プライバシーポリシー

1. 運営者について

ModelDirectory.org(「当社」、「私たち」)は、3Dモデルファイルの発見、共有、タイムスタンプ記録を行うためのオープンなプラットフォームです。EU/UK GDPRの目的上、当社は本ウェブサイトおよびそのAPIを通じて収集される個人データのデータ管理者に該当します。

プライバシーに関するお問い合わせ先:[email protected]

本ポリシーは、すべての訪問者、登録ユーザー、および本プラットフォームのフォームやAPIを通じてデータを送信するすべての方に適用されます。

2. 収集するデータ

2.1 アカウントデータ

登録時に、当社は以下を収集します。

• メールアドレス:認証および取引に関する連絡のために必要です。
• 表示名:お客様の公開プロフィールに表示され、アップロードされたコンテンツの作成者として紐づけられます。
• OAuthプロフィールデータ:Googleでサインインした場合、Googleアカウントの名前、メールアドレス、およびプロフィール画像のURLを受け取ります。Googleのパスワードを受け取ることはありません。
• パスワードハッシュ:メールアドレスとパスワードで登録した場合、パスワードはSupabase Authによりbcryptでハッシュ化されます。平文のパスワードを保存することはありません。

2.2 アップロードおよびコンテンツデータ

モデルをアップロードすると、当社は以下を収集し、永続的に保存します。

• 3Dモデルファイル自体(暗号化されたオブジェクトストレージに保存されます)。
• ファイル名、サイズ、形式、およびSHA-256ハッシュ値。
• お客様が入力したモデル名、説明、カテゴリ、およびタグ。
• お客様が選択したライセンス。
• お客様の権利表明(真偽値のフラグとタイムスタンプ)。
• ジオメトリメタデータ:三角形の数、バウンディングボックスの寸法。
• ウイルススキャンの結果。
• アップロード日時。
• コンテンツレーティングメタデータ:機械により割り当てられたcontent_ratingの値(general、mature、adult、またはweapon)、age_gateの真偽値、およびそのレーティングの根拠となった各種シグナル(キーワード一致、自動画像解析の結果、人による審査結果)を記録するcontent_flagsというJSONオブジェクト。第13項をご参照ください。

2.3 ブロックチェーンタイムスタンプデータ

ブロックチェーンタイムスタンプ機能をご利用いただく場合、当社はお客様のファイルのSHA-256ハッシュ値と、当社のスマートコントラクトのトランザクションをPolygon(またはその他の選択されたブロックチェーン)に送信します。このデータは永続的に公開され、削除することはできません。お客様の氏名、メールアドレス、その他の個人を識別する情報は含まれず、ファイルハッシュ値とブロックのタイムスタンプのみが含まれます。

2.4 利用状況および技術データ

本プラットフォームをご利用の際、当社のサーバーおよびCloudflareは自動的に以下を記録します。

• お客様のIPアドレス(セキュリティおよびレート制限のために使用され、通常の閲覧に際してお客様のアカウントに紐づけられることはありません)。
• ブラウザのユーザーエージェント文字列。
• 閲覧したページ、日時、およびHTTPレスポンスコード。
• ダウンロードイベント(モデルIDおよび日時。サインインしている場合はお客様のアカウントに紐づけられます)。

当社は、第三者の解析トラッカー(Google Analyticsなど)を使用していません。アクセスログはCloudflareのプライバシーポリシーに従って処理されます。

2.5 決済データ

決済はStripeにより処理されます。当社は、お客様のカード番号、CVV、またはその他の詳細な決済情報を保存しません。当社が受け取り保存するのは、Stripeの決済参照番号、金額、通貨、および日時です。Stripeは、当社との間で締結したデータ処理契約(DPA)に基づき業務を行うデータ処理者です。第7項をご参照ください。

2.6 DMCAおよびサポートデータ

DMCA削除申立て、反対通知、またはサポート依頼をご提出いただいた場合、当社は当該申立てにおいてお客様がご提供いただいたデータ(氏名、連絡先、およびご連絡内容を含みます)を収集します。これらのデータは、法令上要求される最低限の期間保存されます(第5項をご参照ください)。

2.7 当社が収集しないデータ

当社は、人種・民族、健康データ、生体データ、(IPアドレスから推定される国以上の)正確な位置情報、政治的意見、または宗教的信条を収集しません。

3. データの利用方法

当社は、お客様の個人データを第三者に販売することはありません。また、お客様のデータをターゲティング広告のために利用することもありません。

4. 処理の法的根拠(GDPR/UK GDPR)

お客様がEUまたは英国にお住まいの場合、当社はGDPR第6条に基づき、以下の法的根拠に依拠します。

正当な利益に依拠する場合、お客様には異議を申し立てる権利があります(第6項をご参照ください)。当社は、関連する各活動について正当な利益の評価を実施済み、または実施予定です。

同意に依拠する場合、お客様はいつでも同意を撤回することができ、撤回前に行われた処理の適法性には影響しません。

5. データの保存期間

当社は、収集目的の達成に必要な期間、または法令上要求される期間に限り、お客様のデータを保存します。

該当する保存期間の経過後、データはお客様と紐づけられないよう、安全に削除または匿名化されます。

6. お客様の権利

お客様がEU、英国、またはこれらに類似するデータ保護法制を有する法域にお住まいの場合、ご自身の個人データについて以下の権利を有します。これらの権利の多くは、アカウントダッシュボードから直接行使することができます。自動的に対応できないご依頼については、[email protected]までメールでご連絡ください。

データに関するご依頼への対応にご満足いただけない場合、お客様が所在する国のデータ保護当局に苦情を申し立てる権利があります。

• EU:お客様の国の監督機関(edpb.europa.euでご確認いただけます)。
• 英国:Information Commissioner's Office(ICO)、ico.org.uk。

7. 第三者サービスおよびデータ処理者

当社は、以下の第三者サービスプロバイダーとデータを共有しています。各社は、当社との間で締結したデータ処理契約(DPA)に基づき、当社の指示の範囲内でのみデータを処理するデータ処理者として行動します。

当社は、第三者自身のマーケティング目的のためにお客様の個人データを共有することはありません。有効な法的手続き(裁判所命令、召喚状、または適用法令)により求められる場合、法執行機関または政府当局にデータを開示することがあります。

8. 国際データ移転

当社の第三者処理者の一部(Stripe、Resend、Cloudflare)は米国を拠点としています。EU/英国のデータ主体の個人データをEEA/英国域外に移転する場合、当社は以下のような適切な保護措置を確保します。

• 欧州委員会が承認した標準契約条項(SCC)。
• 該当する場合の英国国際データ移転契約(IDTA)。
• 移転先の国が同等の保護を提供している場合の十分性認定。

該当する移転メカニズムの写しをご希望の場合は、[email protected]までご連絡ください。

9. Cookieおよびトラッキング

9.1 当社が使用するもの

当社は、本プラットフォームの機能維持に厳密に必要な、最小限のCookieおよびローカルストレージのみを使用しています。

9.2 当社が使用しないもの

当社は、広告用Cookie、クロスサイトトラッキングCookie、またはGoogle、Metaその他の第三者による解析用Cookieを使用していません。当社は広告を配信していません。

9.3 Cookieの管理

Cookieはブラウザの設定から管理することができます。Supabaseセッショントークンを削除するとサインアウトされます。CloudflareセキュリティCookieをブロックすると、DDoS発生時に本サイトがページを提供する能力に影響が生じる場合があります。

10. お子様のプライバシー

本プラットフォームは13歳未満のお子様を対象としていません。当社は、13歳未満のお子様から故意に個人データを収集することはありません。13歳未満のお子様が当社に個人データを提供したとお考えの場合は、[email protected]までご連絡いただければ、速やかに削除いたします。

EUにお住まいの13歳から16歳までのユーザーは、GDPR第8条に基づき、確認可能な保護者の同意が必要です。保護者の同意を得ずに登録したこの年齢層のユーザーをご存知の場合は、当社までご連絡ください。

11. 本ポリシーの変更

当社は、本プライバシーポリシーを随時更新することがあります。重要な変更を行う場合、当社は以下を行います。

• 改訂後のポリシーを、更新された「最終更新日」とともに本ページに掲載します。
• 重要な変更が効力を生じる少なくとも14日前までに、登録ユーザーにメールで通知します。

改訂後のポリシーの効力発生日以降も本プラットフォームの利用を継続した場合、新しいポリシーへの同意とみなされます。

12. お問い合わせおよびデータ保護

プライバシーに関するご質問、データ主体によるアクセス請求、またはお客様の権利の行使については、以下までご連絡ください。

GDPR(第37条)に基づき正式なデータ保護責任者(DPO)の選任が必要となった場合、当社はDPOの連絡先情報とともに本項を更新します。現時点では、プライバシー業務は法務・コンプライアンスチームが直接担当しています。

関連情報:利用規約

13. コンテンツレーティング、年齢確認、および記録保持義務

13.1 コンテンツレーティングメタデータ

本プラットフォームでホストされるすべてのモデルファイルには、general、mature、adult、weaponの4段階の分類から選ばれるコンテンツレーティングが付与されます。このレーティングは、モデル記録とともに当社のデータベースに保存されます。それ自体は個人データではありませんが、お客様のアカウントおよびアップロード来歴記録と紐づけられます。

レーティングは、以下のいずれか、または複数の自動化された方法により決定され、その結果はcontent_flagsというJSONフィールドに保存されます。

• キーワード検出:取り込み時に、モデルの名称、説明、およびタグが、精選されたキーワードセットと照合されます。
• 自動画像解析による分類:自社でホストする画像解析モデル(minicpm-v)がモデルのサムネイル画像を解析し、コンテンツレーティングの推奨結果を返します。この目的のために、サムネイルデータが外部の第三者に送信されることはありません。
• モデレーターによる審査:モデレーターが自動レーティングを上書きまたは確認する場合があります。審査担当者の判断および日時が記録されます。

content_flagsフィールドには、どのシグナルが検知されたか(例:{"source_platform_nsfw": true, "ai_detected": true, "human_reviewed": false})が記録されます。このフィールドは一般には公開されません。モデレーター、法務担当、および(請求があった場合)アップロードした制作者に対しては閲覧可能です。

13.2 年齢確認

adultのレーティングが付与されたモデルは年齢制限の対象となり、未認証の訪問者、または年齢確認を完了していないアカウントからはアクセスできません。年齢確認の仕組みを導入する際、当社は、ユーザーが18歳以上であることを確認するために必要最低限のデータのみを収集します。これには以下が含まれる場合があります。

• 生年月日そのものではなく、「18歳以上であることを確認した」という真偽値の確認として保存される、生年月日の申告(自己申告)。
• 将来的に第三者の年齢確認サービスを利用する場合、当社が保存するのは確認用トークンまたは合否結果のみであり、基礎となる本人確認書類のデータは当該サービスが保有し、そのサービス独自のプライバシーポリシーに従って管理されます。

年齢確認データの収集に関する法的根拠は、該当する場合はGDPR第6条第1項(c)の法的義務、および年齢制限のあるコンテンツへの未成年者の接触を防止するという第6条第1項(f)の正当な利益です。

年齢確認記録は、確認済みセッションの存続期間、または継続的な確認の場合は12か月間保存され、その後は再確認が必要となる場合があります。

13.3 18 U.S.C. § 2257に基づく記録保持

本プラットフォームにアップロードされたコンテンツが、18 U.S.C. § 2257(米国法)に定義される実際の性的に露骨な行為を描写する場合、アップロードした本人が、必要な記録を保持し、当社の求めに応じてこれを提供する責任を負います。かかるコンテンツをアップロードすることにより、アップロード者は、描写されるすべての出演者が成人(18歳以上)であること、必要な記録が存在し維持されていること、および法律の要求に従い当該記録が閲覧可能な状態にあることを保証するものとします。

当社は、コンテンツのURL、アップロード者のアカウントID、およびアップロード者による保証の日付を相互参照する副次的な管理者記録を保持します。これらの記録は、最低7年間、または適用法令上要求される期間保存されます。

§ 2257準拠に関する当社の記録管理担当者への連絡先:[email protected]

13.4 本項に関する法的根拠の一覧