← トップへ

プライバシーポリシー

最終更新日：2026年10月15日

SHEALS（以下「当社」）は、予約・日程調整システム「KOROAI（ころあい）」 （以下「本サービス」）における利用者の個人情報および Google ユーザーデータを、以下の方針に基づいて適切に取り扱います。

1. 運営者情報

  • サービス名：KOROAI（ころあい）
  • 運営者：SHEALS（竹内 広和）
  • お問い合わせ：yoyaku@sheals.jp

2. 取得する情報

  • アカウント情報：ログイン用のメールアドレス、屋号・表示名などの 設定情報
  • Google 連携情報：利用者が明示的に連携を許可した場合の、Google アカウントのメールアドレス、カレンダーの予定（空き時間の判定と 予定の作成・削除に必要な範囲）
  • Zoom 連携情報：利用者が明示的に連携を許可した場合の、Zoom アカウントのメールアドレス、およびオンライン会議の作成・削除に 必要な範囲の情報（予約時に会議URLを自動発行するため）
  • 予約者情報：予約者が入力する氏名、メールアドレス、電話番号、 予約に関する備考など

3. Google ユーザーデータの利用目的

本サービスは、利用者が Google カレンダーとの連携を許可した場合に限り、Google カレンダーの 情報へアクセスします。取得したカレンダー情報は、次の目的のためだけに 利用します。

  • 既存の予定と重複しない空き時間を判定するため
  • 予約が成立した際に、カレンダーへ予定を作成・更新・削除するため

上記以外の目的でカレンダー情報を利用することはありません。また、 広告目的での利用や、人手による内容の閲覧は行いません。

4. Google API サービスから受け取った情報の取り扱い（Limited Use）

本サービスが Google API から受け取る情報の使用および他アプリへの 転送は、Google API Services User Data Policy（限定使用の要件を含む）を遵守します。

KOROAI's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

5. 第三者提供

当社は、法令に基づく場合を除き、取得した個人情報および Google ユーザーデータを本人の同意なく第三者へ提供・販売しません。

6. 委託先・利用する外部サービス

本サービスの運営のため、以下の外部サービスを利用しています。

  • Supabase（データベース・認証基盤）
  • Vercel（アプリケーションのホスティング）
  • Resend（予約確認・リマインドメールの送信）
  • Google（カレンダー連携・Google Meet 会議URLの発行）
  • Zoom（オンライン会議URLの発行）

7. データの保存と削除

Google 連携情報は、利用者が管理画面から連携を解除した時点で、 当社が保持するアクセストークンを速やかに破棄します。予約者情報は、 予約管理に必要な期間保存し、不要になった場合は削除します。 データの削除をご希望の場合は、上記お問い合わせ先までご連絡ください。

利用者の権利：利用者は、当社が保有する自身の 個人情報について、開示・訂正・削除・利用停止を求めること、および Google／Zoom 連携の解除（同意の撤回）を行うことができます。 連携は管理画面からいつでも解除でき、その他のご請求は上記 お問い合わせ先で受け付けます。

8. データの保護（安全管理措置）

当社は、Google ユーザーデータを含む利用者の情報を守るため、 次の安全管理措置を講じています。

  • 通信の暗号化：本サービスとの通信はすべて HTTPS（TLS）で 暗号化しています。
  • 認証情報の暗号化：Google・Zoom から受け取るアクセストークンと リフレッシュトークンは、AES-256-GCM で暗号化してから データベースに保存します。暗号鍵はデータベースとは別に、 アクセスが限定された環境変数で管理しています。
  • 保存データの暗号化：データベース（Supabase）に保存される データは、保存時に暗号化（AES-256）されています。
  • カレンダー情報の最小限の取り扱い：カレンダーの予定の内容 （件名・説明など）はデータベースに保存しません。空き時間の判定に 必要な時間帯をその都度参照するだけで、保存するのは本サービスが 作成した予定の識別子のみです。
  • 最小権限：Google には予定の参照と作成に必要な範囲 （calendar.events）のみを求め、カレンダー全体の管理権限は 求めません。
  • アクセス制限：管理画面はログインが必要で、利用者は自分の データにのみアクセスできます。当社内でデータにアクセスできるのは 運営責任者に限られ、障害対応など必要な場合を除き、 Google ユーザーデータを人が閲覧することはありません。
  • 連携解除時の破棄：利用者が連携を解除した時点で、保存している トークンを削除します。

Data protection: All traffic is encrypted in transit with HTTPS (TLS). OAuth access and refresh tokens received from Google and Zoom are encrypted with AES-256-GCM before being stored, and the encryption key is kept separately from the database in restricted environment variables. Data in our database (Supabase) is encrypted at rest with AES-256. We do not store the contents of calendar events; we only read busy time ranges when calculating availability and store only the IDs of events our service creates. We request only the calendar.events scope. Access to the admin console requires authentication, each user can access only their own data, and internal access is limited to the service operator. Stored tokens are deleted when a user disconnects the integration.

9. 本ポリシーの変更

当社は、必要に応じて本ポリシーを変更することがあります。重要な変更が ある場合は、本サービス上で通知します。

利用規約はこちら →