プライバシーポリシー

本ポリシーに記載する処理について、EU一般データ保護規則（GDPR）第4条第7号にいう管理者は、次のとおりです。

• アカウント情報：氏名、メールアドレス、プロフィール画像、アカウント識別子および認証記録。
• ウェルカム質問：目的、役割、チームの規模、Oryn を知ったきっかけ、および任意で追加されたメモについての任意のご回答。お客様のような方々のために Oryn を改善できるよう、アカウントとともに保存します。
• メール配信の設定：ヒント、製品のお知らせおよびキャンペーンに関する Oryn からの任意のメールの受信を選択したかどうか、選択した日時、ならびに表示された言語および文言のバージョン。
• プロジェクト情報：プロンプト、チャットメッセージ、アップロードおよびインポートしたアセット、生成されたファイル、ビルド、プレビュー、バージョンおよびプロジェクト設定。
• お客様がアップロードする音声：音声合成またはボイスクローンのための音声で、録音された声そのものを含みます。
• コミュニティでの活動：公開したゲーム、コメント、いいね、フォロー、リミックスの関係およびコンテンツの通報。
• 請求情報：プラン、サブスクリプションの状況、クレジットの履歴、請求書、および付加価値税（VAT）の判定に必要な請求先住所。
• 利用状況およびセキュリティ情報：機能の利用状況、クレジットの使用状況、端末およびブラウザの詳細、診断情報、エラーおよびセキュリティイベント。

• GDPR 第6条第1項(b) — 契約の履行：お客様のアカウント、プロジェクト、生成およびビルドの実行、公開、プランおよびクレジットの計算、ならびに支払処理。これらがなければ、提供できるサービスはありません。
• GDPR 第6条第1項(c) — 法的義務：請求書、VAT の記録およびそれらに適用される保存期間、ならびに違法なコンテンツの通報への対応。
• GDPR 第6条第1項(f) — 正当な利益：サーバー側での運用上の計測（生成が成功または失敗する頻度）、不正利用の防止およびセキュリティログの記録。これにより Cookie が設定されたり、お客様の端末から情報が読み取られたりすることはありません。
• GDPR 第6条第1項(a) — 同意：第7項に記載するブラウザ側の製品分析、およびお客様が選択した場合に限り、ヒント、製品のお知らせおよびキャンペーンに関する Oryn からのメール（登録後のウェルカムシリーズを含みます）。いずれの選択も、サービスに影響を与えることなく、いつでも撤回できます。すべてのマーケティングメールには配信停止のリンクが含まれています。

お客様のご依頼を実行するため、当社は、プロンプトと、そのタスクに必要なプロジェクトの部分（ファイルの内容、エラー出力、プロジェクト設定）を AI モデルの提供者に送信します。タスクで使用される場合は、添付された画像や音声も併せて送信します。

お客様のプロンプトがモデルの学習に使用されることはありません。OpenRouter を経由するリクエストには、プロンプトの保存またはプロンプトを用いた学習をポリシー上認めている上流の提供者を除外する指示が付されています。OpenRouter 自体も、経由するデータを学習に使用しません。これにより一部のモデルが利用しにくくなることがありますが、その負担を負うのはお客様の作品ではなく当社です。

例外が1つあります。スタジオがお客様のゲームに既製のアセットを選ぶ際、ゲームの簡単な説明と候補となるアセットが、OpenRouter の判定サービス上の判定用モデルに送信されます。このサービスは、まだ上記の指示に対応していません。お客様のファイル、アップロードおよびチャット履歴は、このリクエストには含まれません。

モデルは、それをホストする企業の環境（主に米国）で実行されます。どのホストがリクエストを処理するかは、モデルとタスクによって異なります。ご請求があれば、お客様のデータを処理した提供者をお知らせします。

認証情報、API キー、または不要な個人情報をプロンプトやプロジェクトファイルに含めないでください。本サービスの仕組み上、それらが必要になることはありません。

音声を生成し、または声をクローンする場合、お客様が提供する音声ファイルは fal.ai にアップロードされ、音声モデルに渡されます。音声モデルは、そこから再利用可能な音声識別子を作成します。特定可能な人物の録音はその人物の個人データであり、声のクローンはその人物の人格権に関わります。

使用する権利のある声だけを、本人の同意を得たうえでアップロードしてください。アップロードされた音声は、それが属するプロジェクトとともに削除します。

メッセージを音声入力する場合、録音は fal.ai にアップロードされ、音声認識モデルによってテキストに変換されます。当社が保存するのはテキストであり、録音は保存しません。アップロードされたファイルは、fal.ai が自社の保存規則に従って削除します。

プロジェクトは、お客様が公開するまで非公開です。ただし、無料でビルドされたゲームは、ビルドが完了した時点で公開されます。ゲームが公開されると、ゲーム、そのタイトル、アートワーク、説明、お客様のクリエイター名とプロフィール画像、ならびにプレイ数といいね数が、サインインの有無にかかわらず誰でも閲覧できるようになります。お客様が書いたコメントも同様に公開されます。

コンテンツの通報は、当社が対応し回答できるよう、通報者のアカウント識別子とともに保存されます。通報されたコンテンツについて当社が下した判断は、記録として保存します。

プレイ数の数え方。ゲームの下に表示される数字に意味を持たせるため、1人の訪問者は1つのゲームにつき1時間に1回だけカウントされます。そのためにお客様の IP アドレスを保存することはありません。IP アドレスは、ゲーム、時間帯および当社の秘密値と組み合わせて一方向ハッシュに変換され、そのハッシュのみが保存されます。ハッシュから IP アドレスを復元することはできず、時間帯がハッシュの一部であるため、1時間をおいた2回の訪問を互いに結び付けることもできません。サインインしている場合は、代わりにアカウント識別子が使用されます。法的根拠は GDPR 第6条第1項(f)、すなわち容易に水増しされないプレイ数に対するクリエイターおよび当社の利益です。

• サインインおよびセッション Cookie（Clerk が設定）。厳密に必要なものであり、これがないとサインインした状態を維持できません。
• 同意 Cookie（oryn-analytics-consent-v3、oryn-marketing-consent-v1、oryn-session-recording-consent-v1）。バナーに対するお客様の回答を1年間保存し、再度お尋ねしないようにします。
• 紹介 Cookie（oryn_ref）。招待リンクから訪問した場合に90日間設定され、お客様が登録した際に招待した人に特典が付与されるようにします。
• 設定 Cookie（oryn-theme、oryn-language）。お客様が選んだテーマと言語でインターフェースが表示されるよう、それぞれ1年間保存されます。また、oryn_bonus_banner_dismissed は、閉じたボーナスバーが再び表示されないようにするものです。これらは、お客様がいずれかの設定を変更した場合にのみ書き込まれ、同意は不要です。お客様ご自身が求めた設定は、同意の対象外とされているためです。
• 国：Cloudflare は、お客様の IP アドレスからお住まいの国を推定します。当社はこれを、消費者向け VAT の事前選択、請求する通貨と価格の設定、お客様の国からの支払いを受け付けられるかどうかの判断、および制裁対象国からのアクセスの遮断に使用します。推定できない場合は、変更可能な初期値としてドイツが表示されます。選択を変更すると、oryn-pricing-country が1年間保存されます。これは表示される VAT にのみ影響し、実際に課される税金は請求先住所の確認によって決まります。
• ブラウザでの分析とセッションリプレイ（PostHog（EU）および当社独自の MRRocket（EU））は、お客様の同意がある場合にのみ開始されます。当社は、ページの閲覧、クリック、スクロールの深さ、エラー、およびマスクされた操作を記録します。テキストと入力内容はマスクされ、メディアと埋め込みコンテンツはブロックされます。ネットワーク通信の本文とヘッダー、コンソールログ、canvas の録画は無効化されています。PostHog は Cookie とローカルストレージを使用し、MRRocket は ck_id（1年間）と ck_sid（30分間）を設定し、登録がカウントされたことをローカルストレージに記録します。今後の収集を停止するには、Cookie 設定で同意を撤回してください。すでに送信された録画の削除をご希望の場合は、当社までご連絡ください。
• お客様の同意を得て、エラーを見つけて本ウェブサイトを改善するため、お客様の本ウェブサイトの利用状況（クリック、スクロール、閲覧したページ。フォームへの入力はすべてマスクされます）を記録します（GDPR 第6条第1項(a)、ドイツ電気通信デジタルサービスデータ保護法 § 25(1) TDDDG）。これは分析とは別の選択であり、oryn-session-recording-consent-v1 に1年間保存されます。当社が自ら運営する MRRocket は、録画を EU 内（Cloudflare R2、EU 管轄）に保存し、30日後に削除します。同意は Cookie 設定からいつでも撤回できます。
• 製品内サポート（当社独自の MRRocket メッセンジャー）。分析への同意がある場合、チャットのアイコンはページとともに読み込まれます。同意がない場合は、お客様がご自身でサポートチャットを開いたときにのみ読み込まれます。ローカルストレージには、お客様が最後に確認した回答が記録されます。
• ローカルストレージは、エディターのレイアウトや閉じたヒントなど、インターフェースの状態の保存に使用されます。これはお客様の端末内にとどまります。

以下の事業者は、GDPR 第28条に基づき、当社の委託を受けて個人データを処理します。EU 域外への移転は、欧州委員会の標準契約条項に基づいて行われます。

• Clerk — サインイン、セッションおよびアカウントの記録（米国）。
• Convex — プロジェクト、チャット履歴、実行、バージョン、請求記録および利用状況（米国企業が EU（アイルランド）でホスト）。
• Cloudflare — ホスティング、お客様のプロジェクトのビルドおよびエクスポートを行う隔離されたコンテナ、プロジェクト・バージョン・ビルドの保存、サインインリンクや領収書などのサービスメール、ならびにマルチプレイヤーゲームでプレイヤー同士を接続する中継サーバー（プレイヤーの IP アドレスを取得します）（EU および米国）。
• Stripe — 決済、サブスクリプション、税額の判定および請求書（アイルランドおよび米国）。購入が Stripe Managed Payments を通じて行われる場合、Stripe は販売者（merchant of record）としてお客様に販売し、お客様の支払い、税務および不正防止に関するデータを、自社のプライバシーポリシーに基づき独立した管理者として処理します。
• PostHog — 同意に基づくブラウザでの分析およびセッションリプレイ（EU でホスト）。これとは別に、当社のサーバーは、第3項に記載する運用上の目的のため、アカウントに紐づく生成および支払いの結果と診断用のエラーを、ブラウザの Cookie を使用せずに送信します。ブラウザの同意設定はこの別個の処理には影響しません。この処理に関して権利を行使するには、当社にご連絡ください。
• MRRocket — 当社独自の、同意に基づくマーケティング分析です。ページの閲覧、クリックおよびスクロールの深さ、エラー、アンケート、マスクされたセッションリプレイを、サインイン中はお客様のアカウント識別子、メールアドレスおよび氏名と紐づけて記録します。当社が運営し、EU 内（Cloudflare および Neon（フランクフルト））に保存されます。有料プランでは、当社のサーバーは、お客様のゲームのビルドが成功したか失敗したかを、プロンプトやゲームの内容を含めずに、お客様のメールアドレスのもとで MRRocket にも送信します。これは、失敗が続くビルドを見つけてお客様をサポートするためです。分析への同意がある場合、MRRocket は、ウェルカム質問へのご回答、お客様に表示された製品テストのバージョン、ならびに購入手続きを完了したこととそれがプランかクレジットパックかについても受け取ります。これは、それらのバージョンを比較するためです。分析への同意がある場合、MRRocket は、製品内でのお客様の操作（登録画面を開く、年齢確認や企画の質問に回答する、ゲームをビルド・プレイ・共有・エクスポートする、変更を送信する、料金やクレジットパックを開く、お客様に表示されたエラーなど）も受け取ります。これらの操作には、モデル、プラン、件数、公開ゲームの ID や名称などの詳細が含まれますが、プロンプト、ファイル名、ゲームの内容は含まれません。お客様がサインインしており、この同意をされている場合、当社はこれらの操作に基づいてお客様を自動的にグループ（例：「過去7日間に変更を送信した」）に分類し、サポートや特典をより適切なものにします（GDPR 第6条第1項(a)）。これにより、お客様に法的効果またはこれと同様の重大な影響が生じることはありません。
• MRRocket サポート — 製品内のサポートチャットとヘルプ記事です。お客様のメッセージ、メッセージを書いたページ、およびサインイン中はサーバーの署名によって確認されたお客様のアカウント識別子、メールアドレスおよび氏名を処理します。サインインしていない場合は、回答を受け取るためにメールアドレスを残すことができます。当社が運営し、EU 内（Cloudflare および Neon（フランクフルト））に保存されます。
• MRRocket メール — これらのメールの受信に同意された場合に限ります。お客様のメールアドレス、氏名、言語、登録日、選択した日時および表示された文言のバージョン、ならびに各メールが配信・開封・クリックされたかどうかを処理します。お断りまたは配信停止をされた場合は、そのようなメールがお客様に届かないよう、メールアドレスのみを配信停止リストに残します。どのメールを受け取るかは、上記 MRRocket の項に記載するグループによって異なる場合があります。メールへの同意がない場合、これらのグループによってそのようなメールが送信されることはありません。当社が運営し、EU 内（Cloudflare および Neon（フランクフルト））に保存されます。メールは Resend（米国）を通じて送信されます。
• 広告プラットフォーム（Reddit、Meta、TikTok、Google Ads、X） — お客様が広告に同意された場合に限り、また当社が現在広告を出稿しているプラットフォームに限ります。どのプラットフォームかは Cookie 設定で確認できます。これらのピクセルは、当社の広告効果を測定するため、独自の Cookie を用いて、ページの閲覧、登録および購入（金額、通貨、支払識別子）を記録します。Meta は、ピクセルがブロックされている場合でも購入がカウントされるよう、当社のサーバーからも、ハッシュ化したメールアドレスとアカウント識別子、IP アドレスおよびブラウザ情報とともに購入情報を受け取ります。これも同じ同意がある場合に限ります。これらの事業者は、標準契約条項またはデータプライバシーフレームワークに基づき米国でデータを処理し、自社のポリシーに従って自社のデータと組み合わせることがあります。法的根拠：お客様の同意（GDPR 第6条第1項(a)、§ 25(1) TDDDG）。同意は Cookie 設定から撤回できます。
• AI モデルの提供者 — OpenRouter、OpenAI、およびそれらを経由するモデルのホスト。プロンプト、プロジェクトのコンテキストおよび検索用の埋め込み（エンベディング）を処理します（主に米国）。
• fal.ai — 画像、3D モデル、オーディオ、音声および動画の生成、音声入力のための音声認識、ならびにその背後にあるモデル提供者（米国およびその他の第三国）。
• GitHub — お客様がリポジトリを連携した場合に限ります。その場合、お客様のプロジェクトファイルは、お客様ご自身のアカウントのもとで、GitHub の規約に従って GitHub に送信されます。

殿堂（Hall of Fame）のカバー画像は、Valve の Steam 画像サーバー（Valve Corporation、米国）から直接読み込まれ、1つのタイトルについては Wikimedia Commons（Wikimedia Foundation、米国）から読み込まれます。このページを開くと、お客様のブラウザがこれらの画像をリクエストするため、お客様の IP アドレスとブラウザ情報がこれらのサーバーに送信されます。リクエストには、リファラーも Cookie も付加しません。Valve と Wikimedia は当社の委託先ではなく、それぞれのプライバシーポリシーに基づいてこのデータを取り扱います。法的根拠は GDPR 第6条第1項(f)、すなわち成功したゲームを紹介する編集記事において見覚えのあるカバー画像を表示するという当社の利益です。

• アカウントとプロジェクト：お客様が削除するまで。アカウントを削除すると、プロジェクト、公開したゲーム、チャット履歴およびコミュニティの記録が削除されます。また、契約終了後30日間はプロジェクトをエクスポートできます。
• 請求書および会計証憑：原則として暦年末から8年間。帳簿および年次決算書は原則として10年間。税務手続きが継続中である場合など、法律上の延長は引き続き適用されます。アカウントを削除しても、法律上の保存義務が優先します。
• コンテンツの通報とモデレーションの判断：繰り返されるパターンを把握し、判断を説明できるようにするため、3年間。
• セキュリティログおよびエラーログ：90日間。
• 分析データとリプレイ：PostHog で設定された保存期間に従います。MRRocket では、生のイベントは90日間、セッションリプレイは30日間保存されます。ブラウザでの同意を撤回すると今後の収集は停止しますが、すでに送信されたデータが自動的に消去されるわけではありません。以下の権利に基づき消去を請求することができます。別個の運用上のテレメトリーは、それ自体の法的根拠に基づいて判断されます。
• MRRocket のグループ：グループへの所属は、生のイベントより長く、お客様がグループから外れるまで続くことがあります。分析への同意を撤回すると、今後の収集は停止します。アカウントを削除しても、グループから自動的に外れるわけではありません。メールで削除を請求することができます。
• サポートでのやり取り：お客様のお問い合わせへの回答と記録に必要な期間。
• メール配信の設定：お客様が変更するか、アカウントを削除するまで。撤回された同意の記録は、法令の遵守を証明するため、3年間保存することがあります。

GDPR に基づき、お客様は、ご自身のデータへのアクセス（第15条）、訂正（第16条）、消去（第17条）、処理の制限（第18条）、データポータビリティ（第20条）、および当社の正当な利益に基づく処理への異議（第21条）の権利を有します。処理がお客様の同意に基づく場合、お客様はいつでも将来に向かって同意を撤回できます。

アカウント設定から、アカウントとその中のすべてのデータを削除できます。請求、セキュリティ、不正防止または法令遵守のために必要な場合、一部の記録が保存されることがあります。

また、お客様は監督機関に苦情を申し立てる権利を有します。バーデン＝ヴュルテンベルク州の監督機関は、同州のデータ保護・情報自由監察官（Landesbeauftragte für den Datenschutz und die Informationsfreiheit）です。日本にお住まいの方は、第13項に記載する個人情報保護委員会に相談することもできます。

Oryn は、お子様や10代の方を対象としていません。ご利用には18歳以上である必要があります。

本ポリシーは、製品や法的要件の変更に応じて更新されることがあり、上部に現在の日付が表示されます。

プライバシーに関するご質問や上記の権利の行使については、lukas@brombach-technologies.de までご連絡ください。

本項は、個人情報の保護に関する法律（以下「個人情報保護法」といいます）に基づき、日本にお住まいの方の個人情報の取扱いについて定めるものであり、前各項に加えて適用されます。

(1) 保有個人データに関する事項（個人情報保護法第32条）

• 個人情報取扱事業者の名称：Brombach Technologies GmbH
• 住所：Rheintalbahnstraße 35, 68199 Mannheim, ドイツ
• 代表者：Lukas Falk Brombach, Geschäftsführer
• 利用目的：第2項および第3項に記載するとおりです（アカウントとサービスの提供、契約の履行と請求、法令上の義務の遵守、不正利用の防止とセキュリティ、ならびにお客様の同意がある場合の分析およびメール配信）。
• 開示等の請求の手続：保有個人データの利用目的の通知、開示（第三者提供記録の開示を含みます）、訂正・追加・削除、利用停止・消去、または第三者への提供の停止をご希望の場合は、lukas@brombach-technologies.de までメールでお申し出ください。ご本人またはその代理人であることを確認したうえで、遅滞なく対応します。手数料はいただきません。
• 苦情・お問い合わせの窓口：lukas@brombach-technologies.de

安全管理措置の概要

• 組織的・人的安全管理措置：個人データにアクセスできる者を、業務上必要な担当者に限定しています。
• 技術的安全管理措置：アクセス制御と認証により権限のない者によるアクセスを防止し、通信を暗号化しています。
• 委託先の監督：個人データの取扱いを委託する事業者とは、データ保護に関する契約（GDPR 第28条に基づくデータ処理契約）を締結し、委託先がこれに従って取り扱うようにしています。
• 外的環境の把握：当社はドイツに所在し、個人データはドイツその他の EU 加盟国、米国その他の第8項に記載する国で取り扱われます。当社は、これらの国の個人情報の保護に関する制度を把握したうえで、安全管理措置を講じています。

(2) 外国にある第三者への提供（個人情報保護法第28条）

当社はドイツに所在する事業者であり、お客様の個人データはドイツで取り扱われます。また、第8項に記載する委託先その他の提供先に提供され、次の国で取り扱われます。

• ドイツその他の EU 加盟国（アイルランドを含みます）：EU は、個人の権利利益を保護するうえで日本と同等の水準にあると認められる個人情報の保護に関する制度を有する外国として、個人情報保護委員会により指定されています。
• 米国：Clerk、Convex の運営会社、Cloudflare、Stripe、Resend、OpenRouter、OpenAI、fal.ai、GitHub、および広告プラットフォーム（第8項）。
• その他の第三国：fal.ai を経由するモデルの提供者が、米国以外の国でデータを取り扱うことがあります。どの国かはモデルとタスクによって異なり、ご請求があれば、お客様のデータを処理した提供者とその所在国をお知らせします。

外国の個人情報の保護に関する制度については、個人情報保護委員会がウェブサイト（https://www.ppc.go.jp/）で各国の制度に関する情報を公表しています。

米国の個人情報保護制度の概要：米国には、民間部門における個人情報の取扱いを包括的に規律する連邦法はありません。医療、金融、子どものオンライン上の情報など分野ごとの連邦法があり、連邦取引委員会（FTC）が、不公正または欺瞞的な取引行為を禁止する法律に基づいて執行を行っています。また、カリフォルニア州など一部の州は、包括的な個人情報保護法を制定しています。

当社が講じている措置：当社は、米国その他の第三国にある委託先との間で、欧州委員会の標準契約条項を含むデータ処理契約を締結し、利用目的の限定、安全管理措置、再委託の管理など、個人情報保護法第4章第2節の規定の趣旨に沿った措置を委託先が継続的に講じることを確保しています。これらの措置の内容とその実施状況の確認方法については、ご請求に応じて情報を提供します（同法第28条第3項）。広告プラットフォームへの提供は、お客様の同意がある場合に限り行います。

(3) 苦情・相談の窓口

個人情報の取扱いに関するご質問や苦情は、まず lukas@brombach-technologies.de までご連絡ください。また、ドイツの監督機関への申立て（第10項）とは別に、日本の個人情報保護委員会（https://www.ppc.go.jp/）の相談窓口に相談することもできます。