PICKWORKS プライバシーポリシー

2. ウェブサイトの閲覧

1. 当方のウェブサイト(pickworks.jp と aerial-cad.pickworks.jp)は、Cloudflare の仕組み(Cloudflare Pages と DNS)で配信しています。サイトを見ると、ページの要求が Cloudflare に届き、IP アドレスなどの通信の情報が Cloudflare に届きます。
2. アクセス解析:両方のサイトで、Cloudflare Web Analytics を使っています。ページを開くと、Cloudflare の解析の仕組みが、ページの表示にかかった時間などの計測の情報を Cloudflare へ送ります。Cloudflare の説明では、この解析は Cookie やブラウザの保存領域(localStorage など)を使わず、訪れた人を見分けたり、ほかのサイトにまたがって追ったりしません。当方が見られるのは、訪問の数・ページの表示の数・表示にかかった時間などの集計です。解析の通信で届く IP アドレスは、Cloudflare の説明では、最寄りのデータセンターで捨てられ、保存されません。
3. Cookie:当方のウェブサイトは、Cookie を設定しません。
4. メールアドレスの表示:メールアドレスを載せたページでは、メールアドレスを機械に読み取られにくくするための Cloudflare の仕組みが動きます。
5. Google Fonts:aerial-cad.pickworks.jp と、AERIAL CAD の利用者のページ(登録・ログイン・会社のページ・運営者のページ)は、文字の形(フォント)を Google Fonts から読み込みます。そのため、見る人のブラウザが Google に直接つながり、IP アドレスなどの通信の情報が Google に届きます。pickworks.jp は Google Fonts を使いません。
6. 当方のウェブサイトには、入力の欄(フォーム)と、ほかのサイトの埋め込みはありません。問い合わせと申込みは、メール([email protected])で受け付けます。

3. お問い合わせのメール

1. メールでいただく、会社名・お名前・メールアドレス・お問い合わせの内容を受け取ります(解約や、本人からの求めの連絡を含みます)。
2. お問い合わせへの対応と、製品の契約・解約の手続きのために使います。
3. [email protected] へのメールは、Cloudflare の仕組み(Cloudflare Email Routing)で受け取り、Google のメールのサービス(Gmail)へ転送して保存します。メールは Cloudflare を通り、Google のメールのサービスに保存されます。当方からの返信も Google のメールのサービス(Gmail)から送ります。そのため返信は、[email protected] ではなく、当方の Gmail のアドレスから届きます。

4. 第三者への提供

当方は、次の場合を除き、受け取った情報を第三者に渡しません。

1. 本人が同意したとき
2. 法令に基づくとき
3. 人の命・体・財産を守るために必要で、本人の同意を得るのが難しいとき
4. 公衆衛生の向上や、子どもの健全な育成のために特に必要で、本人の同意を得るのが難しいとき
5. 国の機関や地方公共団体などが法令の定める事務をするのに協力する必要があり、本人の同意を得るとその事務に支障が出るおそれがあるとき
6. ウェブサイトや製品を動かすために、このポリシーに示す外のサービスへ扱いを任せるとき
7. 合併などで事業を引き継ぐとき

ウェブサイトとお問い合わせで使う外のサービスは、次のとおりです(製品で使うものは第2部に示します)。

5. 外国にある第三者への提供

1. 当方が使う外のサービス(Google・Stripe・Cloudflare・Resend)は外国の会社で、情報が日本の外で扱われます。
   • Cloudflare:ウェブサイトの配信と DNS、アクセス解析、メールの受け取り
   • Google:お問い合わせのメールの保存、Google Fonts、製品の動作(第2部)
   • Stripe:製品の支払い(第2部)
   • Resend(米国):製品の招待メールの送信(第2部)
2. 当方は、製品の登録の画面で、外国にある第三者へ情報を渡すことへの同意をいただきます(利用規約への同意と一緒にいただきます)。
3. 同意の前に、次のことを示します。
   • 渡す相手の国の名前
   • その国の個人情報の保護の制度
   • 渡す相手がとる、個人情報の保護の措置
4. 渡す相手と国、その国の制度、相手がとる措置(2026 年 10 月 8 日に当方が確かめたもの)
   • 相手と、情報が扱われる国
     • Google:Google Cloud(サーバ・データベース・ログイン・記録)と Google Maps Platform(写真の取得と住所の検索)の契約の相手は、Google の説明では、日本の請求先なら Google Cloud Japan 合同会社(日本)です。Firebase Hosting(利用者のページの配信)・Google Fonts・Gmail の相手は Google LLC(米国)です。サーバとデータベースは日本(東京)に置いていますが、ログイン(Firebase Authentication)は米国だけで扱われます。利用者のページの配信・Google Fonts・Gmail と、Google の委託先は、Google が設備を持つ国(米国ほか)で扱うことがあります。
     • Stripe:契約の相手は Stripe Japan 株式会社(日本)で、個人情報の扱いについては Stripe Payments Europe, Limited(アイルランド)も相手に加わります。Stripe の説明では、情報は米国とインドへ移されることがあります。
     • Cloudflare:契約の相手は Cloudflare, Inc.(米国)です。Cloudflare の仕組みは世界中の設備で動くため、情報は米国ほか日本の外で扱われることがあります。
   • 国ごとの制度(個人情報保護委員会の調べ。2021 年 10 月の時点の情報で、ページは 2022 年 1 月 25 日の更新)
     • 米国(https://www.ppc.go.jp/enforcement/infoprovision/laws/offshore_report_america/ ):国(連邦)には個人情報の保護の全体を定めた法律がなく、分野ごとの法律(電子通信・金融・医療)があります。カリフォルニア州には消費者のプライバシーの法律(CCPA)があり、委員会の調べでは、OECD の 8 原則のうち「責任の原則」に当たる決まりが見当たりません。米国は APEC の CBPR(国をまたぐ個人情報の扱いの仕組み)に参加していて、委員会は、民間の会社へ渡すときの見通しは一定程度立つとしています。EU の十分性認定はありません。会社に政府の情報収集への協力を義務付ける制度と、国内に保存する義務の制度で、本人の権利に大きな影響のあるものは、委員会の調べには挙がっていません。
     • インド(Stripe。https://www.ppc.go.jp/enforcement/infoprovision/laws/offshore_report_india/ ):委員会の調べの時点では、個人情報の保護の全体を定めた法律がなく、情報技術法などがあります。OECD の 8 原則のうち「責任の原則」に当たる決まりが見当たらず、ほかの原則も一部だけです。EU の十分性認定はなく、APEC の CBPR にも参加していません。政府が会社に情報の提供を求められる制度(情報技術法など)があり、独立した機関の承認・透明性・救済などの決まりがありません。
     • アイルランド(Stripe Payments Europe):EU の国で、委員会は日本と同じ水準の制度があると認めています(平成 31 年個人情報保護委員会告示第 1 号)。日本の法では、この国は、本人の同意が要る「外国」から除かれます。
   • 相手がとる措置
     • Google:Google Cloud のデータ処理の補足条項(Cloud Data Processing Addendum)で、当方の指示に従って扱い、安全のための措置をとることを約束しています。ISO/IEC 27001・27017・27018 の認証と、SOC 2・SOC 3 の報告書を持っています。Firebase Hosting は Firebase のデータ処理の規約によります(ISO/IEC 27001 と SOC 2 を約束)。Google Maps Platform に送る情報(住所の文字・緯度と経度)と、Google Fonts・Gmail の情報は、Google が Google プライバシーポリシーに従って扱います。
     • Stripe:Stripe のデータ処理の規約で扱いを約束し、カード業界の安全の基準(PCI DSS レベル 1)と、SOC 1・SOC 2 の報告書を持っています。Stripe, LLC(米国)は、国をまたぐ個人情報の扱いの認証(Global CBPR・Global PRP)を受けています。Stripe の説明では、委員会が認めていない国へ日本の人の情報を移すときは、日本の法と同じ内容の書面の契約を結びます。
     • Cloudflare:Cloudflare のデータ処理の補足条項で扱いを約束し、国をまたぐ個人情報の扱いの認証(Global CBPR・Global PRP)、ISO/IEC 27001・27701 の認証、SOC 2 Type II の報告書、PCI DSS レベル 1 を持っています。

6. 保存する期間(共通)

1. お問い合わせのメール:期間を定めずに保存します。利用する必要が無くなったものは消します。
2. ウェブサイトの閲覧の記録:当方は、閲覧の記録を自分では保存しません。アクセス解析の情報は、Cloudflare の説明では、7 日を過ぎると約 1 割に間引いた形に集約され、当方が見られるのは過去 6 か月分です。そのほか Cloudflare と Google が持つ記録の期間は、それぞれの会社の決まりによります。ウェブサイトの配信のとき、Cloudflare は IP アドレス・要求したページの URL・ブラウザの種類・参照元・国・時刻などの情報を扱います。Cloudflare がこの記録を持つ期間は、Cloudflare の決まり(業務の目的に必要な期間)によります。当方が Cloudflare の画面で見られるのは、要求の数・転送量・訪問者数・国別の数などの集計(30 日分以上)と、Cloudflare の安全の仕組みが働いた要求の一部(IP アドレス・ページ・ブラウザの種類・国など。最長 31 日分)です。
3. 製品ごとの期間は、第2部に示します。

7. 安全のための取り組み(共通)

1. 基本の方針:受け取った情報を正しく扱うために、このポリシーを定めて守ります。
2. 扱いの決まり:情報を集める・使う・保存する・消すときの扱い方を決めて、それに従います。
3. 外国での扱い:外国の会社のサービスを使うときは、その国の個人情報の保護の制度を把握したうえで、安全のための措置をとります(国の名前と制度は第5節に示します)。
4. 製品ごとの取り組みは、第2部に示します。

8. 本人からの求め

1. 自分の情報について、次のことを求められます。
   • 使う目的の通知
   • 開示(第三者へ渡した記録の開示を含む)
   • 訂正・追加・削除
   • 使うことの停止・消去
   • 第三者へ渡すことの停止
2. 求めは、第10節の窓口へメールで送ってください。登録したメールアドレスとの照合などで本人であることを確かめたうえで、法令に従って対応します。
3. 求めの手数料はいただきません。

9. ポリシーの変更

当方は、必要に応じてこのポリシーを変えることがあります。大きく変えるときは、当方のウェブサイトや製品のページなどで事前に知らせます。

10. 問い合わせと苦情の窓口

• 運営者:PICKWORKS(屋号)
• 販売事業者・運営責任者の氏名、所在地、電話番号は、ご請求をいただければ遅滞なく開示します。
• お問い合わせ・苦情の窓口:[email protected]

11. AERIAL CAD

この節の「本サービス」は AERIAL CAD を、「利用者」は AERIAL CAD を使う人をいいます。

11-1. 集める情報

1. アカウントの情報:メールアドレス、利用者を見分ける番号、所属する会社と役(管理者かどうか)、招待されたメールアドレス
   • パスワードは Google(Firebase Authentication)が持ちます。登録とログインのページでは、パスワードはブラウザから Firebase Authentication へ直接送られ、当方は受け取りません。
   • プラグインで PC を登録するときは、当方のサーバがパスワードを一時的に受け取り、Firebase Authentication へ送って確かめます。当方はパスワードを保存せず、記録にも書きません。
2. 会社の情報:会社名、契約の状態、登録できる台数と回数の上限、登録日、最後に使った日、当方が対応のために書くメモ
3. PC の情報:PC の名前(Windows のコンピュータ名)、PC を見分けるための値(PC の情報から作ったハッシュ。元の情報には戻せない形)、プラグインの版、登録と解除の日時、最後に使った日時、PC の登録と解除の記録(いつ・だれが)
4. 使用履歴(取得 1 回ごと):日時、利用者(メールアドレスを含む)、PC(名前を含む)、取得した場所の緯度と経度、広さ(画素の大きさと半径)、結果、課金の見込み、失敗したときの段階と Google の応答の番号、写真の画質、かかった時間、プラグインの版
5. 取得の回数の集計:会社と PC(見分けの値)ごとの月の回数、会社の月の回数、本サービス全体の日と月の回数
6. 住所の検索:PC・会社・本サービス全体の 1 日ごとの検索の回数。当方のサーバでは、検索した住所の文字と結果を保存しません。
7. ログインの試し(プラグインで PC を登録するとき。乱用を防ぐため):メールアドレスのハッシュを鍵にして、失敗した時刻、確かめている最中の試しの番号と始めた時刻、制限が終わる時刻を持ちます。ログインに成功したときも、この記録は残ります(消してよい日時の目印を付けています)。
8. 支払いの情報(有料のとき):Stripe が持ちます。当方はカード番号を持ちません。
9. 通信の記録:サーバの動作の記録と、Google Cloud(Cloud Run)が自動で作る要求の記録(日時・要求の宛先・応答の状態など。通信の元の IP アドレスなどが含まれることがあります)。サーバの動作の記録には、パスワード・合言葉・API の鍵を書きません。要求の記録に含まれるのは、日時・要求の方法と宛先・応答の状態と大きさ・かかった時間・通信の元の IP アドレスです。検索した住所の文字と、取得した場所の緯度と経度は、要求の本文で送るため、要求の記録には含まれません。

取得した航空写真そのものは、当方のサーバに残しません。

11-2. PC とブラウザの中に保存するもの

• プラグインは、PC の中に、合言葉・ログインしたメールアドレス・つなぐサーバの場所を、Windows の仕組みで暗号化して保存します(その Windows の利用者でしか読めません)。合言葉は、取得と検索のたびにサーバへ送ります。
• プラグインは、PC の中に、設定と、選んだ方位記号の北を保存します。Windows の値が読めない PC では、PC を見分けるための乱数も保存します。
• プラグインは、貼り付けのときに、写真を図面の隣の「リンク」フォルダへ保存します。写真のファイル名と、図面の中の画像の名前には、取得した場所の緯度と経度が入ります。図面や写真を人に渡すと、その場所も伝わります。
• 画面なしの命令(-AERIAL)では、入力した住所と、検索で決まった住所・緯度と経度が AutoCAD のコマンドの履歴に表示され、残ることがあります。
• 利用者のページ(登録・会社のページ)は、ログインの状態を、ブラウザを閉じても続くようにブラウザの中に保存します(Firebase Authentication の仕組み)。

11-3. 使う目的

1. 本人の確認とログイン、会社と PC の登録
2. 写真の取得と住所の検索の提供
3. 台数と回数の上限の管理、不正な利用の防止
4. 料金の請求(有料のとき)
5. 問い合わせ・解約の連絡・本人からの求めへの対応、障害の調べ、本サービスの改善
6. 本サービスに関わる大切な知らせ(規約の変更・有料への切り替えなど)

11-4. 会社の中で見られる情報

1. 会社の利用者はだれでも、自分の会社の名前・状態・上限・今月の回数、メンバーのメールアドレスと役、招待したメールアドレス、登録 PC(名前と PC ごとの今月の回数)を見られます。
2. 使用履歴(利用者のメールアドレスと、取得した場所を含む)は、会社の管理者だけが見られます。
3. ほかの会社の情報は見られません。
4. 当方は、本サービスの運営のために、すべての会社の情報と使用履歴を見ます。

11-5. 扱いを任せる外のサービス

• Google Solar API と Google Geocoding API へは、当方のサーバから要求を送ります。利用者のメールアドレスや名前は、これらのサービスへ送りません。
• Google は、受け取った情報(検索した住所の文字・緯度と経度など)を、Google プライバシーポリシー(https://policies.google.com/privacy)に従って扱い、Google の製品とサービスの提供と改善のために使い、保存することがあります。
• Stripe は、Stripe のプライバシーポリシーに従って情報を扱います。
• 製品サイト(aerial-cad.pickworks.jp)の配信は、第2節のとおり Cloudflare を通ります。利用者のページ(app.aerial-cad.pickworks.jp)とサーバへの通信は Cloudflare を通りません(Cloudflare は名前の案内だけを受け持ち、ページは Google の Firebase Hosting から、サーバへの要求は Google Cloud へ直接届きます)。

サーバと保存先の国と地域:サーバ(Google Cloud Run)とデータベース(Google Cloud Firestore)は日本(東京)に置いています。ログインの情報(メールアドレスとパスワードの照合に使う情報)は Google の Firebase Authentication が扱い、Google の説明では米国のデータセンターだけで処理されます。利用者のページの配信(Firebase Hosting)は、Google の世界中の設備から行われます。

11-6. 保存する期間

1. 使用履歴(取得した場所の緯度と経度を含む):取得から 1 年保存し、過ぎたものは消します。
2. アカウント・会社・PC の情報、取得の回数の集計(場所を含みません)、支払いの記録:契約が終わった後も保存します(期間は定めていません)。利用する必要が無くなったものは消します。
3. ログインの試しと、1 日ごとの住所の検索の回数:消してよい日時の目印を付けて持ちます。目印の日時を過ぎたものは、消す対象です。
4. 解除した PC や外れた人の合言葉の記録(ハッシュ)は、残ることがあります(後で消す対象)。
5. 通信の記録:30 日を過ぎると消えます(Google Cloud の記録の保存期間の設定によります)。

11-7. 安全のための取り組み

1. 運営の画面と運営の口は、当方が決めた人だけが使えます。
2. サーバとの通信は暗号化します。
3. PC の合言葉は、サーバではハッシュだけを持ちます。PC の中では、Windows の仕組みで暗号化して保存します(その Windows の利用者でしか読めません)。
4. メールアドレスは、保存の鍵に使うときはハッシュにします。
5. API の鍵・合言葉・パスワードは、記録に出しません。合言葉は、PC を登録したときに、その PC のプラグインへの応答で 1 回だけ渡し、ほかの応答には出しません。API の鍵とパスワードは、応答に出しません。
6. 保存先へは当方のサーバを通してだけ読み書きでき、ページやプラグインから直接は読めません。