最終更新 April 28, 2026
当社はプライバシーを重視しています。本ポリシーは、当社が収集するデータ、その法的根拠、保存期間、当社に代わって処理を行う事業者、および EU 一般データ保護規則（規則2016/679、GDPR）に基づく権利の行使方法を説明します。
karmogram.com を通じて処理される個人データの管理者は、ルーマニアに登記された CyGuru Pharm SRL（商業登記 registration pending、納税者番号 RO52437696）であり、登記上の所在地は Branesti, str. Horia 33c, jud. Ilfov です。一般のお問い合わせ: hello@karmogram.com。プライバシーおよびデータ保護に関するご請求（DPO 窓口を含む）: privacy@karmogram.com。すべての権利行使のご請求には、GDPR 第12条(3)に従い、三十（30）日以内に回答します。
(a) 本人確認およびリーディングの入力内容: 氏名、メールアドレス、生年月日、任意で出生時刻および出生地、お客様が入力を選ばれたパートナーまたはチームメンバーの情報、記入された質問または夢の記述。(b) 生体データ（手相のみ）: 手のひらの写真。(c) アカウント／認証: メールアドレス、マジックリンクのトークン、最終サインイン日時。(d) Stripe から返される支払いメタデータ（カードブランド、下4桁、国、取引 ID — カード番号の全桁を当社が見ることはありません）。(e) セキュリティ、不正防止および分析のために取得する技術データ: IP アドレス（分析用には切り詰めます）、ユーザーエージェント、端末区分、ロケール、リファラー、UTM パラメータ。(f) お客様から送られた連絡内容（メール本文、添付ファイル）。
リーディングの生成と提供 — ご注文の際に成立する契約の履行（GDPR 第6条(1)(b)）。アカウント作成およびマジックリンク認証 — 契約の履行（GDPR 第6条(1)(b)）。不正防止、濫用の抑止および集計された製品分析 — サービスを安全に保ち、改善できる状態に保つという当社の正当な利益（GDPR 第6条(1)(f)）。当社はバランステストを実施し、切り詰めた IP アドレスを用いること、分析データの保存期間が短いこと（12か月）、個人単位のターゲティングに一切用いないことから、お客様への影響は最小限であると結論づけました。マーケティングの連絡 — 入力時にお客様が自由に与えた明示的な同意（GDPR 第6条(1)(a)）。同意は、すべてのメールに記載された配信停止リンク、または privacy@karmogram.com へのご連絡により、いつでも撤回できます。手のひらの写真（手相） — GDPR 第9条(2)(a)に基づく生体データ処理への明示的な同意。税務および会計の記録 — ルーマニア税法上の法的義務の遵守（GDPR 第6条(1)(c)）。
セッションクッキー（iron-session、署名付き）: 最終利用から30日。マジックリンクのサインイントークン: 15分（1回限り）。入力データおよびリーディングデータ（お客様の入力内容と生成されたリーディング）: 提供から3年。その後、ルーマニア法における民事上の請求の時効期間に合わせて匿名化または削除します。手のひらの写真: アップロードから30日（保存時に暗号化し、Europe/Bucharest 時間の04:00に実行される日次の削除ジョブで削除します）。メール配信ログ（Resend）: 30日。Stripe の取引記録および請求書: 7年（財政法典に関するルーマニア法227/2015および会計に関する法82/1991により義務づけられています）。製品分析イベント（PostHog、EU リージョン）: 12か月。エラーイベント（Sentry、有効な場合）: 90日。サポートのやり取り: 最長3年。
Your reading is generated by an automated natural-language processing system (OpenAI; palm-reading uses Anthropic). The data we send to the system is the interview fields you submitted (name, birth data, your question, partner or team data if relevant) together with our editorial guidelines. Data sent to OpenAI's API is not used to train or improve any model and is retained by OpenAI for up to 30 days for abuse monitoring before deletion; palm-reading is processed by Anthropic. Generation is fully automated, but it does not produce decisions that have a legal or similarly significant effect on you (a Karmogram reading is reflective entertainment, not a legal, medical, financial, employment or insurance decision). You may at any time request human review of a delivered reading by writing to privacy@karmogram.com; we will respond within 30 days.
We share data only with the processors strictly needed to operate the service. Stripe Payments Europe (Ireland; processing servers in the United States) — payment processing. Transfer mechanism: EU Standard Contractual Clauses 2021/914 plus Stripe's adherence to the EU–US Data Privacy Framework. Resend (United States) — transactional and marketing email delivery. Transfer mechanism: SCC 2021/914 plus EU–US Data Privacy Framework. PostHog (European Union, eu.posthog.com) — product analytics; no international transfer. Sentry (United States, only when enabled) — error tracking. Transfer mechanism: SCC 2021/914 plus EU–US DPF. Vercel Inc. (United States, with EU edge regions) — application hosting. Transfer mechanism: SCC 2021/914 plus EU–US DPF. OpenAI, L.L.C. (United States) — automated natural-language generation of your reading, accessed through our backend; data sent via the OpenAI API is not used to train OpenAI's models and is retained by OpenAI for up to 30 days for abuse monitoring before deletion. Transfer mechanism: SCC 2021/914. Anthropic PBC (United States) — natural-language processing for palm-reading, accessed through our backend. Transfer mechanism: SCC 2021/914 plus EU–US DPF. If you give explicit consent to store your answers, your customer record, purchase and reading are held in a managed PostgreSQL database located in the European Union. We do not sell your data and we do not share it with advertising networks.
Where personal data leaves the European Economic Area (Stripe, Resend, Sentry, Vercel, OpenAI, Anthropic) the transfer is governed by the European Commission's Standard Contractual Clauses (Decision 2021/914) and, where applicable, by the recipient's certification under the EU–US Data Privacy Framework. You may obtain a copy of the safeguards by writing to privacy@karmogram.com.
お客様には、アクセス権（第15条）、訂正権（第16条）、消去権／忘れられる権利（第17条）、処理の制限を求める権利（第18条）、データポータビリティ権（第20条 — 構造化された機械可読の JSON ファイルでのデータ提供を請求できます）、および異議を述べる権利（第21条）があります。処理が同意（第6条(1)(a)または第9条(2)(a)）に基づく場合、お客様はいつでもその同意を撤回でき、撤回前の処理の適法性は影響を受けません。権利を行使するには、/privacy/erase のフォームをご利用いただくか、privacy@karmogram.com までメールでご連絡ください。30日以内に回答します。また、ルーマニアの監督機関（ANSPDCP — Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal、dataprotection.ro）、またはお客様の常居所地の監督機関に苦情を申し立てる権利もあります。
手相のリーディングのためにアップロードされた手のひらの写真は、GDPR 第4条(14)および第9条にいう生体データです。当社はこれを、お客様の明示的な同意（第9条(2)(a)）のみに基づき、手相のリーディングを生成する目的のためだけに処理します。画像からは、クライアント側（ブラウザ内、アップロード前）とサーバー側（多層防御）の双方で EXIF および位置情報のメタデータを除去します。ファイルは保存時に AES-256 で暗号化され、公開 URL で公開されることはなく、リーディングエンジンからは短時間（5分以内）のみ有効な署名付き URL を通じてのみアクセスされ、日次の削除ジョブにより30日以内に削除されます。即時の削除をご希望の場合は、/privacy/erase から、または privacy@karmogram.com へのメールでご請求いただけます。
既定では、厳密に必要なクッキー（iron-session のクッキー、CSRF トークン、クッキー同意のフラグそのもの）のみを設定します。分析クッキー（PostHog）は、クッキーバナーで同意された場合にのみ読み込まれます。当社は第三者の広告クッキーを使用しません。
他の人物に関する個人データ（相性リーディングのためのパートナー、創業者、チーム相性リーディングのためのチームメンバー、またはご質問の中で名前を挙げた人物）を送信される場合、お客様は、その人物に当該処理を知らせたこと、およびそのデータを当社と共有する適法な根拠を有することを確認したものとします。当社は、そのような人物からのご請求に応じて、当社の直接の利用者と同じように、第14条に基づく GDPR 上の権利に対応します。
Karmogram は18歳以上の成人のみを対象としています。当社は未成年者の個人データを故意に処理することはありません。未成年者が本サービスを通じてデータを送信したと思われる場合は、直ちに privacy@karmogram.com までご報告ください。速やかにデータを消去します。
Data in transit is protected by TLS 1.2+. The application runs on Vercel's infrastructure; where we store customer records and readings, they are held in a managed PostgreSQL database in the European Union, encrypted in transit. Secrets are managed through the hosting platform's encrypted environment and never committed to source control. Access to production data is restricted to named personnel and logged. We notify the supervisory authority and affected users within 72 hours of becoming aware of a personal-data breach, in line with GDPR Art. 33–34.
本ポリシーに重要な変更を行う場合は、変更が効力を生じる少なくとも十五（15）日前に、すべてのアカウント保有者および最近のお客様にメールで通知します。重要でない変更は、このページの冒頭にある改訂日を更新して公表します。現行版の日付は April 28, 2026 です。
データ管理者: CyGuru Pharm SRL、Branesti, str. Horia 33c, jud. Ilfov。一般の窓口: hello@karmogram.com。データ保護の窓口（DPO）: privacy@karmogram.com。ルーマニアの監督機関: ANSPDCP、dataprotection.ro。
CyGuru Pharm SRL（registration pending、CUI RO52437696）、Branesti, str. Horia 33c, jud. Ilfov が運営しています。契約番号 1/17.04.2026。
