プライバシーポリシー

発効日：2026年10月21日・最終更新：2026年10月21日

当社についてとお問い合わせ先

Cascade MTG LLC（「当社」または「Cascade」）は、iOS版・Android版のCascadeアプリおよびウェブサイトcascademtg.comを運営しています。本ポリシーでは、これら3つのプラットフォームで当社が収集する個人データ、その目的、およびお客様の権利について説明します。当社は必要最小限の個人データのみを収集し、お客様のデータを販売することは一切ありません。

プライバシーに関するご質問やご要望は、privacy@cascademtg.comまでメールでご連絡ください。データ主体からのリクエストには、30日以内（GDPR）または45日以内（CCPA）に回答します。当社はデータ保護責任者（DPO）を選任しておらず、プライバシーに関するお問い合わせはすべて上記アドレスで直接対応します。

収集するデータとその理由

以下の各カテゴリについて、収集する内容、使用目的、およびGDPRに基づく法的根拠を記載します：

アカウント情報 — メールアドレス、パスワードのハッシュ（パスワードそのものは保存しません）、Google・Apple・Discordでログインする場合はそのプロバイダーのアカウント識別情報、および言語設定。認証とアカウントの運用に使用します。法的根拠：お客様との契約の履行。
お客様のコンテンツ — コレクション、デッキ、リスト、ウィッシュリスト、ウォッチリスト。Cascadeの中核機能の提供に使用します。法的根拠：お客様との契約の履行。
サブスクリプションと課金状態 — 有効なサブスクリプションの有無、およびGoogle Play・App Store・Stripeの取引参照情報。カード番号を当社が受け取ったり保存したりすることはありません。プレミアム機能の付与と決済処理に使用します。法的根拠：契約の履行。最小限の取引記録の保持は法的義務（税務・監査）です。
プッシュ通知データ — デバイスのプッシュトークン（AndroidはFCM、iOSはAPNs）と通知設定。通知を有効にした場合にのみ収集します。お客様が希望した通知の配信に使用します。法的根拠：同意（システムの通知許可とアプリ内の設定）。通知を無効にすることでいつでも同意を撤回できます。
サポートでのやり取り — アプリ内サポートチャットやお問い合わせフォームから送信されたメッセージと、お問い合わせフォームに入力されたメールアドレス。お客様への回答に使用します。法的根拠：お客様との契約の履行（アカウントをお持ちでない方からのお問い合わせについては、お問い合わせに回答するという当社の正当な利益）。
サーバーログとセキュリティログ — 当社のサーバーへのリクエストごとに、IPアドレス、日時、リクエストされたアドレス、アプリまたはブラウザのバージョンといった技術的なデータを記録します。Cascadeを安全かつ安定して運用するために使用します（不正なトラフィックの制限、エラーの発見と修正、登録時のアプリストアによる自動テスト用アカウントの識別）。法的根拠：サービスの安全性と信頼性という当社の正当な利益。
機能利用イベント — 当社自身のサーバーに記録される少数のファーストパーティイベント（例：オンボーディングの進行状況、アップグレード画面の表示）で、アカウントに紐付きます。IPアドレスやデバイス識別子は含まれず、第三者と共有されることもありません。どの機能が重要かを把握するために使用します。法的根拠：Cascadeの改善という当社の正当な利益。
分析・クラッシュデータ・スキャンセッションの集計（モバイルアプリ） — オプトインによる同意がある場合にのみ収集します。次のセクションをご覧ください。
カードスキャン（モバイルアプリ） — カメラ画像はすべてデバイス上で処理され、アップロードされることは一切ありません。認識されたカードのテキスト（カード名、セット、コレクター番号）のみが該当カードの検索のために当社サーバーへ送信され、その検索内容がお客様のアカウントに紐付けて保存されることはありません。法的根拠：お客様との契約の履行。分析にオプトインした場合、アプリはスキャンセッションの集計も送信します。次のセクションをご覧ください。

分析とクラッシュレポート（オプトイン）

モバイルアプリにはFirebase AnalyticsとCrashlyticsが組み込まれていますが、初期状態では無効です。お客様が明示的にオプトインした場合にのみ動作し、iOS・Androidの「設定 → プライバシー」からいつでも変更できます。撤回は即時に有効になります。

有効にした場合、このデータは仮名化されています。お名前やメールアドレスではなく、Firebaseインストール IDやアプリのユーザーIDといった識別子に紐付きます。これらの識別子はインストールやアカウントごとに異なるため、匿名データではありません。本ポリシーでは正確を期してこのように記載します。

保持期間には制限があります。分析イベントは14ヶ月、クラッシュレポートは90日で自動的に削除されます。

同じオプトインにより、アプリはスキャンセッションの集計を当社自身のサーバーにも送信します（Firebaseには送信しません）。スキャナーを使用するたびに1件の集計が送信され、その内容は件数、時間、照合方法の種類のみです（例：カードが見つかったスキャンの数、スキャンにかかった時間、お客様が修正した結果の数）。カード名、カードのテキスト、画像、コレクションのデータは含まれません。この集計はお客様のアカウントに紐付き、第三者と共有されることはありません。カード認識の改善のために使用します。90日後に自動的に削除されるほか、アカウント削除時にも削除されます。法的根拠：お客様の同意。

利用しているサービスプロバイダー

当社はCascadeの運営に必要な範囲でのみ、以下のプロバイダーとデータを共有します。一部のプロバイダーは当社の指示に従ってのみデータを処理します（ホスティング、メール配信、クラッシュレポート、分析）。アプリストア、Stripe、サインインプロバイダーなどその他のプロバイダーは、受け取ったデータをそれぞれのプライバシーポリシーに基づいても処理します：

Google Firebase — クラッシュレポートと分析（上記のとおり同意がある場合のみ）、およびAndroidデバイスへのプッシュ通知の配信。Firebaseのプライバシーに関するドキュメントをご覧ください。
Google Play課金 — Androidアプリでのサブスクリプション購入を処理します。決済情報はすべてGoogleが取り扱います。Googleのプライバシーポリシーをご覧ください。
Apple — iOSアプリでのサブスクリプション購入を処理し（決済情報はすべてAppleが取り扱います）、Apple Push Notification serviceを通じてiOSデバイスにプッシュ通知を配信します。Appleのプライバシーポリシーをご覧ください。
Stripe — ウェブでのサブスクリプション決済を処理し、決済カード情報と請求先情報を取り扱います。Stripeのプライバシーポリシーをご覧ください。
ログインプロバイダー（Google、Apple、Discord） — ソーシャルログインを選択した場合、プロバイダーはその時点で本人確認を行い、メールアドレスを当社に共有します。Cascadeのための継続的な処理は行いません。
Amazon Web Services — 米国内で当社のサーバーとデータベースをホストしており、本ポリシーに記載のデータはここに保存されます。AWSのプライバシー通知をご覧ください。
Google Workspace — トランザクションメール（パスワードリセット、確認コード）を配信します。そのため、メールアドレスとメッセージ内容はGoogleのメールサーバーを経由します。
Scryfall — カードデータとカード画像はScryfallから提供されています。カード画像の大部分は当社自身のCDNから配信されますが、一部はScryfallのサーバー（cards.scryfall.io）から直接読み込まれます。その際、一般的なCDNと同様に、ScryfallはIPアドレスとリクエストされた画像URLを受け取ります。当社がそれ以外のデータをScryfallに送信することはありません。Cascadeは、Scryfallが制作・承認したものではなく、Scryfallと提携関係にもありません。
TCGplayer — カードの価格はTCGplayerから提供されています。TCGplayerでカードを購入するためのリンクはアフィリエイトリンク（Impactが運営するtcgplayer.pxf.io）を経由するため、Cascadeが紹介料を受け取ることがあります。リンクを開くと、TCGplayerとImpactはお客様のIPアドレスと開いたリンクを、それぞれのプライバシーポリシーに基づいて受け取ります。当社がそれ以外のデータを送信することはありません。

Cookie（ウェブ）

ウェブサイトでは最小限のCookieのみを使用しています：

厳密に必要なCookie — ログイン状態を維持するセッションCookieで、認証とセキュリティに必須です。無効にすることはできません。
設定Cookie — 言語などの設定を記憶します。テーマや表示の設定はブラウザ内にローカル保存されます。

ウェブサイトでは、広告Cookieやサードパーティの分析Cookieは一切設定しません。

データの保持期間

当社の方針はシンプルです。データはアカウントが存在する間保持され、アカウントを削除すると削除されます。アカウントの削除は、アプリの「設定 → アカウントを削除」（iOS・Android）またはウェブのcascademtg.com/accountから行えます。具体的には：

アカウント情報、お客様のコンテンツ、サポートでのやり取り、プッシュトークン、通知設定 — アカウント削除時に直ちに完全削除されます。プッシュトークンは無効になった時点でも削除されます。
お問い合わせフォームのメッセージ — アカウントのメールアドレスから送信されたものは、アカウント削除時に削除されます。アカウントをお持ちでない方のメッセージは、回答のために保管します。削除をご希望の場合はメールでご連絡ください。
課金記録 — アカウント削除時には、Stripeに保存されているお客様の顧客レコードも削除します。税務・監査に関する法律上の要請により、過去の取引について最小限の匿名化された記録（お客様との紐付けなし）を保持します。法的根拠：法的義務。
機能利用イベント — アカウント削除時にアカウントとの紐付けが切断され、残るのは匿名のデータのみです。
分析・クラッシュデータ — アカウントの状態にかかわらず、分析データは14ヶ月後、クラッシュレポートは90日後に自動削除されます。
スキャンセッションの集計 — 90日後に自動削除されるほか、アカウント削除時にも削除されます。
サーバーログとセキュリティログ — 7日後に自動削除されます。

お客様の権利（GDPR）

EU・EEA・英国（およびその他多くの法域）にお住まいの場合、以下の権利を有します。各項目に行使方法を記載しています：

アクセス権 — 当社が保有するお客様の個人データのコピーを請求できます。コレクションはアプリからエクスポートできます。全データのコピーが必要な場合はprivacy@cascademtg.comまでご連絡ください。
訂正権 — メールアドレス、パスワード、およびすべてのコンテンツは、アプリとウェブで直接編集できます。
消去権 — アプリの「設定 → アカウントを削除」またはウェブのcascademtg.com/accountからアカウントを削除できます。削除は永久的であり、元に戻すことはできません。
データポータビリティ権 — アプリから一般的なフォーマットでデータをエクスポートできます。組み込みのエクスポートで対応していないデータについては、メールでご連絡ください。
処理の制限権 — 争いや確認の解決までの間、データ処理の制限をメールで求めることができます。
異議申立権 — 正当な利益に基づく処理（機能利用イベントなど）に対して、メールで異議を申し立てることができます。
同意の撤回権 — 分析、クラッシュレポート、スキャンセッションの集計については、「設定 → プライバシー」のトグルをオフにすると即時に有効になります。プッシュ通知については、システムまたはアプリの設定で無効にできます。

これらの権利の行使、または権利が尊重されていないと思われる場合は、privacy@cascademtg.comまでメールでご連絡ください。30日以内に回答します。また、お住まいの地域の監督機関に苦情を申し立てる権利もあります。

カリフォルニア州プライバシー権（CCPA/CPRA）

カリフォルニア州にお住まいの場合、CPRAにより改正されたカリフォルニア消費者プライバシー法（CCPA）に基づき、以下の権利を有します：

知る権利 — 当社が収集した個人情報のカテゴリと具体的な内容、収集元、目的、および共有先の第三者の開示を請求できます。
削除の権利 — 個人情報の削除を請求できます。上記のアプリ内・ウェブでのアカウント削除がこれに該当します（法律上の保持義務による例外があります）。
訂正の権利 — 不正確な個人情報を訂正できます。アカウントデータはアプリで直接編集できます。
販売・共有のオプトアウトの権利 — 実際には不要です。当社はお客様の個人情報を販売せず、クロスコンテキスト行動広告のために共有することもありません。過去12ヶ月間、いずれも行っていません。
差別禁止の権利 — これらの権利を行使したことを理由に、お客様を不利に扱うことは決してありません。

収集する個人情報のカテゴリ：識別子（メールアドレス、アカウント識別子、IPアドレス、デバイスのプッシュトークン）、商業情報（サブスクリプションと取引の記録）、インターネットまたはその他の電子ネットワーク活動（サーバーログとセキュリティログ、機能利用イベント、および同意がある場合の分析データとスキャンセッションの集計）、ユーザー生成コンテンツ（コレクション、デッキ、リスト）。

収集しないもの：正確な位置情報、生体情報、保護された分類、感覚データ、職業・雇用・教育に関する情報。

検証可能な消費者リクエストは、privacy@cascademtg.comまでメールでお送りください。45日以内に回答します。

児童のプライバシー

Cascadeは13歳未満の児童を対象としておらず、13歳未満の児童から意図的に個人情報を収集することはありません。13歳未満の児童の個人データを収集したことが判明した場合は削除します。該当すると思われる場合は、直ちにprivacy@cascademtg.comまでご連絡ください。

データセキュリティ

当社はお客様の個人データを保護するために合理的な措置を講じています：

パスワードはソルト付きハッシュとして保存され、平文で保存されることはありません。
すべてのデータはHTTPS/TLS暗号化により送信されます。
ユーザーデータへのアクセスは許可された担当者のみに制限されています。
インフラストラクチャはAWSの安全なデータセンターで稼働しています。

当社はお客様の個人データの保護に努めていますが、送信や保存の方法に100%安全なものはなく、絶対的なセキュリティを保証することはできません。

法律に基づく開示

召喚状や同様の法的手続きへの対応など法律で求められる場合、または当社の契約の執行やCascade・ユーザー・その他の権利、財産、安全の保護に必要な場合、個人データを開示することがあります。

国際データ転送

Cascadeは米国でホストされているため、EU・EEA・英国その他の地域からご利用の場合、お客様のデータは米国に転送され、米国で処理されます。この転送については、当社のプロバイダー（AWS、Google、Stripe）のデータ処理条件に組み込まれた標準契約条項（SCC）に依拠しています。当社はEU-U.S.データプライバシーフレームワーク（DPF）の認証を受けていません。

本ポリシーの変更

Cascadeの発展に伴い、本ポリシーを更新することがあります。重要な変更は発効日を改訂したうえでこのページに掲載し、特に重要な変更については、適切な場合にアプリ内またはメールでお知らせします。変更後もCascadeを継続して使用することで、更新されたポリシーに同意したものとみなされます。