プライバシーポリシー

本プライバシーポリシーは、マーチャントがShopifyまたはCafe24上でBoily for Commerce（以下「本サービス」）をインストールして利用する場合、 および買い物客が本サービスを利用するストアを訪問する場合に、Boily（보일리、以下「Boily」または「当社」）が情報をどのように収集・利用・保護するかを説明するものです。 本ポリシーは、boily.app、commerce.boily.app、ならびにShopify App StoreおよびCafe24 App Storeを通じて配布されるアプリに適用されます。

要約：当社が扱うのは、お客様の顧客ではなく商品カタログとストア情報です。当社は買い物客の氏名、メールアドレス、電話番号、 住所または決済情報を収集せず、データを販売することは一切ありません。

1. 当社がアクセス・収集する情報

マーチャントのストアから（プラットフォームAPI経由、インストール時にお客様が承認した権限の範囲内で）：

• 商品カタログ：商品名、説明、画像、バリエーション、価格、在庫状況、販売元/ブランド、商品タイプ、タグ、SKU/GTIN、およびこれらの翻訳。
• ストア情報：ショップ名、ストアのドメイン、ストアオーナー/連絡先メールアドレス、主要ロケールおよび有効な言語/マーケット、通貨。
• 当社のアプリ埋め込みが有効になっていることを確認するために必要なテーマ情報（当社がテーマのコードを編集することはありません）。
• 当社自身が書き込むメタフィールド（たとえば、boilyアプリ名前空間の下にある改善コンテンツ、構造化データ、追跡商品リスト）、およびCafe24上で当社が追加する商品説明ブロック。
• プラットフォームが発行するアクセストークン（保存時にAES-GCMで暗号化）。

公開されているストアページから：当社は、AIクローラーと同じ方法でお客様の公開商品ページおよびホームページを取得し、商品情報の読み取り、AIクローラーがアクセスできるかどうかの確認、ならびにブランドの公開SNSプロフィールの検出（使用前にお客様が確認します）を行います。

ストアの訪問者から（ウェブピクセル/ビーコン）：Shopifyでは、当社のウェブピクセルは、買い物客がShopifyの顧客プライバシー設定でアナリティクスを許可した後にのみ動作します。Cafe24では、Cafe24 ScriptTags APIを通じて軽量なスクリプトが設置されます。これらは、AIアシスタントからの流入を特定するために、以下のイベントを送信します。

• ページ閲覧および商品閲覧、カートへの追加、購入手続きの完了。
• 購入手続きの完了については、注文ID、注文金額および通貨のみ。
• ランディングページのURL、参照元およびUTMパラメータ（ChatGPT、Perplexity、Geminiなどからの訪問であるかを分類するために使用）、ランダムなセッション識別子、ならびにブラウザのユーザーエージェント文字列。
• 訪問者のIPアドレスは一切保存しません。当社が保持するのは、ソルトを付与し毎日更新される一方向ハッシュのみであり、イベントの重複排除とボットの除外に使用します。
• 当社は、顧客の氏名、メールアドレス、電話番号、配送先/請求先住所、決済情報、または注文明細の個人データを収集しません。Shopifyアプリはread_ordersスコープや顧客関連のスコープを要求しません。

お客様から直接：お客様が追加するレポート受信者のメールアドレス、お客様が選択する設定（追跡商品、言語、フィードの接続状況、ブランドプロフィール）、およびサポートへ送信されるメッセージ。

請求：請求はShopify BillingまたはCafe24 App Storeによって処理されます。当社が受け取るのはサブスクリプション/請求のステータスと識別子のみであり、カード情報を受け取ることはありません。

Cookie：boily.appは、Cafe24のマーチャント画面のために厳密に必要なセッションCookieのみを使用します。ShopifyアプリはShopifyのセッショントークンを使用します。当社は広告用Cookieを使用しません。

2. 情報の利用方法

• 本サービスの提供：追跡する各商品について購入者の質問セットを生成して固定し、決まったスケジュール（2週間ごと）でAIアシスタントに質問し、お客様の商品が言及・推奨されているかどうか、またどのように言及・推奨されているかを計測するため。
• ページ上の改善コンテンツ（要点の回答、FAQ、仕様、構造化データ）および商品フィードを生成・公開し、ご要望に応じてそれらを元に戻すため。
• レポートにおいて、ストアへの訪問および注文をAIアシスタントに紐付けるため。
• 推移レポートおよびサービスに関するお知らせをメールで送信し、請求ステータスを管理し、サポートを提供し、本サービスの安全性を維持し、法令を遵守するため。

当社は、お客様のデータをAIモデルの学習に使用せず、販売または貸与することも、クロスコンテキスト行動広告に使用することもありません。

3. AIプロバイダーによる処理

AIでの露出状況を計測するため、当社は購入者目線の質問（たとえば「敏感肌向けで30ドル以下のおすすめ無香料化粧水」）を、 各社のビジネス向けAPIを通じてOpenAI（ChatGPT）、Anthropic（Claude）、Google（Gemini）およびPerplexityに送信します。質問は商品カテゴリーやニーズに関するものですが、 ブランドを意図した質問にはお客様のブランド名や商品名が含まれる場合があります。改善コンテンツを生成するため、当社はお客様の公開商品情報 （商品名、説明、属性、および説明が画像のみの場合は商品画像）も送信します。

AIプロバイダーに個人データは送信しません。買い物客のデータも、マーチャントの連絡先情報も送信しません。これらのプロバイダーのビジネス向けAPI規約では、 APIの入力および出力はデフォルトでモデルの学習に使用されません。当社は、お客様の結果を算出するために、受け取ったAIの応答（回答テキスト、引用元）を保存します。

4. 保存期間

アンインストール：お客様がアンインストールすると、当社は計測を停止し、アクセストークンの使用を取りやめ、以降の請求を停止します。 すべてのショップデータ（ストア情報、追跡商品、計測結果、AIの応答、改善履歴およびビーコンのイベント）は、アンインストールから30日以内に、 またいかなる場合もShopifyのshop/redactリクエストを受領した時点で削除します。ただし、法令により保存が義務付けられている記録を除きます。 すでにお客様のストアに書き込まれた改善コンテンツはお客様のコンテンツです。アンインストール前にアプリから元に戻すことができ、 アプリが削除されると当社のアプリ埋め込みはそれを表示しなくなります。

5. GDPR/CCPAおよびプラットフォームのプライバシーWebhook

当社は、Shopifyの必須プライバシーWebhookに対応しています。

• customers/data_request — 当社は顧客の個人データを保有していません（氏名、メールアドレス、住所はなく、ビーコンのイベントにはランダムなセッションIDとハッシュ化したIPのみが含まれます）。そのため、顧客と紐付けられる情報は存在しません。当社はリクエストを検証し、受領を確認します。
• customers/redact — 当社は顧客の個人情報を保存していないため、消去すべき顧客の記録は存在しません。当社はリクエストを検証し、受領を確認します。
• shop/redact — 当社は、第4項に記載のとおりショップのデータを削除します。

当社がマーチャントに代わって処理するデータ（ピクセルのイベント）については、マーチャントが管理者（controller）であり、Boilyは処理者（processor）/サービスプロバイダーとして行動します。 マーチャントのアカウントデータ（ストアの連絡先メールアドレス、設定）については、Boilyが管理者です。GDPR/UK GDPRにおける当社の法的根拠は、 マーチャントとの契約の履行、ならびに本サービスの提供および安全確保における当社の正当な利益です。CCPA/CPRAに基づき、当社は個人情報を販売または共有しません。 アクセス、訂正、削除、処理の制限、データポータビリティまたは異議の申立ては、contact@boily.co.krまでメールでご請求ください。当社は30日以内に回答します。 また、お住まいの地域のデータ保護当局に苦情を申し立てることもできます。

6. 再委託先（サブプロセッサー）

ShopifyおよびCafe24は、各社のプライバシーポリシーに基づき、自らが保有するデータについて独立した管理者です。当社は、新たな再委託先を追加する前にこの一覧を更新します。

7. 国際的なデータ移転

Boilyは大韓民国に拠点を置き、当社の再委託先は主に米国で事業を行っています。データは暗号化された接続（TLS）で転送され、保存時にも暗号化されます。 GDPRが適用される場合、移転は、各再委託先が提供する欧州委員会の標準契約条項（SCC）またはEU–米国データプライバシーフレームワークに依拠し、 韓国で受領するデータについては韓国に対する十分性認定に依拠します。

8. セキュリティ

アクセストークンおよびシークレットは保存時に暗号化され、管理者のアクセスは制限・認証されています。IPアドレスはハッシュ化され、フィードのURLおよびレポートのリンクには推測不可能な署名付きトークンを使用しています。100%安全な送信・保存方法は存在しませんが、情報漏えいが発生した場合は、法令の定めに従い、影響を受けるマーチャントおよび当局に通知します。

9. 児童

本サービスは事業者向けであり、児童を対象としていません。当社は、児童のデータを故意に収集することはありません。

10. 韓国の個人情報保護法（PIPA）に基づく告知

• 項目、目的および保存期間：第1項、第2項および第4項のとおりです。保存の目的が終了したデータは遅滞なく破棄します（電子ファイルは復元不可能な方法で削除します）。
• 処理の委託および国外移転：第6項のとおりです（受領者、国、目的、利用時にネットワーク経由で移転、第4項の期間保存）。お客様は国外移転を拒否することができますが、その場合、本サービスを提供することはできません。
• お客様の権利：下記の連絡先を通じて、アクセス、訂正、削除および処理の停止を請求できます。
• 個人情報保護責任者（개인정보 보호책임자）：Deokgi Kim（김덕기）、contact@boily.co.kr。
• 救済手段：個人情報侵害申告センター（privacy.kisa.or.kr、118）、個人情報紛争調停委員会（kopico.go.kr、1833-6972）。

11. 変更およびお問い合わせ

当社は、変更内容をこのページに掲載し、重要な変更については少なくとも7日前までにメールまたはアプリ内でマーチャントに通知します。 お問い合わせ：contact@boily.co.kr · Boily（보일리）、 서울특별시 성동구 뚝섬로3길 6, 101동 1610호（Unit 1610, Building 101, 6, Ttukseom-ro 3-gil, Seongdong-gu, Seoul, Republic of Korea）。