プライバシーポリシー
最終更新: 2026年9月2日
ITBコンサルティング株式会社（以下「当社」）は、soneam.com において Soneam（以下「本サービス」）を運営しています。本プライバシーポリシーは、当社が個人データをどのように取り扱うかを説明するものです。アカウントをお持ちのエンジニアの方と、その方がレビューや納品に招待したクライアントの双方に適用されます。
管理者と委託先の別
アカウントをお持ちの方の個人データについては、当社が管理者にあたります。アカウントをお持ちの方がアップロードまたは招待したレビュー・納品の参加者の個人データ（クライアントの氏名、メールアドレス、コメントなど）については、アカウントをお持ちの方が管理者であり、当社はその委託先として取り扱います。
1. 取得する情報
- アカウントとプロフィール: メールアドレス、ハッシュ化したパスワード、任意のプロフィール情報（表示名、肩書、スタジオ名とURL、SNSリンク、アバター画像）。
- 連絡の時刻と地域: 接続元の国コード（2文字・Cloudflare から取得）と、ブラウザが申告するタイムゾーン。IP アドレスは保存せず、国より細かい情報も保持しません。お知らせメールをお住まいの地域の営業日の適切な時刻にお届けするため、および到達している市場を把握するために使用します。
- アップロードされたコンテンツ: 音源ファイル（マスター、ミックス）、そこから生成されるデータ（ロスレス試聴用データ、波形のピーク、ラウドネスとトゥルーピークの計測値）、プロジェクト名、メモ、カバーアート。
- レビューと納品の参加者: レビューリンクから送信された氏名、メールアドレス、コメント。および承認の記録として残すIPアドレス。
- リンクの利用状況: レビューリンクや納品リンクを最初と最後に開いた日時、その訪問回数、音源が再生されたかどうか。リンクを共有したエンジニアはこれを見ることができ、マスターが初めて再生されたときにはメールで通知されます。氏名・アドレス・端末の情報は結び付けておらず、訪問者どうしを区別することもできません。
- 請求: ご利用プランと、Stripe の顧客ID・サブスクリプションID。カード情報は Stripe が取り扱い、当社がカード番号の全体を見ることも保存することもありません。
- 利用状況と技術情報: ログ、端末とブラウザの情報、エラーレポート、およびCookieを使わないプライバシー重視の分析データ（ページビューと機能の利用状況の集計値）。他のサイトを横断して個人を追跡することはありません。
- Cookieとローカルストレージ: Cookieポリシーをご覧ください。
2. 利用目的と法的根拠
| 利用目的 | 法的根拠（GDPR・英国GDPR） |
|---|---|
| 本サービスの提供。音源の保存と処理、レビュー、承認、納品の実行 | 契約の履行 |
| 安全性の確保、不正や濫用の防止、不具合の調査、機能の改善 | 正当な利益。具体的には安全で安定したサービスを運営し、濫用を防ぎ、改善するという当社の利益（お客様の権利と衡量したうえで、評価を社内に記録しています） |
| 取引に関するメールの送信（本人確認、コメント・承認・納品の通知） | 契約の履行、または正当な利益 |
| 製品情報やマーケティングメールの送信 | 同意（お申し込み制。いつでも撤回できます） |
| 法令、税務、会計上の義務の履行 | 法的義務 |
個人情報保護法との関係では、上記を利用目的として特定しています。この範囲を超えて個人データを利用する場合は、あらためて通知するか、ご同意をいただきます。
3. お客様のコンテンツをAIの学習には使いません
当社は、お客様の音源、コメントその他のコンテンツを、機械学習モデルや生成AIの学習、ファインチューニング、開発に利用しません。当社のモデルか他社のモデルかを問わず同じです。その目的で販売または共有することもありません。お客様のマスターは未発表であることが多く、当社はそれにふさわしい扱いをします。音源を自動で処理するのは、お客様が使う機能を提供するときだけです（波形の生成、ロスレス試聴用データの作成、ラウドネスの計測など）。将来AIを用いた機能を導入する場合は、必ず任意のお申し込み制とし、内容を明示したうえで、初期状態では無効にします。
4. 第三者提供と委託先
当社は個人データを販売しません。本サービスの運営のために当社の指示に基づいて取り扱う事業者への提供、および法令上必要な場合や権利と安全を守るために必要な場合に限って共有します。現在の委託先（再委託先）と取り扱いの場所は次のとおりです。
| 事業者 | 目的 | 取り扱いを行う国・地域 |
|---|---|---|
| Cloudflare R2 | 音源とファイルの保管（非公開バケット、期限付き署名URL） | 米国（北米西部） |
| Railway | アプリケーションのホスティングとデータベース | 米国 |
| Stripe | 決済とサブスクリプション | 米国（EUのお客様についてはアイルランド） |
| Resend | 取引メールおよび（お申し込みいただいた場合の）マーケティングメール | 米国 |
| Googleログイン（お客様が選択した場合のみ） | 米国 | |
| Sentry | エラー監視 | 米国 |
| Cloudflare Web Analytics | Cookieを使わない集計値のウェブ分析 | 米国 |
| PostHog | 機能の利用状況の分析（サーバー側、Cookieなし） | 欧州連合 |
5. 国外へのデータ移転
5.1 個人情報保護法に基づく外国にある第三者への提供（第28条）
当社は日本に所在するため、上記の国外の事業者への提供は、処理を委託する場合を含め、個人情報保護法第28条の外国にある第三者への提供にあたります。委託であっても、越境提供であることに変わりはありません。米国は、個人情報保護委員会が日本と同等の水準にあると認めた国には含まれていません（現在指定されているのはEEAと英国のみです）。そのため当社は、各提供先が個人情報取扱事業者に求められる水準に相当する措置（相当措置）をデータ処理契約により講じていることを根拠としています。そのうえで、(i) 相当措置の継続的な実施を確保するために必要な措置をとり、(ii) ご請求に応じてその内容に関する情報を提供します。同意を根拠とする場合には、同意の取得時に (a) 当該外国の名称、(b) その国の個人情報保護制度に関する情報、(c) 提供先が講じる措置に関する情報を提供します。アカウントを作成し本ポリシーに同意された場合、本ポリシーの (a) から (c) の記載に基づき、第4条および第6条に記載した提供先と国への越境提供に同意いただいたものとします。
5.2 EU・EEAおよび英国のデータについて
EEAおよび英国の外に移転する個人データについては、次を根拠とします。(i) DPF（EU米国データプライバシーフレームワークおよびその英国拡張）の認証を受けた事業者については同フレームワーク。(ii) それ以外のすべての移転については、GDPR第46条の適切な保護措置としての標準契約条項（必要に応じて英国のAddendumまたはIDTAを含みます）。ただし標準契約条項は十分性認定ではなく保護措置である点にご留意ください。あわせて暗号化などの補完的措置を講じます。DPFは法的な争いが続いているため、提供先がDPF認証を有するかどうかにかかわらず、当社は標準契約条項を常時の代替手段として維持します。
6. 安全管理と外的環境の把握
当社は、通信の暗号化（HTTPS）、保管ファイルの保存時の暗号化、期限付き署名URLと推測できないオブジェクトキーによる非公開ストレージ、パスワードのハッシュ化、レビューリンクと納品リンクのパスワード保護、アクセス制御など、業界標準の安全管理措置を講じています。完全に安全な方法は存在しませんが、当社はデータの保護に努め、法令上必要な場合にはお客様と監督機関に漏えい等を報告します。
外的環境の把握について: 現在の提供先はすべて米国でデータを取り扱っており、音源を保管する Cloudflare R2 のバケット（北米西部）も同様です。米国には、個人情報保護法に相当する包括的な連邦法がありません。同国での保護は、分野別の法律や州法（カリフォルニア州のCCPA・CPRAなど）と、提供先の契約上の約束や認証（該当する場合のEU米国データプライバシーフレームワークの認証を含みます）に依拠しています。当社はデータの所在国の制度を継続的に把握し、安全管理措置に反映しています。
7. 保存期間
- アカウントとプロフィール: アカウントが有効な間は保存し、アカウント削除から30日以内に削除または匿名化します（下記のバックアップを除きます）。
- アップロードされたコンテンツと参加者のデータ: プロジェクトが存在する間は保存し、プロジェクトやファイル、またはアカウントの削除から30日以内に削除します。
- 無料のラウドネスツール: 公開のラウドネスツールにアップロードされた音源は、解析後ただちに削除します。アカウントに紐づけることも、保存することも、AIの学習に使うこともありません。結果の数値のみを、ブラウザに表示するために一時的なキャッシュへ短時間（約15分）保持します。
- 請求と税務の記録: 日本の税法および会社法に基づき必要な期間（通常7年から10年）保存します。
- バックアップ: 順次消去し、通常35日以内に失効します。
- ログとエラーレポート: 通常90日まで保存します。
8. お客様の権利
お住まいの地域により（EU・英国のGDPR、日本の個人情報保護法、カリフォルニア州のCCPA・CPRAなど）、個人データへのアクセス、訂正、削除、可搬なコピーの受領、取り扱いの制限や異議を求める権利、同意を撤回する権利（マーケティングなど）、「販売」や「共有」からのオプトアウトを求める権利をお持ちの場合があります。なお当社は、広告目的でデータを販売または共有していません。監督機関（日本では個人情報保護委員会）に苦情を申し立てることもできます。
アカウントとコンテンツは、設定 → Danger Zone からご自身で削除できます。privacy@soneam.com へのご連絡でも承ります。権利を行使されたことを理由に、不利益な取り扱いをすることはありません。
個人情報保護法に基づく開示、訂正、利用停止のご請求は、第13条の連絡先までお申し出ください。ご本人であることを確認したうえで、遅滞なく対応します。通常のご請求について手数料はいただきません。
レビュー・納品の参加者の方へ: レビューリンクや納品リンクで送信された個人データについては、招待したエンジニアが管理者にあたります。開示や削除のご請求は、そのエンジニアにお申し出ください。当社は委託先として対応を支援します。当社はこのデータをご本人からではなくエンジニアから受け取るため、ご本人への通知はレビュー・納品の各ページと本ポリシーによって行います。
9. 自動化された意思決定
当社は、法的な効果またはこれに準ずる重大な影響をお客様に及ぼすプロファイリングや自動化された意思決定を行っていません。
10. EU・英国の代理人（GDPR・英国GDPR第27条）
当社はEUおよび英国の代理人の選任が必要かどうかを検討し、現時点では第27条第2項の適用除外に依拠しています。EU・英国の居住者の個人データの取り扱いは、随時的かつ低リスクであり、特別な種類のデータや犯罪歴に関するデータを大規模に含むものではありません。この評価は記録し定期的に見直しています。取り扱いの内容が変わった場合には、必要に応じて代理人を選任します。
11. 子どもについて
本サービスは16歳未満の子どもを対象としておらず、その個人データを意図的に取得することはありません。
12. 本ポリシーの変更
当社は本ポリシーを改定することがあります。改定時には新しい「最終更新」の日付とともに改定版をこのページに掲載し、重要な変更については別途お知らせします。
13. 事業者情報と連絡先
ITBコンサルティング株式会社
所在地: 〒150-0044 東京都渋谷区円山町5-3 MIEUX渋谷ビル8F
代表取締役: 前田貴裕
個人情報に関するお問い合わせ: privacy@soneam.com
ご利用と請求に関するお問い合わせ: support@soneam.com
14. 言語
本ポリシーは英語と日本語で提供されます。両者に相違がある場合は英語版が優先します。ただし個人情報保護法に基づく事項については、日本語版が当社の取り扱いを示すものとします。
あわせて利用規約とCookieポリシーもご覧ください。