プライバシーポリシー

1. はじめに

Cenkle Digital（以下「当社」）は、モバイルアプリ「Tapstice」（以下「本サービス」）およびウェブサイト（tapstice.com）を提供します。本プライバシーポリシー（以下「本ポリシー」）は、本サービスの利用に関連して当社が収集する情報、利用目的、共有、保護、ならびにお客様の権利について説明します。

Tapsticeをダウンロード、インストール、アクセス、利用することで、お客様は本ポリシーに従った情報の収集および利用に同意したものとみなされます。本ポリシーに同意いただけない場合は、本サービスの利用をお控えください。

当社は、理由のいかんを問わず、いつでも本ポリシーを変更できる権利を留保します。重要な変更がある場合は、本ポリシー冒頭の「最終更新日」を更新することでお知らせします。最新情報をご確認いただくため、定期的に本ページをご確認ください。

本ポリシーは、EEA（欧州経済領域）、英国、米国（カリフォルニア州を含む）、ブラジル、カナダ、トルコを含む、世界中のユーザーに適用されます。法域別の規定は以下の該当セクションに記載します。

2. 収集する情報

2.1 お客様が提供する情報

• アカウント情報: メールアドレス、表示名、プロフィール画像（ソーシャルログイン経由の場合を含む）。
• プロフィール/設定: ユーザー名、アバター、アプリ内のカスタマイズ設定。
• お問い合わせ: サポートへの連絡内容および添付情報。
• ユーザーコンテンツ: お客様がアップロードするプロフィール写真等（自動/手動のコンテンツモデレーションの対象）。
• 同意情報: 規約/プライバシー/クッキー同意のバージョン、タイムスタンプ等。
• 紹介データ: 紹介プログラムを利用する場合、重複紹介防止のため、紹介コード利用状況および関連する端末識別子。

2.2 自動的に収集される情報

• デバイス/技術情報: 端末種別、メーカー/モデル、OS、言語設定、広告ID（iOSのIDFA、AndroidのAdvertising ID等）、画面解像度、ユニーク識別子。
• 利用状況: スコア、実績、プレイ進捗、セッション時間、機能利用状況、操作ログ（不正検知・品質改善を含む）。
• ログ/診断: IPアドレス、クラッシュ/診断情報、パフォーマンス指標、参照元URL等。
• 概略位置情報: IPアドレスに基づく国/地域レベル（GPS等の精密位置は収集しません）。
• 端末センサーデータ: 加速度センサーおよびジャイロスコープ等（ゲームプレイメカニクスおよびアンチチート検証に使用）。
• バッテリー情報: バッテリー残量および充電状態（パフォーマンス最適化や電池消費低減に使用）。
• ネットワーク情報: 接続状態（Wi‑Fi/セルラー/オフライン等。同期最適化に使用）。
• 端末整合性/セキュリティ: ルート化/脱獄の兆候、アプリ整合性シグナル等（不正防止・セキュリティ目的）。
• プッシュ通知トークン: プッシュ通知配信のための暗号化されたFirebase Cloud Messaging（FCM）トークン。
• パフォーマンスデータ: 起動時間、画面レンダリング性能、ネットワーク遅延など。

2.3 生体認証

Face ID/Touch ID等の生体認証を使用する場合、認証処理は端末OSにより端末内で行われます。当社は生体情報を収集・保存しません。当社が受領するのは、端末からの成功/失敗の結果シグナルのみです。

2.4 第三者から取得する情報

• 認証プロバイダ: Apple/Googleログインを利用した場合、氏名、メールアドレス、プロフィール画像等を受領することがあります（提供範囲は各プロバイダ設定によります）。
• ゲームサービス: Apple Game Center / Google Play Games からプロフィール、実績、ランキング情報等を受領する場合があります。
• 決済プラットフォーム: App Store / Google Play が決済処理を行い、当社は取引の確認情報（注文ID、購読状態等）を受領します（カード情報は保持しません）。
• 広告/分析パートナー: 集計されたインサイト等を受領する場合があります。

3. 情報の利用目的

当社は、以下の目的で情報を利用します。

• サービス提供・維持: アプリ運用、ユーザー認証、ゲーム進捗の保存、端末間同期。
• パーソナライズ: 体験の最適化、設定の記憶、パーソナライズされたコンテンツの提供。
• ソーシャル機能: ランキング表示、友達チャレンジ、PvPデュエル等の提供。
• コミュニケーション:（同意がある場合）プッシュ通知、アプリ内メッセージ、デイリー報酬リマインダー等の送信、およびサポート問い合わせへの対応。
• 分析: 利用状況の把握、傾向分析、サービス改善。分析データは集計分析のためGoogle BigQueryへエクスポートされる場合があります。
• 広告: 関連性の高い広告の表示（アプリ内購入で削除できる場合があります）。広告同意管理にGoogle User Messaging Platform（UMP）を使用します。
• セキュリティ／アンチチート: 不正、チート、スコア操作、不正アクセス等の検知・防止（スコアのサーバー検証、セッショントークン検証、自動検知等を含む）。
• コンテンツモデレーション: プロフィール写真やユーザー名等のユーザー生成コンテンツを、自動（Google Cloud Vision API等）および手動で審査し、ポリシー遵守を確保します。
• 購入検証: アプリ内購入のサーバー側検証、重複取引防止、サブスクリプション管理、返金処理。
• 法令遵守: 適用法令、規制、法的手続、紛争対応。

4. 処理の法的根拠（EEA/UK）

EEA/UKにお住まいのお客様について、当社はGDPR等に基づき、以下の法的根拠により個人データを処理します。

• 契約の履行: サービス提供に必要な処理。
• 正当な利益: セキュリティ、不正防止、分析、品質改善等（お客様の権利利益との均衡を考慮）。
• 同意: パーソナライズ広告、必須でないクッキー等、同意が必要な処理。
• 法的義務: 法令に基づく対応。

5. 第三者サービスとデータ共有

当社は、お客様の情報を次のカテゴリの第三者と共有します。当社は、すべての第三者サービス提供者に対し、個人データの安全性を尊重し、適用法に従って取り扱うことを求めます。

5.1 委託先（サービス提供者）

5.2 個人情報の販売はしません

当社は、お客様の個人情報を第三者のマーケティング目的のために販売、貸与、または取引しません。これはCCPA/CPRA、LGPD、KVKKを含む、適用されるすべてのプライバシー法の下で適用されます。

5.3 事業譲渡

合併、買収、組織再編、破産、または資産の全部または一部の売却が行われる場合、お客様の個人データが譲受人へ移転されることがあります。その場合、個人データが別のプライバシーポリシーの適用を受ける前に、可能な範囲でアプリ内通知および/またはメールでお知らせします。

5.4 法的要請

当社は、法令、裁判所命令、または政府当局の要請により必要となる場合、または誠実に次の目的のために必要と判断する場合に情報を開示することがあります: (a) 当社の権利/財産の保護; (b) ユーザーまたは公衆の安全の保護; (c) 詐欺その他の違法行為の防止; (d) 法的義務の履行。

5.5 集計データ

当社は、研究、分析、事業目的のために、お客様を合理的に特定できない集計・匿名化データを共有する場合があります。これらの集計データは、適用されるプライバシー法上の「個人データ」に該当しません。

6. 広告

当社アプリは、Google AdMobおよびMeta Audience Networkが提供する広告を表示します。これらのサービスは、パーソナライズ広告を表示するために、お客様に関するデータを収集・利用する場合があります。

6.1 広告の同意

法令により要求される場合、パーソナライズ広告を表示する前に同意を取得します。当社は、GDPR/ePrivacy対応のためGoogle User Messaging Platform（UMP）を使用し、iOS 14.5以降ではAppleのApp Tracking Transparency（ATT）フレームワークを使用します。

6.2 パーソナライズ広告

広告ネットワークは、端末識別子、クッキー、類似技術を使用して、アプリやウェブサイト上でのお客様の行動や興味関心に基づく広告を配信する場合があります。パーソナライズ広告を拒否した場合でも広告は表示されますが、興味関心に合わせた内容ではなくなります。

6.3 オプトアウト

• iOS: 設定 > プライバシーとセキュリティ > トラッキングで「Appからのトラッキング要求を許可」をオフ
• Android: 設定 > Google > 広告で「広告のパーソナライズをオプトアウト」をオン、または広告IDを削除
• アプリ内: 広告削除オプションまたはVIPサブスクリプションを購入すると、アプリ内の広告をすべて削除できます
• プライバシー設定: アプリ設定からアクセスできる「プライバシーオプション」フォームで広告設定を管理できます

6.4 広告ネットワークのポリシー

• Google AdMob プライバシーポリシー
• Meta プライバシーポリシー

7. データ保持

当社は、本ポリシーに記載した目的を達成するために必要な期間、個人データを保持します。ただし、法令によりより長い保持期間が要求または許容される場合があります。主な保持期間は次のとおりです:

• 有効なアカウント: アカウントが有効である間、データを保持します。
• 削除されたアカウント: アカウント削除の要請があった場合、ゲーム進捗、実績、スコア、ランキング、プロフィール写真、関連記録を含め、30日以内に削除または匿名化します（法令遵守のため一部データをより長く保持する場合があります）。
• 取引記録: 運用目的で購入記録/注文データを90日保持し、税務/法令遵守のため要約された財務記録を7年間保持します。
• 不審行為ログ: アンチチートおよび不審スコアの記録は30日保持します。
• 失敗した購入記録: 取引復旧目的で30日保持します。
• モデレーションログ: モデレーション判断および記録は最長1年保持します。
• セキュリティログ: セキュリティ関連ログは最長1年保持します。
• 分析データ: 集計・匿名化された分析データ（BigQueryへエクスポートされたサブスクリプションイベントを含む）は、個人を特定できないため無期限に保持される場合があります。
• 長期非アクティブ: 長期間利用がないアカウントにはリマインダー通知を送信する場合があります。当社はデータ最小化の観点から、長期非アクティブ後にアカウントを削除する場合があります。

8. データセキュリティ

当社は、次を含む適切な技術的・組織的対策により個人データを保護します:

• 通信中（TLS/SSL）および保存時のデータ暗号化
• トークンのプロアクティブな更新を含む安全な認証機構
• 端末のセキュアストレージを用いた機微データ（FCMトークン、セッショントークン等）の暗号化保存
• HMAC-SHA256を用いたサーバー側セッショントークン検証
• 保存前の購入トークンのハッシュ化
• サーバーログにおけるユーザーIDのマスキング
• すべてのサーバー関数に対するFirebase App Checkの強制
• 機微なAPIエンドポイントへのレート制限
• すべてのサーバーエンドポイントでの入力検証とサニタイズ
• アクセス制御およびロールベース権限
• 定期的なセキュリティ評価とモニタリング
• 安全なクラウド基盤（Google Cloud Platform）
• 改ざん防止のためのroot/脱獄検知
• 不正防止のためのエミュレータ検知

ただし、インターネット上の送信または電子的保存の方法が100%安全であることはありません。当社は商業上合理的な手段で保護に努めますが、絶対的な安全性を保証するものではありません。

8.1 情報漏えい時の通知

お客様の権利・自由に対するリスクが生じ得る情報漏えいが発生した場合、当社は:

• 漏えいを認識してから72時間以内に、関連監督機関へ通知します（GDPR 第33条に基づく場合）
• 高いリスクが見込まれる場合、影響を受けるユーザーへ不当な遅滞なく通知します
• 漏えい、その影響、是正措置を文書化します
• 可能な場合、メールおよび/またはアプリ内通知で通知します

カリフォルニアやブラジル等、法域ごとに特定の通知要件がある場合、当社は適用される通知期限および手続に従います。

9. 国際データ移転

Cenkle Digitalはトルコに設立されています。お客様の情報は、お客様の居住国以外（米国を含む）および、当社のサービス提供者（Google、Meta、Apple）がデータセンターを運用する国に移転・処理される場合があります。

EEA/UKからの移転について、当社は次を根拠として対応します:

• 欧州委員会が承認する標準契約条項（SCC）
• 適用される場合の十分性認定（Adequacy decision）
• 必要な場合のお客様の明示的同意
• 利用可能な場合、サービス提供者の拘束的企業準則（BCR）

トルコからの移転について、当社はトルコ個人データ保護法No. 6698（KVKK）の要件に従い、明示的同意の取得や、個人データ保護委員会により承認されたその他の適法な移転メカニズムに基づいて対応します。

ブラジルからの移転について、当社はLGPD（Lei Geral de Proteção de Dados）の移転要件に従います。

移転に適用される具体的な保護措置については、privacy@tapstice.com までお問い合わせください。

10. お客様の権利

10.1 すべてのお客様の権利

お客様の居住地にかかわらず、お客様には次の権利があります:

• アクセス: 個人データのコピーを請求する権利
• 訂正: 不正確なデータの訂正を請求する権利
• 削除: アカウントおよびデータの削除を請求する権利
• データポータビリティ: 携帯可能かつ機械可読な形式でデータを請求する権利
• オプトアウト: マーケティング連絡およびプッシュ通知からオプトアウトする権利

10.2 EEA/UK（GDPR）の追加権利

GDPRに基づき、EEA/UKのユーザーは追加で次の権利を有します:

• 処理の制限: 個人データの処理の制限を請求する権利
• 異議: 正当な利益またはダイレクトマーケティングに基づく処理に異議を述べる権利
• 同意の撤回: 同意に基づく処理について、いつでも同意を撤回できる権利（撤回前の適法性に影響しません）
• 自動化された意思決定: 法的効果または同等に重大な影響をもたらす、完全に自動化された処理のみに基づく決定の対象とならない権利（第13条参照）
• 苦情申立て: 地域のデータ保護当局へ苦情申立てを行う権利（EEA当局一覧: edpb.europa.eu）

10.3 カリフォルニア（CCPA/CPRA）の追加権利

カリフォルニア州居住者の場合、CCPA/CPRAに基づき次の権利を有します:

• 知る権利: 収集、利用、共有、販売される個人情報の内容を知る権利
• 削除: 個人情報の削除を請求する権利
• 販売/共有のオプトアウト: 当社はCCPA/CPRAの定義する「販売」または「共有」を行いません。クロスコンテキスト行動広告のために個人情報を共有しません。
• 差別の禁止: プライバシー権の行使を理由に差別されない権利
• 訂正: 不正確な個人情報の訂正を請求する権利
• センシティブ情報の制限: センシティブ個人情報の利用・開示を制限する権利

過去12か月に収集した個人情報カテゴリ: 識別子、インターネット/電子的アクティビティ、概略位置情報、商業情報（購入）、およびこれらから導かれる推論。

お客様は、代理人（authorized agent）を指定して請求を行うことができます。当社は、代理権限の確認を求める場合があります。

10.4 ブラジル（LGPD）の権利

ブラジルに所在する場合、LGPDに基づき次の権利を有します:

• 確認: 当社が個人データを処理しているか確認する権利
• アクセス: 個人データへアクセスする権利
• 訂正: 不完全、不正確、または古いデータの訂正を請求する権利
• 匿名化/ブロック/削除: 不要、過剰、または不適法なデータの匿名化、ブロック、削除を請求する権利
• ポータビリティ: 他のサービス提供者へのデータ移転（ポータビリティ）を請求する権利
• 削除: 同意に基づき処理された個人データの削除を請求する権利
• 情報: 当社がデータを共有する公的/私的機関に関する情報を受領する権利
• 同意撤回の情報: 同意撤回の可能性と結果について情報を得る権利
• 異議: LGPDに違反する処理に異議を述べる権利
• 自動決定の見直し: 自動処理のみに基づく決定の見直しを請求する権利

LGPDにおける主な法的根拠は、同意、正当な利益、契約履行、法令/規制遵守です。

ブラジルの国家データ保護当局（ANPD）への苦情申立て: www.gov.br/anpd

10.5 カナダ（PIPEDA）の権利

カナダに所在する場合、PIPEDAおよび関連する州法に基づき次の権利を有します:

• アクセス: 当社が保有する個人情報へのアクセスを請求する権利
• 訂正: 不正確または不完全な個人情報の訂正を請求する権利
• 同意の撤回: 法律上または契約上の制限に従い、個人情報の収集/利用/開示に関する同意を撤回する権利
• 苦情申立て: カナダ・プライバシーコミッショナー（OPC）への苦情申立て（www.priv.gc.ca）

当社は、法令により許容または要求される場合を除き、お客様の認識と同意のもとでのみ個人情報を収集、利用、開示します。

10.6 トルコ（KVKK）の権利

トルコに所在する場合、KVKKに基づき次の権利を有します:

• 知る: 個人データが処理されているか知る権利
• 情報請求: データが処理されている場合、その処理に関する情報を請求する権利
• 目的: 処理目的および目的に沿って利用されているかを知る権利
• 第三者: 国内外でデータが移転される第三者を知る権利
• 訂正: 不完全または不正確なデータの訂正を請求する権利
• 削除: KVKK第7条の条件に基づき、データの削除/破棄を請求する権利
• 通知: 訂正または削除が移転先の第三者へ通知されることを請求する権利
• 異議: 自動分析のみにより生じる結果に異議を述べる権利
• 補償: 違法な処理により生じた損害の補償を請求する権利

トルコ個人データ保護当局（KVKK）への苦情申立て: www.kvkk.gov.tr

10.7 権利行使の方法

お客様は次の方法で権利を行使できます:

• アプリ設定の「アカウント削除」機能を利用
• privacy@tapstice.com へ連絡
• データ特定のため、リクエストにユーザーID（アプリ設定で確認可能）または登録メールアドレスを含める

当社は、原則として30日以内（適用法により: LGPDは15日、KVKKは30日、CCPA/CPRAは45日）に回答します。対応前に本人確認をお願いする場合があります。追加時間が必要な場合、理由と延長期間をお知らせします。

11. 子どものプライバシー

Tapsticeは、13歳未満（EEA/UKでは16歳未満）の子どもを対象としていません。当社は、これらの年齢未満の子どもから個人情報を故意に収集しません。

COPPA（米国）への準拠: Children’s Online Privacy Protection Act（COPPA）に従い、米国において13歳未満の子どもから個人情報を故意に収集しません。保護者が、子どもが同意なく個人情報を提供したことに気付いた場合はご連絡ください。当社は速やかに当該情報を削除します。

保護者の権利: 適用年齢未満の子どもの保護者/後見人は、(a) 収集された個人情報の確認、(b) 削除の請求、(c) 以後の収集拒否、を求めるために当社へ連絡できます。件名「Child Privacy Request」として privacy@tapstice.com にご連絡ください。

当社が、確認された保護者同意なしに適用年齢未満の子どもから個人データを収集したことを認識した場合、当社は認識から48時間以内に削除するための措置を講じます。

12. Do Not Track シグナル

一部のブラウザには、オンライン行動のトラッキングを望まないことをサイト/アプリへ通知する「Do Not Track（DNT）」機能があります。当社アプリは現在、モバイルアプリにおける取り扱いに業界標準がないため、DNTシグナルに一律で対応していません。

ただし、CCPA/CPRAを含め法令により要求される場合、当社はGlobal Privacy Control（GPC）シグナルを尊重します。ブラウザからGPCシグナルが検出された場合、個人情報の販売/共有のオプトアウトとして取り扱います。

13. 自動化された意思決定とプロファイリング

当社は、お客様の体験に影響し得る一定の自動化プロセスを使用します:

• アンチチート: サーバーはゲームスコアおよびセッションデータを自動分析して不審行為を検知します。不審と判断されたスコアは自動的に拒否またはレビュー保留となる場合があります。違反が累積したプレイヤーは自動的にBANされる場合があります（3回: 7日BAN、5回以上: 永久BAN）。
• コンテンツモデレーション: プロフィール写真はGoogle Cloud Vision APIにより不適切コンテンツを自動スキャンします。自動チェックに失敗した写真はブロックされます。ユーザー名はコンテンツフィルタでチェックされます。
• 広告パーソナライズ: 広告パートナーは、お客様の利用パターンや興味関心に基づき、パーソナライズ広告を配信するために自動プロファイリングを行う場合があります。

自動化された決定に関するお客様の権利: GDPR（第22条）、LGPD、KVKKに基づき、お客様には (a) 人的介入の要求、(b) 見解の表明、(c) 決定の争い、の権利が認められる場合があります。権利行使は privacy@tapstice.com へご連絡ください。

14. 第三者リンク

本サービスには第三者サイトへのリンクが含まれる場合があります。第三者のプライバシー慣行について当社は責任を負いません。

15. 本ポリシーの変更

当社は本ポリシーを随時更新する場合があります。重要な変更がある場合、当社は次の方法で通知します:

• 本ページに新しいプライバシーポリシーを掲載
• 「最終更新日」の更新
• 重要な変更についてアプリ内通知またはメールで通知
• データ処理に関する重要な変更で法令により必要な場合、アプリを通じて再同意を取得

変更後もアプリの利用を継続することで、お客様は更新後の本ポリシーに同意したものとみなされます。変更に同意できない場合は、アプリ利用を中止し、アカウント削除を請求してください。

16. お問い合わせ

本ポリシーまたは当社のデータ取扱いについてご質問、懸念、またはリクエストがある場合は、次の方法でご連絡ください:

• プライバシー関連: privacy@tapstice.com
• 一般サポート: support@tapstice.com
• 法務関連: legal@tapstice.com
• ウェブサイト: tapstice.com

データ管理者（Data Controller）:

• 会社: Cenkle Digital
• 住所: Icerenköy Mah., Atasehir, Istanbul, Turkey
• Email: privacy@tapstice.com

データ保護責任者（DPO）/ EU代表（GDPR 第27条）:

• 氏名: Cenk Yagmur
• 住所: Icerenköy Mah., Atasehir, Istanbul, Turkey
• Email: privacy@tapstice.com

ブラジルのユーザー: 苦情はANPDへ（www.gov.br/anpd）。

カナダのユーザー: 苦情はOPCへ（www.priv.gc.ca）。

トルコのユーザー: 苦情はKVKKへ（www.kvkk.gov.tr）。