プライバシーポリシー

1. データ管理者

一般データ保護規則（GDPR）およびその他の適用されるデータ保護法における管理者は以下のとおりです:

Bora Bey Sarikaya ベルリン、ドイツ メール: privacy@deeplink-freediving.com
完全な郵送先住所は上記メール経由でご請求いただけます（DEEPLINKは現在ローンチ前のテスト段階で、商業活動は行っていません）。

2. データ処理に関する一般情報

DEEPLINKはフリーダイバーのコーディネーション・プラットフォームです。機能するプラットフォームとサービスを提供するために必要な範囲でのみ個人データを処理します。個人データはユーザーの同意がある場合、または法律で許可されている場合にのみ処理されます。

3. 処理の法的根拠

• 同意（GDPR第6条第1項a） — 処理操作について同意を得る場合。同意はいつでも撤回できます。
• 契約の履行（GDPR第6条第1項b） — 利用規約の履行（例: アカウント作成、セッション計画、バディマッチング、決済処理）。
• 正当な利益（GDPR第6条第1項f） — プラットフォームのセキュリティ、不正利用防止、サービスの分析および改善のため。
• 法的義務（GDPR第6条第1項c） — 法的にデータ処理が義務付けられている場合（例: 税務関連の保存義務）。

4. 当方が収集するデータ

a) 登録およびアカウント

登録時に以下を収集します: 名前、メールアドレス、パスワード（暗号ハッシュとして保存 — 平文パスワードへのアクセスは行いません）。任意で: プロフィール画像、自己紹介、所在地。

b) ダイブプロフィール

ダイブプロフィールに関する任意情報: 認定レベル、最大深度、好む種目、経験レベル、装備。これらはバディマッチングとセッション計画に使用され、プライバシー設定に応じて他のユーザーに表示されます。

c) セッションと活動

作成または参加するダイブセッションに関するデータ: 日時、場所、参加者、役割（ダイバー/セーフティ）。ダイブログのエントリ: 深度、時間、種目、個人メモ。

d) メッセージ

プラットフォームのチャット機能経由で送受信されるコンテンツ。メッセージは暗号化されて保存され、当該会話の参加者にのみ表示されます。

e) 決済データ

有料機能（セーフティダイバーの予約、イベントチケット、マーケットプレイス）を利用する際、決済データは決済サービスプロバイダーStripeを通じてのみ処理されます。完全なクレジットカード番号や銀行情報は保存しません。取引IDと決済ステータスのみ受け取ります。

f) 技術データ（サーバーログ）

プラットフォームにアクセスするたびに技術データが自動的に収集されます: IPアドレス（匿名化）、ブラウザの種類とバージョン、OS、リファラーURL、アクセス日時。このデータは他のデータソースと統合されず、30日後に自動削除されます。

g) クラッシュ診断とエラーレポート

アプリケーションがエラーやクラッシュに遭遇した際、エラー監視プロバイダーSentry（セクション7d参照）を通じて診断レポートが自動収集されます。レポートには以下が含まれます: エラーメッセージとスタックトレース、エラー発生URL、IPアドレス、ブラウザとOSのバージョン、アカウント識別子（id、メール、表示名）でサポートが該当インシデントを特定できるようにするため、失敗したリクエストのパフォーマンストレース、そして — エラー発生時のみ — クラッシュ直前数秒のリプレイ（テキスト入力フィールドはマスク済み）。アバターや写真などの埋め込みメディアはリプレイに含まれません。クラッシュレポートダイアログのフリーテキスト欄は、送信前にメールアドレス、電話番号、ベアラートークン、UUIDをスクラブします。

法的根拠: GDPR第6条第1項f（プラットフォームを機能的かつ安全に保つため、ソフトウェア欠陥を検出・診断・修正する正当な利益）。

5. ホスティング

当プラットフォームは以下が運営するサーバーでホストされています: Supabase Inc. 運用に関わるデータベースはEU内のサーバーに配置されています。Supabaseは、最新の技術的・組織的措置を講じてデータを保護しています（伝送時および保存時の暗号化、アクセス制御、バックアップ手順）。

法的根拠: GDPR第6条第1項f（プラットフォームの安全かつ効率的な提供という正当な利益）。

6. クッキーとローカルストレージ

DEEPLINKは 技術的に必要な クッキーとローカルストレージエントリのみを使用します:

• 認証 — ログイン用セッショントークン（Supabase Auth）
• テーマ設定 — 選択した配色（ローカルストレージ）
• モード設定 — 選択したナビゲーションモード（ローカルストレージ）

トラッキングクッキー、広告クッキー、サードパーティ分析ツールは 使用しません 。技術的に必要なクッキーのみを使用するため、クッキー同意バナーは不要です（ドイツ電気通信デジタルサービスデータ保護法 TDDDG 第25条第2項）。

Blog and channel posts may contain Instagram embeds. These load only after you click to load them, until then no data is sent to Instagram. When you load an embed, your IP address is transmitted to Meta Platforms Ireland Ltd. and Meta may set cookies. Loading is your consent (Art. 6(1)(a) GDPR); without it, no embed loads.

7. サードパーティサービス

a) Google Fonts

Google LLC（「Google Fonts」）が提供するフォントを使用します。当ページを訪問すると、フォント「Montserrat」と「Source Serif 4」を読み込むためGoogleサーバーへの接続が確立されます。この過程でIPアドレスがGoogleに送信される場合があります。

提供者: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA。プライバシーポリシー: policies.google.com/privacy。法的根拠: GDPR第6条第1項f。米国へのデータ転送はEU-米国データプライバシーフレームワークに基づきます。

b) Stripe（決済処理）

決済処理にはStripe Inc.を使用します。決済取引の際、必要な決済データはStripeに直接送信されそこで処理されます。完全な決済データは受け取りません。

提供者: Stripe Inc., 354 Oyster Point Blvd, South San Francisco, CA 94080, USA。プライバシーポリシー: stripe.com/privacy。法的根拠: GDPR第6条第1項b（契約履行）。米国へのデータ転送はEU-米国データプライバシーフレームワークに基づきます。

c) OpenAI（AIコーチ）

AIによるトレーニング分析とおすすめのため、OpenAI APIを使用します。匿名化されたトレーニングデータ（深度、時間、種目）のみがOpenAIに送信されます。氏名やメールなどの個人識別情報はOpenAIに共有されません。

提供者: OpenAI LLC, サンフランシスコ、CA、USA。プライバシーポリシー: openai.com/privacy。法的根拠: GDPR第6条第1項a（同意 — AIコーチ機能は任意で、ユーザーの明示的な要求でのみ有効化）。

d) Sentry（エラー監視とクラッシュ診断）

アプリケーションがクラッシュまたは予期しないエラーに遭遇した際の診断情報収集にSentryを使用します。送信されるデータの詳細はセクション4g（「クラッシュ診断とエラーレポート」）で説明されており、IPアドレス、ブラウザメタデータ、アカウント識別子、エラー直前のマスクされたリプレイが含まれます。フリーテキスト欄は送信前に一般的なPIIパターン（メール、電話番号、トークン、UUID）をスクラブします。エラーが発生しなかったセッションは記録しません。

提供者: Functional Software, Inc. d/b/a Sentry, 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA。プライバシーポリシー: sentry.io/privacy。法的根拠: GDPR第6条第1項f（ソフトウェア欠陥の特定と修正という正当な利益）。米国へのデータ転送はEU-米国データプライバシーフレームワークに基づきます — Sentryはこのフレームワークに認証されています。Sentryは診断イベントを最大90日間保持し、その後完全に削除されます。

8. 第三国へのデータ転送

個人データの第三国（EU/EEA外の国）への転送は、セクション7に記載のサードパーティサービスの範囲でのみ行われます。米国への転送は、 EU-米国データプライバシーフレームワーク （GDPR第45条に基づく欧州委員会の十分性決定）に基づきます。記載のプロバイダーはこのフレームワークに認証されており、EUのデータ保護基準を遵守する義務を負います。

9. 保存期間

個人データは、それぞれの処理目的に必要な期間のみ保存されます:

• アカウントデータ — ユーザーがアカウントを削除するまで
• ダイブログ — ユーザーがアカウントまたは個別エントリを削除するまで
• メッセージ — アカウントが削除されるまで
• サーバーログ — 30日間
• 決済データ — 法定保存期間に従う（ドイツ財政法AO第147条に基づき最長10年）

アカウント削除後、法定保存義務がある場合を除き、すべての個人データは30日以内に当方のシステムから完全に削除されます。

10. データ主体としての権利

個人データに関して以下の権利を有します:

• アクセス権（GDPR第15条） — 当方が保存している個人データについて情報を請求できます。
• 訂正権（GDPR第16条） — 不正確なデータの訂正を請求できます。
• 削除権/「忘れられる権利」（GDPR第17条） — 法定保存義務がない場合、データの削除を請求できます。
• 処理制限権（GDPR第18条） — データ処理の制限を請求できます。
• データポータビリティ権（GDPR第20条） — 構造化され、一般的に使用される機械可読形式でデータを受け取れます。データエクスポート機能はアカウント設定で利用できます。
• 異議申立権（GDPR第21条） — 正当な利益に基づく処理に対しては、いつでも異議を申し立てられます。

権利を行使するには次のメールアドレスに送信してください: privacy@deeplink-freediving.com。または、アカウント設定から直接アカウントと関連データすべてを削除できます。

11. 同意の撤回

データ処理が同意に基づく場合、いつでも同意を撤回する権利があります。撤回までに行われた処理の適法性は影響を受けません。同意の撤回はメールで以下に送信できます: privacy@deeplink-freediving.com またはアカウント設定から行えます。

12. 監督機関への苦情申立権

他の行政または司法救済手段とは別に、個人データの処理がGDPRに違反すると考える場合、監督機関に苦情を申し立てる権利があります。

当方の所管監督機関は以下です: ベルリン・データ保護および情報自由委員 （Berliner Beauftragte für Datenschutz und Informationsfreiheit） Friedrichstr. 219 10969 Berlin, Germany
www.datenschutz-berlin.de

13. SSL/TLS暗号化

本サイトは、セキュリティと機密コンテンツの保護を目的にSSL/TLS暗号化を使用しています。ブラウザのアドレスバーが「http://」から「https://」に変わり、ブラウザバーに錠アイコンが表示されることで暗号化された接続を確認できます。SSL/TLS暗号化が有効な場合、送信データは第三者に読まれません。

14. 未成年者

当サービスは原則として16歳以上の方を対象としています。16歳未満の方は、法定後見人の同意のもとでのみDEEPLINKを利用できます。保護者の同意なしに16歳未満の子どもからデータを意図的に収集することはありません。

15. プライバシーポリシーの変更

当方は、現行の法的要件に常に準拠するため、またサービスの変更を反映するためにプライバシーポリシーを更新する権利を留保します。更新されたプライバシーポリシーは、その後の利用に適用されます。本ポリシーを定期的に確認することをおすすめします。