プライバシーポリシー
最終更新日: 2026-06-02
UnifyBoxは、トルコで登録された個人事業主であるBestami Caner Kınalı（以下「当社」といいます）が運営しています。本プライバシーポリシーでは、お客様がUnifyBoxをご利用になる際に当社が収集する個人データの内容、その利用方法、共有先、ならびにKVKK（トルコ）、GDPR（EU／EEA）および類似の法令に基づきお客様が有する権利について説明いたします。本ポリシーは、オペレーター（当社のお客様）および当社プラットフォームを通じて会話が行われるエンドユーザー（オペレーターのお客様）の双方を対象としています。
1. データ管理者
Bestami Caner Kınalıがデータ管理者です。納税者番号: 5561006332。登録住所: Adalet Mah. Manas Bulv. No:47/B K:26 D:2601 Folkart Towers A Kule, 35530 Bayraklı, İzmir, Türkiye。プライバシーに関するお問い合わせ先: [email protected]。サービスURL: https://app.unifybox.io。
2. 当社が収集する情報
オペレーターアカウントデータ: 氏名、メールアドレス、ワークスペース名、パスワードのハッシュ値、請求情報（LemonSqueezyにより処理され、当社がカード番号の全桁を確認することはありません）。エンドユーザーの会話データ: お客様がUnifyBoxに接続されたチャネル（WhatsApp Business API、Instagram、Messenger）を通じて事業者にメッセージを送信した場合、当社はそのメッセージ内容、チャネル識別子（電話番号またはソーシャルハンドル）、タイムスタンプ、および送信されたメディアを受信します。連携用認証情報: お客様が第三者サービスを接続する際、当社は当該機能に必要最小限の権限に限定したOAuthアクセストークンおよび対応するリフレッシュトークンを保存します。認証情報は保存時にAES-256で暗号化されます。利用テレメトリ: APIリクエスト、AIモデルの利用状況（トークン数、モデルID）、エラーイベント、ならびにセキュリティおよびキャパシティ計画のための基本的なブラウザ／IPメタデータ。
3. Google APIサービス
お客様がGoogle Calendarを接続すると、UnifyBoxはお客様に代わって2つのスコープにアクセスします。すなわち、https://www.googleapis.com/auth/calendar.readonly （AIエージェントが使用するカレンダーを選択できるようアカウント上のカレンダーを一覧表示し、お客様に予約枠を提案する前に空き時間／予定あり時間の範囲を読み取るため）、および https://www.googleapis.com/auth/calendar.events （お客様または当社のAIエージェントがお客様のリクエストに応じて操作する際に、予定を作成、更新、再調整、またはキャンセルするため）です。UnifyBoxによるGoogle APIから受信した情報の利用および転送は、Limited Use要件を含むGoogle APIサービスユーザーデータポリシー（https://developers.google.com/terms/api-services-user-data-policy）を遵守します。当社は、Googleユーザーデータを第三者に転送しません（ただし、第7条に記載のサブプロセッサーは当社に代わって処理を行い、契約上同一のスコープに制限されているため、これを除きます）。また、Googleユーザーデータを広告目的で使用せず、汎用または第三者のAI／MLモデルの学習に使用せず、セキュリティ上、お客様から報告された問題のデバッグ上、または適用される法令の遵守上厳密に必要な場合を除き、人間がこれを閲覧することを認めません。お客様はいつでも https://myaccount.google.com/permissions においてUnifyBoxへのGoogleのアクセスを取り消すことができ、これにより当社が保有するお客様アカウントのリフレッシュトークンは直ちに無効化されます。当社は保存されたトークンを24時間以内に削除します。
4. Metaプラットフォーム（WhatsApp、Instagram、Messenger）
オペレーターは、MetaのOAuthフローを通じてWhatsApp Businessアカウント、Instagramプロフェッショナルアカウント、およびFacebookページを接続します。当社は、接続されたチャネルでメッセージを送受信し、構成メタデータ（電話番号ID、ビジネス名、ページ名）を読み取るために必要なアクセストークンのみを受信します。エンドユーザーの電話番号およびソーシャルハンドルは、お客様のチームまたはAIエージェントが返信できるよう当社のデータベースに保存されます。当社は、WhatsApp Businessプラットフォーム規約（24時間カスタマーサービスウィンドウ、テンプレートメッセージ規則、オプトアウト対応）およびMetaのプラットフォーム規約を遵守します。当社は、Meta由来のデータを広告またはAIモデルの学習に使用しません。エンドユーザーは、「DUR」または「STOP」と返信することでいつでもそれ以降のメッセージ配信をオプトアウトできます。当社はオプトアウトを直ちに尊重し、接続されたオペレーターに反映します。エンドユーザーはまた、オペレーターに連絡するか、[email protected] 宛にメールを送ることで、自身の会話履歴の削除を請求することができます。
5. 接続されたコマースおよびカレンダー連携
オペレーターは、コマースプラットフォーム（Shopify、ikas、WooCommerce、Shopier、Trendyol、Hepsiburada）およびカレンダープロバイダー（Google Calendar、Calendly）を接続することができます。各接続について、当社はオペレーターに代わって該当するAPIを呼び出すために必要な認証情報のみ、すなわち通常はOAuthトークンおよび識別用メタデータ（ショップドメイン、カレンダーのメールアドレス）を保存します。各連携は、その機能に必要なエンドポイント（商品／在庫データの読み取り、空き時間／予定あり時間の読み取り、予定の作成または更新）のみを呼び出します。当社は、これらのプラットフォームから決済認証情報を保存または処理することは一切ありません。接続可能なプロバイダーの全リストおよび各プロバイダーについて当社が要求するスコープは、接続時のOAuth同意画面に表示されます。ウィザードから連携を切断すると、当社のアクセスは直ちに取り消され、24時間以内にトークンの削除が実行されます。
6. お客様情報の利用方法
当社は上記のデータを次の目的で使用します。すなわち、お客様がお申し込みになったメッセージング受信箱およびAI返信の提供、お客様のチームまたは当社のAIがそれらを必要とする操作を行う際にお客様に代わって第三者API（Shopify、Google Calendar、Metaなど）を呼び出すこと、LemonSqueezyを通じたワークスペースへの請求、不正および濫用の防止、法的義務の履行（例: トルコ法に基づき最長10年間の税務記録の保持）、ならびに集計された非識別テレメトリを通じた製品の信頼性向上です。当社は個人データを販売しません。当社は、Googleユーザーデータ、Metaユーザーデータ、またはエンドユーザーの会話内容をAI／MLモデルの学習に使用しません。
7. データの共有とサブプロセッサー
当社は、当社に代わってサービスを運用するサブプロセッサーに限り個人データを共有します。すなわち、Hetzner Online GmbH（ドイツ、EU）— 主要インフラのホスティング、Supabase（当社のHetznerインフラ上でセルフホスト）— 主要データベースおよび認証、Cloudflare R2 — 暗号化されたメディアストレージ（会話内でアップロードされる画像、ボイスノート、ドキュメント添付ファイル）、Google Gemini API — エージェント返信のためのAIモデル推論（ステートレスな呼び出し。当社のAPIプランでは、プロバイダーはリクエストのライフサイクルを超えて入力を保持しません）、Meta（WhatsApp、Instagram、Messenger）— オペレーターに代わるメッセージの送受信、LemonSqueezy — 決済処理、ならびに第5条に記載の接続されたコマースおよびカレンダープロバイダー — お客様またはお客様のAIエージェントが開始した操作に限ります。すべてのサブプロセッサーは、GDPR／KVKKと同等の保護措置を契約上義務付けられています。当社は個人データを販売せず、広告事業者と共有することもありません。
8. データの保存とセキュリティ
主要なアプリケーションデータ（アカウント、会話、連携トークン）は、セルフホスト型のSupabaseデプロイメントを使用して、ドイツ（EU）のHetznerサーバー上に保存されます。メディアファイル（会話内で送信される画像、ボイスノート、ドキュメント添付ファイル）は、Cloudflare R2に保存時暗号化された状態で保存され、これらのファイルは短時間のみ有効な署名付きURLを通じてのみアクセス可能です。すべての通信はTLS 1.2以上により転送時に暗号化されます。連携用認証情報（Google OAuthリフレッシュトークン、Metaアクセストークン、コマースプラットフォームのAPIキー）は、保存時にAES-256で暗号化されます。本番システムへのアクセスは、監査済みの認証情報を持つ認可されたスタッフに限定されます。当社は不審な活動を監視し、セキュリティ上重要な依存関係を速やかにパッチ適用します。上記日付時点で当社はデータ侵害を経験しておりません。万一発生した場合、影響を受けるユーザーにはGDPR第33条に従い72時間以内に通知いたします。
9. データの保持
アクティブなワークスペースのデータは、アカウントが有効である間保持されます。閉鎖されたワークスペースは、復元のために30日間保持され、その後、当社が法令により記録をより長く保持することを義務付けられている場合（トルコ税法: 請求書および財務記録について最長10年）を除き、恒久的に削除されます。接続された連携トークン（Google Calendar、Meta、コマース）は、切断後24時間以内に削除されます。AI利用ログは90日間保持された後に集計されます。会話の生データは、ワークスペースが有効である限り保持され、30日間の猶予期間を条件としてアカウント閉鎖時に削除されます。Cloudflare R2内のメディアファイルは、それが属する会話と同じライフサイクルに従います。エンドユーザーは、オペレーターに連絡するか、[email protected] 宛にメールを送ることで、いつでも自身の会話履歴の削除を請求できます。当社は、確認済みの請求から30日以内に削除いたします。
10. お客様の権利（KVKKおよびGDPR）
KVKK（トルコ）、GDPR（EU／EEA）および類似の法令に基づき、お客様は次の権利を有します。すなわち、当社が保有するお客様に関する個人データへのアクセス、不正確なデータの訂正、データの削除（法定の保持義務を条件とします）、処理の制限または処理への異議、データのポータブルなエクスポートの受領、処理が同意に依拠する場合の同意の撤回、ならびに監督機関（トルコではKVKK Kurumu、EUではお客様の所在地のDPA）への苦情申立てです。これらの権利を行使するには [email protected] 宛にメールをお送りください。当社は30日以内に対応いたします。エンドユーザー（オペレーターのお客様）の場合: まずオペレーターにご連絡ください。解決しない場合は、当社に直接ご連絡ください。
11. クッキー
当社は、認証、セキュリティ、およびセッション管理のために必須クッキーを使用します。任意の分析クッキーは、ブラウザの設定または当社のクッキー同意バナーで管理できます。当社は、ウェブ上であなたを追跡する広告またはトラッキングクッキーを使用しません。
12. 子どものプライバシー
UnifyBoxは、事業者向けのB2B製品です。当社は、16歳未満の方から個人データを故意に収集することはありません。子どもが当社に個人データを提供したと思われる場合は、[email protected] 宛にメールをお送りください。当社が削除いたします。
13. 国際的な移転
当社の主要インフラはドイツ（EU）にあります。一部のサブプロセッサーは他の地域で運用されています（Google Gemini、米国その他の地域のMetaサーバー）。これらの場合、データは関連する法的メカニズム（EU標準契約条項、十分性認定、またはKVKK第9条に基づく同等の措置）の下で移転されます。
14. 変更とお問い合わせ
本ポリシーが変更される場合、当社は「最終更新日」を更新します。重要な変更は、少なくとも30日前にアプリ内および登録されているアカウントのメールアドレス宛に通知されます。プライバシーに関するご質問、苦情、KVKK／GDPRの権利請求: [email protected]。郵便: Bestami Caner Kınalı, Adalet Mah. Manas Bulv. No:47/B K:26 D:2601 Folkart Towers A Kule, 35530 Bayraklı, İzmir, Türkiye。