Capital Zero運営主体及びその統括・関連組織（以下「当運営」といいます。）は、ディストピア世界観を舞台とするサイバーパンクゲームサービス「Capital Zero」（以下「本サービス」といいます。）を提供するにあたり、ユーザーの皆様（以下「ユーザー」といいます。）のプライバシー権及び個人データ保護に関する権利を基本的人権として最大限尊重します。
本プライバシーポリシー（以下「本ポリシー」といいます。）は、日本の「個人情報の保護に関する法律（APPI）」をはじめ、欧州連合一般データ保護規則（GDPR / UK GDPR）、米国カリフォルニア州消費者プライバシー法および同プライバシー権法（CCPA / CPRA）、その他適用され得る国際的なデータ保護法令に準拠し、当運営が収集する情報の内容、利用目的、安全管理措置、第三者提供、並びにユーザーに保障された各種権利の行使手続を網羅的かつ厳格に定めたものです。
本サービスのご利用、アカウントの新規作成、又は本サービスへのアクセスを継続することにより、ユーザーは本ポリシーの各条項に同意したものとみなされます。同意されない場合は、本サービスの利用を直ちに中止し、所定の手続きに従ってアカウント削除を申請してください。
第1条（収集するユーザーデータの徹底的分類と取得方法）
当運営は、本サービスの安定的な提供、セキュリティの確保、ゲームバランスの最適化、及びユーザー体験の向上のため、以下のカテゴリに属する情報を適法かつ公正な手段によって取得します。
1.1 ユーザーが自発的に直接提供する情報（Directly Provided Data）
- アカウント識別情報： 登録メールアドレス、ユーザー名（コールサイン）、パスワード（Argon2id等の強力なソルト付き不可逆暗号学的ハッシュ関数により変換されたダイジェストのみを保持し、平文は一切保存されません）、生年月日、言語・地域設定。
- プロフィール情報： アバター画像、自己紹介テキスト、公開バッジ、設定されたアライアンス・所属派閥情報。
- サポート及びお問い合わせ情報： お問い合わせフォームやカスタマーサポートを通じて送信された氏名、連絡先、障害報告画面のスクリーンショット、通報ログ、及び法令に基づく年齢確認等の手続きにおいて任意または必須で提供された情報のメタデータ。
1.2 自動的に収集される技術情報及び環境データ（Automated Technical & Telemetry Data）
- デバイス及びネットワーク識別子： IPアドレス（国および都市レベルの推定地域情報を含みます）、ハードウェアアーキテクチャ、デバイスモデル名、OS種別及びバージョン、ブラウザ種別及びビルド番号、画面解像度、通信キャリア情報、タイムゾーン。
- アクセス及びアクティビティログ： アクセス日時、セッションID、参照元URL（リファラー）、ページ遷移パス、APIリクエストのレイテンシ、クラッシュダンプ、例外エラートレース。
- ゲームプレイ及び経済シミュレーションデータ： RP（Rank Point）の増減履歴、アイテムインベントリの遷移、ガチャ抽選の暗号学的乱数シード及び排出ハッシュ値、対戦シミュレーション結果、取引所の入札・落札ログ。
1.3 コミュニケーション及びソーシャルデータ（Communication & Social Data）
- ダイレクトメッセージ（DM）： 送信者・受信者ID、送信日時、通信暗号化メタデータ、及び暗号化されたメッセージ本文。
- 公開ソーシャルコンテンツ： 全体チャット、アライアンス掲示板への書き込み、他プレイヤーへの公開リアクション。
スパイウェア・無断追跡の完全排除宣言
当運営は、ユーザーの明示的な同意なくキーロガー、バックドア、無許可のクリップボード監視、または利用端末内の無関係なファイルスキャン等の不正手段による情報収集を行わないことを厳格に宣誓します。
第2条（ユーザーデータの利用目的と処理の法的根拠）
当運営は、個人データの処理にあたり目的の範囲を厳格に限定し、GDPR第6条をはじめとする適用データ保護法令に基づく以下の正当な法的根拠に依拠してデータを取り扱います。
- 本サービスの提供及び利用契約の履行（法的根拠：契約の履行 GDPR Art.6(1)(b)）
アカウントの開設・維持、ログイン認証、セーブデータの双方向同期、RPの計算処理、ゲーム内取引の完了、及びカスタマーサポートの提供。
- セキュリティの維持・不正行為の排除（法的根拠：正当な利益 GDPR Art.6(1)(f) / 法的義務 Art.6(1)(c)）
総当たり攻撃（ブルートフォース）やリスト型攻撃の検知・遮断、不正ボット・自動化マクロの検出、チート行為・不正クライアント改変の監視、複数アカウントを用いたゲーム内経済の撹乱防止。
- システムの安定稼働及びゲームバランスの改善（法的根拠：正当な利益 GDPR Art.6(1)(f)）
サーバーインフラのトラフィック負荷分散、障害復旧、UI/UXデザインの最適化、及びゲームバランス（アイテムドロップ率や報酬設計）の統計的シミュレーション・分析。
- パーソナライズ及び任意のお知らせ配信（法的根拠：ユーザーの明示的同意 GDPR Art.6(1)(a)）
ユーザーの進行状況に応じたゲーム内イベント・アップデート情報の通知、及び同意に基づくターゲティング広告の配信（同意はいつでも撤回可能です）。
- 法的義務の遵守及び公的要請への対応（法的根拠：法的義務の遵守 GDPR Art.6(1)(c)）
法令に基づくログの保管義務、裁判所や法執行機関からの令状・法的要求への適正な対応。
第3条（通信記録及びDMの厳重な取扱と例外的な監視）
ユーザー間のダイレクトメッセージ（DM）、非公開アライアンスチャット等のプライベート通信は、憲法及び電気通信事業法に定める「通信の秘密」に該当する極めて機微な権利です。当運営は平時においてこれらを暗号化して保管し、いかなるスタッフも私的に内容を閲覧することはありません。
例外的な開示・調査基準：
当運営は、以下の極めて限定的な法的・人道的事由に該当する場合にのみ、法令に則った最小限の範囲で通信記録の調査、保全、又は公的機関への提供を行う権限を留保します。
- 裁判官の発付した令状（捜索差押許可状等）に基づく強制処分が行われた場合。
- 自殺予告、テロ予告、児童買春・児童ポルノの頒布など、人の生命・身体・重大な法益に対する切迫した急迫の危機が存在し、緊急避難として法執行機関に通報する場合。
- 特定のユーザーから、脅迫、詐欺、ハラスメント等の被害申告・通報がなされ、客観的証拠の保全が不可欠と判断された場合。
- 自動検知フィルターが未成年者に対する重大な犯罪や不正侵入の兆候を検知した場合。
厳格な多重承認と監査ログ
通信記録の例外調査は、最高セキュリティ責任者（CISO）及びデータ保護責任者（DPO）の双方が承認する多重承認システム（デュアルコントロール）を経た上で実行され、調査日時、担当者、閲覧対象、及び調査理由の全履歴が改ざん不能な監査ログとして永続保存されます。
第4条（第三者へのデータ提供・委託・共同利用に関する詳細規則）
当運営は、ユーザーの個人情報を金銭その他の対価を得て第三者に「販売（Sale）」することは一切いたしません。また、事前同意のない目的外の第三者提供も禁止しています。ただし、業務遂行に必要な最小限の範囲において、厳格な監督のもとで以下の委託・共有を行います。
4.1 業務委託先（サービスプロバイダー）への取扱い委託
サーバーホスティング（AWS, Google Cloud, Vercel等）、分散データベース・認証基盤（Supabase等）、解析ツール（Google Analytics等）。当運営は委託先との間でデータ保護契約（DPA）を締結し、ISO 27001やSOC 2等の国際標準セキュリティ要件の遵守を義務付けています。
4.2 法的強制力に基づく開示
法令に基づき司法機関、行政機関、捜査機関から正式な法的要請（令状や捜査事項照会書）を受領した場合、適法性を精査した上で必要最小限のデータを開示することがあります。
4.3 事業承継（M&A等）
合併、買収、会社分割、事業譲渡等の事由によりサービス運営主体が変更される場合、承継先に対しても本ポリシーと同等以上の保護義務を継承させます。
第5条（包括的安全管理措置とデータ侵害インシデントへの対応）
当運営は、ユーザーデータの紛失、破壊、改ざん、漏洩、及び不正アクセスを防止するため、個人情報保護法のガイドライン及びGDPR第32条に基づく最先端の安全管理措置を多層防御アーキテクチャとして講じています。
- 技術的安全管理措置： 通信経路の完全TLS 1.3暗号化、安静時データのAES-256暗号化、パスワードのArgon2id不可逆ダイジェスト化、WAF（Web Application Firewall）によるSQLインジェクション及びXSSの防御、定期的な外部脆弱性診断及びペネトレーションテスト。
- 組織的・人的安全管理措置： 役員および全スタッフに対する秘密保持誓約書の義務付け、職務に応じた最小特権（Least Privilege）によるアクセス制御、定期的なデータ保護コンプライアンス研修の実施。
- 物理的安全管理措置： サーバー基盤のクラウドデータセンターにおける生体認証セキュリティ、入退室制限、端末持ち出し制限。
データ侵害（セキュリティインシデント）発生時の対応義務
万が一、重大なデータ漏洩やサイバー攻撃による侵害が発生またはその恐れが確認された場合、当運営はインシデント対応チームを直ちに招集し、被害拡大を遮断します。適用法令に基づき、発覚後72時間以内に管轄の監督機関（個人情報保護委員会等）へ速報を行い、影響を受けるユーザーに対して遅滞なく直接メール又はサービス内緊急バナーにて事実関係、影響範囲、及び推奨防御措置を通知します。
第6条（データの保持期間・ライフサイクルと完全廃棄プロセス）
当運営は、個人データの利用目的を達成するために必要な期間に限り、ユーザーデータを安全に保持します。各データの保持期間基準は以下の通りです。
- アクティブアカウントデータ： ユーザーが本サービスを継続利用している期間中保持されます。
- 退会済みアカウントデータ： ユーザーによるアカウント削除手続きの完了後、原則として30日間のクーリングオフ・誤操作救済期間を経て、本番データベースから物理的に削除または不可逆な匿名化処理が施されます。
- 休眠アカウントデータ： 最終ログインから連続して2年以上アクセスのないアカウントは、事前通知メールを送信した上でアーカイブまたは自動抹消の対象となります。
- バックアップデータ： システム復旧用の差分バックアップに含まれるデータは、世代管理ローテーション（最長90日）に従って自動的に上書き消去されます。
- 法的保管義務データ： 適用法令やサイバーセキュリティ対策要件に基づき保持が必要とされるアクセスログ・インシデント監査記録は、法令の定める所定期間隔離保管されます。
データの廃棄にあたっては、暗号化キーを不可逆的に破棄するクリプト・シュレッディング（Crypto-shredding）技術及び米国国防総省準拠の磁気上書きアルゴリズム等を採用し、いかなる第三者による復元も不可能な手法で処理します。
第7条（ユーザーの強力な権利とコントロール）
ユーザーは、ご自身の個人データに関して適用法令（個人情報保護法、GDPR、CCPA等）に基づく包括的な権利を有しており、いつでもこれを行使することができます。
1. 開示請求権（Right of Access）
当運営が保持する自己の個人データの存否確認、処理目的、提供先の開示を求める権利。
2. 訂正・追加・更新権（Right to Rectification）
不正確または不完全な個人データについて、迅速な修正・更新を求める権利。
3. 消去権・忘れられる権利（Right to Erasure / Right to be Forgotten）
アカウントの即時完全閉鎖、及び関連するすべての個人データの完全消去を要求する権利。
4. データポータビリティ権（Right to Data Portability）
自ら提供した個人データを、一般的に利用される機械可読な構造化形式（JSONやCSV等）で受け取り、他サービスへ移行する権利。
5. 処理制限権及び異議申立権（Right to Restriction & Objection）
正当な利益に基づくデータ処理、ダイレクトマーケティング、または特定プロファイリングに対する異議を申し立て、処理を停止させる権利。
6. 同意の自由な撤回権（Right to Withdraw Consent）
同意に基づいて行われるデータ処理について、不利益を被ることなくいつでも同意を将来に向かって撤回する権利。
第8条（国際的データ移転と各地域のプライバシー法への特則）
Capital Zeroはグローバルネットワーク上で展開されるサービスであり、ユーザーデータは日本、欧州連合（EU/EEA）、米国をはじめとする世界各国の安全なデータセンターに転送、保存、処理される場合があります。各地域における特則は以下の通りです。
- EEA（欧州経済地域）および英国居住者向け（GDPR）： EEA域外へ個人データを移転する場合、当運営は欧州委員会の十分性認定を受けた国・地域への移転、または欧州委員会承認の「標準契約条項（SCC: Standard Contractual Clauses）」の締結等、厳格な法的保護措置を講じます。
- カリフォルニア州居住者向け（CCPA / CPRA）： 当運営は過去12ヶ月間において個人情報の「販売（Sale）」および「クロスコンテキスト行動広告のための共有（Share）」を行っていません。ユーザーはセンシティブな個人情報の利用制限権を有し、権利行使を理由として差別的扱い（価格差別や機能制限等）を受けることは一切ありません。
- 日本国居住者向け（APPI）： 外国にある第三者への個人データ提供が発生する場合、個人情報保護法第28条に基づき、提供先国の法制度及び事業者の講じている安全管理措置等に関する適切な情報提供を実施します。
第9条（アカウントセキュリティおよび認証情報の保護管理）
ユーザーアカウントの安全性維持は、当運営のセキュリティインフラとユーザー自身の厳重な認証情報管理の双方によって達成されます。
- パスワードポリシー： 推測困難な強固なパスワード（英数字および記号の組み合わせ）の設定を強く推奨します。他サービスとのパスワード使い回しは重大な漏洩事故を招くため固く禁止します。
- セッショントークン管理： ログイン時に発行されるJWT（JSON Web Token）およびリフレッシュトークンは、Secure属性・HttpOnly属性を付与したCookieおよび安全なブラウザストレージに格納され、クロスサイトスクリプティング（XSS）による盗難を防止します。
- 緊急アカウント保護ロック： 通常と異なる地域やデバイスからの急激なアクセス試行、または短時間の連続認証失敗を検知した場合、当運営はアカウントを一時的に自動保護ロックし、登録メールアドレスへの本人確認認証を要求します。
第10条（プライバシーポリシーの改定手続きと変更通知）
当運営は、法令の改正、法執行機関の指導、セキュリティ技術の進化、または本サービスの新機能追加・仕様変更に伴い、本ポリシーを随時改定することがあります。
10.1 軽微な改定
文言の明確化、誤字脱字の修正、または利用規約の表現調整等、ユーザーの権利に実質的な悪影響を及ぼさない改定は、本ページ上部の「最終更新日」の更新をもって直ちに効力を発揮します。
10.2 重大な改定（実質的変更）
収集する個人情報のカテゴリ拡大、新たな利用目的の追加、第三者提供先の大幅な変更、またはユーザー権利の制約に関わる重大な変更を行う場合、当運営は施行日の少なくとも30日前までに、本サービス内の重要告知バナー、ダッシュボード通知、または登録メールアドレスへの直接通知により周知します。法令で義務付けられる場合、新ポリシーに対する事前の再同意を取得します。
第11条（データ保護責任者（DPO）および社内ガバナンス体制）
当運営は、個人データの適正な管理と国際的プライバシーコンプライアンスの遵守を専門的に統括するため、独立した権限を有する「データ保護責任者（Data Protection Officer: DPO）」および情報セキュリティ委員会を設置しています。
- DPOの主たる職務： APPI、GDPR、CCPA等の法令遵守状況の継続的監視、新機能開発に伴う「プライバシー影響評価（DPIA: Data Protection Impact Assessment）」の事前検証と承認、データ侵害インシデント時の監督機関報告及びユーザー対応の統括、社内プライバシー教育の推進。
- 社内ガバナンスと監査： ユーザーデータへのアクセスログは定期的な内部セキュリティ監査および第三者セキュリティ監査機関による検証を受け、権限逸脱や不正アクセスの兆候を早期に検知・是正します。
第12条（Cookieポリシーとトラッキング技術の詳細規則）
本サービスでは、ユーザーの利便性向上、認証セッションの維持、セキュリティ強化、及びトラフィック統計の収集を目的として、Cookie（クッキー）及び類似の技術（ローカルストレージ、セッションストレージ、ピクセルタグ、Webビーコン等）を使用しています。
12.1 使用するCookieの明確なカテゴリ分類
本サービスの基本機能を提供するために絶対に必要なCookieです。ユーザーのログイン認証セッションの保持、クロスサイト・リクエスト・フォージェリ（CSRF）攻撃の防御、ロードバランサーによる通信負荷分散等に使用されます。これらを無効化すると本サービスは正常に機能しません。
ユーザーが選択した設定情報（言語設定、UIカラーテーマ、サウンド音量設定、チュートリアルの既読状態等）を記憶し、再来訪時における快適な個別設定を復元するために使用されます。
Google Analytics等の第三者解析ツールを用いて、ユーザーによるページ閲覧数、サイト滞在時間、エラー発生率等の統計データを集計します。データは個人が直接特定されない集計値（アグリゲーション）として処理されます。
提携広告配信事業者により設定され、ユーザーの関心に合わせたプロモーションや広告効果測定に用いられます。ユーザーの明示的な同意がある場合にのみ有効化されます。
12.2 Cookieのオプトアウト（無効化）及び設定変更方法
ユーザーは、ブラウザ設定を変更することにより、Cookieの受け入れ拒否や保存されたCookieの削除をいつでも行うことができます。代表的なブラウザでの管理手順は各社の公式サポート窓口（Google Chrome, Apple Safari, Mozilla Firefox, Microsoft Edge）をご参照ください。
Google Analyticsによる分析を無効化したい場合は、Google社が提供する「Google アナリティクス オプトアウト アドオン」をご利用いただけます。
Do Not Track（DNT）および Global Privacy Control（GPC）シグナルへの対応
当運営は、ユーザーのブラウザから送信される「Global Privacy Control（GPC）」シグナルを正当なオプトアウト要求として認識し尊重します。GPCシグナルが検知された場合、本サービスは該当端末からの分析・広告Cookieおよびクロスサイトトラッキングを自動的にブロックします。また、従来の「Do Not Track（DNT）」シグナルについても、業界標準の仕様に準拠して可能な限り追跡の停止を反映します。
第13条（AIとアルゴリズムによる自動意思決定およびプロファイリング）
本サービスでは、ディストピア世界観を統括するAI「Mother-0」の演出に加え、サービスの健全性確保や対戦マッチングの公平性を担保するため、機械学習モデル及びアルゴリズムを用いた自動的意思決定を行っています。
- 不正検知・セキュリティの自動遮断： パケット改ざん、自動マクロ操作、同一IPからの急激な多重アカウント生成、不正RMT（リアルマネートレード）パターン等をAIアルゴリズムがリアルタイムに判定し、悪質と評価されたアクセスに対して自動的な接続遮断や一時的アカウント制限措置を実行します。
- レコメンデーションアルゴリズム： ユーザーの進捗状況、選択傾向、プレイスタイルを分析し、最適なゲーム内ミッション、イベント、またはおすすめ機能を提案します。
- 対戦マッチング及び経済バランスの自動調整： プレイヤーの勝率やRP推移に基づいて公平なマッチングを算定し、ゲーム内市場の健全性を保つためのレート計算を行います。
人間によるレビュー（Human Review）を求める権利及びプロファイリングへの異議申立
GDPR第22条およびその他適用法令に基づき、ユーザーは「完全に自動化されたアルゴリズムの決定のみによって、自己のアカウント停止や契約解除等の重大な法的効果をもたらす決定がなされた場合」、当該決定に対して人間の専門スタッフによる再審査（Human-in-the-Loop レビュー）を要求する権利を有します。また、プロファイリングの判定根拠についての要約的説明を求め、自己の主張を申し立てることができます。再審査の申請は第15条のDPO窓口にて受け付けます。
第14条（未成年者および保護者向けプライバシー規定の詳細化）
当運営は、未成年者の健全な育成環境の保護及びオンラインプライバシーの保護を最重要課題と位置づけ、米国児童オンラインプライバシー保護法（COPPA）、英国Age-Appropriate Design Code（AADC）、及びEU GDPR第8条を遵守します。
14.1 13歳未満のサービス利用禁止と検知手段
本サービスは、13歳未満（または居住地域の法令が定める同意年齢未満）の児童を対象としたものではなく、13歳未満の児童によるアカウント登録および利用は固く禁止されています。当運営はアカウント開設時の年齢認証ゲートを設置し、虚偽の申告や13歳未満の児童による無断利用が判明した場合には、事前の通知なく直ちにアカウントを凍結し、収集された一切の個人データを復元不可能な方法で完全消去します。
14.2 未成年者向け個人情報収集の最小化原則
13歳以上18歳未満（または成年に達していない）未成年ユーザーが本サービスを利用する場合、当運営はサービス提供に必要な絶対最小限のデータのみを収集し、行動ターゲティング広告の配信対象から完全に除外します。また、精密な位置情報の収集や第三者へのプロファイリング目的の共有は行いません。
14.3 保護者（法定代理人）の権利とコントロール
保護者または親権者の方は、お子様が本サービスに提供した個人データについて、以下の強力な管理権利を有します：
- お子様のアカウントに保存されている個人データの確認・開示の請求。
- 不正確な情報の訂正、または個人データの利用停止・即時削除の要請。
- これ以降のさらなる個人データの収集の停止要求。
- プレイ時間に関するアラート設定やアカウント保護措置の要請。
保護者の方による権利行使のご請求は、保護者専用窓口（下記第15条のDPOメールアドレス）宛てに「保護者による権利行使要求」と記載の上ご連絡ください。適切な本人確認および親権確認の手続きを経て迅速に対応いたします。
第15条（お問い合わせ・苦情申立・外部監督機関への申告手続）
当運営の個人情報の取扱い、本ポリシーの運用、またはプライバシーに関する権利行使についてご不明な点、ご意見、苦情のお申し立てがある場合は、以下の専門窓口までお問い合わせください。
【Capital Zero 運営事務局 データ保護・プライバシー統括管理室】
※本人確認のため、アカウント登録時の認証情報または本人確認書類の提示をお願いする場合があります。
独立した外部公的監督機関への苦情申立権
万が一、当運営の苦情対応にご満足いただけない場合、または当運営による個人情報処理が適用法令に違反しているとお考えの場合、ユーザーは自己の居住地域の管轄監督機関に直接申告・異議を申し立てる正当な権利を有します。
- 日本国内のユーザー：
個人情報保護委員会（PPC / Personal Information Protection Commission）
公式ウェブサイト：https://www.ppc.go.jp/ - 欧州連合（EU/EEA）域内のユーザー：
各EU加盟国のデータ保護監督機関（DPA / Data Protection Authority）
欧州データ保護会議（EDPB）加盟機関一覧：https://edpb.europa.eu/about-edpb/about-edpb/members_en - 英国のユーザー：
情報コミッショナーオフィス（ICO / Information Commissioner's Office）
公式ウェブサイト：https://ico.org.uk/ - 米国カリフォルニア州のユーザー：
カリフォルニア州プライバシー保護局（CPPA）およびカリフォルニア州司法長官事務所
公式ウェブサイト：https://cppa.ca.gov/ / https://oag.ca.gov/privacy