隐私政策

1. 事业者信息与适用范围

本政策中的「运营方」「我们」指运营本服务的主体（个人经营者）。经营者的姓名与详细住所，依《个人信息保护法》第 32 条第 1 款，按本人请求以电子邮件无迟延告知（ryugakujinja@gmail.com）。个人信息保护负责人：运营者本人（同一窗口）。本政策适用于你访问、注册与使用本服务时，我们对你个人信息的全部处理。

2. 我们收集的信息

你主动提供的信息

• 账户信息：邮箱、显示名、密码（仅以哈希形式存储，绝不保存明文）、界面语言偏好。
• Google 登录信息：Google 提供的稳定账号标识符（sub）、已验证邮箱、显示名与语言信息（在授权范围内）。我们不持久化 Google access token、refresh token 或 ID token，也不把 Google 邮箱当作身份主键。
• 画像（个人资料，均为自愿填写）：国籍·地区、母语、学历阶段与在读院校·专业、成绩（GPA、JLPT / TOEFL / IELTS / EJU 等）、目标升学阶段·年份·院校·专业·教授、在留资格状态、研究与就职意向等。填写范围由你决定，仅填写为获得相应功能所需的信息即可。
• 用户内容：你在各工具中提交的文本（研究计划书、志望理由书、ES、邮件草稿等）、上传的文件（PDF、截图、简历等）、语音输入的音频及其转写文本，以及由此生成并保存的结果（草稿、评审、经历卡、错题本、时间线等）。
• 咨询与预约信息：你通过咨询·预约表单提交的显示名、邮箱或微信号等联系方式。
• 支付相关信息：付费方案的订阅与权益状态、初穂余额与消耗记录。银行卡信息由结账页面所示的支付服务商直接处理，我们不保存你的完整卡号。

我们自动收集的信息

• 认证与安全数据：登录时的 IP 地址与设备信息（User-Agent）；一次性验证码仅以哈希（HMAC）形式存储、一次有效并限制尝试次数；Google 登录过程中会短期保存 OAuth 请求的哈希化 state、浏览器绑定值与 nonce，以及 PKCE 校验信息，用后即失效。上述验证码与 OAuth 安全值均不以可复用的明文凭据形式保存。
• 会话数据：服务端会话令牌及其创建·活动·过期时间，以及相关 IP 与设备信息。
• 访问与使用日志：访问时间、页面路径、功能使用事件，以及 AI 功能的用量与成本记录（用于额度管理与计费）。
• 分析数据（登录后默认开启，可随时关闭）：我们以第一方方式记录经过最小化的页面路径、功能使用事件、粗粒度设备·浏览器类别及发送延迟，并在浏览器本地保存随机生成的假名标识（anon_id）和会话标识。分析事件不保存原始 IP 地址、完整 User-Agent、搜索词、用户输入正文或业务对象 ID。登录、退出或切换账户时会轮换标识，不衔接匿名与账户旅程。本生产版本不启用浏览器直连的第三方产品分析（见第 7 节）。

3. 利用目的

我们在以下目的的必要范围内使用你的个人信息：

• 提供、维持与个性化本服务的各项功能（检索·匹配·生成·评审·练习·时间线等）；
• 运行 AI 功能：将你提交的输入发送至第三方 AI 服务商以生成结果（见第 4 节）；
• 账户认证、会话管理、防止不正当使用与保障安全；
• 处理订阅、初穂与计费（通过结账页面所示的支付服务商），并按特定商取引法等作出必要联络；
• 回应你的咨询与请求，发送与服务相关的重要通知；
• 以汇总·统计形式分析使用状况，改进功能与体验、开发新功能；
• 履行法令上的义务，处理纠纷并保护合法权益。

超出上述目的使用个人信息时，除法令允许的情形外，我们将事先取得你的同意。

4. AI 处理与第三方模型服务商

本服务的生成·评审·匹配·解析·转写功能依赖第三方大规模语言模型（LLM）等 AI 服务商（目前包括 DeepSeek、Google（Gemini）等，以实际启用为准）。你在 AI 工具中提交的文本、上传的文件与语音数据，会在生成结果所必需的范围内发送给这些服务商处理。

• 我们不会将你的用户内容用于训练我们自有的模型；向第三方服务商的发送仅以生成你请求的结果为目的；
• 生成结果作为你的运行历史与保存内容留存于你的账户，可由你自行删除；
• 请不要在 AI 工具中提交你不希望被第三方处理的高度敏感信息（见第 12 节）。

5. 语音输入的处理

使用语音输入时，按你的浏览器环境，处理路径为以下之一：

• 浏览器内语音识别：使用浏览器提供的语音识别功能（如 Web Speech API）时，你的语音由浏览器厂商（如 Google）按其条款处理，我们仅接收转写后的文本；
• 服务器转写：在浏览器不支持或功能启用时，录音会上传至我们的服务器，并发送至语音转文本服务商进行转写；音频仅用于生成转写文本。

6. Cookie 与本地存储

我们使用 Cookie 与浏览器本地存储维持登录会话、记住语言偏好和保存界面状态。在你作出选择前，我们会创建一个严格必要、随机的同意协调标记，用于让多个标签页和服务端采用同一隐私选择；该标记不写入分析事件、不用于行为关联，最长保留一年。分析用假名标识、会话标识和可靠发送队列只在分析处于开启状态时创建；未登录访问在你明确同意之前不会创建它们。你可随时在页脚的“行为分析设置”中关闭分析或撤回同意；关闭后本地分析标识与待发送事件会立即清除，且不影响核心功能。浏览器的 Global Privacy Control（GPC）或 Do Not Track（DNT）信号会优先阻止分析采集。我们不使用第三方广告 Cookie，也不为广告目的追踪你。

你可以通过浏览器设置管理或清除 Cookie 与本地存储；禁用部分项目可能导致登录等功能无法正常使用。

7. 产品分析

本生产版本仅使用由本服务端门控的第一方产品分析，不启用浏览器直连 PostHog 等第三方分析通道。为发现故障并持续改进服务，登录后的账号默认接受最小化页面路径和允许清单内的功能事件；未登录访问只有在你明确同意后才会采集。你可随时在页脚的“行为分析设置”中关闭；关闭、GPC 或 DNT 会由服务端统一阻止后续采集。自动点击采集、输入内容采集、会话录制、热图、性能追踪和自动异常采集均不使用。

8. 向第三方提供与委托处理

我们不出售你的个人信息。除以下情形外，未经你同意，我们不向第三方提供个人信息：

• 委托处理：在利用目的所必需的范围内，我们将部分处理委托给以下类别的服务商，并对受托方进行必要且适当的监督——身份认证（Google 登录，启用时）、AI 模型服务商（DeepSeek、Google 等）、支付处理（结账页面所示的支付服务商）、邮件发送（Resend 等）、短信发送（启用时）、云基础设施·托管（Google Cloud）、产品分析（PostHog，启用时）；
• 法令依据：基于法令的要求，或为保护人的生命·身体·财产所必需且难以取得本人同意等法令允许的情形；
• 事业承继：因合并、事业转让等事业承继而提供时（受让方同样受本政策约束）。

9. 向境外第三方的提供

上述受托服务商中，部分位于日本境外：Google 登录的身份认证及部分 AI 模型服务由位于美国的 Google 提供，其他 AI 模型服务商包括位于中国的 DeepSeek 等；支付服务商可能依部署与地区而为 Stripe 或 Creem，其所在地与跨境处理说明以结账页面及该服务商的隐私政策为准；邮件发送（Resend）、产品分析（PostHog）等主要位于美国；本服务的云基础设施·托管由 Google Cloud 提供，服务器所在地为美国。因此，在委托处理的必要范围内，你的个人信息可能被提供至境外。

• 关于各接收国个人信息保护制度的信息，可参考日本个人信息保护委员会（PPC）公布的各国制度调查；
• 我们通过合同条款等方式，要求境外接收方采取与日本法相当的保护措施，并持续确认其实施状况；
• 在法令要求取得同意的情形下，我们会在你使用相关功能（AI 生成、支付等）前，通过本政策及页面提示取得你的同意。

10. 安全管理措施

• 组织·人员措施：明确个人信息处理的责任人，限定可接触个人数据的人员范围，并进行必要的教育与监督；
• 技术措施：通信全程加密（TLS）；密码以哈希形式存储；一次性验证码以 HMAC 哈希存储、限次限时；实施访问控制与操作日志记录；
• 会话保护：你登出、修改密码或账户被停用时，相关会话将被即时吊销；
• 外部环境把握：部分受托方在美国、中国等国处理个人数据；我们在把握该等国家个人信息保护制度的基础上实施安全管理（见第 9 节）。

任何传输与存储方式都无法保证绝对安全，请妥善保管你的密码。如发生应报告的泄露等事态，我们将依法令向个人信息保护委员会报告并通知本人。

11. 保存期间与删除

• 在账户存续期间，我们为持续提供服务而保存你的账户信息、画像与用户内容；
• 你可以随时在本服务内删除保存的内容与运行历史；
• 可关联到浏览器、会话或账户的分析事件明细最多保存 90 天；到期前只生成不含用户、浏览器、会话、网络或事件标识的匿名日汇总，汇总可用于长期趋势分析；
• 撤回分析同意会停止后续采集并清除本地标识与发送队列。删除账户时，我们删除该账户关联的分析事件，并切断其曾使用的假名标识与任何剩余匿名事件之间的关联；
• 你删除账户时，我们将删除与账户关联的个人信息，但为安全、防止重复注册滥用新户权益或免费额度、纠纷处理或履行法令义务所必需的记录除外。我们会先规范化邮箱和手机号，再使用由服务端秘密信息保护的 HMAC-SHA256 进行处理，仅保留标识类别（邮箱或手机号）与不可逆摘要，不保留邮箱或手机号原文。使用 Google 登录时，我们会清除该身份的可选画像，并将稳定账号标识符（sub）作为同一目的的注销标记保留。这些记录仅用于账户安全及防止重复注册滥用权益，不用于营销、广告定向或一般用户画像，并且仅在实现上述目的所必要的期间保留，之后予以删除。其他安全日志与交易记录将在法定或必要期限届满后删除。

12. 敏感个人信息（要配虑个人信息）

我们不会主动要求你提供日本法所称的「要配虑个人信息」（健康·病史、身心障碍、信仰、犯罪经历等）。你在自由输入栏或上传文件中包含此类信息时，即视为同意我们按本政策（含第 4 节的 AI 处理）处理该信息。我们建议你避免提交非必要的敏感信息；已提交的内容可随时删除，或通过第 15 节的窗口请求删除。

13. 未成年人

未满 18 岁者请在法定代理人同意后使用本服务。我们不面向未满 13 岁者提供服务；如发现在未经法定代理人同意的情况下收集了未成年人的个人信息，我们将及时删除。

14. 你的权利（开示等请求）

就我们保有的你的个人数据，你可以依法请求：利用目的的告知、开示（含向第三方提供记录的开示）、更正·补充·删除、停止利用·停止向第三方提供。

• 账户信息、画像与保存内容的大部分，可直接在本服务内查看、修改或删除；
• 其余请求请通过第 15 节的窗口提出。我们将核实请求人为本人或其法定代理人后，在合理期限内处理并回复；
• 开示等请求原则上不收取手续费；以邮送等方式回复需要实费时，将事先说明。

15. 咨询窗口·政策变更

关于个人信息处理的咨询、投诉与开示等请求，请联系：个人信息咨询窗口 ryugakujinja@gmail.com。我们将诚实、迅速地应对。若你认为我们的处理不当，也可向日本个人信息保护委员会（PPC）咨询或投诉。

本政策的内容可能随法令或服务变化而更新。更新时我们将修改本页顶部的更新日期；重大变更将以本服务页面公示或邮件等适当方式另行告知。