プライバシーポリシー
1. はじめに
このプライバシーポリシーは、 xiexperiments.com のサービスを利用する際に、Xi がどのように情報を収集・利用・共有・保護するかを説明するものです。本ポリシーで「当社」または「Xi」というときは、本サービスの運営者を指します。本ポリシーや当社が保有する個人データについてのご質問は、 xiexperiments.app@gmail.com までご連絡ください。
2. 収集する情報
アカウント情報
サインアップ時、当社の認証プロバイダがアカウントを作成します。サービス上であなたを識別するために必要な基本情報を受領し保存します。具体的には、メールアドレス、表示名、アバター URL（サインインプロバイダが保有する場合）、Xi アカウントとそのプロバイダを紐付ける識別子です。
ワークスペースおよび実験コンテンツ
あなたが記録した実験、仮説、success および kill のしきい値、タグ、time-box 設定、メトリクス定義、メトリクス値、メモ、learning を保存します。また、ワークスペース設定および各ワークスペースのメンバーの役割も保存します。
何を記録するかはあなたが決めます。ライフスタイルや健康関連のメトリクス（例：sleep score、気分、トレーニング負荷）を追跡することを選んだ場合、そのコンテンツはあなたの管理下にあるワークスペース内に保持されます。重要な文脈は下記の 機微情報 を参照してください。
通知および push の設定
通知の設定（受け取りたいアラート、受け取るタイミング、do-not-disturb の時間帯）を保存します。ブラウザの push 通知をオプトインした場合、ブラウザが発行する push subscription endpoint も保存します。endpoint は push を配信するために使われるトークンであり、あなたの身元ではありません。
連携した統合
Xi があなたに代わってメトリクスを取得できるように Google Analytics アカウントを連携した場合、これらのリクエストに必要な OAuth トークン（保存時に暗号化）と、選択した設定の記録を保存します。あなたが指定したメトリクスデータのみを取得します。
プロダクトアナリティクスのイベント
本番サイト xiexperiments.com では、サービスの利用状況を理解し改善するために product-analytics プロバイダを使用しています。現在キャプチャしているイベントはライフサイクル動作に限定されています。実験の committed・shipped・killed・延長・再訪・削除、メトリクスログの追加、learning の記録、Google Analytics 接続の追加または削除、アカウントまたはワークスペースの削除です。これらのイベントには、アクションを実行したユーザーまたはワークスペースの識別子が含まれており、アカウント単位でグルーピングできるようにしています。
プロダクトアナリティクスは本番以外では読み込まれないため、preview やローカル開発ではこれらのイベントは送信されません。
マーケティングサイトのサイトアナリティクス
サイトのマーケティングページでは、Google Analytics 4 を使用して集計された訪問データ（ページ、リファラー、大まかな地理情報、デバイスタイプ）を記録します。これは、人々がどのようにサービスを見つけているかを理解するためにのみ使用します。
サーバーログ
ホスティングプロバイダは、サービスへのリクエストの標準的なサーバーログを保持します。これには IP address、user agent、タイムスタンプ、リクエストパスが含まれます。これらはセキュリティ、不正利用の防止、デバッグ、運用のために使用します。ホスティングプロバイダの標準的な期間に従って保持されます。
3. 情報の利用方法
上記の情報は、以下の目的で使用します。
- サービスの提供：あなたの実験を保存し、契約を 判定まで実行し、アーカイブを表示すること。
- あなたを認証し、アカウントを保護すること。
- あなたが要求した通知（アプリ内、push、メール）を送信すること。
- あなたの要求に応じて、オプションの Google Analytics コネクタを動作させること。
- セキュリティや不正利用の問題を検知、防止、対応すること。
- サービスの利用状況を理解し、改善すること。
- 法的義務を遵守し、当社の利用規約を執行すること。
当社は個人情報を販売せず、サービス上でターゲティング広告を行いません。
4. 法的根拠
欧州経済領域、英国、および類似の法律を持つその他の管轄区域のユーザーについて、当社が個人データを処理する法的根拠は次のとおりです。
- 契約の履行。あなたが申し込んだサービスを提供するため。実験に記録するコンテンツ（タイトル、仮説、メトリクス値、メモ、learning）はこの根拠に基づき処理されます。あなたがサービスへの入力としてこれを提供し、当社はあなたのためにサービスを運営する目的でのみ処理します。
- 正当な利益。サービスを安全に保ち、不正利用を検知し、利用状況を理解・改善するため。この根拠に依拠する場合、当社の利益とあなたの権利のバランスを取ります。
- 同意。push 通知や Google Analytics コネクタなど、あなたがオプトインするものについて。同意は設定からいつでも撤回できます。
- 法的義務。適用法を遵守するためにデータを処理する必要がある場合。
あなたが記録するコンテンツに GDPR 第 9 条に基づく特別カテゴリの個人データ（または英国の同等規定）が含まれる場合、たとえば健康、精神状態、性生活、生体情報、またはこれに類する機微なカテゴリに関する情報については、あなたが 要求したサービスを利用する一環として、当社に対して明らかに公表したデータ としてのみ処理し、そのサービスの提供に必要な範囲でのみ処理します。実務上の意味と責任の所在については、 機微情報 を参照してください。
5. 共有および sub-processor
当社は、当社に代わってプラットフォームの一部を運営する少数のサービスプロバイダと個人データを共有します。これらは独自の規約とデータ保護コミットメントに拘束され、サービスの運営に必要な範囲でのみデータを処理します。現在使用しているのは以下です。
- Clerk。認証および ID（アカウント登録、サインイン、MCP エンドポイント用 OAuth）。
- Neon。ワークスペースおよび実験コンテンツを保存するマネージド Postgres データベース。
- Vercel。ホスティング、リクエスト処理、runtime ログ。
- PostHog。プロダクトアナリティクス。米国で処理されます。本番ホスト名でのみ読み込まれます。
- Google。マーケティングサイトの計測のための Google Analytics 4、および有効化時のオプションのメトリクスコネクタのための Google Analytics Data API。
- ブラウザ push サービス。Apple、Google、Mozilla の push サービスが、あなたがオプトインしたブラウザ push 通知を配信します。
プロダクトの進化に伴い sub-processor を追加または変更することがあります。その場合、このリストを最新に保ちます。法律上要求されたとき、当社の利用規約を執行するため、またはユーザーその他の権利・財産・安全を保護するために、情報を開示することがあります。
6. AI エージェントと MCP
Xi はリモートの Model Context Protocol (MCP) エンドポイントを公開しています。OAuth 経由で AI クライアント（たとえば Claude）を接続すると、あなたは付与したスコープの範囲内で、そのクライアントがあなたのワークスペース内で読み書きすることを認可します。
AI クライアントがあなたのデータにアクセスした後、Xi はそのクライアントがどのようにデータを使用するかを制御できません。 エージェントが読み書きするデータは Xi を離れ、AI クライアントの環境に入ります。その時点以降、データに何が起こるかは、AI クライアントとその背後にあるモデルプロバイダのポリシーによって支配され、本プライバシーポリシーの対象外となります。
第三者の AI プロバイダは、独自の規約に基づいてあなたのデータを処理することがあります。 これには、独自のモデルインフラへの送信、独自の保存および不正監視ルールの適用、設定によってはサービス改善のための利用が含まれることがあります。AI クライアントを Xi に接続する前に、プロバイダのプライバシーポリシーを確認し、データの取り扱いに納得できる構成を選択してください。
AI クライアントのアクセスは、設定または AI クライアントからいつでも取り消せます。アクセスの取り消しは Xi 経由のそれ以降の読み書きを停止しますが、クライアントがすでに受領したデータを呼び戻すことはできません。
7. 国際移転
当社の sub-processor は、米国およびその他の国でデータを保管・処理することがあります。EEA、英国、その他の規制対象地域から十分性認定のない国に個人データが移転される場合、当社はそれら sub-processor が講じる保護措置（EU Standard Contractual Clauses など）に依拠します。
8. 保存
アカウントが有効である間、アカウントおよびワークスペースのデータを保持します。プロフィール設定からアカウントを削除すると、当社が保有する個人データを削除しますが、バックアップ、セキュリティ調査、法的必要性のために短期間の保持を行います。ワークスペースを削除すると、それに紐づく実験、ログ、learning、その他のワークスペースコンテンツが削除されます。
サーバーログおよび集計済みアナリティクスは、それらを生成するプロバイダの標準的な期間に従って保持されます。
9. あなたの権利
居住地によっては、あなたの個人データに関して以下の権利の一部または全部を有することがあります。
- アクセス。当社が保有するあなたの個人データのコピーを請求する権利。
- 訂正。誤ったまたは不完全なデータの修正を求める権利。
- 削除。データの削除を求める権利。プロフィール設定でアカウントを削除することで自分で行うこともできます。
- ポータビリティ。あなたが提供したデータの構造化されたコピーを求める権利。
- 制限または異議。データの処理方法を制限するよう求めたり、正当な利益に基づく処理に異議を申し立てる権利。
- 同意の撤回。同意に基づく処理について。
- 苦情の申立。お住まいの地域のデータ保護当局に対して。
カリフォルニア州の居住者は、California Consumer Privacy Act（CCPA）に基づき、当社が収集する 個人情報を知る権利および削除を求める権利を含む同様の権利を有します。 当社は個人情報を販売せず、cross-context な行動広告のために共有しません。
これらの権利を行使するには、 xiexperiments.app@gmail.com までご連絡ください。回答前に身元確認が必要な場合があります。
10. Cookie および類似技術
本サービスでは、少数の Cookie および類似技術を使用しています。
- セッション Cookie。サインイン状態を維持するために認証プロバイダが設定します。サービスに必須です。
- アナリティクス Cookie および local storage。マーケティングサイトでは Google Analytics により、本番アプリではプロダクトアナリティクスプロバイダにより設定され、 第 2 節 に記載のイベントを記録します。
Cookie および local storage はブラウザからいつでも削除できます。サインインに必要な Cookie を無効にすると、サービスは動作しなくなります。
11. 未成年
本サービスは 16 歳未満の児童を対象としておらず、児童から故意に個人データを収集することはありません。児童が登録したと考えられる場合は、当社にご連絡いただければアカウントを削除します。
12. 機微情報および特別カテゴリのデータ
Xi は誠実な自己実験のためのツールです。利用者はライフスタイルや健康に隣接するメトリクス（睡眠、気分、トレーニング、食事）を記録することがよくあります。そのコンテンツはあなたのワークスペース内にとどまりますが、Xi は 医療機器でも、電子健康記録でも、臨床グレードのストレージでもありません。開示されることであなたに害を及ぼすような情報は記録しないでください。
あなたが記録することを選ぶ内容の一部は、 GDPR 第 9 条に基づく特別カテゴリの個人データ （または英国の同等規定）に該当することがあります。これには次のことを明らかにするデータが含まれます。
- 身体的および精神的健康を含む健康；
- 心理的または感情的な状態（気分、不安、ストレスなど）；
- 文脈上、上記のいずれかを明らかにする行動パターン；または
- 適用法により特に保護されるその他のカテゴリ。
何を記録するかはあなたが決めます。 Xi は特別カテゴリのデータを要求・推論・必要とはしません。そのようなデータをワークスペースに入力する場合、それはあなた自身のイニシアチブで行われ、サービスが動作するために必要な入力として当社に提供されることになります。
当社の処理根拠。 当社が記録内容を処理するのは、あなたが要求したサービスを提供するためだけです。実験を保存し、あなたが書いた契約に対して 判定を計算し、データを表示します。当社は特別カテゴリのデータを販売せず、第三者モデルのトレーニングに使用せず、サービスをあなたのために運営する以外の目的で分析しません。
あなたの責任。 適用法が、あなたが記録するデータについて特定の適法根拠や追加の保護措置を要求する場合、たとえば他人に関する情報を記録する場合、規制された文脈で運用する場合、または第 9 条が適用されるその他の場合、データを Xi に入力する前に、その根拠が存在することを確認する責任はあなたにあります（インフォームドコンセントの取得や他の法定要件の充足など）。当社の 利用規約 の acceptable-use ルールも適用されます。
13. セキュリティ
当社は個人データを保護するために業界標準の慣行を使用しています。通信時の TLS、インフラへのアクセス制御、OAuth トークンの保存時の暗号化、認証情報の保管における認証プロバイダへの依拠などです。完全に安全なシステムは存在せず、絶対的なセキュリティを保証することはできません。あなたのデータに影響する侵害を当社が認識した場合、適用法に従って通知します。
14. 本ポリシーの変更
本プライバシーポリシーは随時更新されることがあります。重要な変更を行う場合、本ページ上部の「最終更新」日を更新し、適切な場合にはプロダクト内またはメールにて通知します。
15. 連絡先
Xi のプライバシーに関するご質問は、 xiexperiments.app@gmail.com までご連絡ください。
← Legal に戻る本プライバシーポリシーは可能な限り平易に記述されています。法的助言ではありません。あなたへの適用について正式な助言が必要な場合は、お住まいの管轄の有資格弁護士にご相談ください。