プライバシー通知：Kakuto会員アプリ

本通知は、ジムの会員・生徒とその保護者がクラスの予約、チェックイン、会員資格の管理に使用するKakuto会員アプリにおける個人データの取り扱いについて説明するものです。アプリはiPhone・Androidのほか、ウェブ（app.kakuto.io）でもご利用いただけます。ジムによっては、ジム独自の名前やロゴで表示されることがあります。

kakuto.ioウェブサイト（別途プライバシーポリシーがあります）、およびジムのオーナー・スタッフ・コーチが使用するアプリ（別途プライバシー通知があります）は対象外です。

責任者

Kakutoはカクトー　テクノロジー 合同会社（Kakuto Technology GK、以下「Kakuto」または「当社」）が運営しています。

お客様のデータの取り扱いはジムが決定します。 ジムはKakutoを使って会員資格、クラス、支払いを管理しています。お客様のデータの管理者はジムであり、当社はジムの指示に従ってジムに代わりデータを処理します。ご自身のデータの確認・訂正・削除をご希望の場合は、まずジムにお問い合わせください。当社はジムの対応をお手伝いします。

サービスの運営に必要なデータは当社が責任を負います。 Kakutoそのものを運営するために必要なデータ（サインイン、セキュリティの記録、サーバーログ）については、当社が管理者です。

本通知に関するお問い合わせは、info@kakuto.ioまでメールでご連絡ください。

データの保管場所

お客様のデータは、Amazon Web Services（AWS）のロンドンリージョン（eu-west-2、英国）に保管されます。 プロフィール、写真、予約、チェックイン、バックアップ、ログも含みます。各ジムのデータは、他のジムのデータと分けて保管されます。

例外は次のとおりです（詳しくは以下の各項目で説明します）。

• ジムがエンタープライズプランのAI機能を有効にしている場合、エンタープライズプランのAI機能に記載する設定に応じて、リクエストはEU域内のAmazon Bedrockで処理されるか、OpenAIに送信されます。
• Kakutoを通じてお客様に送信するメール（確認コードやジムからのメールなど）は、EU域内のアイルランドにあるAWSのメール送信サービスを経由します。
• アプリのプログラム自体（お客様のデータではありません）は、どこからでも素早く表示できるよう、AWSの世界規模のコンテンツ配信網を通じて配信されます。
• 一部の機能では、データの共有先に記載のサービス提供者（支払いのStripe、アプリ通知のGoogleなど）にデータを送信します。

アプリが収集するデータ

アカウント

• メールアドレス（サインインに使用します）
• 所属しているジム

サインインはAmazon Cognitoが処理します。パスワードはCognitoが確認し、当社が目にすることはありません。

プロフィール

プロフィールはアプリでご自身で入力します。その大部分は、ジムが会員資格を管理し、クラス中の安全を守るために必要なものです。

• 氏名とニックネーム
• 生年月日と性別（「回答しない」も選べます）
• 電話番号
• 緊急連絡先：氏名・住所・電話番号
• プロフィール写真（入口でコーチがお客様を確認するため。プロフィール写真を参照）
• ニックネームの表示に使う色
• 支払い用メールアドレス（サインインとは別のメールアドレスで会費を支払った場合）。ご本人のものか確認するため、そのアドレスにコードをお送りします。

家族

保護者は、自分が申し込み・支払いをするお子様などの家族を追加できます。各家族について、氏名、ニックネーム、生年月日、性別、プロフィール写真を保管します。また保護者は、お子様が一人でクラスに来てよいかどうかをジムに伝えることができます。

同意書

ジムがアプリで同意書（ジムの規則やトレーニングに伴うリスクへの同意など）への署名を求める場合、署名したことを記録します。

クラス、チェックイン、上達の記録

• お客様と家族が予約・キャンセルしたクラス
• チェックインと出席、および各チェックインの方法（QRコード、近くからのチェックイン、コーチによるチェックイン）
• 帯、級、スター、バッジ、トレーニングジャーニーの報酬などの上達の記録
• 「今月のベスト」などジムのランキングでの順位

近くからのチェックインと位置情報

ジムが近くからのチェックインを提供している場合、アプリは**「チェックイン」をタップしたときだけ**、一度だけ端末の位置情報を求めます。位置とその精度を当社のサーバーに送信し、サーバーはお客様がジムにいることを確認します。位置情報は保存しません。 保存するのはチェックインの記録だけです。アプリがバックグラウンドで位置を追跡することはなく、位置情報へのアクセスを許可しない場合は別の方法でチェックインできます。

プロフィール写真

お客様または保護者がプロフィール写真をアップロードすると、AWSロンドンのAmazon Rekognitionを使って、顔が写っているかを確認します。この確認は顔があるかどうかを検出するだけです。お客様が誰かを識別することはなく、顔のテンプレート（いわゆる「顔認証データ」）を作成・保管することもありません。 確認の結果（顔が見つかったか、どの程度確実か）を写真とともに保管します。

写真はAWSロンドンに保管され、必要とするジムのスタッフに表示されます。

会員資格と支払い

カード決済はStripe、口座振替はGoCardlessが、それぞれの安全なページで処理します。Kakutoは、プラン、金額、支払日とステータス、失敗した支払いと返金、お客様が入力した請求先住所を保管します。カード番号や口座情報はStripeとGoCardlessが管理し、Kakutoが受け取るのは末尾の数桁だけです（お客様とジムが口座を見分けるためです）。

ジムは、会員のおおよその居住地域を把握するために、請求先住所を使うことがあります。その際、GoogleのGeocodingサービスで住所を地図上の位置に変換します。ジムの拠点計画に役立てるためのもので、他の会員が見ることはありません。

トレーニングサークル

トレーニングサークルは任意のソーシャル機能で、ジムが有効にしている場合にだけ利用できます。ご自身で参加を選ぶまで、何も共有されません。 参加すると、アプリは次のものを保管します。

• トレーニングサークルのプロフィール：ご自身で選んだポートレート、短い自己紹介、種目、取り組んでいること、バッジ。このポートレートはアカウントの写真とは別のものです。
• 友達と友達リクエスト、ブロックした会員
• 投稿したモーメント（クラスの写真や短い動画）、共有先、それへのリアクション
• モーメントに写っている人への共有の同意依頼と、その回答
• 他の会員や投稿についての報告と、ジムの判断

他の会員に表示されるのは、ニックネーム、アバター、ご自身で共有を選んだものだけです。メールアドレス、電話番号、生年月日などのアカウント情報が表示されることはありません。 トレーニングサークルはいつでも退会できます。

投票

ジムが投票やアンケートを行う場合、お客様の投票と追加したコメントを保管します。

通知

通知を許可すると、アプリは端末をGoogle Firebase Cloud Messaging（iPhoneの場合はAppleのプッシュ通知サービスも）に登録し、当社は端末の通知用トークンを保管します。通知では、クラスの変更、ジムからのお知らせ、トレーニングサークルでの出来事をお知らせします。通知に含まれるのは通知の文面だけです。通知は端末の設定でオフにできます。

ジムからのメッセージ

ジムは、プロフィールの連絡先を使って、メールやWhatsAppでお客様に連絡することがあります。これらのメッセージは、ジムによるKakuto Adminの利用に含まれ、Kakuto Adminのプライバシー通知で説明しています。

エンタープライズプランのAI機能

一部のジムのオーナーは、スタッフによるジムの管理や会員への対応を支援する任意のAI機能に対応した、Kakutoのエンタープライズプランを契約しています。ジムがこれらの機能を有効にしている場合、ジムに代わってサービスを提供するために、お客様のメッセージや関連する会員記録がAIへのリクエストに含まれることがあります。

ジムの設定に応じて、AIへのリクエストは次のいずれかの方法で処理されます。

• EU域内のAmazon Bedrock。 AI処理は、欧州連合（EU）域内のAWSリージョンにあるAmazon Bedrockランタイムを通じて行われます。AI処理のために送信されるデータはEU域内にとどまり、AIモデルの学習には使用されません。
• OpenAIの商用API。 AIへのリクエストは、商用契約に基づき、Zero Data Retention（データを保持しない設定）を有効にしたOpenAIのAPIエンドポイントに送信されます。OpenAIは、処理後にリクエストや回答の内容を保持せず、そのデータをAIモデルの学習に使用しません。

これらの保護措置は、AIサービス提供者による処理に適用されます。本通知に記載するジムの記録や会話をKakutoが保管する方法は変わりません。ご利用の設定については、ジムにお問い合わせください。

お客様のデータの利用については、引き続きジムが責任を負います。スタッフのアクセスは、ジムが設定した役割と権限によって制限されます。Kakutoが保管するAIアシスタントとの会話については、Kakuto Adminのプライバシー通知をご覧ください。

端末への保存

アプリは、分析や広告のためのCookieやトラッカーを使用しません。端末に保存するのは必要なものだけです。

Amazon Cognitoが運営するKakutoのサインインページは、サインインに必要なCookieを設定します。サインアウトするか、アプリを削除すると、これらのデータは端末から削除されます。

アプリは、カメラや写真（写真を選ぶため）、位置情報（近くからのチェックインのため）、通知を使う前に許可を求めます。これらはいつでも端末の設定で変更できます。

サーバーログ

アプリをご利用になると、当社のサーバーはIPアドレス、日時、リクエストの内容を記録します。サービスの運営、セキュリティの確保、不具合の修正に使用します。ログはAWSロンドンに保管されます。

データの利用目的と法的根拠

ジムに代わって。 当社は、ジムとの契約に基づき、ジムとお客様にアプリの機能を提供するためだけにお客様のデータを使用します。ジム自身の利用についての法的根拠は、ジムが責任を負います。データの大部分については、お客様とジムとの会員契約が根拠です。緊急連絡先や家族の情報については、通常、クラス中の安全を守るというジムの正当な利益が根拠です。トレーニングサークル、近くからのチェックイン、通知などの任意の機能は、お客様がそれらを使うと選んだことに基づきます。

当社自身の目的のために。 サインインの記録とログは、サービスの提供とセキュリティの確保に使用します。根拠は、ジムとの契約と、安全で信頼できるサービスを運営するという当社の正当な利益です。法律で求められる場合は、法的義務が根拠となります。

当社は、個人データを販売したり、広告に使用したり、AIモデルの学習に使用したりしません。

データの共有先

ジム。 ジムのスタッフは、ジムが与えた役割に応じてお客様のデータを閲覧します。たとえばコーチは、お客様の支払いを見ることはできません。

サービス提供者。 当社がデータを共有するのは、アプリの一部を運営するサービス提供者だけです。データの保護を義務づける契約に基づき、必要な範囲でのみ共有します。

• Amazon Web Services：保存、Amazon Cognitoによるサインイン、Amazon SESによるメール送信、Amazon Rekognitionによる写真の顔確認、および設定に応じたエンタープライズプランのAI処理（Amazon Bedrock）
• OpenAI：ジムのエンタープライズプランのAI設定で商用APIを使用する場合のAIリクエストの処理。Zero Data Retentionが適用され、データはモデルの学習に使用されません。
• StripeとGoCardless：カード決済と口座振替
• Google：アプリ通知（Firebase Cloud Messaging）と、ジムのための請求先住所の地図位置への変換（Geocoding）
• Apple：iPhoneへのアプリ通知

Kakutoチームがお客様のデータにアクセスするのは、サポートの提供、不具合の修正、または法律で求められる場合だけです。法律で求められる場合には、データを開示することがあります。

国外へのデータ移転

Kakutoが保管するデータは、データの保管場所で説明したEU域内での処理を除き、英国内にとどまります。英国は、EUが十分な保護水準にあると認めています。

Stripe、GoCardless、Google、Appleは、米国を含む英国外でデータを処理することがあります。その場合は、英国が認める保護措置（EU-米国データプライバシーフレームワークの英国拡張や、標準契約条項に対する英国の国際データ移転補遺など）によってデータを保護します。

OpenAIは、設定されたエンドポイントに応じて、英国およびEUの域外でAIへのリクエストを処理することがあります。個人データの国外移転を伴う場合、当社は適用されるデータ保護法で求められる保護措置を講じます。EU域内だけで処理する仕組みは、エンタープライズプランのAI機能に記載するAmazon Bedrockの設定に適用されます。

データの安全管理

• アプリへの通信はすべて暗号化（HTTPS）されています。
• 保存されるデータは暗号化されています。
• 各ジムのデータは分けて保管され、ジム内のアクセスは役割によって制限されています。
• トレーニングサークルの写真や動画は、閲覧を許可された人にだけ、有効期間の短い非公開リンクで配信されます。

データの保存期間

• アカウントとプロフィールは、アカウントがある間保管します。アカウントはアプリからいつでも削除できます。削除すると、サインイン、プロフィールの情報、トレーニングサークルのプロフィールが削除されます。
• ジムが必要とする記録（出席、会員資格、支払いなど）は、会計などのためにジムが必要とする間、ジムが保管します。削除をご希望の場合はジムにお問い合わせください。
• ジムがKakutoの利用をやめた場合、ジムの指示に従ってデータを削除または返却します。ただし、法律で保管が求められるもの（財務記録など）を除きます。
• サーバーログは、上記の目的に必要な期間だけ保管します。

お客様の権利

UK GDPR（EU域内の方はEU GDPRも）に基づき、お客様には次の権利があります。

• ご自身の個人データの写しを受け取る権利
• 不正確なデータを訂正してもらう権利（プロフィールの大部分はアプリでご自身で変更できます）
• データを削除してもらう権利
• データの利用の制限を求め、または異議を申し立てる権利
• ご自身が提供したデータを持ち運び可能な形式で受け取る権利
• 任意の機能への同意を撤回する権利（トレーニングサークルを退会する、位置情報へのアクセスや通知をオフにするなど）

お客様のデータの取り扱いはジムが決定するため、まずジムにお問い合わせください。サインインや当社自身の記録に関することは、info@kakuto.ioまでメールでご連絡ください。1か月以内に回答します。

データの取り扱いにご不満がある場合は、まずジムまたは当社にお知らせください。また、英国の個人情報保護監督機関（ICO、ico.org.uk）や、お住まいの国のデータ保護当局に苦情を申し立てる権利もあります。

お子様

お子様は通常、ご自身のアカウントを持つのではなく、保護者が家族として追加します。お子様の情報（写真を含む）は保護者が管理します。このデータの管理者はジムであり、役割上許可されたスタッフだけが閲覧できます。保護者は、アプリからお子様の情報を削除するか、ジムに削除を依頼できます。

本通知の変更

アプリにおける個人データの取り扱いを変更する場合は、このページと冒頭の日付を更新します。