Capital Zero運営主体及びその関連会社（以下総称して「当運営」といいます。）は、ユーザーの皆様のプライバシー権を基本的人権として深く尊重し、お預かりする個人データ（以下「ユーザーデータ」といいます。）の機密性、完全性、及び可用性を保護するために、最高水準のセキュリティ体制を構築しています。
本プライバシーポリシー（以下「本ポリシー」といいます。）は、日本の個人情報保護法（APPI）に加え、欧州一般データ保護規則（GDPR）、カリフォルニア州消費者プライバシー法（CCPA / CPRA）、その他適用され得る国際的なデータ保護規制の厳格な要件に準拠することを目的として策定された、極めて網羅的かつ詳細な宣言書です。当運営がどのような情報を、なぜ収集し、どのように保護・利用・共有し、またユーザーが自身のデータに対してどのような強力な権利を行使できるかについて、一切の曖昧さを排除して明記しています。本サービスを利用することにより、ユーザーは本ポリシーに記載されたデータ処理慣行のすべてに同意したものとみなされます。
第1条（収集するユーザーデータの徹底的分類と取得方法）
当運営は、サービスの提供、セキュリティの維持、及びパーソナライズの目的で、ユーザーに関する膨大かつ多様なデータを収集します。収集するデータのカテゴリーは以下の通り多岐にわたります。
1.1 ユーザーが自発的に直接提供する情報（Directly Provided Data）
- アカウント識別情報： 登録メールアドレス、ユーザー名、パスワード（不可逆なハッシュ化状態で保存）、生年月日、居住国。
- プロフィール情報： アバター画像、自己紹介文、連携SNSのリンク、その他プロフィール画面に入力された任意のテキスト情報。
- カスタマーサポート情報： お問い合わせフォームやメールを通じて送信された氏名、連絡先、不具合のスクリーンショット、問い合わせ内容の全文。
- 決済関連情報： 将来的な課金サービス利用時における、クレジットカードの部分的な情報（下4桁等）、請求先住所、購入履歴、サブスクリプション状況（完全なカード情報は決済代行会社が保持し、当運営は保持しません）。
1.2 自動的に収集される技術情報及び行動履歴（Automated Technical & Behavioral Data）
- デバイス・ネットワーク情報： IPアドレス（国/都市レベルの位置情報推定を含む）、MACアドレス、デバイス固有識別子（UDID、IDFA、AAID等）、OSの種類とバージョン、ブラウザの種類とバージョン、画面解像度、通信キャリア情報、タイムゾーン設定。
- ログ及び利用状況データ： アクセス日時、セッション長、訪問したページ・画面の遷移履歴、クリックされたボタン、エラーログ、クラッシュレポート、パフォーマンス指標。
- ゲームプレイ・シミュレーションデータ： RPの増減履歴、アイテムの取得・消費履歴、ガチャの抽選結果と確率乱数シード、ゲーム内での選択履歴、他ユーザーとの対戦・協力履歴。
- Cookie及びトラッキング技術： セッションCookie、永続的Cookie、ローカルストレージデータ、Webビーコン、ピクセルタグを利用して取得される、本サービス外のウェブ閲覧履歴等のクロスサイトトラッキング情報（サードパーティ広告用を含む）。
1.3 ユーザー間通信及びコンテンツデータ（Communication & Content Data）
- ダイレクトメッセージ（DM）： 送信者と受信者のID、送信タイムスタンプ、メッセージのテキスト本文、添付画像等のメタデータ。
- 公開コンテンツ： フォーラムへの投稿、レビュー、コメント、公開ランキングのスコア。
第2条（ユーザーデータの利用目的と処理の法的根拠）
当運営は、収集したデータを無秩序に利用することは決してありません。以下の明確に定義された目的、及びGDPR等に準拠した厳格な法的根拠（同意、契約の履行、正当な利益、法的義務の遵守）に基づき、必要最小限の範囲で処理を行います。
- サービス提供と契約の履行（法的根拠：契約の履行）
アカウントの作成、ログイン認証の実行、RP及びアイテムデータのセーブ・ロード、ゲームルールの適用、購入処理の完了、サーバー間同期の実行。これらの中核機能を提供するため。 - セキュリティの確保と不正防止（法的根拠：正当な利益 / 法的義務）
DDoS攻撃の防御、不正ログイン（リスト型攻撃等）の検知と遮断、複数アカウント作成（複垢）の監視、チート行為やRMT（リアルマネートレード）のパターン検出、スパム投稿の自動フィルタリング。本サービスの完全性を守るため。 - サービスの改善と研究開発（法的根拠：正当な利益 / 同意）
A/Bテストの実施、ユーザーの離脱ポイントの分析、ゲームバランス（難易度、ドロップ率）の統計的調整、新機能の開発、AIアルゴリズムの機械学習モデルのトレーニング（※ただしDM内容のAI学習への無断利用は除く）。 - パーソナライズと広告配信（法的根拠：同意）
ユーザーの興味関心に基づいたゲーム内イベントのレコメンド、当運営又はサードパーティによるターゲティング広告（行動ターゲティング広告）の配信と広告効果測定。 - 法的手続きへの対応（法的根拠：法的義務の遵守）
裁判所、警察等の公的機関からの令状、捜査事項照会書に基づくデータ開示義務の履行、税務申告等の法的義務の遵守。
第3条（通信記録及びDMの厳重な取扱と例外的な監視）
ユーザー間のダイレクトメッセージ（DM）、プライベートチャット、非公開コミュニティでの通信記録は、プライバシー権の核心に触れる極めて機微な情報です。当運営は、「通信の秘密」を最大限に尊重し、これらのデータを暗号化して保管し、平時においては運営スタッフを含めいかなる人間も内容を閲覧しません。
しかしながら、以下の例外的な状況下においてのみ、当運営はユーザーの明示的な同意を得ることなく、自動化されたシステム又は権限を付与された特定のセキュリティ担当者によって、通信記録及び内容を閲覧、分析、エクスポート、又は法的機関へ提供する強権を行使します。
- 裁判官の令状（捜索差押令状等）に基づく強制処分が行われた場合。
- 特定の通信相手から、「脅迫」「児童ポルノの送信」「詐欺行為」「重大な規約違反」に関する通報があり、証拠保全と事実確認が不可避である場合。
- 自殺の予告、テロの予告、爆破予告等、人の生命、身体、又は公共の安全に対する差し迫った危険が存在し、警察等へ緊急通報する必要がある場合。
- AIベースのセキュリティフィルターが、未成年者略取や深刻な犯罪の兆候を高い確度で自動検知した場合。
第4条（第三者へのデータ提供・共有・委託に関する詳細規則）
当運営は、ユーザーデータを「販売（Sale）」することはありません。ただし、本サービスの提供とエコシステムの維持のため、以下のカテゴリーに属する第三者とデータを共有、提供、又は取扱いの委託を行います。
- インフラストラクチャ・プロバイダ： AWS、Google Cloud、Vercel、Supabase等のクラウドホスティング事業者及びデータベース提供者。データは暗号化されて保存されます。
- アナリティクス・パートナー： Google Analytics等の解析ツール。トラフィックの集計データを提供します。
- アドテクノロジー・パートナー： Google AdSense、AppLovin等の広告配信事業者。CookieIDや広告識別子（IDFA等）を共有し、パーソナライズ広告を表示します。
- 決済代行会社： Stripe、PayPal等。課金処理のために必要な決済情報を共有します。
- 事業承継： M&A（企業の合併、買収）、事業譲渡、又は破産手続きに伴い、資産の一部としてユーザーデータが移転される場合。
第5条（軍事レベルのセキュリティ対策とデータ漏洩時の対応）
当運営は、ユーザーデータの保護に対し、業界標準を上回る物理的、技術的、及び組織的な安全管理措置を実装しています。
- 技術的措置： 通信経路の完全なTLS/SSL暗号化（HTTPS）、データベースの保存時暗号化（AES-256）、パスワードのソルト付き強固なハッシュ化（Bcrypt等）、ファイアウォール、WAF（Web Application Firewall）によるSQLインジェクションやXSSの防御、定期的な脆弱性診断。
- 組織的措置： 従業員に対する厳格なアクセス権限制御（最小特権の原則）、アクセスログの監査、機密保持契約（NDA）の締結、定期的なプライバシー教育の実施。
データ侵害インシデントへの対応
万が一、サイバー攻撃等によりユーザーデータの大規模な漏洩、改ざん、消失（データ侵害）が発生した場合、当運営は速やかに事態を把握し、適用される法令（個人情報保護法、GDPR等）に従い、影響を受けるユーザーへの通知、データ保護当局への報告（72時間以内等）、及び被害拡大を防止するための緊急措置（パスワードリセット、サーバーのシャットダウン等）を遅滞なく実行します。
第6条（データの保持期間と廃棄プロセス）
当運営は、ユーザーデータを永続的に保持することはありません。データの利用目的が達成され次第、以下の基準に従って確実かつ不可逆的に削除又は完全な匿名化を行います。
- アクティブなアカウント： ユーザーが退会手続きを行うか、アカウントが長期間（例：2年）休眠状態となり運営により削除されるまでの間保持されます。
- 退会後のデータ： 退会手続き完了後、アカウント情報及びプレイデータは原則として30日以内にシステムから物理削除されます。ただし、紛争解決、詐欺防止、法的義務の遵守（税務書類の保存義務等）のために必要な最小限のデータ（課金履歴ログ、違反アクセスログ等）は、退会後も最長5年間保持される場合があります。
- バックアップデータ： 障害復旧用のバックアップデータに含まれるユーザー情報は、バックアップのローテーション周期（例：90日）に従って自動的に上書き消去されます。
第7条（ユーザーの強力な権利とコントロール）
当運営は、ユーザーが自身のデータを完全にコントロールする権利を有していることを認識し、以下の権利行使プロセスを提供します。
- アクセス権及びデータポータビリティ： ユーザーは、当運営が保持する自己の個人データのコピーを要求する権利を有します。要求に基づき、機械読み取り可能な形式（JSONやCSV等）でデータを提供します。
- 訂正権： 不正確又は不完全な個人情報の修正、更新を要求する権利。
- 消去権（忘れられる権利）： アカウントの完全削除を含む、個人データの物理的削除を要求する権利。削除要求があった場合、関連するすべてのデータベースから情報が消去されます。
- 処理の制限・異議申立権： 特定のデータ処理（プロファイリングやダイレクトマーケティング等）に対する停止を要求する権利。
- オプトアウト・同意の撤回： ターゲティング広告のためのCookie利用や、メールマガジンの受信について、いつでも同意を撤回し、オプトアウトする権利。
これらの権利を行使するには、本サービス内の「設定」＞「プライバシーとセキュリティ」メニューから直接操作するか、下記のお問い合わせ窓口（DPO）宛に書面又は電子メールでリクエストを送信してください。当運営は、本人確認後、適用法令に定められた期間内（通常30日以内）に無償で対応します。
第8条（国際的データ移転と各地域のプライバシー法への特則）
本サービスはグローバルに提供される可能性があり、ユーザーデータは日本、米国、欧州など、ユーザーの居住国以外のサーバーに転送、保存、処理される場合があります。
- EEA（欧州経済地域）及び英国居住者向け（GDPR）： データをEEA域外に移転する場合、当運営は欧州委員会が承認した「標準契約条項（SCC）」の締結、又は十分性認定を受けた国への移転等、適法なデータ移転メカニズムを厳格に適用します。
- カリフォルニア州居住者向け（CCPA/CPRA）： 当運営は過去12ヶ月間に収集した個人情報のカテゴリーを本ポリシーで開示しています。カリフォルニア州居住者は「私の個人情報を販売または共有しないでください」という明確なオプトアウト権を有しており、サポート窓口を通じてこの権利を行使できます。当運営は権利行使を理由とした差別的なサービス提供の制限を一切行いません。
第9条（児童・未成年者のプライバシー保護の徹底）
当運営は、児童のオンラインプライバシー保護法（COPPA等）を厳格に遵守します。本サービスは、13歳未満（又はユーザーの居住地域における適用法令が定める同意年齢未満）の児童を対象としておらず、意図的に当該児童から個人情報を収集することはありません。もし当運営が、親権者又は法定代理人の検証可能な同意なしに13歳未満の児童の個人情報を収集してしまったことに気付いた場合、当運営は直ちにそのデータをシステムから完全に消去し、アカウントを抹消するための手段を講じます。
第10条（プライバシーポリシーの継続的改定）
テクノロジーの進化、新しい規制の導入、又は本サービスの新機能追加に伴い、当運営は本ポリシーを定期的に見直し、改定します。改定が行われた場合、本ページ上部にある「最終更新日」が更新されます。ユーザーデータに対する権利を著しく制限するような重大な変更を行う場合は、本サービス内の目立つ場所へのバナー表示、又は登録メールアドレスへの直接通知により、ユーザーに対して明確なアラートを発信します。
第11条（DPO・データ保護責任者及びお問い合わせ窓口）
当運営のプライバシー・データ保護の取り組みに関するご意見、ご質問、苦情、又はユーザーの権利行使に関するリクエストは、専門のデータ保護責任者（DPO）が統括する以下の窓口までご連絡ください。法的要請に関しても同窓口にて対応いたします。
【Capital Zero 運営事務局 データ保護・プライバシー管理室】
■ 電子メールによるお問い合わせ：
[email protected]
■ アプリ内フォーム：
「設定」 ＞ 「プライバシーとセキュリティ」 ＞ 「データリクエスト・お問い合わせ」
※対応には最大30日間を要する場合があります。また、ご本人確認のための追加情報の提供をお願いすることがあります。