プライバシー

プライバシーポリシー

最終更新: 2026年7月17日

本プライバシーポリシーは、AI PRODUCTS LTDA（CNPJ 63.045.700/0001-12、以下「Weft」「当社」）が、letsweft.com および Weft の各アプリケーション（以下あわせて「本サービス」）のご利用にあたり、個人データをどのように収集、利用、共有、保護するかを説明するものです。当社は、EU 一般データ保護規則（以下「GDPR」）上の管理者、カリフォルニア州消費者プライバシー法／同プライバシー権法（以下「CCPA/CPRA」）上のbusiness、ブラジル一般データ保護法（以下「LGPD」、法律 13.709/2018）上の controlador にあたります。

1. 収集するデータ

アカウントデータ — お名前、メールアドレス、ソルト付きのパスワードハッシュ。パスワードを平文で保存することはありません。
お客様が作成したコンテンツ — タスク、スプリント、カラム、コメント、添付ファイル、ボードの設定、およびウェブアプリや AI クライアントから追加したあらゆるテキスト。共有ワークスペース（チームプラン）に参加または作成した場合、そのワークスペースの全メンバーがこれらの内容を閲覧・編集できます。請求されるのはワークスペースのオーナーのみです。
請求データ — Stripe の顧客 ID とサブスクリプションのメタデータを保存します。カード情報は Stripe の PCI-DSS 準拠のインフラに直接入力され、当社のサーバーに保存されることはありません。
AI クライアント／MCP のメタデータ — MCP エンドポイント経由で AI アシスタント（Claude、Cursor、Codex、ChatGPT、Gemini など）を接続すると、許可されたクライアント、OAuth トークン、実行されたツール呼び出しを記録します。アクセスを監査し、ご要望に応じて取り消せるようにするためです。
利用状況・技術データ — IP アドレス、ブラウザ／端末の種類、OS、閲覧ページ、Cookie の識別子、タイムスタンプ。セキュリティ、アクセス解析、広告計測、不具合の調査に利用します。
サポートのデータ — メールでご連絡いただいた際の本文。

2. 利用目的

本サービスの提供、運営、保守のため
お支払いの処理とサブスクリプションの管理のため
お客様の認証とアカウントの保護のため
お客様および AI クライアントが MCP エンドポイント経由でボードを読み書きできるようにするため
サポートのお問い合わせに回答するため
取引に関する連絡（領収書、セキュリティ通知、ポリシーの更新）を送るため、および必要な場合は同意を得たうえで製品のお知らせを送るため
不正や濫用を検知し、規約を執行し、法的義務を遵守するため
不具合を修正し、本サービスを改善するため
letsweft.com の利用状況やマーケティング施策の成果を測定し、広告を通じて潜在的な利用者に届けるため。アクセス解析および広告の Cookie は、必要な場合には同意を得たうえでのみ使用します（第12条参照）。

当社は、お客様の個人データを販売しません。また、ユーザーコンテンツを共有または第三者の AI モデルの学習に使用しません。

3. 法的根拠（GDPR および LGPD）

契約 — お申し込みいただいた本サービス（アカウント、請求、MCP アクセス）の提供のため。
正当な利益 — 本サービスの安全確保、不正防止、信頼性の向上のため。お客様の権利との均衡を図っています。
法的義務 — 請求関係の記録を保持し、適法な要請に応じるため。
同意 — 任意の Cookie、任意のマーケティングメール、その他同意を要する処理のため。同意はいつでも撤回できます。

4. データの共有先

個人データを共有するのは、以下の相手に限られます。ほとんどは、当社の指示の範囲に利用を限定する書面の契約に基づいて動く委託先（サブプロセッサー）です。Google（アクセス解析）と Meta（広告計測）は、各社のプライバシーポリシーに記載のとおり、一部のデータを自社の目的でも処理します:

Vercel, Inc.（米国）— letsweft.com と当社 API のアプリケーションホスティング、エッジネットワーク、サーバーレス関数の実行。
Neon, Inc.（米国）— アカウント、コンテンツ、請求データを保存するマネージド PostgreSQL データベース。
Upstash, Inc.（米国／EU）— レート制限と短命なセッション／MCP の状態に用いるマネージド Redis。
Stripe, Inc.（米国）— ウェブでの購入に関する決済、サブスクリプションの請求、カスタマーポータル。カード情報は Stripe の PCI-DSS 準拠のインフラに直接入力されます。
Google LLC（米国）— 2つの役割があります。(a) Android で Google Play Billing を通じて Pro を購入・管理する場合、Google が自社の規約に基づき取引を処理します。(b) letsweft.com 上の Google Analytics は、訪問者がサイトをどう使っているか（閲覧ページ、端末の種類、IP から推定されるおおよその所在地）を把握する助けになります。解析用の Cookie は第12条に記載の方法でのみ設定されます。
Meta Platforms, Inc.（米国）— letsweft.com 上の Meta Pixel による広告計測。第12条で許される範囲で、Meta は利用イベント（ページビュー、登録など）、Cookie の識別子、および登録時にはメールアドレスと氏名のハッシュ（SHA-256）を受け取り、コンバージョンを Meta 広告に紐づけます（「Advanced Matching」）。同じく第12条の同意を条件として、当社サーバーから登録イベントを Meta に報告することがあります（「Conversions API」）。その範囲は同じハッシュ化された識別子（メールアドレス、アカウント ID）と技術データ（IP アドレス、ブラウザの識別子）に限られます。ボードの内容、パスワード、請求情報を Meta に送ることは決してありません。
Apple Inc.（米国）— iOS または macOS で Apple のアプリ内課金を通じて Pro を購入・管理する場合、Apple が自社の規約に基づき取引を処理します。
メール配信事業者（米国／EU）— 取引に関するメール（確認、パスワード再設定、請求の領収書）を送信します。
お客様が接続した AI クライアント — MCP 経由でボードへのアクセスを AI クライアントに許可した場合、そのクライアントの提供者は、お客様またはクライアントが送信することを選んだデータを受け取ります。各提供者は、それぞれの規約に基づいてそのデータを処理します。
法令・安全 — 法令や裁判所の命令により求められる場合、または当社もしくは第三者の権利、財産、安全を守るために必要な場合。
事業承継者 — 合併、買収、事業譲渡の一環として、同等の保護を条件に共有することがあります。

モバイルアプリでは、第三者の解析 SDK、広告 SDK、アトリビューション SDK を一切使用していません。

5. 国際的なデータ移転

当社の本拠はブラジルにあり、委託先は米国や欧州連合を含む複数の地域で事業を行っています。お客様の地域外へ個人データを移転する場合、標準契約条項（GDPR）、十分性認定、または LGPD 上の同等の保護措置など、適法な移転の仕組みに基づいて行います。

6. 保持期間

アカウントおよびコンテンツのデータは、アカウントが有効である限り保持します。アカウントを削除された場合、個人データは30日以内に削除または匿名化します。ただし、法務、税務、会計、不正防止の目的で記録の保持が必要な場合を除きます（ブラジル税法のもとでは通常最大5年）。

7. セキュリティ

当社は、通信の TLS 暗号化、パスワードの暗号学的ハッシュ化、アクセス制御、監査ログなど、業界標準の技術的・組織的措置によりデータを保護しています。通信や保存の方法に100%安全なものはなく、絶対的な安全性を保証することはできません。

8. お客様の権利

8.1 すべての方

いつでも次のことができます:

本サービスを通じてアカウント内のデータにアクセスする
正確でないデータを訂正する
ご請求により、データ（タスク、スプリント、コメント）を機械可読な形式でエクスポートする
アカウント削除ページ、Weft モバイルアプリの設定画面、またはメールでのご連絡により、アカウントを削除する。これにより関連する個人データも削除されます。

8.2 ブラジル（LGPD）

LGPD 第18条に基づく権利があります。処理の確認、アクセス、訂正、不要なデータの匿名化・ブロック・削除、ポータビリティ、共有に関する情報、同意の撤回を含みます。ブラジルのデータ保護監督機関は ANPD です — gov.br/anpd。

8.3 欧州経済領域および英国（GDPR）

アクセス、訂正、消去、制限、ポータビリティ、異議（正当な利益に基づく処理への異議を含みます）の権利があります。また、お住まいの国の監督機関に苦情を申し立てる権利があります。

8.4 カリフォルニア州（CCPA/CPRA）

カリフォルニア州の居住者には、当社が収集する個人情報とその利用方法を知る権利、削除を求める権利、不正確な情報を訂正する権利、機微な個人情報の利用を制限する権利、および個人情報の「販売」または「共有」を拒否する権利があります。当社は個人情報を販売しません。広告 Cookie（Meta Pixel）の使用は、CCPA/CPRA にいう「共有」（文脈を越えた行動ターゲティング広告）に該当する可能性があります。Cookie バナーで「必須のみ」を選ぶか、フッターの「Cookie の設定」リンクから、いつでも拒否できます。また、ブラウザの Global Privacy Control（GPC） シグナルも有効な拒否の意思表示として尊重します。権利を行使されたことを理由に、不利益な取り扱いをすることはありません。

8.5 権利の行使方法

アカウントの削除には、セルフサービスの削除ページ（ウェブ）または Weft モバイルアプリの設定画面をご利用ください。その他のご請求（アクセス、訂正、エクスポート、異議）は support@letsweft.com までメールでお知らせください。適用法令が定める期限内に回答します（一般に LGPD で15日、GDPR で30日、CCPA/CPRA で45日）。

9. モバイルアプリの権限

Weft の Android および iOS アプリは、動作に必要な最小限の権限のみを要求します。具体的には、Android アプリが宣言しているのは INTERNET 権限だけで、これによりアプリが letsweft.com の API に接続してボードを同期します。

Weft は Android で次のいずれも要求・使用しません: 正確または大まかな位置情報、連絡先、カレンダー、SMS や通話履歴、マイク、カメラ、バックグラウンドの位置情報、身体センサー、付近のデバイス、外部ストレージ、広告 ID。iOS アプリも、位置情報、連絡先、カレンダー、マイク、カメラ、写真、モーション、ヘルスケア、トラッキングの権限を要求しません。

10. AI 機能について

Weft は AI でコンテンツを生成しません。製品自体が大規模言語モデルを呼び出すことはなく、内蔵のチャットボットもなく、ボードのデータをどの AI 提供者にも送信しません。

Weft が行うのは、外部の AI クライアント（Claude Desktop、Cursor、ChatGPT Codex、Gemini CLI など）に利用を許可できる Model Context Protocol（MCP）エンドポイントを公開することです。各 AI クライアントは、お客様が付与した OAuth トークンで当社の MCP エンドポイントに直接接続します。やり取りされるデータは、お客様または許可されたクライアントが読み書きすることを選んだものです。Weft はそれらの AI クライアントの運営者ではなく、当社がデータを送っているのではありません — 接続することで、お客様が送っています。

11. 子どもについて

本サービスは13歳未満（またはお住まいの国で相当する最低年齢未満）の子どもを対象としておらず、当社が意図的にその個人データを収集することはありません。子どもが個人データを提供したと思われる場合は、ご連絡ください。削除いたします。

12. Cookie および類似技術

ログイン状態の維持、設定の記憶、本サービスの保護のため、厳密に必要な Cookie を使用しています。これらは常に有効です。

また、アクセス解析と広告計測のために必須ではない Cookie も使用しています: Google Analytics（_ga、_ga_*）と Meta Pixel（_fbp、_fbc）です。EEA、英国、スイスからの訪問者には同意バナーを表示し、これらの Cookie は「すべて許可」を選んだあとにのみ設定されます。Global Privacy Control シグナルを送るブラウザは自動的に除外されます。選択はフッターの「Cookie の設定」リンクからいつでも変更でき、ブラウザ側で Cookie を管理・削除することもできます。

13. 本ポリシーの変更

当社は本プライバシーポリシーを更新することがあります。重要な変更については、効力発生の少なくとも15日前に、メールまたは製品内で通知します。冒頭の「最終更新」の日付が、最新版を示します。

14. 連絡先とデータ保護責任者

管理者: AI PRODUCTS LTDA — CNPJ 63.045.700/0001-12。
プライバシー窓口／DPO: support@letsweft.com