プライバシーポリシー

かんたんな要約

cutty.devはURL短縮サービスです。サービスの運営に最低限必要なものだけを集めます。具体的には、メールアドレス（サインインした場合）、ソルト付きでハッシュ化したIP（不正利用対策）、基本的なクリックのメタデータ（何回、どこから、どの端末か）です。すべて、EU内にある自社サーバーに保存します。データを売ることはなく、広告のためにあなたをプロファイリングすることもなく、頼んでもいないニュースレターを送ることもありません。

1. データを扱うのは誰か

データ管理者は esej.space（ポーランドの個人事業主）です。連絡先：[email protected]。ホスティング：EU内の自社サーバー。バックアップは毎日。

2. 何を、なぜ集めるか

データ	目的	保存期間
メールアドレス	ログイン＋取引上の通知（サインイン用PIN、パスワード再設定）	アカウント削除まで
IPハッシュ（ソルト付き）	レート制限（総当たり対策）、ユニーククリックの集計	365日（ヒット）／1時間（レート制限キャッシュ）
user-agent＋referer＋国	リンク分析（どこからクリックされたか、どのブラウザか）	365日
あなたのリンク＋slug	サービスの動作（リダイレクト）	無期限（slugは再利用しません）
セッションCookie	ログインセッション、リンクごとのパスワード解除	30日／24時間
匿名Cookie	サインイン前に作ったリンクを後から「自分のもの」にできるように	365日
言語設定Cookie	選んだ言語を覚えておくため	365日

次のものは集めません：生のIP、電話番号、住所、生体データ、cutty.dev以外の閲覧履歴、GPSの位置情報。

3. 委託先（第三者）

• 取引用メールの送信事業者（EU）— PINや通知を送ります。宛先のメールアドレスを見ます。
• Google／Facebook OAuth（任意）— 「Googleでサインイン／Facebookでサインイン」を選んだ場合のみ。メールアドレス＋名前＋アバターのURLを受け取ります。
• 自社運用の分析 — ランディングページ向けの匿名のアクセスカウンターです（あなたのリンクのクリックは追跡しません）。Cookieバナーからオプトアウトできます。
• Webhook（任意）— リンクにWebhookのURLを設定すると、クリックのたびに基本的なイベントデータ（slug、リンク先、時刻、国、referer、user-agent）を、指定したサーバーへ送ります。送り先はあなたが選び、そのプライバシーポリシーの責任はあなたが負います。

安全のため、利用しているベンダーや事業者の具体名は公開していません。コンプライアンスに関する質問があれば、[email protected] までご連絡ください。

4. あなたの権利（GDPR）

• アクセス＋エクスポート — ダッシュボード →「CSVをダウンロード」（あなたの全リンク）
• 訂正 — ダッシュボードでのリンク編集
• 削除 — ダッシュボードでアカウントを削除（アカウント → アカウントを削除）するか、[email protected] までメールを。アカウントのデータは削除されます。リンクのslugはブロックされたまま残り（二度と再利用されません）、あなたとの紐づけが外れてリダイレクトも止まります。
• 異議申し立て／制限 — ご連絡ください
• 苦情 — ポーランドのUODO（uodo.gov.pl）、またはお住まいのEU各国のデータ保護当局へ

5. セキュリティ

• すべてHTTPS
• パスワードとセッショントークンは業界標準のアルゴリズムでハッシュ化
• データベースは毎日バックアップ、ローテーションあり
• 対応しているOAuthプロバイダーでは2要素認証
• 生のIPは記録せず、ソルト付きハッシュのみ

インフラの具体的な詳細は、あえて公開していません。これもセキュリティ対策の一部です。

6. ポリシーの変更

変更があれば、このページに掲載し（日付は上部に記載）、サインイン済みのユーザーにはメールでお知らせします。内容に同意できない場合は、そのタイミングでデータの削除を求められます。

7. 連絡先

質問、GDPRに関する請求、インシデントの報告は [email protected] まで。

データの扱いについて質問があったり、問題を報告したいときは、お問い合わせフォームから、または直接 [email protected] までご連絡ください。