プライバシーポリシー

最終更新日: 2026年3月26日

株式会社FLYTO（以下「当社」）は、Sellabrew BrandFinder（以下「本サービス」）におけるユーザーの個人情報の取り扱いについて、以下のとおりプライバシーポリシーを定めます。

1. 収集する情報

当社は本サービスの提供にあたり、以下の情報を収集します。

1.1 ユーザーが直接提供する情報

情報の種類	目的
メールアドレス	アカウント認証、通知配信
パスワード（ハッシュ化して保存）	認証
表示名	サービス内での表示

1.2 Amazon SP-APIを通じて取得する情報

⚠️ 本サービスはAmazon Selling Partner API（SP-API）を使用しており、Amazon Data Protection Policy（DPP）に準拠してデータを取り扱います。

情報の種類	目的	保存期間
Seller ID / Marketplace ID	出品制限チェックの実行	アカウント存続中
SP-APIリフレッシュトークン	APIアクセス	アカウント存続中（AES-256暗号化保存）
ASIN出品制限情報	出品可否の判定・表示	アカウント存続中
ブランド名・カテゴリ情報	ブランドリスト表示	アカウント存続中

1.3 自動的に収集される情報

アクセスログ（IPアドレス、ブラウザ情報、アクセス日時）
検索実行履歴（検索日時、検索種別、結果件数）

2. 情報の利用目的

収集した情報は以下の目的でのみ使用します。

本サービスの提供・改善
アカウント認証・セキュリティ管理
トライアル終了通知・サービスに関する重要なお知らせの配信
お問い合わせへの対応
利用状況の分析（サービス改善目的）

3. Amazon SP-APIデータの保護

🔒 Amazon DPP（Data Protection Policy）準拠

3.1 使用するSP-APIと取得データ

SP-API	取得データ	目的
Listings Restrictions API	ASIN別の出品制限ステータス	出品可否の判定
Catalog Items API	ブランド名、商品カテゴリ	ブランドリスト生成

※ 本サービスは注文情報、購入者情報、財務情報等のPII（個人識別情報）には一切アクセスしません。

3.2 データ保護措置

保存時の暗号化: SP-APIリフレッシュトークンはAES-256-GCMで暗号化して保存。
転送時の暗号化: 全通信はHTTPS（TLS 1.2以上）で暗号化。
アクセス制限: SP-APIの認証情報（リフレッシュトークン・アクセストークン・セラーID）は暗号化されており、管理者を含む第三者が閲覧することはできません。管理者がサポート目的でユーザー画面を確認する場合でも、SP-API資格情報へのアクセスおよびSP-APIを使った操作（検索実行・ブランド同期等）は技術的に制限されています。
データの最小化: 本サービスの機能提供に必要な最小限のデータのみを取得・保存します。
データの転売禁止: SP-APIを通じて取得したデータを第三者に販売、集約、マーケティング目的で使用することはありません。

3.3 データ保存場所

本サービスのデータは、Railway Inc.が提供するクラウドインフラストラクチャ上（米国リージョン）で保管されます。データベースはPostgreSQLを使用し、暗号化された接続を通じてアクセスされます。

3.4 セキュリティインシデント対応

万が一、SP-APIデータに関するセキュリティインシデント（データ漏洩等）が発生した場合、以下の手順で対応します。

インシデント発生から72時間以内にAmazon および影響を受けるユーザーに通知します。
影響範囲の特定、原因究明、再発防止策の実施を速やかに行います。
必要に応じて、影響を受けたSP-APIトークンを即時無効化します。

4. 第三者への情報提供

当社は、以下の場合を除き、個人情報を第三者に提供しません。

ユーザーの同意がある場合
法令に基づく開示要求がある場合
決済処理に必要な場合（Stripe Inc.への決済情報の連携）
メール配信に必要な場合（Resend Inc.への配信委託）

5. データの保管・削除

シナリオ	データの扱い
アカウント利用中	SP-APIから取得したデータ（ブランド出品制限・ASIN制限チェック結果等）は、最終チェック日から最大18ヶ月間保持します。18ヶ月を超過したデータは自動的に削除されます。
フリープランへ移行	ブランドリスト表示は直近10日分に制限
SP-API連携解除	SP-APIリフレッシュトークンを即時削除
退会（アカウント削除）	SP-APIトークン・出品制限データ・検索履歴を即時完全削除。アカウント情報（メールアドレス等）は90日後に完全削除

ユーザーはいつでも設定画面からアカウント削除（退会）を行うことができます。退会時に削除されるデータ:

SP-APIリフレッシュトークン・アクセストークン
セラーID・マーケットプレイスID
ブランド出品制限データ
ASIN出品制限データ
検索ジョブ履歴
セッショントークン

6. Cookie

本サービスでは認証トークンの保存にlocalStorageを使用しています。サードパーティCookieは使用していません。

7. セキュリティ

パスワードはbcryptでハッシュ化して保存（12文字以上・大小英字・数字・特殊文字必須、過去10件の再利用禁止）
全通信はHTTPS/TLS暗号化
SP-APIトークンはAES-256-GCM暗号化
JWTトークンによるセッション管理（24時間有効）
メール認証（6桁コード）によるアカウント保護
ログイン失敗はアカウント単位で記録・ロックアウト対応

7-1. セキュリティインシデント対応

セキュリティインシデント（データ漏洩・不正アクセス等）が発生した場合、72時間以内に影響を受けるユーザーおよびAmazonに通知いたします。
インシデント発生時は、影響範囲の特定、原因調査、是正措置を速やかに実施します。
インシデント対応の結果は記録し、再発防止策を講じます。

セキュリティインシデント管理担当者（IMPOC）: security@sellabrew.com（24時間以内に応答）

8. お子様のプライバシー

本サービスは18歳未満の方を対象としていません。18歳未満の方の個人情報を意図的に収集することはありません。

9. ポリシーの変更

本ポリシーを変更する場合は、本ページで通知するとともに、登録されたメールアドレスへ通知します。

10. お問い合わせ

プライバシーに関するお問い合わせは以下までご連絡ください。

一般のお問い合わせ: support@sellabrew.com（日本時間平日 10:00〜18:00、2 営業日以内に応答）

セキュリティインシデント報告: security@sellabrew.com（24時間以内に応答、年中無休）

連携・解除などの操作手順はヘルプをご覧ください。