Code Ahead Lda（vulk.devでVULKを運営）は、本サービスを通じて収集される個人情報のデータ管理者です。このページでは、EU一般データ保護規則（規則（EU）2016/679、「GDPR」）への当社の対応をまとめています。
1. 管理者について
Code Ahead Ldaは、NIF519071948でポルトガルに登録された有限責任会社で、登記上の所在地はVila do Condeです。プライバシーに関するご連絡は、以下をご利用ください。
- お問い合わせフォームでトピック「プライバシー / DPO」を選択してご連絡ください
- 郵送先：Code Ahead Lda, Vila do Conde, Portugal
2. 処理の適法な根拠
当社は、第6条に基づき、以下の適法な根拠に依拠します。
- 契約（第6条1項(b)）——お申し込みいただいたサービス（アカウント、生成、請求、デプロイ）を提供するため。
- 同意（第6条1項(a)）——マーケティングメール、必須ではないCookie、分析トラッキングのため。
- 法的義務（第6条1項(c)）——税務請求書の発行（ポルトガル法に基づく7年間の保存）および適法な要請への対応のため。
- 正当な利益（第6条1項(f)）——不正防止、サービスのセキュリティ、個人を特定しないプロダクト分析のため。
3. 収集する情報
- アカウントデータ——メールアドレス、名前、パスワードハッシュ（Argon2id）、OAuth識別子。
- 請求データ——名前、国、支払い方法（Stripeによりトークン化。当社がカード番号を見ることはありません）。
- プロジェクトデータ——プロンプト、生成されたソースファイル、デプロイ、利用クレジット。
- 技術データ——IP、ユーザーエージェント、デバイスフィンガープリント（限定的）、セッションのタイムスタンプ。
4. GDPRに基づくお客様の権利
お客様は、以下の権利を無料で行使できます。
- 第15条——アクセス権：当社が保有するすべての個人データのコピーをダウンロードできます。
- 第16条——訂正権：不正確なデータを修正できます。
- 第17条——消去権（「忘れられる権利」）：保存義務の対象となる場合を除き、アカウントおよび関連データを削除できます。
- 第18条——処理制限権：異議が解決するまで処理を一時停止できます。
- 第20条——データポータビリティ権：機械可読形式（JSON）でデータをエクスポートできます。
- 第21条——異議申立権：マーケティングまたはプロファイリング型の処理を拒否できます。
- 第22条——自動化された意思決定：当社は、自動化された処理のみに基づいて、お客様に法的な影響またはそれと同程度に重大な影響を及ぼす決定を行いません。
- 第77条——苦情の申し立て：監督機関に申し立てることができます。ポルトガルではCNPDです。
本人確認済みの権利行使リクエストには、30日以内に回答します。多くのデータは、アカウント設定からご自身で管理できます。
5. 再委託先
当社は以下の再委託先を利用しています。各社とはデータ処理契約（DPA）を締結しています。
| 提供事業者 | 目的 | リージョン |
|---|---|---|
| AWS RDS | プライマリデータベース（Postgres 16） | EU（フランクフルト） |
| Hetzner | アプリケーションサーバーとプロジェクトのプレビュー | EU（ドイツ、ファルケンシュタイン） |
| Cloudflare | CDN、DDoS、Workers、R2オブジェクトストレージ | グローバル処理。R2の管轄設定：default（EUに限定されません） |
| Stripe | サブスクリプション請求 + 3DS | 米国 / EU |
| OpenRouter | AIモデルゲートウェイ | 米国 |
| Vertex AI (Google) | Geminiファミリーの推論 | 利用可能なEUリージョン |
| Anthropic | Claude推論 | 米国 |
| OpenAI | GPT-5ファミリーの推論 | 米国 |
| Replicate | 画像・動画生成 | 米国 |
| Tencent Cloud | 3Dモデル生成 | シンガポール |
| Resend | トランザクションメール | 米国 |
| Sentry | エラートラッキング（PIIは除去） | EU（データ保存） |
| Google Analytics 4 | サイト解析（Consent Mode：同意がなければCookieなし） | 米国 |
| Microsoft Clarity | vulk.devでのセッション記録とヒートマップ（同意後のみ） | 米国 |
| Meta | 広告コンバージョンの計測（Pixelは同意後のみ、Conversions APIは登録時と支払い時） | 米国 |
EU域外への移転については、欧州委員会が承認した標準契約条項（SCCs）に依拠します。再委託先の一覧は少なくとも年に1回更新し、重要な追加がある場合はメールでお知らせします。
6. 国際移転
主要インフラはEU内でホストされています。EU域外への移転が発生する場合（例：OpenAI/Anthropicの米国エンドポイントでのAI推論）は、SCCおよび利用可能な場合はEU-US Data Privacy Framework認証により保護されます。3Dモデル生成はシンガポールのTencent Cloudで、同じ保護措置のもとで行われます。
7. データ処理契約（DPA）
BusinessおよびEnterpriseのお客様は、GDPR第28条第3項の内容に沿ったDPAを締結できます。お問い合わせフォームでトピック「営業 / Enterprise」を選択してご依頼ください。
8. 侵害通知
お客様の権利にリスクを及ぼす可能性のある個人データ侵害が発生した場合、当社は72時間以内に監督機関へ通知し、影響を受けるユーザーにも不当な遅滞なく通知します（GDPR第33条、第34条）。
9. お子様の利用
VULKは16歳未満の方を対象としていません。当社は、子どものデータを意図的に処理することはありません。子どもが登録したと思われる場合は、すぐにご連絡ください。該当アカウントを削除します。
10. 変更
本GDPR声明に重要な変更がある場合は、適用日の少なくとも14日前までにメールでお知らせします。最新版は常に/gdprでご確認いただけます。