プライバシーポリシー

当社について

narwhalapi.comのNarwhal APIは、Delawareの有限責任会社であるNusantara Ventures, LLCが運営しています。当社は、ここに記載する個人データの管理者です。当社の住所は1401 Pennsylvania Ave STE 105 #1776, Wilmington, DE 19806, United Statesです。

本ポリシーは、当社のウェブサイト、ダッシュボード、APIおよびMCPエンドポイントの利用に適用されます。対象は、お客様を識別する情報またはお客様と関連付けることができる情報であり、本サービスが返す市場データではありません。

当社は、適用される場合、EUおよび英国のGDPR、CPRAにより改正されたカリフォルニア州消費者プライバシー法、ならびにインドネシアの個人データ保護法（UU 27/2022）を遵守します。

収集するもの

サインインにはGoogleまたはGitHubのみを使用します。当社は、お客様のアカウント識別子と、メールアドレスからなる基本的なプロフィール情報を受け取ります。

当社は、IPアドレス、割り当て量の使用状況、セキュリティイベント、ウェブサイトのログを含む、APIリクエストおよびWebSocket接続のメタデータを処理します。また、サポートメール、メール配信記録、WebhookエンドポイントのURL、Webhook配信記録も処理します。

APIキーは、一方向ハッシュと表示用の短い接頭辞としてのみ保存します。エラー報告とリクエストのタイミング情報を送信するのは当社のAPIのみです。エラー報告とタイミング情報には、お客様の識別情報、IPアドレス、リクエストの内容、ローカル変数を含めず、認証情報を除去します。MCPリクエストはお客様のAPIキーを使用し、RESTリクエストと同じ日次および月次の使用量合計に算入されます。当社は、MCPのリクエストまたはレスポンスの内容を保存しません。

Stripeはお客様のカード情報を収集します。当社は、請求に関する識別子とステータス、提供された場合は請求先住所と納税者番号、および支払方法の下4桁を受け取ります。当社が完全なカード番号やセキュリティコードを受け取ることはありません。

これらの区分には、識別子、顧客および請求の記録、通信、インターネット上の活動が含まれます。その取得元は、お客様、本サービスの利用に伴うやり取り、サインインプロバイダーおよびStripeです。

利用方法と法的根拠

当社は、サービスを提供するために、アカウントデータ、リクエストのメタデータ、割り当て量の使用状況、請求情報および通信を利用します。これらのサービスには、お客様のアカウント、APIへのアクセス、WebSocket接続、Webhook、請求およびサポートが含まれます。法的根拠は、お客様との契約の履行です。

当社は、セキュリティ、不正利用の防止およびサービスの改善のために運用記録を利用します。また、当社をどのように見つけたかを把握するためにも利用します。法的根拠は、お客様の権利との均衡を考慮した正当な利益です。

当社は、税務および会計上の義務を果たすために、必要な請求記録を保持します。法的根拠は、法的義務です。

当社は、お客様のアカウント、請求および割り当て量に関するサービスメールとアカウントメールを送信します。また、次の3種類の任意のアカウントメールも送信します。

• 登録後に初めてのAPI呼び出しを行うためのリマインダー。
• お客様自身の使用状況の月次サマリー。
• 30日間利用がない場合の1回のリマインダー。

3種類すべての任意のメールを停止するには、メール内の配信停止リンクを開いて表示されたページで確認するか、対応するメールアプリでワンクリック配信停止を使用してください。配信停止により、3種類すべての任意のメールが停止します。アカウントおよび割り当て量に関する通知は継続します。当社は、販促メールや他の製品に関するメールを送信しません。

必須のアカウント情報により、認証済みのアクセスが可能になります。この情報がなければ、お客様のアカウントを提供できません。

共有先

当社のプロバイダーは次のとおりです。

• Google：アカウント識別子とメールアドレス。
• GitHub：アカウント識別子とメールアドレス。
• Supabase：アカウントデータ、APIキーのハッシュと接頭辞、使用量および割り当て量の記録、請求に関する識別子。
• Fly.io：IPアドレスを含むAPIおよびWebSocketリクエストのメタデータ。
• Cloudflare：IPアドレスを含むウェブサイトへのリクエストのメタデータ。
• Sentry：監視のために、リクエストのメソッド、ルート、ステータスとともに、エラー報告とリクエストの所要時間を受信します。お客様の識別情報、IPアドレス、リクエストの内容は受信せず、認証情報は除去されます。
• Resend：メールアドレス、メッセージの内容、配信イベント。
• Stripe：支払い処理。

Google、GitHubおよびStripeは、それぞれのプライバシー通知でも自社の処理について説明しています。当社は、法律で義務付けられる場合、当社の権利、ユーザーもしくは本サービスを保護する場合、または事業の合併、買収もしくは売却に関連する場合に限り、個人データを開示することもあります。

当社は、お客様の個人データを販売せず、異なるコンテキストを横断する広告のために共有せず、第三者のAIモデルの学習にも使用しません。

Cookieと分析

当社は、最長400日間有効でSameSite=Laxを使用するSupabaseのサインインCookieを使用します。narwhal_locale Cookieは、お客様の言語を30日間記憶します。ローカルストレージは使用しません。セッションストレージには、初回サインイン後に一度だけ表示する新しいAPIキーとお客様のユーザーIDおよびタイムスタンプ、ならびに招待の承諾中に使用するチーム招待トークンのみを保持します。いずれも使用後に消去します。

当社は、分析、広告またはセッション記録のツールを使用しません。

お客様は、ブラウザーでCookieをブロックまたは削除できます。サインインCookieをブロックすると、認証済みのアクセスができなくなる場合があります。ウェブサイトのログは、引き続き上記の運用上の処理の一部となります。

保持期間

Webhook配信記録は30日間保持します。請求記録は、税務および会計に関する法律で義務付けられる期間保持します。

その他の保持期間は次のとおりです。

• アカウントデータ：アカウントが開設されている間、および法的義務のために必要な間保持し、その後削除します。
• APIおよびWebSocketのメタデータと割り当て量の使用状況：アカウントが開設されている間、および法的義務のために必要な間保持し、その後削除します。
• セキュリティおよびウェブサイトのログ：当社のホスティングおよびネットワークプロバイダーが、それぞれの標準的なログ保持期間にわたり保持し、その後自動的に削除します。
• エラー記録：当社のエラー監視プロバイダーが、その標準的な保持期間にわたり保持し、その後自動的に削除します。
• メール配信記録：アカウントが開設されている間、および法的義務のために必要な間保持し、その後削除します。
• サポートメール：お客様のご依頼に対応し、その記録を保持するために必要な間保持します。サポート、セキュリティまたは法的理由による必要性がなくなった時点で削除します。
• WebhookエンドポイントのURL：アカウントが開設されている間、および法的義務のために必要な間保持し、その後削除します。
• MCP記録：当社は、MCPのリクエストまたはレスポンスの内容を保存しません。MCPリクエストは、上記の使用量合計にのみ反映されます。
• データベースのバックアップ：当社のデータベースプロバイダーが、その標準的なバックアップ保持期間にわたり保持し、その後自動的に上書きします。

お客様のアカウントが削除される際、当社はAPIキー、使用量の記録、Webhook、メール配信記録、チームのメンバーシップおよび請求データの行を削除し、その後、お客様のサインイン記録を削除します。当社は、無料キーを取得するための繰り返しの登録を防ぐため、お客様のアカウント識別子の一方向ハッシュのみを保持します。Stripeは、自社の義務に基づき、自社の請求書記録を保持します。お客様がご自身でアカウントを削除する際、任意で理由を選択し、短いコメントを添えて、削除の理由を当社に伝えることができます。当社は、サービス改善のため、削除後もこのフィードバックを保持しますが、お客様のアカウント、メールアドレス、ユーザーIDは紐付けません。空欄の場合、フィードバックは保持しません。

お客様の権利と選択肢

お客様の権利は、適用される法律とその例外によって異なります。当社に連絡し、アクセス、訂正、削除もしくは移行可能なコピーを請求し、処理を制限し、または正当な利益に基づく処理に異議を申し立てることができます。同意は、それ以前の適法な処理に影響を及ぼすことなく撤回できます。

権利を行使するには、下記のアドレスにメールをお送りください。当社は、対応する前に、アカウントに登録されているメールアドレスからご依頼を確認するようお願いする場合があります。権限を与えられた代理人は、お客様に代わって行動するための書面による許可を提示する必要があります。当社は、適用される法定期限内に回答し、適法に拒否する場合にはその理由を説明します。

EUまたは英国内にいる場合、地域のデータ保護当局または英国の情報コミッショナー事務局に苦情を申し立てることができます。また、重大な自動化された決定に関して、適用される保護措置を受ける権利があります。詳しくは、 ICOによるお客様の権利に関するガイドをご覧ください。

カリフォルニア州の居住者は、収集、利用および開示の詳細、アクセス、訂正、削除を請求できます。権限を与えられた代理人を利用でき、違法な差別を受けることなく権利を行使できます。販売および異なるコンテキストを横断する広告のオプトアウト権は、該当する場合に適用されますが、当社はいずれも行いません。詳しくは、 カリフォルニア州のプライバシー権をご覧ください。

インドネシアの 個人データ保護法に基づき, 同法の条件に従い、情報、アクセス、訂正、削除、制限、同意の撤回およびデータポータビリティを求めることができます。完全に自動化された重大な決定に異議を申し立て、違法な処理に対する法的救済および補償を求めることもできます。

当社は、機微な個人データを収集しません。法的効果または同様に重大な効果をもたらす決定を、自動化された手段のみによって行うことはありません。過去12か月間、当社が収集および開示した個人データは、本ポリシーに記載する区分のものに限られ、その目的も本ポリシーに記載するものに限られます。

国境を越えた処理

お客様のデータは、米国およびプロバイダーが事業を行うその他の国で処理されます。当社の日常業務はインドネシアで行っています。プライバシーに関する法律は、国によって異なる場合があります。

EUに関する移転には、標準契約条項またはプロバイダーの認証を使用します。英国に関する移転には、英国国際データ移転補遺、または利用可能な場合にはプロバイダーの英国認証を使用します。インドネシア法の適用を受ける移転には、同法で義務付けられる保護措置を使用します。適用される保護措置に関する情報、および提供可能な場合はその写しをご希望の場合、当社までお問い合わせください。

セキュリティ

当社は、APIキーを一方向ハッシュと表示用の短い接頭辞としてのみ保存します。データベースへのアクセスには、行レベルのセキュリティと最小権限のロールを使用します。アカウントを削除できるのは、その所有者のみです。確認のため、アカウントのメールアドレスを入力する必要があります。削除は、制限されたデータベース関数を通じて実行されます。接続にはHTTPSを使用します。当社は、上記のとおりエラー報告の内容を最小限に抑えます。完全に安全なシステムはありません。

当社は、義務付けられる場合、影響を受けるユーザーおよび当局に不当な遅滞なく通知します。GDPRで義務付けられる場合、認識してから72時間以内に当局に通知します。詳しくは、 GDPRにおけるデータ侵害のガイダンスをご覧ください. インドネシアでの通知は、義務付けられる場合、3 × 24時間の期限に従います。

年齢

本サービスは、開発者および企業向けです。利用には18歳以上である必要があります。18歳未満のユーザーが個人データを提供したと思われる場合は、当社までご連絡ください。

本ポリシーの変更

当社は、各新バージョンをその日付とともに公開し、旧バージョンをアーカイブします。過去のポリシー： /privacy/archive。

連絡先

メール hello@narwhalapi.com まで、プライバシーに関するご質問、苦情または権利行使のご依頼をお送りください。Nusantara Ventures, LLC, 1401 Pennsylvania Ave STE 105 #1776, Wilmington, DE 19806, United States宛てに郵送することもできます。