プライバシーポリシー

1. 管理者

EU一般データ保護規則（GDPR）上の管理者（個人データの取扱いの目的と方法を決め、その責任を負う者。以下「当社」といいます。）は、次のとおりです。

Georg Wächter（個人事業主）
Prinzessinnenstraße 29
12307 Berlin, Germany（ドイツ連邦共和国ベルリン）
電話番号：+49 179 5644922
メールアドレス：info@trackplanner.io

2. 総則

当社は、お客様の個人データの保護を重視し、法令（GDPR、ドイツ連邦データ保護法〔BDSG〕、ドイツ電気通信デジタルサービスデータ保護法〔TDDDG〕）に従い、機密として適切に取り扱います。本プライバシーポリシー（以下「本ポリシー」といいます。）は、ウェブサイト trackplanner.io と、app.trackplanner.io のウェブアプリ（アカウント、レイアウトプラン、お支払い）に適用されます。ウェブアプリからも本ポリシーをご覧いただけます。タブレット向けアプリ Trackplanner Kids には、別のプライバシーポリシーが適用されます（9i.参照）。

3. ホスティング

本ウェブサイトは、Vercel Inc.（440 N Barranca Avenue #4133, Covina, CA 91723, USA）のサーバーで運用しています。同社は、当社の委託を受けて、アクセスデータ（4.参照）などを処理します。法的根拠は、ウェブサイトを安全かつ効率的に提供するという当社の正当な利益です（GDPR第6条第1項(f)）。GDPR第28条に基づくデータ処理契約を締結しています。米国への移転が生じる場合があります。Vercel Inc. は EU-米国データプライバシーフレームワークの認証を受けており、これに加えて標準契約条項を締結しています。

4. サーバーのログファイル

ページの閲覧時には、お客様のブラウザが送信する情報（ブラウザの種類・バージョン、OS、参照元URL、ホスト名、時刻、IPアドレス）が自動で記録されます。これらのデータは、技術的な配信と安全確保のために使用し、他のデータと結び付けることはありません。法的根拠：GDPR第6条第1項(f)。

4a. ウェブアプリのエラー診断（Sentry）

ウェブアプリ（app.trackplanner.io）では、エラー診断のため、Functional Software, Inc.（45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA）のサービス Sentry を利用しています。エラーのデータは EU（フランクフルト・アム・マインのデータセンター） に保存されます。埋め込み表示のレイアウトプラン（他のサイト上のものを含みます）では Sentry を使用しません。本ウェブサイト（trackplanner.io）で Sentry が動作するのは、キャンペーンページだけです。キャンペーンページには、ウェブアプリのインポート機能のお試し画面（以下「インポートプレビュー」といいます。6b.参照）が埋め込まれており、そこではウェブアプリと同じようにエラー診断が動作します。

子どもプロフィールと Trackplanner Kids アプリではエラー報告を送信しません： ウェブアプリで子どもプロフィールが有効になっている間（9g.参照）、及び再読み込みの直後などでどのプロフィールが有効か確定していない間は、Sentry にエラー報告を送信しません。エラーの記録はすべて破棄し、最後に使ったツール、コマンド及び画面も記録せず、クラッシュ検知用の記録も作成しません。保護者プロフィールでは、ここに記載したとおりエラー診断が動作します。アプリ Trackplanner Kids には Sentry が含まれていません（9i.参照）。

目的は、技術的なエラー（プログラムの不具合、クラッシュ、画面のフリーズ）の検知と修正です。お客様の利用行動の分析ではありません。

処理するデータ：

エラーメッセージとスタックトレース
ブラウザ、OS、端末及びグラフィックカードの情報（プロセッサのコア数、メモリ、GPUの名称など）
アプリのバージョン
閲覧中の画面の種類と、直前に閲覧した画面の種類（いずれもURLのうちIDなどのパラメータを除いた部分。例：「/plan/:planId」）
最後に使ったツールとコマンドの名前
開いているレイアウトプランの指標（レイアウトプランの内容は含みません。例：線路の数、使用している線路システム）
アプリが最後に行った通信のアドレス（パラメータを除いたホストとパス）、メソッド及びステータスコード
セッションのアプリ上の属性（料金プランの区分〔アカウントなし、無料又は Premium〕、試験公開中の機能の公開段階、言語、表示中のビュー〔2D/3D〕）

IPアドレスは保存しません（サービス側で無効にしています）。レイアウトプランの内容（座標、名前、文章、画像）も保存しません。通信の際に技術上受け取るIPアドレスから、Sentry は破棄する前におおよその位置（国と都市）を判定し、その位置だけを保存します。

仮名のユーザーID： ログイン中は、関連するエラーを判別するため、エラーの記録にお客様の内部の仮名のアカウントIDを結び付けます（メールアドレスや氏名は含みません）。お客様の権利（10.参照。特に開示と削除）は、これらのデータにも及びます。アカウントを削除しても、これらのデータは自動では削除されず、遅くとも保存期間の経過により消去されます。ご希望があれば、それより前に削除します。

法的根拠は、不具合なく動作するアプリという当社の正当な利益です（GDPR第6条第1項(f)）。Sentry との間で、GDPR第28条に基づくデータ処理契約を締結しています。Functional Software, Inc. 又はその再委託先が米国からアクセスできる場合、その移転は、Sentry が認証を受けている EU-米国データプライバシーフレームワークに関する欧州委員会の十分性認定（GDPR第45条）に基づきます。これに加えて、欧州委員会の標準契約条項を締結しています（GDPR第46条第2項(c)）。保存期間： 最長90日で、その後エラーの記録は自動で削除されます。

端末内の保存： クラッシュを検知するため、アプリはブラウザのタブごとに、ブラウザのローカルストレージに小さな記録を保存します（キー tp.sw.*：開始時刻、最後の動作確認の時刻、アプリのバージョン、パラメータを除いたルート、最後に使ったコマンドの名前）。また、タブのセッションストレージに、ランダムなタブ識別子（tp.sw.id、タブを閉じると消えます）を保存します。この記録は、ページを通常どおり閉じると削除されます。クラッシュの後に残った場合は、次にアプリを開いたときに分析してから削除します。クラッシュから7日を超えている場合は、分析せずに削除します。アプリを再び開かない場合、ウェブサイトのデータを削除するまでブラウザに残りますが、お客様の端末の外に送られることはありません。子どもプロフィールが有効になっている間は、この記録を作成せず、既存の記録を削除します。これらの記録は、お客様が利用するサービスに技術上必要なものです（TDDDG第25条第2項）。

5. ブラウザのCookieとストレージ

当社は、分析や広告を目的とする Cookie を使用しません。そのため、同意を求めるバナーも必要ありません。本ウェブサイトでは、お客様が求める機能に必要な記録だけを保存します（TDDDG第25条第2項第2号）。

Cookie tp-lang（言語の選択）：ページ下部で言語を切り替えたとき、又は ?lang=de 付きのアドレスを開いたときに初めて設定され、別の言語へ自動で転送しないようにします。内容：de、en 又は ja。有効期間：1年。同じ値をブラウザのローカルストレージ（localStorage、キー tp-lang）にも保存します。
localStorage tp-glossar-view：用語集をアルファベット順とテーマ別のどちらで表示するかを記憶します。

これらの記録は、お客様の端末の外に送られません。ただし Cookie tp-lang は、ページを開くたびにブラウザがホスティング事業者に送信します（3.参照）。これらはいつでもブラウザで削除できます。その場合、ウェブサイトは言語の自動判定とアルファベット順の表示に戻ります。

ウェブアプリ（app.trackplanner.io）がブラウザに保存する記録は、9b.に記載しています。

6. Cookieを使わないアクセス測定（Vercel Web Analytics）

本ウェブサイト（trackplanner.io）では、Vercel Inc.（440 N Barranca Avenue #4133, Covina, CA 91723, USA。本ウェブサイトのホスティング事業者と同じです。3.参照）の Vercel Web Analytics によりアクセス数を測定しています。ウェブアプリ（app.trackplanner.io）では Vercel Web Analytics を使用しません。

目的： どのページがどのくらい閲覧され、訪問者がどこから来たかの集計統計により、ウェブサイトを改善すること。当社が分析するのは集計した数値だけで、個々の訪問者は分析しません。
処理するデータ（ページの閲覧ごと、Vercel の説明によります）：日時、閲覧したアドレス（URLとページの型）、参照元のページ（リファラー）、アドレスのパラメータ（フィルタ処理後のもの）、おおよその位置（国、地域、都市）、OSとブラウザ（それぞれバージョンを含みます）、端末の種類（モバイル、デスクトップ、タブレット）、測定スクリプトのバージョン。
Cookie なし： 測定スクリプトは当社のアドレス（/_vercel/insights/script.js）から読み込まれます。Vercel は、第三者の Cookie を使わずに動作するとしています。当社の確認（2026年9月30日時点のスクリプト）でも、スクリプトは Cookie を設定しません。スクリプトは読み込みの際にブラウザのローカルストレージの記録（__va_attribution）を確認しますが、その記録を作成するのは、ウェブサイトが訪問者にユーザー識別子を明示的に付けている場合だけで、当社はそうしていません。訪問者を区別するため、Vercel は受信したリクエストからハッシュ値を作り、そのハッシュ値は 24時間後に破棄されます。日をまたいで、又は他のウェブサイトをまたいで訪問者を再識別することはありません。
法的根拠： ウェブサイトを改善するための集計的なアクセス測定という当社の正当な利益（GDPR第6条第1項(f)）。
委託と第三国： Vercel は当社の委託を受けてデータを処理します。3.のデータ処理契約が適用されます。米国への移転が生じる場合があります。Vercel Inc. は EU-米国データプライバシーフレームワークの認証を受けており（十分性認定、GDPR第45条）、これに加えて標準契約条項を締結しています（GDPR第46条第2項(c)）。
保存期間： Vercel は、当社の料金プランでは分析結果を1か月間提供しますが、データをそれより長く保存する権利を留保しています。Vercel は決まった削除期限を示していません。
異議： お客様は、いつでも測定に異議を述べることができます（GDPR第21条）。当社は個々の訪問者を識別しないため、異議を最も確実に実現する方法は、お客様ご自身がブラウザでスクリプト /_vercel/insights/script.js をブロックすること（コンテンツブロッカーなど）です。その場合も、ウェブサイトはそのまま利用できます。

詳しくは：vercel.com/docs/analytics/privacy-policy

6a. チュートリアル内のYouTube動画

本ウェブサイトのチュートリアルには、動画が含まれる場合があります。動画は、プレビュー画像をクリックしたときに初めて読み込まれます。それまでページが YouTube に接続することはありません（プレビュー画像は当社のサーバーにあります）。クリックすると、ページは YouTube のプライバシー強化モード（youtube-nocookie.com）でプレーヤーを読み込みます。提供者は Google Ireland Limited（Gordon House, Barrow Street, Dublin 4, Ireland）です。その際、Google はお客様のIPアドレス、ブラウザの情報及びページのアドレスを受け取ります。再生を始めると、YouTube が Cookie や類似の技術を使用することがあります。法的根拠は、クリックによるお客様の同意です（GDPR第6条第1項(a)、TDDDG第25条第1項）。ページを再読み込みし、動画を再生しないことで、同意を撤回できます。Google は米国でもデータを処理することがあります。Google LLC は EU-米国データプライバシーフレームワークの認証を受けています（GDPR第45条）。詳しくは：policies.google.com/privacy

6b. ウェブアプリのコンテンツとプレビュー画像

本ウェブサイトの一部のページは、クリックしなくても当社のウェブアプリのコンテンツを表示します。

ギャラリー： トップページのレイアウトプランのギャラリー（app.trackplanner.io から埋め込み、Vercel から配信。3.参照）。
インポートプレビュー： キャンペーンページに埋め込んだ、ウェブアプリのインポート機能のお試し画面（同じく app.trackplanner.io から埋め込み、Vercel から配信）。ここではエラー診断も動作します（4a.参照）。インポートプレビューで AnyRail 又は WinTrack のファイルを選ぶと、アカウントがなくても、変換のために Supabase 上の当社サーバーへ送信されます（その他の形式はブラウザ自体が変換します）。当社はそのファイルを保存せず、ファイル名を含まない記録行（エラーの種類、インポートできた割合、認識できなかった商品）だけを保存し、180日後に削除します。不正利用を防ぐため、IPアドレスのソルト付きハッシュ値でアクセスを数えます（7.と同じです）。
プレビュー画像： 当社の Supabase（EU内のホスティング、フランクフルト地域）のストレージから直接読み込むレイアウトプランのプレビュー画像。
ブログ： ブログ記事内の埋め込みレイアウトプランは、クリックした後に初めて読み込まれます。

その際、Vercel 又は Supabase は、技術上、お客様のIPアドレスとブラウザの情報を受け取ります。埋め込まれたウェブアプリは、ブラウザのストレージに記録を保存することがあります（9b.参照）。法的根拠は、当社のサービスを分かりやすく紹介するという当社の正当な利益です（GDPR第6条第1項(f)）。

7. お問い合わせ

メールでお問い合わせいただいた場合、当社は、お問い合わせへの対応のためにその内容を処理します（GDPR第6条第1項(b)又は(f)）。メールは当社のメールボックスに保存され、メールボックスのサービスとして Migadu（スイス） を利用しています。スイスについては、欧州委員会の十分性認定があります。データは、不要になり、保存義務がなくなった時点で削除します。

お問い合わせフォーム： trackplanner.io/kontakt（英語版：/en/contact）のフォームからお問い合わせいただけます。フォームはドイツ語版と英語版のみですが、日本語でご記入いただけます。

処理するデータ： メールアドレスとメッセージ（必須）、お名前（任意）、ページの言語コード、送信日時。自動送信を防ぐため、人には見えない入力欄と、ページを開いてから送信するまでの時間も確認しますが、いずれも保存しません。
目的： お問い合わせへの対応と回答。
不正利用の防止： ウェイティングリストと同じく、送信者ごとに送信の試行回数を数えます。その際、IPアドレスそのものは保存せず、そのソルト付きハッシュ値（IPv6 の場合は /64 プレフィックスのもの）を、時間枠及び試行回数とともに保存します。1時間ごとに実行される処理がこれらの記録を削除します。保存先は、委託先である Supabase（EU内のホスティング、フランクフルト地域）の当社データベースです。法的根拠は、正常に機能し、不正利用のないサービスという当社の正当な利益です（GDPR第6条第1項(f)）。
法的根拠： お問い合わせが契約に関するものである場合は GDPR第6条第1項(b)、それ以外の場合はお問い合わせに回答するという当社の正当な利益（GDPR第6条第1項(f)）。
送信： メッセージそのものはデータベースに保存せず、メールとして info@trackplanner.io に直接届けます。送信は、委託先であるメール配信サービス Resend（Plus Five Five, Inc.、2261 Market Street #5039, San Francisco, CA 94114, USA）が行います。米国への移転が生じる場合があります。Plus Five Five, Inc. は EU-米国データプライバシーフレームワークの認証を受けており（GDPR第45条）、これに加えて標準契約条項を締結しています（GDPR第46条第2項(c)）。Resend が停止した場合や送信枠を使い切った場合は、代わりに別の委託先であるメール配信サービス Brevo（Brevo GmbH、Köpenicker Str. 126, 10179 Berlin）が送信します。GDPR第28条に基づくデータ処理契約を締結しています。Brevo は EU 域外（米国やインドなど）の再委託先も利用しており、それらへの移転が生じる場合があります。その移転は欧州委員会の標準契約条項（GDPR第46条第2項(c)）に基づき、米国の受領者が EU-米国データプライバシーフレームワークの認証を受けている場合は、その十分性認定（GDPR第45条）にも基づきます。メールは当社のメールボックスに保存され、メールボックスのサービスとして Migadu（スイス） を利用しています。スイスについては、欧州委員会の十分性認定があります。
保存期間： お問い合わせへの対応が完了し、法令上の保存義務がない場合、メッセージを削除します。

ウェブアプリから当社へのメッセージ： ウェブアプリ（app.trackplanner.io）では、エディターから当社に直接メッセージを送れます（「メッセージを送る」）。エディターの利用にはアカウントが必要で、メッセージはお客様のアカウントに結び付けられます。

処理するデータ： メッセージ、任意の件名、アカウントのメールアドレスと表示名、アカウントの識別子、言語コード、送信日時、そして問題を把握するための技術的な情報（アプリのバージョン、ブラウザ・OS、ウィンドウの大きさとブラウザの言語、料金プランの区分、作業中のレイアウトプランの識別子・タイトル・リンク、直前にエラーが起きていた場合は対応するエラー報告の識別子〔4a.参照〕）。
送信される内容は、送信前に確認できます（「一緒に送る情報」）。レイアウトプランとの関連付けは外すことができます。
目的： お問い合わせへの対応と回答、報告された不具合の修正。
法的根拠： お客様と締結した利用契約に基づいて本サービスを正常に機能させる場合は GDPR第6条第1項(b)、それ以外の場合はお問い合わせへの回答とサービスの改善という当社の正当な利益（GDPR第6条第1項(f)）。
送信： メッセージはデータベースに保存せず、メールとして info@trackplanner.io に直接届けます。送信とメールボックスには、上記のお問い合わせフォームと同じ委託先を利用します。委託先である Resend（Plus Five Five, Inc.、米国）（米国への移転が生じる場合があります。根拠は上記と同じく、データプライバシーフレームワークと、これに加えて標準契約条項）、その代わりとして Brevo（Brevo GmbH、ベルリン）（根拠は上記と同じ）、メールボックスのサービスとして Migadu（スイス）（欧州委員会の十分性認定）です。
不正利用の防止： アカウントごと・時間枠ごとのメッセージ数を制限しています。カウントは、Supabase（EU内のホスティング、フランクフルト地域）の当社データベースで、アカウント識別子のソルト付きハッシュ値を用いて行います。1時間ごとに実行される処理がこれらの記録を削除します。ここではアカウントがあるため、ウェブサイトのお問い合わせフォームと異なり、IPアドレスは処理しません。法的根拠は、正常に機能し、不正利用のないサービスという当社の正当な利益です（GDPR第6条第1項(f)）。
保存期間： お問い合わせへの対応が完了し、法令上の保存義務がない場合、メッセージを削除します。

日本語でのお問い合わせ： 日本語でお問い合わせいただいた場合、当社は、お客様のメッセージと当社の回答を、Anthropic（Anthropic, PBC、米国）の AI サービス Claude を利用して翻訳します。その際に渡すのはメッセージの本文だけで、氏名、メールアドレス、電話番号、住所、注文番号及び顧客番号は事前に削除します。翻訳には、商用の利用条件及びデータ処理契約が適用される方法（API 又は商用アカウント）だけを使います。Anthropic は、これらの文章を AI の学習に利用しません。翻訳の際、データが米国に送信される場合があります（11.（4）参照）。法的根拠は、お客様の言語でお問い合わせに回答するという当社の正当な利益です（GDPR第6条第1項(f)）。これを望まない場合は、ドイツ語又は英語でお問い合わせください。当社では、翻訳前後の文章を、他のお問い合わせと同じくメールボックスにのみ保存します。

エラー画面からのお問い合わせ： ウェブアプリがクラッシュした場合、エラー画面にメールのリンクが表示されます。リンクを押すと、件名とエラー報告の識別子が入力された状態で、お客様のメールソフトが開きます。お客様の操作なしに送信されることはなく、お客様がメールを送信するまで、当社にデータが送られることはありません。

8. リリース前のウェイティングリスト（メールアドレスの登録）

当社のトップページでは、Trackplanner の公開時にお知らせを受け取り、公開記念の特典を受けるため、メールアドレスをウェイティングリストに登録できます。

処理するデータ： メールアドレス、言語コード、登録・確認の日時、公開のお知らせメールの送信日時、登録解除の日時（解除した場合）、通し番号。
ダブルオプトイン： 入力後、確認メールを送信します。確認リンクをクリックして初めて登録が有効になります。これにより、そのアドレスが本当にお客様のものであることを確かめます。
目的： 公開のお知らせと、創設メンバー特典（年額 Premium をご契約いただくと、当初の1年間の後に6か月間、Premium を無料で利用できる特典。ドイツ語の利用規約第5b条）の付与。日本国内に常居所（生活の本拠として通常居住している場所をいいます。）を有するお客様が日本向けの申込手続（料金を日本円で表示する申込手続）で年額 Premium をお申し込みになる場合、創設メンバー特典は適用されません（利用規約第6条第4項）。
法的根拠： お客様の同意（GDPR第6条第1項(a)）。
メールの送信： 委託先であるメール配信サービス Resend（Plus Five Five, Inc.、米国）（所在地と米国への移転の根拠は、7.のお問い合わせフォームと同じです。データプライバシーフレームワークと、これに加えて標準契約条項）、又はその代わりとして Brevo（7.参照）を利用します。
保存： 委託先である Supabase（EU内のホスティング、フランクフルト地域）の当社データベースに保存します。
当社への通知： お客様が登録を確認すると、当社（連絡先は1.のとおり）宛てに通知メールが送られます。確認していない登録では送られません。通知メールには、入力されたメールアドレス、言語コード、フォームの設置場所、ウェイティングリストの順番、確認日時が含まれます。このメールは当社のメールボックスに保存され、メールボックスのサービスとして Migadu（スイス） を利用しています。スイスについては、欧州委員会の十分性認定があります。通知は、ウェイティングリストのデータとともに、遅くとも公開キャンペーンの終了後に、又はお客様から削除の請求があったときに削除します。
不正利用の防止： フォームからの大量登録を防ぐため、送信者ごとに登録の試行回数を数えます。その際、IPアドレスそのものは保存せず、そのソルト付きハッシュ値（IPv6 の場合は /64 プレフィックスのもの）を、時間枠及び試行回数とともに保存します。1時間ごとに実行される処理がこれらの記録を削除します。法的根拠は、正常に機能し、不正利用のないサービスという当社の正当な利益です（GDPR第6条第1項(f)）。
撤回・削除： お客様は、いつでも将来に向かって同意を撤回できます。公開のお知らせメールにある登録解除のリンクから、又は当社へのご連絡（メールで足ります）によって行えます。登録を解除すると、再びご連絡しないよう、お客様の登録に記録を付けます。上記のその他のデータは、その時点ではそのまま保存されます。削除をご請求いただければ、登録を完全に削除します。当社は、別の同意（アカウントやニュースレターなど）がない限り、遅くとも公開キャンペーンの終了後にウェイティングリストのデータを削除します。

9. ウェブアプリ、アカウント及びお支払い

登録、レイアウトプランの保存及び有料プランの契約は、ウェブアプリ（app.trackplanner.io）で行います。ウェブアプリは本ウェブサイトと同じく Vercel から配信しています（3.参照）。アカウント、レイアウトプラン及び契約のデータは、委託先である Supabase（EU内のホスティング、フランクフルト地域）の当社データベースにあります。ウェブアプリでの処理には本ポリシーが適用されます。タブレット向けアプリ Trackplanner Kids には、別のプライバシーポリシーがあります（9i.参照）。

アカウントとレイアウトプラン：

処理するデータ： メールアドレス、パスワード（Supabase の認証サービスにハッシュ値としてのみ保存）、表示名、言語と設定、最後に利用した日時、アカウントの利用状況の集計値（作成したレイアウトプランの数や配置した線路の数など）、レイアウトプラン（各バージョンを含みます）、手持ちリスト、他のアカウントへの共有設定、そしてインポートの記録と、公開時にお客様が行った確認の記録。
目的と法的根拠： 利用契約に基づくウェブアプリの提供（GDPR第6条第1項(b)）。
アカウントに関するメール： メールアドレスの確認、パスワードの再設定、ログイン用リンク、メールアドレスの変更（新しいアドレスと、場合によっては以前のアドレスにも）などのため、リンク付きのメールをお送りします。そのため、お客様のメールアドレスとメールの内容を、委託先であるメール配信サービス Resend、又はその代わりとして Brevo に送信します（所在地と移転の根拠は、7.のお問い合わせフォームと同じです）。
保存期間： アカウントがある間。当社の判断でレイアウトプランを削除することはありません。お客様が削除したレイアウトプランは1年間ごみ箱に保管し、その後完全に削除します。ファイルのインポートの記録は180日後に、インポートのためにアップロードされたファイルは30日後に削除します。アカウントを削除すると、非公開のレイアウトプランと限定公開（リンクを知っている人だけが閲覧でき、ギャラリーには表示されない設定）のレイアウトプランを削除します。公開されているレイアウトプランは残りますが、お客様のアカウントとの結び付きを外し、お客様の表示名をレイアウトプランから削除します。他の人がお客様のレイアウトプランから作成したコピーについても同様です。それらのレイアウトプランは、その後、作成者なし又は「Trackplanner のユーザー」によるものとして表示されます。一時保存（当社のホスティング事業者のサーバーや訪問者のブラウザ）では、キャッシュが更新されるまでの間、名前がまだ表示されることがあります。ギャラリーとレイアウトプランのページ及びその他の埋め込みでは通常1日以内、バージョンを固定した埋め込みレイアウトプランでは最長1年です。

公開されたレイアウトプランとギャラリー： レイアウトプランを公開すると（無料プランのアカウントではレイアウトプランは常に公開されます。利用規約第12条、第13条）、タイトル、説明、レイアウトプラン自体、プレビュー画像、大きさ・線路システム・閲覧数などの指標、そして作成者としてのお客様の表示名を、誰でも見ることができます。これらは、アプリのギャラリー、trackplanner.io の「レイアウトプラン」、他のウェブサイトへの埋め込みに表示されます。表示名はアカウント設定で変更できます。Google でログインした場合、表示名には Google に登録されているお名前が最初に入ります。他の人と一緒にレイアウトプランを作業する場合、その人たちにはお客様の表示名（ない場合はメールアドレス）と変更内容が表示されます。

レイアウトプラン内の画像： レイアウトプランにアップロードした画像は、当社の Supabase のストレージに、推測しにくいアドレス（お客様のアカウントIDを含みます）で保存されます。このアドレスは、ログインしなくても開くことができます。非公開のレイアウトプランであっても、アドレスを知っている人は見ることができます。そのため、ご自身以外に見られたくない画像はアップロードしないでください。

招待と共有： メールアドレスを指定して他の人をレイアウトプランに招待すると、当社はそのアドレスを招待とともに保存し、そのアドレスに招待メールを送ります（送信は Resend、又はその代わりとして Brevo。7.参照）。招待は、招待された人がアカウントを作成した時点で削除します。それ以外の場合は、お客様が共有を取り消すか、レイアウトプランが完全に削除される（ごみ箱の後。上記参照）まで残ります。お客様がアカウントを削除しても、レイアウトプランが公開されたレイアウトプランとして残る限り同様です。法的根拠は、レイアウトプランを他の人と共有するという当社とお客様の正当な利益です（GDPR第6条第1項(f)）。

公開されたレイアウトプランの通報： 公開されたレイアウトプランを通報すると、当社はお客様のアカウントID、理由、コメント及び対応状況を保存します。当社の判断はメールでお知らせします。レイアウトプランを削除した場合は、作成者にもその理由をお知らせします（送信は Resend、又はその代わりとして Brevo。7.参照）。法的根拠は、通報への対応に関する当社の義務の履行です（GDPR第6条第1項(c)及びEUデジタルサービス法〔DSA〕第16条、第17条）。通報の削除期限は、まだ決まっていません。

Stripe によるお支払い： 決済は、決済サービス事業者である Stripe（Stripe Payments Europe, Limited、アイルランド）を通じて行います。契約の成立後、契約確認のメールをお送りします（送信は Resend、又はその代わりとして Brevo。7.参照）。当社は Stripe に、お客様のメールアドレスと内部のアカウントIDを送信します。請求先住所と支払情報は、お客様が Stripe に直接入力します。当社は Stripe から、契約の状態、顧客と契約の Stripe 上の識別子、請求先住所の国及び請求金額を受け取って保存します。法的根拠は契約の履行（GDPR第6条第1項(b)）であり、請求データについては法令上の保存義務の履行（GDPR第6条第1項(c)）です。これらの義務がある間、請求データを保存します。日本円でお支払いになる場合、又は請求先住所が日本にある場合、当社はさらに、お支払いごとに、Stripe から通知されるお客様のカードの発行国を保存します。日本円でお申し込みになる場合、当社はさらに、契約の成立時に、お客様がお申し込みになった国を保存します。そのために当社が読み取るのは、ホスティング事業者の Vercel がお客様のIPアドレスから判定する国コード（例：「JP」）だけで、IPアドレスそのものは読み取りません。これらの情報は、お客様の居住国を記録し、証明するためのものです。売上がどの国で課税されるか（たとえば、日本の売上として、日本の消費税の納税義務の判定基準となる売上高に算入されるか）は、居住国によって決まります。法的根拠は税務上の義務の履行（GDPR第6条第1項(c)）であり、EU域外の税務上の義務については、それを履行し、証明できるようにするという当社の正当な利益（GDPR第6条第1項(f)）です。カードの発行国とお申し込みになった国は、請求データと同じ期間保存します。お申し込みになった国は、お客様の同意の記録にも保存され、その記録とともに削除されます（「購入時の同意」を参照）。Stripe は、支払データの一部を自らの責任で処理します。詳しくは：stripe.com/privacy

Trackplanner Family： Trackplanner Family（子どもプロフィール向けの有料の拡張機能。一回払い）は、ユーロ建てでのみ提供し、日本向けの申込手続では提供しません。ブラウザで購入した場合、決済は上記のとおり Stripe を通じて行い、契約確認のメールをお送りします。購入については、有効化の経路（Stripe での購入、ギフトコード、App Store 又は Google Play）、購入の識別子（Stripe の場合は決済セッションと支払いの識別子）、有効化の日時、及び取消しがあった場合はその日時と理由（返金や撤回など）をお客様のアカウントに記録します。アプリ内の案内から購入が始まった場合は、その案内がどの機能に関するものだったかも記録し、どの機能が購入につながるかを知るため、集計した形でのみ分析します。ギフトコードを利用した場合は、コードをハッシュ値としてのみ、利用したアカウント及び利用日時とともに保存します。法的根拠は契約の履行（GDPR第6条第1項(b)）、集計による分析については、サービスを改善するという当社の正当な利益（同項(f)）です。これらの記録はアカウントとともに削除され、コードには利用済みであることだけが残ります。請求データには、上記の保存義務が適用されます。アプリ Trackplanner Kids での購入については、アプリのプライバシーポリシー（9i.参照）をご覧ください。

購入時の同意： お申込みの際、当社は、お客様が行った意思表示（利用規約とプライバシーポリシーを確認したこと。EU法に基づく撤回権〔ドイツ語の利用規約第6条。以下「撤回権」といいます。〕がある契約では、撤回期間中に直ちにサービスの提供を開始することへの同意を含みます）の証拠として、アカウントID、料金プラン、言語、利用規約の版（撤回権がある契約では、撤回権に関する説明の版も）、文面のハッシュ値及び日時を保存します。日本国内に常居所を有するお客様が日本向けの申込手続でお申し込みになった契約には撤回権はなく、お申込みの撤回もできません（利用規約第10条第1項）。IPアドレスは保存しません。日本円でお申し込みになる場合は、同意の記録に、お客様がお申し込みになった国も保存します（国コードのみ。「Stripe によるお支払い」を参照）。これらの記録は、アカウントがある間保存し、アカウントとともに削除します。法的根拠は、証明義務の履行（GDPR第6条第1項(c)）と、請求権を証明できるようにするという当社の正当な利益（GDPR第6条第1項(f)）です。

解約と撤回： 解約又は撤回の手続き（ページ下部の「解約手続き」など。ログインしていなくても利用できます）を利用すると、当社は、入力されたメールアドレス、契約番号（入力された場合）、意思表示の種類、重大な理由による即時解約（利用規約第9条第6項）の場合はその理由、言語及び日時を処理します。当社は確認用のリンクを、確認後には受付確認をメールでお送りします（送信は Resend、又はその代わりとして Brevo。7.参照）。法的根拠は、ボタンによる解約と撤回権の行使を可能にし、確認するという当社の法令上の義務の履行です（GDPR第6条第1項(c)）。当社は、意思表示を証拠として保存します。撤回の手続きは、撤回権がある契約（ドイツ語の利用規約が適用されるEU域内のお客様の契約など）のためのものです。日本国内に常居所を有するお客様が日本向けの申込手続でお申し込みになった契約で撤回の手続きが利用された場合は、解約として扱います。解約については、利用規約第9条・第10条をご覧ください。

Google でのログイン： ウェブアプリでは、メールアドレスとパスワードの代わりに Google アカウントでログインし、又は Google を追加のログイン方法としてアカウントに連携できます。提供者は Google Ireland Limited（Gordon House, Barrow Street, Dublin 4, Ireland。以下「Google」）です。

流れ： ログイン画面に「Google で続ける」ボタンが表示されると（ログイン画面が自動で開く場合を含みます。たとえば /login を開いたときや、ログインせずにアカウントが必要な画面を開いたとき）、又はアカウント設定に連携用のボタンが表示されると、アプリはボタンを描画する Google Identity Services のスクリプト（accounts.google.com/gsi/client）を読み込みます。この時点で、つまりクリックする前から、 Google は技術上、お客様のIPアドレス、ブラウザの情報及びページのアドレスを受け取ります。その際に Google がお客様の Google アカウントの Cookie を読み取るかどうかは、Google が決めます。ボタンをクリックし、Google 又はブラウザのログイン画面で承認すると、Google はアプリにログイン用のトークンを渡します。アプリはそれを Supabase（EU内のホスティング、フランクフルト地域）の当社の認証サービスに渡し、認証サービスがお客様のセッションを作成します。スクリプトを読み込めない場合（コンテンツブロッカーなど）、ボタンをクリックした後に初めて、Supabase を経由して Google のログインページに移動し、ログイン後にウェブアプリに戻ります。
処理するデータ： 当社は Google から、お客様の Google のユーザーID、メールアドレス、そして Google に登録されている場合はお名前とプロフィール画像のアドレスを受け取ります。これらはアカウントとともに保存し、お名前は表示名の初期値に使います。Google のパスワードを当社が受け取ることはありません。
目的と法的根拠： ご希望に応じてアカウントにログインすることは、利用契約の履行のためです（GDPR第6条第1項(b)）。ボタンを表示した時点で、つまりお客様がログイン方法を選ぶ前に Google のスクリプトを読み込むことは、Google でのログインを正常に機能させるという当社の正当な利益に基づきます（GDPR第6条第1項(f)）。これについて同意は求めていません。この段階（スクリプトの組込みと、その際に生じる Google への送信）については、当社は Google と共同で責任を負います。Google におけるその後の処理については、Google が自ら責任を負います。
第三国： Google は米国でもデータを処理することがあります。Google LLC は EU-米国データプライバシーフレームワークの認証を受けています（GDPR第45条）。詳しくは：policies.google.com/privacy
保存期間： Google との連携は、お客様がアカウント設定で解除するか、アカウントを削除するまで続きます。

登録時の当社への通知： お客様のメールアドレスが確認されると（確認リンクのクリックによって、又は Google でのログインのようにアカウント作成の時点で）、当社宛てに、お客様のメールアドレス、表示名（入力された場合）、アカウントの言語コード及び確認日時を記載した通知メールが送られます。目的は、サービスの立ち上げ期に新しい登録を把握することで、法的根拠はこれに関する当社の正当な利益です（GDPR第6条第1項(f)）。送信とメールボックスには、8.に記載した委託先を利用します。通知は、遅くともお客様がアカウントを削除したとき、又はお客様から削除の請求があったときに削除します。

アクセス元の国： ウェブアプリで、適切な通貨の価格とお近くの販売店を提案し、お住まいの国で一般的な初期設定（新しいレイアウトプランの長さの単位、印刷の用紙サイズ、数字と日付の表記、今後は最初に表示する線路システムも）を選ぶため、当社はアクセスの際に、お客様がアクセスしている国を判定します。そのために当社が読み取るのは、ホスティング事業者の Vercel がお客様のIPアドレスから判定する国コード（例：「DE」）だけです。この目的でIPアドレスそのものは処理せず、この照会を保存も記録もしません。例外は、日本円での有料プランの契約です（「Stripe によるお支払い」を参照）。国コードが届かない場合は、ブラウザの言語設定（例：「de-CH」）から国を判断します。この初期選択は、いつでも変更できます。ログイン中は、Trackplanner がどの国で使われているかを把握し、サービス（支払方法、販売店、言語）をそれに合わせるため、最初に一度だけ国コードを日時とともにアカウントに保存します。その後は変更しません。また、製作計画又はアカウントの設定で、ご自身で国（又は「その他の国」）を選ぶことや、自動判定に戻すこともできます。その選択に応じて、提案する販売店（お住まいの国に配送する販売店のみ。お住まいの国の販売店を優先）、価格を表示する通貨、上記の初期設定が決まります。ログイン中は、この選択をその他の設定と同じくアカウントに保存し、お客様が変更するかアカウントを削除するまで保持します。法的根拠は、いずれも、お客様に合わせたサービスを提供するという当社の正当な利益です（GDPR第6条第1項(f)）。保存した国コードは、アカウントとともに削除します。

パートナー経由の登録： パートナー経由でアクセスし、同じセッションでアカウントを作成した場合、当社は、どのパートナー経由で来たかとその日時を、お客様のアカウントに保存します。これは、そのパートナーをお客様の販売店として設定するよう一度ご提案し、その線路システム又はそのブランドのスターターセットを提案するため、そしてパートナー経由で作成されたアカウントの数とそのうち Premium を利用している数を集計するために使います（GDPR第6条第1項(f)。当社の利益は、提携の成果を把握することです）。パートナーに伝えるのは集計した数値だけで、個々のアカウントの情報は伝えません。お客様は異議を述べることができ（GDPR第21条）、その場合は記録を削除します。

9a. Premium の無料体験と、対照グループを用いた効果の測定

ウェブアプリでは、期間を限って Premium を無料で試せる無料体験を提供することがあります（利用規約第11条）。無料体験のご案内が役に立つかどうかを、対照グループを使って測定します。

割り当て： 無料体験のご案内の実施期間中、対象となるアカウントを、アプリのトップページ又は料金プランの画面を開いたときに一度だけ、ランダムに二つのグループのいずれかに割り当てます。提供グループには無料体験のご案内を表示し、対照グループには表示しません。対象となるのは、作成から一定の日数がたち、これまでに有料プランや無料体験を利用したことのない無料プランのアカウントです。割り当ては固定で、後のご案内で割り当て直すことはありません。通常どおり Premium を購入することは、どちらのグループでも同じようにできます。
処理するデータ： お客様の内部のアカウントID、提供の識別子、所属グループ、割り当ての日時、そして無料体験を開始した場合はその開始と終了の日時。サポートで無料体験を有効にした場合は、当社内部の管理記録にも、誰が、いつ、どのような理由で有効にしたかを記録します。
分析： 集計した形でのみ行います。グループごとに、割り当てたアカウントの数、無料体験を開始したアカウントの数、割り当て後に Premium を購入したアカウントの数（有料プラン、支払済みの請求書、又は販売店を通じて入手したライセンスの利用）を数えます。割り当て後にサポートで無料体験又は Premium を有効にしたアカウントは、どちらのグループにも数えません。利用者のプロファイルは作成しません。そのために Cookie や分析ツールは使わず、第三者にデータを提供しません。
目的と法的根拠： サービスの改善です。無料体験が Premium を選ぶ後押しになるかを知るためです。割り当てと分析の法的根拠は、これに関する当社の正当な利益です（GDPR第6条第1項(f)）。開始した無料体験の提供は、GDPR第6条第1項(b)に基づきます。
保存： 委託先である Supabase（EU内のホスティング、フランクフルト地域）の当社データベースに保存します。割り当てと無料体験のデータは、アカウントがある間保存します。各アカウントの割り当てを一度だけにし、無料体験を最大1回とするためです。アカウントを削除すると、これらも削除します。お客様のデータの開示（GDPR第15条）には、これらも含まれます。当社内部の管理記録（サポートでの有効化）は、当社の操作を追跡できるようにするためのもので、アカウントを削除しても削除しません。
異議： お客様は、いつでも割り当てと分析に異議を述べることができます（GDPR第21条）。info@trackplanner.io へのメールで足ります。その場合、割り当てを削除し、お客様のアカウントに異議を記録します。以後、そのアカウントは将来のものを含め、いずれの無料体験のご案内の対象にもなりません。すでに開始した無料体験は、終了まで利用できます。この記録はアカウントがある間保存し、誰が、いつ、どのような理由で記録したかを当社内部の管理記録にも残します（この管理記録はアカウントを削除しても削除しません）。その法的根拠は、お客様の異議を継続して尊重し、それを証明できるようにするという当社の正当な利益です（GDPR第6条第1項(f)）。

9b. ウェブアプリによるブラウザへの保存

ウェブアプリは Cookie を使用しません。動作のため、ブラウザのストレージに次の記録を保存します（TDDDG第25条第2項第2号）。

ログイン： 認証サービスのセッション（アクセストークン）を、ログインしている間、ローカルストレージ（localStorage）に保存します。
レイアウトプランと作業状況： ブラウザ内のデータベース（IndexedDB「trackplanner」）に、お客様のレイアウトプラン、まだ送信していない変更、元に戻す履歴、手持ちリストを保存します。通信が不安定でもアプリが動作し、何も失われないようにするためです。このデータベースは、アカウントを削除した後も、ウェブサイトのデータを削除するまでブラウザに残ります。
設定と一時保存： 言語、国、配色、表示とツールの設定、表示済みのお知らせ、販売店の商品情報の一時保存、そしてインポート中のファイル（インポートが完了するまで。24時間より古いものは、次にアプリを開いたときにアプリが削除します）。
キャンペーンの識別子： 当社のキャンペーンのリンク（utm_campaign=import-… を含むアドレス）から来た場合、タブはこの識別子をタブを閉じるまで記憶します（sessionStorage tp-campaign）。これは、「インポート開始」や「登録」などの段階がキャンペーンごと・日ごとに何回あったかを集計するためだけに使い、アカウントIDやIPアドレスは使いません。
パートナーの識別子： 当社のパートナー（販売店又はメーカー）のリンクや QR コード（partner=… を含むアドレス）から来た場合、タブは、どのパートナーだったか、よく使う販売店についての質問にすでに答えたか、提案された線路システムを採用したかを、タブを閉じるまで記憶します（sessionStorage tp-partner）。ウェブサイトでは、このために何も保存しません。そこではパートナーはアドレスにのみ含まれます。
クラッシュの検知： 4a.をご覧ください。

これらの記録は、各機能に必要な場合（レイアウトプランをアカウントに保存するときなど）に限り、お客様の端末の外に送られます。

9c. パートナーリンク（アフィリエイトプログラム）

ウェブアプリでは、製作計画、注文画面、選んだパーツの情報、そして「プランチェック」の「必要パーツ」にある購入リンクから販売店に移動できます。その一部はパートナーリンクです。Amazon へのリンクには Amazon のアフィリエイトプログラム（amazon.de は Amazon PartnerNet、amazon.co.jp は Amazon.co.jp アソシエイト・プログラム）における当社の識別子が、eBay へのリンクには eBay Partner Network における当社の識別子が、idee+spiel へのリンクにはパートナーネットワーク AWIN における当社の識別子が含まれます。今後、他の販売店が加わることがあります。このようなリンクから購入されると、当社は紹介料を受け取ります。お客様の支払う価格は変わりません（下記「アフィリエイトリンクについて」を参照）。

クリックする前は、販売店やアフィリエイトプログラムに何も送信しません。
クリックすると、当社のサービスから移動します。販売店又はアフィリエイトプログラムは、リンクに含まれる識別子により、お客様が Trackplanner から来たことを把握し、購入を紐づけるため、ブラウザで Cookie 又は類似の技術を使用することがあります。これについては各事業者が自ら責任を負い、その事業者のプライバシーポリシーが適用されます。当社は、アフィリエイトプログラムから売上と紹介料に関する報告を受け取ります。
クリックの記録： どの購入リンクが使われているかを把握するため、クリックの際に、販売店、レイアウトプランの識別子、品番（ある場合）、日時、そしてログイン中は内部のアカウントIDを、Supabase（EU内のホスティング、フランクフルト地域）の当社データベースに保存します。このためにIPアドレスは保存しません。法的根拠は、購入リンクの効果を測定し、サービスの資金を得るという当社の正当な利益です（GDPR第6条第1項(f)）。記録の削除期限はまだ決まっていません。アカウントを削除すると、アカウントとの結び付きを外します。お客様は保存に異議を述べることができます（GDPR第21条）。info@trackplanner.io へのメールで足ります。
注文の段階（集計）： 製作計画を開いた回数、販売店のカートへ商品を送る操作を開始・完了・中止した回数、カートを「購入済み」と記録した回数を、販売店ごと・日ごとに、明細行数、パーツ数及びウェブアプリで表示している価格に基づく商品金額とともに数えます。カートへ商品を送る際には、選んだ販売店で当社の連携を通じて購入できなかった商品（品番、数量、商品金額）と、代わりにどの販売店へ送ったかも数えます。その際、アカウントID、レイアウトプランの識別子、IPアドレスは保存せず、これらの数値をクリックの記録と結び付けることもありません。販売店に示すのは月ごとの合計だけで、それも5件以上の場合に限ります。
価格の読み込み時の不正利用防止： 価格と購入リンクを表示するため、ウェブアプリは Supabase（EU内のホスティング、フランクフルト地域）の当社サーバーから商品情報を読み込みます。販売店のデータが大量に取得されないよう、ログインしていない場合は、送信者ごとに照会された商品の数を数えます。その際、IPアドレスそのものは保存せず、そのソルト付きハッシュ値（IPv6 の場合は /64 プレフィックスのもの）を、時間枠及び件数とともに保存します。ログイン中は、アカウント識別子のソルト付きハッシュ値を使ってアカウントごとに数えます。1時間ごとに実行される処理がこれらの記録を削除します。あるアカウントが上限を超えた場合は、その内部のアカウントIDとともに、Supabase 上の当社サーバーのログに記録します。このログは、提供事業者が短期間で自動的に削除します。法的根拠は、正常に機能し、不正利用のないサービスという当社の正当な利益です（GDPR第6条第1項(f)）。

アフィリエイトリンクについて
ウェブアプリの購入リンクの一部は、Amazon.co.jpのアソシエイト・プログラムのリンク（アフィリエイトリンク）です。これらのリンクには当社の識別子が含まれます。
・リンクをクリックするまで、Amazonには情報を送信しません。
・クリックすると、Amazon.co.jpのサイトに移動します。Amazonは識別子によりTrackplannerからのアクセスであることを把握し、購入を紐づけるためにCookie等を使用することがあります。その取扱いには、Amazonのプライバシー規約が適用されます。
・どの購入リンクが使われたかを把握するため、クリック時に販売店、レイアウトプランの識別子、品番、日時、ログイン中の場合は内部のアカウントIDを記録します。IPアドレスは記録しません。記録はSupabase（EU、フランクフルト）に保存します。
Amazonのアソシエイトとして、Trackplannerは適格販売により収入を得ています。

9d. フィードバックポータル（feedback.trackplanner.io）

ウェブアプリから、当社のフィードバックポータル feedback.trackplanner.io（ご要望、不具合の報告、ロードマップ、変更履歴）にリンクしています。ウェブアプリのトップページとエディターは、クリックしなくても、そこから公開の変更履歴を読み込みます。その際、ポータルのサーバーは技術上、お客様のIPアドレスとブラウザの情報を受け取ります。ポータルに Trackplanner のアカウントでログインすると、Trackplanner はログイン後に、お客様の内部のアカウントID、メールアドレス及び表示名をポータルに送信します。この送信のために、Supabase（EU内のホスティング、フランクフルト地域）の当社データベースに、ワンタイムコード（一度だけ使えるコード）を作成します。目的は、ご希望に応じたポータルへのログインです（GDPR第6条第1項(b)）。ポータルに投稿した内容は、ポータルのルールに従って表示されます。

ウェブアプリからのご要望： ウェブアプリでご要望を登録し、又はご要望に投票すると、Trackplanner はお客様の内部のアカウントID、メールアドレス、表示名及びご要望の内容をポータルに送信します。ポータルにまだ登録がない場合、ポータルはその際にお客様をユーザーとして登録します。ご要望はお客様の表示名とともに公開されます。メールアドレスは表示されません。フォローしているご要望に変更があると、ポータルからメールでお知らせします。お知らせは、各メールから停止できます。法的根拠は、お客様のご依頼の実行です（GDPR第6条第1項(b)）。Trackplanner 自体はその際に何も保存しません。依頼の回数は、当社へのメッセージと同じく、アカウント識別子のソルト付きハッシュ値で数えます。ウェブアプリのトップページは、お客様が登録又は投票したご要望が完了したかどうかをポータルに照会します。そのため、Trackplanner はお客様の内部のアカウントIDをポータルに送信します。

ポータルでの翻訳： ポータルは、内容をドイツ語と英語で表示します。ご要望、コメント又は変更履歴の項目を表示する際、その言語の文章がまだポータルに保存されていなければ、ポータルは、そのタイトルと本文を DeepL SE（ドイツ、ケルン）に送信します。DeepL SE は、文章の言語を判別し、必要に応じて翻訳します。ポータルは、その結果を保存します。本文が変更された場合は、改めて送信します。ドイツは EU 加盟国であり、個人情報保護委員会が日本と同等の水準にあると認める個人情報保護制度を有する国です（11.（4）参照）。法的根拠は、2か国語のポータルを提供するという当社の正当な利益です（GDPR第6条第1項(f)）。

9e. ウェブアプリの利用履歴

ウェブアプリにログインしている場合、Trackplanner を改善し、サポートでお客様をお手伝いし、どの Premium の機能に関心をお持ちかを把握するため、アプリでの操作を記録します。たとえば、初めての方がどこでつまずくか、どの機能がほとんど使われていないかを知るためです。

処理するデータ： 内部のアカウントID、セッションの識別子（開いているブラウザのタブごと）、操作の種類と日時、そしてある場合はレイアウトプランの識別子。記録するのは次の操作です。ログイン（ログイン方法〔メールや Google など〕とログイン日時を含みます）、ログアウト、アプリを開くこと（開いた画面〔トップページやレイアウトプランなど〕を含みます）。レイアウトプランの作成（線路システム、ゲージ、線路の数、作成の方法〔新規、ファイル形式を含むインポート、スターターセットのコピーなど〕を含みます）、開くこと（線路システムと線路の数を含みます）、名前の変更、複製、削除、共有（共有の方法と役割。招待した人のアドレスは含みません）、公開範囲の変更、エクスポート（形式を含みます）。製作計画と指摘の一覧を開くこと、指摘をクリックし、解決方法を見て、修正し、又は非表示にすること（チェック項目を含みます）。そして、レイアウトプランごと・セッションごとの作業のまとめとして、時間、作業手順の数、追加・削除した線路と付属品、作業の分野（線路、情景、付属品など）、最も多かった手順の種類、さらにあらかじめ決めた主な組立て・編集の操作（線路をつなげる、線路区間を伸ばす、二つの線路を接続するなど）について、その操作を何回使ったか、何手目で初めて使ったか。これは、どの操作方法が見つけられ、使われているかを知るためです。また、無料プランでは使えない Premium の機能を試したとき（どの機能を何回）、「Premium にする」をクリックしたとき、料金プランの一覧を開いたとき（どこから開いたかを含みます）、料金プランを選んだとき、一覧を閉じたとき、そして製作予定についての質問への回答と、製作計画・チェック・エクスポートの対象範囲（レイアウトプラン全体か一部か）を切り替えたかどうか。レイアウトプランのタイトルは、履歴を読めるようにするため、作成、開く、名前の変更、複製及び削除の際に一緒に保存します。レイアウトプランの内容（座標、文章、画像）、IPアドレスは記録せず、ログインしていない間は何も記録しません。
3Dビューを使うとき： 端末の種類に関する情報（プロセッサのコア数、ブラウザが報告するメモリ量、画面の画素密度、端末の種類、グラフィックチップの大まかな分類）、有効だった3D機能、段階で示したレイアウトプランの大きさ、測定したフレーム時間。グラフィックチップの正確な名称は記録しません。
購入への関心度： 過去30日間のこれらの操作と、購入を開始したが完了しなかったかどうかから、お客様の Premium への関心度と、その理由となる機能を計算します。これはお客様の利用行動の分析（プロファイリング）です。当社はこれを、アプリの改善と、アプリ内でお客様に合ったご案内やご提案を表示するために使います。これを理由にメールをお送りすることはなく、お客様の契約、価格又は利用について自動で何かを決めることもありません。
閲覧できる者： 運営者である当社だけが、内部の管理画面で、個別のアカウントについて、及び無料プランのアカウントとその購入への関心度の一覧として閲覧します。閲覧はすべて、当社内部の管理記録に記録します。データを第三者に提供せず、そのために他社の Cookie や分析ツールも使用しません。
目的と法的根拠： ウェブアプリの改善、サポートでのお手伝い、アプリ内での適切なご案内とご提案。法的根拠は、これに関する当社の正当な利益です（GDPR第6条第1項(f)）。
保存： 委託先である Supabase（EU内のホスティング、フランクフルト地域）の当社データベースに保存します。各記録は 30日後に自動で削除し、アカウントを削除した場合は直ちに削除します。お客様のデータの開示（GDPR第15条）には、履歴も含まれます。履歴のために、アプリがブラウザのストレージに追加で保存するものはありません。3Dビューに関する情報は、削除する前に1日1回、アカウントIDとレイアウトプランの識別子を含まない日ごとの集計にまとめます（たとえば、どの種類の端末で何回のセッションが滑らかに動いたか）。この日ごとの集計は期限を定めずに保存します。
子どもプロフィール： ウェブアプリで子どもプロフィールが有効になっている間（9g.参照）は、利用履歴を記録せず、それに基づく算出も行いません。アカウントの利用状況の集計値（9.参照）にも加算しません。アプリ Trackplanner Kids で保護者プロフィールが選ばれていない間も同様です。
異議： お客様は、いつでも記録に異議を述べることができます（GDPR第21条）。アカウント設定の「利用履歴」からご自身で、又は info@trackplanner.io へのメールで行えます。異議を受けると、それまでのアカウントの履歴を直ちに削除し、新たな記録は行いません。異議自体は、アカウントがある間記録します。異議の後は、購入への関心度も計算しません。異議は同じ場所で取り下げることもできます。

9f. Premium 購入後のアンケート

Premium の有料プランを購入した後にウェブアプリに戻ると、Premium を選んだ理由を一度だけお尋ねします。回答は任意です。質問を飛ばすことも、断ることもできます。

処理するデータ： 選んだ理由（決まった一覧から最大三つ）、自由記述（ある場合）、回答した週（暦週）、そして契約が月額か年額か。
アカウントとの結び付きなし： 回答は、アカウントIDや日付・時刻を含めず、暦週だけとともに保存します。それでも特定の可能性が全くないわけではありません。ある週の購入が非常に少ない場合、理論上は、週と購入から回答をアカウントに結び付けることができます。また、回答の保存から最長1日は、データベースへの保存順から回答とアカウントを結び付けられる可能性があります（毎晩、保存順を入れ替えています）。当社はそのようなことは行いません。自由記述に個人的な情報を書いた場合、その情報が含まれることになります。個人的な情報は書かないでください。
すでにお尋ねしたかどうかは、再びお尋ねしないよう、お客様のアカウントに別に記録します（回答済み又は辞退。日時は含みません）。「後で」を選ぶと、次にアプリを開いたときにもう一度質問を表示するため、ブラウザがそのことを記憶します。
目的と法的根拠： サービスの改善です。Premium の決め手になる機能を理解するためです。法的根拠は、製品の改善という当社の正当な利益です（GDPR第6条第1項(f)）。
保存： 委託先である Supabase（EU内のホスティング、フランクフルト地域）の当社データベースに保存します。回答は 24か月後に自動で削除します。アカウントへの記録は、アカウントがある間保存し、アカウントとともに削除します。

9g. 子どもプロフィール

ウェブアプリでは、アカウント内に最大5件の子どもプロフィールを作成し、お子様がキッズ画面で自分の線路を作れるようにできます。アカウントは保護者であるお客様に帰属します。プロフィールの作成と管理は、保護者確認の先でお客様が行います。保護者プロフィールでは、お子様のすべての線路を見ることができます。

処理するデータ： 自由に選べるプロフィール名（1〜24文字。名字は入れず、名前又はニックネームにしてください）、決まった画像の中から選ぶアバター、作成日、プロフィールの線路、及び利用する場合はおねがいリスト（9h.参照）。生年月日、年齢及び写真は扱いません。
子どもプロフィールで行わないこと： 利用履歴の記録と利用状況の集計（9e.参照）、エラー報告（4a.参照）、公開（線路を公開できるのは保護者だけです）、価格とショップの表示、保護者確認を経ない外部リンク。
法的根拠： お客様のアカウントと当社との契約については、契約の履行です（GDPR第6条第1項(b)）。お子様のデータ（プロフィール名、アバター、線路、おねがい）は、正当な利益に基づいて取り扱います（同項(f)）。保護者であるお客様と当社には、お客様が利用するサービスをお子様にも提供するという正当な利益があります。お子様の利益との比較衡量にあたっては、必要最小限のデータしか扱わないこと（生年月日なし、写真なし、自由に選べる名前、利用状況の分析なし）を考慮しています。子どもプロフィールには同意に基づく取扱いがないため、GDPR第8条（子どもの同意）は適用されません。お客様は、プロフィールを削除し、又は当社に連絡することにより、いつでも異議を述べることができます（GDPR第21条）。
一緒に作る： お子様の線路を一緒に作るよう大人を招待した場合、その人にはお子様のプロフィール名とアバターが表示されます。
アカウントなしの場合： 子どもプロフィールはアカウントなしでも作成できます。その場合は、そのブラウザ又は端末にだけ保存します。ログインすると、アカウントに引き継ぎます（最大5件）。
ブラウザへの保存： 子どもプロフィールのため、アプリはブラウザに、プロフィールの一覧、タブで有効なプロフィール、線路とプロフィールの対応、及びアカウントなしの場合はおねがいリストを保存します。これは、お客様が利用する機能に必要なものです（TDDDG第25条第2項第2号）。
保存と削除： 委託先である Supabase（EU内のホスティング、フランクフルト地域）の当社データベースに、プロフィールがある間保存します。子どもプロフィールを削除するときは、その線路を保護者プロフィールに移すか、ごみ箱に入れるか（9.参照）を選べます。そのプロフィールのおねがいリストは削除されます。アカウントを削除すると、すべてのプロフィールを削除します。
開示とエクスポート： プロフィール管理画面から、プロフィールのデータ（プロフィール名、アバター、作成日、線路、おねがいリスト）をファイルとしてダウンロードできます。アカウントのすべてのデータの写しは、info@trackplanner.io にご請求いただければお渡しします（GDPR第15条）。

9h. おねがいリスト（ほしいものリスト）

子どもプロフィールでは、お子様が、線路に足りないパーツやおもちゃを「おねがいリスト」に入れることができます。リストを見て、変更し、共有できるのは、保護者確認の先で、保護者であるお客様だけです。

リストの内容： おねがいごとに、パーツ又はおもちゃ（ライブラリと品番）、数量、そのおねがいが出た線路、お子様とお客様のどちらが追加したか、及び誰かが「用意済み」にした場合はその日時。リストには、お子様が作ったものや選んだものだけが入ります。当社が商品を提案することはありません。
共有： リストを共有するとき、お客様はリストに表示する名前（1〜40文字。プロフィール名の最初の1文字を使った名前があらかじめ入っています。フルネームは使わないでください）を決めます。当社は、この名前、共有した日時、リンクの有効期限、お客様の地域、及びお客様が選んだ場合は優先する販売店を保存し、ページに適切な購入先を表示します。お客様には、ランダムな識別子を含むリンクをお渡しします。当社が保存するのは、その識別子のハッシュ値だけです。
閲覧できる人： リンク先のページは、リンクを知っている人なら誰でも、ログインせずに閲覧できます。ページには、リストの名前と、おねがいごとの画像、名前、メーカー、品番、数量及び購入先が表示されます。プロフィール名、アカウント名、線路及びその画像は表示しません。検索エンジンに登録されないよう設定し（noindex, nofollow）、ページ上のリンクをたどっても、移動先にリストのアドレスは伝わりません（no-referrer）。
リンクの有効期間： 共有した日から90日間です。「リンクを更新」を選ぶと、同じリンクがその日から再び90日間有効になります。新しいリンクを作成した場合も90日間有効で、古いリンクは使えなくなります。お客様がリンクを無効にしたとき、又はプロフィール若しくはアカウントが削除されたときは、その時点で使えなくなります。有効期限が過ぎると、ページには共有が終わったことだけが表示され、リストの名前やおねがいは表示されません。リンクを無効にすると、リストは再び非公開になります。
「用意済み」： リンクを知っている人は、おねがいを「用意済み」にし、それを取り消すことができます。当社が保存するのは、その印と日時だけで、贈る人の名前や連絡先は保存しません。何が用意済みかは、お子様には表示されません。
ページの閲覧時には、通常のページの閲覧と同じくサーバーのログファイルが作成されます（4.参照）。総当たりや不正利用を防ぐため、閲覧と「用意済み」の操作の回数を、送信元ごとに、IPアドレスのソルト付きハッシュ値で数えます（7.と同様）。IPアドレスそのものは、そのために保存しません。ページは、読み込んだ販売店の情報を、短い時間、ブラウザに保存することがあります（ウェブアプリと同様。9b.参照）。アカウントやプロフィールの情報は保存しません。
購入リンク： 購入先のリンクは販売店につながり、その一部はパートナーリンクです（9c.参照）。このページでのクリックは、9c.と同様に記録しますが、アカウントIDとレイアウトプランの識別子は記録しません。商品は販売店から購入するものであり、当社は玩具を販売しません。
法的根拠： お子様のおねがいについては子どもプロフィールと同じく正当な利益（9g.参照。GDPR第6条第1項(f)）、共有とリンクについてはお客様との契約の履行（同項(b)）、贈る人向けのページと不正利用の防止については、安全に提供するという当社の正当な利益（同項(f)）です。
保存と削除： 委託先である Supabase（EU内のホスティング、フランクフルト地域）の当社データベースに保存します。おねがい、プロフィール又はアカウントを削除すると、関係するデータを削除します。アカウントなしの場合、リストはブラウザにだけ保存され、共有はできません。

9i. App Store 及び Google Play の Trackplanner Kids

タブレット向けアプリ Trackplanner Kids には、別のプライバシーポリシー（ドイツ語）が適用されます：trackplanner.io/datenschutz-kids-app。アプリが取り扱うデータを説明しており、App Store 及び Google Play の掲載ページからもリンクしています。要点は次のとおりです。アプリはアカウントなしで使え、エラー報告を送信せず、広告も他社の分析ツールも含みません。ログインはメールアドレスでのみ行い、アプリが接続するのは当社のサーバーと、購入時の Apple 又は Google だけです。

10. お客様の権利

お客様は、いつでも、開示（第15条）、訂正（第16条）、削除（第17条）、処理の制限（第18条）、データポータビリティ（第20条）、異議（第21条）及び同意の撤回（GDPR第7条第3項）を求める権利を有します。また、データ保護監督機関に苦情を申し立てる権利を有します。

管轄の監督機関：ベルリン州データ保護・情報自由監察官（Berliner Beauftragte für Datenschutz und Informationsfreiheit、BlnBDI）、Alt-Moabit 59–61, 10555 Berlin, Germany

11. 日本にお住まいの方へ（個人情報の保護に関する法律に基づく公表事項）

当社は、日本にお住まいの方の個人情報を、本ポリシーの各項目に加え、個人情報の保護に関する法律（以下「個人情報保護法」といいます。）に従って取り扱います。

（1）事業者 Georg Wächter（個人事業主）、Prinzessinnenstraße 29, 12307 Berlin, Germany。代表者：Georg Wächter

（2）利用目的 本ポリシーの1.から10.に記載した目的（アカウントの管理、本サービスの提供、料金の請求、税務上の義務の履行（お客様の居住国の確認を含みます）、お問い合わせへの対応、不正利用の防止、本サービスの改善、ウェブアプリの利用履歴を分析して Premium への関心度を算出し、アプリ内で適切なご案内を表示すること（9e.）、購入リンクとパートナー経由の登録の効果測定（9.、9c.））の範囲で利用します。

（3）第三者提供 法令に基づく場合を除き、ご本人の同意なく個人データを第三者に提供しません。ただし、業務の委託に伴って、委託先に個人データを取り扱わせることがあります（外国にある委託先については（4）をご覧ください）。

（4）外国にある第三者への提供 当社はドイツ連邦共和国（EU加盟国）に所在し、個人データを主にドイツ及びEU域内で取り扱います。EU及び英国は、個人情報保護委員会が日本と同等の水準にあると認める個人情報保護制度を有する国・地域です。次の委託先は、それ以外の国に所在し、又はそれ以外の国から個人データにアクセスする可能性があります（データの保存場所がEU内である場合を含みます）。当社は、これらの委託先との間で、データ処理契約及び欧州委員会の標準契約条項等により、個人情報保護法第4章第2節の規定の趣旨に沿った措置を講じる体制（同法第28条第1項）を確保し、その実施状況を定期的に確認します。

委託先	所在国	主な委託内容
Vercel Inc.	米国	ウェブサイト及びウェブアプリの配信、ウェブサイトのアクセス集計
Supabase, Inc.	米国（データの保存先はEU〔フランクフルト〕）	データベース、認証、ファイルの保存、サーバー処理
Functional Software, Inc.（Sentry）	米国（データの保存先はEU）	ウェブアプリのエラー情報の収集・分析
Plus Five Five, Inc.（Resend）	米国	メールの送信
Brevo GmbH の再委託先	米国、インド等	メールの送信（予備）
Migadu	スイス	メールボックスの提供
Stripe, Inc.（Stripe Payments Europe, Limited の再委託先）	米国	決済処理の一部
Anthropic, PBC	米国	日本語のお問い合わせとその回答の翻訳（氏名・連絡先等を削除した本文のみ）

ご請求があれば、これらの措置の概要及び委託先の所在国の制度に関する情報を遅滞なく提供します（同法第28条第3項）。各国の制度については、個人情報保護委員会が公表している情報もご参照ください。

（5）安全管理措置 当社は、個人データの漏えい、滅失又は毀損の防止のため、次の措置を講じています。
・基本方針：本ポリシーを定めています。
・取扱規程：取得、利用、保存、提供、削除の各段階の取扱方法を定めています。
・組織的安全管理措置：個人データの取扱いの責任者は Georg Wächter です。漏えい等が発生した場合の報告・対応の手順を定めています。
・人的安全管理措置：個人データを取り扱うのは Georg Wächter のみです。
・物理的安全管理措置：個人データを取り扱う機器の盗難・紛失を防ぐ措置を講じています。
・技術的安全管理措置：通信の暗号化（TLS）、アクセス権限の管理（データベースの行単位のアクセス制御を含みます）を行っています。
・外的環境の把握：当社はドイツに所在し、EU一般データ保護規則（GDPR）に従って個人データを取り扱っています。委託先の所在国（米国、スイス、インド）の個人情報保護制度を把握したうえで、安全管理措置を講じています。

（6）開示等の請求 ご本人は、当社が保有する個人データについて、利用目的の通知、開示（第三者提供記録の開示を含みます）、訂正・追加・削除、利用停止・消去及び第三者提供の停止を請求できます。アカウントに登録されたメールアドレスから info@trackplanner.io へご連絡ください（ご本人確認のため）。手数料はいただきません。遅滞なく、原則として1か月以内にメールで回答します。アカウントの削除は、アカウント設定からも行えます。

（7）苦情・お問い合わせ info@trackplanner.io（日本語で対応します）

（8）漏えい等が発生した場合 個人情報保護法に従い、個人情報保護委員会への報告及びご本人への通知を行います。

（9）未成年の方 未成年の方は、親権者その他の法定代理人の同意を得たうえで本サービスをご利用ください（有料プランのお申込みについては利用規約第5条をご覧ください）。