プライバシーポリシー

施行日：2026-10-11

運営者について

Vonvon は Dupuu（以下「当社」）が運営するアイデンティティ基盤です。本ポリシーは、vonvon.id を閲覧するとき、または Vonvon のサインインページからサインイン、アカウント作成、アカウント管理を行うときに、個人データがどのように取り扱われるかを説明します。

Vonvon は、組織やアプリケーションが自社のユーザーをサインインさせるためにも利用されます。Vonvon を利用するアプリケーションや組織にサインインする場合、データの利用目的と方法はその組織が決定し、当社はその委託を受けて処理します。当該組織のプライバシーポリシーもあわせてご確認ください。

収集する情報

Vonvon の利用方法に応じて、当社は次の種類の情報を処理します。

アカウント情報：メールアドレス、追加した場合は電話番号、ユーザー名、氏名、表示名、プロフィール画像の URL、言語とタイムゾーン、所属組織とロール。
認証情報：パスワードのソルト付き Argon2id ハッシュ（パスワード自体は保存しません）、パスキーの公開鍵部分（秘密鍵はお使いのデバイスの外に出ません）、暗号化された認証アプリのシークレット、ハッシュ化されたバックアップコード、ワンタイムコード、サインインリンク。
連携アカウント：Google や Apple などのソーシャルプロバイダーでサインインする場合、そのプロバイダーが提供する識別子、メールアドレス、氏名、画像などのプロフィール情報を受け取ります。プロバイダーのトークンは暗号化して保存します。
セッションとデバイス：サインインのたびに、IP アドレス、ブラウザーのユーザーエージェント、デバイス名、おおよその場所を示すラベル、使用したサインイン方法、タイムスタンプを保存します。これにより、ご自身のセッションを確認し終了できます。
セキュリティ記録：サインイン、パスワードや認証要素の変更、管理操作など、セキュリティに関わるイベントを追記専用の監査ログとして保存します。操作したアカウント、対象、日時、IP アドレスを含みます。
同意の記録：組織が利用規約やマーケティング設定への同意を求める場合、その選択内容、日時、送信元 IP アドレス。
メッセージ：コード、リンク、招待を届けるために送信するメール、SMS、WhatsApp メッセージ。
不正利用対策データ：レート制限に使う IP アドレスやアカウント単位のカウンター、およびサインインフォームでの Cloudflare Turnstile による確認結果。
ホスト型サインインページおよびアカウントページでの利用データ：ページやイベントの情報、ブラウザーとデバイスの特性、IP アドレスから推定されるおおよその所在地。Google アナリティクスを通じて収集します。
技術ログ：当社の Cloudflare Workers から出力される短期保存の運用ログ。認証情報、Cookie、リクエスト本文はこれらのログに含めません。

vonvon.id の公開ウェブサイト（ホームページと本ポリシー）は Cookie を設定せず、アクセス解析や広告のトラッカーも使用しません。ただし、ページを配信するために Cloudflare が IP アドレスを処理します。

Cookie と類似の技術

ホスト型のサインインページとアカウントページでは、サインイン状態の維持と多段階サインインの完了に不可欠なファーストパーティ Cookie を使用します。名前は __Host-vonvon で始まり、他のサイトからは読み取れません。言語や表示の設定は、ブラウザーのローカルストレージに保存されます。

これらのページでは Google アナリティクス（利用状況の計測のために独自の Cookie を設定する場合があります）と Cloudflare Turnstile（人間とボットを見分けるためにブラウザーストレージを使用する場合があります）も読み込まれます。ブラウザーの設定でブロックまたは削除できます。

情報の利用方法と目的

サインイン、アカウント管理、アクセス制御を提供するため（契約の履行、またはサインイン先の組織に代わってサービスを運営する当社の正当な利益に基づきます）。
不正、悪用、攻撃からアカウントとサービスを守るため。レート制限や漏えいチェックを含みます（正当な利益）。
確認コード、サインインリンク、招待などのサービス通知を送信するため（契約、正当な利益）。
ホスト型ページを計測し改善するため（正当な利益、または法令で必要とされる場合は同意）。
法的義務を履行し、法的請求の確立・行使・防御を行うため（法的義務、正当な利益）。

同意に基づく場合、いつでも同意を撤回できます。撤回前の処理には影響しません。当社は個人データを販売せず、広告にも利用しません。

当社は、Vonvon の運営に必要な範囲でのみ個人データを共有します。

サインイン先の組織またはアプリケーション。その管理者は、メンバーのアカウント情報、所属、セッション、監査イベントを確認できます。
Cloudflare：Vonvon のホスティングと配信を担い、Workers、ストレージ、キュー、メール送信、ボット対策、ネットワークセキュリティを提供します。
アカウントと設定データを保管する、マネージド PostgreSQL データベースの提供事業者。
Google：ホスト型ページのアクセス解析、およびお客様が Google でのサインインを選んだ場合のサインインのため。Apple でのサインインを選んだ場合は Apple。
SMS や WhatsApp の配信事業者（Twilio、Vonage など）。組織が電話番号によるコードを有効にした場合に限ります。
Have I Been Pwned：既知の漏えいと照合するため、パスワードの SHA-1 ハッシュの先頭 5 文字のみを受け取ります。
エラー監視サービス：リクエスト本文、Cookie、ユーザーデータを含まない技術的なエラーレポートを受け取ります。

法令により必要な場合、または権利・安全・セキュリティを守るために、情報を開示することがあります。

国際的なデータ移転

Vonvon は Cloudflare のグローバルネットワーク上で動作するため、お客様の情報はお住まいの国以外で処理されることがあります。欧州経済領域、英国、スイスの外への移転について法令上必要な場合は、標準契約条項や十分性認定など、法的に認められた保護措置に依拠します。

保存期間

アカウントデータは、アカウントが有効である間保存されます。
セッション記録は、セッションの終了または有効期限切れの後に削除されます。ワンタイムコードとサインインリンクは数分で失効し、失効したものは自動的に削除されます。
プライバシーエクスポートのファイルは 48 時間ダウンロードでき、その後削除されます。
削除リクエストが完了すると、認証情報、プロフィール情報、所属、ID の関連付けを消去し、アカウントの最小限のプレースホルダー記録のみを残します。
監査ログは、改ざんを検知できるよう追記専用になっています。アカウントを消去しても記録は書き換えも削除もされません。仮名化されたアカウント識別子と IP アドレスが残ることがあり、消去済みのアカウントは削除済みとして表示されます。
運用ログは短期間（日単位）のみ保存されます。

お客様の権利

お住まいの地域によっては、個人データへのアクセス、訂正、削除、持ち運び（ポータビリティ）、処理の制限または異議、同意の撤回、データ保護当局への申立ての権利を有する場合があります。

サインイン済みのユーザーは、アカウントページでセッションの確認、データのコピー（プライバシーエクスポート）のダウンロード、削除リクエストを行えます。削除リクエストは 30 日間保留され、その間は取り消すことができ、その後自動的に実行されます。削除によって組織のオーナーがいなくなる場合、または Vonvon インスタンスの管理者がいなくなる場合は削除できません。先にその役割を引き継いでください。

組織やアプリケーション経由で Vonvon をご利用の場合は、データの利用方法を決定するのはその組織ですので、その組織にもご請求ください。hello@dupuu.com 宛にご連絡いただくこともでき、法令で定められた期間内に回答します。

セキュリティ

パスワードは Argon2id とサーバー側のシークレットでハッシュ化され、署名鍵と暗号化鍵は暗号化して保管され、通信は TLS で保護され、各テナントのデータはアプリケーション層で分離されています。完全に安全なシステムは存在しません。漏えいによりお客様の個人データが影響を受けた場合は、法令に従い、お客様および当局に通知します。

お子様

Vonvon は 16 歳未満のお子様を対象としておらず、意図的にそのような方の個人データを収集することはありません。お子様が個人データを提供したと思われる場合はご連絡ください。削除いたします。

本ポリシーの変更

当社は本ポリシーを更新することがあります。上記の施行日が最新版を示し、重要な変更はこのページに明示します。

お問い合わせ

Vonvon は Dupuu が運営しています。プライバシーに関するご質問やご請求は hello@dupuu.com までメールでご連絡ください。