NASNAS

プライバシーポリシー

1. 個人情報取扱事業者

事業者名: 合同会社わくわく

所在地: 京都府京都市山科区川田土仏５−５

連絡先: info@wakuwaku-inc.com

2. 取得する個人情報の種類と取得方法

当サービス「NAS（Need Appointment System）」（以下「本サービス」）は、以下の個人情報を取得します。

  • 氏名、電話番号、メールアドレス — 予約フォーム送信時にご本人から直接取得
  • LINE ユーザーID — LINE LIFF SDK を通じて自動的に取得
  • 予約情報（メニュー、日時等） — 予約フォーム送信時にご本人から直接取得
  • Google Calendar データ — OAuth同意に基づき Google Calendar API を通じて取得

3. 利用目的

取得した個人情報は、以下の目的で利用します。

  • 予約の受付・管理およびサービスの提供
  • 予約確認・変更等に関するご連絡
  • サービスの改善および利用状況の分析

4. 第三者提供

当社は、以下の場合を除き、ご本人の同意なく個人情報を第三者に提供しません。

  • 法令に基づく場合
  • 人の生命、身体または財産の保護のために必要がある場合
  • ご本人の同意がある場合（Google Calendar 連携等）

5. 業務委託・外国にある第三者への提供

本サービスの運営にあたり、以下の事業者にデータの取扱いを委託しています。

  • Supabase, Inc.（米国） — データベースホスティング
  • Vercel, Inc.（米国） — Webアプリケーションホスティング
  • LINEヤフー株式会社（日本） — メッセージング基盤

米国は、個人情報保護法（APPI）上「個人の権利利益を保護する上で我が国と同等の水準にあると認められる 個人情報の保護に関する制度を有している国」として認定されていません。 各委託先は、契約上の義務として適切なデータ保護措置を講じています。

6. 保有個人データに関する権利

ご本人は、保有個人データについて以下の請求を行うことができます。

  • 開示の請求
  • 内容の訂正の請求
  • 内容の追加の請求
  • 削除の請求
  • 利用停止または消去の請求

請求は、上記連絡先メールアドレスまでご連絡ください。ご本人確認の上、合理的な期間内に対応いたします。

7. 個人データの保存期間

アカウント削除後、個人データは1年間保持した後に削除します。 店舗管理者が Google Calendar 連携を解除した時点で、当社サーバー（Supabase）に保管している Google リフレッシュトークンおよび連携先カレンダー ID は即時削除します。 Google アカウント側のアクセス権の取り消しは、ユーザーご自身で https://myaccount.google.com/permissions から行うことができます。

8. 安全管理措置

当社は、個人データの漏洩等を防止するため、以下の安全管理措置を講じています。

  • 組織的措置: 個人情報管理責任者の設置、アクセス権限の管理
  • 技術的措置: SSL/TLS による通信の暗号化、Row Level Security によるデータベースアクセス制御
  • 物理的措置: クラウドサービス事業者（Supabase / Vercel）のデータセンターにおけるセキュリティ対策に依拠

9. Cookie・アクセスログ

本サービスでは、サービス改善のため Vercel Speed Insights を使用してアクセスログを収集しています。 これらは個人を特定するものではありません。

10. Google API サービスの利用

本サービスは、店舗管理者が任意で行う Google Calendar 連携機能において Google API を利用します。 本セクションでは、Google API Services User Data Policy に従い、当社が Google ユーザーデータを どのように取得・利用・共有・保存・削除するかを明示します。

10.1 アクセス・取得する Google ユーザーデータ

店舗管理者が Google アカウントで OAuth 同意を行った場合、当社は以下のスコープを通じて以下のデータにアクセスします。

  • リクエストするスコープ:
    • https://www.googleapis.com/auth/calendar
    • https://www.googleapis.com/auth/calendar.events
  • 取得するデータの種類:
    • 連携アカウントが所有・閲覧できる Google カレンダーの一覧（カレンダー ID、名称、アクセス権限）
    • 連携対象として選択されたカレンダー内のイベント情報（タイトル、開始・終了時刻、所要時間。出席者リストは取得しません）
    • OAuth リフレッシュトークン（Google API への継続アクセスを維持するため）

10.2 Google ユーザーデータの利用目的・処理方法

取得した Google ユーザーデータは、店舗の予約管理機能を提供する目的でのみ利用します。具体的な処理は以下に限定されます。

  • calendarList.list: 店舗管理者に対し、書き込み可能なカレンダーの一覧を提示し、予約反映先カレンダーを選択していただくため
  • events.insert: 顧客から入った予約をカレンダー上のイベントとして書き込むため
  • events.update: 予約内容の変更時にイベントを更新するため
  • events.delete: 予約キャンセル時にイベントを削除するため
  • events.list: 空き時間を計算し、二重予約を防止するため
  • リフレッシュトークンは、上記 API 呼び出しのためのアクセストークン取得にのみ利用します

当社は、Google ユーザーデータについて以下を一切行いません。

  • 広告・マーケティング目的での利用
  • 機械学習モデルの学習・改善への利用
  • 人間（当社従業員を含む）による閲覧（ただし、法令対応・セキュリティインシデント対応・ユーザーご本人からのサポート依頼への対応のためにやむを得ず必要な場合を除きます）

10.3 Google ユーザーデータの第三者共有

当社は、Google ユーザーデータを以下の場合を除き、他の第三者と共有・転送・販売しません。

  • インフラ事業者である Supabase, Inc.（米国）に対し、暗号化された状態でリフレッシュトークン・カレンダー ID をデータベースに保存しています（§5 の業務委託先に該当）
  • メール送信に用いる Resend, Inc.、LINE 連携に用いる LINE ヤフー株式会社、 ホスティング事業者である Vercel, Inc. に対しては、Google ユーザーデータを送信していません
  • 当社の他のサービスや、関連会社を含む第三者への Google ユーザーデータの転送・販売は一切行いません

10.4 Google ユーザーデータの保存・保護

  • OAuth リフレッシュトークンは AES-256-GCM（認証付き暗号化）で暗号化したうえで、 Supabase の stores.google_calendar_refresh_token カラムに保存しています
  • 暗号鍵はホスティング事業者の暗号化された環境変数として保管し、データベースには保存しません
  • クライアントとサーバー間、当社サーバーと Google API 間の通信は、すべて TLS で暗号化されています
  • Supabase の Row Level Security により、各店舗のデータは権限を持つ管理者ユーザーのみがアクセス可能となるよう制御されています
  • 当社の開発・運用担当者は、業務上必要な場合に限り管理者権限でデータベースを参照し、操作ログを管理しています

10.5 保持期間と削除方法

ユーザーは、以下のいずれの方法でも Google ユーザーデータの削除を行うことができます。

  • 店舗管理画面からの連携解除: 店舗管理画面の「Google Calendar 連携を解除」ボタンを押すと、 当社サーバーに保管しているリフレッシュトークンおよび連携先カレンダー ID を即時削除します
  • Google アカウント側での取り消し: https://myaccount.google.com/permissions より nas-rsv.com のアクセス権を取り消すことで、Google 側からも当社のアクセスを完全に遮断できます
  • 削除の請求: §6 に記載の連絡先（info@wakuwaku-inc.com）へご連絡いただければ、 当社が保有する Google ユーザーデータ一切の削除を請求できます
  • アカウント削除時: 店舗アカウント自体を削除する場合、当社が保有する当該店舗の Google ユーザーデータも即時に削除します

10.6 Google API Services User Data Policy 準拠の表明

本サービスの Google API から受信した情報の使用および他のアプリへの転送は、Google API サービスのユーザーデータに関するポリシー（Limited Use 要件を含む）に準拠します。 当社は、Google ユーザーデータを広告に使用せず、サービス提供に必要な範囲を超えて第三者に転送せず、 人間に閲覧させません（10.2 に記載した限定的な例外を除きます）。

11. プライバシーポリシーの改定

本ポリシーの内容は、法令の変更やサービスの変更に伴い改定することがあります。 重要な変更がある場合は、本サービス上でお知らせします。

制定日: 2026年3月19日

最終改定日: 2026年5月15日