プライバシーポリシー
Ｈａｇｙｙｙｙ株式会社（以下「当社」といいます。）は、「忘ランス（wasulance）」 （以下「本サービス」といいます。）における個人情報の取扱いについて、以下のとおり プライバシーポリシー（以下「本ポリシー」といいます。）を定めます。 当社は、個人情報の保護に関する法律（以下「個人情報保護法」といいます。）を遵守します。
1. 取得する情報
- メールアドレス（アカウント識別・通知のため）
- パスワード（bcrypt によるハッシュ化後のみ保管）
- Google、LINE または Apple でログインする場合に各認証事業者から受け取る外部ユーザー識別子、 メールアドレス、メールアドレス確認状態および表示名（提供された場合）
- 通知先情報（Slack / Discord Webhook URL、Chatwork API トークン・ルーム ID、 LINE ユーザー ID 等）
- アプリ通知を有効にした端末のデバイストークン（Expo Push Token）および端末種別（iOS / Android）
- 取引先情報（クライアント名・通知件名・送信期日等）
- 任意でご登録いただくプロフィール情報（お名前・ニックネーム、屋号・会社名、職種、事業形態、 月間請求書発行数、本サービスを知ったきっかけ、特に興味のある機能）。いずれも入力は任意で、 サービス改善の分析に利用します。設定画面からいつでも変更・削除できます。
- 決済情報（Stripe 経由。クレジットカード番号は当社サーバーに保存しません）
- お問い合わせ時に任意で添付されたスクリーンショット画像およびそのメタデータ
- アクセスログ（IP アドレス・ユーザーエージェント・操作日時）
- 利用規約・プライバシーポリシーへの同意情報（同意した版、日時、登録経路および取得可能な 場合の IP アドレス）
2. 利用目的
- 本サービスの提供および機能改善
- 請求書送付のリマインド通知の送信
- ユーザー認証・不正利用の防止
- 料金請求・サブスクリプション管理
- 収益分析（月次経常収益（MRR）・解約率（churn）等の経営指標の把握による サービス改善・事業運営）
- サポート対応・お問い合わせ対応
- サービス利用状況の統計分析（個人を特定しない形に加工した上で）
3. 外部サービスの利用および外的環境の把握
当社は、本サービスを提供するために以下のクラウドサービス・外部 SaaS を利用します。 このうち、データの保管・配信・送信・障害監視等の基盤を担う事業者は、当社との契約条項 および適切なアクセス制御により、当社が保存する個人データをその事業者自身の目的では 取り扱いません。当社は、法第 23 条に基づく安全管理措置の一環として、以下のとおり外的環境を 把握しています（個人情報保護委員会 Q7-53 / Q10-25 参照）。なお、プロダクト分析を担う PostHog への個人データの提供は、提供先が外国の法人であるため「外国にある第三者への提供」（法第 28 条） に該当します。これについては下記 §3-1 で別途開示します。
| サービス事業者 | 事業者所在国 / サーバ所在国 | 取り扱う個人データ | 安全管理のための措置 |
|---|---|---|---|
| Stripe, Inc. | 米国 / 米国 | 決済関連情報（カード番号は当社サーバーを経由せず Stripe へ直接送信されます） | PCI DSS Level 1 準拠 / SOC 1・2 報告書取得 |
| Amazon Web Services, Inc.（AWS / SES / Lambda / S3 / CloudFront / Secrets Manager 等） | 米国 / シンガポール（ap-southeast-1 リージョン） | アプリケーションデータ全般（保存時暗号化） | ISO 27001 / 27017 / 27018, SOC 1 / 2 / 3 認証取得済。当社は IAM・最小権限・ アクセスログ取得を実施 |
| Functional Software, Inc.（Sentry） | 米国 / 米国 | エラー発生時のスタックトレース・リクエスト情報（メールアドレス・トークン等の PII はマスク処理した上で送信） | SOC 2 Type II 取得 / TLS 通信 |
| Google LLC / LINEヤフー株式会社 / Apple Inc.（外部アカウントでの認証） | 米国 / 日本 / 米国 | ユーザーが選択した認証事業者に送信する認証要求。当社は認証後に外部ユーザー識別子、 メールアドレス、メールアドレス確認状態および表示名（提供された場合）を受け取ります | OAuth 2.0 / OpenID Connect / PKCE / 署名付き state / TLS 通信 |
| Apple Inc.（App Store アプリ内課金を利用する場合） | 米国 / Apple が定める地域 | 購入商品、取引識別子、サブスクリプション状態等（支払情報は Apple が管理） | App Store の認証・購入検証 / TLS 通信 |
| ChiselStrike, Inc.（「Turso」ブランドで DB サービスを提供） | 米国 / 日本（東京、ap-northeast-1 リージョン） | 本サービスのデータベース全般 | TLS 通信 / 保存時暗号化（データベースファイルおよび WAL をページ単位で個別に 暗号化し、復号鍵はメモリ上にのみ保持してディスクには保存しない方式）/ トークンベースのアクセス制御（データベース単位でスコープされたアクセストークンを 発行し、読み取り専用権限・有効期限の設定が可能） |
| PostHog, Inc.（プロダクト利用状況の分析・収益分析。詳細は §3-1） | 米国（契約主体 PostHog, Inc.）/ ドイツ（EU リージョン保存） | (1) アクセス解析 Cookie に同意した場合のみ送信される、プロダクト内の操作イベント （サインアップ・メール認証・取引先追加・スケジュール登録・アップグレード等）、 閲覧ページの情報（ページの URL・パス・リファラー。ただし認証トークン等を含むクエリ文字列・ フラグメントは送信前に除去します）および ログイン後の内部ユーザー識別子。(2) 収益分析（MRR・解約率等）のため、決済事業者 Stripe から取得する課金関連データ（請求額・通貨・サブスクリプションの状態・ サブスクリプション ID・課金日時等）。氏名・メールアドレス・取引先名・カード情報は送信しません。課金関連データは Cookie 同意の有無にかかわらずサーバー間で同期されます （操作イベントとは送信条件が異なります。詳細は §3-1 参照）。 IP アドレスはイベントに保存されません（§3-1 参照） | SCC 込み DPA 締結 / EU-US 等データプライバシーフレームワーク参加 / SOC 2 Type II 取得 / TLS 通信 / EU リージョン（独）保存 / IP 非保存（取り込み時破棄）/ autocapture 無効 / ページ閲覧計測は URL のクエリ文字列・フラグメント（認証トークン等）を送信前に除去 / セッションリプレイ無効 / 課金関連データは氏名・メール等の直接識別子を除外して同期 |
| Slack Technologies, LLC.（お問い合わせ通知に利用する場合） | 米国 / 米国 | お問い合わせ本文、メールアドレス、氏名、対象 URL、ユーザーエージェント、 添付スクリーンショット画像の閲覧用 URL | HTTPS 通信 / S3 署名付き URL / 期限付き保存 / アクセス制御 |
| Slack Technologies, LLC. / Discord Inc. / Chatwork 株式会社 / LINEヤフー株式会社 （ユーザーが連携した場合のみ） | 米国 / 日本 | 通知メッセージ本文（取引先名・通知件名・送信期日等）および送信に必要な通知先情報 | HTTPS 通信 / Webhook URL・API トークンの暗号化保存 / 画面上の再表示なし / 利用者による連携解除可 |
| 650 Industries, Inc.（Expo）/ Apple Inc.（Apple Push Notification Service（APNs））/ Google LLC（Firebase Cloud Messaging（FCM）） | 米国 / Apple・Google が定める地域 | アプリ通知を有効にした端末のデバイストークン、端末種別および通知メッセージ本文 （取引先名・通知件名・送信期日等） | TLS 通信 / アクセストークンによる送信元認証 / 利用者による端末ごとの通知解除 / 失効したデバイストークンの削除 |
各国の個人情報保護制度の概要については、個人情報保護委員会の 「外国にある第三者への提供編」ガイドライン および同委員会公表情報をご参照ください。
3-1. PostHog（プロダクト分析・収益分析）への個人データの越境提供について
プロダクト分析・収益分析に利用する PostHog は、当社を管理者（コントローラー）、PostHog, Inc. を処理者（プロセッサー）とする委託関係に基づき、以下の個人データを当社のためにのみ 取り扱います。(1) アクセス解析 Cookie に同意した利用者の操作イベント、閲覧ページの情報 （ページの URL・パス・リファラー。ただし認証トークン等を含むクエリ文字列・フラグメントは 送信前に除去します）、およびログイン後の内部ユーザー識別子。(2) 収益分析（MRR・解約率等の経営指標の把握）のため、 決済事業者 Stripe から取得する課金関連データ（請求額・通貨・サブスクリプションの状態・ サブスクリプション ID・課金日時等）。当該課金関連データには、氏名・メールアドレス・ 取引先名・カード情報は含めません。契約主体である PostHog, Inc. は米国法人であるため、 当社から PostHog への (1)(2) の提供は、個人情報保護法 第 28 条にいう「外国にある 第三者への提供」に該当します。
当社は、本人の同意に代えて、同条が定める「個人情報保護委員会規則で定める基準に適合する体制を 整備している者」への提供として取り扱います。具体的には、PostHog, Inc. との間で標準契約条項 （EU 標準契約条項 / 英国 IDTA）を含むデータ処理契約（DPA）を締結し、個人情報保護法第 28 条が 求める相当措置に相当する措置の継続的な実施を契約により確保します。当該標準契約条項には、 英国 Addendum およびスイス向けの調整条項を含みます。加えて、PostHog, Inc. は EU-US データプライバシーフレームワーク（および英国拡張・スイス-US の各枠組み）の 認証を取得しています。上記 (1)(2) について当該 DPA の対象に含まれるよう手当てし、とりわけ (2) の課金関連データについては、提供の開始前に当該データが DPA の射程に含まれることを 確認します。データは、PostHog の EU リージョン（Amazon Web Services のドイツ・ フランクフルトリージョン）でホストされる独立したインスタンスで取り扱われ、イベントデータは EU 域外に移転されない構成です。クライアント IP アドレスはイベントに保存されません（取り込み時の不正検知等に一時利用された後に破棄されます）。
同条第 3 項に基づき、当社は移転先における個人情報の取扱いについて継続的に確認するとともに、 利用者のご請求に応じて、移転先の国（米国）の個人情報保護制度および PostHog が講じる保護措置に関する情報を提供します。本越境提供に関する情報のご請求、ならびに保有個人 データの開示・訂正・利用停止等のご請求（手続は §5 によります）は、 support@wasulance.com で承ります。 なお、上記 (1) の操作イベントおよび閲覧ページ情報は、アクセス解析 Cookie に同意されない場合は PostHog に 送信されません（同意の撤回は §6-2 の手順で可能です）。一方、上記 (2) の課金関連データに限り、 (1) の操作イベントと異なり、アクセス解析 Cookie への同意およびその撤回（§6-2）の対象外と なります。これは、有料プランのご利用に伴う料金請求・収益分析という当社の正当な業務上の必要に 基づき、Cookie 同意の有無にかかわらずサーバー間で同期されるためです。当該課金関連データの 取扱いについてご懸念がある場合は、上記窓口までお問い合わせください。
4. 保存期間
- アカウント情報、取引先情報、請求リマインド情報および OAuth 連携情報: アカウント有効期間中。退会後、稼働中のデータベースから遅滞なく削除します。
- 問い合わせスクリーンショット: 取得後最大 30 日間
- アクセスログ、監査ログ、ハッシュ化した同意履歴および退会記録: 取得後最大 1 年間。 不正利用防止、紛争・法的請求への対応および同意証跡の保全に必要な範囲で保存し、その後 削除します。
- バックアップおよび外部事業者側の履歴に含まれる複製: 各基盤の保持サイクルに従って順次 上書きまたは消去されます。
- PostHog（プロダクト分析・収益分析）へ提供する操作イベント・課金関連データ: PostHog のデータ保持設定に従って保管されます（保持期間は同社における当社の設定に準じます）。
- アプリ通知のデバイストークン: 通知を無効化するか、ログアウト・退会するまで。Expo Push receipt（APNs・FCMの受理確認記録）は取得後最大30日間。
5. 開示請求等への対応
ユーザーは、当社に対し、保有個人データに関する以下の事項を請求することができます。
- 利用目的の通知
- 開示（個人情報保護法 第 33 条第 5 項に基づく第三者提供記録の開示を含みます）
- 訂正・追加・削除
- 利用停止・消去・第三者への提供の停止
請求の受付および対応は、以下の手順で行います。
- 受付方法: support@wasulance.com 宛に、件名を「個人情報の開示等請求」としてメールでご連絡ください。
- 本人確認: 当社は、登録済みアカウントのメールアドレスからの送信および登録時パスワードに よる認証をもって本人確認を行います。なりすましの疑義がある場合に限り、公的書類の 写し等の追加提出をお願いすることがあります。
- 手数料: オンラインでの開示等は無料です。書面による開示を希望される場合に限り、 郵送費等の実費（書留料金相当額）をご負担いただくことがあります。
- 回答期限: ご請求を受領後、遅滞なく（最長 30 日以内に）回答します。 調査に時間を要する場合は、その旨と理由をあらかじめ通知します。
- 不承諾の場合: 個人情報保護法その他の法令に基づき請求の全部または一部に応じない場合は、 その旨および理由を本人に書面または電磁的記録によりお知らせします（同法 第 34 条第 3 項）。
6. Cookie および外部送信される利用者情報
本サービスは、ページの正常な動作・利便性向上・サービス改善のために、 ユーザーの端末に Cookie を保存することがあります。Cookie の受け入れはブラウザ設定で 拒否できますが、その場合は本サービスの一部機能が利用できないことがあります。
本サービスは、電気通信事業法 第 27 条の 12（外部送信規律）に基づき、 以下の外部サービスへ送信される利用者情報を公表します。
| 送信先 | 送信される情報 | 送信目的 |
|---|---|---|
| Google LLC（Google Analytics 4） | Cookie ID / IP アドレス / アクセス URL / リファラー / ユーザーエージェント / 画面サイズ / 利用言語 | アクセス解析・サービス改善 |
| Functional Software, Inc.（Sentry） | エラー発生箇所のスタックトレース / IP アドレス / ユーザーエージェント / リクエスト URL（メールアドレス・トークン等の PII はマスク処理した上で送信） | エラー監視・障害対応 |
| PostHog, Inc.（プロダクト分析・収益分析。越境移転の詳細は §3-1） | アクセス解析 Cookie に同意した場合のみ送信される、ログイン後の内部ユーザー識別子 / プロダクト内の操作イベント名（サインアップ・取引先追加・スケジュール登録等）/ 閲覧ページの URL・パス・リファラー（認証トークン等を含むクエリ文字列・フラグメントは 送信前に除去）/ ユーザーエージェント / IP アドレス（イベントには保存されず取り込み時に破棄）。 氏名・メールアドレス・取引先名・カード情報は送信しません | プロダクト内の利用状況・離脱分析・サービス改善 |
| Stripe, Inc.（決済処理を利用する画面のみ） | Cookie ID / IP アドレス / ユーザーエージェント / 決済関連情報（カード番号は 当社サーバーを経由せず Stripe へ直接送信されます） | 決済処理および不正利用検知 |
| Google LLC / LINEヤフー株式会社 / Apple Inc.（外部アカウント認証の選択時のみ） | 認証要求、リダイレクト先、PKCE challenge、OAuth state、ブラウザ・端末情報および 各認証事業者が認証に必要とする Cookie 等 | 本人認証、アカウント登録およびログイン |
| Slack Technologies, LLC.（お問い合わせ通知） | お問い合わせフォームに入力されたメールアドレス、氏名、本文、対象 URL、 ユーザーエージェント、添付スクリーンショット画像の閲覧用 URL | サポート対応・問い合わせ管理 |
| Slack Technologies, LLC. / Discord Inc. / Chatwork 株式会社 / LINEヤフー株式会社 （ユーザーが通知連携した場合のみ） | ユーザーが通知先として設定した Webhook URL、API トークン、ルーム ID、LINE / Discord ユーザー ID 等、および通知メッセージ本文（取引先名・通知件名・送信期日等） | ユーザーが指定した外部通知サービスへのリマインド送信 |
| 650 Industries, Inc.（Expo）/ Apple Inc.（Apple Push Notification Service（APNs））/ Google LLC（Firebase Cloud Messaging（FCM）） | アプリ通知を有効にした端末のデバイストークン、端末種別および通知メッセージ本文 （取引先名・通知件名・送信期日等） | アプリへの請求リマインダー配信 |
Google Analytics は Google Consent Mode v2 に対応しており、初期状態では analytics_storage を denied として起動します。利用者が明示的に同意するまで、 分析・広告目的の Cookie 保存および計測は行いません。
6-1. 使用 Cookie 一覧
本サービスが端末に保存する主な Cookie は以下のとおりです。
| Cookie 名 | 種別 | 目的 | 保存期間 |
|---|---|---|---|
wb_session | 機能 Cookie（必須） | ログイン状態の維持（JWT アクセストークンの httpOnly 保存） | 15 分（アクセストークン有効期限） |
wb_refresh | 機能 Cookie（必須） | ログイン状態を安全に更新するための httpOnly リフレッシュトークン | 14 日 |
wb_oauth_login_state_* / wb_oauth_pending_signup | 機能 Cookie（OAuth 利用時のみ・必須） | OAuth 認証時のリクエスト改ざん防止および同意前の登録状態の一時保持 | 10 分 |
wasulance_analytics_consent（localStorage） | 機能 Cookie（必須） | Cookie 同意状態の保存。ページ再訪時にバナーを再表示しないために使用 | 永続（手動削除またはブラウザ設定でのクリアまで） |
_ga | アクセス解析 Cookie（任意） | Google Analytics 4 によるユーザー識別（匿名 ID） | 2 年 |
_ga_* | アクセス解析 Cookie（任意） | Google Analytics 4 のセッション維持 | 2 年 |
ph_*_posthog（Cookie / localStorage） | アクセス解析 Cookie（任意） | PostHog によるプロダクト利用状況・閲覧ページの分析のための匿名識別子の保存。アクセス解析 Cookie に同意した場合のみ保存されます | 1 年 |
広告目的の Cookie（ad_storage / ad_user_data / ad_personalization）は当サービスでは常に denied となり、保存されません。
6-2. Cookie 同意の管理・撤回
本サービスは初回訪問時に Cookie 同意バナーを表示します。「同意する」をクリックすると アクセス解析 Cookie（analytics_storage）が有効になります。「拒否する」をクリックした 場合はアクセス解析 Cookie は保存されません。
同意はいつでも撤回できます。ページ下部のフッターにある「Cookie 設定」リンクから Cookie 同意バナーを再表示し、設定を変更してください。
設定変更後は新たなアクセス解析 Cookie の保存および任意のアクセス解析送信を停止します。 ただし、変更以前に適法に収集済みのデータは、本ポリシーおよび各サービス事業者に設定した 保存期間に従って保持される場合があります。ログイン維持等に必要な機能 Cookie は停止できません。
当社は Cookie 同意状態（granted / denied）をハッシュ化された識別子とともに 当社データベースに記録します。これはユーザーが「同意した事実」「拒否した事実」を 設定変更の受付および運用確認のための監査証跡として保管します。 記録には個人を特定できる情報は含まれず、SHA-256 で変換されたフィンガープリントのみ保存されます。
7. セキュリティ
当社は、個人情報への不正アクセス・紛失・破壊・改ざん・漏えい等を防止するため、 パスワードの適切なハッシュ化、通信の TLS 暗号化、Webhook URL・API トークンの保存時暗号化、認証情報の非表示、ログ・監査ログ・エラー監視への認証情報非出力、 その他の技術的・組織的安全管理措置を講じます。
8. お問い合わせ窓口
個人情報の取扱いに関するお問い合わせは、以下までお願いいたします。
- 事業者名: Ｈａｇｙｙｙｙ株式会社
- 代表者: 代表取締役 萩原圭市
- 所在地: 東京都新宿区西新宿3-3-13 西新宿水間ビル6階
- 連絡先: support@wasulance.com
9. 改定
当社は、法令の変更等に応じて本ポリシーを改定することがあります。重要な変更がある場合は、 本サービス上で告知します。本ポリシーの最終更新日は本ページ冒頭に表示します。
2026 年 7 月の改定では、外部アカウント認証、App Store アプリ内課金、アプリへのリモート Push通知、同意証跡、保存期間、実際に使用する認証 Cookie、お問い合わせ窓口の代表者および 所在地を明記しました。