プライバシーポリシー

5.1 登録とアカウントデータ

• 登録の際、当社は以下の情報を収集します：
• • メールアドレス（必須）
• • ユーザー名（必須）
• • パスワード（bcryptで暗号化、8文字以上）
• • アカウントの種類（個人または法人）
• • 登録日時
• • 二要素認証（2FA） - 任意ですが、推奨されます
• 目的：アカウントの提供および管理、認証、セキュリティ
• 2FAデータは、お使いの端末にのみローカルに保存されます（QRコードのスキャン）。当社が保存するのは、有効化ステータスのみです。
• 注：Google、Meta（Facebook）、LinkedIn、TikTok、またはXを通じて登録・ログインすることも可能です。その際に要求されるデータおよび権限については、5.1a項をご参照ください。
• 自動登録（ボット）を防ぐため、当社はCloudflare Turnstileを採用しています（第10a.2項を参照）。

5.1a サードパーティ経由での登録・ログイン（ソーシャルログイン）

• メールアドレスとパスワードによる従来の登録に加え、PostMaestro.ai では以下のサードパーティサービスを通じて登録またはログインを行うことができます。 これらの連携は、アカウントの作成およびログインのみを目的としており、投稿を行うためのソーシャルメディア連携（第5.5節参照）とは独立しています。それぞれ、権限の範囲が明らかに限定された独自のOAuth権限（スコープ）が要求されます：
• • Google（スコープ：openid、profile、email） - Google ID、メールアドレス、氏名、プロフィール写真、言語が送信されます
• • Meta / Facebook ログイン（スコープ：public_profile、email） - Facebook ID、メールアドレス、名・姓、プロフィール写真、言語が送信されます
• • Instagram Businessへのログイン（スコープ：instagram_business_basic） - Instagram ID、ユーザー名、表示名、プロフィール画像が送信されます（メールアドレスは含まれません。メールアドレスはオンボーディングの段階で別途入力が必要です）
• • LinkedIn（OpenID Connect、スコープ：openid、profile、email） - 送信される情報は、LinkedIn ID、メールアドレス、名・姓、プロフィール写真、言語です
• • TikTok ログインキット（スコープ：user.info.basic、user.info.profile） - TikTok Open-ID、ユーザー名、表示名、プロフィール画像が送信されます（TikTokはメールアドレスを提供しません。オンボーディングで入力されるまでは、内部でプレースホルダーのアドレスが使用されます）
• • X / Twitter（PKCE 対応の OAuth 2.0、スコープ：users.read、users.email、tweet.read） - 送信される情報は、X-ID、ユーザー名、表示名、プロフィール画像、および X で公開されている場合は確認済みのメールアドレスです
• これらのスコープでは、アカウント作成に必要な基本プロファイルデータの読み取りのみが許可されています。投稿の公開やメッセージの閲覧は行われず、連絡先へのアクセスも許可されません。
• すでに登録済みのメールアドレスが別のプロバイダー経由で再登録された場合、当社はメールアドレス（大文字・小文字を問わず）に基づいて既存のアカウントを識別し、重複したアカウントを作成するのではなく、後から新しいプロバイダーIDを紐付け（アカウントのリンク）を行います。
• お客様のセキュリティ設定で有効になっている場合、ログインのたびに（ソーシャルログインも含む）、日時、端末、ブラウザ、おおよその位置情報を記載したメール通知を送信いたします。 位置情報は、お客様のIPアドレスに基づき、サードパーティプロバイダーであるipinfo.ioを通じて特定されます（第10a.1項を参照）。
• Metaアカウントの削除：Meta（Facebook/Instagram）経由でのログインについては、Metaが規定する認証解除およびデータ削除用のコールバックエンドポイントを提供しています。 Facebookアカウントの設定でアプリを削除するか、そこでデータの削除をリクエストすると、当社には自動的にそのリクエストが届き、Metaが指定するステータスURLにて処理状況を確認できるようになります。

5.2 ブランド・プロフィールとブランド・データ

• ブランド・プロフィールを作成する際、私たちは保存します：
• - ブランド名と説明
• - ウェブサイトURL（ブランドアナライザー用）
• - ブランド・ガイドラインとドキュメントのアップロード
• - ブランドデータの分析（色、フォント、声のトーン）
• - ロゴとビジュアル・アセット
• - ターゲット・グループの定義
• - 業種・カテゴリー
• 目的：市場に準拠したコンテンツの作成、ブランド・アイデンティティの管理

5.3 コンテンツデータ（投稿、メディア、キャンペーン）

• コンテンツ作成の際、当社は以下の情報を保存します：
• • 作成・計画したソーシャルメディアの投稿（テキスト、キャプション、ハッシュタグ）
• • アップロードおよび生成された画像、動画、グラフィック
• • キャンペーンデータとテンプレート
• • アイデアの検証（Idea Generator内のスワイプデータ）
• • 調査資料
• • コンテンツのステータス（下書き、レビュー中、予定、公開済み）
• • 公開時期とプラットフォーム
• • 生成されたメディアに関するラベルおよび出所データ（コンテンツ分類、ラベル付与状況、メタデータ状況）、ならびに生成されたテキストの編集チェックに対するご確認
• 目的：コンテンツ管理、計画、自動化、アーカイブ、およびAIの透明性に関する義務の証明
• 技術的に可能な範囲において、生成されたメディアファイルには、それがAIによって生成された、あるいはAIによって支援されたコンテンツであることを示す識別情報、メタデータ、またはこれに類する技術的指標が含まれます（第8.2節を参照）。

5.4 利用データと分析

• 我々は、プラットフォームを改善するためにデータを保存します：
• - ログイン時間とセッション時間
• - 特徴と使用機能
• - トークンの消費と請求データ
• - エラー・レポートとパフォーマンス・データ
• - フィードバックとサポート依頼
• 目的：プラットフォーム改善、エラー分析、サポート、課金

5.5 ソーシャルメディア・プラットフォームへのリンク（公開）

• ソーシャルメディアアカウント（Instagram、Facebook、Threads、WhatsApp Business、LinkedIn、X、YouTube、TikTok、Wix、WordPress、独自のウェブサイト）を公開用に連携する場合、各プラットフォームはOAuthを通じて、その目的に必要な権限（スコープ）のみを要求します。 これらの連携は、アカウントログインのためのソーシャルログインとは独立しています（5.1a項を参照）。その際、当社は以下の情報を保存します：
• • プラットフォームごとのOAuthアクセストークンおよびリフレッシュトークンは、AES-256-GCMで暗号化され、データベースに保存される（第10節を参照）
• • プラットフォームのアカウントID／ページID／チャンネルID、および表示名、プロフィール画像、ロゴ
• • LinkedInの場合はさらに：公開先を選択する際、ご自身が管理する企業ページ（ID、名称、ロゴ）
• • Facebook／Instagram／WhatsAppの場合：Facebookページ、Instagramビジネスアカウント、WhatsAppビジネスアカウント間の連携が自動的に認識される（接続時に連携済みアカウントが「引き継がれる」）
• • 自動更新されるアクセストークンの有効期限（例：XやWixの場合）
• • WordPressや独自のウェブサイトの場合：OAuthトークンの代わりに、お客様が登録した認証情報（アプリケーションパスワード、またはエンドポイントURLとシークレット）を使用します
• これらのデータは、お客様のご依頼に基づき、連携アカウントに投稿を公開し、PostMaestro.ai内で関連する統計情報（アナリティクス）を表示する目的でのみ使用されます。 プライベートメッセージや連絡先へのアクセスは、お客様が有効化されたコミュニティマネージャー機能（Facebook Messenger、Instagram Direct、WhatsApp）の範囲内でのみ行われます。
• 設定画面からいつでも接続を解除できます。さらに、各プラットフォーム（例：Metaのアカウント設定など）で直接、アプリの権限を取り消すことをお勧めします。

5.6 チームと会社のアカウントデータ

• 複数のユーザーを持つ企業アカウントについては、データも保存されます：
• - チームメンバーとその役割
• - 権限とアクセス制御
• - 承認ワークフローとコメント
• - アクティビティログ（監査ログ）
• 目的：チームコラボレーション、アクセスコントロール、コンプライアンス

5.7 プッシュ通知（モバイルアプリ）

• 当社のモバイルアプリをご利用になり、プッシュ通知を有効にした場合、当社は以下の情報を処理します：
• • 通知の送信に使用するデバイストークン（Device Token）
• • 通知の設定
• プッシュ通知の配信には、Firebase Cloud Messaging（Google）を利用しています。
• お使いのデバイスの設定から、いつでもプッシュ通知を無効にすることができます。

5.8 ニュース、リサーチ、RSSフィード

• このプラットフォームでは、AIがサポートするリサーチ（Perplexity AIによる）を標準的に使用し、関連する業界ニュースを提供するニュース機能を提供している。また、独自のRSSフィードを追加することもできます。その際、加工します：
• - AIがサポートするニュース検索における検索クエリとトピック嗜好
• - 追加したRSSフィードのURL
• - これらのフィードに対するあなたの好みと分類
• - 記事を読む、または保存する
• 本プラットフォームは、サードパーティのフィードのコンテンツを当社のサーバー経由で取得するため、お客様のIPアドレスがRSSフィードの運営者に送信されることはありません。AIがサポートするニュース検索を使用する場合、お客様の検索クエリはPerplexity AIに送信されます（7.3項参照）。
• 目的：業界ニュース、リサーチ、コンテンツのインスピレーションを個人向けに提供する。

6.1 ダブルオプトイン手続き

ニュースレター登録後、確認メールが届きます。

確認リンクをクリックして初めて、ニュースレターのメーリングリストに追加されます。

これは、お客様の電子メールアドレスの悪用を防止するためのものです。

6.2 SendGrid（電子メール配信）

ニュースレターの送信にはSendGrid (Twilio Inc, USA)を使用しています。

SendGridは、ニュースレターを送信するために当社に代わってお客様の電子メールアドレスを処理します。

当社は、GDPR第28条に基づき、SendGridと注文処理契約（AVV）を締結しています。

SendGridはEU-US Data Privacy Frameworkの認証を受けています。

詳細情報：https://www.twilio.com/legal/privacy

Twilio（SendGrid）のプライバシーポリシー

6.3 ニュースレターの追跡

現在：開封率やクリック数のトラッキングはできない

計画中ニュースレター統計のためのオプトイン（開封率、クリックトラッキング）

追跡が開始される前にお客様にお知らせし、同意を与えることも拒否することもできます。

6.4 キャンセル

ニュースレターの購読はいつでも解除できます：

- すべてのニュースレターメールに記載されている配信停止リンクをクリックする。

- 電子メールで newsletter@nexaluna.ai まで

- アカウントの設定で（利用可能な場合）

解約後、お客様のデータはニュースレター配信リストから削除されます。

8.1 AIシステムとの相互作用の開示

• PostMaestro.ai では、AI システムと直接やり取りを行います。コンテンツの生成、評価、要約、翻訳、書き換えを行うすべての機能は AI によってサポートされており、ユーザーインターフェース上でもその旨が明示されています。
• この表示は、最初の操作が行われる前に、明確かつ理解しやすく、他の操作要素とは明確に区別できる形で表示されなければならない（EU AI法第50条第1項）。
• 当社は、これらの注意事項をバリアフリーで提供しており、認定されたバリアフリー要件（EU AI法第50条第5項）に準拠しています。
• AIによる回答や提案は、不完全であったり、古くなっていたり、事実誤認が含まれている可能性があります。これらは、法律、税務、医療、または金融に関する助言を構成するものではありません。

8.2 生成されたコンテンツの機械可読なマークアップ

• EU AI法第50条第2項によれば、合成画像、音声、動画、またはテキストコンテンツを生成するAIシステムによる出力には、機械可読形式で「人工的に生成された」または「改変された」旨の表示を付す必要がある。この表示は、有効かつ相互運用可能で、堅牢かつ信頼性のあるものでなければならない。
• この要件は、複数の相互に補完し合う手法を用いて実現しています。これは、現在の技術水準では、単一の手法だけでは要求される堅牢性を達成できないためです：
• • ファイル内のソースメタデータ： エクスポート時には、生成されたメディアファイルにXMPおよびIPTCメタデータを書き込みます。特に、IPTCフィールドの「Digital Source Type」には「trainedAlgorithmicMedia」という値を指定し、使用されたAIシステム、モデルバージョン、および生成日時に関する情報を記載します。
• • コンテンツ・クレデンシャル（C2PA）：生成された画像および動画ファイルについては、C2PA規格に準拠した暗号的に署名された出所情報を、出力パイプラインに組み込んでいます。
• • プロバイダー側の透かし：各モデルプロバイダーが不可視の透かしを提供している場合、それらはそのまま残され、削除されることはありません。Google Geminiの画像モデルでは、これはSynthIDという透かし技術が採用されています。
• • 検証：書き込み後、マークアップを再度読み取り、ファイルごとにステータス（保留中、有効、欠落、削除済み）を記録します。埋め込みに失敗した場合、機密性の高いコンテンツクラスについては、目に見える形でマークを付けるようにします。
• このマークは、ファイルがストレージに保存されるか配信される前にサーバー側で設定され、レンダリング、アップロード、ダウンロードの過程を経ても維持されるようにします。 技術的には、第三者やターゲットプラットフォームが、再アップロード、圧縮、またはトリミングの際にメタデータを削除する可能性を完全に排除することはできません。その場合でも、目に見えるマークがお客様の保護手段となります（8.3項を参照）。
• 実施状況と期限：EU AI法第50条に定める透明性義務は、2026年8月2日より適用されます。 PostMaestro.aiのように、この日付より前にすでに市場に投入されていたAIシステムについては、2026年12月2日までの移行期間が適用されます。当社は、この期限内に上記の手順を完全に実施し、実施状況を社内で文書化します。
• 本プライバシーポリシーにおける記載のみでは、EU AI法第50条第2項の要件を満たしません。重要なのは、ファイル自体に付された機械可読なマークです。

8.3 ディープフェイクに関する運営者としての義務

• PostMaestro.ai で生成されたコンテンツを公開する場合、お客様は EU AI 法における「事業者」となります。この場合、EU AI 法第 50 条第 4 項に基づく開示義務は、当社ではなくお客様に適用されます。
• 実在の人物、物体、場所、施設、または出来事と見分けがつかないほど酷似した画像、音声、または動画コンテンツ（「ディープフェイク」）を作成または編集する場合、そのコンテンツを公開する際には、それが人工的に生成または改変されたものであることを明示しなければなりません。
• 欧州委員会のガイドラインによれば、この義務は、欺瞞の意図の有無にかかわらず、また具体的な実在の人物が描写されていない場合であっても適用される。したがって、ソーシャルメディアへの投稿には、通常、この義務が適用される。
• サポートとして、機密性の高いコンテンツクラスに対するデフォルト設定としての目立つ表示、エクスポート時の注意文の提案、および公開プロセスにおける注意書きを提供しています。
• デフォルト設定は常に「表示」となっています。この設定を無効にする場合は、その記録が義務付けられています。当社は、その日時、ユーザーアカウント、作業領域、および確認文のバージョンを保存します。写実的な人物描写および合成音声については、この設定を無効にすることはできません。
• 当社が提供する表示および開示の仕組みを、削除、無効化、回避、またはその機能を妨げてはなりません（利用規約第6.4項を参照）。
• この義務は、各ソーシャルメディアプラットフォームの表示規定に追加されるものです。個々のケースにおいて開示義務が存在するかどうかは、ご自身で確認する必要があります。

8.4 AI生成テキストと編集上の責任

• テキストに関しては、EU AI法第50条の規定は、画像、音声、動画の場合に比べて明らかに範囲が狭い。開示義務が生じるのは、以下の3つの要件がすべて満たされる場合に限られる：
• 1. このテキストはAIによって生成または改変されたものです。
• 2. テキストが公開されます。
• 3. 出版物の目的は、ニュース、政治的・社会的な見解、公の議論に関する寄稿など、公共の関心事について一般市民に情報を提供することにある。
• その内容が人による確認または編集上のチェックを経ており、かつ、自然人または法人がその公開について編集上の責任を負っている場合、表示義務は適用されない。
• AIによって生成されたすべてのテキストに対して、一般的な表示義務は存在しません。AIを補助ツールとして利用し、テキストを編集上の観点から確認し、自らその責任を負う者は、原則として追加の表示義務を負いません。
• PostMaestro.aiはまさにその目的のために設計されています。生成されたテキストはあくまで提案です。スケジュールを設定したり公開したりする前に、ユーザーがテキストを確認し、編集上の責任を負うことを明示的に確認していただく必要があります。この確認内容は、日時、ユーザーアカウント、テキストのバージョンを記録し、例外措置が証明できるようにしています。
• アプリケーション内の注意書きには次のように記載されています。「このテキストは提案です。公開前に必ず確認してください。確認を行うことで、編集上の責任を負うことになります。」
• この審査を経ない限り、生成されたテキストを編集責任を負うコンテンツとして公開してはなりません。その場合、EU AI法第50条第4項に基づく開示義務が適用される可能性があります。

8.5 感情認識および生体認証による分類を行わない

• PostMaestro.ai は、感情認識システムを採用しておらず、生体認証データから感情、情緒状態、または意図を推測することもありません。
• 当社は、生体認証による分類、顔認識、生体認証による本人確認、および民族的出自、政治的信条、宗教、労働組合への加入、健康状態、性的指向といった保護対象となる属性の識別を行っておりません。
• 「アイデア検証（Idea Validation）」、「ブランドアナライザー（Brand Analyser）」、あるいはパフォーマンス分析といった評価機能は、コンテンツ、ブランド、およびリーチに関するデータのみに基づいており、個人や生体認証情報には一切基づいていません。
• したがって、EU AI法第50条第3項に定める、感情認識システムおよび生体認証分類システムに関する情報提供義務は、当社には適用されません。

8.6 禁止される利用：同意のない性的描写および児童虐待の描写

• EU AI法第5条は、合理的に予測可能な結果として、同意のない性的表現（NCII）または児童性的虐待の表現（CSAM）となるAIシステムを禁止しています。 汎用的な画像・動画生成ツールの提供者として、当社は設計段階からこうした悪用リスクを評価し、技術的な保護措置を講じています。
• 実施された保護措置：
• • 画像・動画モデルを呼び出す前に、関連するプロンプトをブロックする入力フィルター
• • 出力フィルターおよび採用しているモデルプロバイダーのセキュリティ設定
• • 性的文脈における未成年者、または特定可能な人物の性的描写を対象とした投稿をブロックする
• • 当該者の文書による同意がない場合のペルソナ機能およびボイス機能の利用停止（第5.9項参照）
• • 不正利用の検知を目的とした、ブロックされたリクエストのログ記録、および該当するアカウントを停止する機能
• これらの目的でのプラットフォームの利用は一切禁止されており、違反した場合はアカウントが直ちに停止されるほか、犯罪の疑いがある場合には、所管当局に通報されます。
• 不正利用の報告：ご本人および第三者は、いつでも info@nexaluna.ai 宛てに、件名を「AIの不正利用を報告」として、違反行為を報告することができます。弊社では、寄せられた報告を優先的に確認し、受領確認の連絡をいたします。
• 設計段階におけるリスク評価、採用したフィルター、および通報への対応については、社内で文書化し、所管当局からの要請に応じて提出しています。

8.7 役割分担：プロバイダーと運営者

• EU AI法における「提供者」とは、AIシステム「PostMaestro.ai」を提供するNexaluna AI Solutions UG（有限責任会社）を指します。 当社は、提供者としての義務、特に第50条第2項に基づく出力への機械可読なマーク付け、および第50条第1項に基づくAIとの相互作用の開示を遵守する義務を負っています。
• プラットフォームを自らの責任において利用し、作成したコンテンツを公開した時点で、あなたは運営者となります。あなたは運営者としての義務、特に第50条第4項に基づく、ディープフェイクおよび公共の利益に関わる文章に関する開示義務を履行しなければなりません。
• 使用されているベースモデルは第三者から提供されたものです（第7節を参照）。それらの提供者は各AIモデルの提供者であり、当社はそれらを基盤として構築されたAIシステムの提供者です。
• 当社では、導入済みの全モデルとそれぞれの役割の割り当てを記載した台帳を社内で管理しており、変更があった際には随時更新しています。
• EU AI法第4条に定めるAIリテラシーに関して、当社は従業員に対し、導入されているAIシステムの取り扱いに関する研修を実施し、その研修内容を記録しています。

8.8 監督および苦情

• 2026年7月29日以降、ドイツにおけるEU AI法に関する管轄市場監視当局、ワンストップ窓口、および苦情受付窓口は、連邦ネットワーク庁となっている。
• 連邦ネットワーク庁、Tulpenfeld 4、53113 ボン、https://www.bundesnetzagentur.de
• AIの透明性に関する苦情は、いつでもこちらから申し立てることができます。ご要望について速やかに確認できるよう、事前に info@nexaluna.ai までご連絡いただけますようお願いいたします。