プライバシーポリシー
私たちはあなたの個人データを保護し、その使用方法について透明性を保つことに努めています。このポリシーでは、GDPR、CCPA、KVKKの枠組みにおいて、個人データをどのように取り扱うかを説明します。
最終更新日: 2026年10月5日 | バージョン 1.5
はじめに
ClientFlow(「当社」「当方」)はお客様のプライバシー保護に努めています。本プライバシーポリシーでは、お客様が当社の Business OS プラットフォームを利用される際に、当社がどのように情報を収集・利用・開示・保護するかを説明します。当社の主要なデータ処理は欧州連合(ドイツ)で行われ、強固なデータ保護基準を確保しています。ClientFlowは業務管理ソフトウェアであり、診療記録システムではありません。お客様が顧客に関する健康情報やその他の特別な種類の情報を記録する場合、その管理者はお客様であり、当社はデータ処理契約に基づくお客様の処理者として行動します。
収集する情報
お客様が提供する情報
- アカウント情報（メール、名前、OAuth経由のプロフィール写真）
- 顧客データ（名前、電話番号、メールアドレス）
- 支払い記録（金額、日付、ステータス）
- コミュニケーション内容（テンプレート、メモ）
自動収集
- デバイス情報（ブラウザの種類、オペレーティングシステム）
- 使用データ（訪問ページ、使用機能）
- IPアドレス（セキュリティと不正防止のため）
- Cookie（セッション管理、設定）
情報の使用方法
サービス提供
クライアント管理、支払い追跡、リマインダー機能の提供
アカウント管理
アカウントの作成と管理
コミュニケーション
サービス関連の通知の送信
セキュリティ
不正行為および不正アクセスからの保護
改善
サービス改善のための使用分析
お客様の個人データを第三者に販売することは絶対にありません。
処理の法的根拠（GDPR第6条）
当社は以下の法的根拠に基づいてお客様の個人データを処理します：
契約履行
サービスの提供、アカウントの管理、およびお客様への契約上の義務を果たすために必要な処理。
アカウント作成、支払い追跡、リマインダー配信
正当な利益
お客様の権利と自由とのバランスを取りながら、当社の正当なビジネス上の利益のための処理。
サービス改善、不正防止、セキュリティ監視
同意
お客様の明示的な同意に基づく処理で、いつでも撤回できます。
マーケティングコミュニケーション、任意の分析、推薦文の使用
法的義務
適用される法律および規制に準拠するために必要な処理。
税務記録、規制遵守、法的要請への対応
情報の共有と開示
当社はサービスの運営を支援する信頼できるサービスプロバイダーとデータを共有します：
| プロバイダー | 目的 |
|---|---|
| iyzico | 支払い処理 |
| 認証（OAuth） | |
| Resend | メール配信 |
| WhatsApp (Meta) | メッセージ配信（Pro） |
AI機能とAI提供事業者
ClientFlowの一部の機能はAIを利用しています — チャットアシスタント、メッセージ候補、メモの要約、受付フォームの要約です。これらを利用すると、入力されたテキストは該当するAI提供事業者に送信されます。AIが生成した内容には製品内で表示を付けているため、どれがAIによるものか常に分かります。メモ、受付フォームの回答、メッセージには、お客様の顧客に関する健康情報が含まれる場合があります。それらに対してAI機能が実行されると（受付フォームのトリアージやウェブサイトのチャットボットなど、一部の機能は有効にすると自動的に実行されます）、そのテキストは当社のAIプロバイダーに送信されます。電話番号、メールアドレス、カード番号、IBAN、トルコおよび米国の国民ID番号は自動的にマスクしますが（パターンに基づくため、見逃される場合があります）、氏名や健康に関する詳細はマスクしないため、顧客の同意が及ぶ範囲でのみ、そのようなテキストにAI機能を使用してください。
| プロバイダー | 目的 |
|---|---|
| Anthropic | AI機能：アシスタント、メッセージ候補、メモおよびフォームの要約 |
| OpenAI | 予備の提供事業者。他が利用できない場合に使用します |
| Groq | AI機能：アシスタント、メッセージ候補、メモおよびフォームの要約 |
ClientFlowはお客様のデータをAIモデルの学習に使用しません。各提供事業者のデータ保持条件は異なります。副処理者のページに個別に記載しており、EEA域外への移転に適用される保護措置も併せて示しています。
AIの出力は参考情報です。ほとんどの機能では、まずお客様に表示され、保存・編集・破棄はお客様が判断します。一部の機能 — 受付フォームのトリアージ（要約、緊急度、健康上または安全上の懸念の可能性などのレッドフラッグ、センチメント、推奨アクション、リードスコア）、週次ダイジェスト、ウェブサイトチャットボットの返信 — は自動で動作し、その結果を記録に書き込むか、直接返信します。保存された結果は、いつでも編集または削除できます。
すべての副処理者と移転の保護措置を見るお客様の権利（GDPR & CCPA）
GDPR権利（EUユーザー）
- 個人データへのアクセス
- 不正確なデータの訂正
- データの削除を要求
- データポータビリティ（エクスポート）
- 処理の制限
- 処理への異議
CCPA権利（カリフォルニア）
- 収集するデータの確認
- データの削除
- データ販売のオプトアウト（当社は販売しません）
- 差別からの保護
権利を行使するには、設定にアクセスするか、contact@clientflow.center までご連絡ください
KVKK権利（トルコユーザー）
個人データ保護法第6698号
トルコにお住まいの場合、個人データ保護法（KVKK）に基づき以下の権利を有します：
- 個人データが処理されているかどうかを確認
- データが処理されている場合、処理に関する情報を要求
- 処理の目的とデータがその目的に従って使用されているかどうかを確認
- 国内外でデータが転送される第三者を確認
- データが不完全または不正確な場合は訂正を要求
- 第7条に基づきデータの削除または破棄を要求
- 自動データ処理の結果に異議を申し立て
- 違法な処理による損害の補償を請求
データ管理者
ClientFlow は、お客様のアカウント、請求、ウェブサイトのデータについてデータ管理者として機能します。お客様が ClientFlow に保存する顧客データについては、お客様が管理者であり、当社はデータ処理契約に基づく処理者として行動します。 KVKK に関するお問い合わせは、contact@clientflow.center までご連絡ください。
VERBIS ステータス
KVKK の下では、VERBIS への登録は、トルコ個人データ保護機関が定める基準(従業員数、貸借対照表合計、または特別カテゴリの個人データ処理を主たる活動とすること)を超えるデータ管理者にのみ義務付けられています。ClientFlow は現在これらの基準を下回って運営されているため、VERBIS への登録は必要ありません。その他すべての KVKK の義務(適法な処理、データ主体の権利、侵害通知、セキュリティ対策)は完全に適用されます。
KVKK権利を行使するには、contact@clientflow.centerにご要望をお送りください。法律で定められた30日以内に対応いたします。
国際データ転送
当社の主要なデータ処理は欧州連合(Hetzner、ドイツ)で行われています。データが EU/EEA の外部に転送される場合には、当社のサブプロセッサーページに受領者ごとに示された保護措置に依拠しています。同ページでは、保護措置がまだ有効でない場合もあわせて示しています:
EU-USデータプライバシーフレームワーク（DPF）
Google CloudおよびCloudflareを含むDPF認定の米国ベースのサブプロセッサーへの転送。
標準契約条項（SCCs）
十分性決定またはDPF認定の対象外のサブプロセッサーへの転送。
十分性決定
該当する場合、EU委員会の十分性決定に依存します。
特定の転送に使用される保護措置についての情報は、お問い合わせいただくことで入手できます。
データ保持
お客様のデータはアカウントが有効な限り保持されます。アカウントを削除したときの扱いは、削除を行う場所によって異なります。当社ウェブサイトのアカウント設定から削除した場合は、メールで確認した時点から30日間の猶予期間が始まり、その間はいつでも取り消すことができます。猶予期間の終了後1日以内に、アカウントと事業データは完全に消去されます。iOSアプリで削除した場合は即時に反映され、取り消しや復元はできません。プロフィールとサインイン情報はただちに、事業データは3日以内に消去されます。いずれの方法で削除した場合でも保持する記録を含め、保持ポリシーは以下の通りです：
| データ種類 | 保持期間 |
|---|---|
| アカウントデータ | 当社ウェブサイトでの30日間の猶予期間の終了後1日以内に消去。iOSアプリでアカウントを削除した場合はただちに消去 |
| 顧客記録 | アカウントとともに消去：当社ウェブサイトでは30日間の猶予期間の終了後1日以内、iOSアプリでは3日以内 |
| お客様の請求書類（請求書、領収書、見積書） | アカウントとともに消去 — これらに関する税務上の保存義務は、発行者であるお客様の事業に帰属します |
| 当社自身のサブスクリプションおよび支払い記録 | 匿名化した上で（個人データを含まない形で）、当社に適用される税法が求める7年間以上保管 |
| セキュリティおよび管理者監査ログ | 無期限 — 追記専用かつ変更不可のため、改変も消去もできません |
| お客様が行った同意の記録 | 削除後も、アカウントから切り離した形で、同意の証拠として保管 |
| 当社が送信したメールの記録 | 削除後も、宛先と内容を取り除いた配信記録として保管 |
| 会計帳簿の仕訳（会計機能を設定した場合のみ） | 削除後も保管 — 記帳済みの仕訳は追記専用の会計記録であるため、改変も消去もできません |
| ニュースレター／マーケティングデータ | 配信停止の6年後に匿名化 |
| 暗号化されたバックアップ | 削除されたデータは、バックアップの入れ替わりに伴い90日以内にバックアップからも消えます |
| AIとの会話およびAIの結果 | コパイロットの会話：お客様が削除してから約30日後、またはアカウントが消去された時点で消去されます。ウェブサイトチャットボットのログ：アカウントが消去されるまで保持されます。受付トリアージの結果：該当する送信内容とともに、同意の撤回時、またはアカウントが消去された時点で削除されます |
子供のプライバシー
ClientFlow は、16 歳未満の個人による使用を意図していません。当社は、故意に 16 歳未満の子供から個人データを収集しません。当社が 16 歳未満の子供から不注意で個人データを収集したことが判明した場合、当社は、かかる情報を速やかに削除する措置を講じます。お子様が当社に個人データを提供したと思われる場合は、直ちに当社にご連絡ください。
セキュリティ
業界標準のセキュリティ対策を実施しています
お客様のデータは、以下に記載するセキュリティ対策によって保護されています。
- 通信中の TLS 暗号化
- セッションメモ、成果記録、連携の認証情報、決済トークン、二要素認証のシークレットのアプリケーション層での AES-256-GCM 暗号化
- リフレッシュトークンのローテーションを伴う OAuth 2.0 と JWT
- アプリケーション層における厳格なユーザー単位のデータ分離
- 支払いは iyzico(PCI DSS 認証取得済み)が処理 — カード番号は iyzico へ受け渡されるのみで、当社が保存することはありません
苦情手続き
データ保護の権利が侵害されたと思われる場合、監督当局に苦情を申し立てる権利があります。
欧州連合
地域データ保護機関
EU居住者は自国のDPAに苦情を申し立てることができます。
トルコ
KVKK（個人データ保護機関）
トルコ居住者はkvkk.gov.trで苦情を申し立てることができます。
イギリス
情報コミッショナー事務局（ICO）
イギリス居住者はico.org.ukでICOに連絡できます。
カリフォルニア州、米国
カリフォルニア州司法長官
カリフォルニア州居住者はCCPA違反について司法長官に連絡できます。
当社は懸念事項を直接解決することを好みます。当局にエスカレートする前に、まずcontact@clientflow.centerまでお問い合わせください。
第三者リンク
当社のサービスには、サードパーティの Web サイト、サービス、またはアプリケーションへのリンクが含まれる場合があります。当社は、これらの第三者のプライバシー慣行については責任を負いません。当社のプラットフォームを通じてアクセスするサードパーティのサービスのプライバシー ポリシーを読むことをお勧めします。このプライバシー ポリシーは ClientFlow にのみ適用され、外部 Web サイトには適用されません。
ポリシーの変更
当社は、このプライバシー ポリシーを随時更新することがあります。重要な変更については、変更が有効になる前に、少なくとも 30 日前に電子メールで通知するか、プラットフォーム上で目立つ通知を行います。このポリシーを定期的に確認することをお勧めします。変更後もサービスを継続して使用すると、更新されたポリシーに同意したことになります。
現在のバージョン: 1.5