プライバシーポリシー

1. 運営者について

NEF 3D（以下「当社」）は、本ウェブサイト上で画像から3Dモデルを生成するスタジオを運営しています。本ポリシーでは、当社が処理する個人データの種類、その目的、およびお客様が選択できる事項について説明します。公開前に、運営者の正式名称と所在地をここに記載する必要があります：[運営者名、所在地、登録番号]。

2. 収集するデータ

当社は、本サービスの運営に必要なデータのみを収集します。

• アカウントデータ： メールアドレス、表示名、パスワードのハッシュ（パスワードそのものは保存しません）、言語設定、プラン、および任意の2段階認証の設定。
• コンテンツ： お客様がアップロードした画像、プロンプトおよびファイル、当社がお客様のために生成した3Dモデル、ならびにそれらのバージョン履歴。
• 利用状況およびセキュリティに関するデータ： ジョブ履歴、クレジットの動き、セッション記録（203.0.113.0/24 のような大まかなネットワークプレフィックスとブラウザ名）、ならびに不正利用の検知やエラーの修正に使用するサーバーログ。
• お支払いに関するデータ： 購入記録（金額、通貨、プロバイダーの参照番号）。カード情報は決済プロバイダーが取り扱い、当社のサーバーに届くことはありません。
• お問い合わせ： お客様がサポートに送信したメッセージ。

当社は正確な位置情報を収集しません。画像はアップロード時に再エンコードされ、GPS座標などの埋め込みメタデータは削除されます。

3. 利用目的

• 本サービスを提供するため：お客様の認証、生成ジョブの実行、モデルの保存および提供（契約の履行）。
• 本サービスの安全を保つため：レート制限、不正行為や悪用の防止、無料クレジット目的の重複登録の防止（正当な利益）。登録制限のために、当社は IPアドレスおよび正規化したメールアドレスの鍵付きハッシュのみを保存します。
• お支払いを処理し、会計記録を保管するため（契約および法的義務）。
• 認証、パスワード再設定、領収書、ジョブの通知などのトランザクションメールを送信するため（契約）。製品ニュースはお客様が受信を希望した場合にのみ送信され、いつでも配信を停止できます。
• 公開コンテンツのモデレーションおよび報告への対応のため（正当な利益および法的義務）。

当社は個人データを販売せず、お客様の非公開コンテンツを機械学習モデルの学習に使用しません。

4. 委託先およびデータの共有

当社は、契約に基づき当社に代わってデータを処理するサービス提供者を利用しています。具体的には、クラウドホスティングおよびGPUコンピューティング、オブジェクトストレージ、メール配信、ならびに決済プロバイダー（お客様の選択に応じて、Stripe、Paddle、Toss Payments など）です。AIコンセプトを利用する場合、お客様のテキストプロンプトは設定された画像生成プロバイダーに送信されます。お客様がご自身のAPIキーを登録している場合、リクエストはそのプロバイダーにおけるお客様のアカウントのもとで送信されます。当社は、法令で義務付けられている場合に限り、当局にデータを開示します。

5. 国外へのデータ移転

当社の委託先は、お客様の国外でデータを処理する場合があります。必要な場合、移転は標準契約条項などの適切な保護措置によって保護されます。

6. 保存期間

• アカウントデータ：アカウントが存続している間。
• 削除されたモデル：ゴミ箱に30日間保管された後、完全に削除されます。
• 使用されなかったアップロード：48時間後に削除されます。
• セキュリティログ：最長90日間。管理者の監査記録：セキュリティおよび法的目的に必要な期間。
• お支払いおよびクレジットの記録：アカウント削除後も、税法および会計法で義務付けられている期間（通常5〜10年）。

7. お客様の権利

お住まいの地域によっては、お客様は自己のデータへのアクセス、訂正、削除またはエクスポートを求める権利、特定の処理に異議を唱えるまたは制限する権利、ならびに同意を撤回する権利を有する場合があります。データのダウンロードとアカウントの削除は、「アカウント → プライバシーとデータ」から行えます。その他のご請求については、下記までご連絡ください。また、お客様はデータ保護当局に苦情を申し立てることもできます。

8. Cookie

当社は、本サービスに必要な Cookie のみを使用します。具体的には、セッション Cookie（ログイン状態の維持）、セキュリティトークン Cookie（クロスサイトリクエストフォージェリの防止）、および言語 Cookie（言語設定の記憶）です。広告用の Cookie は使用しません。アクセス解析を導入する場合は本項を更新し、必要に応じて同意を求めます。

9. セキュリティ

パスワードは Argon2id でハッシュ化され、セッションはサーバー側で管理されて失効させることができ、ファイルは短時間で失効する署名付きリンクで配信されます。2段階認証はすべてのメンバーが利用でき、スタッフには必須です。また、すべての特権操作は追記専用の監査ログに記録されます。

10. 子どもについて

本サービスは16歳未満の子どもを対象としておらず、当社がそのデータを故意に収集することはありません。

11. 本ポリシーの変更

更新内容はこのページに掲載し、重要な変更についてはお客様にお知らせします。

12. お問い合わせ

プライバシーに関するご質問およびご請求：[email protected]（運営者の連絡先アドレスに置き換えてください）