Popup Banner プライバシーポリシー

1. 事業者情報

• アプリ名: Popup Banner｜ABテスト・分析・CVR改善
• 事業者名: 株式会社セルフプラス
• 代表者: 黒岩 俊児
• 所在地: 〒150-0013 東京都渋谷区恵比寿2-6-28 IL CENTRO EBISU 201
• お問い合わせ先: app-support@self-plus.co.jp

2. 収集するデータと目的

本アプリが収集・処理するデータは以下のとおりです。

ショップ・セッション情報

• 収集内容: Shopify が発行するセッション情報（ショップドメイン、アクセストークン等）
• 目的: アプリの認証およびShopify Admin APIへのアクセス

ポップアップ設定データ

• 収集内容: マーチャントが作成したポップアップの設定情報（画像URL、リンク先、表示条件、スケジュール等）
• 目的: ストアフロントへのポップアップ配信および管理画面での設定管理

パフォーマンス統計データ

• 収集内容: ポップアップごとの日次集計データ（インプレッション数、クリック数、クローズ数、A/Bバリアント）
• 目的: 管理画面でのCTR・パフォーマンス表示
• 備考: 統計データはポップアップ単位・日次で集計されます。エンドユーザー（ストア訪問者）を個人として識別する情報は収集・保存しません。

ブラウザ側のローカルストレージ（ストア訪問者のブラウザ）

• 収集内容: ポップアップの表示済みフラグ、表示回数カウント、A/Bバリアント割り当て（各ブラウザのストレージに保存）
• 目的: 頻度上限・再表示制御・A/Bバリアントの固定
• 備考: これらのデータはサーバーに送信・保存されません。ストア訪問者の個人情報（氏名、メールアドレス等）はサーバー側で収集・保存しません。

プラン・課金情報

• 収集内容: 現在の利用プラン（Free / Basic / Pro）
• 目的: プランに応じた機能制限の適用およびポップアップ配信
• 備考: 課金処理はShopify Billing APIを通じてShopifyが行います。クレジットカード情報等の決済情報は本アプリでは収集・保存しません。

アプリ設定

• 収集内容: 管理画面の表示設定（アプリ埋め込みの案内バナーの非表示フラグ等）
• 目的: 管理画面のUI状態管理

3. データの保管と安全管理

保管場所

本アプリのサーバー側のデータは、委託先の Cloudflare, Inc.（米国）が提供するクラウドサービス（アプリサーバー: Cloudflare Workers、データベース: Cloudflare D1）上で運用しています。データは Cloudflare のアジア太平洋リージョン（主に日本国内）に保存し、Cloudflare のネットワークで配信します。

保管期間

• セッション情報・ポップアップ設定・プラン情報・アプリ設定は、マーチャントがアプリをアンインストールした時点で削除されます。
• 統計データ（ポップアップの日次集計）は、ショップデータと同時に削除されます。
• その他のデータ（サーバーログ）は、最大7日間で自動削除されます。サーバーログには個人を識別する情報は含まれません。
• バックアップは Cloudflare D1 のポイントインタイム復元（30日間）を利用しています。復元の用途にのみ使用し、30日で自動的に消去されます。

安全管理措置

• サーバーとの通信はすべてHTTPS（TLS）で暗号化されます。
• データベース（Cloudflare D1）は保存時に暗号化されます。
• データベース・管理コンソールへのアクセスは、権限管理と二要素認証により、限られた担当者のみに制限しています。
• APIキー等の機密情報は、Cloudflare のシークレット管理機能で暗号化して保管し、ソースコードには含めません。
• Shopify からの通知（Webhook）は、署名（HMAC）を検証したうえで処理します。
• Shopify の GDPR 関連リクエスト（customers/data_request、customers/redact、shop/redact）に対応しています。

4. 第三者提供（Shopify APIを含む）

本アプリは以下の第三者サービスを利用します。

Shopify

• 利用内容: アプリの認証（Shopify OAuth）、画像ファイルの保管（Shopify Files API）、課金処理（Shopify Billing API）、ストアフロントへのポップアップ配信（Shopify のアプリ埋め込みの仕組み）
• 取得スコープ: write_files（ファイルの書き込み）、read_products（商品情報の読み取り）
• Shopifyのプライバシーポリシー: https://www.shopify.com/legal/privacy

委託先のクラウドサービス

• 提供元: Cloudflare, Inc.（米国）
• 利用内容: アプリサーバー（Cloudflare Workers）およびデータベース（Cloudflare D1）の運用
• データの所在: Cloudflare のアジア太平洋リージョン（主に日本国内）に保存し、Cloudflare のネットワークで配信
• 委託先のプライバシーポリシー: https://www.cloudflare.com/privacypolicy/

その他の第三者への提供

上記以外の第三者に対して、マーチャントまたはストア訪問者のデータを販売・提供することはありません。法令に基づく開示要求がある場合を除きます。

5. ユーザーの権利（開示・削除請求）

マーチャント（アプリ利用者）

マーチャントは、本アプリが保有するショップに関するデータの開示・訂正・削除を請求することができます。削除請求については、アプリをアンインストールすることで、セッション情報・ポップアップ設定・統計データ・プラン情報・アプリ設定がサーバーから削除されます。

ストア訪問者（エンドユーザー）

本アプリはストア訪問者の個人情報をサーバー側で収集・保存しません。ブラウザのストレージに保存されたデータは、ブラウザの設定からいつでも削除できます。

GDPRコンプライアンス

本アプリはShopifyから届くGDPR関連の請求（customers/data_request、customers/redact、shop/redact）に対応しています。ストア訪問者の個人情報はサーバーに保存していないため、データリクエストおよびデータ削除リクエストに対しては確認応答のみを返します。ショップデータの削除リクエスト（shop/redact）に対しては、該当ショップの全データを削除します。

請求・お問い合わせは、本ポリシー末尾のお問い合わせ先までご連絡ください。

6. 改定

本プライバシーポリシーは、法令の改正やアプリの機能変更等に伴い、予告なく改定する場合があります。改定後のポリシーは本ページに掲載した時点で効力を生じます。重要な変更がある場合は、管理画面またはその他の方法でお知らせするよう努めます。

7. お問い合わせ

本プライバシーポリシーに関するお問い合わせは、以下までご連絡ください。

• 事業者名: 株式会社セルフプラス
• 代表者: 黒岩 俊児
• 所在地: 〒150-0013 東京都渋谷区恵比寿2-6-28 IL CENTRO EBISU 201
• メールアドレス: app-support@self-plus.co.jp

Privacy Policy (English)

1. Business Information

• App Name: Popup Banner & A/B Testing
• Operator: Self Plus Inc.
• Representative: Shunji Kuroiwa
• Address: IL CENTRO EBISU 201, 2-6-28 Ebisu, Shibuya-ku, Tokyo 150-0013, Japan
• Contact Email: app-support@self-plus.co.jp

2. Data We Collect and Why

The following data is collected and processed by this app.

Shop and Session Information

• Data: Session information issued by Shopify (shop domain, access token, etc.)
• Purpose: App authentication and access to the Shopify Admin API

Popup Configuration Data

• Data: Popup settings created by merchants (image URL, link destination, display conditions, schedule, etc.)
• Purpose: Delivering popups to the storefront and managing settings in the admin panel

Performance Statistics

• Data: Daily aggregated data per popup (impressions, clicks, closes, A/B variant)
• Purpose: Displaying CTR and performance metrics in the admin panel
• Note: Statistics are aggregated at the popup level on a daily basis. No information that identifies individual end users (storefront visitors) is collected or stored on the server.

Browser-Side Local Storage (Storefront Visitors' Browsers)

• Data: Popup dismissed flags, display frequency counts, and A/B variant assignments (stored in each browser's storage)
• Purpose: Frequency capping, redisplay control, and A/B variant assignment
• Note: This data is not transmitted to or stored on the server. Personal information of storefront visitors (name, email address, etc.) is not collected or stored server-side.

Plan and Billing Information

• Data: Current subscription plan (Free / Basic / Pro)
• Purpose: Applying plan-based feature restrictions and popup delivery
• Note: Payment processing is handled by Shopify via the Shopify Billing API. Payment details such as credit card information are not collected or stored by this app.

App Settings

• Data: Admin UI state (e.g., dismissed flag for the app embed guide banner)
• Purpose: Managing UI state in the admin panel

3. Data Storage and Security

Storage Location

Server-side data for this app is operated on cloud services provided by our subprocessor Cloudflare, Inc. (United States) (app server: Cloudflare Workers; database: Cloudflare D1). Data is stored in Cloudflare's Asia-Pacific region (primarily within Japan) and delivered over Cloudflare's network.

Retention Period

• Session information, popup configurations, plan information, and app settings are deleted when a merchant uninstalls the app.
• Statistics (daily aggregates per popup) are deleted together with the shop data.
• Other data (server logs) is automatically deleted within 7 days at most. Server logs contain no personally identifying information.
• Backups use Cloudflare D1 point-in-time recovery (30 days). They are used only for restoration and are automatically erased after 30 days.

Security Measures

• All communication with the server is encrypted via HTTPS (TLS).
• The database (Cloudflare D1) is encrypted at rest.
• Access to the database and admin consoles is limited to authorized staff, with permission management and two-factor authentication.
• API keys and other secrets are stored encrypted in Cloudflare's secret management and are never included in source code.
• Notifications (webhooks) from Shopify are processed only after their signature (HMAC) is verified.
• Shopify GDPR requests (customers/data_request, customers/redact, shop/redact) are supported.

4. Third-Party Disclosure (Including Shopify APIs)

This app uses the following third-party services.

Shopify

• Usage: App authentication (Shopify OAuth), image file storage (Shopify Files API), billing (Shopify Billing API), storefront popup delivery (Shopify's app embed mechanism)
• Scopes Requested: write_files (write files), read_products (read product information)
• Shopify Privacy Policy: https://www.shopify.com/legal/privacy

Subcontracted Cloud Service

• Provider: Cloudflare, Inc. (United States)
• Usage: Operation of the app server (Cloudflare Workers) and database (Cloudflare D1)
• Data Location: Stored in Cloudflare's Asia-Pacific region (primarily within Japan) and delivered over Cloudflare's network
• Provider Privacy Policy: https://www.cloudflare.com/privacypolicy/

Other Third Parties

We do not sell or disclose merchant or storefront visitor data to any third parties other than those listed above, except where required by applicable law.

5. User Rights (Access and Deletion Requests)

Merchants (App Users)

Merchants may request access to, correction of, or deletion of data held by this app relating to their shop. For deletion requests, uninstalling the app will cause session information, popup configurations, statistics, plan information, and app settings to be removed from the server.

Storefront Visitors (End Users)

This app does not collect or store personal information of storefront visitors on the server. Data stored in the browser's storage can be deleted at any time through the browser's settings.

GDPR Compliance

This app supports GDPR-related requests sent by Shopify (customers/data_request, customers/redact, shop/redact). Because no personal information of storefront visitors is stored on the server, data requests and data erasure requests receive an acknowledgment-only response. Shop data deletion requests (shop/redact) result in the deletion of all data associated with the relevant shop.

To submit a request, please contact us using the contact information at the end of this policy.

6. Changes to This Policy

This Privacy Policy may be updated without prior notice due to changes in applicable laws or app functionality. Any revised policy takes effect upon publication on this page. We will endeavor to notify merchants of significant changes through the admin panel or other means.

7. Contact

For inquiries regarding this Privacy Policy, please contact us at:

• Operator: Self Plus Inc.
• Representative: Shunji Kuroiwa
• Address: IL CENTRO EBISU 201, 2-6-28 Ebisu, Shibuya-ku, Tokyo 150-0013, Japan
• Email: app-support@self-plus.co.jp