プライバシーポリシー

Gensokoをご利用になる方へ、サービスで取り扱う情報、その利用目的、保存・削除の範囲を説明します。

1. 適用範囲

本ポリシーは、rituko.llinkが運営する元素記号学習Webアプリ「Gensoko」に適用されます。

運営主体: rituko.llink
バージョン: 1.0
制定日・発効日: 2026年8月1日

2. 取り扱う情報

Gensokoでは、次の情報を取り扱います。

アカウント情報： ユーザー名、メールアドレス、ハッシュ化したパスワード、権限、メール確認・アカウント状態、登録・更新・最終ログインに関する日時
認証・セキュリティ情報： リフレッシュ、メール確認、パスワード再設定に用いるトークンのハッシュと有効期限、ログイン失敗回数、ロック期限
学習・ゲーム情報： 苦手元素、問題と回答、正誤、スコア、回答時間、連続正解数、ゲーム履歴、統計
監査情報： セキュリティ上重要な操作、結果、内部の実行者・対象ID、権限、日時、限定された失敗理由。監査記録にはメールアドレスとユーザー名を保存しません。
リクエスト情報： 外部サービスが処理する場合のあるIPアドレス、User-Agentなどの通信情報。アプリケーションのデータベースには加工前のIPアドレスを保存せず、レート制限では加工した識別子を利用します。

3. 利用目的

アカウントの登録、本人確認、ログイン状態の維持
メール確認、パスワード再設定、セキュリティ上必要な連絡
元素記号の学習、ゲーム結果、苦手元素、ランキングなどの機能提供
不正利用の抑止、アクセス制御、レート制限、セキュリティ監査
障害の調査、サービスの安定運用、お問い合わせ対応

4. ブラウザ保存・Cookie

sessionStorage

ログイン中のアクセストークンと、内部ID・ユーザー名・権限をブラウザのsessionStorageへ保存します。sessionStorageはページセッション単位で管理され、通常は対象のタブまたはウィンドウを閉じたときに削除されます。また、ログアウト、認証更新の失敗、アカウント削除時にも削除します。

HttpOnly Cookie

ログイン状態を更新するためのリフレッシュトークンをHttpOnly Cookieで管理します。フロントエンドのJavaScriptからは読み取らず、有効期限、ログアウト、アカウント削除などの認証処理に従って無効化します。

5. 外部サービス

Gensokoの提供に必要な範囲で、次の外部サービスを利用します。各社が独自に定める保持期間や処理については、リンク先のポリシーもご確認ください。

Vercel

役割：フロントエンドの配信

画面の配信に伴うリクエスト情報や、IPアドレスなどの通信情報を処理する場合があります。
Vercelのプライバシーポリシー（外部サイト）
Cloudflare

役割：API配信、エッジセキュリティ、レート制限

APIリクエスト、IPアドレスやUser-Agentなどの通信情報、期限付きのレート制限カウンターを処理する場合があります。
Cloudflareのプライバシーポリシー（外部サイト）
Supabase

役割：PostgreSQLデータベースのホスティング

アカウント、認証、学習・ゲーム、統計、監査に関するデータを保存します。
Supabaseのプライバシーポリシー（外部サイト）
Resend

役割：確認メールとパスワード再設定メールの配信

宛先メールアドレス、メール本文、期限付きの確認・再設定URLを配送処理します。
Resendのプライバシーポリシー（外部サイト）
GitHub Actions・Artifacts

役割：暗号化バックアップ処理

暗号化したバックアップファイルと、その完全性を確認するチェックサムを処理します。
GitHub Actions・Artifactsのプライバシーポリシー（外部サイト）

6. 保持期間

アカウントと学習データは、サービス利用中またはアカウント削除まで保持します。
認証用トークンには有効期限を設けており、期限切れ後は認証に使用できません。トークンのハッシュは、利用、再発行、ログアウト、アカウント削除などの処理に応じて削除または無効化します。
セキュリティ上重要な操作の監査記録は、メールアドレスやユーザー名ではなく内部識別子を含む形で、アクセスを制限したうえで365日間保持します。
暗号化バックアップには、削除済みデータが最長7日間残る場合があります。
外部サービスが処理する情報には各社の保持方針が適用されます。Gensoko側の削除だけで外部サービス側の記録が直ちに消えることを保証するものではありません。

7. アカウント削除

設定画面からアカウントを削除すると、プロフィール情報、認証情報、学習・ゲームデータを稼働DBから物理削除し、削除前の認証情報ではログインできなくなります。削除後は、同じメールアドレスやユーザー名が利用可能であれば再登録できます。共有の元素マスターデータは削除対象ではありません。

ただし、セキュリティ監査に必要な内部識別子は365日間、暗号化バックアップ内のデータは最長7日間保持される場合があります。バックアップから復元した場合の削除再反映には、現在の運用上の制約があります。また、メール配送や各外部サービスのログには、各社の方針に従って情報が残る場合があります。

8. 安全管理措置

Gensokoでは、パスワードの一方向ハッシュ化、認証用トークンのハッシュ保存、権限に基づくアクセス制御、暗号化バックアップなど、取り扱う情報に応じた安全管理措置を実施します。ただし、インターネット通信や電子的な保存について、絶対的な安全を保証するものではありません。

9. お問い合わせ

本ポリシーやデータの取扱いに関するお問い合わせは、 isibasiwork@gmail.com までご連絡ください。

お問い合わせには、パスワード、認証トークン、Cookie値などの秘密情報を記載しないでください。

10. ポリシーの改定

本ポリシーを改定する場合は本ページを更新し、改定日・発効日とバージョンを更新して告知します。制定日は初版の制定日として維持します。改定後の内容は、本ページに記載した発効日から適用します。