プライバシーポリシー

アカウント情報：メールアドレス。Googleでサインインした場合は、表示名、アバターURL、安定したGoogle subject IDも含みます。サインインとUIでの呼びかけにのみ使用します。

プロフィール：選んだ印、既定のスプレッド、言語。占星術および誕生カード機能は、ご入力いただいた情報をサーバー側で算出し、派生タグ（太陽 / 月 / アセンダント星座コードと、ソウルカード / パーソナリティカードのID）のみを保存します。お誕生日、出生時刻、場所、緯度経度の原データはデータベースに書き込まれません — 設定可能なオプションではなく、監査可能なプライバシーへのコミットメントです。唯一の例外は、ご自身で保存を選んだホロスコープで、次の項目で説明します。

保存したホロスコープ：ホロスコープのページで結果の下にある「わたしの手稿に保存」を選んだ場合に限り、付けた名前、保存日時、生年月日、入力された出生時刻（正確な時刻、2時間の幅、または未入力）、選んだ出生地（地名、国コード、緯度経度）とそのタイムゾーン、指定したハウスシステムを保存します。ホロスコープをもう一度開けるようにするためのもので、プロフィールでそのホロスコープを削除するか、アカウントを削除するまで保管し、データのエクスポートにも含まれます。ログインしていない状態で保存を選んだ場合、ブラウザは同じ情報をログインの往復のあいだだけこのタブのセッションストレージに置き、ほかのページへ移るとすぐに破棄します。保存できるのは12件までです。

リーディングと日誌：ログイン中は、AIによる解釈が書き終わった時点で、各リーディングがお客様のアカウントに自動保存されます — 引いたカード、スプレッド種別、ご質問、AI解釈、そしてその解釈を担当した読み手と語り手の設定。メモ・タグ・気分は、お客様が入力した時点で保存されます。公開シェアトークン（/share/[token]リンクで利用）は、お客様がシェアリンクを発行したときにのみ保存され、その際にブラウザがリンク用に描いたプレビュー画像（スプレッド名とカードのみで、ご質問や解釈本文は含みません）も併せて保存されます。リンクを取り消すと、両方とも削除されます。リーディングはいつでも削除できます：リーディングのページまたは「ジャーナル」から1件ずつ、あるいはプロフィール → 「書を解体する」からすべてを一括で。削除したリーディングのシェアリンクとプレビュー画像も同時に削除されます。

シェアリンクのカード文言：シェアリンクを発行または更新すると、ブラウザはリンクのプレビューカードに載せる文言も送信します — スプレッド名と最大3枚までのカード名、そしてシェア画面で選んだ解釈の抜粋です。ご質問は一切含みません。このカードの表示にのみ使い、リンクを取り消すか、そのリーディングを削除すると一緒に削除されます。

振り返りの記録：リーディングの下で「7日後にこの一歩を振り返る」をオンにされた場合 — 振り返りの期日（リーディングから7日後）、リマインダーを送った日時、そしてご回答後は、その一歩を踏み出せたかどうかと、お書きになった振り返りの言葉（最大2,000字）。未回答の振り返りは常に1件だけ保持します：新しく設定すると置き換わり、オフにすると削除されます。回答済みの振り返りは、そのリーディングまたはアカウントを削除されるまで、リーディングとともに保存されます。

語らいの記録：リーディングについて読み手と語らう場合、または語らいを直接始める場合 — お客様が送った各メッセージと各返答（切り口や読み手の切り替えといったクイック操作を含む）、読み手と言語、そして読み手がその語らいをまとめた覚え書き（お客様が書き換えることができ、それ以前のやりとりの記憶も兼ねます）。語らいは、お客様が消去する（すべてのメッセージと覚え書きごと削除されます）か、そのリーディングまたはアカウントを削除されるまで保存されます。語らいを消去した場合も、1日あたりのメッセージ上限に引き続き数えるため、直近24時間以内の質問の送信時刻だけを内容なしで残します。これらは24時間を過ぎたあと、次に語らいを消去したときか、アカウントの削除とともに削除されます。

エンゲージメント記録：毎日のカード（ユーザーごとに、お住まいのタイムゾーンの日付で1日1枚）、21日チャレンジの進捗、アチーブメントの解放、クイズのスコア。/profile・/journey・/wrappedの表示と利用規約に記載のアチーブメント授与に使用します。21日チャレンジを始めると、お住まいのタイムゾーン（Asia/TokyoのようなIANA名）を併せて保存し、チャレンジの日数を現地の日付で数えます。

クイズの進捗：ログイン中 — 各段階で獲得した星、カードごとの習熟度（どの復習ボックスにあるか）、学習した日（連続学習日数のもとになります）、三分間ラッシュの最高スコア。端末をまたいで進捗を引き継ぐために使い、アカウントを削除されるまで保存します。

ガイドの閲覧進捗：ログイン中 — どの /guide ページをいつ読んだか。どの端末でもガイドの進み具合を表示するために使い、アカウントを削除されるまで保存します。

リーディングの合図：プロフィールで合図の時刻を設定された場合 — その時刻と、送信に使うタイムゾーン（Asia/TokyoのようなIANA名で、保存時にブラウザから取得します）。毎日のカードのリマインダーメールを、お住まいの地域のその時刻に届けるためです。合図をオフにすると時刻は消去されます。タイムゾーンはほかの設定とともに、アカウントを削除されるまで保存されます。

プッシュ購読：/profileでオプトインされた場合のみ — ブラウザが提供するエンドポイントURLと、デバイスのp256dhおよびauth公開鍵情報（ブラウザが発行するもので、それ自体は個人情報ではありません）。トグルをオフにすると削除されます。

リファラル：招待コードの生成または引き換え時 — コード文字列と、引き換えごとの1行（規約に記載のボーナス月の付与に使用）。

請求情報：有料会員の場合 — プラン階層、更新日、猶予期間の期限（該当する場合）、記録上の販売者である Dodo Payments が発行する顧客／サブスクリプションID。カード番号・有効期限・CVVを当社が見ることはありません。

クレジット — クレジットを利用するアカウントについて：付与ごとの記録（登録特典・毎月の付与・毎日のチェックイン・クレジットパックなどの付与元、数量、残り、有効期限）と、利用ごとの記録（数量、どのリーディング・語らいの質問・今日のページに使ったか、返還されたかどうか）。残高の管理と、各クレジットの使い道の表示にのみ使用します。

カードを引いた際の課金記録：クレジットを使ってカードを引くたびに — その回のID、引いた内容（スプレッド、言語、ご質問、カード）のSHA-256ハッシュ（ご質問そのものはここには保存しません）、再開した回数。24時間以内に同じリーディングを再読み込み・再試行しても二重に課金されないようにするためです。24時間を過ぎた記録は、次にクレジットを使ってカードを引いたときに削除され、残りはアカウントとともに削除されます。

分析データ：仮名化されたアカウントID（お名前やメールアドレスではない、ランダムな識別子）をキーとするイベント記録。ご質問の本文・カード内容・解釈本文は含みません。

サインインコードの要求記録：サインインコードのメールを送るたび、また誤ったコードが入力されるたびに、不正利用を防ぐための短い記録を残します — メールアドレスの鍵付きハッシュ（HMAC）、IPアドレスの鍵付きハッシュ、日時です。メールアドレスもIPアドレスも、読める形では保存しません。

メール送信記録：自動送信するメール（サインインコード、アカウントや会員に関するお知らせ、週刊レター、マーケティングメールなど）1通ごとに1件の記録 — どのメールか、送信日時、配信できたかどうか、配信サービスが返したメッセージIDまたはエラーコード。メール本文は一切含みません。宛先はお客様のアカウントとして、アカウントのないメールではメールアドレスの鍵付きハッシュとして記録します。再送が必要になりうるアカウント宛てのメールでは、メールの作成に使った情報（たとえば会員プランと更新日、表示名の最初の語）とタイムゾーンも記録に残します。

週刊レター：サイト上のフォームから登録された場合（お送りする確認メールのリンクで登録が確定します）、またはログイン中にアカウントのメールアドレスで参加された場合（既定では参加しません）— メールアドレス、レターの言語、登録元、登録日時と確認日時、最後に確認メールを送った日時、受け取ったレターの通数と最後のレターの送信日時、配信停止の日時。lunaris@lunarcana.app へのご返信は運営者のメールボックスに転送され、そこで保管されます。ご返信はレターをより良くするために読むものであり、個別のリーディングには使いません。

ゲストのはじめてのリーディング：ログインせずにリーディングを試された場合 — 引いたカード、スプレッド、ご質問、言語、使用した解釈の設定と読み手、解釈本文とそれを書いたモデル、解釈とともに表示した質問の候補、無料でお尋ねいただいた追加の質問とその返答。さらに、安全上の懸念がありリーディングの代わりに定型の支援メッセージで応えたメッセージがあれば、その返答とともに最大3件まで保存します。ひとつのネットワークから始められるゲストのリーディング数を制限するため、IPアドレスの鍵付きハッシュ（HMAC）も保存します（IPアドレスそのものは保存しません）。また、ブラウザには、そのリーディングのIDを入れた署名付きCookie（lunarcana-guest）が30日間残ります。30日以内にログインすれば、そのリーディングを残せます：追加の質問も含め、通常のリーディングと語らいとしてアカウントにコピーされます。ゲストの記録そのものには、氏名やメールアドレスは含まれません。

契約の履行（GDPR 第6条1項(b)）：アカウント、プロフィール、リーディング、請求。これらなしではご依頼のサービスを提供できません。

正当な利益（第6条1項(f)）：サービスの健全性と濫用防止のための最小限の分析、Google Analyticsによる集計ベースのウェブサイト分析、不正利用を防ぐためのサインインコード要求記録、メールが届いたことを確かめるための送信記録。識別子のハッシュ化、これらの記録を決まった期間で削除すること、サインアウト時のリセットにより、お客様のプライバシーとバランスを取ります。

同意（第6条1項(a)）：占星術プロンプト強化、Web プッシュ、マーケティングメール、週刊レター、購読型の毎日のカード・メール — すべて既定でOFFです。

法的義務（第6条1項(c)）：請求記録は Dodo Payments に適用される税法に従って保持されます。

ユーザーに紐づくすべての行（アカウント、プロフィール、リーディング、日誌、秘蔵カード、毎日のカード、チャレンジ進捗、アチーブメント、クイズスコア、クイズの進捗、ガイドの閲覧進捗、カードを引いた際の課金記録、振り返りの記録、シェアリンクのカード文言、語らいの記録と覚え書き、リーディングの合図の時刻とタイムゾーン、プッシュ購読、リファラル記録、月次利用カウンタ、クレジットの付与・利用記録、アカウントとそのメールアドレスに紐づくメール送信記録）：ご自身でアカウントを削除されるまで — 削除時には単一トランザクションでまとめて削除され、同じトランザクションでアドレスが週刊レターの名簿からも外れます。

サインインコードの要求記録：24時間。

メール送信記録：90日間。アカウントを削除すると、アカウントとそのメールアドレスに紐づく記録は直ちに削除されます。残るのはアカウント削除をお知らせするメールの記録1件のみで、メールアドレスのハッシュで保管され、90日が過ぎると削除されます。

週刊レターの名簿：登録情報は、削除をご依頼いただくまで保持します。配信停止（各レター末尾のワンクリック配信停止リンク、またはアカウントの削除）で、アドレスは直ちに名簿から外れます。登録情報は配信停止済みとして残り、support@lunarcana.app までご連絡いただければ削除します。

ゲストのはじめてのリーディング：保存期限は設けず、氏名やメールアドレスを含まない匿名のデータとして、寄せられる質問と、解釈がそれにどう応えたかの分析に用います。リーディングから30日が過ぎるとIPアドレスのハッシュは消去され（新しいゲストのリーディングが始まる際にまとめて消去します）、以後はアカウントへの引き継ぎもできなくなります。引き継ぎ済みの場合、アカウントを削除すると、ゲストの記録とお客様とのつながりだけが解除され、アカウントにコピーされたリーディングはアカウントとともに削除されます。

データベースのバックアップ：30日間ローリング。

サーバーおよびアクセスログ：30日間。

分析イベント：12ヶ月間ローリング。

Google Analytics：ユーザー単位のイベントデータは2ヶ月間保持します（そこから集計したレポートはより長く保持します）。

請求記録：アカウント削除後も、Dodo Payments が自らの税務・監査義務上必要な期間保持します（同社のプライバシーポリシーをご参照ください）。

返金記録：お支払いが返金またはチャージバックされた場合、その記録（金額、通貨、日付、理由、対象となった請求先メールアドレス、Google subject ID、Dodo Paymentsの顧客 / サブスクリプションID）を残します。監査の記録を7年間保つため、アカウントを削除してもこの記録は削除されず、アカウントとの紐づけだけが外れます。

Cloudflare（米国・グローバル）：Workers計算、D1データベース、R2アセット保管。すべてのホットデータがここに存在します。サインインコード、アカウントや会員に関するお知らせ、週刊レター、マーケティングメールなどの自動送信メールは、Cloudflare Email Serviceで配信します（メールアドレスとレンダリング済みの本文を渡します）。support@ および lunaris@lunarcana.app 宛てのメールは、Cloudflare Email Routingが運営者のメールボックスへ転送します。サインインコードを送信する前と、ゲストのはじめてのリーディングでカードを引く前に、操作しているのが人間であることの確認をCloudflare Turnstileが行います。

Google（米国）：OAuthサインイン — 受信するのはメール、表示名、アバター、subject IDのみです。また、support@ および lunaris@lunarcana.app の転送先である運営者のメールボックスはGmail上にあります。

DeepSeek（シンガポール / 中国）：AI解釈プロバイダー。引いたカード、スプレッド種別、ご質問、ロケール、（有効化されている場合）占星コンテキストを送信します。語らいでは（ゲストの追加の質問を含む）、これに加えて、そのリーディングの解釈本文、読み手が最後にまとめた覚え書き（お客様ご自身による書き換えは送信しません）、その語らいの直近のメッセージ、新しく送られたメッセージを送信し、返答と覚え書きの作成に用います。メール・氏名・履歴は送信しません。

Resend（米国）：毎日のカードのリマインダーメールのみ。プロフィールで「リーディングの合図」の時刻を設定された場合に送信します。メールアドレスとレンダリング済みの本文を渡します。マーケティングメールと週刊レターはResendを経由しません。

Webプッシュ中継（Apple Push Notification service / Firebase Cloud Messaging / Mozilla Push Service）：プッシュ通知をオプトインされた場合のみ使用。ブラウザが発行したエンドポイントURLに通知ペイロードを送信し、中継サービスがお客様のデバイスへ配信します。

PostHog（米国、EUリージョン選択可）：プロダクト分析。サインイン中は、仮名化されたアカウントID（お名前やメールアドレスではない、ランダムな識別子）と、選んだ印を送信します。あわせて、イベント名とその詳細（回数、設定、関係するスプレッドやカードなどのID。クリックしたボタンやリンクも含みますが、その文字は含みません）、閲覧したページと参照元ページのアドレス（ご質問は取り除きます）、端末・OS・ブラウザの種類と画面サイズ・言語・タイムゾーン、IPアドレス（PostHogはここからおおよその所在地を推定します）を送信します。セッションリプレイはページのレイアウト、スクロール、クリックを記録し、すべての文字とフォーム入力はマスクされます。ご質問本文や解釈本文は送りません。

Google Analytics（Google LLC、米国）：集計ベースのウェブサイト分析。閲覧されたページ、端末とブラウザの種類、おおよその地域、参照元サイト、そして少数のプロダクトイベント（決済の開始、決済の完了、リーディングの完了）を扱います。ユーザーID、メールアドレス、ご質問本文や解釈本文を送ることは一切ありません。Googleシグナルと広告機能はオフにしています。

Dodo Payments（記録上の販売者／Merchant of Record）：有料サブスクリプションを販売する当社のオンライン再販事業者で、名称は決済画面と領収書に記載されます。チェックアウト時にお客様から直接収集する個人データについて、自社のプライバシーポリシー（https://dodopayments.com/legal/privacy-policy）に基づく独立した管理者としてカード処理と税務コンプライアンスを担当し、当社はその抽象的な顧客／サブスクリプションIDのみを受け取ります。EEA 域外への移転がある場合は、EU 標準契約条項（SCC）に基づきます。

authjs.session-token（開発環境）／__Secure-authjs.session-token（本番環境）：Auth.js v5のセッションCookie、httpOnly、sameSite=lax、サインインに必須。

NEXT_LOCALE：選択された言語。

lunarcana-ref：招待コードのキャリア、引き換え後に失効。

lunarcana-guest：ゲストのはじめてのリーディングでカードを引いたときに設定されます。中身はそのリーディングのIDと署名で、このブラウザからリーディングに戻り、ログイン後に残せるようにするためのものです。httpOnly、30日で失効し、ログイン後にリーディングを引き継いだとき、または引き継ごうとして期限切れとわかったときに削除されます。

lunarcana:tz：タイムゾーン（Asia/TokyoのようなIANA名）。毎日のカードを引いたときに設定され、毎日のページが現地の日付を判断するために使います。有効期限は1年です。

PostHog distinct_id：ファーストパーティ分析識別子。NEXT_PUBLIC_POSTHOG_KEYが設定されている場合のみ付与。

_ga と _ga_<container-id>：Google Analyticsのファーストパーティ分析Cookie。保持期間は最長2年。欧州経済領域（EEA）、英国、スイスからの訪問者には設定しません。これらの地域ではGoogle Analyticsを同意モード（Consent Mode）で動作させ、分析ストレージを拒否に設定したうえで、Cookieを使わない匿名のpingのみを送信します。

サードパーティ広告Cookieは設定せず、クロスサイトの行動追跡には参加しません。

ローカルストレージ：デバイス内にのみ保存され、当社サーバーには送信されない少量の非機密設定 — アンビエントトラックと音量、ミュート状態、インストールプロンプトの非表示フラグ、毎日の瞑想カウンタ。サイトデータの消去で削除されます。

LunarcanaはCloudflareのグローバルネットワーク上にホスティングされており、データはお住まいの国以外の地域（米国を含む）で処理される場合があります。EU・UK・スイスからの移転には、必要に応じて標準契約条項（SCC）を用います。

中国版（公開時）は中国本土内のAliyu​n上で稼働し、データを域外にミラーリングしません。中国版で収集されたデータの国境を越える移転は別途の同意フローに従います。

アクセス・訂正・削除・データポータビリティ：support@lunarcana.app までご連絡いただくか、プロフィール → 「書を解体する」から、ユーザーに紐づくすべてのテーブルを即座に連鎖削除できます：user / account / session / reading / readingInterpretation / savedCard / userPreference / subscription / dailyDraw / userChallenge / userAchievement / pushSubscription / referralCode / referralRedemption / usageMonthly / credit_lot / credit_spend / email_send / readingSharePreview / readingShareText / reading_check_in / conversation / conversation_message / conversation_cleared_turn / quiz_progress / guide_read / draw_charge。削除は単一トランザクションで実行され、不可逆です。

同意の撤回：プロフィールから占星・プッシュ・マーケティングメール・毎日のカード・メール・音声合成をいつでも切り替えられます。マーケティングメールは、ご自身でオンにされるまで届きません。マーケティングメールと週刊レターには、いずれも末尾にワンクリックの配信停止リンクがあります。

処理への異議または制限の申し立て：メールにてご連絡ください。

苦情の申し立て：お住まいの地域のデータ保護当局へ（EEA：管轄監督機関、UK：ICO、カリフォルニア州：司法長官、中国：CAC）。

カリフォルニア州（CCPA / CPRA）：当社はクロスコンテキスト行動広告のために個人情報を販売・共有しません。「Do Not Sell or Share」リンクは不要ですが、上記の権利は引き続き行使可能です。

中国（PIPL）：データのコピーと処理の説明を請求でき、いつでも同意を撤回できます。

Lunarcanaは13歳未満（EU圏では16歳未満）の利用者を対象としていません。当該利用者のデータを誤って収集したことが判明した場合、速やかに削除します。

重要な変更は、施行の少なくとも14日前にサイト内で告知します。本ページ冒頭の「最終更新」が正本です。

通信時：お客様のブラウザ・Cloudflareのエッジ・当社が呼び出すすべての副処理者の間でTLS 1.3を使用します。認証Cookieはhttp​Only + sameSite=laxで、セッショントークンはAuth.js v5が発行する不透明なランダム値であり、データベースには参照のみが保持されます。

保管時：CloudflareのD1データベースはCloudflare管理のディスク暗号化により暗号化されます。カード番号・有効期限・CVV・その他の決済情報は一切保存せず、Dodo Payments が発行する抽象的な顧客／サブスクリプションIDのみを保持します。

アクセス制御：本番データベースへの管理アクセスは、メンテナーがハードウェアキーで認証したCloudflareアカウントに限定されます。当社はユーザー行を制限なく読み取れる内部のカスタマーサポートツールを運用していません。

侵害通知：お客様の権利に対するリスクが生じる可能性のある個人データ侵害が発生した場合、認知後72時間以内に該当監督機関へ通知し、登録メールアドレス宛に遅滞なく影響を受けたユーザーへ連絡します（GDPR第33-34条および同等の法令に準拠）。

AI生成のタロット解釈は、お客様が引いたカードとお問いかけからオンデマンドで第三者の言語モデルにより生成されます。これは内省・日誌・瞑想的実践のためのものです。アカウント、適格性、価格、サービス階層に関するいかなる決定もAIによって行われません。

GDPR第22条の意味において、お客様に法的または同様に重大な影響を及ぼす自動化された個別の意思決定（プロファイリングを含む）は行いません。