プライバシーポリシー

1. 運営者

ホスト型POCXサービスは、オーストラリアの会社であるHaxo Pty Ltd（以下「Haxo」「当社」）が提供しています。プライバシーに関するお問い合わせは pocx@haxo.com.au までご連絡ください。

2. 2種類の利用者と、当社の2つの役割

POCXは2つのグループのデータを扱い、それぞれで当社の役割が異なります。

• オペレーター（ワークスペースのオーナーとチーム）: このデータの取り扱いは当社が決定します（データ管理者）。
• 閲覧者・評価者（デモを共有される相手）: 当社はお客様の指示に基づき、処理者としてデータを処理します。閲覧者を招待する適法な根拠はお客様が確保してください。

3. 収集する情報

• オペレーターアカウント — 氏名、メールアドレス、ワークスペース名、ワンタイムログインコード（ハッシュのみ保存。パスワードは存在しません）。
• 閲覧者の本人確認情報と署名 — 招待されたメールアドレス、OTPリクエストのメタデータ、各電子署名について規約本文のSHA-256ハッシュ、タイムスタンプ、IPアドレス、ユーザーエージェント、および署名者に送付するPDF証明書。この証拠こそがプロダクトであり、署名の防御力の源です。
• アクセスイベント — ログイン、拒否、取り消し、（SDKイベントログを有効にした場合）保護対象アプリのページビューイベント。
• 決済情報 — Stripeが処理します。当社がカード番号を見たり保存したりすることはありません。
• 運用ログ — セキュリティとデバッグのための短期間のサーバーログ（IP、ユーザーエージェント、リクエストパス）。

当社は意図的に、お客様のデモの中身には一切関与しません。閲覧者がゲートを通過した後のトラフィックはお客様のアプリケーションに直接流れ、POCXを経由しません。

4. 利用目的

• ゲートの運用: 本人確認、署名の記録、セッションとプラン制限の適用。
• トランザクションメールの送信（ログインコード、署名証明書、プロダクト通知）。同意なくマーケティングメールを送ることはありません。
• サービスの安全性の維持（レート制限、不正利用の防止）。
• Stripeを通じたProワークスペースの課金。

個人情報を販売することはなく、広告目的にも使用しません。

5. Cookie

POCXが設定するのは機能性Cookieのみです。

• セッションCookie（HMAC署名付き）— オペレーターおよびゲートのログイン用。
• ロケールCookie（pocx_locale）— 言語設定の記憶用。

分析用・広告用のCookieはありません。

6. データに触れる外部事業者

サービスの運営には少数の外部処理者を利用しています。

• Railway — クラウドホスティング（アプリケーションとデータベース）
• Resend — トランザクションメールの配信（ログインコード、証明書）およびサポート宛て受信メール
• Stripe — 決済
• MonGPT — マーケティングページのAIサポートチャット（チャットに入力されたメッセージを処理します。ホスト型ゲートやダッシュボードには設置されていません）。

これらの事業者はオーストラリア国外（主に米国）でデータを保存することがあります。各事業者には業務に必要な情報のみを共有します。

7. 保存期間

• 署名の証拠と監査イベントは、ワークスペースが存在する限り保持されます。これはお客様の保護が依拠する記録だからです。
• ワンタイムログインコードは数分で失効し、ハッシュのみ保存されます。
• 運用ログは短期間保持され、ローテーションされます。
• ワークスペースを削除すると、そのデータは30日以内に本番システムから削除されます（バックアップは所定のスケジュールで消滅します）。

8. セキュリティ

ログインコードはハッシュ化・使い捨て・レート制限付き、セッションはHMAC署名付きで取り消し可能、アクセスはワークスペース単位に制限され、すべての変更操作で再確認されます。脆弱性のご報告は pocx@haxo.com.au まで（GitHubリポジトリのセキュリティポリシーもご覧ください）。

9. お客様の権利

当社は、オーストラリア1988年プライバシー法（連邦法）およびオーストラリア・プライバシー原則（APPs）に従って個人情報を取り扱います。GDPRなどの法律が適用される場合、お客様はそれらの法律に基づく権利を有します。個人情報へのアクセス、訂正、エクスポート、削除のご請求は pocx@haxo.com.au までメールでお寄せください。あなたが他者のデモの閲覧者である場合、署名記録はワークスペースオーナーの指示に基づき存在するため、ご請求をオーナーに取り次ぐことがあります。

10. セルフホスト

オープンソース版をご自身のインフラで運用する場合、Haxoには何も送信されません。アカウントもテレメトリーも外部通信もありません。本ポリシーはpocx.devのホスト型サービスにのみ適用されます。

11. 変更

サービスの発展に伴い本ポリシーを更新し、冒頭の日付を更新します。重要な変更はワークスペースのオーナーにメールでお知らせします。

12. お問い合わせ

プライバシーに関するご質問・ご請求は pocx@haxo.com.au まで。あわせて利用規約もご覧ください。