プライバシーポリシー

• 名称: 株式会社StepStudy
• 所在地: 東京都渋谷区道玄坂1丁目10番8号 渋谷道玄坂東急ビル2F-C
• 代表者: Daiki Yanagawa
• 個人情報の取扱いに関する窓口: support@stepstudy.jp

本ポリシーにおける「個人情報」「個人データ」「保有個人データ」「個人関連情報」は、個人情報保護法の定義に従います。「会員」その他の用語は、利用規約の定義に従います。

運営者は、本サービスの提供にあたり、次の情報を取得します。

(1) 会員登録時に会員が入力する情報

• メールアドレス
• パスワード（暗号化して保存し、運営者は平文を参照できません）
• ユーザー名、氏名（任意）
• その他、運営者が登録画面で求める事項

(2) 本サービスの利用に伴い生成される情報

• 講座の受講状況および学習進捗
• 試験対策問題の受験履歴、回答内容、得点、受験日時
• 設定画面で会員が登録する情報

(3) アクセスに伴い自動的に取得する情報

• IPアドレス、ブラウザの種類とバージョン、OS、画面サイズ
• アクセス日時、閲覧したページ、参照元
• ログイン状態の維持のためにCookieに保存される識別子

(4) 決済に関する情報

• 有料会員の申込状況、無料体験期間、更新日、課金の履歴
• 運営者が指定する決済事業者が発行する顧客識別子および決済の成否

クレジットカード番号、有効期限およびセキュリティコードは、決済事業者が直接取得し、運営者は取得・保管しません。

(5) お問い合わせ時に取得する情報

• 氏名、メールアドレス、問い合わせの内容

運営者は、取得した情報を次の目的で利用します。

運営者は、法令で認められる場合を除き、会員の同意なく、上記の利用目的の達成に必要な範囲を超えて個人情報を取り扱いません。

運営者は、会員が会員登録時または設定画面で受信を選択した場合に限り、新しい講座やキャンペーンなど運営者のサービスに関する案内をメールで送信します。案内メールには、送信者の名称および配信停止の方法を記載します。会員は、設定画面またはメール本文に記載する方法により、いつでも配信を停止することができます。本サービスの運営に必要な事務連絡（更新日、課金、規約の変更などの通知）は、案内メールの配信を停止した後も送信します。

運営者は、次の場合を除き、あらかじめ会員の同意を得ることなく、個人データを第三者に提供しません。

1. 法令に基づく場合
2. 人の生命、身体または財産の保護のために必要がある場合であって、会員の同意を得ることが困難であるとき
3. 公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、会員の同意を得ることが困難であるとき
4. 国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、会員の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
5. 合併その他の事由による事業の承継に伴って個人データが提供される場合

1. 運営者は、本サービスの提供に必要な範囲で、次の事業者に個人データの取扱いを委託しています。

   委託先	委託先の所在国	データの保管場所	委託する業務	取り扱う情報
   Vercel Inc.	米国	日本（東京リージョン）	本サービスのホスティングおよび配信	第3条(1)〜(4)
   Supabase Inc.	米国	日本（東京リージョン）	データベースおよび認証基盤の提供	第3条(1)〜(4)
   Stripe, Inc. およびその関連会社	米国	米国その他 Stripe が定める国	クレジットカード決済の処理	第3条(1)のメールアドレス、(4)

2. 上記の委託先は、いずれも米国に所在する事業者です。Vercel Inc. および Supabase Inc. については、個人データを日本国内（東京リージョン）のサーバーに保管していますが、委託先が米国から個人データにアクセスすることがあります。Stripe, Inc. については、決済に関する情報が米国その他の国で処理されます。運営者は、各委託先との契約において、個人情報保護法に基づき運営者が講ずべき措置に相当する措置を講ずることを確保しています。
3. 米国における個人情報の保護に関する制度については、個人情報保護委員会が公表する「外国における個人情報の保護に関する制度等の調査結果」（https://www.ppc.go.jp/）をご参照ください。米国には、個人情報の保護に関する包括的な連邦法は存在せず、個人情報保護法の規定と実質的に同等の権利が本人に保障されているとは限りません。
4. 運営者は、委託先において個人データの安全管理が図られるよう、委託先の選定、契約の締結および取扱状況の把握により、必要かつ適切な監督を行います。
5. 運営者は、個人データの共同利用を行っていません。

運営者は、個人データの漏えい、滅失または毀損を防止するため、次の措置を講じています。

• 組織的安全管理措置: 個人データの取扱いに関する責任者を定め、取扱状況を定期的に確認します。漏えい等の事案が発生した場合の報告連絡体制を整備しています。
• 人的安全管理措置: 個人データを取り扱う従業者に対し、秘密保持の義務を課し、適切な取扱いに関する教育を行います。
• 物理的安全管理措置: 個人データは、入退室管理およびアクセス制御が実施された委託先のデータセンターに保管します。運営者が業務に使用する機器は、パスワードおよび暗号化により保護します。
• 技術的安全管理措置: 通信をTLSにより暗号化し、パスワードはハッシュ化して保存します。個人データへのアクセス権限を業務上必要な範囲に限定し、アクセスログを記録することがあります。
• 外的環境の把握: 運営者は、個人データの取扱いを米国に所在する事業者に委託しています。個人データの保管場所は主として日本国内ですが、委託先が米国から個人データを取り扱うことがあるため、運営者は、米国の個人情報の保護に関する制度を把握したうえで、上記の安全管理措置を実施しています。

1. 運営者は、ログイン状態の維持および本サービスの提供のためにCookieを使用します。このCookieは会員のアカウントと関連付けられます。Cookieを無効にすると、ログインを含む本サービスの機能を利用できません。
2. 運営者は、本サービスの利用状況の分析または広告の配信のために、第三者が提供するツールを導入することがあります。導入する場合、運営者は、電気通信事業法第27条の12に基づき、次の事項を本ポリシーまたは本サービス上の「外部送信について」のページで公表します。
   • 送信先となる事業者の名称
   • 送信される利用者に関する情報の内容
   • 送信される情報の利用目的
   • 会員が送信を停止する方法（オプトアウト）
3. 本ポリシーの最終更新日の時点で、運営者は、第三者が提供する利用状況の分析ツールおよび広告配信ツールを使用していません。

1. 運営者は、個人データを、第4条の利用目的の達成に必要な期間、保有します。会員が退会した後も、利用規約に基づく対応、法令上の保存義務の履行（決済の記録を含みます。）、および紛争の予防または対応のために必要な範囲で保有することがあります。
2. 運営者は、利用する必要がなくなった個人データを、遅滞なく削除するよう努めます。
3. 会員は、退会後においても、第11条に定める方法により、登録情報の削除を請求することができます。

1. 会員は、運営者に対し、個人情報保護法に基づき、保有個人データの開示、利用目的の通知、訂正、追加、削除、利用の停止、消去および第三者提供の停止（以下「開示等」といいます。）を請求することができます。
2. 開示等の請求は、第1条の窓口宛にメールでお申し出ください。運営者は、なりすましを防止するため、登録メールアドレスからの送信であることの確認その他の方法により本人確認を行います。
3. 運営者は、本人確認の完了後、遅滞なく、メールにより回答します。開示等の請求に手数料はかかりません。
4. 個人情報保護法その他の法令により、運営者が開示等の義務を負わない場合は、その旨を通知します。

個人情報の取扱いに関する苦情は、第1条の窓口宛にお申し出ください。運営者は、苦情に対し、適切かつ迅速に対応します。

運営者は、16歳未満の方が本サービスを利用する場合、親権者その他の法定代理人の同意を得たうえで会員登録を行うことを求めます。

1. 運営者は、法令の改正、本サービスの変更その他の事由により、本ポリシーを変更することがあります。
2. 変更後の本ポリシーは、本サービス上に掲示した時点から効力を生じます。ただし、利用目的の変更その他会員に重要な影響を及ぼす変更については、効力発生日の相当期間前までに、本サービス上への掲示または登録メールアドレスへの通知により周知します。

本ポリシーは、2026年9月5日から適用します。