プライバシーポリシー

本ポリシーは、以下の 2 つを対象とします。

• Zephris の Web アプリ: zephris.app および関連ドメインで提供されるランディングページ、ドキュメント、検証画面、認証・課金画面。
• Zephris Connector: Chrome / Edge 拡張機能。ユーザー端末上で動作し、J-Quants API キーの保存と、ブラウザから J-Quants API (株式会社 JPX 総研提供) への問い合わせの実行を担います。

J-Quants API そのものは本ポリシーの対象外です。J-Quants API の利用条件・取扱いについては、各ユーザーと J-Quants との契約に従います。

本サービスの個人情報取扱事業者は 小泉 亮人（屋号: Zephris） (個人事業) です。

事業者所在地は、本人からの請求に対し、本人確認後、電磁的方法により遅滞なく回答します。ご請求は privacy@zephris.app 宛にお願いします。運営者識別情報の詳細は 特定商取引法に基づく表記 もご参照ください。

取得した情報は、以下の目的のみに使用します。

1. ログイン認証: email を identity とした magic link 認証 / session 維持 / 再認証 (= recentAuth)。
2. 有償プラン申込・課金・解約: Stripe Checkout / Customer Portal 連携、webhook 経由の billing record 管理、解約申請の処理。
3. Pro 機能の権限判定: accountId に紐づく entitlement (= Free / Pro 等のプラン) の判定に基づく機能制御。
4. 不正ログイン・過負荷防止: rate limit (= IP address hash + email hash + UA)、brute force 検知、abuse 防御。
5. お問い合わせ・開示等請求対応: support@zephris.app / privacy@zephris.app 経由のご連絡への返信、法令上の本人請求対応 (= §7 参照)。
6. 法令上必要な記録管理: 会計法令 (= 法人税法・所得税法・電子帳簿保存法等) に基づく billing record 保存、不正調査時の証跡保持。
7. サービス維持・障害対応・利用状況の必要最小限な分析: ホスティング基盤の Web アクセスログ (= IP / User-Agent / リクエスト時刻等) を用いた稼働監視、障害切り分け、過負荷検知。個人を特定する目的での解析は行いません。

取得した情報を、商品・サービスのターゲティング広告、第三者への販売、AI モデルの学習データなどに使用することは行いません。

本サービスでは、本人同意なしのオプトアウト規定による個人データの第三者提供 (個人情報保護法第 27 条第 2 項) は採りません。これにより、同項に基づく個人情報保護委員会へのオプトアウト届出を前提としません。

ただし、業務委託 (= 法第 27 条第 5 項第 1 号)、法令に基づく提供 (= 法第 27 条第 1 項各号)、本人同意に基づく提供、第三者提供時の記録義務の要否は本ポリシーの別項で個別に整理します。

上記を前提として、取得した情報を第三者に提供することは原則として行いません。例外として、以下の場合に限り情報を共有します。

• 法令に基づく場合 (= 個人情報保護法第 27 条第 1 項第 1 号、裁判所、捜査機関等から正式に求められた場合)
• 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき (= 第 27 条第 1 項第 2 号)
• 公衆衛生・児童保護のために必要がある場合であって、本人の同意を得ることが困難であるとき (= 第 27 条第 1 項第 3 号)
• 国・地方公共団体への協力 (= 第 27 条第 1 項第 4 号)
• サービス運営に必要な業務委託先 (= 第 27 条第 5 項第 1 号、後述の一覧参照)。業務委託先には、本ポリシーと同等の取扱いを契約 (= DPA / SCC 等) で求めます。
• 事業の承継 (= 第 27 条第 5 項第 2 号、事業譲渡・合併等) の場合、本ポリシーに従う形での承継先への引継ぎ
• 本人同意に基づく提供

なお、共同利用 (= 第 27 条第 5 項第 3 号) は、本サービスでは現時点で行いません。導入する場合は、共同利用する個人データの項目、共同利用者の範囲、利用目的、管理責任者等を本ポリシーに追記したうえで運用します。

業務委託先 (= processor 一覧)。 本サービスの運営に必要な範囲で、以下の業務委託先に個人データを提供しています。全業務委託先は外国に所在するため、後述「外国にある第三者への提供 (= APPI §28 越境移転 disclosure)」を併せてご確認ください。

Vercel Inc. (米国)

Web 配信・API route 実行・アクセスログの基盤。取扱項目: session cookie、アクセスログ (= IP / User-Agent / リクエスト時刻等)。標準データ処理契約 (DPA) の条件に同意のうえ利用しています。

Upstash Inc. (米国)

認証・権限管理用の Redis (serverless KV)。取扱項目: email address (= 平文 + 索引)、accountId、session record、rate-limit 用 short-lived カウンタ、magic link 検証 record (= 短 TTL)。有償プラン提供時には Stripe の顧客 ID・サブスクリプション ID との紐付けにも使用します。標準データ処理契約 (DPA) の条件に同意のうえ利用しています。

Stripe Payments Japan KK / Stripe Inc. (米国・IE・JP)

決済・請求・Customer Portal。取扱項目: email、Stripe Customer ID、Subscription ID、課金カード情報 (= Stripe 側のみ保持)、請求記録。標準データ処理契約 (DPA) の条件に同意のうえ利用しています。

Resend Inc. (米国)

magic link / 通知 email の送信。取扱項目: email、メール本文 (= magic link URL を含む)、送信時刻、配信ステータス、必要な技術ログ。標準データ処理契約 (DPA) の条件に同意のうえ利用しています。

外国にある第三者への提供 (= APPI §28 越境移転 disclosure)。 本サービスの業務委託先は全て外国 (= 主に米国) に所在し、個人情報保護法 §28 (= 外国にある第三者への提供の制限) の対象となります。個人情報保護委員会 (PPC) FAQ Q12-1 に基づき、業務委託 (= §27 第 5 項第 1 号で第三者提供制限の例外) であっても、外国にある事業者への委託の場合は §28 が別途適用されます。

採用方式: 本人同意方式 + DPA / SCC 等の相当措置の併用 (= PPC ガイドライン整合)。 本サービスは、(b) 各委託先と DPA (Data Processing Addendum) / SCC (Standard Contractual Clauses) 等の契約上の相当措置を整備する方式 (= §28 第 2 項柱書 但書) を講じます。ベータ期間中の外国にある委託先への個人データ提供は、この (b) の相当措置に基づき行います。また、同意取得 UI の提供開始時には、(a) signup (= magic link login) / Stripe Checkout 開始前に、外国にある委託先への個人データ提供について本人の同意を取得する方式 (= §28 第 1 項本文) を併用します (= 同意 UI は提供開始時に signup / Checkout flow で表示)。ベータ期間中は、課金機能 (= Stripe Checkout) を提供しておらず、決済に関する個人データの越境提供は行いません (= ベータ期間中に越境し得るのは、下記 Vercel のアクセスログ (IP / User-Agent 等) と、ログイン機能をご利用いただいた場合の magic link 送信 (Resend) / セッション管理 (Upstash) で、いずれも上記 (b) の相当措置によります)。

委託先別 越境移転 情報。

Vercel Inc. (= 米国 Delaware 法人)

提供 data: session cookie、アクセスログ (= IP / User-Agent / リクエスト時刻等)。主要 region: us-east-1 等の Vercel 標準。契約上の相当措置: Vercel 標準 DPA (= SCC / UK Addendum 組み込み)。米国の制度概要: 連邦レベルの統一個人情報保護法なし、州法 (= CCPA / VCDPA 等) あり。DPA 公開 URL: https://vercel.com/legal/dpa。

Upstash Inc. (= 米国 Delaware 法人)

提供 data: email address (= 平文 + 索引)、accountId、session record、rate-limit short-lived カウンタ、magic link 検証 record。主要 region: Upstash 標準 (= 設定に依存、us-east 等)。契約上の相当措置: Upstash 標準 DPA。米国の制度概要: 同上。DPA 公開 URL: https://upstash.com/trust/dpa.pdf。

Stripe (= Stripe Payments Japan KK + Stripe Inc. + Stripe Technology Europe Ltd. 等 関係会社、米国・IE・JP 等)

提供 data: email、Stripe Customer ID、Subscription ID、課金カード情報 (= Stripe 側のみ保持)、請求記録。主要 data residency: Stripe US が主要処理拠点で、関係会社 (= IE / JP) 経由で global transfer が発生する場合あり。契約上の相当措置: Stripe 標準 DPA (= EU SCC + UK Addendum 組み込み)。DPA 公開 URL: https://stripe.com/en-jp/legal/dpa。

Resend Inc. (= 米国法人)

提供 data: email address、magic link / 通知メール本文、送信時刻、配信ステータス、必要な技術ログ。主要 region: Resend 標準 (= us-east)。契約上の相当措置: Resend 標準 DPA。米国の制度概要: 同上。DPA 公開 URL: https://resend.com/legal/dpa。

継続的な確保措置 (= APPI §28 第 3 項 + 施行規則 17 条)。 各委託先について、(i) 年 1 回 DPA / SCC / subprocessor list の更新を確認、(ii) 重大な制度変更時 (= 例: Schrems II 相当の判決、委託先所在国の法改正) は本ポリシーを改定し最終更新日を更新、(iii)本人からの相当措置に関する情報提供請求には、第 12 条の窓口から遅滞なく対応します。

外国法律 (= GDPR / UK GDPR / CCPA 等) との関係。 本サービスは日本国内居住者向けに提供しており、海外居住者向けのマーケティング・サポートは行いません。ユーザーは登録時に日本国内居住者であることを表明するものとします。海外居住者が誤って利用した場合、法令上認められる範囲で当方は同居住地法令への対応義務を負わないものとしますが、重要な権利 (= 開示請求等) には日本法に準じて対応します。

Stripe Tax / 適格請求書 / 住所取得との関係。 本サービスは現時点で Stripe Tax を有効化せず、ユーザー住所を取得しない設計を維持しています。将来 Stripe Tax を有効化する場合、住所取得 + Stripe US への越境移転 + 適格請求書発行事業者表示等を本ポリシー及び 特定商取引法に基づく表記 に反映したうえで運用を開始します。

HMAC hash 化 data の取扱い。 当方が HMAC hash 化して保存する識別子 (将来的に email / IP の hash 化も検討) であっても、accountId 等と紐付けて管理する範囲では、これらを個人データ (= 個人情報保護法 §16 第 3 項) に準じて取り扱います。越境移転についても上記同等の措置を適用します。

保有個人データの安全管理措置の概要を以下に示します。詳細公開により安全管理に支障を及ぼすおそれがある事項は公開しませんが、本ポリシーの「お問い合わせ」窓口から詳細をご照会いただけます。

ご本人 (= 本人又は法定代理人) は、保有個人データについて以下の請求を行うことができます。

1. 開示請求 (= 個人情報保護法第 33 条): 当方が保有するご自身の個人データの開示請求。
2. 訂正・追加・削除請求 (= 第 34 条): 内容が事実でない場合の訂正・追加・削除請求。
3. 利用停止・消去請求 (= 第 35 条): 利用目的の達成後、又は法令違反等の場合の利用停止・消去請求。
4. 第三者提供停止請求 (= 第 35 条): 第三者提供されている場合の提供停止請求。
5. 利用目的の通知請求 (= 第 32 条第 2 項): 保有個人データの利用目的の通知請求。ただし本ポリシー §4 で全ての利用目的を公表しているため、同条第 3 項第 1 号により原則として通知を要しません。

請求方法: privacy@zephris.app 宛にメールでお送りください。件名に「開示等請求」を含めていただくと処理が円滑です。

本人確認方法: 登録メールアドレスへの確認メール送信、メール記載の確認手順への返信等により本人確認を行います。本人確認に必要な情報が不足する場合、追加で確認させていただく場合があります。

回答方法・期限: ご請求受付後、本人確認完了から 遅滞なく、遅くとも原則 30 日以内 に、電磁的方法 (= メール返信) により回答します。内容により、追加で時間を要する場合は、事前にその旨と見込み期間をご連絡します (= 個人情報保護法 第 33 条第 2 項・第 5 項に基づく対応)。

手数料: 個人情報保護法に基づくご請求への対応は 無料 です。

請求にお応えできない場合: 以下の場合、ご請求の全部又は一部にお応えできない場合があります。その場合は、理由を示してご通知します。

• 本人確認ができない場合
• 法令上の保管義務がある情報 (= 会計・税務・電子帳簿保存法上の billing record 等)
• 削除すると当方の業務遂行に著しい支障を及ぼすおそれがある情報
• 他の法令に違反することとなる場合

Zephris の Web アプリは、ログイン維持、CSRF 防止、設定保持に必要な essential cookie のみ を使用します。広告、トラッキング、第三者 analytics の cookie は使用しません。そのため、EU GDPR 文脈の cookie banner は提示しませんが、本ポリシーで使用 cookie の種別・目的を開示します。

session cookie (= HttpOnly + Secure + SameSite=Lax)

ログイン状態維持、CSRF 防止に使用。magic link verify 成功時に発行、30 日 absolute / 7 日 idle で expire。

UI 設定 cookie (= テーマ等)

ページのテーマ設定など、UI 状態の保持に使用する場合があります。個人を識別する情報は含めません。

IndexedDB (= ブラウザ内のデータベース)

Zephris の Web アプリは、以下の内容をブラウザ内に保存します。保存先はこのサイトを開いているブラウザの中だけで、Zephris の運営サーバーへ送信しません。別の端末・別のブラウザとは同期しません。保存する内容と、その保存目的は次のとおりです。

• 市場データと算出用のデータ: J-Quants から取得した株価・配当・財務・上場銘柄の情報と、その取得条件・取得日時、検証や銘柄の相対的な強さの計算に使う加工済みのデータ。同じ期間を何度も取得し直さず、使ったデータを後から確かめられるようにするため。
• 戦略と検証条件: 作成した戦略、対象銘柄、期間などの設定。次に開いたときに作業の続きから始められるようにするため。
• 検証履歴・検証ケース・検証メモ: 実行した検証の結果、保存操作で残した検証ケース、検証に付けたメモ、記録どうしの関連付けと通し番号。後から結果と考え方を読み返し、検証を再開できるようにするため。
• 比較記録と作業の控え: 保存操作で残す比較の記録 (最大 50 件) と、作業中の内容を後から復旧できるよう自動で保存する控え (作業ごとに 1 件、最大 5 件)。前者はご自身が意図して残すため、後者は画面を離れた後に作業を復旧できるようにするため。
• 財務の調査メモ: 財務指標の絞り込みで、ご自身が保存操作で残した条件とメモ。後から同じ条件を読み返すため。
• 接続・取得の設定と動作確認用の記録: 設定した J-Quants のプラン、データの取得可否、取得や計算の進捗・所要時間・失敗の理由など。毎回入力し直さずに済むようにし、うまく動かなかったときに原因を確かめられるようにするため。
• UI の作業状態: 表示の設定や直近に開いた対象など、画面の状態。作業のたびに設定し直さずに済むようにするため。

検証履歴・検証ケース、比較の記録、作業の控え、財務の調査メモには、Zephris が設ける保存期限はありません。期限や件数の超過を理由にこれらを自動で削除する仕組みも設けていません。比較の記録・作業の控え・財務の調査メモは、読み取れなくなっても削除せず、その旨を一覧に示し、ご自身の操作で削除できるようにしています。

一方、直近に使った銘柄や検証条件は 8 件、動作確認用の診断の記録は 50 件を超えると、古いものから削除します。市場データのキャッシュは、鮮度などに応じて再取得・更新します。また、ブラウザ内のデータは、ブラウザの設定や保存容量の状況によって失われることがあります。Zephris の運営サーバーに控えを持っていないため、当方から復元することはできません。

個別に削除するときは、それぞれの保存一覧や詳細画面にある削除操作を使い、確認画面で確定してください。作業の控えは「前回の作業が記録されています」の候補から「破棄する」を選びます。財務の調査メモは「保存した調査を開く」から記録を選び、「この記録を削除」を選びます。個別の削除操作がないデータも含めて、このサイトに保存したデータをまとめて削除するには、ブラウザのサイトデータ削除を使ってください。

比較の記録が 50 件、作業の控えが 5 件に達すると、それぞれ新しい記録・新しい作業枠を追加できません。上限で保存できなかったことは画面でお知らせします。同じ作業枠の控えは、上限に達していても更新できます。空き枠を作るために既存の記録を自動で削除することはありません。なお、件数の枠が残っていても、保存容量などの理由で保存できないことがあります。

認証・課金の機能をご利用の場合は、サーバーから取得した利用プラン・利用権限の情報を、機能の利用可否の判定に使うためブラウザ内にも保存します。これらのサーバー側での取扱いは §3.2 に記載しています。

localStorage

UI の状態や作業状態 (例: 初回案内の表示済み記録、作業中の検証設定、前回の API 接続確認日時、後から検証ケースを作るときに使う実行前の覚え書き) を、画面の状態を保ち、作業を復旧できるようにするために使用します。IndexedDB と同じく、保存先はこのサイトを開いているブラウザの中だけです。API キーの文字列や J-Quants の市場データはここに保存しません。また、旧課金導線のお申し込み識別子 (§3.2) がブラウザに残存している場合に、ご自身で契約引き継ぎを実行したときに限りその識別子を当方サーバーへ送信します。それ以外の localStorage の内容を当方サーバーへ送信することはありません。保存された内容を Zephris が期限で自動的に削除することはなく、ブラウザのサイトデータを削除するまで残ることがあります。ただし、作業の更新や終了、保存内容の読み取りに失敗したとき、契約引き継ぎが完了したときなど、アプリが更新・削除するものがあります。ブラウザの設定や保存容量の状況によって失われることもあります。

sessionStorage

画面の間で条件や作業の内容を引き継ぐために、同じタブの中へ一時的に保存します。内容によっては受け取った時点で削除し、受け取りの期限を設けています。Zephris の運営サーバーへ送信しません。

将来、essential 以外の cookie / analytics / 広告 SDK を導入する場合は、本ポリシーを事前に改定し、§11 の通知方法でお知らせします。

また、本サービスは、利用者の端末から第三者 (広告・解析事業者等) へ情報を送信する第三者タグ・SDK を組み込んでいないため、電気通信事業法第 27 条の 12 (外部送信規律) に基づく確認・通知の対象となる外部送信は行っていません。利用者の端末との通信は、ログイン・課金・本サービスの提供に必要な範囲に限られます。将来、規律の対象となる外部送信を行う場合は、同条に従い、送信先・送信される情報・利用目的を事前に公表又は通知します。

個人データの漏えい、滅失、毀損 (= 以下「漏えい等」) が発生し、又はそのおそれがあると判明した場合、当方は事実関係の調査・原因究明・再発防止策の検討を行います。

個人情報保護法第 26 条に基づき、報告対象となる事案 (= 要配慮個人情報の漏えい、財産的被害が生じるおそれがある漏えい、不正の目的をもって行われた漏えい、1,000 人を超える漏えい等) に該当する場合、当方は 個人情報保護委員会への報告 及び 本人への通知 (= 登録メールアドレス宛) を行います。本人への通知が困難な場合に限り、個人情報保護委員会規則に基づく代替措置 (= 本ポリシー上の公表等) を行います。

対応状況のお問い合わせは privacy@zephris.app までお願いします。

本サービスは、投資判断補助 SaaS の性質上、18 歳未満の方の利用を想定していません。18 歳未満の方が本サービスを利用される場合は、必ず親権者等の法定代理人の同意を得たうえでご利用ください。

未成年者から開示等請求 (= §7) をいただく場合、法定代理人による本人確認・代理権確認を求める場合があります。

本ポリシーは、法令の改正、サービス内容の変更、データ取扱いの方針見直しに応じて改定する場合があります。重要な変更は以下の方法でお知らせします。

• 本ページ上部の「最終更新」日付を更新し、変更内容を本ポリシーに反映
• 更新履歴 ページにエントリーを追加
• email-bound paid ユーザーの方には、登録メールアドレス又はアプリ内通知でお知らせ

重大な不利益変更 (= 取扱項目の拡大、利用目的の追加、第三者提供範囲の拡大等) を行う場合は、効力発生日の 30 日前までに上記方法で事前通知し、必要に応じて別途明示同意を取得します。

プライバシーに関するお問い合わせ、保有個人データに関する苦情・相談、開示等請求は、以下の窓口からお願いします。

プライバシー / 個人情報請求 (= 開示・訂正・利用停止・削除等)

privacy@zephris.app

サービス利用・課金・解約等の一般お問い合わせ

support@zephris.app

運営者情報の詳細は 特定商取引法に基づく表記 をご覧ください。

なお、当方の対応にご不満がある場合、個人情報保護委員会への相談・苦情申立てが可能です。詳細は 個人情報保護委員会 公式サイト をご参照ください。