データ保管とプライバシー

AnimaTimeにおけるデータの保管場所、暗号化、テナント分離、 プライバシーへの取り組みについて説明します。

データ保管場所

データベースはSupabase（AWS東京 ap-northeast-1）、ファイルはSupabase Storage（同東京）に保管します。 オフサイトバックアップは別事業者のGoogle Cloud Storage（東京 asia-northeast1）に暗号化して保管します（国内保管）。 なお、決済処理（Stripe・米国）およびAIサポート機能の会話処理（Anthropic・米国）では、目的の範囲でデータが国外に移転されます。 このほか、エラー監視・メール送信・LINE/Slack通知連携・不正防止（reCAPTCHA）・プッシュ通知（FCM）の目的で複数の委託先を利用しています。 委託先の全量および所在国はプライバシーポリシー第3条の一覧をご参照ください。 外国にある第三者への提供の詳細は、プライバシーポリシー第4条をご参照ください。

暗号化

保存データはSupabaseインフラストラクチャによる暗号化で保護されています。 通信はTLS（バージョンはVercel/Supabaseインフラストラクチャに準拠）で保護されます。

テナント分離

AnimaTimeはマルチテナントアーキテクチャを採用しています。 データ分離はアプリケーション層でorganizationIdによるフィルタリングで実現しています。 すべてのデータアクセスは組織IDに基づいてスコープされます。

PII（個人情報）の取り扱い

AnimaTimeが保持する個人情報は以下の通りです。

• ●ユーザー名・メールアドレス
• ●ログイン履歴（IPアドレス、User-Agent）
• ●プロフィール画像（任意）
• ●電話番号（サービス利用者・外注先担当者の連絡先として、任意）
• ●外注先（取引先）の振込先口座情報（AES-256-GCMで暗号化して保管、平文カラムなし）
• ●外注先（取引先）の適格請求書発行事業者登録番号（インボイス制度上のT番号）
• ●外注先（取引先）の源泉徴収計算に必要な情報（個人事業主・法人の別等の課税区分）

クレジットカード情報はStripeが直接管理し、AnimaTimeのサーバーには保存されません。

GDPR準拠の対応

AnimaTimeは日本の個人情報保護法に準拠するとともに、GDPRの主要な原則にも対応しています。 データポータビリティ（エクスポート）、データ削除（忘れられる権利）に対応しています。