Cookie・外部送信ポリシー
- 版
- 第 1.0.0 版
- 施行日
- 2026年8月21日
- 最終改定日
- —
本ポリシーは、SOUKAI-Technology（以下「当社」といいます）が提供する SOUKAI（以下「本サービス」といいます）における、Cookie およびこれに類する技術の利用ならびに利用者の情報の外部への送信について説明するものです。
本ポリシーはプライバシーポリシーの一部を構成します。
1. 当社の方針
- 当社は、広告配信を目的とした第三者への情報の送信を行っていません。
- 当社は、アクセス解析、行動履歴の追跡または広告の最適化を目的とする第三者のサービスを、本サービスに組み込んでいません。
- 本サービスにおける外部への送信は、認証、ウォレットの接続、地図の表示、通知の配信、メールの送信、メディアの保存および配信ならびに決済の処理という、機能の提供に必要なものに限られます。
本ポリシーの記載は、最終改定日時点における本サービスの構成を示すものです。 当社が利用する外部サービスを追加し、変更し、または廃止した場合、当社は本ポリシーを改定します。上記に該当する送信（広告配信、アクセス解析または行動履歴の追跡を目的とするもの）を将来行う場合には、あらかじめ本ポリシーを改定して公表し、法令上必要となる同意の取得その他の手続を行ったうえで開始します。
2. Cookie およびこれに類する技術
2-1. ウェブ（ブラウザ）
当社は、本サービスのウェブ画面において、次の技術を利用しています。
| 技術 | 用途 | 保存される情報 | 保存の期間 |
|---|---|---|---|
| ローカルストレージ | 店舗管理画面へのログイン状態の保持 | 認証用のトークン | ログアウトまたは有効期限の到来まで |
| セッションストレージ | 顧客のログイン状態の保持、決済手続の復旧、席への参加状態の保持 | 認証用のトークン、決済手続の復旧用の識別子 | ブラウザのタブを閉じるまで |
| ローカルストレージ | 保存された注文情報の引き継ぎ | 注文へのアクセス用のトークン | 引き継ぎの完了または有効期限の到来まで |
当社は、広告または解析を目的とする Cookie を設定していません。また、第三者が本サービスのウェブ画面に Cookie を設定することはありません。
これらの技術は、本サービスの機能の提供に必要なものです。ブラウザの設定によりこれらを無効にした場合、ログインおよび決済を含む機能をご利用いただけません。
2-2. アプリ
当社のアプリでは、認証情報およびウォレットの接続に関する情報を、端末の安全な保存領域（iOS の Keychain、Android の Keystore に相当する仕組み）に保存します。これらは端末内に保存され、当社に送信されません。
3. 利用者の端末から外部へ送信される情報
次の表は、利用者の端末から、当社以外の事業者に対して直接送信される情報を示すものです。いずれも、本ポリシーの最終改定日時点における各アプリケーションおよび画面の構成に基づきます（第 1 項）。
3-1. 顧客向けアプリ
| 送信先 | 事業者 | 送信される情報 | 目的 | 送信されるとき |
|---|---|---|---|---|
| Firebase Authentication | Google LLC（米国） | 認証に用いる識別子、メールアドレス、電話番号（電話番号による認証をご利用の場合）、端末およびアプリの情報 | ログインおよび本人確認 | ログイン時、認証情報の更新時 |
| WalletConnect（Reown） | Reown Inc.（旧 WalletConnect Inc.。アメリカ合衆国デラウェア州） | 接続の識別子、署名の要求および応答、ウォレットのアドレス | 外部ウォレットとの接続および署名の要求 | ウォレットの接続時、決済時 |
| 外部ウォレットアプリ | お客様が選択された提供者 | 署名の要求の内容（送金先、金額、ネットワーク、トークン） | 署名の取得 | 決済時 |
| 地図の表示 | Apple Inc.（iOS）／ Google LLC（Android） | 地図の表示に必要な情報（表示範囲、端末の情報） | 地図の表示 | 地図画面の表示時 |
| プッシュ通知の登録 | 650 Industries, Inc.（Expo。アメリカ合衆国）、および端末の OS の提供者（Apple Inc. または Google LLC） | 通知用のトークン、端末および OS の情報 | プッシュ通知を受け取るためのトークンの発行 | 通知を有効にされた場合 |
プッシュ通知について：当社は、プッシュ通知の配信基盤として Expo Push Service を利用します。 通知を有効にされた場合、お客様の端末は、通知用のトークンの発行を受けるために Expo と通信します。現在、当社のサーバーからの通知の配信は有効になっていません（第 4 項）。配信を開始する場合は、本ポリシーを改定して公表します。
位置情報について：端末の位置情報は、お客様が端末の設定で許可された場合に取得され、当社のサーバーに対してのみ送信されます。近隣の店舗を検索し、距離を算出するために用いられ、当社のデータベースには保存されません。第三者には送信されません。
3-2. 顧客向けウェブ（店舗ページ、注文、決済ページ）
| 送信先 | 事業者 | 送信される情報 | 目的 |
|---|---|---|---|
| 外部ウォレットアプリ | お客様が選択された提供者 | 接続用の識別子および署名の要求の内容（送金先、金額、ネットワーク、トークン） | 署名の取得 |
顧客向けウェブ画面には、第三者のサービスが組み込まれていません。 広告、アクセス解析、外部のフォントおよび外部の配信ネットワークは使用していません。
顧客向けウェブ画面は、当社のサーバーとの間でのみ通信します。ウォレットとの接続に用いる情報は当社のサーバーから受け取り、お客様の端末上でウォレットアプリを起動する（またはお客様がウォレットで読み取る）ために用いられます。画面自体がウォレット接続基盤（WalletConnect）の事業者と直接通信することはありません。 当該事業者との通信は、当社のサーバー側で行われます（第 4 項）。
3-3. 店舗管理画面（Web POS）
| 送信先 | 事業者 | 送信される情報 | 目的 |
|---|---|---|---|
| Firebase Authentication | Google LLC（アメリカ合衆国） | 認証に用いる識別子、メールアドレス、ブラウザおよび端末の情報 | 店舗スタッフのログイン（Google アカウントまたは Apple アカウントを用いる場合） |
| Sign in with Apple | Apple Inc.（アメリカ合衆国） | 認証に用いる識別子、メールアドレス（非公開のメールアドレスの転送をご利用の場合を含みます） | 店舗スタッフのログイン（Apple アカウントを用いる場合） |
| 地図タイルの配信 | OpenStreetMap Foundation（英国）tile.openstreetmap.org | 表示範囲の座標、IP アドレス、ブラウザの情報 | 店舗の所在地を設定する画面での地図の表示 |
店舗スタッフのログインの経路について：店舗管理画面は、認証の処理を同一のオリジンで行うため、/__/auth/ で始まる経路への通信を、Firebase が提供する認証用のドメインへそのまま中継します。この中継は認証の処理のためにのみ用いられ、当社が通信の内容を保存することはありません。 Apple アカウントによるログインでは、画面が Apple の認証画面へ遷移し、認証の後に店舗管理画面へ戻ります。
地図タイルについて：当社は、地図データとして OpenStreetMap を利用しています。当社は、OpenStreetMap Foundation が定める Tile Usage Policy を遵守し、店舗の所在地を設定する画面における、担当者による通常の閲覧の範囲でのみタイルを取得します。 事前の一括取得、広範囲の先読み、タイルの蓄積および画面外での取得は行いません。地図上には OpenStreetMap の著作権表示（© OpenStreetMap contributors）を明示します。当社は、配信元を変更する場合、本ポリシーを改定して公表します。
なお、顧客向けアプリの地図は端末の OS が提供する地図（Apple マップまたは Google マップ）を用いており、OpenStreetMap のタイルサーバーへは接続しません（第 3-1 項）。上記は店舗管理画面（Web POS）の所在地設定画面に限られます。
3-4. 運営コンソール（当社の運用担当者のみが利用します）
運営コンソールには、認証、解析、広告その他の第三者のサービスが組み込まれていません。当社のサーバーとの間でのみ通信します。
3-5. POS アプリ（店舗スタッフ用）
POS アプリには、認証、解析、広告その他の第三者のサービスが組み込まれていません。当社のサーバーとの間でのみ通信し、そのほかにはレシートプリンターとの間で店舗内のネットワークを通じた通信を行います。
3-6. Spay の API を組み込んだ外部事業者のサイト
外部の EC サイト等に組み込む決済 API は、現在提供していません。 提供を開始する場合は、あらかじめ本ポリシーを改定して公表します（提供開始後の内容：当社が提供する組込み用スクリプトは、当社のサーバーとの間でのみ通信し、当社は当該スクリプトを通じて第三者に対する送信を行いません）。
4. 当社のサーバーから外部へ送信される情報
次の情報は、利用者の端末からではなく、当社のサーバーから外部の事業者へ送信されるものです。これらは、当社による業務の委託または当社が利用する外部サービスへの送信にあたります。
| 送信先 | 事業者 | 送信される情報 | 目的 |
|---|---|---|---|
| ブロックチェーンネットワークへの接続事業者（RPC 事業者） | Chainstack Pte. Ltd.（シンガポール共和国） | ウォレットのアドレス、取引の識別情報、金額 | 決済の送信および検証 |
| ブロックチェーンネットワーク（Polygon） | 分散型ネットワーク | 送金元、送金先、金額、時刻（公開されます） | 決済の実行 |
| ウォレット接続基盤 | Reown Inc.（旧 WalletConnect Inc.。アメリカ合衆国デラウェア州） | 接続の識別子、署名の要求および応答、ウォレットのアドレス | 外部ウォレットとの接続および署名の要求（ウェブからのお支払いの場合） |
| メール配信サービス | Sendinblue SAS（Brevo。フランス共和国） | 送信先のメールアドレス、メールの本文 | スタッフの招待、パスワードの再設定、領収書、申込みに関する連絡 |
| Firebase Authentication（管理機能） | Google LLC（米国） | 利用者の識別子 | 認証状態の確認および管理 |
| カード決済事業者 | Stripe, Inc.（米国） | 店舗および決済の識別子、購入金額、通貨、決済および返金の状態。カード番号、有効期限およびセキュリティコードは Stripe が直接取得し、当社サーバーを経由しません | 当該店舗における Credits の初回購入のカード決済、決済完了の確認および必要な返金 |
| オブジェクトストレージ | Cloudflare, Inc.（アメリカ合衆国） | 店舗が登録した画像および商品の画像のみ（お客様の個人データを含みません） | 公開用の画像の保存および配信 |
| 動画の保存 | 外部へ送信しません（当社が管理するサーバーに保存します） | 店舗が投稿した公式動画 | 動画の保存、変換および配信 |
| 為替レートの取得先 | ExchangeRate-API（既定の取得先）および Frankfurter（予備の取得先） | 利用者の情報は送信されません（通貨の組合せのみを取得します） | 円建て金額の換算に用いる為替レートの取得 |
現在行っていない送信：次の送信は、現在行っていません。開始する場合は、あらかじめ本ポリシーを改定して公表します。
| 送信先 | 事業者 | 現在の状況 |
|---|---|---|
| プッシュ通知の配信基盤 | 650 Industries, Inc.（Expo、米国） | 配信基盤として Expo Push Service を採用する方針です。現在、当社のサーバーからの通知の配信は有効になっていません。 |
ブロックチェーン上の記録は公開され、当社が削除することはできません。 詳細はプライバシーポリシー第 8 項をご覧ください。
5. 送信の停止
| 対象 | 停止の方法 | 停止した場合の影響 |
|---|---|---|
| 位置情報 | 端末の設定 | 近隣の店舗の検索および距離の表示をご利用いただけません |
| 地図の表示 | 地図の画面を利用しない | 地図から店舗を探すことができません |
| プッシュ通知 | アプリまたは端末の設定 | 店舗からのお知らせが届きません |
| ウォレットの接続 | ウォレットの接続を行わない、または接続を解除する | ウォレットによるお支払いをご利用いただけません |
| 認証（Firebase） | ログインせずにご利用いただく | ログインが必要な機能をご利用いただけません |
| ブラウザの保存領域 | ブラウザの設定 | ログインおよび決済を含む機能をご利用いただけません |
地図の表示および決済の処理に必要な送信は、当該機能をご利用にならないことによってのみ停止できます。
6. 外国にある事業者への送信
第 3 項および第 4 項に記載の事業者のうち、日本国外に所在するものについては、個人データが当該国において取り扱われることがあります。
個人情報保護法第 28 条に基づく情報の提供の内容（提供先の所在国、当該国の個人情報の保護に関する制度および提供先が講じる措置）は、[プライバシーポリシー](08-privacy-policy.md)第 7 項に記載しています。 概要は次のとおりです。
| 所在国 | 該当する事業者 | 当該国の個人情報の保護に関する制度 |
|---|---|---|
| アメリカ合衆国 | Google LLC、Apple Inc.、Reown Inc.、650 Industries, Inc.（Expo）、Cloudflare, Inc.、Stripe, Inc. | 包括的な個人情報保護法制はなく、分野別の連邦法および州法によります |
| フランス共和国（欧州連合） | Sendinblue SAS（Brevo） | EU 一般データ保護規則（GDPR）が適用され、日本は同規則に基づく十分性認定を受けています |
| シンガポール共和国 | Chainstack Pte. Ltd. | 個人情報保護法（Personal Data Protection Act 2012）により、民間部門における個人データの取扱いが規律されています |
| 英国 | OpenStreetMap Foundation | 英国データ保護法（UK GDPR）が適用され、日本は同法に基づく十分性認定を受けています |
なお、ブロックチェーンネットワークは特定の国に所在する第三者ではなく、分散型のネットワークです。 ネットワーク上に記録される情報は世界中で公開され、当社が削除することはできません（プライバシーポリシー第 8 項）。
7. 本ポリシーの変更
- 当社は、本サービスの内容の変更、外部サービスの追加または変更、法令の改正その他の事情により、本ポリシーを変更することがあります。
- 変更する場合、当社は変更後の内容および効力発生日を本サービス上に掲示します。
8. お問い合わせ
本ポリシーに関するお問い合わせは、プライバシーポリシー第 16 項の窓口までお願いいたします。
附則
- 本ポリシーは2026年8月21日から施行します。