本文書は英語原文の翻訳です。内容に相違がある場合は、現地法により別段の定めがある場合を除き、英語版が優先されます。

プライバシーポリシー

発効日: April 6, 2026 バージョン: 1.1.0

---

1. データ管理者の身元

HearQAは、ブラジル連邦共和国の法律に基づき設立された会社であるHC DESENVOLVIMENTO DE SOFTWARES LTDAが運営しています。当社は、EU一般データ保護規則（GDPR）、ブラジル一般データ保護法（LGPD、Lei no 13.709/2018）、およびカリフォルニア州消費者プライバシー法（CCPA）に基づき、お客様の個人データに責任を負うデータ管理者です。

決済処理については、Paddle.com を当社の正規販売代理店（Merchant of Record）として利用しています。Paddleはすべてのカード取引、税金の徴収、返金処理を担当し、お客様のカード明細書には販売者として表示されます。第三者処理者の全リストは §6 をご覧ください。

• プライバシーに関するお問い合わせ: legal@hearqa.com

• セキュリティに関する報告: security@hearqa.com

• 登記上の所在地: Rua Guaicui, 715, CEP 30.380-342, Bairro Luxemburgo, Belo Horizonte, MG, Brazil

---

2. 収集するデータ

HearQAは、以下のカテゴリのデータを収集および処理します。

2.1 音声

お客様のデバイスのマイクがブラウザのMicrophone APIを通じて音声をキャプチャします。音声はリアルタイム文字起こしのためにGroq Whisper APIに直接ストリーミングされます。**音声は保存、HearQAサーバーへのアップロード、または保持されることはありません。**文字起こし後、第三者処理業者により直ちに破棄されます。

2.2 文字起こしテキスト

お客様の音声ストリームからGroqが生成したテキスト出力です。このテキストはコーチング応答を生成するためにAIサービス（AWS Bedrock Claude 3.5 Haiku、またはフォールバックとしてGoogle Vertex AI Gemini）に送信されます。文字起こしテキストはアクティブなセッション中のみ当社のデータベースに保持されます。セッション終了後は、お客様がセッションサマリーの保持を選択しない限り、永続的に保存されることはありません。

2.3 写真および画像

お客様のデバイスカメラまたはファイルピッカーを通じてアップロードされた画像です。OCR（光学文字認識）テキスト抽出のために処理されます。画像はアクティブなセッション中にAWS S3に一時的に保存され、セッション終了時に自動的に削除されます。

2.4 画面キャプチャ

デスクトップデバイスでは、ブラウザのgetDisplayMedia APIを通じて画面コンテンツをキャプチャすることができます。画面キャプチャはセッション中にOCRテキスト抽出のために処理されます。画面キャプチャは永続化または保存されることはありません。

2.5 動画録画

お客様のデバイスカメラ、画面録画、ウェブカメラを通じて録画された、またはお客様のデバイスからアップロードされた短い動画クリップ（最大20秒）です。動画はAWS S3にアップロードされ、テキスト抽出のためにGoogle Vertex AI（Gemini 2.5 Flash）で処理された後、AIコーチング応答のためにAWS Bedrock（Claude）で処理されます。**動画ファイルはバケットライフサイクルポリシーにより24時間以内にS3から自動的に削除されます。**抽出されたテキストのみがアクティブなセッション中に保持されます。

2.6 アカウント情報

Googleサインインまたはメールアドレス/パスワード登録を通じて提供されたお客様のメールアドレスおよび名前です。このデータはAWS Cognito（認証用）およびAWS DynamoDB（ユーザープロファイル用）に保存されます。

2.7 セッションメタデータ

セッションタイプ、使用テンプレート、時間、AI応答回数、タイムスタンプなど、お客様のセッションに関する情報です。お客様がアカウントを削除するまでDynamoDBに保存されます。

2.8 セッションサマリー

セッション終了時に作成されるAI生成のパフォーマンスレビューです。DynamoDBに保存されます。お客様はいつでも個別のサマリーを削除でき、アカウント削除時にはすべてのサマリーが削除されます。

2.9 ドキュメント

検索拡張生成（RAG）を通じたAIコンテキストとして使用するためにお客様がアップロードしたファイル（PDF、テキストファイル）です。専用のAWS S3バケットに保存されます。お客様はアカウント設定を通じていつでもドキュメントを削除できます。

2.10 支払い情報

すべての支払い処理はPaddleが完全に担当しています。**HearQAはお客様の支払いカード情報を閲覧、保存、または処理することはありません。**お客様のサブスクリプションを管理するために、Paddleからお客様のメールアドレスおよび支払い意図の確認のみを受け取ります。

---

3. 処理の法的根拠

当社は、GDPR（第6条）およびLGPD（第7条）で要求される以下の法的根拠に基づいてお客様の個人データを処理します。

| データタイプ | 法的根拠 | 正当性 | |-----------|-------------|---------------| | アカウント情報 | 契約の履行 | お客様のアカウントの作成・維持およびご契約のサービスの提供に必要です。 | | 音声ストリーム | 契約の履行 | サービスの主要機能であるリアルタイム文字起こしの提供に必要です。 | | 文字起こしテキスト | 契約の履行 | セッション中のAIコーチング応答の生成に必要です。 | | 写真および画像 | 契約の履行 | お客様が開始したOCRおよびドキュメントベースAI機能の提供に必要です。 | | 画面キャプチャ | 契約の履行 | お客様が開始した画面ベースOCR機能の提供に必要です。 | | 動画録画 | 契約の履行 | お客様が開始した動画ベースのテキスト抽出およびAIコーチングの提供に必要です。 | | セッションメタデータ | 契約の履行；正当な利益 | プラン制限の適用およびサービスの信頼性向上に必要です。 | | セッションサマリー | 契約の履行 | セッションパフォーマンスレビューの提供のためお客様のリクエストにより生成されます。 | | ドキュメント | 契約の履行 | セッションでAIコンテキストとして使用するためにお客様がアップロードしたものです。 | | 支払いデータ（Paddle経由） | 契約の履行 | お客様のサブスクリプション支払いの処理に必要です。 | | トランザクションメール | 契約の履行；正当な利益 | アカウント関連情報（支払い領収書、プラン変更など）の通知に必要です。 | | エラートラッキング（Sentry） | 正当な利益 | サービスの安定性維持および問題診断に使用される非PII（個人識別不可）データです。 |

正当な利益に依拠する場合、当社は当社の利益がお客様の基本的権利および自由を侵害しないことを確認するためのバランシングテストを実施しています。正当な利益に基づく処理に対しては、legal@hearqa.comにご連絡いただくことでいつでも異議を申し立てることができます。

---

4. データの使用方法

当社は以下の目的でお客様のデータを使用します。

• サービスの提供 — セッション中のリアルタイム文字起こし、AIコーチング、OCR、およびドキュメントベースの応答の提供。
• AIコーチング — 関連性のある文脈に沿った支援を生成するため、文字起こしテキストおよびドキュメントコンテキストをAIモデル（AWS Bedrock、Google Vertex AI）に送信。
• アカウント管理 — お客様の本人確認、プロファイル管理、セッション履歴およびドキュメントの維持。
• 使用量トラッキングおよびプラン適用 — お客様のサブスクリプションプラン（Free、Pro、Session Pack、またはAnnual）の制限を適用するため、セッション回数、時間、AI応答量を監視。
• トランザクションメール — AWS SESを通じた支払い確認、プラン変更通知、および必須のアカウント通信の送信。
• サービスの改善 — 信頼性およびパフォーマンス向上のため、非個人識別エラーデータ（Sentry経由）および集計使用パターンの分析。

当社はお客様のデータを広告、プロファイリング、法的効果を伴う自動意思決定、または第三者への販売のために使用することはありません。

---

5. データ共有および第三者処理業者

当社は、サービスの提供に必要な第三者処理業者とのみお客様のデータを共有します。当社はお客様の個人データを販売、賃貸、または取引することはありません。

| サービス | 目的 | 受領データ | 処理地域 | |---------|---------|---------------|-------------------| | Groq (Whisper API) | 音声文字起こし | 音声ストリーム（文字起こし後直ちに破棄） | Groqインフラストラクチャ | | AWS Bedrock (Claude 3.5 Haiku) | AIコーチング応答 | テキスト書き起こし、ドキュメントコンテキスト | us-east-1 (N. Virginia, USA) | | Google Vertex AI (Gemini) | AIコーチング（フォールバック）+ 動画テキスト抽出 | テキスト書き起こし、ドキュメントコンテキスト、動画フレーム | us-central1 (Iowa, USA) | | Paddle | 支払い処理 | 顧客メールアドレス、支払い意図 | Paddleインフラストラクチャ | | AWS Cognito | ユーザー認証 | メールアドレス、名前、OAuthトークン | us-east-1 (N. Virginia, USA) | | AWS DynamoDB | データストレージ | アカウントデータ、セッションメタデータ、サマリー | us-east-1 (N. Virginia, USA) | | AWS S3 | ドキュメントおよびアップロードストレージ | ユーザードキュメント、セッションアップロード | us-east-1 (N. Virginia, USA) | | AWS SES | トランザクションメール | 受信者メールアドレス、メッセージ内容 | us-east-1 (N. Virginia, USA) | | Sentry（オプション） | エラートラッキング | 非PII エラーデータ、スタックトレース | Sentryインフラストラクチャ |

各処理業者は、指示に従ったデータ処理のみを行い、適切なセキュリティ対策を実施し、自社の目的でデータを使用しないことを求めるデータ処理契約に拘束されています。

---

6. 国際データ移転

HearQAはブラジルから運営されていますが、データ処理の大部分は米国（AWS us-east-1、N. Virginia）で行われます。ブラジル、欧州経済領域（EEA）、またはデータ移転制限のある他の法域に所在する場合、お客様のデータは米国に移転されます。

当社は以下の保護措置を通じて合法的な移転を確保しています。

• ブラジル（LGPD）： 国際移転はLei no 13.709/2018第33条およびANPD Resolution CD/ANPD no 19/2024に準拠して行われ、標準契約条項および当社の処理業者が実施するデータ保護措置の適切性に依拠しています。
• EU/EEA（GDPR）： EEA外の処理業者への移転は、GDPR第5章に基づく欧州委員会の標準契約条項（SCC）に準拠し、適切なレベルのデータ保護を確保しています。
• 一般： 転送中のすべてのデータはTLSにより暗号化されています。保存中のすべてのデータはAWSマネージド暗号化により暗号化されています。当社の処理業者（AWS、Paddle、Groq、Sentry）は各自のコンプライアンス認証（SOC 2、ISO 27001、またはそれに相当するもの）を維持しています。

---

7. データ保持

当社は本ポリシーに記載された目的に必要な期間のみお客様のデータを保持します。保持期間はデータタイプにより異なります。

| データタイプ | 保持期間 | |-----------|-----------------| | 音声 | 保存されません。 Groqによるリアルタイム文字起こし後直ちに破棄されます。 | | 文字起こしテキスト | アクティブセッション中のみ。セッション終了時に削除されます（ユーザーがセッションサマリーを保持する場合を除く）。 | | 写真および画像 | アクティブセッション中のみ。セッション終了時にS3から削除されます。 | | 画面キャプチャ | 保存されません。 セッション中のみ処理されます。 | | 動画録画 | 24時間以内に自動的に削除されます。 抽出されたテキストのみがアクティブなセッション中に保持されます。 | | アカウント情報 | お客様がアカウントを削除するまで。 | | セッションメタデータ | お客様がアカウントを削除するまで。 | | セッションサマリー | お客様がサマリーまたはアカウントを削除するまで。 | | ドキュメント | お客様がドキュメントまたはアカウントを削除するまで。 | | 支払い記録 | Paddleの保持ポリシーに従いPaddleが保持します。HearQAはサブスクリプションステータスおよびプランタイプのみを保持します。 | | エラーログ（Sentry） | Sentryの保持ポリシーに従います（通常90日）。個人識別情報は含まれません。 |

アカウントを削除すると、当社の利用規約第17条に記載のとおり、お客様のユーザーコンテンツは削除リクエストから30日間はエクスポート可能な状態で保持されます。その30日間の期間が経過した後、お客様のすべてのデータはDynamoDBおよびS3から永久に消去されます。この消去は取り消すことができません。

legal@hearqa.com宛にメールでご連絡いただくことで、30日間のエクスポート期間をスキップした即時かつ取消不可の消去を要求することもできます。実行前にリクエストを確認いたします。

---

8. お客様の権利

お客様の所在地にかかわらず、当社はすべてのHearQAユーザーに以下の権利を提供します。

• アクセス権 — アカウント設定を通じていつでもプロファイルおよびアカウントデータを閲覧でき、legal@hearqa.comを通じてコピーをリクエストすることもできます。
• データポータビリティの権利 — 設定のデータエクスポート機能を通じて、すべての個人データをJSON形式でエクスポートできます。
• 訂正権 — アカウント設定を通じていつでもプロファイル情報を更新できます。
• 削除（消去）権 — 設定を通じてアカウント全体を削除できます。これにより当社のシステム（DynamoDB、S3、Cognito）からすべてのデータが永久に削除されます。アカウント全体を削除せずに、個別のセッションサマリーやドキュメントを削除することもできます。
• 処理制限の権利 — legal@hearqa.comにご連絡いただくことで、データ処理の制限をリクエストできます。
• 異議申し立ての権利 — legal@hearqa.comにご連絡いただくことで、正当な利益に基づく処理に異議を申し立てることができます。
• 同意撤回の権利 — 処理が同意に基づく場合、いつでも撤回できます。撤回は撤回前に行われた処理の合法性に影響を与えません。

これらの権利を行使するには、legal@hearqa.comまでご連絡ください。適用法の要件に従い、LGPDリクエストには15日以内、GDPRリクエストには30日以内、CCPAリクエストには45日以内に回答いたします。

---

9. ブラジルのユーザー向け（LGPD）

ブラジルに所在する場合、本セクションはLei Geral de Proteção de Dados（Lei no 13.709/2018）が要求する追加情報を提供します。

• データ管理者： HC DESENVOLVIMENTO DE SOFTWARES LTDA、Rua Guaicui, 715, CEP 30.380-342, Bairro Luxemburgo, Belo Horizonte, MG, Brazil。
• データ保護責任者（Encarregado）： legal@hearqa.comにて連絡可能です。Encarregadoはデータ主体およびANPDからの通信を受け取る責任を負います。
• 法的根拠： 処理はLGPD第7条、具体的には契約の履行（inciso V）、正当な利益（inciso IX）、および該当する場合は同意（inciso I）に基づいています。
• 監督機関： Autoridade Nacional de Proteção de Dados（ANPD）がLGPD事項に関する管轄機関です。データ保護の権利が侵害されたと考える場合、ANPDに申し立てを行う権利があります。
  • ANPDウェブサイト：https://www.gov.br/anpd
• 国際移転： LGPD第33条およびANPD Resolution CD/ANPD no 19/2024に従い、お客様のデータは米国に移転されます。
• 回答期限： LGPDの要件に従い、15日以内にリクエストに回答いたします。

---

10. EU/EEAのユーザー向け（GDPR）

欧州連合または欧州経済領域に所在する場合、本セクションは一般データ保護規則（EU 2016/679）が要求する追加情報を提供します。

• 法的根拠： 当社の処理活動およびその法的根拠は上記第3条に詳述されています。主な根拠は契約の履行（第6条(1)(b)）および正当な利益（第6条(1)(f)）です。
• 苦情申立ての権利： お客様の現地のデータ保護監督機関に苦情を申し立てる権利があります。EU/EEA監督機関のリストはhttps://edpb.europa.eu/about-edpb/about-edpb/members_enでご覧いただけます。
• 国際移転： GDPR第5章に基づき、欧州委員会が採択した標準契約条項（SCC）に基づいてデータは米国に移転されます。
• データ保護責任者： GDPR関連のお問い合わせは、legal@hearqa.comまでご連絡ください。
• 自動意思決定： HearQAは法的効果またはお客様に同様に重大な影響を及ぼす自動意思決定またはプロファイリングを行いません。AIコーチング応答は情報提供のみを目的としており、第22条に基づく自動意思決定には該当しません。
• 回答期限： 30日以内にリクエストに回答いたします。複雑なリクエストについては第12条(3)で認められた60日の追加延長が可能です。

---

11. カリフォルニア州のユーザー向け（CCPA）

カリフォルニア州の居住者である場合、本セクションはカリフォルニア州消費者プライバシー法（Cal. Civ. Code Section 1798.100 et seq.）およびカリフォルニア州プライバシー権法（CPRA）が要求する追加情報を提供します。

• 当社は個人情報を販売しません。 HearQAはお客様の個人情報を第三者に販売したことはなく、今後も販売することはありません。
• 当社はクロスコンテキスト行動広告のために個人情報を共有しません。
• 知る権利： 過去12か月間に当社が収集したお客様に関する個人情報のカテゴリおよび具体的な内容をリクエストする権利があります。
• 削除する権利： お客様の個人情報の削除をリクエストする権利があります。アカウント設定から直接、またはlegal@hearqa.comに連絡することで行えます。
• 訂正する権利： 不正確な個人情報の訂正をリクエストする権利があります。
• 販売のオプトアウトの権利： 当社は個人情報を販売しないため、オプトアウトすべき販売はありません。
• 差別の禁止： CCPAの権利を行使したことを理由にお客様を差別することはありません。権利行使に対して異なる価格設定、異なるサービス品質、またはサービスの拒否を受けることはありません。
• 回答期限： CCPAの要件に従い、検証可能な消費者リクエストに対して45日以内に回答いたします。

収集される個人情報のカテゴリ（CCPAカテゴリ別）：

| CCPAカテゴリ | 例 | 収集 | |---------------|----------|-----------| | 識別子 | メールアドレス、名前 | はい | | 商業情報 | サブスクリプションプラン、支払い履歴（Paddle経由） | はい | | インターネットまたはネットワーク活動 | セッションメタデータ（タイプ、時間、タイムスタンプ） | はい | | 音声情報 | マイクロフォン音声（ストリーミングのみ、保存なし） | 一時的のみ | | 音声/視覚情報 | 動画録画（最大20秒、24時間以内に自動削除） | 一時的のみ | | 専門情報 | 面接、試験、資格認定に関連するセッション内容 | はい（セッション時間のみ） | | 推論 | AI生成セッションサマリー | はい（ユーザー開始） |

---

12. 児童のプライバシー

HearQAは16歳未満の方を対象としていません。当社は16歳未満の児童から故意に個人情報を収集することはありません。

• 米国児童オンラインプライバシー保護法（COPPA）に基づき、13歳未満の児童からデータを収集しません。
• GDPRに基づき、保護者の同意なしに16歳未満の個人のデータを処理せず、そのような同意を取得する仕組みもありません。
• LGPDに基づき、児童および青少年のデータの処理には、親または法定後見人の具体的かつ明確な同意が必要です（第14条）。

16歳未満の児童から個人データを収集したことが判明した場合、当該データを直ちに削除いたします。16歳未満の児童が当社に個人情報を提供したと思われる場合は、legal@hearqa.comまでご連絡ください。

---

13. CookieおよびトラッキングテクノロジーCookie

HearQAはCookie、ウェブビーコン、ピクセル、または類似のトラッキングテクノロジーを使用しません。

当社はファーストパーティまたはサードパーティのCookieを一切使用しません。クロスサイトトラッキング、行動広告、またはフィンガープリンティングを行いません。認証トークンはブラウザのsessionStorageに保存され、ブラウザタブを閉じるとクリアされ、他のウェブサイトからアクセスすることはできません。

CookieまたはトラッキングテクノロジーCookieを使用しないため、Cookie同意バナーは不要であり、オプトアウトの仕組みも必要ありません。

---

14. セキュリティ対策

当社はお客様の個人データを保護するために適切な技術的および組織的措置を実施しています。

• 保存時の暗号化： DynamoDBおよびS3に保存されるすべてのデータは、AWSマネージド暗号化キー（AES-256）を使用して暗号化されています。
• 転送時の暗号化： お客様のブラウザ、当社のサーバー、および第三者処理業者間で送信されるすべてのデータは、TLS 1.2以上を使用して暗号化されています。
• アクセス制御： 本番システムおよびデータへのアクセスは、ロールベースのアクセス制御および多要素認証を使用して許可された担当者に限定されています。
• インフラストラクチャセキュリティ： すべてのサービスはAWSインフラストラクチャ上で稼働しており、SOC 1/2/3、ISO 27001、およびその他のコンプライアンス認証を維持しています。
• 認証セキュリティ： ユーザーパスワードは業界標準のハッシュ化によりAWS Cognitoが管理しています。OAuthトークンはセキュリティ強化のためPKCE（Proof Key for Code Exchange）フローに準拠しています。
• データ分離： ユーザーデータはDynamoDBにおいてパーティションキー設計により論理的に分離されています。各ユーザーは自身のデータのみにアクセスできます。
• 定期的なレビュー： 当社は定期的なセキュリティレビューを実施し、依存関係およびインフラストラクチャの脆弱性を監視しています。

脆弱性の開示： セキュリティ脆弱性を発見された場合は、security@hearqa.comにご報告ください。すべての報告を真摯に受け止め、速やかに対応いたします。

---

15. 本ポリシーの変更

当社は、慣行、技術、法的要件、またはその他の要因の変更を反映するため、本プライバシーポリシーを随時更新する場合があります。

• 重要な変更： お客様の権利または当社のデータ処理方法に影響する重大な変更については、お客様のアカウントに関連付けられたメールアドレスに少なくとも30日前に通知いたします。
• 軽微な変更： 軽微な明確化やフォーマットの更新は、事前通知なしに行われる場合があります。
• バージョン履歴： 本ポリシー上部の「最終更新日」は、最新の改訂日を反映しています。バージョン番号はセマンティックバージョニングに従います。

本ポリシーを定期的にご確認いただくことをお勧めします。変更が発効した後にHearQAを継続してご利用いただくことは、更新されたポリシーへの同意とみなされます。

---

16. お問い合わせ

本プライバシーポリシーまたはお客様の個人データに関するご質問、ご懸念、またはリクエストについて：

• プライバシーおよび法務に関するお問い合わせ： legal@hearqa.com
• セキュリティ脆弱性の報告： security@hearqa.com

郵送先住所： HC DESENVOLVIMENTO DE SOFTWARES LTDA Rua Guaicui, 715 CEP 30.380-342, Bairro Luxemburgo Belo Horizonte, MG, Brazil

すべてのプライバシー関連のお問い合わせに15日以内に回答することを目指しております。