プライバシーポリシー
バージョン 2026-10-24.4 · 本翻訳は便宜上のものです。英語版と相違がある場合は、英語版が優先します。
施行日：2026年10月24日。Hibira（旧称 Hikibi）の屋号で事業を営む日本の個人事業者である WANG PENG YUAN（以下「Hibira」または「当社」といいます。）は、本ポリシーに記載する個人データ、すなわち当社のお客様および hibira.io の訪問者に関するデータについて責任を負います。お客様がご自身のエンドユーザーのデータを本サービスを通じて送信する場合、当社はデータ処理契約に基づきお客様のために当該データを取り扱い、当該データにはお客様自身のプライバシー通知が適用されます。
第1条（取得するデータと利用目的）
| データ | 取得元 | 利用目的 | 法的根拠（GDPR） | 保存期間 |
|---|---|---|---|---|
| メールアドレス、氏名（任意）および希望言語 | お客様（登録時） | アカウントの運営、サインイン、サービスおよび請求に関するメール | 契約 | アカウントの存続中、その後 30 日間 |
| パスワード | お客様 | サインイン。当社は Argon2id ハッシュのみを保存し、パスワード自体は保存しません | 契約 | アカウントの存続中 |
| Google または GitHub のアカウント ID、確認済みメールアドレスおよび氏名（これらでサインインすることを選択した場合のみ） | お客様の許可を得て Google または GitHub から | アカウントの作成およびサインイン | 契約 | アカウントの存続中、またはそのサインイン方法の連携を解除するまで |
| 二要素認証のシークレットおよびバックアップコード（有効にした場合のみ） | お客様 | サインインの保護。シークレットは暗号化して保存し、バックアップコードはハッシュ値のみを保存します | 契約、正当な利益（セキュリティ） | 無効にするまで、またはアカウント削除まで |
| セッション Cookie および CSRF トークン | サインイン時に設定 | サインイン状態を安全に維持するため | 契約、正当な利益（セキュリティ） | 30 日間またはサインアウトまで |
| サインイン中のセッションおよび新しいサインインの通知（日時、IP アドレス、おおよその位置、ブラウザおよび端末） | お客様のブラウザ | 有効なセッションを表示してサインアウトできるようにし、新しい端末からのサインイン時にメールでお知らせするため | 正当な利益（セキュリティ） | セッション終了後 90 日 |
| アカウントの操作履歴（サインイン、セキュリティおよび請求に関する変更、キーの変更、日時および IP アドレス） | ポータルのご利用 | お客様と当社がアカウントの変更を確認し、不正利用を調査するため | 正当な利益（セキュリティ） | 1 年間、またはアカウント削除まで |
| サインイン時に使用された IP アドレスおよびメールアドレス | お客様のブラウザ | レート制限および不正利用の防止 | 正当な利益（セキュリティ） | 短期のカウンター（最長でも数時間） |
| 登録経路（最初に開いたページ、参照元サイト、キャンペーンタグ） | 登録時のお客様のブラウザ | どの経路から顧客が来ているかを集計して把握するため | 正当な利益 | アカウントが存続する間 |
| プラン、サブスクリプションの状態、Stripe の顧客 ID およびサブスクリプション ID、更新日 | Stripe およびお客様 | 請求およびプラン上限の管理 | 契約、法的義務 | アカウントの存続中、その後は税法の定めに従う期間（7 年） |
| カード情報 | お客様から Stripe へ直接 | 決済 | 契約 | Stripe が保持します。当社がカード番号全体を閲覧または保存することはありません |
| Stripe から当社に送られる、お客様のサブスクリプション、請求書、支払い、返金および不審請求の申し立てに関する決済イベントの記録（請求先メールアドレス、氏名、住所、カードブランドおよびカード番号の下 4 桁を含むことがあります。カード番号全体は含みません） | Stripe | 請求内容の確認と訂正、申し立てへの対応、エラーの調査 | 契約、正当な利益（申し立ておよびエラーへの対応） | 180 日間、またはアカウント削除まで |
| 無料トライアルに使われたカードについて Stripe から受け取るカードフィンガープリントの一方向ハッシュ（カード番号ではありません） | トライアル開始時に Stripe から | 無料トライアルをカード 1 枚につき 1 回に限るため | 正当な利益（不正防止） | アカウント削除まで。その後はトライアルの重複を防ぐため、削除済みアカウントに紐づくハッシュのみを保持します |
| アプリ、キー、アプリごとおよびアカウントごとの 1 日あたりの接続数および配信メッセージ数 | お客様による本サービスの利用 | 本サービスの運営、上限の適用、利用状況の表示 | 契約 | 利用状況カウンターは 35 日間、アプリはアカウントの存続中 |
| AI エージェントのアクセス：パーソナルアクセストークンおよび OAuth 許可の名称、権限範囲、最終利用日時、ならびにエージェントが登録する名称 | AI エージェントを接続したときのお客様 | AI エージェントがお客様に代わって本サービスを利用できるようにするため。トークンはハッシュ値のみを保存します | 契約 | 取り消すまで、またはアカウント削除まで |
| サーバーログ（IP アドレス、日時、リクエストパス、ユーザーエージェント） | お客様のリクエスト | セキュリティ、デバッグ、キャパシティ計画 | 正当な利益 | 90 日間 |
| ウェブサイトのアクセス解析（閲覧ページ、端末、おおよその所在地） | Google Analytics 4（第2条に記載するお客様の地域のルールに従います） | ウェブサイトの利用状況の把握 | 同意。第2条で解析をオフにするまで有効とする地域では正当な利益 | GA4 上で 14 か月 |
| ページの表示速度（ページの種類、端末の区分、言語） | 同じルールに従い、お客様のブラウザ | ウェブサイトの表示速度を保つため | アクセス解析と同じ | 識別子を含まない日別の集計値として 35 日間 |
| Google アナリティクスのクライアント ID およびセッション ID、ならびに登録、支払い、最初のメッセージなどのアカウントイベント | 同じルールに従い、お客様のブラウザ、および当社サーバー | 当社サーバーが送信するイベントを Google アナリティクス上のお客様の訪問と結び付けるため | アクセス解析と同じ | 解析をオフにした時点で消去、GA4 では 14 か月 |
| ブラウザ通知の購読情報（プッシュサービスのアドレス、暗号鍵、有効にした日時） | ポータルで通知を有効にした場合のみ、お客様のブラウザ | 使用量、サービス状況、支払いおよび Webhook に関するお知らせを送るため | 同意 | 通知を無効にするまで、ブラウザが購読を取り消すまで、またはアカウント削除まで |
| サポートへのメッセージ | お客様 | お問い合わせへの回答 | 契約、正当な利益 | やり取りの終了後 2 年間 |
メールアドレスおよびパスワードをご提供いただけず、Google または GitHub でのサインインも行わない場合、アカウントを作成することはできません。任意と記載したその他の項目は、ご提供いただかなくても構いません。
Google でサインインする場合、当社が求めるのは openid、email および profile の権限のみです。Google から返されるアカウント ID、確認済みメールアドレスおよび氏名は、アカウントの作成とサインインにのみ使用します。当社は Google のアクセストークンを保存せず、その他の Google データを読み取らず、これらの情報を販売、共有または広告に利用しません。Hibira による Google API から受け取った情報の使用および移転は、限定使用（Limited Use）の要件を含む Google API サービスのユーザーデータに関するポリシー（Google API Services User Data Policy）に従います。GitHub でのサインインも同様で、read:user および user:email の権限のみを求めます。
当社は、個人データを販売したり、ターゲティング広告に利用したり、法的効果またはそれと同様の重大な影響を及ぼす自動化された意思決定を行ったりすることはありません。
第2条（Cookie）
| Cookie | 種類 | 目的 | 有効期間 |
|---|---|---|---|
pusher_portal | 必須 | ポータルへのサインイン状態を維持します | 30 日間 |
| 同意の選択 | 必須 | Cookie に関するお客様の選択、または Cookie に関するお知らせを確認したことを記憶します | 12 か月 |
_ga, _ga_* | 解析 | Google Analytics 4 | 最長 14 か月 |
解析 Cookie（およびこれに伴うページ表示速度の計測）の扱いは、お客様の IP アドレスが属する国によって異なります。
- 欧州経済領域、英国、スイス、中国本土、韓国、タイおよびベトナム、または国を判別できない場合：解析 Cookie は、お客様がバナーで同意した後にのみ設定されます。バナーでは同じように簡単に拒否できます。
- 米国：お客様がバナーまたはフッターの「プライバシーの選択」からオプトアウトしない限り、解析は有効です。ブラウザからの Global Privacy Control シグナルはオプトアウトとして扱います。
- 日本、台湾、香港、シンガポールを含むその他の地域：解析は有効で、初回訪問時にその旨をお知らせします。お知らせまたはフッターの「Cookie 設定」からオフにできます。Global Privacy Control シグナルでもオフになります。
フッターのリンクから、いつでも選択を変更できます。解析をオフにすると、Google アナリティクスを停止し、その Cookie をお客様のブラウザから削除し、アカウントに保存された Google アナリティクスの ID を消去します。
第3条（データの提供先）
当社は、当社の指示に従って業務を行う以下のサービス提供事業者、および法令に基づき必要な場合の当局に対してのみ、個人データを提供します。
| 提供先 | 役割 | データ | 所在地 |
|---|---|---|---|
| Amazon Web Services | ホスティング、ストレージ | 本サービスが保持するすべてのデータ | 香港（AWS ap-east-1） |
| Neon | データベースのホスティング | アカウント、アプリ、請求およびプッシュ通知デバイスの記録 | シンガポール（AWS ap-southeast-1） |
| Cloudflare | DNS、CDN、DDoS 対策、Cookie を使わないページ解析（Web Analytics） | IP アドレス、リクエストのメタデータ、閲覧ページと表示速度（Cookie や識別子なし） | グローバルエッジネットワーク |
| Stripe | 決済、請求書、税務 | メールアドレス、氏名、請求先住所、カード情報、プラン | 米国およびその他の Stripe 拠点 |
| Google（GA4） | ウェブサイトのアクセス解析（同意がある場合のみ） | 仮名の識別子、ページビュー、端末データ | 米国 |
| Google Workspace（Gmail） | トランザクションメール | メールアドレス、メールの内容 | 米国その他 Google の拠点 |
| お客様のブラウザのプッシュサービス（Google、Mozilla、Apple、Microsoft など） | ブラウザ通知の配信（有効にした場合のみ） | 購読アドレス、暗号化された通知内容 | 各ブラウザ提供者の所在地（主に米国） |
当社が合併または買収の対象となった場合、データが承継者に移転されることがあります。承継者は本ポリシーを遵守しなければなりません。
第4条（国際移転）
当社は日本に拠点を置き、サーバーは 香港（AWS ap-east-1） で、データベースはシンガポール（Neon、AWS ap-southeast-1）で稼働しているため、お客様のデータはお客様の居住国以外で取り扱われることがあります。当社は、EU 標準契約条項など、提供先に同等の保護水準を義務付ける契約により、また認知された認証（例：ISO 27001 または SOC 2）を取得した事業者を選定することにより、移転を保護します。
第5条（セキュリティ）
当社は、通信を TLS で暗号化し、パスワードを Argon2id でハッシュ化し、アプリのシークレットをログに記録せず、従業員のアクセスを業務上必要な範囲に制限し、サインインにレート制限を設け、バックアップを暗号化して保管しています。お客様はポータルで、二要素認証の有効化、有効なセッションの確認とサインアウト、およびアカウントの操作履歴の確認ができます。完全に安全なシステムは存在しません。漏えい等によりお客様に害が及ぶおそれがある場合、当社は法令で定める期限内に、お客様および所管の監督当局に通知します。
第6条（お客様の権利）
お客様は、当社が保有するお客様に関するデータの内容の通知、その写しの提供、訂正、削除、利用の停止または制限、および他の事業者への移行を求めることができます。同意はいつでも撤回でき、撤回前に行われた取扱いには影響しません。アカウントに登録したメールアドレスから [email protected] 宛てにご連絡ください。当社は 30 日以内、または現地の法令がより短い期間を定める場合はその期間内に回答します。当社は、お客様の本人確認を行うことがあり、また請求書など法令上保存が義務付けられているデータを保持することがあります。
当社の回答にご満足いただけない場合は、お客様の居住地のデータ保護当局に苦情を申し立てることができます。
第7条（国・地域別の情報）
台湾（個人資料保護法）。 当社は、契約、類似の契約その他の法律関係に関する事務（069）、消費者・顧客の管理およびサービス（090）、オンラインショッピングその他の電子商取引サービス（148）、情報通信およびデータベースの管理（136）、ならびに調査、統計および研究分析（157）を目的として、オンラインアカウント、IP アドレスおよび Cookie 識別子を含む個人を識別する情報（C001）、ならびに財務を識別する情報（C002）を収集します。当社は、アカウントの存続期間中および上記の保存期間中、第3条に記載する地域において、同条に記載する提供先によりこれを利用します。お客様は、同法第3条に基づき、閲覧、複製物の交付、訂正、収集または利用の停止、および削除を請求することができます。
日本（個人情報の保護に関する法律）。 同法は当社の本拠地の法律です。個人情報取扱事業者は WANG PENG YUAN（屋号 Hibira）であり、個人情報の取扱いの責任者を兼ねます。住所は、請求があった場合には遅滞なくお知らせします。当社は、個人情報を第1条に記載する利用目的の範囲内でのみ利用します。当社は、第3条に記載する場合または法令により認められる場合に限り、個人情報を第三者提供します。当社のサーバーは香港に、データベースはシンガポールにあり、一部の提供先は米国にあります。当社は、これらの外国における個人情報の保護に関する制度を把握したうえで安全管理措置を講じています。当該制度に関する情報は個人情報保護委員会のウェブサイトで確認でき、各提供先は契約によりデータの保護を義務付けられています。当社の安全管理措置は第5条に記載しています。利用目的の通知、開示（第三者提供記録の開示を含みます。）、訂正、利用停止、消去または第三者提供の停止の請求は、[email protected] 宛てにお願いします。手数料はいただきません。苦情も同じ宛先で受け付けます。個人情報保護委員会（ppc.go.jp）にご相談いただくこともできます。
韓国（個人情報保護法）。 収集項目：メールアドレス、氏名（任意）、サービス利用記録、アクセスログ、IP アドレス、決済記録。保有期間は第1条に従い、期間満了時には電子ファイルを復元不可能な方法で破棄します。国外移転：移転先、国、項目および目的は第3条に記載しています。データは本サービスの利用時にネットワークを通じて移転され、第1条に記載する期間保有されます。お客様は移転を拒否することができますが、その場合、当社は本サービスを提供できません。個人情報保護責任者：WANG PENG YUAN、[email protected]。 個人情報侵害申告センター（privacy.kisa.or.kr、118）にもお問い合わせいただけます。
香港（個人資料（私隠）条例）。 当社のサーバーは香港にあります。香港にお住まいのお客様にとって、本ポリシーは当社の個人情報収集声明（Personal Information Collection Statement）であり、監督機関は香港個人データ・プライバシー・コミッショナー公署（pcpd.org.hk）です。必須と表示した項目を除き、データの提供は任意です。お客様は [email protected] 宛てに、ご自身のデータへのアクセスおよび訂正を請求できます。同条例で認められる場合、当社はアクセスについて合理的な手数料を請求することがあります。当社は、お客様の同意なくお客様のデータをダイレクトマーケティングに利用しません。
シンガポール（個人データ保護法）。 当社のデータ保護責任者（Data Protection Officer）には [email protected] で連絡できます。お客様は通知により同意を撤回することができ、当社は対応する前に、撤回により想定される結果をお客様にお知らせします。
タイ（個人情報保護法 仏暦2562年（2019年））。 当社は、第1条に記載の法的根拠（契約、正当な利益、法的義務、ならびにアナリティクスCookieおよびブラウザ通知についてはお客様の同意）に基づきデータを取り扱います。お客様のデータは、同法第28条および第29条が認める範囲で、十分な保護水準を求める契約に基づき、香港、シンガポール、日本および米国へ移転されます（第3条および第4条）。アクセス、写しの交付、データポータビリティ、訂正、削除、利用制限、異議申立ておよび同意の撤回は、[email protected] までご請求ください。漏えい等によりお客様の権利が害されるおそれがある場合、当社は認識から72時間以内に個人情報保護委員会事務局へ通知し、リスクが高い場合はお客様にも遅滞なくお知らせします。苦情は個人情報保護委員会事務局（pdpc.or.th）にも申し立てることができます。
ベトナム（個人データ保護法 第91/2025/QH15号）。 当社は、第1条の目的のためにデータを取り扱います。アナリティクスCookieおよびブラウザ通知への同意は個別に求め、いつでも撤回できます。お客様のデータは、これらの目的のために香港、シンガポール、日本および米国へ国外移転されます（第3条および第4条）。アクセス、写しの交付、訂正、削除、利用制限、異議申立ておよび同意の撤回は [email protected] までご請求ください。法令の定める期間内に回答します。漏えい等が発生した場合、当社は認識から72時間以内に所管当局へ通知します。苦情は公安省の個人データ保護当局（サイバーセキュリティ・ハイテク犯罪防止局、A05）にも申し立てることができます。
欧州経済領域および英国（GDPR）。 法的根拠は第1条に記載しています。 お客様は、お住まいの地域の監督機関に苦情を申し立てることができます。
米国（カリフォルニア州消費者プライバシー法その他の州のプライバシー法）。 当社は個人情報を販売せず、クロスコンテキスト行動広告のために共有することもありません。Google アナリティクスはウェブサイトの利用状況の計測にのみ使用します。フッターの「プライバシーの選択」または Global Privacy Control シグナルにより、解析をオプトアウトできます。個人情報の開示、訂正または削除は [email protected] にご請求いただけます。これらの権利の行使を理由に、お客様を不利に扱うことはありません。
中国本土。 当社は、人民元（CNY）建ての料金を提供しておらず、中国本土でデータをホストしていません。中国本土に所在するお客様が本サービスを利用する場合、お客様のデータは第4条に記載するとおり中国本土外で取り扱われます。
第8条（子ども）
本サービスは事業者および開発者向けであり、16 歳未満の子どもを対象としていません。子どもから収集されたことが判明したデータは削除します。
第9条（変更）
当社は、変更内容を新たな施行日とともに本ページに掲載し、重要な変更については適用の少なくとも 30 日前までにアカウント保有者にメールでお知らせします。
第10条（お問い合わせ先）
[email protected] · WANG PENG YUAN（Hibira）、日本。住所は、請求があった場合には遅滞なくお知らせします。