プライバシーポリシー

データ管理者は Bx Labs です。Bx Labs は資本金1,000ユーロのフランスの一人株主型簡易株式会社（SASU）で、パリ商業登記簿（RCS）に番号 108 596 651 で登録されており、本店所在地は 9 rue des Colonnes, 75002 Paris, France です。

お客様のデータに関するご質問は contact@bxlabs.ai までお寄せください。

本サービスのご利用時に、当社は以下のデータを取り扱います。

• メールアドレスおよびアカウント識別子（登録、ログイン、連絡のため）
• 通話先の電話番号およびいたずら電話のシナリオ
• 通話の録音とその自動文字起こし、ならびにブラウザでのお試しのシナリオ、音声、文字起こし（下記参照）
• クレジットおよび購入の履歴（決済そのものは Stripe が処理し、当社がカード番号を受け取ることはありません）
• IPアドレスから推定した国（IPアドレスそのものは含みません）：お住まいの国に適用される価格を表示・請求するために使用します。アカウントには保存せず、2文字の国コードのみを Stripe での決済に添付し、割引された地域価格の場合は Bx Labs OS にも送信します（第6条参照）
• お客様の同意がある場合に限り：アクセス解析および広告用Cookie（第4条参照）
• お客様の別途の同意がある場合に限り：利用状況の計測、クリックマップ、セッション録画（テキストと入力内容はマスクされます。第4条参照）
• Cookieを使用しないページビューの計測（第5条参照）
• 登録および購入の情報（当社の社内管理ツールに送信。第6条参照）

通話の録音と文字起こし：PrankCall AI でかけたすべての電話は録音され（AIの声と相手の声の両方）、自動的にテキストへ文字起こしされます。ブラウザでのお試しは録音されませんが、そのシナリオ、選択した声、文字起こしは保存されます。これらの録音、文字起こし、シナリオはアカウントが存在する限り保存され、アカウントの削除とともに削除されます。Bx Labs は、モデレーション（利用規約の遵守確認、不正利用の防止）およびサポートのためにこれらにアクセスすることがあり、すべてのアクセスは記録されます。ご自身の通話は履歴から再生・ダウンロードできます。

• サービスの提供（アカウント、通話、クレジット、アカウント関連メール）：契約の履行（GDPR第6条1項(b)）
• 請求および会計：法的義務（第6条1項(c)）
• モデレーションおよび不正利用の防止：正当な利益（第6条1項(f)）
• アクセス解析ならびに登録・販売の追跡（第5条および第6条）：正当な利益（第6条1項(f)）
• アクセス解析および広告用Cookie（第4条）：お客様の同意（第6条1項(a)）。同意はいつでも撤回できます
• 利用体験の改善（利用状況の計測、クリックマップ、セッション録画。第4条）：前項とは別のお客様の同意（第6条1項(a)）。同意はいつでも撤回できます

バナーで同意（「同意する」または「アクセス解析と広告」の項目）いただくまで、計測用・広告用のCookieは一切設定されません。お客様の同意がある場合に限り、以下を読み込みます。

• Google Ireland Limited が提供する Google Analytics 4（アクセス解析）および Google 広告（コンバージョン計測）
• 必要に応じて、広告キャンペーンの効果測定のための Meta ピクセル（Meta Platforms Ireland Limited）および TikTok ピクセル（TikTok Technology Limited）

同意しない場合、これらのスクリプトは一切読み込まれません。お客様の選択は「cookie-consent」Cookieに6か月間保存され、その後あらためて確認します。選択内容は各ページ下部の「Cookieの設定」リンクからいつでも変更できます。同意を撤回すると、これらのサービスは停止され、そのCookieは削除されます。

利用体験の改善：バナーで別途同意（「利用体験の改善」の項目）いただいた場合に限り、サイト改善のために利用状況を計測します。使用するのはオープンソースツールの Umami で、Bx Labs が Amazon Web Services のフランス国内（パリリージョン、eu-west-3）で自ら運用しています。データが欧州連合外に移転されたり、他の第三者に委ねられたりすることはありません。収集する情報は、ページビュー（パラメータやアンカーを除いたURL、直前のページ、ページタイトル、言語、画面サイズ、端末の種類、ブラウザとOS、IPアドレスから推定した国と都市。IPアドレス自体は保存しません）、クリックとスクロール（クリックマップ）、そしてセッションの録画（ページの表示の流れ、1ページにつき最長10分）です。録画ではすべてのテキストと入力内容がマスクされ、機密性の高い領域（シナリオ、通話先の番号、文字起こし、通話履歴と録音、メールアドレス）はまったく記録されません。Umami はCookieを設定しませんが、そのスクリプトはお客様の端末上で読み書きを行うため、同意後にのみ読み込まれ、モバイルアプリでは一切読み込まれません。法的根拠：お客様の同意（GDPR第6条1項(a)）。アクセス解析と広告への同意はこの目的には及ばず、その逆も同様です。保存期間：セッション録画は90日、統計（ページビュー、クリック、スクロール）は13か月です。お客様の選択は「ux-consent」Cookieに6か月間保存されます。「Cookieの設定」から同意を撤回すると、計測はただちに停止します（ページが再読み込みされます）。

同意がない場合、本サイトは動作に必要なストレージのみを使用します。すなわち、ログインセッション（Supabase）と、お客様の選択を記憶する「cookie-consent」および「ux-consent」Cookieです。キャンペーンリンクから訪問された場合、その utm_source、utm_medium、utm_campaign タグは、キャンペーンの効果を測定するため、同意がある場合に限りお客様のブラウザ（localStorage）に保存されます。同意がない場合、これらはアカウント作成時にページのURLから読み取られるのみです（第6条）。同様に、訪問の流入元（参照元サイトとランディングページ。いずれもパラメータを除く）は、同意がある場合に限りお客様のブラウザ（localStorage、30日間）に保存されます。同意がない場合、訪問中に開いているページ内でのみ保持され、ブラウザには何も書き込まれません。同意を撤回すると、これらは削除されます。

同じ同意に基づき、登録、ログイン、スタジオの利用、ブラウザでのお試しと通話、決済、録音の再生の各ステップと結果、それらの所要時間、実際のページパフォーマンス（Core Web Vitals）、技術的なエラーの分類（エラーメッセージやスタックトレースは含みません）も計測します。ログイン中のアカウントについては、その識別子から SHA-256 で生成した仮名を用いて、継続的な再訪問を計測します。Umami がお客様の氏名、メールアドレス、電話番号、シナリオ、音声、文字起こし、認証トークンを受け取ることはありません。これらの統計と仮名の保存期間も13か月で、この同意を撤回すると収集は停止します。

当社は本サイトのページビューを計測しています。この計測はすべての訪問者を対象にサーバー側で行われ、Cookie、ローカルストレージ、ページ内スクリプトは一切使用しません。このためにお客様の端末に何かを書き込んだり、端末から読み取ったりすることはないため、その点について同意は不要です（フランス情報処理・自由法第82条）。この計測は Google Analytics（第4条）とは別のものです。

読み取るものの、送信も保存もしない情報：IPアドレスとユーザーエージェントは、後述のフィンガープリントを算出するためだけに読み取られ、リクエストとともに破棄されます。送信しない情報：完全なURLとそのパラメータ（ただし、URLに含まれる場合のキャンペーンタグ utm_source、utm_medium、utm_campaign、utm_content、utm_term は除きます）、お客様が流入した元ページのパス（ドメインのみ保持します）、国より詳細な位置情報。

ページビューごとに送信する情報：

• 日付（UTC）と送信時刻
• 後述の日次フィンガープリント
• ページのパス（公開ページの一覧に限定）
• 流入元の種類（検索エンジン、SNS、AIアシスタント、その他のサイト、内部リンク、なし）と、該当する場合はそのドメインのみ
• ページのURLに含まれる場合はキャンペーンタグ（utm_*）
• 国（2文字のコード）
• 端末の分類（デスクトップ、モバイル、タブレット、ボット）

日次フィンガープリントとは、お客様のIPアドレス、ユーザーエージェント、毎日変わるソルト、および本サイトのドメインから算出したハッシュ（SHA-256）です。1日のうちのユニーク訪問者数を数えるためだけに使用し、日をまたいだり、サイトをまたいだりしてお客様を追跡することはできません。ある日のフィンガープリントは翌々日（D+2）の終わりまで保存され、その後、毎日 03:15（UTC）に実行される削除処理で消去されます。つまり、記録から最長76時間です。その後に残るのは集計値（訪問数、日ごとのユニーク訪問者数、ページ、流入元、国、端末）のみで、いずれも個人に関連するものではありません。

受領者：Bx Labs。Bx Labs はこれらのページビューを、Convex が欧州連合（アイルランド）でホスティングする社内ツール Bx Labs OS で受け取り、集計します。法的根拠：正当な利益（GDPR第6条1項(f)）、すなわち自社サイトのアクセス数の計測です。プロファイリング、広告、第三者とのデータ照合は一切行いません。ご連絡いただかなくても異議を申し立てることができます。ブラウザが Global Privacy Control（Sec-GPC）または Do Not Track（DNT）のシグナルを送信している場合、その訪問は一切計測されません。

登録を確認された時点で、当社は Bx Labs の社内ツール Bx Labs OS（Convex が欧州連合のアイルランドでホスティング）に以下を送信します：メールアドレス、氏名（判明している場合。不明な場合はメールアドレスの@より前の部分）、アカウント識別子、登録日、および流入元（パラメータを除いた参照元サイト、ランディングページ、キャンペーンリンクから訪問された場合はそのタグ（utm_source、utm_medium、utm_campaign、utm_content、utm_term））。Cookieへの同意（第4条）がある場合は、初回訪問時のこれらの情報も送信します。また、ブラウザがトラッキング拒否のシグナル（Global Privacy Control または Do Not Track）を送信していない限り、登録時のIPアドレスから推定した国（IPアドレス自体は送信しません）も送信します。クレジットを購入された場合は、購入したパック、クレジット数、支払金額とその通貨を送信します。各通話の終了時には、その結果（つながったかどうか、およびその理由）、通話時間、通話先の国とその国番号、クレジット数に加え、サポート、モデレーション、不正利用の防止（複数のアカウントから同じ番号に発信されるケースなど）のため、通話先の番号といたずらの内容を送信します。ログイン時、およびログイン済みの状態で再訪問された場合は1日最大2回、ログイン日時、ログイン方法（パスワード、Google、メールで届いたリンクなど）、アクセスの種類（ウェブサイトまたはモバイルアプリ）を送信します。IPアドレスやブラウザの情報は送信しません。割引された地域価格で購入された場合は、価格帯、IPアドレスから推定した国、カードの国（取得できない場合は請求先住所の国）も送信し、両者の食い違いを確認します。食い違いは技術ログにも記録されます（国コードと価格帯のみ）。

これらのデータは、登録数、売上、キャンペーンの効果を把握するために使用します。決済データ（カード、IBAN）は一切送信されず、決済は Stripe 内で完結します。法的根拠：正当な利益（GDPR第6条1項(f)）。これらのデータはアカウントが存在する限り保存され、お客様の削除依頼（第9条）はこれらにも適用されます。

当社がお客様のデータを販売することは決してありません。データは、サービスの提供に必要な事業者とのみ共有され、これらの事業者は当社に代わってデータを処理します。

• Supabase：データベースと認証。欧州連合（フランス・パリ）でホスティング
• Microsoft Azure：通話サーバーと Azure OpenAI 音声モデル。欧州連合内（サーバーは France Central リージョン）
• Twilio：電話通話と録音のルーティング
• Stripe：クレジットの決済（Stripe Payments Europe、アイルランド）
• Brevo：アカウント関連メール（フランス）
• Vercel：ウェブサイトのホスティング（Vercel Inc.、米国）
• Google：Google Analyticsおよび Google 広告（Google Ireland Limited）。お客様の同意がある場合のみ（第4条）
• Meta：Meta ピクセル（Meta Platforms Ireland Limited）。お客様の同意がある場合のみ（第4条）
• TikTok：TikTok ピクセル（TikTok Technology Limited）。お客様の同意がある場合のみ（第4条）
• Amazon Web Services：Bx Labs の利用状況計測ツール Umami のホスティング。フランス国内（パリリージョン）。お客様の同意がある場合のみ（第4条）
• Convex：社内ツール Bx Labs OS のホスティング（欧州連合、アイルランド。第5条および第6条）

事業者が欧州連合外（特に米国）でデータを処理する場合、その移転は欧州委員会の標準契約条項または EU-米国データプライバシーフレームワークによって保護されます。

一般データ保護規則（GDPR）およびフランス情報処理・自由法に基づき、お客様には以下の権利があります。

• 個人データへのアクセス権
• 訂正権
• 消去権
• 処理の制限を求める権利
• データポータビリティの権利
• 正当な利益に基づく処理に異議を申し立てる権利
• 同意をいつでも撤回する権利
• 死後のデータの取り扱いについて指示を定める権利

これらの権利を行使するには、contact@bxlabs.ai までご連絡ください。お客様の権利が尊重されていないとお考えの場合は、フランスのデータ保護機関（CNIL、3 place de Fontenoy, 75007 Paris, France）に、または www.cnil.fr/fr/plaintes から苦情を申し立てることができます。

contact@bxlabs.ai までご連絡いただければ、いつでもお客様のデータの完全な削除を請求できます。ご請求は30日以内に対応します。アカウントを削除すると、通話の録音、文字起こし、シナリオも消去されます。購入に関する会計記録は、法律で定められた期間保存されます。

当社は、お客様の個人データを不正なアクセス、改変、開示、破壊から保護するため、適切な技術的・組織的セキュリティ対策を講じています。

本プライバシーポリシーに関するご質問は、Bx Labs（contact@bxlabs.ai）までお寄せください。