プライバシーポリシー

1. データ管理者および対象サービス

米国デラウェア州法人である Bandruption Corp（所在地：8 The Green B, Dover, DE 19901, United States。以下「Bandruption」または「当社」）は、本プライバシーポリシーに基づき処理される個人情報のデータ管理者（個人情報取扱事業者）です。

本プライバシーポリシーは、マーケティングサイト（bandruption.com）、アーティスト・ファンプラットフォーム（bandruption.fun および auth.bandruption.fun）、クリエイター向けオンボーディングサイト（create.bandruption.fun）、AIワークスペース（bandruption.ai）、開発者ドキュメント（docs.bandruption.fun）、および Bandruption Android アプリ（パッケージ名 com.bandruption.bandruption）（以下総称して「本サービス」）を含む、本ポリシーにリンクするすべての当社サービスに適用されます。

2. 収集する個人情報のカテゴリー

当社は、本サービスの提供・保護・改善に必要な情報、またはお客様が明示的に共有もしくは同意された情報のみを収集します。

アカウントおよび本人確認データ：氏名、表示名、ユーザー名／ハンドル、メールアドレス、ハッシュ化されたパスワードまたはマジックリンクトークン、プロフィール画像、アカウント種別（ファン、アーティスト、音楽業界プロ、法人メンバー）、および Google・Discord・X・Spotify・Apple・Microsoft Entra ID によるシングルサインオン識別子。
アーティスト・クリエイター・ファンのコンテンツ：アーティストプロフィール、楽曲・音源・アートワーク、イベント情報、グッズカタログ、バウンティ応募、ファンの Top 10 Proof of Fandom リスト、コメント、公開ソーシャルリンク。
決済・サブスクリプション・BANDS台帳データ：注文履歴、サブスクリプション階層・利用権限、BANDSクレジットの購入および利用履歴、チケット・物販配送情報（実物商品注文時の配送先住所など）、アフィリエイト／報酬記録、および PayPal・KOMOJU・Stripe・Google Play Billing・RevenueCat・Microsoft Azure Commercial Marketplace からのトークン化された決済参照情報。当社はクレジットカード番号の全桁を直接保存しません。
Bandruption AI ワークスペースデータ（bandruption.ai およびプラットフォーム AI 機能）：プロンプト、会話メッセージ、アップロードファイル、エージェント／モデル設定、人間による承認（Human-in-the-Loop）履歴、トークン消費記録。
セキュリティ・運用・不正防止ログ：IPアドレス、リクエスト日時、認証セッション識別子、レート制限カウンタ、ボット検証トークン（ニュースレターフォームの Google reCAPTCHA Enterprise および認証画面の Cloudflare Turnstile）。
同意に基づく任意のテレメトリおよびプッシュ通知識別子：Cookie設定で明示的にオプトインされた場合に限り、自社プロダクト分析イベント、Firebase Analytics／Web Vitals、Bandruption AI ブラウザ RUM 診断、OneSignal Webプッシュ購読トークン、X（旧Twitter）コンバージョンイベントを収集します。

当社は、税務または報酬支払法令上必要な場合（規制対象決済事業者が直接収集する場合）を除き、公的身分証番号、生体認証データ、精密なGPS位置情報、健康情報などの要配慮個人情報を意図的に収集しません。

3. 利用目的および処理の法的根拠

当社は明確に定義された目的のために個人情報を処理し、GDPR、英国GDPR、または同等の法令が適用される地域では以下の法的根拠に基づきます。

処理の目的と適用される法的根拠
利用目的	処理の具体例	法的根拠（EEA／英国／スイス）
本サービスの提供および契約の履行	アカウント作成・認証、プロフィールおよび音源のホスティング、Bandruption AI の会話提供、サブスクリプション・チケット・グッズ・BANDS取引の履行、カスタマーサポート。	契約の履行（GDPR第6条第1項(b)）
セキュリティ、不正防止およびサービス完全性の維持	不正ログインやボット攻撃、決済・バウンティ・アフィリエイト不正の検知、レート制限および権限管理、障害・可用性ログの維持。	サービス保護に関する正当な利益（GDPR第6条第1項(f)）
任意の分析、機能性プッシュ通知、マーケティングおよび外部埋め込み	Bandruption 製品分析、Firebase／GTM 分析ストレージ、HyperDX RUM、OneSignal Webプッシュ、X コンバージョン計測、外部ストリーミング埋め込み。	明示的なオプトイン同意（GDPR第6条第1項(a)／ePrivacy指令）
お客様が希望する連絡の送信	取引明細やセキュリティ通知の送信、および購読登録された場合に限るニュースレター配信（各メールにワンクリック配信停止リンクを記載）。	契約の履行（取引通知）または同意（マーケティング配信）
法令・税務・会計コンプライアンス	財務・税務・返金対応・著作権（DMCA）および法定監査記録の保管。	法的義務の遵守（GDPR第6条第1項(c)）

4. AIデータの取扱いおよび基盤モデル非学習の確約

お客様が Bandruption AI（bandruption.ai）または bandruption.fun 上のエージェント機能を利用する際、入力プロンプトやアップロードファイルは暗号化通信により法人向け AI 推論プロバイダー（OpenAI、Anthropic、Google Cloud Vertex AI／Gemini、AWS Bedrock 等）へ送信され、お客様が要求した応答生成とアクション実行のみに使用されます。

楽曲やチャットを用いた基盤AIモデルの学習禁止：Bandruption はアーティストの音源、未公開ステム、ファンの非公開データ、または AI 会話履歴を用いて基盤AIモデルを学習させません。また、外部モデル提供事業者が当社の API トラフィックを基盤モデルの学習に利用することを契約および商用API設定により禁止しています。
外部アクションにおける人間による承認（Human-in-the-Loop）：AIエージェントが外部プラットフォーム（連携済み X アカウントへの投稿やイベント更新等）への操作を準備した場合、お客様の連携設定と承認ルールに従ってのみデータが送信されます。

5. 個人情報の共有および提供先のカテゴリー

Bandruption はお客様の個人情報を金銭対価で販売しません。当社は書面によるデータ保護義務のもと、以下の受領者カテゴリーにのみ個人情報を開示します。

インフラおよびホスティング委託先：クラウド計算、CDN、データベース、ストレージ、キャッシュ事業者（Vercel、Google Firebase Hosting、OVHcloud、Microsoft Azure、PostgreSQL、MongoDB、Valkey／Redis、AWS／Azure ストレージ等）。
決済・サブスクリプション・マーケットプレイス事業者：購入または契約管理時の PayPal、KOMOJU、Stripe、Google Play Billing、RevenueCat、Microsoft Azure Commercial Marketplace。
AI推論および検索ツール提供事業者：OpenAI、Anthropic、Google Gemini／Vertex AI、AWS Bedrock、および Bandruption AI でWeb検索を実行した際の検索プロバイダー（Tavily 等）。
認証・セキュリティ・通知プロバイダー：サインイン時に選択した OAuth／OIDC プロバイダー、Google reCAPTCHA Enterprise、Cloudflare Turnstile、トランザクションメール配信事業者、および機能性同意がある場合の OneSignal。
同意連動型の分析・広告効果測定事業者：Cookie設定でオプトインされ（かつ Global Privacy Control により抑止されていない）場合に限り、Google Firebase Analytics／GTM、HyperDX RUM、および X Corp.（bandruption.fun のコンバージョンピクセル pei71）。当社は Google AdSense、Meta Pixel、LinkedIn Insight Tag を使用していません。
アーティスト・主催者・公開プロフィール閲覧者：お客様が公開したプロフィールや Top 10 リストは閲覧者に公開され、アーティスト購読・チケット・グッズ購入時には履行に必要な情報が当該アーティストまたは主催者に共有されます。
事業承継および法令に基づく開示：有効な法的手続・裁判所命令・法令上の義務に基づく場合、または守秘義務を伴う合併・買収・資産譲渡に伴う場合。

6. Cookie、ローカルストレージ、および Global Privacy Control (GPC)

すべての Bandruption Webサイトでは、必須以外の Cookie、localStorage 識別子、分析SDK、マーケティングピクセル、外部メディア埋め込みは初期状態で無効化されており、セルフホスト型の Cookie設定バナーでお客様が明示的にオプトインするまで動作しません。同意設定はホスト限定のファーストパーティ Cookie（bandruption_consent、有効期間180日）に保存され、無関係なサブドメイン間で共有されることはありません。

当社は Global Privacy Control（navigator.globalPrivacyControl === true）を尊重します。ブラウザが有効な GPC シグナルを送信している場合、マーケティング・コンバージョン計測カテゴリー（X コンバージョンピクセルおよび Google Consent Mode v2 の ad_* シグナルを含む）を自動的に無効化し、クロスコンテキスト行動ターゲティング広告／「共有」の有効なオプトアウトとして処理します。技術一覧の詳細は Cookieポリシー（/cookies）をご参照ください。

7. データの保持期間およびアカウント削除

当社は一律の恣意的な期間ではなく、収集目的に照らして必要な期間に限り個人情報を保持します。

有効なアカウント・プロフィール・AIワークスペースデータ：アカウントが有効である間保持されます（Bandruption AI ワークスペースでより短い会話保持ルールが設定されている場合はそれに従います）。
アカウント削除の完了期限：アプリ内設定または https://www.bandruption.fun/account-deletion（support@bandruption.fun）から本人確認済みの削除申請が行われた場合、30日以内に本番システムからアカウントおよび個人データを削除または不可逆的に匿名化し、90日以内に暗号化バックアップからも消去します。
財務・税務・BANDS台帳記録：適用される税法・会計法・決済監査義務に従い、最長7年間保持します。
セキュリティおよび不正防止ログ：進行中のセキュリティ調査に必要な場合を除き、最長12か月間保持します。
同意設定Cookieおよび匿名同意レシート：ブラウザの bandruption_consent Cookie は180日で失効し、サーバー側の最小化された匿名同意レシート（ユーザーID・メール・IPアドレス・User-Agent を一切含みません）は24か月（730日）で自動失効します。

8. 個人データの国際移転（越境移転）

Bandruption は米国に本社を置き、米国、欧州連合（EU）、日本、その他の法域にあるインフラおよび委託先を利用しています。EEA、英国、スイス、日本（個人情報保護法第28条）、または大韓民国から十分性認定のない国へ個人情報を移転する場合、欧州委員会の標準契約条項（SCC）、英国国際データ移転補遺、適格な米国事業者のデータプライバシーフレームワーク（DPF）認証、および契約上の安全管理措置に基づき保護します。

9. お客様のプライバシー権（グローバル、日本、韓国、EEA／英国、米国各州）

お住まいの法域に応じて、また当社が世界中のユーザーに提供する基本方針として、お客様は以下の権利を有します。

アクセス権およびデータポータビリティ権：個人情報の処理状況の確認およびポータブル形式での写しの取得を請求する権利。
訂正権：不正確または不完全な個人情報をアカウント設定またはお問い合わせにより訂正する権利。
削除権（消去権）：アプリ内設定、https://www.bandruption.fun/account-deletion（support@bandruption.fun）、または hello@bandruption.com を通じてアカウントと個人情報を削除する権利。
いつでも同意を撤回する権利：各Webサイトフッターの「Cookie設定」から任意の Cookie／トラッカーへの同意を即座に撤回する権利（撤回前の処理の適法性には影響しません）。
処理の制限・異議申立て・監督機関への不服申立て（EEA／英国／スイス）：正当な利益に基づく処理への異議申立て、処理制限の請求、または管轄データ保護監督機関への苦情申立て。
米国各州のプライバシー権（カリフォルニア州 CCPA/CPRA、バージニア州、コロラド州、コネチカット州、テキサス州、オレゴン州等）：収集カテゴリー・具体情報の開示請求、訂正、削除、クロスコンテキスト行動広告のための「共有」のオプトアウト（Cookie設定またはGPC）、却下時の不服申立て（件名「Privacy Appeal」で hello@bandruption.com へ連絡）、および権利行使に対する差別禁止の権利。
日本（個人情報保護法／APPI）および韓国（個人情報保護法／PIPA）に基づく権利：保有個人データの利用目的の通知、開示、訂正・追加・削除、利用停止・消去・第三者提供および外国にある第三者への提供停止、ならびに越境移転先の安全管理措置に関する情報提供を hello@bandruption.com 宛に請求する権利。

権利行使のご請求は hello@bandruption.com（アカウント削除は support@bandruption.fun）までお送りください。不要な公的身分証の提出を求めることなく、認証済みセッションまたはメール確認によりご本人確認を行い、30日以内（または法定のより短い期間内）に回答いたします。

10. 安全管理措置、年齢制限（18歳以上）、およびポリシーの改定

当社は通信時のTLS暗号化、データベースの保存時暗号化、HttpOnly／Secure セッションCookie、ロールおよびテナント単位のアクセス制御、ログ内の機密情報マスキング、最小権限の委託先管理により個人情報を保護します。万一、法令上の報告対象となる個人データ漏えいが発生した場合は、法令に従い対象者および監督当局へ速やかに通知します。

本サービスは18歳以上の方のみを対象としています。当社は18歳未満の方の個人情報を意図的に収集しません。18歳未満の方が個人情報を提供したと思われる場合は hello@bandruption.com までご連絡ください。速やかにアカウントを停止しデータを削除します。

本プライバシーポリシーに重要な変更を行う場合、検証可能な暗号学的ハッシュ値を付した新しい日付版を公開し、公開アーカイブに旧版を保存するとともに、法令で求められる場合は本サービス上またはメールで通知します。