プライバシーポリシー

はじめに／当社について

本プライバシーポリシーは、collabby.ai において Collabby サービスを運営する Vifork（바이포크）（以下「Collabby」「当社」といいます）が、お客様による本サービスのご利用に関連して、個人データをどのように収集・利用・共有・保護するかを説明するものです。Vifork は、お客様の個人データについて責任を負う管理者（データコントローラー）です。

Collabby は、AI モデルとの対話を通じてウェブアプリケーションを構築・実行・公開・フォーク（複製）し、共同作業を行うことを可能にする AI「バイブコーディング」プラットフォームです。当社のサービスは、米国に所在する第三者が運営するインフラからグローバルに提供されるため、本ポリシーでは越境処理について説明し、末尾に欧州経済領域（EEA）、英国、カリフォルニア州およびブラジルに関する地域別のセクションを設けています。

本書は、当社のグローバルプライバシーポリシーの英語版正文（マスター版）に対応する日本語版です。大韓民国のお客様には、個人情報保護法（PIPA）に基づいて作成された別途の韓国語版개인정보처리방침（プライバシーポリシー）が追加的に適用され、同ポリシーは以下に記載する副処理者（サブプロセッサー）一覧を共有します。本ポリシーの条項が、当社とお客様との間の個別の合意と抵触する場合には、データ主体たるお客様にとってより保護的な条件が適用されます。

施行日：2026-07-03。当社は本ポリシーの旧版を引き続き閲覧可能な状態に保ち、重要な変更を行う際には新たな施行日を付して再公表します（「本ポリシーの変更」をご参照ください）。

事業者登録番号および通信販売業申告番号を含む会社情報は、サイトフッターの사업자정보（事業者情報）に表示しており、ご請求に応じてもご案内します。

当社が収集する個人データ

当社は、本サービスのご利用の過程で生じる態様に応じて、以下の類型の個人データを収集します。

アカウント・本人確認データ

登録またはサインインの際に、当社はメールアドレス、（平文ではなく）ハッシュ化されたパスワード、表示名を収集し、ソーシャルログインをご利用の場合には提供者（Google または X）から返される識別子を収集します。X（Twitter）でのサインインにおいて提供者から確認済みのメールアドレスが提供されない場合、当社はアカウントを識別するために合成メールアドレスを生成することがあります。二要素認証（2FA）を有効化された場合、当社はお客様の TOTP シークレットおよびリカバリーコードを暗号化された認証データとして保存します（これは認証情報であり、特別な類型のデータではありません）。

サービス・コンテンツデータ

アプリビルダーおよび関連機能をご利用の際に、当社はお客様が入力したプロンプト、AI が生成したコードおよびアプリケーション、会話履歴、そして音声モードをご利用の場合には音声データを処理します。また、お客様がアップロードしたファイルや画像、あるいはお客様のために生成されたファイルや画像、ならびにお客様のプロジェクト、アプリ、バージョン、提出物、ギャラリー活動に関するメタデータを処理します。お客様のプロンプト、ファイルおよび公開アプリ自体に、お客様または第三者に関する個人データが含まれる場合があります。お客様が送信するコンテンツについてはお客様が責任を負います。

決済・取引データ

当社は、購入者のメールアドレス、注文およびサブスクリプションの識別子、プランおよびクレジット残高、請求書、返金・チャージバックの記録といった決済メタデータを処理します。カードや銀行口座の情報は、当社の販売業者（Merchant of Record）である Lemon Squeezy がそのホスト型チェックアウトにおいて直接収集し、当社はお客様のカード番号の全体を受領または保存しません。

自動的に収集されるデータ

お客様が本サービスにアクセスする際、当社はアクセスログ、IP アドレス、デバイスおよびブラウザのシグナル、クッキー識別子、ボット対策シグナル（Cloudflare Turnstile を通じたもの）、ならびにセキュリティに関わる操作に関する内部監査ログの記録を自動的に収集します。

お客様の公開アプリが収集するデータ（「VibeRecord」）

お客様が Collabby 上で構築・公開したアプリケーションは、それ自体が当該アプリのエンドユーザーから個人データを収集し、それが当社のインフラに保存される場合があります（「VibeRecord」および関連する自由形式のストレージ）。このエンドユーザーデータに関する当社の役割は、当該処理の実態に応じて決定されますが、Collabby が当該ストレージの本質的な手段を決定していることに照らせば、当社は単なる処理者（プロセッサー）としてではなく、共同管理者として、またはお客様との間のデータ処理取決めに基づいて行為する場合があります。お客様は、自らのアプリのエンドユーザーに対する独自のプライバシー通知および適法な根拠について引き続き責任を負います。

当社は、これらのデータを、登録および本サービスのご利用の際のお客様の直接の入力、ソーシャルログインのコールバック、ならびにクッキーやサーバーログといった自動収集ツールを通じて収集します。

処理の目的および適法な根拠

当社は、以下の目的のために個人データを処理します。EEA および英国のお客様については、各目的は GDPR／英国 GDPR に基づく特定の適法な根拠に依拠しており、ここに明示します。当社は、すべての処理について単一の包括的な「同意」を根拠とすることはありません。

サービスの提供（契約 — 第6条(1)(b)）

当社は、アカウントの作成・管理、お客様の認証、AI によるアプリの構築・実行・公開・フォーク・共同作業機能の提供、クレジットおよびサブスクリプションの処理、ならびにカスタマーサポートの提供のために、アカウント、コンテンツおよび決済データを処理します。この処理は、お客様との契約を履行するために必要です。

マーケティングおよび非必須クッキー（同意 — 第6条(1)(a)）

必要な場合、当社は、任意のマーケティングメールならびに非必須のクッキーおよび解析（Google Analytics 4 を含みます）について、お客様の同意に依拠します。お客様はいつでも同意を撤回することができ、撤回前の処理の適法性には影響しません。

セキュリティ、不正防止および製品改善（正当な利益 — 第6条(1)(f)）

当社は、サービスの安全性を維持し、不正および濫用を防止し、当社の規約を執行し、製品のデバッグおよび改善を行い、集計的な利用状況を把握するために、アクセスログ、IP アドレス、ボット対策シグナルおよび利用データを処理します。当社は、お客様の権利との均衡を図ったうえで、当社およびお客様の正当な利益に依拠します。お客様は、「お客様の権利」に記載のとおり、この処理に異議を申し立てることができます。

法令の遵守（法的義務 — 第6条(1)(c)）

当社は、韓国の電子商取引等における消費者保護に関する法律を含む、税務、会計および消費者保護の法令を遵守するために、取引、決済および消費者紛争の記録を保存し、必要な開示を行います。

データの共有および副処理者

当社はお客様の個人データを販売しません。当社は、以下に列挙する、当社に代わってサービスを運用するために個人データを処理するサービス提供者（「副処理者」）、および明記する場合には独立した受領者との間で個人データを共有します。これらの提供者はいずれも米国に所在しており、当社のデータ経路に国内（韓国）のベンダーは存在しません。各提供者は、適切な安全管理措置を求めるデータ処理契約（DPA）に基づき起用されており、当社は本一覧を維持・更新します。

Supabase Inc.（米国）

目的：マネージド Postgres データベース — 当社の主要なアプリケーションデータストア。 データ：メールアドレス、ハッシュ化されたパスワード、ソーシャルログイン識別子、表示名、アプリおよびプロジェクトデータ、クレジット／サブスクリプション／決済メタデータ、暗号化された 2FA／TOTP シークレット、ならびに保存されたプロンプトおよび会話。 移転に関する保護措置：EU→米国 標準契約条項（SCC）モジュール2 および移転影響評価、または輸入者が現在認証を受けている場合には EU-US データプライバシーフレームワーク（DPF）、英国 IDTA／付属文書、ならびにセキュリティ措置を伴う DPA。

Vercel Inc.（米国）

目的：本番ホスティング、サーバーレスコンピュート、およびアプリケーションのエッジ配信。 データ：リクエストデータ、IP アドレス、サーバーおよびアクセスログ、ならびにセッション／認証クッキーデータ。 移転に関する保護措置：SCC モジュール2 および移転影響評価／英国 IDTA（スイスのお客様については Swiss-US DPF）、DPA。

Anthropic PBC（米国）

目的：Claude AI — アプリビルダーのためのテキストおよびコード生成。 データ：プロンプト、生成されたコードおよび会話内容。 移転に関する保護措置：SCC／DPF および移転影響評価、DPA。Anthropic の商用 API 規約の下では、入力はデフォルトで基盤モデルの学習には使用されず、標準的な入出力の保持は短期間です（現在は Anthropic の 2025-09-14 付ポリシーに基づき7日間の期間）。ゼロデータ保持のオプションもあります。

OpenAI OpCo, LLC（米国）

目的：GPT — テキストおよびコード生成、ならびに gpt-realtime 音声アシスタント。 データ：プロンプト、生成されたコード、ならびに音声モードにおいては音声（お客様のデバイスから raw WebRTC を介して OpenAI に直接送信されます）。 移転に関する保護措置：SCC／DPF および移転影響評価、DPA。OpenAI の商用 API 規約の下では、入力はデフォルトで基盤モデルの学習には使用されず、濫用監視ログは限られた期間（最長約30日間）保持されます。ただし、有効な法的保全命令が適用される場合には標準的な API ログがより長く保持されることがあり、ゼロデータ保持の取決めがある場合を除きます。

Google LLC — Gemini API（米国）

目的：Gemini — Free ティアのためのテキストおよびコード生成。 データ：プロンプトおよび生成されたコード。 移転に関する保護措置：SCC／DPF および移転影響評価。重要な留意事項：Free ティアは Google のコンシューマー向け Generative Language API を通じて提供されます。EEA、スイスおよび英国以外の地域では、Google は本 API を通じて送信されたコンテンツを、自社の製品およびサービスの提供・改善・開発のために利用することがあり、人間のレビュアーが当該コンテンツを閲覧することがあります。この学習／レビュー目的の利用は Google 自身の目的であり、通常の処理者取決めの対象ではありません。有料の AI ティアでは、上記のとおり Anthropic および OpenAI を利用します。

Google LLC — Google Analytics 4（米国）

目的：ウェブ解析および利用状況の測定。 データ：仮名化された利用データ、クッキー／デバイス識別子、および IP アドレス。 移転に関する保護措置：SCC／DPF および移転影響評価。Google Analytics は、お客様が当社の同意バナーで非必須クッキーを承認した後にのみ読み込まれます。Google はこの目的について解析提供者として行為します。お客様はクッキー同意を拒否することで、これを拒むことができます。

Tavily（米国）

目的：AI 機能のためのウェブ検索リトリーバル。 データ：お客様の入力から派生した検索クエリ。 移転に関する保護措置：SCC／DPF および移転影響評価、DPA。

Cloudflare, Inc.（米国）

目的：R2 オブジェクトストレージ（アップロードされたファイル、AI 生成画像、および提出物）ならびに Turnstile（サインアップ時のボット対策 CAPTCHA）。 データ：アップロードおよび生成されたファイル・画像・提出物、Turnstile については、サインアップ時に収集される IP アドレスおよびブラウザシグナル。 移転に関する保護措置：SCC／DPF および移転影響評価、DPA。

Resend（米国）

目的：トランザクションメールの配信（確認、通知、決済関連メール）。 データ：メールアドレスおよびメッセージのメタデータ。 移転に関する保護措置：SCC／DPF および移転影響評価、DPA。

Upstash（米国）

目的：レート制限（Redis REST）およびアプリビルダーの再開可能ストリームセッション。 データ：メールアドレスおよび IP（レート制限のキーとして）、ならびに処理中のストリームコンテンツ（生成中の会話およびコード）。 移転に関する保護措置：SCC／DPF および移転影響評価、DPA。

Lemon Squeezy, LLC（米国）

目的：販売業者（Merchant of Record） — 決済処理、税／VAT の取扱い、および返金・チャージバック。 データ：購入者のメールアドレス、注文およびサブスクリプションの識別子、ならびに決済メタデータ（カードデータは Lemon Squeezy がそのホスト型チェックアウトにおいて直接収集します）。 移転に関する保護措置：販売業者として、Lemon Squeezy は、自社のプライバシーポリシーの下で自らの法的および税務上の目的のために支払者情報を収集する独立した管理者であり、当社に代わって行為する単なる処理者ではありません。お客様のカード明細には「Lemon Squeezy」と表示されることがあります。当社は、キャンセル、撤回、返金および苦情を含む消費者の権利について責任を負うサービス提供者かつ販売者であり続けます。当社は、取引記録のために購入者メールアドレスのマスク処理済みスナップショットのみを保持します。

国際的なデータ移転

Collabby は大韓民国から運営されていますが、上記の副処理者はいずれも米国に所在するため、お客様の個人データは米国においてホスティングおよび処理されます。EEA、英国またはスイスから米国への個人データの移転は、適切な保護措置の下で行われます。すなわち、EU 標準契約条項（モジュール2）および移転影響評価、または輸入者が現在認証を受けている場合には EU-US データプライバシーフレームワーク、英国からの移転については英国国際データ移転契約（IDTA）もしくは付属文書（または利用可能な場合には UK-US データブリッジ）、ならびにスイスのお客様についてはスイス付属文書によります。法的に認められる場合には、当社は特定の移転についてお客様の明示的な同意に依拠することもあります。お客様は、以下の連絡先を通じて、関連する保護措置の写しを請求することができます。

データの保持および削除

当社は、本ポリシーに記載する目的のために必要な期間に限って個人データを保持し、その後は削除または匿名化します。保持期間は、データの種類および適用される法令に応じて異なります。

法令が求める場合、当社は特定の記録を法定の最低期間保持します。例えば、韓国の電子商取引等における消費者保護に関する法律の下では、契約およびサブスクリプションの撤回に関する記録は5年間、決済および物品の供給に関する記録は5年間、消費者の苦情および紛争処理に関する記録は3年間、表示・広告に関する記録は6か月間保持されます。アクセスログは、少なくとも法定の最低期間（1年間、または機微情報もしくは固有識別子の処理についてより高い基準が適用される場合には2年間）保持されます。

お客様がアカウントを削除された場合、当社は、以下の正直な例外に従うことを条件として、不当な遅滞なく、原則として30日以内に、お客様の個人データを削除または匿名化します。

フォークおよび公開共有されたコンテンツ。お客様がアプリを公開する、またはリミックスを許可することを選択し、他のユーザーがそれをフォークした場合、当該フォークは当該第三者が所有する独立した複製となります。かかる複製（お客様の元のプロンプト、コードまたはファイルを埋め込んでいる場合があります）は、お客様のアカウント内には存在せず、お客様のアカウントが削除された後も存続する場合があります。当社はその削除を保証することができません。

法定の取引・決済記録。当社が法的に保持を義務付けられている取引および決済の記録は、分離してマスク処理され（例えば、当社はマスク処理済みの購入者メールアドレスのスナップショットのみを保持します）、適用される法定期間の間保存された後に削除されます。

バックアップおよびログ。残存する複製は、当社が定める保持スケジュールに従って上書きまたは消去されるまでの限られた期間、安全なバックアップおよびログ内に残る場合があり、副処理者が保持する複製はそれぞれの契約に従って削除されます。

お客様の権利

適用される法令に従い、お客様は自らの個人データに関する権利を有します。これには、個人データへのアクセス、不正確なデータの訂正、削除（消去）の請求、一定のデータを可搬性のある機械可読形式で取得すること、一定の処理の制限または異議、ならびに処理が同意に基づく場合の同意の撤回に関する権利が含まれます。お客様は、ご自身の取引記録へのアクセスおよびその写しの取得を請求することもできます。

これらの権利を行使するには、privacy@collabby.ai まで、または当社のデータ保護責任者を通じて（「連絡先および苦情」をご参照ください）ご連絡ください。当社は、対応に先立ってお客様の本人確認（または法定代理人の権限の確認）を行い、適用される法令が求める期間内（EEA／英国からの請求については通常1か月以内）に回答します。当社は上記の法定の権利を尊重します。請求が「データの保持および削除」で説明したフォークもしくは法定保持の例外、またはその他の法的免除に関わる場合には、その旨およびその理由をお客様にお知らせします。適用される法令の下では、特定の請求について完全に自動化されたセルフサービスツールがまだ利用可能でない場合であっても、お客様はこれらの権利を行使することができ、当社はこれに効力を与えます。

児童について

当社のサービスは成人を対象としており、児童に向けたものではありません。18歳またはお客様の管轄地における成年年齢（韓国においては19歳以上。購入は成年年齢に達したユーザーのみが行うことができます）という最低年齢方針に沿い、当社は未成年者による登録を故意に認めず、韓国における14歳未満、米国における13歳未満（COPPA）、または EEA および英国における適用されるデジタル同意年齢（国により13歳から16歳の範囲）未満の児童から、故意に個人データを収集することはありません。

韓国のお客様に対して、当社は、法令の定めるところにより、法定代理人の同意を得ずに締結された契約を未成年者が取り消すことができる旨を明確に告知します。同意を根拠とする児童データの処理がこれを要する場合、当該同意は児童の法定代理人によって与えられ、かつ確認されなければなりません。

適用される年齢未満の児童から、必要な法定代理人の同意を得ずに個人データを収集したことが判明した場合、当社は不当な遅滞なく当該データを削除し、アカウントを閉鎖します。保護者または法定代理人は、児童の個人データを確認または削除請求するために、privacy@collabby.ai までご連絡いただけます。

クッキーおよび解析

当社はクッキーおよび類似の技術を使用します。厳密に必要なクッキー（例えばセッションおよび認証のクッキー）は、本サービスを運用するために必要であり、無効化することはできません。非必須クッキー（主として利用状況測定のための Google Analytics 4）は、お客様が当社のクッキー同意バナーで承認した後にのみ読み込まれます。お客様は、バナーまたはブラウザ設定を通じて、いつでも非必須クッキーへの同意を拒否または撤回することができます。EEA および英国の訪問者については、お客様がオプトインする前に非必須のトラッカーは作動しません。当社はまた、ボットを検出するためにサインアップ時に Cloudflare Turnstile を使用しており、これによりお客様の IP アドレスおよびブラウザシグナルが米国の Cloudflare に送信されます。

AI の処理、学習および保持

お客様が AI 機能をご利用の際、お客様のプロンプト、生成されたコード、会話内容、ならびに（音声モードにおいては）音声は、「データの共有および副処理者」に列挙する AI 提供者によって処理されます。gpt-realtime モードにおける音声は、お客様のデバイスから raw WebRTC を介して OpenAI に直接送信されます。

学習および保持の慣行は提供者ごとに異なり、当社は単一の包括的な主張ではなく、事実に即して説明します。

Anthropic および OpenAI の商用 API 規約の下では、お客様の入力はデフォルトで各社の基盤モデルの学習には使用されず、入出力の保持は限定的です（上記の Anthropic および OpenAI の項に記載のとおり）。

Google のコンシューマー向け Gemini API によって提供される Free ティアについては、EEA、スイスおよび英国以外の地域では、Google がコンテンツを自社の製品およびサービスの提供・改善のために利用することがあり、人間のレビュアーがこれを閲覧することがあります。したがって当社は、Free／Gemini の経路が学習に使用されないとは表明しません。

Collabby は、お客様のコンテンツを当社自身のモデルの学習に使用しません。

お客様が独自の API キー（BYOK）を持ち込む場合、お客様のデータはお客様自身のアカウントおよび当該提供者の規約の下で処理され、これは学習を許容する場合があります。AI が生成した出力について、適用される法令の下で AI 生成である旨の表示が求められる場合、当社は当該法令が求めるところに従いその表示を行います。

セキュリティ措置

当社は、リスクに応じた技術的および組織的な措置を講じて個人データを保護します。これには、認証情報および機微なフィールドの暗号化（パスワードはハッシュとして保存され、2FA／TOTP シークレットおよびリカバリーコードは AES-256-GCM 暗号化により封緘されます）、アクセス制御および最小権限の付与、アクセスログの保持およびレビュー、通信中データの暗号化、ならびに副処理者に適切な保護措置の適用を求めるデータ処理契約が含まれます。完全に安全な送信または保存の方法は存在しませんが、当社はお客様のデータを保護し、インシデントを検知して対応するよう努めています。

侵害の通知

個人データの侵害が発生した場合、当社は、適用される法令が求める期間内に、影響を受けるデータ主体に通知し、管轄の監督機関に報告します（例えば、韓国の PIPA の下では、影響を受けるデータ主体への不当な遅滞のない、原則として72時間以内の通知、ならびに1,000名以上のデータ主体が影響を受ける、機微情報もしくは固有識別子データが関わる、または外部からの不正アクセスがあるといった基準に該当する場合の当局への報告。また、GDPR の下では、主導監督機関への72時間以内の通知、および侵害が高いリスクを生じさせるおそれがある場合の影響を受けるデータ主体への通知）。当社は、これらの期限を満たすことができるよう、侵害通知義務を副処理者にも及ぼします。

本ポリシーの変更

当社は、本ポリシーを随時更新することがあります。重要な変更を行う際には、新たな施行日を付して再公表し、旧版を引き続き閲覧可能な状態に保ちます。越境移転に関する受領者、項目または保持期間を変更する場合には、当社は関連する開示を再公表します。お客様には、本ポリシーを定期的にご確認いただくことをお勧めします。

地域別の権利 — EEA および英国

お客様が EEA または英国にお住まいの場合、お客様の個人データの処理には GDPR／英国 GDPR が適用され、上記の適法な根拠および権利がお客様に適用されます。GDPR 第27条に基づく当社の EEA 域内代理人および英国 GDPR 第27条に基づく当社の英国代理人は、指定される予定です（選任手続中）。指定され次第、その連絡先はここおよびサイトフッターに掲載されます。コンテンツのモデレーションおよび削除に関する事項について求められる場合には、当社の EU 法定代理人も同様に指定される予定です。

お客様のデータの米国への国際移転は、「国際的なデータ移転」に記載する保護措置の下で行われます。お客様は、privacy@collabby.ai までご連絡いただくことにより、アクセス、訂正、消去、制限、可搬性および異議の権利を行使し、また同意を撤回することができます。当社は GDPR が求めるところに従い1か月以内に回答します。お客様はまた、お住まいの地域のデータ保護監督機関（英国においては情報コミッショナー事務局（ICO））に苦情を申し立てる権利を有します。

地域別の権利 — カリフォルニア州

本セクションは、CCPA／CPRA に基づくカリフォルニア州の居住者向けに本ポリシーを補完するものです。当社が収集する個人情報の類型、その利用目的、および共有先については上記に記載しており、これが当社の収集時通知（notice at collection）となります。当社はお客様の個人情報を販売せず、カリフォルニア州法に定義される意味においてクロスコンテキスト行動ターゲティング広告のために「共有」することもありません。当社は、Global Privacy Control（GPC）などのオプトアウト設定シグナルを、あらゆる販売または共有からオプトアウトする有効な請求として尊重します。

カリフォルニア州の居住者は、当社が収集した個人情報を知りアクセスする権利、その削除を請求する権利、訂正を請求する権利、およびこれらの権利を行使したことを理由とする差別を受けない権利を有します。当社が機微な個人情報を処理する範囲において、お客様はその利用を許容される目的に限定するよう請求することができます。お客様は privacy@collabby.ai まで請求を提出することができ、法令が認める範囲で授権代理人を利用することができます。当社は回答に先立ってお客様の請求を確認します。

地域別の権利 — ブラジル

お客様がブラジルにお住まいの場合、一般データ保護法（LGPD）が適用されます。お客様は、確認およびアクセス、訂正、不要なデータの匿名化または削除、可搬性、共有に関する情報、ならびに同意の撤回等の権利を有します。当社のデータ保護責任者（encarregado）には privacy@collabby.ai を通じてご連絡いただけます。お客様はまた、ブラジルのデータ保護当局（ANPD）にご連絡いただくこともできます。

連絡先および苦情

管理者：Vifork（바이포크）、Collabby（collabby.ai）の運営者。当社の事業者登録番号、通信販売業申告番号その他の会社情報は、サイトフッターの사업자정보に表示しており、ご請求に応じてもご案内します。

一般およびプライバシーに関する連絡先：support@collabby.ai。

データ保護責任者／개인정보 보호책임자：An Inyoung（안인영）、代表 — privacy@collabby.ai。

韓国のお客様は、個人情報紛争調整委員会（개인정보분쟁조정위원회、1833-6972）、個人情報侵害申告センター（개인정보침해신고센터、118）、または最高検察庁および警察庁のサイバー捜査部門に支援を求めることもできます。EEA または英国のお客様はお住まいの地域の監督機関に、ブラジルのお客様は ANPD に苦情を申し立てることができます。