求書の発行、税の計算（VAT 番号の確認を含む） | 請求の情報 | 契約の履行、法的義務（第6条1項b・c） |
| 会計・税務の法令にもとづく記録の保存 | 請求の情報、請求書 | 法的義務（第6条1項c） |
| セキュリティ、不正・悪用の防止、レート制限、プランの上限の適用、通報への対応 | セキュリティと利用の情報、通報 | サービスと利用者を守る正当な利益（第6条1項f） |
| サービスのメール（ログイン用のリンク、請求のお知らせ、警告、重要な変更） | メールアドレス | 契約の履行（第6条1項b） |
| 集計した統計によるサービスの改善 | 利用の情報 | 正当な利益（第6条1項f） |
| 製品のお知らせ・マーケティングのメール | メールアドレス | 必要な場合は同意（第6条1項a）。いつでも配信を停止できます。[要確認: マーケティングのメールを送るかどうか] |
当社は個人情報を販売せず、広告に使いません。Google のユーザーデータには、次の節のより厳しいルールを適用します。
5. Google のユーザーデータ
Siteon は Google の API を2つの用途で使い、それぞれ別の Google Cloud プロジェクトで管理しています。Google でログインと、サイトのフォームの回答を Google スプレッドシートに送ったり Google カレンダーで予約を受けたりするための、任意のGoogle 連携です。
5.1 Google でログイン
scope: openid・email・profile。Google アカウントの ID・メールアドレス・氏名を受け取り、ログインと、ログイン中の人の表示にだけ使います。
5.2 Google 連携（スプレッドシートとカレンダー）
Google アカウントを連携できるのは、アカウントの owner か、個々のサイトの owner です。サイトの owner が連携したものは、そのサイトにだけ使えます。1つの Google アカウントを同時に連携できる Siteon のアカウントは1つだけです。要求する scope は次のものだけで、有効にした機能の分だけを要求します。
| scope | 読み書きする内容 | 保存するもの |
|---|---|---|
openid・https://www.googleapis.com/auth/userinfo.email | どの Google アカウントを連携しているかの表示と、再接続のときの照合のため、Google アカウントの ID とメールアドレスを受け取ります。 | Google アカウントの ID とメールアドレス |
https://www.googleapis.com/auth/drive.file | Google ドライブにスプレッドシートを作り、フォームの回答を行として書き込みます。この scope で触れるのは、Siteon が作ったファイル（またはお客様が選んだファイル）だけです。列をそろえるため、当社が管理するタブの1行目と A 列だけを読みます。ほかのファイルは見えません。 | スプレッドシートとタブの ID。回答そのものはお客様のスプレッドシートにあります。 |
https://www.googleapis.com/auth/calendar.calendarlist.readonly | 空き状況を確かめるカレンダーを選んでいただくため、カレンダーの一覧（ID・名前・メインかどうか・権限）を読みます。 | 選んだカレンダーの ID と、読めたかどうかだけ。カレンダーの名前は保存しません。 |
https://www.googleapis.com/auth/calendar.events.freebusy | 選んだカレンダーの予定が入っている時間帯を読み、予約できる枠を計算します。 | 保存しません。使ったら捨てます。 |
https://www.googleapis.com/auth/calendar.events.owned | Siteon が作った予約の予定を、メインのカレンダーに作成・取得・削除します（有効にした場合は Google Meet のリンクつき）。重複の警告のために予定を読むときは、開始・終了の時刻、状態、予定ありかどうか、ご本人の出欠だけを読みます。予定の題名・説明・ほかの参加者は読みません。 | 予約ごとの予定の ID と Meet のリンク |
Meet のリンクと予約の内容は、予約した訪問者に送ります（それがこの機能の目的です）。それ以外の人に Google のユーザーデータを渡すことはありません。
5.3 Limited Use（利用の制限）
Siteon が Google API から受け取った情報の利用と、ほかのアプリへの転送は、Google API サービスのユーザーデータに関するポリシー（Limited Use の要件を含む）に従います。具体的には次のとおりです。
- Google のユーザーデータは、管理画面で見えて、お客様が有効にした機能（スプレッドシートへの送信、空き状況の確認、予約）の提供と改善にだけ使います。
- Google のユーザーデータを広告（リターゲティング、パーソナライズ広告、興味・関心にもとづく広告を含む）に使いません。
- Google のユーザーデータを販売しません。上記の機能の提供に必要な場合（予約した訪問者に Meet のリンクを送るなど）、法令に従う場合、通知のうえ合併・買収の一部として行う場合を除き、第三者に転送しません。
- 当社の人が Google のユーザーデータを読むことはありません。ただし、(a) 特定のデータについてお客様の明示の同意がある場合、(b) 悪用や不具合の調査などセキュリティのために必要な場合、(c) 法令に従うために必要な場合、(d) 社内の運用のために集計・匿名化した場合を除きます。
- Google のユーザーデータを、汎用の AI・機械学習モデルの開発・改善・学習に使いません。第7節の AI 機能にも送りません。
運用のため当社の担当者が見られるのは、連携した Google アカウントのメールアドレス、連携の状態、処理中の操作の状態です。アクセストークンは見られません。
5.4 保管と安全管理
- リフレッシュトークンは暗号化して保存し、当社の担当者を含めて誰にも表示しません。
- 連携したメールアドレスは、連携した本人と、同じアカウントのメンバーに表示します。サイト単位の連携は、連携した本人とそのサイトの owner にだけ表示します。
5.5 保存期間と削除
- 予定が入っている時間帯と、重複の確認で読んだ予定の内容は保存しません。
- 連携を解除すると、Google に対してトークンを無効にし、削除します。Google からトークンが無効になったと知らされた場合も、すぐに削除します。
- 連携の記録（Google アカウントの ID とメールアドレス）は、解除から 30 日後、処理中の操作が終わっていれば削除します。再利用や悪用を見分けるため、Google アカウントの ID を元に戻せないハッシュにしたものは残します。
- Google による当社アプリの確認が終わるまでの間、Google は同意できる人数を制限しています。その上限を守るため、連携したことのある Google アカウントの ID のハッシュを記録し、解除しても削除しません。
- 予定の ID と Meet のリンクは、予約の取り消し、回答の削除、サイトの完全な削除のときに削除します。
- お客様の Google アカウントにあるスプレッドシートとカレンダーの予定は、お客様のものです。連携を解除しても Siteon は削除しません。
5.6 連携の解除の方法
- Siteon の管理画面で Google 連携の設定を開き、「解除」を選びます。連携した本人、アカウントの owner、アカウントの admin が解除できます。サイトを別のアカウントに移すと、そのサイト単位の連携も解除されます。
- Google アカウントの myaccount.google.com/permissions からも、いつでもアクセスを取り消せます。当社はそれを検知し、その連携を使うのをやめます。
- 解除すると、その連携を使っていたスプレッドシートへの送信と予約は、再び連携するまで止まります。
6. お客様のサイトの訪問者の情報
次の情報については、当社はサイト運営者の処理者です（第2節）。フォームの項目、送信先、保存期間はサイト運営者が決めます。
| 機能 | 情報 | 補足 |
|---|---|---|
| フォーム・アンケート・申込 | サイト運営者が決めた項目（多くは氏名・メールアドレス・本文）、日時、ページの URL、流入の情報（UTM パラメータ・gclid・fbclid・最初に開いたページ・参照元） | 流入の情報は訪問者のブラウザに最長 90 日保存し、送信のときに一緒に送ります。送信はメール・Slack・Webhook・サイト運営者自身の Google スプレッドシートに届けられます。ボットの判定に Cloudflare Turnstile を使うことがあります。 |
| 予約 | 氏名、メールアドレス、予約フォームの回答、選んだ日時 | サイト運営者の Google カレンダーに予定（有効なら Meet のリンクつき）を作ります。訪問者には確認とリマインドのメールを送ります。 |
| アクセス解析 | ページのパスと日時。IP アドレスは重複の除去とレート制限に使います | IP アドレスは鍵付きのハッシュにし、そのままの形では保存しません。[要確認: ハッシュの保存期間]。スクリプトは Cookie を使いません。 |
| ホスティング | *.siteun.com と独自ドメインのサイトへのリクエスト | ページの配信と攻撃からの保護のため、Cloudflare がリクエストの情報（IP アドレス・ユーザーエージェントなど）を処理します。 |
埋め込みスクリプトが使うブラウザの保存領域
- 流入の情報（最初と最後の訪問の流入元）。最長 90 日。
- 同じ送信を二重に数えないためのランダムな値。
- 1つのブラウザで1回だけ答えられるアンケートの場合、回答済みであることの印。
これらは Cookie ではなくローカルストレージに、そのサイトの中だけで保存されます。同意の画面が要るかどうかは、サイト運営者に適用される法令によって決まり、サイト運営者の責任です。[要確認: 流入の情報の保存についての ePrivacy 上の整理]
保存期間
訪問者の情報は、サイト運営者が削除するまで保存します。サイトの削除やアカウントの閉鎖のときは、30 日後に完全に削除します（第10節）。
通報
ホスティング中のサイトは誰でも通報できます。当社は通報の内容を使い、緊急度の振り分けに AI モデルを使うことがありますが、サイトを停止するかどうかは人が判断します。
7. AI 機能と AI エージェント
- AI 機能（CMS の記事の翻訳、文章の補助など）は、処理を依頼された内容を AI モデルの提供元に送ります。現在の提供元は Google の Gemini API です。[要確認: 提供元のデータ保存と学習利用の条件。ほかの提供元を使う場合は使う前に追記する]
- CLI・MCP サーバー・API キーでアカウントを操作する場合（AI のコーディングツールからの操作を含む）、当社が受け取るのは API のリクエストだけです。お客様と AI ツールの会話は受け取りません。この方法での操作は監査ログに記録します。
8. 委託先（サブプロセッサ）
サービスの運営に、次の委託先を使います。いずれも当社の指示の範囲でだけ個人情報を扱います。
| 委託先 | 用途 | 情報 | 所在地 |
|---|---|---|---|
| Cloudflare, Inc. | ホスティング、配信、アプリケーションの実行、データベースとファイルの保存、ボットの判定（Turnstile）、独自ドメイン | サービスに保存されるすべての情報 | [要確認: 保存地域。米国と世界の配信拠点] |
| Stripe, Inc. / Stripe Payments Europe, Ltd. | 決済、定期課金、請求書、税の計算（Stripe Tax）、VAT 番号の確認 | 請求の情報、メールアドレス | 米国、アイルランド [要確認: 処理地域] |
| Twilio Inc.（SendGrid） | メールの送信（ログイン用のリンク、通知、予約の確認とリマインド） | メールアドレスとメールの本文 | 米国 |
| Google LLC | Google でログイン、AI 機能と通報の振り分けのための Gemini API、このウェブサイトの Google Fonts | ログインの情報、AI 機能に送る内容、通報の内容、書体の読み込みでの IP アドレス | 米国 [要確認: 処理地域] |
お客様が設定する送信先（お客様自身の Google アカウント、Slack、Webhook の送信先）は、お客様が選んで管理するもので、当社の委託先ではありません。
[要確認: この一覧を変えるときのお客様への通知の方法]
9. 外国への移転
当社は日本にあり、委託先はほかの国（主に米国）で情報を処理します。
- 日本は欧州委員会の十分性認定と英国の十分性規則の対象なので、EEA と英国から日本へ情報を移転できます。
- 米国などほかの国への移転には、欧州委員会の標準契約条項（SCC）と英国の国際データ移転補遺、または委託先が認証を受けている場合は EU-US データプライバシーフレームワークを使います。[要確認: 委託先ごとの移転の根拠]
- 個人情報保護法にもとづき、外国にある第三者に個人データを提供する場合は、その国の個人情報の保護の制度などの情報を、求めに応じてお知らせします。[要確認: 国ごとの情報の用意]
10. 保存期間
| 情報 | 期間 |
|---|---|
| アカウントの情報とコンテンツ | アカウントがある間。アカウントを閉鎖すると、30 日の書き出しの期間のあと、完全に削除します。 |
| 削除したサイト | 削除から 30 日後に完全に削除します。 |
| 請求の記録と請求書 | 会計と税務のため 7 年。[要確認: 税理士に期間を確認] |
| 無料枠の台帳 | 無料枠の取り直しを防ぐため、鍵付きのハッシュだけを期限を定めずに保存します。 |
| 退会したユーザーの情報 | すぐに匿名化します。監査と請求の履歴の整合のため、匿名化した記録は残ります。 |
| セキュリティと監査のログ | [要確認: 保存期間] |
| Google のユーザーデータ | 第5.5節のとおり。 |
| 訪問者の情報 | 第6節のとおり。 |
11. EEA・英国の方の権利
GDPR または UK GDPR が適用される方は、次の権利があります。
- ご自身の個人データへのアクセスと、その写しの受け取り
- 不正確なデータの訂正
- データの消去
- 処理の制限
- 持ち運びできる形式でのデータの受け取り（データポータビリティ）
- 正当な利益にもとづく処理への異議、ダイレクトマーケティングへのいつでもの異議
- 同意の撤回（撤回前の処理には影響しません）
当社は、自動化された処理だけで、法的な効果またはそれに類する重大な影響のある決定をしません。権利を行使するときは、お問い合わせフォーム（saucer-inc.com/contact）からご連絡ください。1か月以内にお答えします。ご本人の確認をお願いすることがあります。
お住まい・お勤めの国や、違反があったとされる場所の EU の監督機関に苦情を申し立てることもできます。英国の場合は情報コミッショナー事務局（ICO）です。
当社がサイト運営者のために処理している情報（第6節）については、まずサイト運営者にご連絡ください。
12. 個人情報保護法にもとづく事項
- 個人情報は第4節の利用目的の範囲でだけ使います。法令で認められる場合を除き、同意なく目的外に使いません。
- 法令で認められる場合を除き、同意なく個人データを第三者に提供しません。第8節の委託先には、委託として提供し、必要かつ適切な監督をします。
- 保有個人データについて、利用目的の通知、開示、訂正・追加・削除、利用の停止・消去、第三者への提供の停止、第三者提供の記録の開示を求めることができます。第1節のお問い合わせ先にご連絡ください。[要確認: 本人確認の方法と手数料の有無]
- 安全管理のために、通信の暗号化、Google のトークンの暗号化保存、役割による権限の制御、当社の運営ツールへの2段階認証、担当者の操作の監査ログなどの措置をとっています。[要確認: 安全管理措置の記載を完成させる]
- 個人情報の取扱いに関する苦情は、第1節のお問い合わせ先で受け付けます。
14. 子どもの情報
Siteon は事業者と成人向けのサービスで、子どもを対象にしていません。アカウントを作れるのは 18 歳以上の方です。[要確認: 年齢の下限] サイト運営者が自分のサイトで子どもの情報を集める場合は、サイト運営者が適用される法令を守る責任を負います。
15. このポリシーの変更
変更はこのページに掲載し、冒頭の日付を更新します。重要な変更は、効力が生じる前に、アカウントの owner にメールまたは管理画面でお知らせします。[要確認: 通知の期間（例: 30 日前）]
16. お問い合わせ
株式会社Saucer（Saucer Inc.）、〒169-0075 東京都新宿区高田馬場3丁目1番5号 サンパティオ高田馬場309号室、お問い合わせフォーム（saucer-inc.com/contact）
最終更新日: 2026-10-24