プライバシーポリシー

1. お客様のデータに関する責任主体

本ポリシーに記載する個人データの管理者 — シンガポール個人情報保護法2012（PDPA）上の「組織（organisation）」、およびEU・英国一般データ保護規則（GDPR）上の「管理者（controller）」 — は以下のとおりです。

Culturetek Pte. Ltd.
UEN 202411392W
6 Raffles Quay #14-02
Singapore 048580（シンガポール）
メール：hello@linanoa.com

本ポリシーは、お客様が linanoa.com、/app/ の会員エリア、および api.linanoa.com/lab/ のリアルタイム音声・チャット体験（以下総称して「本サービス」といいます）をご利用になる際に、当社がどのような個人データを収集し、なぜ収集し、いかなる法的根拠に基づき、誰と共有し、どのくらいの期間保管し、お客様がどのような権利を有するかを説明するものです。

本ポリシーの作成日現在、データ保護責任者（DPO）は選任しておらず、本サービスについて選任が必要かどうかは当社の顧問とともに検討中です — 確認していない適用除外を主張するよりも、この点をありのままお伝えします。本ポリシーに責任者が明記されるまでは、第11条に定める権利を含むデータ保護に関するあらゆる事項を、hello@linanoa.com 宛に直接お申し出いただけます。当社が自ら、法定の期限内に対応いたします。GDPR 第27条に基づくEU域内代理人および UK GDPR 第27条に基づく英国代理人についても同様です。その選任手続は進行中であり、氏名および住所は整い次第、本ポリシーに公表します。それまでの間、上記メールアドレス宛にご請求いただくことで、まったく同じ効果が得られます。

2. 収集するデータ

a) アカウントデータ

お客様のメールアドレス、パスワード（ソルト付き暗号学的ハッシュとしてのみ保存され、当社が可読な形で参照・保存することはありません）、ご提供いただいた場合の表示名またはニックネーム、アカウントの状態、サブスクリプションのプランおよび設定、ならびに登録日。

b) 決済データ

サブスクリプションおよび支払の履歴、プラン、更新日、通貨および金額、請求・税務のためにご申告いただいた国、ならびに Stripe から提供される決済参照情報またはトークン。カード番号の全桁、CVC コードおよび銀行の認証情報は Stripe 自身のシステムに直接入力され、当社に到達することはありません。当社が受領するのは、カードブランド、下4桁、有効期限、取引結果などの限定的な情報のみです。第5条をご参照ください。

c) 会話の内容

お客様が書き込んだチャットメッセージ、AIが返信として生成したメッセージ、音声または動画メッセージのご依頼内容、および生成された音声・動画。Lina はコンパニオンシップを目的とする商品であるため、会話にはお客様の感情、人間関係、健康、信条または私生活に関する情報が含まれることがあります。お客様が書き込む内容によっては、GDPR 第9条にいう特別な種類の個人データ（例：健康、性生活もしくは性的指向、宗教的または哲学的信条に関するデータ）に該当する場合があります。その取扱いについては第4条をご参照ください。

d) メモリーおよびパーソナライズのためのデータ

お客様との会話から導かれる要約、事実および嗜好情報。本サービスはこれを保存することで、Lina が過去のやり取りを参照し、お客様にとって大切なことを記憶し、デイリーチェックインをパーソナライズできるようにしています。これらは第11条に記載する方法で閲覧および削除することができます。

e) マイク音声（ライブ体験）

リアルタイムの音声・チャット体験をご利用になる場合、ブラウザがお客様のマイクへのアクセス許可を求めます。ライブセッションの実行中、マイクが取得した音声は当社のサーバーおよびリアルタイム応答を生成するAIプロバイダーへストリーミング送信され、システムが返答できるようテキストに文字起こしされます。この間、ブラウザには録音インジケーターが表示され、お客様はいつでもセッションを終了し、またはブラウザ設定から許可を取り消すことができます。ライブのマイク音声は一時的に処理され、保存されません。当該音声は、文字起こしを行い返答を生成するために必要な間だけメモリ上に保持され、その後破棄されます — 当社はライブセッションの生の音声録音を保持せず、当社もAIプロバイダーもこれから音声プロファイルを作成することはありません。テキストの文字起こしは、お客様のその他の会話の内容とまったく同様に取り扱われ、第9条の対象となります。

f) 利用状況および技術的データ

お客様のIPアドレス、そこから導かれる国レベルのおおよその所在地、端末およびブラウザの種類、オペレーティングシステム、言語設定、参照元ページ、ご利用のページおよび機能、タイムスタンプ、エラーおよび診断ログ、ならびにクッキーまたは類似技術に保存される識別子。当社のサーバーは、ウェブサイト提供に本質的に伴うものとして、アクセスログを自動的に生成します。

g) 通信

お客様が hello@linanoa.com 宛またはお問い合わせ・サポートフォームを通じて送信されたメッセージ、および当社からの返信。

h) クッキーおよびアナリティクス

第8条をご参照ください。

3. 利用目的および法的根拠

GDPR が適用される場合、当社は以下に定める第6条(1)の法的根拠に依拠します。シンガポール PDPA が適用される場合、当社はお客様の同意、または契約の履行および附則第1（First Schedule）に基づく正当な利益を含む PDPA 上認められる例外に依拠します。

4. 会話に含まれる機微な情報

本サービスの性質上、お客様は極めて個人的な事柄を Lina に打ち明けられる場合があります。AIシステムによって処理され、当社のインフラ上に保存されることに抵抗のない範囲でのみ共有してください。

お客様が GDPR 第9条にいう特別な種類の個人データ（例：健康、性生活もしくは性的指向、宗教的または哲学的信条に関する情報）を任意にご提供になる場合、当社は、個人的な事柄を語ることを目的とするコンパニオンシップ・サービスに当該情報を入力するという選択によって与えられた第9条(2)(a)に基づく明示的な同意を根拠として、または該当する場合には法的請求に関する第9条(2)(f)を根拠として、これを処理します。お客様は、該当するコンテンツおよびメモリーデータを削除すること、またはアカウントを閉鎖することにより、いつでも当該同意を撤回することができます。

シンガポール PDPA の下では、当社はかかる内容について、これに相応する高い水準の注意およびアクセス制限をもって取り扱います。

当社は、会話の内容を広告プロファイルの構築に利用せず、販売もせず、第6条に記載する処理者および法令上求められる場合を除き、第三者に開示しません。

お客様の会話が Culturetek の者によって日常的に読まれることはありません。お客様のチャットを人間が監視することはなく、当社が興味本位、品質評価、マーケティングまたは学習のためにこれを読むこともありません。権限を与えられたごく少数の担当者が会話の内容にアクセスできるのは、個別の事案において厳密に必要な場合 — 信憑性のある安全上のリスクもしくは濫用の申告を調査する場合、お客様からご報告いただいた不具合を修正する場合、または法的拘束力のある命令に従う場合 — に限られます。かかるアクセスはすべて、実際に必要な範囲に限定され、記録が残され、秘密保持義務の対象となります。当社のAIプロバイダーは、お客様への返答を生成するためにのみコンテンツを処理し、これを閲覧し、または自らの目的のために利用することを契約上禁止されています。

5. 決済 — Stripe

決済は Stripe（Stripe, Inc. およびそのグループ会社。欧州の顧客については Stripe Payments Europe, Ltd. を含みます）により処理されます。

お支払いの際、お客様のカード情報または銀行情報は、Stripe 自身のホスト型決済画面を通じて Stripe が直接収集します。Culturetek がお客様のカード番号の全桁、CVC または銀行の認証情報を受領し、閲覧し、または保存することは一切ありません。Stripe は、不正防止、規制対応およびマネーロンダリング防止の目的で収集する決済データについては独立した管理者として、当社に代わって管理するサブスクリプションデータについては当社の処理者として行為します。

当社が Stripe から受領するのは、サブスクリプション運営に必要な情報に限られます：顧客およびサブスクリプションの識別子、プラン、金額および通貨、支払状況、カードブランドおよび下4桁、有効期限、請求先の国、ならびに返金・係争の状況。

Stripe によるデータの取扱いについては、同社のプライバシー通知をご参照ください：stripe.com/privacy。

6. サービス提供事業者および再委託先

当社は、本サービスの運営のために少数の専門事業者を利用しています。これらの事業者は当社の処理者として行為し、当社の文書化された指示に基づいてのみ個人データを処理することができ、GDPR 第28条が要求する秘密保持およびセキュリティ上の義務を含む書面によるデータ処理契約に拘束され、自らの目的のためにお客様のデータを利用することはできません。

以下の一覧は、当社の最終確認日である2026年7月18日時点において完全なものです。当社は、いつか使うかもしれない区分を並べたのではなく、ウェブサイト、API およびライブ体験が実際に行っている外部呼び出しを監査して本一覧を作成しました。同日時点において、本サービスが呼び出す外部サービスはこれらがすべてです。当社は、事業者の追加または削除のたびに本一覧を見直し、変更があった場合には本ポリシーを更新します。上記の日付から相当の期間が経過した後に本項をご覧の場合は、お問い合わせいただければ現在の状況をご確認いたします。

GeoJS は、いかなる同意よりも前にお客様の IP アドレスを受け取ります — 当社はこれを率直にお伝えします。公開ウェブサイトの各ページは、お客様の言語でサイトをご提供するため、読み込み時に get.geojs.io へリクエストを送信します。このリクエストはお客様のブラウザから発信されるため、お客様の IP アドレスは、サイトと何ら操作を行う前、かつ同意を取得し得ない時点である最初のページ表示の時点で、すでに GeoJS に到達します。GeoJS が返すのは国コードのみです。クッキーは設定されず、識別子も保存されず、その結果がお客様のプロファイリングや再識別に用いられることもありません。法的根拠は、サイトを正しい言語で提供することに対する当社の正当な利益（GDPR 第6条1項(f)）です。お客様は第11条に基づきいつでも異議を申し立てることができ、当該照会が失敗した場合でもサイトは正常に動作します。

esm.sh が関係するのは、ライブの音声・アバター体験のみです。お客様が当該体験を開かれると、お客様のブラウザは、コンテンツ配信ネットワークである esm.sh から Anam のアバターソフトウェアを読み込みます。通常のページがこれに接続することはありません。ブラウザがいずれかのサーバーに送信するあらゆるリクエストと同様に、esm.sh は当該ソフトウェアを返すために必然的にお客様の IP アドレスを受け取ります。もっとも、これはプログラムコードを配信するネットワークであり、トラッキングサービスではありません。クッキーは設定されず、識別子も保存されず、お客様に関するプロファイリングも一切行われません。根拠は上記と同じ正当な利益、すなわち当該体験の動作に必要なソフトウェアの配信です。

本一覧を信用のみに委ねず検証していただけるよう、関係するエンドポイントを示します。公開ウェブサイトが呼び出すのは GeoJS のみです。アプリケーションサーバーは Stripe、OpenAI、ElevenLabs、HeyGen、fal.ai および Hostinger のメールサーバーを呼び出します。ライブの対話型アバターは Anam、OpenAI、ElevenLabs および esm.sh を呼び出します。これら以外の外部サービスを本サービスが呼び出すことはありません。

当社が契約を締結している7社 — Stripe、Hostinger、OpenAI、ElevenLabs、Anam、HeyGen および fal.ai — は、いずれも書面によるデータ処理契約に拘束されており、お客様の会話またはコンテンツを自社モデルの学習に使用することを契約上禁じられています。GeoJS と esm.sh はこれらとは異なります。両者は、お客様のブラウザが直接接続する無償の公開エンドポイントであり、当社はいずれとも契約を締結していません。だからこそ当社は、それぞれが正確に何を受け取るのか、またその理由を上記に明示しています。本表に解析、広告またはトラッキングの事業者が記載されていないのは、当社がそれらを一切使用していないためです。

事業者ごとの処理地域の一覧は、hello@linanoa.com までご請求いただければご提供いたします。

当社はまた、専門的助言者、監査人、または法的義務がある場合には公的機関および裁判所に対してデータを開示することがあり、合併、買収または事業譲渡の際には譲受人または承継人に対して開示することがあります。その場合、当社はお客様に通知し、本ポリシーは差し替えられるまで引き続き適用されます。

当社はお客様の個人データを販売せず、広告ネットワークまたはデータブローカーと共有することもありません。

7. 国際的なデータ移転

当社はシンガポールに拠点を置いており、当社の委託先は複数の国で事業を行っています。したがって、お客様の個人データはお客様の所在国以外の国へ移転され、そこで保存・処理されます。欧州経済領域（EEA）または英国の利用者にとっては、EEA／英国域外への移転を意味します。

欧州委員会または英国政府によって十分な保護水準を有すると認められていない国へ EEA または英国から個人データを移転する場合、当社は GDPR 第5章に基づく適切な保護措置 — 主として欧州委員会の標準契約条項（実施決定 (EU) 2021/914）、UK GDPR が適用される場合には英国の International Data Transfer Addendum、および移転リスク評価により必要と判断される場合には補完的な技術的・組織的措置 — に依拠します。

シンガポール PDPA が適用される場合、当社は、国外の受領者が同等の保護水準を遵守するよう適切な措置を講じることにより、PDPA 第26条の移転制限義務および個人情報保護規則2021の第10条を遵守します。

当社が依拠する保護措置の写しをご希望の場合は、hello@linanoa.com までご請求ください。

当社はシンガポールに拠点を置き、他国に拠点を置く事業者を利用しているため、お客様のデータはEEAおよび英国の域外で処理されます。当社は、処理がシンガポール（Culturetek 自身）、欧州連合および当社のホスティング事業者が使用するその他の地域、ならびに米国を含む当社の決済事業者およびAI事業者が事業を行う国において行われることを確認しています。データがEEAまたは英国の域外に出る場合、当社は欧州委員会の標準契約条項および英国の International Data Transfer Addendum に依拠し、当該事業者を対象とする十分性認定がある場合にはこれにも依拠します。第6条に当社の再委託先を名称とともに記載しています。事業者ごとの処理所在地の一覧は、hello@linanoa.com 宛にご請求いただければご提供いたします。

8. クッキー、類似技術およびアナリティクス

この点は意図的に単純にしています。本サービスは、厳密に必要な自社（ファーストパーティ）のブラウザストレージのみを使用します。アナリティクス、広告およびサイト横断のトラッキング技術は一切使用していません。

• 厳密に必要なストレージ — 当社は、会員エリアのログイン状態の維持、選択された言語の記憶、保存されたプラクティスの設定の記憶、および同一の訪問中に同じウェルカムメッセージを繰り返さないようにするために、ブラウザのローカルストレージおよびセッションストレージを使用します。これらは当社が設定するものであり、本サービスの動作に必要であって、お客様をプロファイリングしたり、他のウェブサイトを横断して追跡したりするためには使用しません。
• アナリティクスなし、広告なし、トラッキングなし — 当社は Google Analytics その他これに類するアナリティクスまたはエラー監視製品を使用せず、広告またはリターゲティングのピクセルを使用せず、ソーシャルネットワークのトラッキングを埋め込まず、広告目的でいかなるデータも販売または共有しません。当社のサーバーは第2条(f)に記載する通常のアクセスログを保持し、その保存期間は第9条に定めるとおりです。

当社は厳密に必要なストレージのみを設定しているため、EUおよび英国において実施されている ePrivacy 指令の下でクッキー同意バナーは法的に要求されておらず、当社はこれを表示していません。当社は、実際には備えていない同意の仕組みがあるかのように示唆するより、この点を率直に申し上げます。将来、アナリティクスその他の非必須の技術を導入する場合には、それを稼働させる前に、本ポリシーを更新し、適合的な同意取得の仕組みを設けます。

お客様に知っておいていただきたい第三者へのリクエストについて。公開ウェブサイトは、お客様の言語でサイトを提供できるようにするため、第三者のIP位置情報サービスである geojs.io にお客様のおおよその国を問い合わせます。このリクエストにより、お客様のIPアドレスが当該サービスに開示されます。これは公開ページでのみ行われ、会員エリア内では行われません。これとは別に、購入手続の際には Stripe が決済処理および不正防止のために自社のクッキーを設定します。Stripe自身のプライバシーポリシーおよび本ポリシー第5条をご参照ください。

ブラウザの設定からいつでもブラウザストレージを消去またはブロックすることができますが、厳密に必要なストレージをブロックすると、ログイン状態を維持できなくなります。

9. データの保存期間

当社は、上記の目的のために必要な期間に限り個人データを保管し、その後は削除するか、復元不可能な形で匿名化します。

バックアップは30日周期でローテーションされ上書きされます。そのため、削除されたデータは、稼働中のシステムから消えた後も最大30日間はバックアップ媒体上に存在することがあり、当該周期の終了時点で完全に消去されます。

10. 自動化された処理とAI

Lina の返答は、人間の関与なく自動化されたAIシステムによって生成されます。これは本サービスの中核的機能であって、お客様に関する「決定」ではなく、GDPR 第22条にいう法的効果をお客様に生じさせるもの、または同様に重大な影響を及ぼすものではありません。

当社は、禁止されたコンテンツ、濫用、および年齢制限・安全制限の回避の試みを検知するために自動フィルタを使用しています。かかるフィルタがアカウントの制限または終了の決定に影響した場合、お客様は hello@linanoa.com 宛に書面で連絡することにより、当該決定について人による再検討を求め、ご自身の見解を表明し、結果に異議を申し立てることができます。

当社は、お客様のデータをAIモデルの学習に利用しません。お客様の会話、メモリーデータ、ならびに生成された音声および動画コンテンツは、当社のものであれいずれかの事業者のものであれ、いかなるAIモデルの学習、ファインチューニングまたは評価にも利用されません。また、当社とAI事業者との契約は、当社が送信したデータを当該事業者が自らの学習に利用することを禁止しています。将来、会話データをモデルの学習に利用しようとする場合、当社はまずお客様の明示的なオプトイン同意を求めます。お客様は本サービスへのアクセスを失うことなく自由にこれを拒否することができます。

11. お客様の権利

適用法における条件および例外に従い、お客様は以下の権利を有します。

GDPR に基づく権利（EU／英国の利用者）：

• アクセス権（第15条） — 当社がお客様のデータを処理しているか否かの通知を受け、その写しを受領する権利。
• 訂正権（第16条） — 不正確なデータの訂正および不完全なデータの補完を求める権利。
• 消去権（第17条） — 例えばデータが不要となった場合や同意を撤回した場合に、削除を求める権利。
• 処理の制限を求める権利（第18条） — 一定の状況において処理の制限を求める権利。
• データポータビリティの権利（第20条） — 提供したデータを構造化され、一般的に利用され、機械可読な形式で受領し、技術的に可能な場合には他の管理者へ移転させる権利。
• 異議申立権（第21条） — 正当な利益に基づく処理に対していつでも異議を述べる権利、およびダイレクトマーケティングを目的とする処理に対して無条件に異議を述べる権利。
• 同意の撤回（第7条(3)） — いつでも同意を撤回する権利（撤回前の処理の適法性には影響しません）。
• 自動化された決定に服さない権利（第22条） — 第10条をご参照ください。

シンガポール PDPA に基づく権利：お客様は、当社が保有するお客様の個人データへのアクセスおよび過去1年間の利用・開示状況に関する情報を請求する権利（第21条）、訂正を請求する権利（第22条）、ならびに個人データの収集・利用・開示に対する同意を撤回する権利（第16条）を有します。ただし、本サービスの提供に必要な同意を撤回された場合、当社は本サービスを提供できなくなります。

権利行使の方法

多くの操作は /app/ の会員エリアから直接行えます — アカウント情報の編集、メモリー項目の閲覧・削除、会話の削除、およびアカウントの閉鎖が可能です。

その他のご請求については、アカウントに登録されたメールアドレスから hello@linanoa.com 宛にメールをお送りいただき、ご請求の内容を明確にご記載ください。当社は、GDPR 第12条(3)が求めるとおり1か月以内に（複雑なご請求の場合はさらに2か月延長することがあり、その場合はお知らせします）、また PDPA が求めるとおり30日以内に回答します。対応の前にご本人確認が必要となる場合があります。ご請求が明らかに根拠を欠く場合または過度である場合を除き、手数料はいただきません。

苦情の申立て

当社による個人データの取扱いが違法であるとお考えの場合は、まず当社にご連絡ください。是正の機会をいただければ幸いです。お客様には、監督機関に苦情を申し立てる権利もあります。

• EUの利用者：お住まいの地、就業地、または侵害が生じたと考える地のEU加盟国のデータ保護監督機関（GDPR 第77条）。一覧は欧州データ保護会議（EDPB）が公表しています：edpb.europa.eu。
• 英国の利用者：情報コミッショナー事務局（ICO）：ico.org.uk。
• シンガポール：個人情報保護委員会（PDPC）：pdpc.gov.sg。

12. 児童について

本サービスは18歳以上の成人のみを対象としています。児童に向けたものではなく、当社は18歳未満の方から個人データを故意に収集することはありません。

18歳未満の方に関する個人データを保有していることが判明した場合、当社は不当な遅滞なくこれを削除し、関連するアカウントを閉鎖します。保護者の方で、未成年者が当社に個人データを提供したとお考えの場合は、hello@linanoa.com までご連絡ください。速やかに対応いたします。

お申込み時に、お客様には18歳以上であることをご確認いただいており、その要件は利用規約に定めています。当社は、成人名義の支払方法による決済が成立したことを補助的なシグナルとして取り扱います。当社は現在、第三者による年齢確認を実施しておらず、そうであるかのように示唆することもいたしません。当社は18歳未満の方による本サービスの利用を故意に許容しません。18歳未満のアカウントであることを知った場合、またはそう疑うに足りる合理的な理由がある場合、当社は直ちに当該アカウントを停止し、関連する会話データを削除し、サブスクリプションの未使用分を返金します。未成年者が本サービスを利用しているとお考えの場合は、hello@linanoa.com までお知らせください。当社は対応いたします。当社が販売する市場において自己申告を超える年齢確認が求められる場合、当社は当該市場での販売を継続する前にこれを導入します。

13. セキュリティ

当社は、GDPR 第32条および PDPA の保護義務が求めるとおり、不正アクセス、改変、開示、滅失および毀損から個人データを保護するため、適切な技術的および組織的措置を講じています。具体的には以下を含みます。

• ウェブサイト、会員エリアおよびライブ体験の全体にわたる TLS/HTTPS による通信経路上のデータの暗号化
• パスワードのソルト付き暗号学的ハッシュとしてのみの保存
• インフラ層における保存データの暗号化
• 本サービスの運営上アクセスを必要とする担当者に限定した、最小権限原則に基づくアクセス制御
• 当社の処理者に課される契約上のセキュリティ義務
• ログ取得、監視およびセキュリティ更新の定期的な適用

完全に安全であることを保証できるシステムは存在せず、インターネットを通じた当社へのデータ送信はお客様ご自身のリスクにおいて行われます。お客様の権利および自由に対するリスクを生じさせるおそれのある個人データ侵害が発生した場合、当社は、GDPR 第33条が求めるときは72時間以内に所轄の監督機関へ通知し、PDPA のデータ侵害通知義務が求めるとおり個人情報保護委員会および影響を受ける個人へ通知し、リスクが高い場合にはお客様に直接お知らせします。

本日時点で当社が確認して申し上げられることを正確に記載します。お客様のブラウザと本サービスとの間の通信はすべて TLS により通信経路上で暗号化されています。パスワードはソルト付き暗号学的ハッシュとしてのみ保存され、当社が可読な形で参照することはできません。カード情報は Stripe に直接入力されるため、当社のシステムに到達することはありません。本番環境および会話の内容へのアクセスは、権限を与えられた少数の担当者に限定され、記録が残されます。データは、保存データの暗号化を提供するマネージドインフラ上で保持されています。会員アカウントについて多要素認証は現在提供していません — 現在対応を進めており、提供開始までは、他で使い回していない強固なパスワードのご利用をお勧めします。完全に安全であることを保証できるシステムは存在せず、当社もそのような主張はいたしません。

14. 本ポリシーの変更

当社は、本サービス、委託先または法令上の要件の変更を反映するため、本プライバシーポリシーを改定することがあります。現行版は常に linanoa.com/privacy/ に掲載され、冒頭に最終更新日が表示されます。

変更が重大である場合（例：新たな処理目的、新たな受領者の類型、法的根拠の変更）、当社は事前にメールまたは会員エリアにて通知し、当該変更にお客様の同意が必要な場合には、効力発生前に同意をお願いします。

15. お問い合わせ

Culturetek Pte. Ltd.
UEN 202411392W
6 Raffles Quay #14-02
Singapore 048580（シンガポール）

プライバシーに関するお問い合わせおよびデータ主体からのご請求：hello@linanoa.com

利用規約もあわせてご参照ください。