プライバシーポリシー
バージョン4.0、2026年7月3日1. 概要
これは短い要約です。詳細は以下の各セクションに記載しており、内容に食い違いがある場合は各セクションが優先します。
- Wevionの運営者: イタリア法人であるBhblasted SRL SB（VAT番号 IT08466861211）が、お客様のアカウントに関するデータ管理者です。連絡先: privacy@wevion.ai
- 収集する情報: アカウントおよび請求に関する情報、プラットフォームの利用状況、連携した広告アカウントのデータ、サポートおよびAIチャットでのやり取り、Cookie。
- 利用目的: 本サービスの提供（契約）、請求とセキュリティの確保（契約／正当な利益／法的義務）、集計された分析（正当な利益）、およびマーケティング（お客様の同意がある場合のみ）。
- お客様のデータは販売しません。金銭と引き換えに販売することはありません。一部の広告Cookieは、カリフォルニア州法上の「共有」（share）に該当する場合があります。クローズドベータの期間中は、privacy@wevion.ai 宛のメールでオプトアウトを請求できます。
- お客様の権利: アクセス、訂正、削除、エクスポート、異議申立て。EU・英国・EEAのユーザーは、自国のデータ保護当局（イタリアではGarante）に苦情を申し立てることができます。
- 広告プラットフォーム: Meta、Googleなどを連携する場合も、広告の配信対象となる人々から有効な同意を取得する責任はお客様にあります。Meta Business Toolsについては、お客様とMetaが共同管理者となる場合があります（Metaのセクションを参照）。
2. 当社について、および当社の役割
Bhblasted SRL SBは、プラットフォーム利用者（アカウント保有者）の個人データについて、CCPA/CPRA上の事業者（Business）であり、かつGDPR上のデータ管理者です。 お客様が本サービスを通じて取り扱う個人データ（例えばオーディエンスデータやリードデータ）については、Bhblasted SRL SBは、お客様の文書化された指示に基づき、CCPA上のサービスプロバイダ／GDPR上のデータ処理者として行動します。法人（B2B）のお客様は、これらの処理者としての活動を規律する個別のデータ処理契約（DPA）を締結します。 Bhblasted SRL SBは欧州連合（イタリア）に設立されています。したがって、GDPR Art. 27に基づくEU代理人の選任は必要ありません。Art. 27は、域内に設立されていない管理者にのみ適用されるためです。当社は選任義務を負わないため、データ保護責任者は選任していません。プライバシーに関する事項は privacy@wevion.ai で対応します。 プライバシーに関するご質問の連絡先: privacy@wevion.ai
3. 当社が収集するデータ
3.1 アカウントデータ
氏名、メールアドレス、パスワード（ハッシュ化して保存）、使用言語、ロール、所属組織。
3.2 請求データ
Stripeを通じて処理されます: 氏名、請求先住所、納税者番号（VAT/EIN/GST）、決済手段のトークン。クレジットカード番号の全桁を保存することはありません。
3.3 利用データ
プラットフォーム上の操作（ログイン、作成したキャンペーン、実行されたルール）、デバイス情報（ブラウザ、OS）、IPアドレス、セッションCookie、タイムスタンプ。
3.4 広告アカウントのデータ（連携経由）
Meta、Googleその他の広告アカウントを連携した場合: OAuthトークン、広告アカウントID、キャンペーンデータ、パフォーマンス指標、オーディエンスデータ、およびお客様がアップロードしたクリエイティブアセット。
3.5 サポートでのやり取り
メール、チャット、サポートウィジェットのメッセージ、添付ファイル、および関連するメタデータ。
3.6 AIチャットのデータ
AIアシスタントに送信したプロンプトおよび会話履歴。アカウントの保存期間設定に従って保持されます。
3.7 Cookieと分析
認証、設定、分析のため、また同意が必要な場合はマーケティングのアトリビューションのために、ファーストパーティおよびサードパーティのCookieを使用します。Cookieポリシーを参照してください。
一部の分析ツール（Microsoft Clarity、PostHog）はセッション中の操作を記録します。記録は、ユーザーの入力内容と機微なフィールドをマスクするよう設定されています。クローズドベータの期間中は、これらのツールがすべてのベータ参加者に対して動作する場合があります。EU・英国における厳格な同意取得の制御は、本サービスを一般公開する前に有効化します。
4. データの利用方法（法的根拠）
4.1 EU・英国・EEAのユーザー（GDPR Art. 6）
- 本サービスの提供（アカウント、主要機能）: 契約（Art. 6(1)(b)）
- 請求、不正防止、セキュリティ: 契約＋正当な利益（Art. 6(1)(b),(f)）
- 集計・匿名化された分析: 正当な利益（Art. 6(1)(f)）
- マーケティングの連絡: 同意（Art. 6(1)(a)）。いつでも撤回できます
- AIアシスタント機能: 契約／同意
- 法令の遵守（税務、適法な要請）: 法的義務（Art. 6(1)(c)）
4.2 カリフォルニア州の居住者（CCPA/CPRA）
当社は、以下に挙げる事業目的のために個人情報を取り扱います。金銭と引き換えに個人情報を販売することはなく、また、お客様のオプトアウトを尊重することなくクロスコンテキスト行動広告のために共有することもありません（カリフォルニアのセクションを参照）。
- 本サービスの提供および関連する業務
- 請求、不正防止、セキュリティ
- 製品の改善と分析（可能な範囲で匿名化）
- マーケティングの連絡（オプトインによる同意がある場合のみ）
- 法令の遵守（税務記録、適法な要請）
4.3 その他の法域
当社は、適用される法令（例えばLGPD、PIPEDA、APPI、PDPA、および米国各州のプライバシー法）を遵守します。お客様の権利は「お客様の権利」のセクションに記載しています。
5. データの共有と国際移転
当社は、お客様の個人データを販売しません（一般的な意味においても、CCPA/CPRAの定義においても）。個人データの共有は、以下の場合に限られます:
- 副処理者（ホスティング、メール配信、AI推論、決済、分析）。バージョン管理された最新の一覧は /sub-processors にあります。新しい副処理者については事前に通知し、お客様は異議を述べることができます。
- 法律で求められる場合、または当社の権利を守るために必要な場合の公的機関。
- 合併、買収、または事業譲渡における取得者（同等のプライバシー保護が求められます）。
- EEA域外の受領者への移転は、SCCsまたは十分性の枠組みによってカバーされます（/sub-processors を参照）。
データの国際移転
Bhblasted SRL SBはイタリアの会社です。一部の個人データは、当社の副処理者により米国その他の国・地域で取り扱われる場合があります。既定では、データは米国およびEUのクラウドインフラ（サービスに応じて AWS us-east-1、eu-west-1 など）に保存されます。
EU・英国・EEAからの個人データの移転については、EU Commission Decision 2021/914に基づき承認された標準契約条項（SCCs）、または該当する場合は十分性の枠組みに依拠します。データ主体はGDPR上の権利を保持し、Bhblasted SRL SBに対してこれを行使できます。
6. Meta Business Toolsと共同管理
Metaの広告アカウントを連携し、Wevionを通じてMeta Business Tools（例えばMeta PixelやConversions API）を利用する場合、一定のイベントデータの収集および送信について、お客様とMeta Platformsは、MetaのController Addendum／共同管理者条項に定めるとおり、GDPR Art. 26に基づく共同管理者として行動する場合があります。 この関係において、Wevionはお客様のサービスプロバイダ／処理者として、お客様の文書化された指示に基づき連携を運用します。お客様は引き続き、以下について責任を負います:
- 同意が必要な場合において、ピクセル、タグ、またはConversions APIのイベントが発火する前に、広告の配信対象となる個人から有効な同意を取得すること
- Metaの要件に沿って、その同意の記録を保持すること
- オプトアウトを尊重し、現地法が求める通知を提供すること。
同じ原則は、お客様が連携する他の広告プラットフォームの同種のツールにも適用されます。Wevionは同意取得の制御機能と管理手段を提供しますが、お客様がご自身のオーディエンスに広告を配信するための法的根拠に取って代わるものではありません。
7. 保存期間
アカウントデータ: アカウントが有効な間＋削除後30日 請求記録: 税法上必要な期間（イタリアの税法では通常10年。他の適用法がより長い期間を求める場合はその期間） 利用ログ: 180日（集計された分析は匿名化した形でより長く保持する場合があります） サポートチケット: 3年 マーケティング同意の記録: 撤回まで＋2年 広告アカウントのデータ: 連携が有効な間。請求により削除します AIチャット履歴: アカウント設定に従います（変更可能。既定は12か月）
8. お客様の権利
8.1 多くの法域で認められる権利
- お客様の個人データへのアクセス
- 不正確なデータの訂正
- データの削除（正当な保存義務がある場合を除く）
- ポータビリティ: 機械可読な形式でデータを受け取ること
- 一定の取扱いに対する異議申立て、またはその制限（Art. 18, 21）
- いつでも同意を撤回すること（Art. 7(3)）。撤回前の適法な取扱いには影響しません
- マーケティングの連絡のオプトアウト
- 法的効果またはそれに準ずる重大な影響を生じる自動化された意思決定に服さないこと（Art. 22）
- カリフォルニア: 知る権利、削除、訂正、販売／共有のオプトアウト、機微な個人情報の利用の制限、および権利行使を理由に差別を受けないこと
8.2 EU・英国・EEA（GDPR / UK GDPR）
以下の権利は、privacy@wevion.ai へのご連絡、またはアカウント設定のデータ主体請求フォームから行使できます。当社は30日以内に回答します（複雑な請求の場合は90日まで延長できます。Art. 12）。
また、監督機関に苦情を申し立てる権利もあります。イタリアではGarante per la protezione dei dati personali（Piazza Venezia 11, 00187 Roma; www.garanteprivacy.it）です。EEAの他の国または英国にお住まいの場合は、現地のデータ保護当局にご連絡いただくこともできます。
8.3 カリフォルニア（CCPA/CPRA）
カリフォルニア州の居住者には、以下の権利があります。請求に応じる前に本人確認を行い（ログインまたはセキュリティ質問への回答をお願いする場合があります）、45日以内に回答します（90日まで延長可）。署名済みの書面による授権があれば、代理人を通じて請求することもできます。「販売または共有をしない」（Do Not Sell or Share）については、カリフォルニアのオプトアウトのセクションを参照してください。
8.4 その他の法域
LGPD（ブラジル）、PIPEDA（カナダ）、APPI（日本）、PDPA（シンガポール）、および米国各州法（VCDPA、CPA、CTDPA、UCPAなど）に基づく同様の権利が適用されます。行使をご希望の場合は当社までご連絡ください。
9. カリフォルニア: 販売または共有をしないことと、収集時の通知
当社は、金銭と引き換えに個人情報を販売することはありません。一部の広告Cookieおよびツール（例えばMeta PixelやGoogle Ads）は、対価の支払がない場合であっても、CPRA上のクロスコンテキスト行動広告のための「共有」（share）に該当する可能性があります。 現在のクローズドベータの期間中は、アプリのフッターから「Cookie設定」パネルを再度開いて、使用中のCookieのカテゴリーを確認できます。また、privacy@wevion.ai 宛のメールで、お客様の個人情報のあらゆる「共有」からオプトアウトできます。セルフサービスの「Do Not Sell or Share My Personal Information」の操作と、Global Privacy Control（GPC）の自動処理はまだ利用できず、本サービスを一般公開する前に有効化します。それまでの間、メールで受領したオプトアウトの請求には15日以内に対応します。 個人情報を収集する時点（例えば登録フォームやCookieバナー）では、収集するカテゴリー、目的、データを販売または共有するかどうか、および本ポリシーへのリンクを記載した、収集時の簡潔な通知を提供します。
10. AI機能と自動化された意思決定
WevionのAI機能は、例えばコピーの作成、クリエイティブアセットの生成、予算調整の提案などによってお客様を支援します。これらの機能は、GDPR Art. 22にいう法的効果またはそれに準ずる重大な影響をお客様に生じさせる自動化された意思決定を行うものではありません。AIの出力は、公開または実行の前にお客様が必ず確認するものであり、最終的な判断はお客様に委ねられます。 AIの出力は「現状有姿」（as is）で提供されます。利用の前に、正確性、法令遵守、権利処理の観点から内容を確認する責任はお客様にあります（利用規約の「AIおよび機械学習機能」のセクションを参照）。当社は、お客様のプロンプトを販売することはなく、お客様の同意なく第三者のモデルの学習に使用することもありません。 カリフォルニア州のADMT（2026年1月1日施行）: CPRAの規則上、いずれかの機能が自動化された意思決定技術として扱われる範囲において、カリフォルニア州の居住者は、privacy@wevion.ai にご連絡いただくことで、オプトアウトし、また使用されるロジックに関する情報を請求することができます。
11. セキュリティ
当社は、リスクに応じた技術的および組織的措置を講じています（GDPR Art. 32）。完全に安全なシステムは存在しません。侵害が発生した場合には、適用される法令に従い、影響を受けるユーザーおよび当局に通知します。
- 通信経路のTLS 1.2+による暗号化
- 機微なフィールドの保存時暗号化（AWS KMS）
- ロールベースのアクセス制御と、本番環境アクセスへのMFA
- 定期的な脆弱性スキャン
- 文書化されたインシデント対応計画
- 従業員に対するプライバシーおよびセキュリティの研修
- GDPR Art. 33–34: 必要な場合は72時間以内に監督機関へ通知し、影響を受ける個人には不当な遅滞なく通知
- CCPA/CPRAおよび米国各州法: 義務付けられるとおり、不合理な遅滞なく通知
12. 子どものデータ
WevionはB2Bのサービスであり、18歳未満（EUでは16歳未満）の子どもを対象としていません。当社は、13歳未満の子どもから故意にデータを収集することはありません（米国COPPA）。子どもが当社にデータを提供したと思われる場合は、削除のため privacy@wevion.ai までご連絡ください。
13. 本プライバシーポリシーの変更
当社は、本ポリシーを随時更新することがあります。重要な変更は、メールまたはアプリ内の通知でお知らせしてから30日後に効力を生じます。重要でない更新（明確化、SCCsでカバーされる新しい副処理者の追加）は、「最終更新日」（Last updated）を更新して公開します。各版はバージョン番号と発効日で特定され、お客様の承諾は、承諾した時点で有効であった特定の版に対して記録されます。
14. お問い合わせ
プライバシーに関するお問い合わせ: privacy@wevion.ai Bhblasted SRL SB, Privacy 担当宛 Via Boscofangone SNC, Zona ASI, Lotto C8, 80035 Nola (NA), イタリア VAT番号 IT08466861211
Bhblasted SRL SB
Via Boscofangone SNC, Zona ASI, Lotto C8, 80035 Nola (NA), イタリア
プライバシーに関するお問い合わせ: privacy@wevion.ai