合同会社ATHLIVIA（以下「当社」）は、お客様の個人情報の保護を重要な責務と考え、以下のプライバシーポリシーに基づき、個人情報を適切に取り扱います。
1. 収集する情報
当社は、以下の情報を収集することがあります。
- アカウント情報：氏名、メールアドレス、パスワード、プロフィール情報（チーム所属・役割等）
- 決済情報：クレジットカード情報（Stripeを通じて安全に処理され、当社はカード番号を直接保存しません）
- 利用情報：アプリの使用状況、アクセスログ、デバイス情報
- トレーニングデータ：走行距離、タイム、心拍数等（アプリ機能の提供に必要な場合）
- GPS・ルートデータ：走行距離・高低差等の要約情報（生のGPS座標は収集しません）
- 健康・フィットネスデータ：Apple HealthKit、Garmin Connect、Strava等の外部プラットフォームから取得する歩数、心拍数、睡眠データ、アクティビティデータ等
- 健康・医療に関する情報（要配慮個人情報を含む）：ユーザーが任意に入力する既往歴・傷害歴、血液検査結果、身体組成、月経記録、セルフメディカルチェックの結果、リハビリテーション・リコンディショニングの記録、日々のコンディション記録（心拍数・心拍変動・睡眠・疲労度・主観的コンディション等）
- お問い合わせ情報：お問い合わせ内容、連絡先情報
1-2. 要配慮個人情報の取り扱い
上記のうち既往歴・傷害歴、血液検査結果等は、個人情報保護法上の要配慮個人情報に該当する場合があります。当社はこれらの情報を、次の方針に基づき取り扱います。
- 取得は、ユーザー本人の事前の同意に基づいて行います。入力はいずれも任意であり、入力しなくても本サービスの基本機能は利用できます。
- 利用目的は、コンディション管理・スポーツ外傷/障害の予防支援・トレーニングの最適化など、本サービスの機能提供に限定します。
- 法令に基づく場合を除き、本人の同意なく第三者に提供しません。
- 漏えい等が発生した場合は、法令に基づき個人情報保護委員会への報告および本人への通知を行います。
2. 情報の利用目的
収集した情報は、以下の目的で利用します。
- サービスの提供・運営・改善
- ユーザーサポートの提供
- 決済処理
- サービスに関するお知らせの送信
- 利用規約違反への対応
- 統計データの作成（個人を特定できない形式）
3. 第三者への提供
当社は、以下の場合を除き、お客様の個人情報を第三者に提供しません。
- お客様の同意がある場合
- 法令に基づく場合
- 人の生命、身体または財産の保護のために必要な場合
- サービス提供に必要な業務委託先（決済代行会社等）に提供する場合
チームコーチ・スタッフへの共有について：選手がチームに参加（招待コードの入力等）すると、機能の性質上、当該チームの指導者・スタッフが選手のトレーニング・コンディション・健康に関する情報（ご入力いただいた既往歴等の要配慮個人情報を含みます）を閲覧できるようになります。チームへの参加は、この共有に同意いただくことを前提としています。共有を停止したい場合は、チームから脱退いただくか、下記お問い合わせ窓口までご連絡ください。Garmin・Strava等の外部APIから取得したデータも、チーム参加中は同様に共有されます。
当社は、第三者プラットフォーム（Apple HealthKit、Garmin Connect、Strava、Polar Flow、COROS）から取得したフィットネスデータを、広告・プロファイリング・転売・関連のない機械学習モデルの学習目的で利用することは一切ありません。
4. 外部サービスとの連携
当社のサービスは、以下の外部サービスと連携することがあります。
4-1. Apple HealthKit
当社のiOSアプリ（OptiRun BASE+、OptiRun PERSONAL）は、Apple HealthKitと連携してヘルスケアデータを読み取ることがあります。
- 取得データ：歩数、心拍数（安静時・運動時）、睡眠分析、アクティブエネルギー（消費カロリー）、ワークアウトデータ、体重
- 利用目的：トレーニング負荷の分析、コンディションモニタリング、エネルギー可用性（EA）の計算
- 重要事項：HealthKitから取得したデータは、広告・マーケティング目的では一切使用しません。データはユーザーの明示的な許可を得た場合にのみ取得され、iCloudへの保存は行いません。
4-2. Garmin Connect（実装予定／Garmin Health API承認待ち）
OptiRun BASE+は現在 Garmin Health API の利用申請中であり、Garmin Ltd.の承認後にGarmin Connect連携を提供する予定です。本番アプリでは現時点でGarmin連携は有効化されておりません。連携が開始された時点で、以下の取り扱いが適用されます。
- 取得予定データ：デイリーサマリー（歩数、消費カロリー、心拍数）、アクティビティデータ（走行距離、ペース、心拍ゾーン）、睡眠データ（睡眠ステージ、睡眠スコア）、ストレスレベル、Body Batteryスコア
- 認証方式：OAuth 2.0によるユーザー同意ベースのアクセスを採用予定。ユーザーは公式のGarmin Connect認証画面で明示的にデータ共有を許可します。認証トークンはサーバー側で暗号化保存し、デバイス上ではKeychainに格納します。
- 利用目的：トレーニング負荷・リカバリーの分析、コンディションモニタリング、オーバートレーニング防止のためのアラート生成、エネルギー可用性（EA）の計算
- データ削除：連携解除時には認証トークンを即時失効し、Garmin Connectから取得したデータは30日以内にサーバーから削除します。
- ライセンス遵守：Garmin Connectデータの利用はGarmin Health APIライセンス契約に従います。Garminデータを転売目的の機械学習モデル学習、競合するフィットネス製品の開発、広告事業者・データブローカー・分析業者への提供に利用することは一切ありません。
- 「Powered by Garmin」表示：連携開始後、アプリ内でGarmin由来データを表示する画面には、Garminブランドガイドラインに従って公式の「Powered by Garmin Connect」表記を行います。
連携が有効化されるまで、OptiRun BASE+はGarmin Connectのデータを取得・保存・処理することはありません。連携開始後、本セクションから「実装予定」表記を削除します。
4-3. Strava
Strava API（OAuth 2.0認証）を通じて、ユーザーの明示的な同意のもとアクティビティデータを取得します。
- 取得データ：アクティビティデータ（走行距離、ペース、心拍数（平均・最大）、高度、ケイデンス、パワー（ワット）、消費カロリー、運動時間）、アスリートプロフィール情報（氏名、プロフィール画像）
- 認証方式：OAuth 2.0によるユーザー同意ベースのアクセス。ユーザーはStravaの認証画面で共有するデータの範囲を選択できます。認証トークンはデバイスのKeychain（暗号化ストレージ）およびサーバー側の暗号化されたデータベースで安全に管理されます。
- 利用目的：トレーニングログの自動取得・保存、走行データの分析、トレーニング負荷の可視化、エネルギー可用性（EA）の計算
- データの保存：取得したアクティビティデータは、手動入力のトレーニング記録と同一のデータベーステーブルに保存され、コーチ・選手間で共有されます。Strava由来のデータは「data_source: strava」として識別されます。
- 重複防止：同一アクティビティの重複インポートを防止するため、Stravaアクティビティの固有IDを記録します。
- データ削除：ユーザーが連携を解除した場合、Stravaから取得したデータは30日以内にサーバーから削除されます。Stravaの認証トークンはデバイスから即時削除されます。
4-4. その他のフィットネスプラットフォーム
- Polar Flow：Polar AccessLink API（OAuth 2.0・ユーザー同意ベース）を通じてデータを取得します（アプリのアップデートにより順次提供）
- COROS Training Hub：COROS APIとの連携は現在COROS社の審査中であり、承認後に提供予定です。それまでは、COROSからエクスポートしたGPXファイルの取り込みに対応しています
提供中の連携は、アカウント設定からいつでも解除できます。連携解除後、該当プラットフォームからの新規データ取得は停止されます。
4-5. データの取り扱い原則
上記フィットネスプラットフォームから取得するデータについて、以下の原則を遵守します。
- ユーザーの明示的な同意なくデータを取得・利用しません
- 取得したデータは、本ポリシーに記載された目的以外には使用しません
- 取得したデータを広告・マーケティング目的で使用しません
- 取得したデータを第三者に販売・提供しません
- ユーザーはいつでも連携を解除し、データの削除を要求できます
- 連携解除後、取得済みデータは30日以内にサーバーから削除されます
4-6. その他の外部サービス
- Stripe：決済処理（Stripeプライバシーポリシー）
- Google Analytics：アクセス解析
- Supabase：アプリ基盤・認証・データ保存
- PostHog：アプリの利用状況分析（画面遷移・機能の利用状況等。広告目的では使用しません）
- Resend：サービスに関するお知らせ等のメール配信
4-7. 業務委託先・外国にある第三者への提供について
当社は、サービス提供に必要な範囲で、次の外国事業者が提供するサービスに個人データの取り扱いを委託しています。いずれの事業者とも、データ保護に関する契約条項等により、個人情報保護法に相当する安全管理措置が講じられていることを確認しています。各国の個人情報保護制度については、個人情報保護委員会が公表する調査結果をご参照ください。
- Supabase, Inc.（米国）：データベース・認証基盤（データの保管場所は日本国内・AWS東京リージョン）
- Vercel, Inc.（米国）：Webアプリケーションのホスティング
- Stripe, Inc.（米国）：決済処理
- Resend（Plus Five Five, Inc.・米国）：メール配信
- PostHog, Inc.（米国）：アプリ利用状況の分析
- Google LLC（米国）：アクセス解析・アプリ配信（Google Play）
- Apple Inc.（米国）：アプリ配信・アプリ内課金（App Store）
4-8. AIサービスの利用について
本サービスの一部機能（写真による食事記録の栄養推定等）では、ユーザーが任意にアップロードした画像等を外部のAIサービスに送信して処理することがあります。この処理は当該機能の提供のみを目的とし、送信されたデータがAIサービス提供者のモデル学習に利用されない契約条件・設定で利用します。
Garmin Connect、Strava、Polar Flow、COROS等の外部フィットネスプラットフォームからAPI経由で取得したデータを、外部のAIプロバイダーその他の第三者AIサービスに共有し、または処理させることは一切ありません。
5. Cookieの使用
当社のウェブサイトでは、サービスの向上やアクセス解析のためにCookieを使用しています。ブラウザの設定によりCookieを無効にすることも可能ですが、一部の機能が利用できなくなる場合があります。
6. データの保管と保護
お客様の個人情報は、Supabase（PostgreSQLデータベース、AWS東京リージョン ap-northeast-1）上で適切なセキュリティ対策を講じた上で保管します。
- ISO 27001 / SOC 2認証取得済みデータセンターでの保管
- 保存時：AES-256による暗号化
- 通信時：TLS 1.2以上による暗号化
- Row Level Security（RLS）によるデータベースアクセス制御
- Supabase Authによる安全な認証
- バックアップも同じ東京リージョン内に保存され、同等のセキュリティ管理を適用
- 定期的なセキュリティ監査
7. データの保存期間
個人情報は、サービスの提供に必要な期間、または法令で定められた期間保存します。アカウント削除後は、法令により保持が必要な場合を除き、30日以内に削除します（バックアップからは最大90日以内に消去されます）。
8. お客様の権利
お客様は、ご自身の個人情報について、以下の権利を有します。
- 開示・訂正・削除の請求
- 利用停止の請求
- データのポータビリティ（エクスポート）
これらの請求は、下記のお問い合わせ先までご連絡ください。ご本人であることを確認させていただいた上で、法令の定めに従い遅滞なく対応します。
9. 未成年者の利用
本サービスは、13歳未満の方のご利用を想定していません。18歳未満の方が当社サービスを利用する場合は、保護者（法定代理人）の同意を得た上でご利用ください。特に16歳未満の方は、必ず保護者の同意を得てください。学校・チーム単位でご利用いただく場合は、所属団体を通じて、保護者の皆さまへの説明と同意の確認をお願いしています。
10. 商標
以下は各社の商標または登録商標であり、記述目的でのみ使用しています。
- Garmin®およびGarmin Connect®は、Garmin Ltd.またはその子会社の登録商標です。
- Strava®は、Strava, Inc.の登録商標です。
- Polar®およびPolar Flow®は、Polar Electro Oyの登録商標です。
- COROS™は、COROS Wearables, Inc.の商標です。
- Apple®、Apple HealthKit®、HealthKit®、Apple Watch®は、Apple Inc.の登録商標です。
ATHLIVIA・OptiRun BASE+は合同会社ATHLIVIAの商標です。その他の商標はそれぞれの権利者に帰属します。第三者商標権者による推奨・スポンサーシップ・関係性を示唆するものではありません。
11. プライバシーポリシーの変更
当社は、必要に応じて本ポリシーを変更することがあります。重要な変更がある場合は、ウェブサイト上でお知らせします。
12. お問い合わせ
個人情報の取り扱いに関するお問い合わせは、以下までご連絡ください。
合同会社ATHLIVIA
代表者：上久保 利直
〒330-0854 埼玉県さいたま市大宮区桜木町2丁目3番地 大宮マルイ7階
メール：t.kamikubo@athlivia26.com