プライバシーポリシー

1. 運営者

運営者: ＤＸコンサルティングジャパン株式会社
住所: 東京都渋谷区渋谷2丁目19-15 宮益坂ビルディング609
代表者: 福田友亮
お問い合わせ（ご質問・苦情・8. のご請求の窓口）: tomoaki.fukuda@dxcj.co.jp

2. このサービスについて

Gacha Graph（以下「本サービス」）は、カプセルトイについて、どこで・いつ記録（運営者の確認・公式の情報・利用者の報告）があったかを、出所つきで示すサービスです。在庫を保証するものではありません。会員登録・ログインはありません。

3. 取得する情報

本サービスを見る・検索する・「欲しい」を登録する・報告を送るといった通常のご利用では、氏名・メールアドレス・電話番号・住所の入力を求めません。端末の位置情報や広告用の ID も取得しません。お問い合わせなどでご連絡をいただいた場合を含め、本サービスが取得する情報は次のとおりです。

訪問者 ID（Cookie 名 gg_vid）: 「欲しい」を登録したとき、または報告を送ったとき（受け付けられなかった場合を含みます）に、ランダムな ID を発行し、当サイトだけが読む Cookie（httpOnly・SameSite=Lax・Secure、最長 400 日）に保存します。サーバには ID・作成日時・最終利用日時・利用制限の状態を記録します。ページを見るだけでは発行しません。
検索の言葉: サイト内の検索結果がブラウザに表示されたときに、検索の言葉（最大 100 文字に整えたもの）・日時・該当した商品や地域・件数・ボットかどうかの判定（ブラウザの種類から判定し、ブラウザの種類そのものは保存しません）、訪問者 ID がすでにある場合はその ID を記録します。検索の言葉はページの URL にも含まれます。
地域の選択・地図リンクのクリック: 商品ページで地域を選んだとき、店舗の地図リンクを押したときに、商品・地域・店舗・日時・ボットかどうかの判定、訪問者 ID がすでにある場合はその ID を記録します。
「欲しい」: 訪問者 ID・商品・地域・日時を記録します。取り消した場合は取り消した日時を記録し、履歴は残ります。
報告（「あった／売切れだった／なかった」）: 訪問者 ID・商品・店舗・報告の種類・日時・IP アドレスのハッシュ・受け付けた／確認のため保留した等の状態を記録します。報告は、運営者が確かめていない利用者からの情報として台帳に追記され、ページには、日付と「運営者は未確認」の表示をつけた「ユーザー報告」として、運営者の確認の記録や公式の情報とは区別して表示されることがあります（個人を特定する情報は表示しません）。台帳は追記だけの仕組みのため、報告に結びつく訪問者 ID は台帳に残ります。
IP アドレスのハッシュ: 訪問者 ID を新しく作るときと報告のときに、IP アドレスを秘密の鍵で一方向に変換した値（ハッシュ）を保存します。IP アドレスそのものは保存せず、ハッシュから元の IP アドレスに戻すことはできません。「欲しい」の連続操作の制限にも使いますが、そのときは保存しません。
サーバのエラーの記録: エラーが起きたときに、エラーの種類・ページの経路（「?」以降を除く）・操作の種類を記録します。検索の言葉・Cookie・IP アドレス・送信の内容は記録しません。
お問い合わせ・苦情・ご請求の内容: お問い合わせ先（1.）にメールでご連絡いただいたときに、メールアドレス・お名前（書かれていた場合）・ご連絡の内容・日時・やり取りの記録を取得します。ご請求の対象の記録を探すために、操作した日時・商品・地域・店舗などをお伺いすることがあります（8.）。
ブラウザ内の一時的な記録（sessionStorage）: 同じ検索や地図リンクのクリックを 10 分以内に二重に記録しないために、検索の言葉または商品と店舗の番号と時刻を、そのタブの中だけに保存します。サーバには送らず、タブを閉じると消えます。

このほか、本サービスを配信する事業者（6.）が、ウェブの仕組みとしてアクセスの記録（IP アドレス・日時・URL・ブラウザの種類など）を持つことがあります。検索の言葉は URL に含まれるため、この記録に含まれることがあります。取り扱いは各事業者の規約によります。

4. 利用目的

商品について、記録とその出所（運営者の確認・公式の情報・利用者の報告）を示すため
どの商品がどの地域で求められているかを、個人を特定しない形で集計するため
報告・「欲しい」の重複や不正を防ぐため
本サービスの品質の維持・障害への対応・改善のため
お問い合わせ・苦情・ご請求に対応するため（ご本人の記録であることの確認と、ご連絡への回答を含みます）

集計した情報を第三者に提供することは、現在は行っていません。

5. Cookie と外部への送信

広告や解析の外部サービス（Google アナリティクス等）のタグは使っていません。ページを開いたときに、当サイト以外へ情報を送ることはありません。詳しくは外部送信についてをご覧ください。地図（Google マップ）や公式 SNS の投稿へのリンクは、押したときに移動先のサイトを開くだけで、移動先ではそのサイトの規約が適用されます。

6. 利用している外部の事業者と、データが扱われる国

データベース：Supabase Inc.（米国の事業者）: 3. の記録（お問い合わせを除きます）は、Supabase の東京リージョン（日本）のデータベースに保存します。Supabase の契約条件では、データは選んだ地域に保存されて主にそこで処理されますが、サービスの提供や法令上の必要に応じて、Supabase または再委託先の施設がある国で処理されることがあります。
ウェブサイトの配信：Vercel Inc.（米国の事業者）: サーバで動くプログラムは、東京リージョン（日本）で動かす設定にしています。ページの配信のために、Vercel は IP アドレス・Cookie・URL（検索の言葉を含みます）などのリクエストの情報を処理します。アクセスの記録（3. の最後の段落）は、Vercel が自らのサービスの運用と保護のためにも扱います。Vercel のプライバシーポリシーでは、情報は米国その他の国で保存・処理されることがあるとされています。
お問い合わせのメール：Google LLC（米国の事業者）: お問い合わせのメールは、Google Workspace（Google のメールのサービス）で受け取り、保存します。Google の契約条件では、データは複数の国のデータセンターに複製して保存され、Google または再委託先の施設がある国で処理されることがあるため、保存される国を特定できません（データセンターの所在地は Google が公表しています）。

運営者は、本サービスの提供に必要な範囲で、これらの事業者にデータの取扱いを委託しています。Supabase と Google は、データの処理に関する契約（データ処理補足契約）で、運営者の指示の範囲でのみデータを扱うこと、安全管理の措置、従業員などの守秘、再委託の条件、漏えいなどが起きたときの運営者への通知などを定めています。Vercel には、Vercel の利用規約とプライバシーポリシーが適用されます。各事業者は、サービスの提供・保守・法令への対応などのために、保存されたデータにアクセスできる場合があります。

運営者は、Supabase と Google については、この契約により、各事業者が個人情報の保護に関する法律に基づく措置に相当する措置を継続して講ずる体制を整えていることを確認したうえで、取扱いを委託します（同法第28条第1項）。各事業者による措置の実施状況と、それに影響する米国の制度を、年に 1 回以上確認します。これらの措置についての情報は、お問い合わせ先（1.）へのご請求に応じてお知らせします。米国の個人情報の保護に関する制度については、個人情報保護委員会が公表している「外国における個人情報の保護に関する制度等の調査」をご覧ください。

7. 保存期間

記録は、利用目的（4.）に必要な間だけ保存し、必要がなくなった記録は消去するよう努めます。現在、記録を自動で削除する仕組みは運用していません。情報の種類ごとの保存期間は、定めたうえでこのページでお知らせします。訪問者 ID の Cookie はブラウザ上で最長 400 日です。データベースの事業者による自動のバックアップ（毎日・7 日分）と、運営者のバックアップにも、同じ情報が含まれます。アクセスの記録（3. の最後の段落）の保存期間は、配信の事業者の仕組みによります。お問い合わせのメールは、対応の経過を確かめるために保存します。保存期間は、ほかの記録と同じく定めたうえでお知らせします。

8. 開示・訂正・削除などのご請求

ご本人からの、利用目的の通知、開示、訂正・追加・削除、利用の停止・消去、第三者への提供の停止のご請求には、個人情報の保護に関する法律その他の法令に従って対応します。

お問い合わせ先（1.）にご連絡ください。ご請求の方法と、必要な情報をご案内します。
本サービスには会員登録がなく、氏名などから記録を探すことはできません。対象の記録を探すために、操作した日時・商品・地域・店舗などをお伺いします。
お伺いした内容から、記録がご請求者ご本人のものであると確かめられない場合は、他の方の記録を開示しないため、ご請求に応じられないことがあります。
ご請求に応じられない場合（記録を特定できない場合や、法令により応じないことができる場合を含みます）は、その旨と理由をお知らせします。
手数料はいただきません。

ブラウザの Cookie を削除すると、それ以降は新しい訪問者として扱われます。

9. 安全管理

データベースは、役割ごとに必要な最小限の権限と、行単位のアクセス制御で守っています。接続の情報や暗号の鍵などの秘密の値は、プログラムの中に置きません。管理画面は公開のウェブにはありません。利用している外部の事業者とデータの保存場所は 6. のとおりです。外部の事業者が米国の事業者であることを踏まえ、データベースには氏名などを持たず、IP アドレスは鍵つきのハッシュにして保存しています。安全管理のための措置についてのご質問は、お問い合わせ先（1.）で受け付けます。

10. 未成年の方のご利用

未成年の方は、保護者の方の同意を得たうえでご利用ください。

11. 改定

このポリシーを改定するときは、改定後の内容と改定日をこのページに掲載します。利用目的を変更するときは、法令に従い、変更前の利用目的と関連性があると合理的に認められる範囲で行い、変更後の利用目的をこのページで公表します。

制定日：2026-10-12