KVKKに基づく個人情報の取り扱いに関する通知
これは日本語訳です。内容に相違がある場合は、トルコ語版が優先されます。
最終更新日： 2026年10月31日
バージョン： 2.0
本通知は、法律第6698号（個人情報保護法、Kişisel Verilerin Korunması Kanunu、以下「KVKK」または「本法」といいます）の第10条および情報提供義務の履行に関する手続および原則に関する告示（Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ）に基づいて作成されています。BlueGraysのモバイルアプリおよびbluegrays.comの利用者、ウェブサイトの訪問者、ならびに当社に通知を送信する方に情報を提供することを目的としています。本通知は契約ではなく、承認は必要ありません。内容をお読みいただき、ご理解いただくことで足ります。
1. データ管理者
- データ管理者： Yunus Emre EKE（個人。BlueGraysの開発者および運営者）
- 住所： Beylikdüzü, Istanbul *****
- メールアドレス： [email protected]
- 電話番号： *****
当社はトルコに拠点を置いているため、代理人を選任していません。
2. 処理するデータ、目的および法的根拠
法的根拠は、本法第5条に定める要件です。以下の表では、次の略称で示しています。
- 契約（第5(2)(c)条）： BlueGraysの会員登録および購入に必要なデータです。
- 法的義務（第5(2)(ç)条）： 当社が法律に基づいて負う義務です。例えば、法律第5651号（トルコのインターネット法）に基づく通信記録の保存や、消費者関連法令に基づく記録の保存が該当します。
- 法律による明示的な規定（第5(2)(a)条）。
- 権利の確立（第5(2)(e)条）： 権利の確立、行使または保護です。
- 正当な利益（第5(2)(f)条）： ユーザーの基本的な権利および自由を損なわないことを条件とした、当社の正当な利益です。
- 本人による公開（第5(2)(d)条）： 本人が自ら公開したデータです。
- 明示的な同意（第5(1)条）： 以下に示す任意の処理に限ります。同意は別途取得し、いつでも撤回できます。
| データの分類 | 具体例 | 目的 | 法的根拠 |
|---|---|---|---|
| 本人情報および連絡先 | 名、姓、ユーザー名、メールアドレス。Appleでログインする場合は、Appleが共有する氏名およびメールアドレス（またはAppleの非公開リレーアドレス）です。 | アカウントの作成、ログイン、連絡、アカウントの識別です。 | 契約 |
| アカウントおよびセキュリティ | パスワードの不可逆的なハッシュ値（パスワード自体は保存しません）、ログイン方法（メールアドレス、Google、Apple）およびプロバイダーID、メールアドレスの確認状況、セッション情報、どの文書のどのバージョンにいつ同意したか、またはいつ読んだかの情報です。 | アカウントの保護、同意の証明です。 | 契約、法的義務、権利の確立 |
| プロフィールおよび設定 | プロフィール写真（アップロードした場合）、アプリの言語、タイムゾーン、通知設定、リーグでの表示設定、問題の言語、マイ工房の設定です。 | 設定に応じたサービスの提供です。 | 契約 |
| 利用および学習 | 所有部品、お気に入り、評価、完了したプロジェクト、ガイドの進捗、バッジ、保存したツールの結果、プロジェクトのリクエスト、お知らせの閲覧、今日のクイズへの回答、XP、レベル、連続記録です。 | プロジェクト、マイ工房でのマッチング、バッジ、レベル、週間リーグの提供です。 | 契約 |
| コミュニティ | フォーラムの投稿、コメント、返信、共有した写真およびコード、いいね、投稿したユーザープロジェクト、報告（理由および説明）、ブロックしたユーザー、モデレーション記録（削除したコンテンツ、理由および日付）です。 | フォーラムおよびプロジェクト共有機能の提供、コンテンツの管理、報告への対応、コミュニティの保護です。 | 契約、正当な利益、法的義務（5651、5846）、権利の確立。公開投稿には、本人による公開も適用されます。 |
| サポートおよび通知 | サポートへの問い合わせ、メッセージおよび添付ファイル。コンテンツおよび著作権に関する通知では、名、姓、メールアドレス、コンテンツへのリンク、理由、説明（会員以外からも取得します）。保護者からの申請です。 | 問い合わせおよび通知への対応です。 | 契約、法的義務、権利の確立 |
| サブスクリプションおよび購入 | プレミアムの状態、商品および期間、開始日および終了日、ストアの取引ID、RevenueCatのユーザーID、個別オファーの付与日時および有効期限、購入画面のイベント（表示および閉じる操作）、教育者パックおよびコードの記録です。カード情報が当社に渡ることはありません。決済はApp StoreまたはGoogle Playが行います。 | 購入およびサブスクリプションの処理、プレミアムの有効化、コードの管理、個別オファーの提供、証拠としての購入記録の保存です。 | 契約、法的義務（遠隔契約規則（Mesafeli Sözleşmeler Yönetmeliği）第20条）、正当な利益（購入画面のイベントおよびオファー） |
| 端末および操作のセキュリティ（通信記録） | IPアドレス、IPアドレスから推定した国、ブラウザーまたは端末の情報（User-Agent）、プラットフォーム（iOS、Android、ウェブ）、アプリのバージョン、操作の種類および日時（新規登録、ログイン、ログインの失敗、パスワードおよびメールアドレスの変更、コンテンツの投稿、ファイルのアップロード）です。 | セキュリティの確保、不正利用の防止、不具合の発見、法律第5651号に基づく通信記録の保存、コンテンツに適した言語および国の設定の提供です。 | 法律による明示的な規定および法的義務（5651第5(3)条）、正当な利益 |
| 通知 | 端末の通知先アドレス（FCMトークン）、送信した通知およびその既読状況です。 | アカウント、サポートの返信、バッジ、ガイド、および有効にしている場合のクイズのリマインダーなど、サービスに関する通知の送信です。 | 契約 |
| 宣伝メッセージ | メールアドレス、通知先アドレス、同意の記録（日付、経路、取得元）です。 | キャンペーン、割引、新機能のお知らせの送信です。 | 明示的な同意（商用電子メッセージへの同意によるもの。任意です） |
| ユーザーの流入元 | Androidでは、Google Playのインストールリファラー情報（utmの参照元およびキャンペーン、クリック日時）です。iOSでは、個人情報を含まないAppleの広告アトリビューション情報（AdServices）です。「どこで知りましたか？」というアンケートへの回答（任意）です。 | BlueGraysを知った経路の測定、宣伝予算の適切な使用です。 | 正当な利益 |
| アプリの分析およびエラー報告 | Firebase Analyticsのイベントおよび画面の閲覧、アプリのインストールID、端末のモデル、OS、言語、IPアドレスから推定したおおよその位置（国または都市単位）です。CrashlyticsのクラッシュレポートおよびPerformanceの測定値です。 | アプリの利用状況の把握、不具合および動作の遅延の解消です。 | 正当な利益 |
| 広告の効果測定（モバイル） | 端末の広告ID（Androidの広告ID。iOSでは「トラッキング」を許可した場合に限りIDFA）、Meta SDKのアプリイベント（インストール、起動）です。 | Meta、Google、AppleでのBlueGraysの宣伝広告によるインストール数の測定です。 | 明示的な同意。iOSでは、Appleのトラッキング許可も必要です。 |
| ウェブのCookie | 必須Cookie（セッション、言語、Cookieの選択内容）。分析用Cookie（Google Tag Manager経由のGoogle Analytics 4）。マーケティング用Cookie（Google Ads、Meta Pixel）です。 | サイトの運営、訪問統計、広告の効果測定です。 | 必須Cookieは、契約および正当な利益です。分析用およびマーケティング用Cookieは、明示的な同意（Cookie設定）です。 |
| カメラおよび写真 | 写真を撮影または選択した際の、その写真のみです。写真ライブラリ全体にはアクセスしません。 | プロフィール、フォーラム、プロジェクト、サポート用の画像のアップロードです。 | 契約 |
| 削除済みアカウントの記録 | ユーザー番号、メールアドレス、ユーザー名、削除日です。 | アカウントの削除後も保存する義務がある通信記録を、正しい本人と照合するためです。アプリ内でそれ以外の用途はありません。 | 法的義務（5651）、権利の確立 |
処理しないデータ： GPSによる位置情報、生年月日または年齢、連絡先一覧、カード情報、健康情報や生体情報などの特別な種類の個人情報です。
個別オファーおよび自動処理： 購入画面を一定回数閉じると、システムが期間限定の割引オファーを自動的に付与する場合があります。レベル、バッジ、リーグ順位も、回答に基づいて自動的に算出されます。これらによって、ユーザーに不利な法的効果が生じることはありません。ただし、自動分析のみによって不利な結果が生じた場合には、異議を申し立てる権利があります（本法第11(1)(g)条）。
3. データの取得方法
- 本人から電子的かつ自動的な方法で取得： 新規登録およびプロフィールのフォーム、フォーラム、サポートおよび通知のフォーム、アプリおよびウェブサイトでの操作を通じて取得します。
- 端末から自動的な方法で取得： アプリ内のソフトウェア開発キット（Firebase、Meta SDK、RevenueCat）、ウェブサイトのCookieおよび類似技術、サーバーログを通じて取得します。
- 第三者から取得： GoogleまたはAppleでログインする場合は、それぞれの会社から取得します。購入時には、RevenueCatを通じてApp StoreおよびGoogle Playから取得します。Androidのインストールリファラー情報はGoogle Playから、iOSの広告アトリビューション情報はAppleから取得します。初回の連絡時または取得後の合理的な期間内に、本通知による情報提供を行ったうえで、これらのデータを処理します。
4. データの移転先および目的
データは、上記の目的および本法第8条の要件に従い、以下の移転先にのみ移転します。データを販売することはありません。
| 移転先 | 所在地 | 移転するデータ | 目的 |
|---|---|---|---|
| Amazon Web Services（データベースおよびストレージ） | ドイツ（フランクフルト） | アカウントおよび利用に関するすべてのデータ（ホスティング） | データベースのホスティング |
| Cloudflare, Inc. | 米国（グローバルネットワーク） | ウェブサイトおよびアプリの通信記録（IPアドレス、国）、アップロードしたファイル（R2ストレージ）、bluegrays.appのリンクのリダイレクト | コンテンツ配信、セキュリティ、ファイル保存 |
| アプリおよびウェブサーバーのホスティング事業者 | APIサーバーはAmazon Web Services、ドイツ（フランクフルト）です。ウェブサイトおよび管理画面はHosting Dünyam Bilişim Teknolojileri Tic. Ltd. Şti.、トルコです。 | 通信記録およびアカウントのデータ | サービスの運営 |
| Google（Firebase Analytics、Crashlytics、Performance、Cloud Messaging、Google Analytics 4、Google Tag Manager、Google Ads、Googleでログイン、YouTube、Google Play） | 米国 | 分析およびエラーのデータ、通知先アドレスおよび通知内容、Androidの広告ID（同意がある場合）、ウェブの分析用およびマーケティング用Cookieのデータ（同意がある場合）、Googleでのログイン情報、動画の再生時にYouTubeが受け取る接続データ | 分析、デバッグ、通知の送信、広告の効果測定、ログイン、購入 |
| Apple（Appleでログイン、App Store、AdServices） | 米国、アイルランド | ログイン情報、購入記録、広告アトリビューション情報 | ログイン、購入、アトリビューション |
| Meta Platforms（Meta SDK、Meta Pixel） | アイルランド、米国 | アプリイベントおよび広告ID（同意がある場合。iOSではトラッキングを許可した場合）、ウェブのマーケティング用Cookieのデータ（マーケティング用Cookieを許可した場合のみ） | 宣伝広告の効果測定 |
| RevenueCat, Inc. | 米国 | ユーザー番号、メールアドレス、名および姓、国、登録方法および登録日、ユーザーの流入元およびアンケートの回答、購入画面の表示回数、プレミアムの種類、アプリの言語、ストアの購入記録 | サブスクリプションの管理、購入の確認、収益およびコンバージョンの分析 |
| Twilio SendGrid | 米国 | メールアドレス、氏名、メールの内容 | 確認、パスワードのリセット、および同意がある場合の宣伝メールの送信 |
| Slack Technologies | 米国 | 新規登録時およびログイン時の名、姓、ユーザー名、メールアドレス。サポートへの問い合わせの冒頭部分。報告およびコンテンツに関する通知の本文。ユーザープロジェクトの投稿。教育者パックの購入（名、姓、ユーザー名、パック、金額）。セキュリティおよびエラーの警告です。 | 当社のチームが問い合わせ、報告、事象を適時に把握するための内部通知 |
| DeepL SE | ドイツ | アプリ自体の文章（契約、プロジェクトおよび部品の文章、通知文）、公開されたユーザープロジェクトのタイトルおよび説明、トルコ語以外の言語で入力した検索語です。本人を識別する情報は送信しません。 | 自動翻訳 |
| 教育者 | コードを発行した教育者の所在地 | 教育者のコードを利用した場合の名、姓、ユーザー名、メールアドレス、プロフィール写真 | 教育者による配布したコードおよび生徒の管理 |
| 他のユーザーおよび一般の方 | 全世界 | フォーラムの投稿、ユーザー名、プロフィール写真（アプリ内の他の会員は名および姓も閲覧できます）、リーグ内のユーザー名、レベル、XP（非表示に設定できます）、公開したプロジェクト | コミュニティ機能の提供 |
| 権限を有する公的機関および裁判所 | トルコ | 要請されたデータ | 法的義務の履行 |
| 弁護士、会計士などの専門家 | トルコ | 必要なデータ | 法務および財務に関する業務の遂行、権利の保護 |
5. 国外への移転
上記のサービス提供者の一部は、トルコ国外（主に米国、アイルランド、ドイツ）でデータを処理します。これらの移転はサービスの通常の一部であるため、本法第9条に従い、次の根拠に基づいて行います。
- Kişisel Verileri Koruma Kurulu（個人情報保護委員会、以下「委員会」といいます）による十分性認定がある場合は、その認定に基づきます。
- 認定がない場合は、委員会が公表した標準契約に基づきます。標準契約は、署名後5営業日以内に委員会に届け出ます。
広告の効果測定およびCookieに関する同意は、国外移転の根拠ではありません。これらの同意は、当該処理そのもののみを対象とします。
6. データの保存期間
| データ | 期間 |
|---|---|
| アカウント、プロフィール、利用、学習、コミュニティのデータ | アカウントが存続する間です。アカウントを完全に削除すると、直ちに削除または匿名化します。本人がコンテンツを削除した場合は、直ちに削除します。 |
| 凍結したアカウント | 再度ログインするか、完全な削除を選択するまでです。 |
| 操作および通信の記録（IP、端末、バージョン、操作の種類および日時） | 最長2年間保存し、その後自動的に削除します。アカウントが削除されても、この期間は保存します（法律第5651号第5(3)条の1〜2年間という範囲に基づきます）。 |
| 削除済みアカウントの記録 | 削除日から2年間保存し、その後自動的に削除します。 |
| モデレーション記録（削除したコンテンツ、理由、日付）および報告 | 2年間です。法的紛争がある場合は、解決するまで保存します。 |
| 購入およびサブスクリプションの記録 | 本人との直接の関連付けを解除したうえで、少なくとも3年間保存します（遠隔契約規則第20条）。税法上の保存期間が定められている場合は、その期間保存します。アカウントの削除時に、これらの記録からメールアドレスおよび氏名を消去します。 |
| サポートへの問い合わせおよびコンテンツに関する通知 | アカウントが削除されるまでです。会員以外からの通知は、対応完了後2年間保存します。 |
| 宣伝に関する同意の記録 | 同意の撤回後3年間です（商業通信および商用電子メッセージに関する規則（Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik）第13条）。 |
| アプリの分析（Firebase、Google Analytics） | Google Analyticsのデータ保持設定で指定した期間で、最長14か月です。クラッシュレポートは最長90日間です。 |
| Slackの通知 | 最長1年間保存し、その後自動的に削除します。 |
| ウェブのCookie | Cookieポリシーに記載された期間です。Cookieの選択内容は6か月間保存します。 |
| RevenueCatの登録者記録 | アカウントを削除すると、RevenueCatの登録者記録も削除します。 |
保存期間が満了したデータは、削除、廃棄または匿名化します。
7. 子ども
BlueGraysには年齢制限がなく、生徒も利用しています。年齢情報は求めません。子どものデータは、サービスに必要な範囲でのみ処理します。子どものデータを使用して、マーケティング目的のプロファイリングを行うことはありません。フォーラムでは、氏名、学校、住所、電話番号などの情報を共有しないことを推奨します。
保護者および法定代理人は、子どものデータについて情報の提供、訂正または削除を求めることができます。親権等を確認するため、合理的な証明を求める場合があります。
8. セキュリティ
データを保護するため、次の措置を講じています。
- パスワードは、元に戻せない形式で保存します（bcrypt）。
- 通信はTLSで暗号化します。
- セッションは、署名およびバージョンが付いたキーで管理します。
- 管理画面へのアクセスは制限しています。管理者のログイン失敗や、新しいIPアドレスからの管理者ログインが発生した場合は、警告を出します。管理者によるユーザーデータの閲覧は記録します。
データ侵害が発生した場合は、遅くとも72時間以内に委員会に通知し、影響を受ける方に可能な限り速やかにお知らせします（本法第12(5)条）。
9. ユーザーの権利（本法第11条）
当社に申請することで、次の権利を行使できます。
- 自身の個人情報が処理されているかどうかを確認する権利があります。
- 処理されている場合に、その処理に関する情報を求める権利があります。
- 処理の目的、およびその目的に沿ってデータが使用されているかどうかを確認する権利があります。
- トルコ国内または国外の移転先の第三者を知る権利があります。
- 処理されたデータに不足や誤りがある場合に、訂正を求める権利があります。
- 本法第7条の要件に従い、削除または廃棄を求める権利があります。
- 訂正、削除および廃棄について、データの移転先の第三者への通知を求める権利があります。
- 自動システムによる分析のみによって自身に不利な結果が生じた場合に、異議を申し立てる権利があります。
- 違法な処理により損害を被った場合に、損害の賠償を求める権利があります。
また、アプリでは自身で次の操作を行えます。
- プロフィール情報を編集できます。
- リーグでの表示およびクイズのリマインダーをオフにできます。
- 宣伝に関する同意および広告の効果測定に関する同意を撤回できます。
- ウェブで「Cookie設定」を変更できます。
- アカウントを凍結または完全に削除できます（プロフィール > セキュリティ > アカウント削除）。
10. 申請方法
データ管理者への申請の手続および原則に関する告示（Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ）に従い、次のいずれかの方法で申請できます。
- BlueGraysに登録したメールアドレスから、[email protected]宛てにメールを送信してください。件名は「KVKK申請」としてください。
- 安全な電子署名またはモバイル署名を付して、[email protected]宛てに送信してください。
- 自筆署名入りの申請書を、上記の郵送先住所に直接提出するか、公証人を通じて送付してください。
- アプリのプロフィール > サポートから申請できます。問い合わせの種類として「KVKK申請」を選択してください。
申請には、名および姓、書面による申請の場合は署名、トルコの身分証明番号（外国籍の場合は国籍および旅券番号または身分証明番号）、通知先の住所またはメールアドレス、申請内容を記載してください。BlueGraysに登録したメールアドレスから送信すると、本人確認が容易になります。他の経路から申請した場合は、本人確認のために追加情報を求めることがあります。保護者が子どもに代わって申請する場合は、親権等を確認できる情報を求めることがあります。
申請には、遅くとも30日以内に無料で対応します。手続に別途費用がかかる場合は、委員会が定める料金表に従って料金を請求することがあります（本法第13条）。申請が拒否された場合、回答が不十分であると判断した場合、または期限内に回答がなかった場合は、回答を知った日から30日以内、かつ、いずれの場合も申請日から60日以内に、委員会に苦情を申し立てることができます（本法第14条）。
11. 変更
データ処理の内容または法令の変更に応じて、本通知を更新します。新たな目的でデータの処理を開始する前に、別途お知らせします。最新版は、アプリのプロフィール > 設定 > 契約およびbluegrays.com/en/legal/kvkkでいつでも確認できます。