プライバシーポリシー

合同会社ATHLIVIA（以下「当社」）は、お客様の個人情報の保護を重要な責務と考え、以下のプライバシーポリシーに基づき、個人情報を適切に取り扱います。

1. 収集する情報

当社は、以下の情報を収集することがあります。

アカウント情報：氏名、メールアドレス、パスワード、プロフィール情報（チーム所属・役割等）
決済情報：クレジットカード情報（Stripeを通じて安全に処理され、当社はカード番号を直接保存しません）
利用情報：アプリの使用状況（起動・終了の時刻、記録画面のどの段階まで進んだか、保存したかどうか、通知の許可の状態、通知を受け取った・開いた記録）、アクセスログ、端末の情報（OS の種類と版、アプリの版、言語、タイムゾーン）、利用を始めたきっかけ（招待コード・紹介コード・広告やリンクの識別子・Google Play のインストール元）。これらには、入力した体調の値や自由記述の内容は含みません。
トレーニングデータ：走行距離、タイム、心拍数等（アプリ機能の提供に必要な場合）
GPS・ルートデータ：走行距離・高低差等の要約情報（生のGPS座標は収集しません）
健康・フィットネスデータ：Apple HealthKit、Garmin Connect、Strava等の外部プラットフォームから取得する歩数、心拍数、睡眠データ、アクティビティデータ等
健康・医療に関する情報（要配慮個人情報を含む）：ユーザーが任意に入力する既往歴・傷害歴、血液検査結果、身体組成、月経記録、セルフメディカルチェックの結果、リハビリテーション・リコンディショニングの記録、日々のコンディション記録（心拍数・心拍変動・睡眠・疲労度・主観的コンディション等）
お問い合わせ情報：お問い合わせ内容、連絡先情報

1-2. 要配慮個人情報の取り扱い

上記のうち既往歴・傷害歴、血液検査結果等は、個人情報保護法上の要配慮個人情報に該当する場合があります。当社はこれらの情報を、次の方針に基づき取り扱います。

取得は、ユーザー本人の事前の同意に基づいて行います。入力はいずれも任意であり、入力しなくても本サービスの基本機能は利用できます。
利用目的は、コンディション管理・スポーツ外傷/障害の予防支援・トレーニングの最適化など、本サービスの機能提供に限定します。
法令に基づく場合を除き、本人の同意なく第三者に提供しません。
漏えい等が発生した場合は、法令に基づき個人情報保護委員会への報告および本人への通知を行います。

2. 情報の利用目的

収集した情報は、以下の目的で利用します。

サービスの提供・運営・改善
本サービスの継続利用を助ける機能の改善と、その効果の検証（利用状況の集計。改善案を一部の利用者に先に提供して比べる場合を含みます）
ユーザーサポートの提供
決済処理
サービスに関するお知らせの送信
利用規約違反への対応
統計データの作成（個人を特定できない形式）

3. 第三者への提供

当社は、以下の場合を除き、お客様の個人情報を第三者に提供しません。

お客様の同意がある場合
法令に基づく場合
人の生命、身体または財産の保護のために必要な場合
サービス提供に必要な業務委託先（決済代行会社等）に提供する場合

チームコーチ・スタッフへの共有について：選手がチームに参加（招待コードの入力等）すると、機能の性質上、当該チームの指導者・スタッフが選手のトレーニング・コンディション・健康に関する情報（ご入力いただいた既往歴等の要配慮個人情報を含みます）を閲覧できるようになります。チームへの参加は、この共有に同意いただくことを前提としています。共有を停止したい場合は、チームから脱退いただくか、下記お問い合わせ窓口までご連絡ください。Garmin・Strava等の外部APIから取得したデータも、チーム参加中は同様に共有されます。

当社は、第三者プラットフォーム（Apple HealthKit、Garmin Connect、Strava、Polar Flow、COROS）から取得したフィットネスデータを、広告・プロファイリング・転売・関連のない機械学習モデルの学習目的で利用することは一切ありません。Garmin Connectから取得したデータの収集・利用・処理・保存および第三者提供の有無については、4-2. Garmin Connectに詳細を定めています。

OptiSwim BASEについて：OptiSwim BASE（水泳向けコンディション・練習記録アプリ）では、アカウントの作成は任意です。アカウントを作成されない場合、ご入力いただいた記録データ（練習・コンディション・タイム等）はお使いの端末内にのみ保存され、当社サーバーへの送信・収集・第三者提供は行いません。

アカウントを作成された場合、以下の情報を当社サーバー（Supabase・東京リージョン）に保存します。通信はTLSで保護し、テーブルには Row Level Security を設定して本人以外が参照できないようにしています。

アカウント情報：表示名、メールアドレス、当社が発行するユーザー識別子
記録データ：練習記録（距離・強度・セット内容）、コンディション記録（睡眠時間・睡眠の質・疲労感・筋肉痛・肩／腰／膝の痛み）、ベストタイム
利用目的：機種変更時の記録の引き継ぎ、およびチーム機能の提供。広告・プロファイリング・転売・関連のない機械学習モデルの学習目的には一切利用しません

チームに参加された場合：招待コードを入力してチームに参加されると、機能の性質上、当該チームの指導者が、参加者の練習記録・コンディション記録（肩・腰・膝の痛みを含みます）を閲覧できるようになります。チームへの参加は、この共有に同意いただくことを前提としています。共有を停止したい場合は、アプリ内でチームから脱退してください。脱退後、指導者は新たな記録を閲覧できなくなります。

削除について：アカウントおよびサーバー上の記録は、アプリ内の「設定 > アカウントを削除」からいつでも削除できます。削除の実行前に、消去される記録の件数と、所属チームへの影響を画面上に表示します。削除後、サーバー上の当該データは復元できません（お使いの端末内の記録は残ります）。

4. 外部サービスとの連携

当社のサービスは、以下の外部サービスと連携することがあります。

4-1. Apple HealthKit

当社のiOSアプリ（OptiRun BASE+、OptiRun PERSONAL）は、Apple HealthKitと連携してヘルスケアデータを読み取ることがあります。

取得データ：歩数、心拍数（安静時・運動時）、睡眠分析、アクティブエネルギー（消費カロリー）、ワークアウトデータ、体重
利用目的：トレーニング負荷の分析、コンディションモニタリング、エネルギー可用性（EA）の計算
重要事項：HealthKitから取得したデータは、広告・マーケティング目的では一切使用しません。データはユーザーの明示的な許可を得た場合にのみ取得され、iCloudへの保存は行いません。

4-2. Garmin Connect

OptiRun BASE+は、Garmin Connect Developer Program を通じてGarmin Connectと連携します。連携はユーザーが明示的に許可した場合にのみ行われ、許可がない限りGarminデータの取得・保存・処理は一切行いません。本セクションは、Garmin由来データの収集・利用・処理・保存の方法、および第三者への提供・第三者による処理（AIサービスその他のデータ処理サービスの利用を含む）の有無を定めるものです。本セクションの英語版は privacy-en.html#garmin に掲載しています。

収集するデータ：アクティビティデータ（Garminのアクティビティ固有ID、開始日時、種目、走行距離、時間、ペース、平均・最大心拍数、消費カロリー、心拍ゾーン）、デイリーサマリー（歩数、消費カロリー、安静時心拍数、ストレスレベル、Body Battery™スコア）、睡眠データ（睡眠ステージ、睡眠スコア）、心拍変動（HRV）、およびGarminが発行するユーザー識別子（Garmin API User ID）と認証トークン。ルートの生GPS座標は取得・保存しません。
収集方法：主として、Garminのサーバーから当社のサーバーエンドポイントへ送信される通知（PING／PUSH）により取得します。加えて、ユーザーがアプリ内で明示的に同期操作を行った場合に限り、当社サーバーがGarmin APIへ当該ユーザー本人のデータを照会することがあります。ユーザーの許可および操作によらず、当社の判断でGarminからデータを取得することはありません。
認証とトークンの管理：OAuth 2.0（PKCE）によるユーザー同意ベースのアクセスです。ユーザーは公式のGarmin Connect認証画面で、共有する項目を選択して明示的に許可します。アクセストークンおよびリフレッシュトークンは、当社サーバー（Supabase）上の専用テーブルに保管し、保存時はAES-256のストレージ暗号化、通信時はTLS 1.2以上で保護します。当該テーブルには Row Level Security を設定しており、本人以外は参照できません。トークンを用いる通信は、権限を限定したサーバーサイド関数のみが実行します。
利用目的：トレーニング負荷（ACWR・sRPE）の算出、エネルギー可用性（EA）の計算、コンディション・リカバリーのモニタリング、スポーツ外傷／障害およびオーバートレーニングの予防、指導者が作成した練習メニューのGarminデバイスへの配信。これら本サービスの機能提供以外の目的には利用しません。
処理の方法：受信したデータは、すべて当社が管理するサーバーサイド処理（Supabase Edge Functions）上で自動的に処理されます。処理の内容は、(1) 形式の検証と単位・現地日付への正規化、(2) Garminのアクティビティ固有IDを用いた重複排除、(3) トレーニング負荷・エネルギー可用性・コンディション指標など派生値の算出、(4) ユーザー本人および所属チームの画面に表示するための集計です。処理はすべて自動化されており、当社の担当者がGarmin由来データを個別に閲覧するのは、お問い合わせ対応など、ユーザーご本人の依頼または同意がある場合に限られます。
保存場所・保存期間：Garmin由来データは Supabase（PostgreSQL）のデータベースに保存します。データの保管場所は日本国内のAWS東京リージョン（ap-northeast-1）であり、バックアップも同リージョン内に保存されます。保存時はAES-256、通信時はTLS 1.2以上で暗号化し、Row Level Security によりアクセスを制御します。Garmin由来のレコードは data_source: garmin として識別されます。保存期間は、連携が有効であり、かつアカウントが存続している間です。
Garminへ送信するデータ：指導者が作成した練習メニューをユーザーのGarminデバイスへ配信する機能では、当社からGarminのAPIへワークアウト情報（メニュー名、種目、距離または時間、ステップ構成、実施予定日）を送信します。送信は指導者による送信操作があった場合に限られ、健康・医療に関する情報を送信することはありません。
閲覧できる範囲：Garmin由来データを閲覧できるのは、ユーザー本人と、ユーザーが自ら参加したチームの指導者・スタッフに限られます。
第三者への提供：Garmin APIから取得したデータを、第三者に提供・販売・貸与することは一切ありません。データブローカー、広告事業者、保険会社、第三者の分析事業者へ提供することはなく、Garminデータを機械学習モデルの学習、広告・プロファイリング、競合するフィットネス製品の開発に用いることもありません。
AIサービス・第三者データ処理サービスの利用：Garmin由来データを、外部のAIサービス（生成AI・大規模言語モデル・画像解析API等）に送信し、または処理させることは一切ありません。また、次項に掲げるインフラ委託先（当社の指示の範囲内でのみ取り扱うサブプロセッサー）を除き、第三者のデータ処理サービスへGarmin由来データを送信し、または処理させることはありません。本サービスには写真から食事の栄養量を推定する機能があり、この機能に限りユーザーが任意にアップロードした食事写真を外部のAIサービスへ送信しますが（4-8. AIサービスの利用について）、Garmin由来データがこの経路に含まれることはありません。Garmin由来データをアクセス解析サービス（Google Analytics）へ送信することもありません。
委託先（サブプロセッサー）：上記の保存と処理は、当社がデータ保護に関する契約を締結した以下のインフラ事業者の環境で行われます。いずれも当社の指示の範囲内でのみデータを取り扱い、自らの目的でGarminデータを利用することはありません。Garmin由来データを取り扱う委託先は、以下に限られます。
- Supabase, Inc.（米国）：データベース・認証基盤・サーバーサイド処理。データの保管場所は、同社が利用するAWS東京リージョン（日本国内）です。
- Vercel, Inc.（米国）：Web版のホスティング。データエクスポート機能の実行時にGarmin由来データが処理系を経由することがありますが、Vercel上に保存されることはありません。
データ削除：ユーザーがGarmin Connect側またはアプリ内で連携を解除した場合、当社は解除通知を受領した時点で認証トークンを即時失効・削除し、Garmin Connectから取得したデータを削除します（遅くとも30日以内）。アカウントを削除した場合も同様に削除されます。個別の削除のご請求は、下記のお問い合わせ窓口で承ります。
ライセンス遵守：Garmin Connectデータの利用は、Garmin Connect Developer Program のライセンス契約およびブランドガイドラインに従います。
帰属表示：アプリ内でGarmin由来データを表示する画面には、Garminブランドガイドラインに従った帰属表示を行います。アクティビティ画面ではGarminロゴとデバイス機種名を、健康指標のグラフには「This chart was created using data provided by Garmin.」を、複数の情報源を組み合わせた分析には「Insights derived in part from Garmin device-sourced data.」を表示します。
本セクションの変更：Garminデータの取り扱いに関する本セクションの記載は、Garmin Ltd. の書面による事前の承認を得ることなく変更しません。

本連携は、Garmin Ltd. による本番アクセスの承認後に有効化されます。有効化されるまで、OptiRun BASE+がGarmin Connectのデータを取得・保存・処理することはありません。

4-3. Strava

Strava API（OAuth 2.0認証）を通じて、ユーザーの明示的な同意のもとアクティビティデータを取得します。

取得データ：アクティビティデータ（走行距離、ペース、心拍数（平均・最大）、高度、ケイデンス、パワー（ワット）、消費カロリー、運動時間）、アスリートプロフィール情報（氏名、プロフィール画像）
認証方式：OAuth 2.0によるユーザー同意ベースのアクセス。ユーザーはStravaの認証画面で共有するデータの範囲を選択できます。認証トークンはデバイスのKeychain（暗号化ストレージ）およびサーバー側の暗号化されたデータベースで安全に管理されます。
利用目的：トレーニングログの自動取得・保存、走行データの分析、トレーニング負荷の可視化、エネルギー可用性（EA）の計算
データの保存：取得したアクティビティデータは、手動入力のトレーニング記録と同一のデータベーステーブルに保存され、コーチ・選手間で共有されます。Strava由来のデータは「data_source: strava」として識別されます。
重複防止：同一アクティビティの重複インポートを防止するため、Stravaアクティビティの固有IDを記録します。
データ削除：ユーザーが連携を解除した場合、Stravaから取得したデータは30日以内にサーバーから削除されます。Stravaの認証トークンはデバイスから即時削除されます。

4-4. その他のフィットネスプラットフォーム

Polar Flow：Polar AccessLink API（OAuth 2.0・ユーザー同意ベース）を通じてデータを取得します（アプリのアップデートにより順次提供）
COROS Training Hub：COROS APIとの連携は現在COROS社の審査中であり、承認後に提供予定です。それまでは、COROSからエクスポートしたGPXファイルの取り込みに対応しています

提供中の連携は、アカウント設定からいつでも解除できます。連携解除後、該当プラットフォームからの新規データ取得は停止されます。

4-5. データの取り扱い原則

上記フィットネスプラットフォームから取得するデータについて、以下の原則を遵守します。

ユーザーの明示的な同意なくデータを取得・利用しません
取得したデータは、本ポリシーに記載された目的以外には使用しません
取得したデータを広告・マーケティング目的で使用しません
取得したデータを第三者に販売・提供しません
ユーザーはいつでも連携を解除し、データの削除を要求できます
連携解除後、取得済みデータは30日以内にサーバーから削除されます

4-6. その他の外部サービス

Stripe：決済処理（Stripeプライバシーポリシー）
Google Analytics：アクセス解析
Supabase：アプリ基盤・認証・データ保存
Resend：サービスに関するお知らせ等のメール配信

4-7. 業務委託先・外国にある第三者への提供について

当社は、サービス提供に必要な範囲で、次の外国事業者が提供するサービスに個人データの取り扱いを委託しています。いずれの事業者とも、データ保護に関する契約条項等により、個人情報保護法に相当する安全管理措置が講じられていることを確認しています。各国の個人情報保護制度については、個人情報保護委員会が公表する調査結果をご参照ください。

Supabase, Inc.（米国）：データベース・認証基盤（データの保管場所は日本国内・AWS東京リージョン）
Vercel, Inc.（米国）：Webアプリケーションのホスティング
Stripe, Inc.（米国）：決済処理
Resend（Plus Five Five, Inc.・米国）：メール配信
Google LLC（米国）：アクセス解析・アプリ配信（Google Play）・当社ウェブサイトの案内チャットの回答生成（Gemini API）
Apple Inc.（米国）：アプリ配信・アプリ内課金（App Store）

4-8. AIサービスの利用について

アプリ（OptiRun BASE）で外部のAIサービスを利用するのは、写真による食事記録の栄養推定機能のみです。この機能では、ユーザーが任意に撮影・アップロードした食事写真と、ユーザーが入力した修正指示を、外部のAIサービス（OpenAI または Anthropic が提供する画像解析API）へ送信して処理します。この処理は当該機能の提供のみを目的とし、送信されたデータがAIサービス提供者のモデル学習に利用されない契約条件・設定で利用します。

Garmin Connect、Strava、Polar Flow、COROS、Apple HealthKit等の外部フィットネスプラットフォームからAPI経由で取得したデータを、外部のAIプロバイダーその他の第三者AIサービスに共有し、または処理させることは一切ありません。これらのデータは上記のAI処理の経路に含まれません。Garminデータの取り扱いについては4-2. Garmin Connectをご覧ください。

4-9. 当社ウェブサイトの案内チャットについて

当社ウェブサイト（athlivia26.com）の案内チャットでは、訪問者が入力した質問と、そのとき閲覧しているページのアドレスを、回答を作成するためにGoogle LLCが提供するAIサービス（Gemini API）へ送信します。Googleの有料サービスの利用条件のもとで利用しており、送信された内容がGoogleのモデルや製品の改善に使われることはありません。回答の根拠は当社ウェブサイトに掲載している情報に限られます。

アプリのデータは送りません：アプリに記録された選手のデータや、外部フィットネスプラットフォームから取得したデータが、このチャットへ送られることはありません。
会話は保存しません：会話の内容を当社のデータベースに保存することはありません。ただし、訪問者がチャット内で連絡先（お名前・メールアドレス等）を送信した場合に限り、ご連絡のため、その連絡先と直前の会話を保存します。
利用回数の記録：いたずらによる過剰な利用を防ぐため、接続元のIPアドレスを元に戻せない形式（ハッシュ値）に変換して、日ごとの利用回数を記録します。この記録は30日以内に削除します。
自動で表示される案内について：チャットの声かけは、閲覧中のページでの滞在時間やスクロール位置、来訪回数などを、お使いのブラウザの中だけで判定して表示しています。これらの閲覧状況を当社や第三者へ送信することはありません。会話と来訪回数は、お使いのブラウザ内に保存されます。
体調や病歴など、健康に関する情報はチャットに入力しないでください。

5. Cookieの使用

当社のウェブサイトでは、サービスの向上やアクセス解析のためにCookieを使用しています。アクセス解析には Google LLC が提供する Google アナリティクスを使用しており、Google アナリティクスは Cookie を使って利用状況を収集します。収集される情報は Google のプライバシーポリシーに基づいて管理されます。Google アナリティクスによる収集を望まない場合は、Google が提供するオプトアウトアドオンで無効にできます。ブラウザの設定によりCookieを無効にすることも可能ですが、一部の機能が利用できなくなる場合があります。広告目的のCookieは使用しません。

また、サービスの改善を目的として、アプリの利用状況（起動、機能の利用、記録画面の進み具合、通知の受信と開封等）を、当社のデータベース（日本国内・AWS東京リージョン）に記録します。この記録はユーザーアカウントに紐づきますが、外部の分析サービスには送信せず、広告目的での利用や第三者への提供は一切行いません。記録には、入力した体調の値や自由記述の内容は含みません。利用状況の記録は400日を過ぎたものから順に削除し、アカウントを削除した場合はその時点で削除します。

6. データの保管と保護

お客様の個人情報は、Supabase（PostgreSQLデータベース、AWS東京リージョン ap-northeast-1）上で適切なセキュリティ対策を講じた上で保管します。

ISO 27001 / SOC 2認証取得済みデータセンターでの保管
保存時：AES-256による暗号化
通信時：TLS 1.2以上による暗号化
Row Level Security（RLS）によるデータベースアクセス制御
Supabase Authによる安全な認証
バックアップも同じ東京リージョン内に保存され、同等のセキュリティ管理を適用
定期的なセキュリティ監査

7. データの保存期間

個人情報は、サービスの提供に必要な期間、または法令で定められた期間保存します。アカウント削除後は、法令により保持が必要な場合を除き、30日以内に削除します（バックアップからは最大90日以内に消去されます）。

8. お客様の権利

お客様は、ご自身の個人情報について、以下の権利を有します。

開示・訂正・削除の請求
利用停止の請求
データのポータビリティ（エクスポート）

これらの請求は、下記のお問い合わせ先までご連絡ください。ご本人であることを確認させていただいた上で、法令の定めに従い遅滞なく対応します。

9. 未成年者の利用

本サービスは、13歳未満の方のご利用を想定していません。18歳未満の方が当社サービスを利用する場合は、保護者（法定代理人）の同意を得た上でご利用ください。特に16歳未満の方は、必ず保護者の同意を得てください。学校・チーム単位でご利用いただく場合は、所属団体を通じて、保護者の皆さまへの説明と同意の確認をお願いしています。

10. 商標

以下は各社の商標または登録商標であり、記述目的でのみ使用しています。

Garmin®、Garmin Connect™およびBody Battery™は、Garmin Ltd.またはその子会社の商標または登録商標です。
Strava®は、Strava, Inc.の登録商標です。
Polar®およびPolar Flow®は、Polar Electro Oyの登録商標です。
COROS™は、COROS Wearables, Inc.の商標です。
Apple®、Apple HealthKit®、HealthKit®、Apple Watch®は、Apple Inc.の登録商標です。

ATHLIVIA・OptiRun BASE+は合同会社ATHLIVIAの商標です。その他の商標はそれぞれの権利者に帰属します。第三者商標権者による推奨・スポンサーシップ・関係性を示唆するものではありません。

11. プライバシーポリシーの変更

当社は、必要に応じて本ポリシーを変更することがあります。重要な変更がある場合は、ウェブサイト上でお知らせします。

12. お問い合わせ

個人情報の取り扱いに関するお問い合わせは、以下までご連絡ください。

合同会社ATHLIVIA
代表者：上久保利直
〒330-0854 埼玉県さいたま市大宮区桜木町2丁目3番地大宮マルイ7階
メール：t.kamikubo@athlivia26.com