プライバシーポリシー

参考訳です。 本日本語版は利用者の便宜のために提供するものです。正本は韓国語版であり、内容に相違がある場合は韓国語版が優先します。末尾の「正本の言語」をご覧ください。

本文中の法令はすべて大韓民国の法令です。 日本にも同名の法律があるものは、「韓国個人情報保護法」のように「韓国」を冠して表記しています。

善含研究所（선함연구소。以下「当社」）は、利用者の個人情報を重視し、大韓民国の個人情報の保護に関する法令、すなわち「韓国個人情報保護法」（「개인정보 보호법」）、「情報通信網利用促進および情報保護等に関する法律」（以下「情報通信網法」）、「韓国通信秘密保護法」（「통신비밀보호법」）等を遵守しています。

当社は、本プライバシーポリシーを通じて、利用者からご提供いただく個人情報がどのような用途および方式で利用されているか、また個人情報の保護のためにどのような措置が講じられているかをお知らせします。

本プライバシーポリシーは「韓国個人情報保護法」第30条に従って作成され、当社が運営する「石の森（Forest of Stones）」のサービス（ウェブおよびモバイルアプリを含みます）に適用されます。

本プライバシーポリシーは、関係法令もしくは指針の変更、または当社の内部方針に従って変更されることがあり、変更の際はアプリ内のお知らせ（または個別の通知）を通じて告知します。

1. 収集する個人情報の項目および収集の方法

1.1. 収集する個人情報の項目

当社は、本サービスの提供のために必要最小限の個人情報のみを収集します。

必須の項目

メールアドレス: ログインIDおよび重要な通知の送信のため
パスワード: アカウントのセキュリティのため（bcryptアルゴリズムで暗号化して保存。ソーシャルログインで登録した方からは収集しません）
ニックネーム: 匿名での活動の際の表示のため（2〜10文字。韓国語・英字・数字）
生年月日: 満19歳以上であることの確認のため（YYYY-MM-DD形式）

ソーシャルログインの際に収集する項目

ソーシャルアカウントの識別子（sub ID）: ソーシャルログインの連携およびアカウントの管理のため（Google sub、Apple sub）
ソーシャルログインの提供者の情報: Google、Apple等の連携サービスの区別のため
メールアドレス（提供される場合）: 既存のアカウントの自動連携および通知の送信のため

サービスの利用の過程で自動的に生成・収集される情報

サービスの利用の記録: 悩み（原石）の作成、返答（小石）の作成、手紙の発信・受信、ブロック・通報の活動等
手紙のデータ: 小石に添付される手紙の会話の参加者の識別子（原石の作成者・小石の作成者）、会話の終了の有無・終了した者・終了の日時、個別の手紙の内容（1〜200文字）、発信者の識別子、作成の日時、既読の有無
活動のデータ: 貢献度の点数、信頼レベル（内部の指標）等
ブロックの関係のデータ: 利用者がブロックしたコンテンツ（原石・小石）および利用者の識別子（探索フィードのフィルタリングのため）
接続のログ: 接続元のIPアドレス（ハッシュ処理の後に保存）、接続の日時、最終のログインの日時
端末の情報: オペレーティングシステム（OS）、ブラウザ・アプリのバージョン、ユーザーエージェント
クッキーおよびセッションの情報: 自動ログインの維持、JWTトークン（アクセストークン、リフレッシュトークン）、セキュリティの認証
セキュリティのイベントのログ: ログインの成功・失敗、パスワードの変更、アカウントのロック、疑わしい活動の検知等
デバイストークン: プッシュ通知の送信のためのApple APNsトークン（iOS）およびGoogle FCMトークン（Android）（通知の権限を許可した場合に収集）

当社は、広告識別子（iOSのIDFA、AndroidのGAID）を収集しません。 詳細は8.5.をご参照ください。

1.2. 個人情報の収集の方法

会員登録の際に利用者が直接入力
ソーシャルログイン（Google、Apple）の連携の際に第三者提供の同意を通じて収集
サービスの利用の過程で自動的に生成・収集

2. 個人情報の収集および利用の目的

当社は、「韓国個人情報保護法」第15条および第22条、情報通信網法第22条に従い、収集した個人情報を次の目的のためにのみ利用し、目的が変更される場合には事前に利用者の同意を求めます。

2.1. 会員の管理

会員制のサービスの提供に伴う本人の確認および個人の識別
年齢の確認（満19歳以上に利用を制限）
不正な利用の防止および認可されていない使用の防止
利用規約に違反した会員に対する利用の制限の措置
退会の意思の確認および退会後の処理
サービスの不正な利用の記録の保存および紛争の調停

2.2. サービスの提供

悩み（原石）の作成、返答（小石）の作成、手紙の会話（発信・受信・返信・終了）等の中核となる機能の提供
信頼レベル（内部の指標）の仕組みおよび貢献度の点数の管理
コンテンツの推薦および個人に合わせたサービス
サービスの利用の記録の保管および管理

2.3. カスタマーサポートおよび苦情の処理

お問い合わせへの応対および処理
お知らせの伝達および重要な通知の送信
プッシュ通知によるサービスの通知の送信（新しい小石の到着、手紙・返信の受信、お知らせ等）
サービスの利用に関する案内および変更事項の告知
紛争の調停および苦情の処理

2.4. サービスの改善および開発

新規のサービスの開発および既存のサービスの改善
統計の分析（匿名化したデータの活用）
サービスの利用のパターンの分析による利用者の体験の改善
人口統計学的な特性に応じたサービスの提供

2.5. 安全なコミュニティの運営

違法・不適切なコンテンツのモニタリングおよび遮断
利用の制裁および制裁の解除
紛争の調停および苦情の処理
サービスの不正な利用の防止およびセキュリティの事故への対応
法令上の義務の履行および捜査への協力

3. 個人情報の保有および利用の期間

当社は、利用者の個人情報を会員登録の日からサービスの利用の終了時まで保有・利用します。

3.1. 退会の際

直ちに破棄: メールアドレス、パスワード、ニックネーム、生年月日、プロフィール画像等の個人を識別する情報は、退会と同時に破棄します。
メールアドレスのハッシュ値の保管: 再登録の防止およびサービスの悪用の防止の目的で、退会した会員のメールアドレスを復元が不可能な一方向のハッシュ値（HMAC-SHA256）に変換し、退会の日から30日間保管します。当該ハッシュ値から元のメールアドレスを識別し、または復元することはできず、保管の期間の満了時に自動的に破棄されます。
永久の利用停止となった会員のハッシュ値の保管: 利用規約に重大に違反して永久の利用停止の措置を受けた会員については、再登録の防止のため、メールアドレスのハッシュ値を永久的に保管することがあります。
コンテンツの削除: 作成した悩み（原石）および返答（小石）は関連するデータとともに削除されます。悩み（原石）は、返答がすべて埋まったかどうかにかかわらず、作成後30日が経過すると自動的に削除されます。
手紙の削除: 小石の削除の際は、当該小石に添付された手紙の会話の全体が併せて削除されます。退会の際は、利用者が参加したすべての手紙の会話および発信した手紙のデータが直ちに破棄されます。利用者が会話の相手である手紙の会話は会話そのものが削除されるため、相手方の画面でも当該会話はもはや表示されません。
監査のログ: セキュリティのイベントのログは、作成者を識別する情報を除いたうえで法令に従って保管されます。

3.2. 手紙の会話の保有の期間

手紙の会話は終了の時点を基準に保有の期間が定まり、期間が満了すると会話およびそれに属する手紙のすべてが復元不可能に破棄されます。

区分	時点	取扱い
無応答による自動終了	最後の手紙から10日の経過	会話が自動的に終了（閲覧は引き続き可能）
閲覧の期間	終了の日から7日	読み取り専用で保存
破棄	終了の日から7日の経過	会話・手紙を完全に削除

自動終了の性格: 自動終了はいずれの当事者の意思表示でもなく、10日が過ぎる前に相手方が返信すれば会話は継続します。
当事者が自ら終了した場合も同様に、終了の日から7日間保存した後に破棄されます。
遡及の適用の除外: 本条項の施行日の前にやり取りされた手紙については、施行日から上記の期間を新たに起算します。施行の前に経過した期間は算入しません。

3.3. 法令に基づく保存

関係法令に基づき一定の期間の保存が必要な場合には、当該の期間のあいだのみ分離して保管した後に破棄します。

電子商取引等における消費者保護に関する法律

契約または申込みの撤回等に関する記録: 5年
代金の決済および財貨等の供給に関する記録: 5年
消費者の不満または紛争の処理に関する記録: 3年

韓国通信秘密保護法

接続のログの記録（接続元のIP、接続の日時）: 3か月

情報通信網利用促進および情報保護等に関する法律

表示・広告に関する記録: 6か月

3.4. 休眠アカウントの取扱い

基準: 最終のログインの後1年間の未接続
手続:
1. 休眠アカウントへの移行の30日前にメールで事前に通知
2. 未接続が続く場合は休眠アカウントへ移行し、分離して保管
3. 休眠への移行の後さらに1年間未接続の場合は永久の削除の予定を通知
4. 通知の後30日の経過で永久に削除
再有効化: 休眠アカウントは、ログインを試みた際に本人の確認を経て直ちに再有効化できます

4. 個人情報の破棄の手続および方法

当社は、「韓国個人情報保護法」第21条および施行令第16条に従い、個人情報の保有の期間が経過し、または処理の目的が達成された場合には、遅滞なく当該個人情報を破棄します。

4.1. 破棄の手続

破棄の対象の選定: 保有の期間の満了または処理の目的の達成と同時に破棄の対象として選定
破棄の方法の決定: 電子的なファイルか紙の文書かに応じて適切な方法を選択
破棄の実行: 選定した方法により復元が不可能な状態に破棄
破棄の記録: 破棄の日時、破棄の担当者、破棄の方法等を記録・管理

利用者が入力した情報は、目的の達成の後、別途のデータベースへ移され、内部の方針および法令に従って一定の期間保存された後に破棄されます。別途のデータベースへ移された個人情報は、法律による場合でなければ他の目的のために利用されません。

4.2. 破棄の方法

電子的なファイルの形態の個人情報

ローレベルフォーマット: 復元が不可能な方法により永久に削除
データの上書き: ランダムなデータで最低3回以上の上書き
物理的な破壊: 必要な場合は保存の媒体を物理的に破壊

紙の文書の形態の個人情報

シュレッダーによる裁断: 文書細断機による裁断
焼却: 専門の廃棄業者による焼却

4.3. 破棄の時期

区分	破棄の時期
退会の際	退会と同時に破棄（メールアドレスのハッシュ値は30日の保管の後に自動的に破棄。法令により保存する対象を除く）
休眠アカウント	休眠への移行の後1年の経過で永久に削除
法令上の保存の義務の終了時	保存の期間の終了と同時に破棄
サービスの終了時	サービスの終了の後3か月以内に破棄

4.4. 破棄の例外（法令に基づく保存）

関係法令に基づき保存が必要な場合には、別途のデータベースまたは保管庫に分離して保存し管理し、当該の期間の終了と同時に破棄します。保存の対象および期間は第3項をご参照ください。

5. 個人情報の第三者への提供

当社は、利用者の個人情報を原則として外部に提供しません。

ただし、次の場合は例外とします。

利用者の事前の同意を得た場合
- 提供を受ける者、提供の目的、提供する項目、保有・利用の期間を明示して同意を得ます。
法令の規定による場合、または捜査の目的で法令に定められた手続および方法に従って捜査機関の要求がある場合
- 犯罪の捜査のために緊急の必要がある場合等、法律に特別の規定がある場合
- 裁判所の令状がある場合、または韓国刑事訴訟法・韓国国税基本法等の法律に定める手続に従う場合

当社は、第三者に提供する際、「韓国個人情報保護法」第17条および第18条に従い、利用者に次の事項を告知して同意を得ます。

個人情報の提供を受ける者
提供を受ける者の個人情報の利用の目的
提供する個人情報の項目
提供を受ける者の個人情報の保有および利用の期間
同意を拒否する権利があること、および同意の拒否による不利益（ある場合）

6. 個人情報の処理の委託

当社は、本サービスの提供のため、次のとおり個人情報の処理の業務を外部の専門業者に委託しています。

6.1. 委託先の状況

① Cloudflare, Inc.

委託する業務の内容:

サーバーインフラの提供（Cloudflare Workers）
データベースの保存および管理（D1）
Key-Valueストアの運営（KV）
分散処理およびキャッシュ

個人情報の項目:

個人情報の全体（メールアドレス、ニックネーム、生年月日、サービスの利用の記録、接続のログ等）

保有および利用の期間:

退会の時、または委託契約の終了の時まで

所在地および連絡先:

所在地: 101 Townsend St, San Francisco, CA 94107, USA
ウェブサイト: https://www.cloudflare.com
プライバシーポリシー: https://www.cloudflare.com/privacypolicy/
データセンター: 世界300以上の都市（エッジネットワーク）。韓国内のソウル・釜山を含みます

② Resend, Inc.

委託する業務の内容:

メールの送信の代行（会員登録の認証、パスワードの再設定、重要なお知らせの送信）

個人情報の項目:

メールアドレス、受信者の名前（ニックネーム）

保有および利用の期間:

メールの送信の後に直ちに削除（送信のログは30日間保管）

所在地および連絡先:

所在地: 2261 Market Street #4990, San Francisco, CA 94114, USA
ウェブサイト: https://resend.com
プライバシーポリシー: https://resend.com/legal/privacy-policy

6.2. 委託の管理および監督

当社は、委託契約の締結の際、「韓国個人情報保護法」第26条に従って次の事項を文書で定め、受託者が個人情報を安全に処理するよう管理・監督します。

個人情報の目的外の処理の禁止
技術的・管理的な保護措置の義務
再委託の制限
受託者に対する管理・監督
損害賠償等の責任に関する事項

6.3. 国外移転の告知

上記の委託先は米国に本社を置いており、個人情報が国外に移転されることがあります。ただし、Cloudflareの場合は韓国内のデータセンター（ソウル、釜山）を通じてデータが処理され、グローバルなエッジネットワークが活用されます。

移転の情報:

移転の先の国: 米国および世界各国（Cloudflareのエッジネットワーク）
移転の日時: サービスの利用の時点
移転を受ける者: 上記6.1.の委託先をご参照ください
移転される個人情報の項目: 上記6.1.の各社ごとの個人情報の項目をご参照ください
移転を受ける者の利用の目的: 委託した業務の遂行（インフラの提供、メールの送信）
保有・利用の期間: 上記6.1.の各社ごとの保有・利用の期間をご参照ください

補足の情報:

Cloudflareは、EU-US Data Privacy Frameworkおよび GDPR 遵守の認証を保有しています。
Resendは、SOC 2 Type II の認証を保有しています。

個人情報の国外移転を拒否することができますが、拒否された場合は「石の森」のサービスの利用が制限されることがあります。

7. 利用者および法定代理人の権利とその行使の方法

利用者（満14歳未満の場合は法定代理人）は、いつでも「韓国個人情報保護法」第35条から第38条までに従い、次の権利を行使することができます。

7.1. 個人情報の開示の請求権（第35条）

アプリ内での確認: 設定 > アカウント情報から確認できます
書面による請求: 個人情報保護責任者へメールで請求
処理の期間: 請求の日から10日以内に閲覧が可能

7.2. 個人情報の訂正・削除の請求権（第36条）

自ら修正: アプリ内の設定 > アカウント管理から直接修正
削除の請求:
- アプリ内の設定 > アカウント管理 > 退会
- 個人情報保護責任者へ書面、メール、電話で請求
処理の期間: 請求の日から10日以内に処理
ご注意:
- 法令において個人情報の収集の対象として明示されている場合は削除できません
- 他の法令が保存を求めている場合は削除が制限されます

7.3. 個人情報の処理の停止の請求権（第37条）

請求の方法: 個人情報保護責任者へ書面、メール、電話で請求
処理の期間: 請求の日から10日以内に処理
処理の停止が制限される事由:
- 法律に特別の規定がある場合、または法令上の義務を遵守するために避けられない場合
- 他人の生命・身体を害するおそれがある場合、または他人の財産その他の利益を不当に侵害するおそれがある場合
- サービスの提供に不可欠な場合

7.4. 退会（同意の撤回）

アプリ内: 設定 > アカウント管理 > 退会
メール: hello@seonhamlabs.com へご連絡ください
効果: 直ちに退会が処理され、個人情報は第3項に従って取り扱われます。
再登録の制限: 退会の後30日間は同一のメールアドレスで再登録できず、30日の経過の後は自由に再登録できます。利用規約の違反により永久の利用停止となった会員は再登録が制限されます。

7.5. 自動化された意思決定に対する拒否権

当社は現在、プロファイリング等の完全に自動化された意思決定を行っていません。
今後、自動化された意思決定を導入する場合には、事前に告知し同意を得ます。

7.6. 権利の行使の際のご注意

満14歳未満の子どもの場合は、法定代理人が権利を行使することができます。
権利の行使は、書面、メール、電話等により可能です。
代理人を通じて権利を行使する場合は、委任状および代理人の身分証明書をご提出ください。
当社は、権利の行使を求められた日から10日以内に当該の措置を講じ、結果を通知します。

8. 個人情報を自動的に収集する装置の設置・運営およびその拒否

8.1. クッキー（Cookie）の使用

当社は、利用者の情報を随時保存し取り出す「クッキー」を使用します。

クッキーとは

ウェブサイトの運営に用いられるサーバーが利用者のブラウザに送る非常に小さなテキストファイルであり、利用者のコンピュータに保存されます。

8.2. クッキーの使用の目的

自動ログインの維持: リフレッシュトークンを安全に保存し、再度のログインなしにサービスを利用できるようにするため
セッションの管理: ログインの状態の維持および利用者の認証のため
セキュリティの強化:
- CSRF（クロスサイトリクエストフォージェリ）攻撃の防止
- XSS（クロスサイトスクリプティング）攻撃の防止（HttpOnly属性）
サービスの利用の統計の分析: 訪問の頻度、利用のパターンの把握によるサービスの改善のため

8.3. クッキーの種類および属性

クッキーの名称	目的	有効期間	属性
forest_token	アクセストークンの保存（APIの認証）	15分	HttpOnly, Secure, SameSite=Strict
forest_refresh_token	リフレッシュトークンの保存（トークンの再発行）	7日	HttpOnly, Secure, SameSite=Strict

HttpOnly: JavaScriptからクッキーにアクセスできません（XSSへの防御）
Secure: HTTPSの接続でのみ送信されます
SameSite=Strict: 同一のサイトからのみ送信されます（CSRFへの防御）

8.4. クッキーの設定を拒否する方法

利用者は、クッキーの設置について選択する権利をお持ちです。

ウェブブラウザの設定

Chrome: 設定 > プライバシーとセキュリティ > Cookie と他のサイトデータ
Safari: 環境設定 > プライバシー > Cookie とウェブサイトのデータ
Firefox: 設定 > プライバシーとセキュリティ > Cookie とサイトデータ
Edge: 設定 > Cookie とサイトのアクセス許可

クッキーを遮断した場合の制限

自動ログインの機能を使用できません
一部のサービスの利用に支障が生じることがあります
接続のたびに再度のログインが必要になります

8.5. モバイルアプリの追跡および広告識別子（該当なし）

石の森のアプリは広告を掲載せず、広告識別子を収集しません。

アプリに広告のソフトウェア開発キット（SDK）は含まれていません。
広告識別子（iOSのIDFA、AndroidのGAID）を収集・利用・第三者提供しません。
iOSのアプリのトラッキングの透明性（App Tracking Transparency）の同意の画面を表示しません。 当社は、利用者を他社のアプリ・ウェブサイトにまたがって追跡しません。
個人に合わせた広告および広告の効果の測定を行いません。

従前の方針（第4版まで）はGoogle AdMobによるバナー広告の提供を告知していましたが、当該の機能は実際に利用者へ提供されたことがなく、関連するSDKおよびコードをアプリから削除しました。

今後、広告を導入する場合には、当社は本方針を改定し、収集の項目・目的・拒否の方法を事前に告知し、法令に従った同意の手続を経ます。

8.6. モバイルアプリのプッシュ通知

当社は、利用者にサービスの通知（新しい小石の到着、手紙・返信の受信、お知らせ等）を送信するため、モバイルのプッシュ通知を使用します。

収集の項目: デバイストークン（iOSのApple APNsトークン、AndroidのGoogle FCMトークン）
収集の目的: サービスの利用に直接関わる取引上の通知の送信
収集の時期: アプリの初回の起動時、または通知の権限を許可した時
保有の期間: 通知の権限が維持されているあいだ保管し、退会またはトークンの変更の際に削除
受信を拒否する方法:
- iOS: 設定 > 通知 > 石の森 > 通知を許可をオフ
- Android: 設定 > アプリ > 石の森 > 通知 > オフ
- アプリ内: 設定 > 通知の設定から項目ごとに調整できます
通知を拒否されても、サービスのご利用に支障はありません。

8.7. モバイルアプリのアクセス権限のご案内

当社は、情報通信網法第22条の2に従い、移動通信端末装置内でサービスの提供のために必要なアクセス権限を次のとおり告知します。

石の森のアプリに必須のアクセス権限はありません。 下記の任意のアクセス権限をすべて許可されない場合でも、サービスのすべての中核となる機能（原石の作成、小石での返答、手紙の会話等）を正常にご利用いただけます。

任意のアクセス権限

アクセス権限	利用の目的	要求の時点	許可されない場合
通知（iOSの通知 / Androidの `POST_NOTIFICATIONS`）	新しい小石の到着、手紙・返信の受信、お知らせ等のサービスの通知の送信	アプリ内の案内の画面で「通知を受け取る」を選んだとき、または設定 > 通知の設定で通知をオンにするとき	通知が届かないだけで、サービスのご利用に制限はありません

任意のアクセス権限は通知のひとつだけです。 従前の方針（第4版まで）にあったアプリのトラッキング（iOSのATT）および広告識別子（Androidの AD_ID）は、広告の機能を削除する際に併せてなくしました。アプリはもはやトラッキングの同意の画面を表示せず、広告識別子にアクセスしません（8.5.をご参照ください）。

当社は、通知の権限をアプリの起動と同時に要求しません。権限が必要な理由をアプリ内の案内の画面で先にご説明し、同意された利用者にのみOSの権限の要求の画面を表示します。
案内の画面で「あとで」を選ばれた場合、OSの権限の要求の画面は表示されず、いつでも設定 > 通知の設定からオンにできます。

別途の同意を必要としない権限

下記の権限はAndroidの「通常の権限（Normal Permission）」であり、個人情報や端末内の保存された情報にアクセスせず、個別の同意の対象ではありません。

インターネットへの接続（INTERNET）: サービスのサーバーとの通信
起動の完了の受信（RECEIVE_BOOT_COMPLETED）: 端末の再起動の後の予約された通知の正常な動作の維持

収集しないアクセス権限

当社は、サービスの提供に必要のない下記の権限を一切要求せず、アクセスもしません。

カメラ、写真・メディア・ストレージ、位置情報、連絡先、マイク、通話の履歴、テキストメッセージ、カレンダー、身体の活動
広告識別子（iOSの IDFA / Androidの AD_ID）およびiOSのアプリのトラッキングの透明性（ATT）の権限

アクセス権限を撤回する方法

許可されたアクセス権限は、いつでも下記の経路から撤回できます。

iOS: 設定 > 石の森 > 通知
Android: 設定 > アプリ > 石の森 > 権限 > 項目ごとに変更
アプリ内: 設定 > 通知の設定から通知の受信の可否を調整

OSのバージョンが古くアクセス権限を個別に設定できない場合は、端末の製造者によるアップグレードを通じて個別の同意の機能をご利用いただくか、当該のアプリを削除して権限を撤回できます。

9. 個人情報の安全性の確保の措置

当社は、「韓国個人情報保護法」第29条および「個人情報の安全性確保措置基準（告示）」に従い、利用者の個人情報を安全に管理するため、次の措置を講じています。

9.1. 管理的な措置

個人情報保護責任者の指定および担当者の教育の実施
内部の管理の計画の策定および施行
定期的な自主の点検の実施
個人情報を処理する職員の最小化およびアクセスの権限の管理
個人情報を取り扱う者に対する定期的なセキュリティの教育

9.2. 技術的な措置

パスワードの暗号化: bcryptアルゴリズム（Salt Rounds: 12）を使用し、平文での保存を禁止
接続の記録の保管および改ざんの防止: セキュリティのログを暗号化して保存し、完全性を検証
ハッキング等に備えたセキュリティの措置:
- HTTPS（TLS 1.3）による通信の暗号化
- Cloudflare WAF（ウェブアプリケーションファイアウォール）の有効化
- DDoS攻撃の防御の体制の運営
個人情報の暗号化:
- 送信の区間の暗号化（TLS 1.3）
- 保存の区間の暗号化（Cloudflare D1の暗号化された保存領域）
悪意のあるコードの防止: XSS（クロスサイトスクリプティング）の防御（DOMPurifyライブラリの使用）
アクセスの統制:
- JWT（JSON Web Token）に基づく認証の仕組み
- アクセストークン（有効期間15分）とリフレッシュトークン（有効期間7日）の二重のトークンの構造
- リフレッシュトークンのローテーション（RTR）の方針の適用（再使用を検知した際に直ちに無効化）
レートリミット:
- Cloudflare Durable Objects に基づく分散のレートリミット
- ログインの試行: 5回の失敗で10分のロック
- APIの要求: IPあたり毎分60回の制限
セッションの管理:
- HttpOnly および Secure のクッキーの使用（XSS攻撃の防止）
- SameSite=Strict の属性（CSRF攻撃の防止）

9.3. 物理的な措置

個人情報を保管するサーバーに対する物理的なアクセスの統制
Cloudflare の Tier 3+ のデータセンターのセキュリティの方針の遵守:
- 24時間の物理的なセキュリティの監視
- 生体認証によるアクセスの制御
- 冗長化された電力の供給および冷却の設備

9.4. 個人情報の漏えいの事故への対応

個人情報の漏えいの事故が発生した場合は直ちに対応のチームを構成
漏えいの事実の確認の後、遅滞なく利用者へ通知
韓国インターネット振興院（KISA）等の関係機関へ届出

10. 個人情報保護責任者および担当者

当社は、「韓国個人情報保護法」第31条に従い、利用者の個人情報を保護し、個人情報に関する不満を処理するため、次のとおり個人情報保護責任者を指定しています。

個人情報保護責任者

氏名: 김선민（キム・ソンミン）
役職: 代表
所属: 선함연구소（善含研究所 / Seonham Labs）
メール: hello@seonhamlabs.com
連絡先: メールにてお問い合わせください。

個人情報の保護の担当の部署

部署名: 선함연구소（善含研究所 / Seonham Labs）
担当者: 김선민（キム・ソンミン）
メール: hello@seonhamlabs.com

権益の侵害の救済の方法

利用者は、当社のサービスのご利用の中で生じた個人情報の保護に関するお問い合わせ、不満の処理、被害の救済等に関する事項を、個人情報保護責任者および担当の部署へお問い合わせいただけます。

当社は、利用者のお問い合わせに対し迅速かつ十分にお答えします。回答は受付の日から10日以内にご提供します。

11. 個人情報の侵害に関する相談および届出

個人情報の侵害についての届出や相談が必要な場合は、下記の機関へお問い合わせください。

個人情報侵害申告センター（韓国インターネット振興院）

電話: 118（韓国国内。市外局番なし）
ウェブサイト: https://privacy.kisa.or.kr
業務: 個人情報の侵害の事実の届出、相談の申込み

個人情報紛争調停委員会

電話: 1833-6972（韓国国内。市外局番なし）
ウェブサイト: https://www.kopico.go.kr
業務: 個人情報の紛争の調停の申請、集団の紛争の調停（民事的な解決）

大検察庁サイバー捜査課

電話: 1301（韓国国内。市外局番なし）
ウェブサイト: https://www.spo.go.kr
業務: サイバー犯罪の捜査

警察庁サイバー安全局

電話: 182（韓国国内。市外局番なし）
ウェブサイト: https://ecrm.police.go.kr
業務: サイバー犯罪の届出および相談

訳注（本ポリシーの一部ではありません）。 上記の機関は大韓民国の居住者のための窓口です。日本にお住まいの場合は、個人情報保護委員会（03-6457-9849 / https://www.ppc.go.jp）へご相談いただくこともできます。どちらにお住まいでも、まず hello@seonhamlabs.com へご連絡いただけます。

12. 子どもの個人情報の保護

当社では満19歳以上の方のみ会員登録が可能です。満19歳未満の子どもの個人情報は収集しません。

13. プライバシーポリシーの変更

本プライバシーポリシーは、法令・方針またはセキュリティの技術の変更に伴い、内容の追加・削除および修正が行われることがあります。

13.1. 変更の事項の告知

重要な変更: 施行日の最低30日前に、アプリ内のお知らせおよびメールを通じて告知します。
- 利用者の権利に重大な影響を及ぼす変更
- 新たな個人情報の収集の項目の追加
- 第三者への提供または処理の委託の追加
一般の変更: 施行日の最低7日前に、アプリ内のお知らせを通じて告知します。
- 文言の修正、誤字の訂正等の軽微な変更
- 法令の改正に伴う形式的な変更

13.2. 変更の履歴の管理

変更されたプライバシーポリシーはアプリ内でご確認いただけます。
以前の版のプライバシーポリシーも保管し、閲覧できるようにします。

13.3. 変更の際の同意

重要な変更の事項は、利用者の別途の同意を得て施行します。
同意されない場合はサービスのご利用が制限されることがあり、退会が可能です。

附則

第1条（施行日）

本プライバシーポリシー（第5版）は2026年10月6日から施行します。直前の版（第4版）は2026年9月22日から2026年10月5日まで適用されます。

第2条（変更の履歴）

第5版（2026年10月6日施行 / 2026年9月8日に再告知）

拓本（ブックマーク）機能に関する条項の一括削除 — 当該機能の廃止に伴う改定（収集の項目が減る改定であり、利用者に不利な変更ではありません）
- 自動収集の項目（1.1）のサービスの利用の記録から拓本の保存を削除し、活動のデータから拓本の保存が可能な個数を削除
- 利用の目的（2.2）およびアクセス権限のご案内（8.7）の中核となる機能の列挙から拓本を削除
- 退会の処理（3.1）の拓本のスナップショットの保存の条項を削除
ポイント・アプリ内課金に関する条項の一括削除 — 当該制度を運営していないことに伴う改定（収集の項目が減る改定であり、利用者に不利な変更ではありません）
- 自動収集の項目（1.1）からポイントのデータ（残高・取引の履歴）を削除
- 利用の目的（2.2）からポイントの付与・チャージ・消費の履歴の管理を削除
- 退会の処理（3.1）からポイントの消滅の条項を削除
自動収集の項目（1.1）のサービスの利用の記録から、提供していない「いいね」の活動を削除
退会の処理（3.1）の原石の削除の時点の訂正 — 従前の文言（「完了後7日」）を実際の運営（完成の有無にかかわらず作成後30日）に合わせて訂正
2026年8月27日の告知分に上記の改定を反映して再告知（施行日は2026年10月6日のまま変更なし）

第5版の最初の告知分（2026年8月27日に告知）

モバイルアプリのアクセス権限のご案内（8.7）の条項を新設 — 情報通信網法第22条の2に基づくアクセス権限の告知
必須のアクセス権限がないことを明示し、任意のアクセス権限（通知）の目的・要求の時点・許可されない場合の影響および撤回の方法を案内
別途の同意を必要としない通常の権限（インターネットへの接続・起動の完了の受信）および要求しない権限（カメラ・写真・位置情報・連絡先・マイク等）を明示
アプリ内の広告および広告識別子に関する条項の一括削除 — アプリからGoogle AdMobのSDKおよびiOSのアプリのトラッキングの透明性（ATT）の要求を削除したことに伴う改定（収集の項目が減る改定であり、利用者に不利な変更ではありません）
- 自動収集の項目（1.1）から広告識別子（IDFA・GAID）を削除
- 処理の委託（6.1）から Google LLC（AdMob）を削除
- 追跡および広告識別子（8.5）の条項を**「該当なし」**に転換し、広告を掲載しないこと・識別子を収集しないこと・ATTの画面を表示しないことを明示
- 任意のアクセス権限の表（8.7）からアプリのトラッキング（ATT）・広告識別子（AD_ID）の行を削除し、要求しない権限の一覧に追加
2026年8月26日の告知分に上記の改定を反映して再告知（施行日は2026年10月6日のまま変更なし）

第4版（2026年9月22日施行 / 2026年8月23日に告知）

手紙の機能の会話形式への転換に伴う、収集の項目（1.2）、利用の目的（2.2・2.3）、退会の処理（3.1）の条項の改定
手紙の会話の参加者・終了の情報の収集の項目を新設し、会話の単位での破棄の原則を明示
手紙の会話の保有の期間（3.2）の条項を新設 — 無応答による自動終了（10日）、終了の後の閲覧の期間（7日）、完全な破棄の時点および遡及の適用の除外の原則を明示
手紙の内容の文字数の表記の訂正（10〜200文字 → 1〜200文字）
告知日の変更に伴い、施行日を2026年9月8日から2026年9月22日に調整

第3版（2026年6月9日施行）

プッシュ通知に関する条項の追加: デバイストークンの収集の項目（1.1）、利用の目的（2.3）、受信を拒否する方法（8.6）を新設

第2版（2026年5月18日施行）

手紙（Note）機能の追加に伴う、収集の項目・利用の目的・退会の処理の条項の更新

第1版（2026年3月1日施行）

最初の制定および施行

第3条（告知の義務）

本プライバシーポリシーに変更の事項がある場合には、変更の内容の重要度に応じて次のとおり告知します。

重要な変更: 変更の最低30日前から、アプリ内のお知らせおよびメールで告知
一般の変更: 変更の最低7日前から、アプリ内のお知らせで告知

第4条（準拠法および管轄）

本プライバシーポリシーの解釈および適用は、大韓民国の法律を準拠法とします。本プライバシーポリシーに関連して利用者と当社との間に生じた紛争は、大韓民国の法を準拠法とし、韓国民事訴訟法上の管轄裁判所の規定に従います。

訳注（本ポリシーの一部ではありません）。 上記の条は、韓国語の正本が定める準拠法と管轄を述べたものです。お住まいの国の個人情報の保護に関する強行規定がなお適用される場合があります。本注記は本訳の読者のために付したもので、本ポリシーに何かを加えたり減じたりするものではありません。

正本の言語

本日本語版は、利用者の便宜のために提供する参考訳です。 正本は韓国語版であり、韓国語版と本訳との間に相違がある場合は韓国語版が優先します。

韓国語版は forest.seonhamlabs.com/privacy でご覧いただけます。