プライバシーポリシー

最終更新日: 2026-09-11

NEXUPIRA(Lofty Mems Co., Ltd. が運営。統一編号 54335019。以下「当社」「本サービス」)は、生産性ツール(Google Workspace、Slack、GitHub、Notion、Linear 等)を接続し、自然言語の指示でワークフローを自動化できる AI 駆動のインテグレーション・プラットフォームです。本プライバシーポリシーは、当社が何を収集し、どう利用し、お客様にどのような管理権があるかを説明します。

1. 収集する情報

NEXUPIRA のご利用時に、当社は以下を収集します:

アカウント情報: メールアドレス、氏名、(パスワード登録の場合)ソルト付きパスワードハッシュ。
OAuth トークン: お客様が接続を選んだサービスのアクセストークンとリフレッシュトークン。AES-256-GCM で保存時暗号化され、お客様に代わって API を呼び出す目的にのみ使用されます。
アップロードしたコンテンツ: チャットに添付した文書・画像・ファイル。保存時に暗号化されます。
チャットメッセージとワークフロー定義: セッションの再開や自動化の再実行のために保存します。
運用テレメトリ: エラーログ、パフォーマンス指標、およびエラー発生時のみ起動するセッションリプレイ(不具合の診断に使用)。

2. Google ユーザーデータ

Google アカウントを接続すると、お客様は NEXUPIRA に限定された Google API へのアクセスを許可します。当社が要求するスコープは次のとおりです:

calendar および calendar.events — 自動化が求めたときに Google カレンダーの予定を読み取り・管理します。
drive.file — NEXUPIRA 自身が作成した、またはお客様が NEXUPIRA を通じて明示的に開いたファイルのみを作成・読み取り・変更します。Drive 全体を読み取ることはありません。
documents、spreadsheets、presentations — NEXUPIRA がお客様に代わって作成した Google ドキュメント・スプレッドシート・スライドを編集します。
gmail.send — ワークフローが求めたときに、お客様のアカウントからメールを送信します。
gmail.compose — メールの下書きを作成します。
gmail.labels — 既存の Gmail ラベルを一覧表示します。

限定利用(Limited Use)の開示

Google API から受領した情報の NEXUPIRA による利用および移転は、限定利用要件を含む Google API Services User Data Policy に準拠します。具体的には:

Google ユーザーデータは、NEXUPIRA のインターフェース上で可視となるユーザー向け機能の提供・改善にのみ使用します。
当該機能の提供、法令遵守、不正防止に必要な場合を除き、Google ユーザーデータを第三者に移転しません。
Google ユーザーデータを広告配信に使用しません。
特定メッセージについてのお客様の明示的同意がある場合、セキュリティ目的(不正調査等)に必要な場合、適用法令の遵守のため、または本要件に沿って集約され内部運用に用いられる場合を除き、Google ユーザーデータを人が閲覧することを許可しません。

3. データの利用方法

お客様が与えた自動化およびチャット指示を実行するため。
プロンプトとお客様が明示的に選択したコンテキストを、お客様が設定した AI プロバイダー(OpenAI、Anthropic、Google、または自己ホスト型モデル等)へ送るため。
クラッシュの診断と信頼性向上のため(エラートレース、匿名化されたセッションリプレイ)。
次回以降のサインイン時にお客様を認証するため。

当社は、お客様のデータを販売せず、AI モデルの学習に使用せず、広告ネットワークと共有しません。

4. データの保存とセキュリティ

各ユーザーのデータは独立した LibSQL 名前空間に存在し、あるユーザーのデータが他のユーザーと混在することはありません。
OAuth トークンとアップロード文書は AES-256-GCM で保存時暗号化されます。鍵はサーバー側 KMS で管理され、アプリケーションログに露出することはありません。
通信は HTTPS / TLS 1.2 以上のみです。
最小権限の原則を適用します: OAuth スコープは、お客様が呼び出した機能に必要な最小限です。

5. 第三者サービス

本サービスの提供のため、当社は必要なデータを以下へ送信します:

お客様が設定した AI モデルプロバイダー(OpenAI、Anthropic、Google Gemini、Groq、OpenRouter、または任意のカスタムエンドポイント)— お客様が求めた応答を生成する目的で。
お客様の LLM API キーと OAuth トークンは AES-256-GCM で暗号化して保存し、お客様が選択したプロバイダーの呼び出しにのみ使用します。プロンプト、添付ファイル、検索された文書は、そのプロバイダーの規約に基づき、お客様が選択したプロバイダーへ送信されます。当社はお客様のコンテンツをモデルの学習に使用せず、お客様が設定していないモデルへコンテンツを送ることもありません — NEXUPIRA はデフォルトのモデルを提供しません。
接続済みのサービスプロバイダー(Google、Slack、GitHub、Notion、Linear)— それらに触れるツールを呼び出したときに。
クラウドインフラ(当社サーバーを稼働させるホスティング事業者)— 実行のために。

当社は、お客様が明示的に接続していない先へデータを送信することはありません(当社自身の運用インフラを除く)。

6. お客様の選択肢

接続ページからいつでもサービスを切断できます。これにより当社が保持する OAuth トークンのコピーが削除され、アクセスが取り消されます。
ドキュメントページから文書を削除できます。削除は即時かつ恒久的です。
下記アドレスへのメールでアカウントを削除できます。ご依頼から30日以内にデータを削除します。
ご請求に応じてデータをエクスポートします。

Google アカウント設定 myaccount.google.com/permissions から、当社のアクセスを直接取り消すこともできます。

7. データの保持

チャットメッセージは、セッション再開機能のために90日間保持された後、アーカイブされます。文書と自動化は、削除またはアカウント閉鎖まで保持されます。OAuth トークンは、サービスを切断するまで保持されます。エラーログは30日間保持されます。

8. 子どものプライバシー

NEXUPIRA は13歳未満の子どもを対象としておらず、それらの情報を意図的に収集することはありません。

9. 決済データ・PCI DSS・PDPA に関する告知

サブスクリプション・アドオン・カスタム取引を処理するための個人情報取扱事業者は Lofty Mems Co., Ltd.(統一編号 54335019)です。台湾個人資料保護法(PDPA)第8条に基づく告知:

収集する決済データ: 請求先担当者名、請求先メール、(事業者の)統一編号と名称、取引金額・記録。
カードデータと PCI DSS: 完全なカードデータ(番号、有効期限、CVV)は、PCI DSS Level 1 の決済代行事業者が直接収集・処理します — 台湾は NewebPay(藍新金流科技股份有限公司)、海外は Paddle.com(当社の Merchant of Record として)です。当社は完全なカード番号を自社システムで保存・処理・送信しません。したがって当社の環境は PCI DSS SAQ A の範囲に該当し、照合と更新のための取引識別子/トークン化参照のみを保持します。決済ページは TLS 暗号化を使用します。
法的根拠: お客様とのサービス契約の履行(収集、プロビジョニング、更新、請求)、法的義務の遵守、ならびに不正防止と照合における当社の正当な利益。
利用目的: 請求、決済・回収、カスタマーサービス、契約履行、インボイス発行、法令遵守。
保持期間: 目的の終了まで、または法定の会計・税務上の保持期間が満了するまで。
利用地域・取得者・方法: 台湾および当社クラウド(AWS)リージョン内で、電子的に利用します。取得者にはアクワイアラー、決済事業者、クラウド事業者(AWS)、適法な当局が含まれます。
お客様の権利: 閲覧、確認、複製、訂正、ならびに収集・処理・利用の停止と削除(法令に従う)。国際ユーザーには、データポータビリティ、処理の制限、異議申立ての権利を含む GDPR/CCPA 相当の権利も尊重します。
不提供の効果: 必要な決済・請求データがない場合、取引および有償サービスは提供できません。
権利行使の窓口: [email protected]。

10. 本ポリシーの変更

本ポリシーを変更する際は、上記の「最終更新日」を更新します。重要な変更については、施行前にメールまたはサービス内通知でお知らせします。

11. お問い合わせ

一般的なプライバシー、データ削除のご依頼、または権利の行使: [email protected]。アカウントのセキュリティおよび不正アクセスの報告: [email protected]。