プライバシーポリシー

Ruleout（以下「会社」）は、「個人情報保護法」第30条に基づき、情報主体の個人情報を保護し、これに関する苦情を迅速かつ円滑に処理できるよう、次のとおりプライバシーポリシーを策定・公開します。本ポリシーはNotelyウェブサイト（notely.kr）およびiOS・Androidアプリケーション（以下「サービス」）に適用されます。

ひと目でわかる

1. 個人情報の処理目的

会社は次の目的のために個人情報を処理します。処理した個人情報は次の目的以外の用途には利用されず、目的が変更される場合は「個人情報保護法」第18条に基づき別途同意を得るなど、必要な措置を講じます。

1. 会員登録および管理 — 会員の識別、本人確認、ソーシャルログイン連携、満14歳未満の登録制限、不正利用の防止、アカウントのセキュリティ、各種告知・通知、苦情処理
2. サービスの提供 — 学習資料の保存とデバイス間の同期、文書・音声・画像のテキスト変換、AIによる要約・重要概念・クイズ・フラッシュカード・マインドマップの生成、学習資料に基づくAIチューターの質疑応答、間隔反復学習のスケジュール管理と通知、共有リンクの提供
3. 有料サービスの決済および精算 — サブスクリプションの決済、自動更新、申込みの撤回・返金、決済履歴の管理、税金計算書・現金領収証の発行
4. カスタマーサポート — お問い合わせへの対応、不具合およびAI生成物の報告処理、紛争調整のための記録保存
5. サービスの改善および安定性の確保 — アクセス頻度および機能利用の統計分析（仮名・統計の形式）、エラー・クラッシュ分析、セキュリティ脅威の検知
6. マーケティングおよび広告への活用（任意の同意時） — 新機能・イベントのご案内、特典情報の提供

2. 処理する個人情報の項目

ア. 会員登録時

共通：満14歳以上かどうかの確認結果（必須）、マーケティング情報の受信同意の有無（任意）

イ. サービス利用の過程で

ウ. 有料サービスの決済時

• ウェブ決済：決済承認番号、決済手段の種類、カード会社名、カード番号の一部（マスキング）、決済金額・日時、ビリングキー（自動決済用。[PG会社]が発行・保管し、会社はカード番号全体を保存しません）
• アプリ内決済：アプリストアの取引識別子、サブスクリプション商品・状態、決済・更新日時（Apple・Googleが処理し、会社は決済手段の情報を受け取りません）
• 現金領収証の発行時：携帯電話番号または現金領収証カード番号

エ. 自動的に生成・収集される情報

• IPアドレス、アクセス日時、サービス利用記録（アクセスログ）、Cookie、デバイス情報（OSの種類・バージョン、デバイスのモデル、アプリのバージョン）、広告識別子（ADID/IDFA。利用者が許可した場合に限る）、エラー・クラッシュ記録

3. 個人情報の処理および保有期間

会社は、会員の退会時または処理目的の達成時に、個人情報を遅滞なく破棄します。退会の要請後、運用データベースからは30日以内に削除し、障害復旧用のバックアップデータからはその後最大30日以内に削除します（30日間の猶予期間中にアカウント復旧を要請された場合は復旧可能）。ただし、次の情報は関係法令に基づき、定められた期間、別途分離して保管します。

また、不正利用（決済の盗用、利用制限を回避する目的での再登録など）を防止するため、利用制限処分を受けた会員のアカウント識別子（ハッシュ値）を退会後1年間保管する場合があります。1年以上サービスを利用していない会員には、有効期間到来の30日前にメールでお知らせします。

4. 個人情報の破棄手続きおよび方法

1. 破棄手続き — 破棄事由が発生した個人情報は、個人情報保護責任者の管理のもとで選定され、破棄されます。法令に基づき保存が必要な情報は、別のデータベースに移してアクセス権限を制限した状態で保管し、期間経過後に破棄します。
2. 破棄方法 — 電子ファイル形式の情報は、復旧・再生できない技術的方法（暗号鍵の廃棄、上書きなど）で削除し、紙の文書は裁断または焼却します。
3. 外部のAIモデル提供会社に送信された学習資料は、処理完了後、各提供会社の契約上の保管期間（7番の表参照）が経過すると自動的に削除されます。

5. 個人情報の第三者提供

会社は、情報主体の個人情報を1番で明示した目的の範囲内でのみ処理し、原則として第三者に提供しません。ただし、次の場合は例外とします。

• 情報主体が事前に別途同意した場合
• 法律に特別な規定がある場合、または法令上の義務を遵守するためにやむを得ない場合（捜査機関の適法な令状など）
• 情報主体または第三者の差し迫った生命、身体、財産の利益のために必要であると認められる場合

会員が共有リンクを作成した場合、そのリンクを受け取った人は、会員が共有を選択した資料とニックネームを閲覧できます。これは会員本人の選択による公開であり、会員はいつでもリンクを無効にできます。

6. 個人情報処理の委託

会社は、円滑なサービス提供のため、次のとおり個人情報の処理業務を委託しています。委託契約の締結時には、「個人情報保護法」第26条に基づき、委託業務の遂行目的以外の処理の禁止、技術的・管理的保護措置、再委託の制限、受託者の管理・監督、損害賠償等の責任に関する事項を契約書等の文書に明記し、受託者が個人情報を安全に処理しているかを監督します。

委託業務の内容や受託者が変更された場合は、遅滞なく本プライバシーポリシーを通じて公開します。

7. 個人情報の国外移転

会社は、サービスの提供（情報主体との契約の履行）のため、次のとおり個人情報を国外に移転しており、「個人情報保護法」第28条の8第1項第3号に基づき、本ポリシーを通じて移転に関する事項を公開します。

国外移転を拒否する方法および効果 — 情報主体は、個人情報保護責任者（help@notely.kr）に国外移転を拒否する意思を伝えるか、退会することにより国外移転を拒否できます。分析・クラッシュツールへの移転は、アプリの設定 > 個人情報からオフにできます。ただし、AIモデルおよび音声認識による処理はサービスの中核機能であるため、これを拒否した場合はAI生成・録音の文字起こし機能をご利用いただけません。

8. 情報主体および法定代理人の権利・義務と行使方法

1. 情報主体は、会社に対していつでも、個人情報の閲覧、訂正・削除、処理停止、同意の撤回、自動化された決定に対する拒否・説明の要求などの権利を行使できます。
2. 権利の行使は、サービス内の設定メニュー（プロフィール編集、資料の削除、データのエクスポート、退会）から直接行うか、書面・メール（help@notely.kr）で請求でき、会社は10日以内に対応します。
3. 会員は、設定 > データのエクスポートから、学習資料、AI生成物、学習記録を機械が読み取れる形式でダウンロードできます（個人情報の伝送要求権）。
4. 権利の行使は、法定代理人や委任を受けた者などの代理人を通じて行うこともでき、この場合は「個人情報処理方法に関する告示」別紙第11号書式による委任状を提出する必要があります。
5. 個人情報の閲覧および処理停止の要求は、「個人情報保護法」第35条第4項、第37条第2項により情報主体の権利が制限される場合があり、他の法令で収集対象として明示されている個人情報は削除を要求できません。
6. 会社は、権利を行使した者が本人または正当な代理人であるかを確認します。

9. 満14歳未満の児童の個人情報の処理

会社は満14歳未満の児童の会員登録を認めておらず、法定代理人の同意を得て児童の個人情報を収集することはありません。登録段階で満14歳以上であることを確認し、満14歳未満の児童の個人情報が収集されたことが判明した場合は、直ちに当該アカウントを解約し、関連情報を破棄します。

10. 個人情報の安全性確保措置

会社は、「個人情報保護法」第29条に基づき、次のような安全性確保措置を講じています。

• 管理的措置 — 内部管理計画の策定・実施、個人情報取扱者の最小化および定期教育、秘密保持誓約
• 技術的措置 — 通信区間の暗号化（TLS 1.2以上）、保存データの暗号化（AES-256）、パスワードの一方向暗号化（ソルト付きハッシュ）、アクセス制御システムおよび多要素認証（MFA）の適用、アクセス記録の保管および改ざん防止、セキュリティアップデートおよび脆弱性点検、侵入検知モニタリング
• アクセス権限の管理 — 職務に応じた最小権限の付与、学習資料の役職員による閲覧は原則禁止（カスタマーサポートのために会員が許可した場合などの例外時は記録を保管）、退職・職務変更時は直ちに権限を回収
• 物理的措置 — 認証を取得したクラウドデータセンターの利用、文書・記録媒体の保管場所の施錠

11. 個人情報の自動収集装置の設置・運用および拒否

1. 会社は、ログイン状態の保持、言語・テーマ（ライト/ダーク）などの利用者設定の保存、利用統計の分析のため、Cookie（クッキー）およびアプリ内の類似技術（ローカルストレージ、SDK）を使用します。
2. Cookieとは、ウェブサイトの運営に使用されるサーバーが利用者のブラウザに送信する少量の情報で、利用者のデバイスに保存されます。

3. 区分	目的	拒否した場合の影響
   必須Cookie	ログインセッションの保持、セキュリティ（CSRF対策）	ログインなどのサービス利用が不可
   機能Cookie	テーマ・言語などの設定を記憶	訪問のたびに設定がリセット
   分析Cookie	訪問経路、機能の利用統計	サービス利用に影響なし

4. 設置・運用を拒否する方法 — ウェブブラウザの設定で、Cookieの保存を拒否または削除できます。
   • Chrome：設定 > プライバシーとセキュリティ > サードパーティCookie
   • Safari：設定 > プライバシー > すべてのCookieをブロック
   • Edge：設定 > Cookieとサイトのアクセス許可 > Cookieとサイトデータの管理
   • モバイルアプリ：アプリの設定 > 個人情報 > 利用統計の収集をオフ

12. 行動情報の収集・利用・提供および拒否

会社は、サービス利用の過程で情報主体に最適化されたターゲティング広告を提供するための行動情報を収集せず、第三者の広告事業者がサービス内で行動情報を収集することも許可しません。今後ターゲティング広告を導入する場合は、事前に本ポリシーを改定し、別途同意を得ます。

会社がサービス内で提供する学習のおすすめ（復習タイミングの通知、苦手な概念のおすすめなど）は、会員の学習記録のみを利用してサービス内部で処理され、外部には提供されません。

13. 仮名情報の処理

会社は、統計の作成、科学的研究（サービス品質改善の研究を含む）、公益的記録の保存のため、「個人情報保護法」第28条の2に基づき、情報主体の同意なしに個人情報を仮名処理することがあります。この場合、学習資料の原文は仮名処理の対象から除外し、仮名情報は追加情報と分離して保管してアクセス権限を制限し、処理記録を作成・保管します。仮名情報を第三者に提供または結合する場合は、処理の目的、項目、期間などを本ポリシーで公開します。現在、第三者提供または結合は行っていません。

14. 個人情報保護責任者

会社は、個人情報の処理に関する業務を総括して責任を負い、個人情報の処理に関連する情報主体の苦情処理および被害救済などのため、以下のとおり個人情報保護責任者を指定しています。

情報主体は、サービスの利用中に生じた個人情報保護に関するすべてのお問い合わせ、苦情処理、被害救済などについて、個人情報保護責任者にお問い合わせいただけます。会社は遅滞なく回答・対応します。

15. 個人情報の閲覧請求を受け付け・処理する部署

情報主体は、「個人情報保護法」第35条に基づく個人情報の閲覧請求を下記の部署に行うことができます。会社は、情報主体の閲覧請求が迅速に処理されるよう努めます。

16. 情報主体の権利侵害に対する救済方法

情報主体は、個人情報侵害による救済を受けるため、個人情報紛争調停委員会、韓国インターネット振興院（KISA）個人情報侵害申告センターなどに紛争解決や相談などを申請できます。そのほか、個人情報侵害の申告・相談については、以下の機関にお問い合わせください。

「個人情報保護法」第35条（個人情報の閲覧）、第36条（個人情報の訂正・削除）、第37条（個人情報の処理停止等）の規定による要求に対し、公共機関の長が行った処分または不作為により権利または利益の侵害を受けた者は、行政審判法の定めるところにより行政審判を請求できます（中央行政審判委員会 110、www.simpan.go.kr）。

17. プライバシーポリシーの変更

本プライバシーポリシーは2026年10月12日から適用されます。内容の追加、削除および修正がある場合は、施行の7日前（収集項目の追加、第三者提供・国外移転の変更などの重要な変更は30日前）から、サービスのお知らせおよびメールでお知らせします。