プライバシーポリシー

概要

• 当社について：Elumi AI Limited（「HeyLoLo」サービスを運営）は、ドバイ国際金融センターに設立された会社である。
• 現在収集している情報：このリリース前ウェブサイトでは、ウェイトリストに登録する際に提供いただくメールアドレス（および任意で追加するメモ）のみを収集する。
• 目的：リリースに関する情報をお知らせし、早期アクセスにご招待するため。
• 保存期間：削除をご依頼いただくまで、または製品リリースから2年後まで、いずれか早い時点まで。
• 保存場所：ドイツのフランクフルトにある Supabase がホストする当社のデータベース内。メールは、適切な保護措置のもと、アメリカ合衆国の Resend を通じて送信される。
• 子どもについて：製品版の HeyLoLo は6〜14歳の子どものために設計されており、検証可能な保護者の同意を必須とする。本ウェブサイトは保護者および後見人を対象としており、子どもを対象とするものではない。子どものメールアドレスを提供しないよう願う。
• お問い合わせ方法：privacy@heylolo.ai。

1. 管理者について

データ管理者は、2018年DIFC法第5号会社法に基づきドバイ国際金融センター（DIFC）、ドバイ、アラブ首長国連邦に設立された非公開会社であるElumi AI Limitedである。

• 登録番号：13418
• 商業ライセンス：CL13418
• 登録事務所：Unit IH-00-01-01-OF-01, Level 1, Innovation One, Dubai International Financial Centre（DIFC）、ドバイ、アラブ首長国連邦

本ポリシーに関するお問い合わせは、privacy@heylolo.aiまで。

2. EUおよび英国の代理人

Elumi AI Limited は欧州経済領域（EEA）および英国の域外に設立されているため、当社はGDPR第27条および英国GDPR第8条に基づく代理人を指定する手続きを進めている。指定後、その連絡先を本ページに掲載する。それまでの間、privacy@heylolo.aiにて当社へ直接ご連絡いただける。

当社はまだデータ保護責任者（DPO）を任命していない。予定している製品版処理の性質および規模（大規模な子どものデータ）を踏まえ、当社は製品リリース前にDPOを任命する見込みであり、本節をそれに応じて更新する。

3. 本ポリシーの適用範囲

本ポリシーは、当社が現在 HeyLoLo マーケティングウェブサイト（heylolo.com、heylolo.ai、および Replit がホストするリリース前URL）およびそこで提供されるウェイトリスト登録を通じて処理する個人データを対象とする。製品版の HeyLoLo がリリースされた際には、製品内で処理されるデータに、別個の製品プライバシー通知および子ども向けの分かりやすい要約が適用される。当社は、対象となる利用者に通知することなく、その利用者のデータの製品版処理を開始しない。

4. 収集する情報とその目的

4.1 ウェイトリスト登録

ウェイトリストフォームを送信いただく際、当社は以下を収集する：

• お客様のメールアドレス（必須）。
• 任意のソースタグ（お知らせいただける場合、当社をどこで知ったか）。
• 任意で追加いただくメモ。
• 送信の日時。
• リクエストの最小限の技術的記録（例：当社のホスティングおよびメールの各提供者が認識するIPアドレス。サービスの提供および不正利用の検知にのみ使用される）。

法的根拠：GDPR第6条第1項(a)に基づくお客様の同意（お客様が能動的にフォームを送信する）、および、ウェイトリストの運営と保護に関するGDPR第6条第1項(f)に基づく当社の正当な利益。お客様はいつでも当社へのメールにより同意を撤回できる。撤回は、すでに実施された処理には影響しない。

4.2 確認メール

当社は、当社のメール提供者（Resend）を通じて、確認メールを1通お送りする。ご返信いただいた場合、その返信は、お客様のメッセージに回答する目的で処理され、回答および法的な記録保持義務を満たすために必要な期間、記録される。

4.3 サーバーログ

当社のホスティング提供者は、セキュリティおよび稼働状況の監視のため、短期間の技術的ログ（URL、ステータスコード、IP、ユーザーエージェント）を保持する。これらのログは、分析やプロファイリングには使用されない。

4.4 クッキーおよび類似技術

リリース前ウェブサイトは、非必須のクッキーを一切設定せず、また広告や分析のトラッカーを一切実行しない。セキュリティおよび負荷分散のために、厳密に必要なクッキーが当社のホスティング提供者によって設定される場合がある。今後、分析または非必須のクッキーを追加する場合、当社はEU eプライバシー指令およびドイツTTDSGに沿って、クッキーバナーを通じて事前の同意を求める。

5. 子どもについて

HeyLoLo 製品は、保護者の監督のもとで6〜14歳の子どものために設計されている。ウェイトリストを含む本ウェブサイトは、保護者、後見人、その他の成人を対象としており、子どもを対象とするものではない。

• 当社は、13歳未満の子ども（COPPA（米国児童オンラインプライバシー保護法））から、または該当する場合は子どもが居住するEU/EEA加盟国が定めるデジタル同意年齢（既定では16歳。国により13〜16歳）に満たない子どもから、故意に個人情報を収集しない。
• 子どもが本サイトを通じて個人情報を送信したことに保護者または後見人が気づいた場合、privacy@heylolo.aiまで連絡いただきたい。当社は速やかに当該データを削除する。
• 製品版の HeyLoLo では、子どもからデータを収集する前に、COPPA（合衆国法典第15編第6501〜6506条および連邦規則集第16編第312部）に沿った検証可能な保護者の同意手続きを運用する。保護者は、いつでも子どものデータを確認、訂正、削除でき、以後の収集を拒否できる。

6. データの共有方法

当社は個人情報を販売しない。広告主やデータブローカーと共有しない。当社は、当社の指示に基づいてのみ行動し、GDPR第28条に準拠する書面のデータ処理条件に拘束される、少数の審査済み処理者を利用する：

• Supabase, Inc. — ウェイトリストのためのアプリケーションデータベースおよび認証。EU（ドイツ、フランクフルト、eu-central-1）でホストされる。
• Resend, Inc. — トランザクションメールの配信。アメリカ合衆国でホストされる。
• Replit, Inc. — リリース前サイトのウェブサイトホスティング。アメリカ合衆国でホストされる。

当社はまた、法律もしくは法的手続きにより求められる場合、または Elumi AI Limited、当社の利用者、もしくは公衆の権利、安全、財産を保護するために、データを共有することがある。

7. 国際移転

個人データが欧州経済領域、英国、またはDIFCの域外へ移転される場合（例：アメリカ合衆国の Resend または Replit へ）、当社は以下に依拠する：

• 受領者が認証を受けている場合のEU・米国データプライバシーフレームワーク。
• 欧州委員会の標準契約条項（2021/914）、および、英国への移転については英国国際データ移転補遺。必要に応じて補完的措置を伴う。
• DIFCからの移転については、DIFCデータ保護法2020に基づき認められる同等の移転手段。

当社が依拠する保護措置の写しは、privacy@heylolo.aiへのメールにより請求できる。

8. データの保存期間

• ウェイトリストのメールおよび送信記録：削除をご依頼いただくまで、または HeyLoLo の製品版リリースから2年後まで、いずれか早い時点まで。
• メールのやり取り：お客様のメッセージに回答し、法的な記録保持義務を満たすために必要な期間保持したのち、削除される。
• サーバーログ：通常は最長30日間。ただし、特定のセキュリティ事象の調査により長期間が必要な場合を除く。

9. お客様の権利

お住まいの地域に応じて、お客様は当社が保有するお客様に関するデータについて、以下の権利を有する場合がある：

• アクセス — 当社が何を保有しているかを尋ね、その写しを受け取る権利。
• 訂正 — 誤りまたは不完全なデータの訂正を求める権利。
• 消去 — お客様のデータの削除を求める権利。
• 制限 — 一定の状況において処理の停止を求める権利。
• 異議 — 正当な利益に基づく処理に異議を唱える権利。
• ポータビリティ — 機械可読な形式でお客様のデータを受け取る権利。
• 同意の撤回 — いつでも、すでに実施された処理に影響を与えることなく撤回する権利。
• 自動化された処理のみに基づく決定の対象とならない権利（法的またはそれに準ずる重大な影響を伴うもの。GDPR第22条）。当社は本ウェブサイトにおいてそのような決定を行わない。製品版では、子どもに影響を及ぼすAI支援による決定は、実効性のある保護者の監督の対象となる。

これらの権利を行使するには、privacy@heylolo.aiまでメールを。当社は法定の期限内（GDPRのもとでは1か月。複雑な請求についてはさらに2か月延長可能）に対応する。

お客様はまた、データ保護監督機関に苦情を申し立てる権利を有する。特に：

• EU/EEAでは、居住国の監督機関（一覧は欧州データ保護会議が管理している）。
• 英国では、情報コミッショナー事務局（ICO）。
• 当社のDIFC拠点については、DIFCデータ保護コミッショナー。

10. アメリカ合衆国 — 州のプライバシー権

カリフォルニア州、バージニア州、コロラド州、コネチカット州、ユタ州、テキサス州、オレゴン州、モンタナ州、または包括的なプライバシー法を有するその他の米国の州の居住者である場合、お客様は、関連法が当社に適用される範囲において、上記に加えて以下の権利を有する：

• 当社が収集する個人情報のカテゴリーを知り、その情報にアクセスする権利。
• 不正確な情報を訂正する権利。
• お客様の情報を削除する権利。
• コンテキストを越えた行動ターゲティング広告のための個人情報の販売または共有をオプトアウトする権利 — 当社はいずれも行っていないため、現時点でオプトアウトするものはない。
• 機微な個人情報の使用および開示を制限する権利。
• これらの権利のいずれかを行使したことを理由に差別されない権利。

これらの権利を行使するには、privacy@heylolo.aiまでメールを。当社は、お客様のウェイトリスト送信に関連付けられたメールを用いて、ご請求を確認する。授権代理人を利用することもできる。

11. データの保護方法

当社は、リスクに応じた適切な技術的および組織的措置（GDPR第32条）を適用する。これには以下が含まれる：

• 本サイトおよび当社の処理者への全トラフィックに対する転送時の暗号化（TLS）。
• 当社のデータベースに保存されるデータに対する保存時の暗号化。
• ウェイトリストの行への不正アクセスを防止する行レベルのセキュリティポリシー。
• 最小権限の原則に基づくアクセスと、管理アカウントに対する多要素認証。
• 審査され、契約により拘束される副処理者。
• 定期的なバックアップと文書化されたインシデント対応プロセス。

完全に安全なシステムは存在しない。お客様の権利および自由に対するリスクを生じさせる可能性が高い個人データ侵害が発生した場合、当社は、求められる場合には72時間以内に管轄の監督機関へ通知し（GDPR第33条）、リスクが高い場合には不当に遅延することなくお客様へ通知する（GDPR第34条）。

12. 自動化された意思決定とAI

本ウェブサイトは、お客様に関する自動化された決定を行わない。製品版の HeyLoLo では、AIアシスタントは、設計上、自律的な意思決定者ではなく、保護者と子どもを支援するツールである。AIがコンテンツをフィルタリングし、または保護者へ安全上のシグナルをフラグするために使用される場合でも、保護者は確認および無効化の権限を保持する。当社は、EU AI法（EU AI Act）第50条に沿って、製品独自のプライバシー通知において、AI支援による処理に関する明確で平易な情報を提供する。

13. 本ポリシーの変更

当社は、随時本ポリシーを更新することがある。重要な変更を行う場合、当社は冒頭の「最終更新日」を更新し、ウェブサイト上に明確な通知を掲載し、また、お客様との関係がある場合（例：ウェイトリストにご登録の場合）には、事前にメールでお知らせする。お客様が当初同意した範囲を超えてデータの使用を拡大する変更については、当社はそれに依拠する前に、お客様の新たな同意を求める。

14. 連絡先

プライバシーに関するご質問、ご請求、または苦情は、privacy@heylolo.aiまでメールを。

郵送：Elumi AI Limited, Unit IH-00-01-01-OF-01, Level 1, Innovation One, Dubai International Financial Centre（DIFC）、ドバイ、アラブ首長国連邦。