プライバシーポリシー

責任者

Sonarは現在、usesonarnow.comで運用しているチームが運営する招待制のサービスであり、ここに記載する個人データについてはこのチームが責任を負います。法人名と専用のプライバシー窓口は、Sonarを一般に提供する前にこのページに記載します。それまでは、プライバシーに関するご依頼はあなたを招待した人を通じてお送りください。その人がチームに直接連絡できます。

アカウントとワークスペースのデータ

サインイン時には、あなたのメールアドレスと、認証プロバイダーがそのアドレスに送信する1回限りのサインインリンクを処理します。オーナーとオペレーターについては、第2要素（TOTP）の登録情報も処理します。ワークスペース名、メンバーシップとロール、追加したビジネスとウェブサイトのホスト、そして市場、言語、競合など入力したビジネスプロフィールを保存します。

ウェブサイトと検索のデータ

• クロール結果：SonarBotと名乗るSonarのクローラーが、接続されたサイトの公開ページを取得し、そこから導いたチェック、スコア、ページ情報を保存します。
• Googleアカウント（任意）：選択したサイトについて、Search Consoleの日次パフォーマンス（検索クエリ、ページ、クリック数、表示回数、平均掲載順位）、Google Analytics 4のレポート、ビジネスプロフィールの拠点、Merchant Centerの商品。アクセスは読み取り専用ですが、依頼があった場合に限り、SonarがドメインのSearch Console所有権確認を追加します。アクセストークンは暗号化して保存します。
• Bing AI Performance：アップロードしたCSVファイルの行と、アップロードしたユーザーのID。
• エッジのトラフィック集計：Sonarのエッジワーカーを導入すると、既知のAIクローラーの訪問と既知のAIアシスタントからの参照を、ページのパスを伏せた形で日ごとに集計します。コンバージョン集計を有効にすると、AIアシスタント経由で訪れた訪問者のコンバージョンも、内部リンクに付与するアトリビューショントークンを使い、ランディングページごとの日次合計として集計します。訪問者のIPアドレス、完全なユーザーエージェント、クエリ文字列、完全なリファラー、注文IDは保存せず、AIクローラーやAIアシスタント以外からの訪問は記録に残りません。
• WordPressプラグイン：クローラーログにはIPアドレス、完全なユーザーエージェント、Cookieを保存しません。オプションの逆引きDNSチェックでは、IPアドレスのソルト付きハッシュを24時間保持し、ログの行は30日間保持します。
• メールボックスによるアウトリーチ（任意）：GmailまたはMicrosoft 365のメールボックスを接続すると、Sonarは送信専用の権限でそこからアウトリーチメールを送信し、メールボックスを読むことはできません。返信はSonarの返信用アドレスに届き、分類（配信停止の希望など）されたうえであなたに転送されます。そのために、連絡先となる人（公開ウェブページに掲載された氏名と仕事用メールアドレス）、送信したメッセージ、各返信の短い分類（本文ではありません）、恒久的な連絡禁止リストを保存します。
• 公開・ホスティングの接続（任意）：Vercel連携、GitHub、Shopify、Webflow、その他接続したCMSやDNSのプロバイダー。サイトの構成を読み取り、承認済みの変更を適用するために使います。また、クローラーの訪問記録を送るVercelまたはNetlifyのログドレインも対象です。クローラーのIPアドレスを含む場合がある訪問ごとの行は最長400日間保存し、日次の集計は保持します。

検索クエリ、ページのテキスト、アウトリーチの連絡先には、他の人の個人データが含まれることがあります。これらのデータについては、何を処理するかをあなたが決め、Sonarはサービスを提供する目的に限ってあなたに代わって処理します。

接続用の認証情報

WordPressのアプリケーションパスワードなど、サイト上で操作するためにSonarに提供する認証情報は、ワークスペースごとに別々のデータキーを用いてAES-GCMで暗号化されます。そのキーは、データベースではなくCloudflareのシークレットストレージに保管されたマスターキーでラップされ、マスターキーはバックアップに含まれません。

Google APIから得たデータ

SonarによるGoogle APIから受け取った情報の使用と移転は、Limited Useの要件を含むGoogle API Services User Data Policyに準拠します。Googleアカウントのデータは、あなたが有効にした機能の提供にのみ使用します。販売せず、広告にも汎用AIモデルの学習にも使用しません。Sonarの担当者がデータを読むのは、あなたの許可がある場合、セキュリティのため、または法律で求められる場合に限ります。

承認と監査証跡

Sonarは、各変更を誰が承認、却下、ロールバックしたか、およびその理由を記録します。監査ログは追記専用で、エントリーを編集または削除することはできず、ワークスペースを閉鎖しても保持されます（下記参照）。

無料スキャンとレポートのリクエスト

無料スキャンでは、スキャンしたホスト、日付、使用した言語を、参考レポートとともに保存します。これは特定の個人とは紐付けられません。IPアドレスは、1つのネットワークが開始できるスキャン数を制限するための一方向ハッシュとしてのみ使用され、保存されません。

レポートのメール送信を依頼された場合、メールアドレス、スキャンしたホスト、言語、同意した日時、表示された同意文のバージョンを保存します。これらはそのレポートと、ときどきのSonarに関するお知らせを送るためにのみ使用します。「責任者」に記載の窓口から、いつでも削除を依頼できます。

Cookieとブラウザーストレージ

Sonarが設定するファーストパーティCookieは4つで、いずれもSameSite=Lax、httpsではSecureです。サインイン後：sonar_sessionはサインイントークンを1時間保持し、sonar_refreshはそれを最大30日間更新し、sonar_wsは選択したワークスペースを30日間記憶します。この3つはHttpOnlyです。sonar_langはインターフェースの言語を1年間記憶し、言語を選んでページを開いたときには、サインインしていない訪問者にも設定されます。テーマの選択はブラウザーのローカルストレージに保存されます。Sonarは分析、広告、トラッキング用のCookieやスクリプトを使用しません。サイトのフォントはGoogle Fontsから読み込むため、取得時にブラウザーのIPアドレスがGoogleに送信されます。

サービスプロバイダー

• Supabase：データベース、サインインリンク、2要素認証の確認。ap-south-1リージョン（インド・ムンバイ）でホストされています。Bing Webmaster APIへの呼び出しはSupabaseの関数を経由します。
• Cloudflare：このウェブサイトとSonarのバックエンドのホスティング（WorkersとWorkflows）、ファイル保存とバックアップ（R2）、レート制限、クロール用のブラウザーレンダリング、テキスト埋め込み（Workers AI）、任意のエッジワーカー用のカスタムホスト名、DNS検索、そしてAIプロバイダーへのすべての呼び出しが経由するAI Gateway。AI Gatewayはプロンプトと回答のログを保持します。
• OpenAI、Google（Gemini）、Perplexity、Anthropic（Claude、OpenRouter経由）：AIアシスタントがあなたのサイトをどれだけ引用するかを測る、カテゴリーとブランドのプロンプトに回答します。これらのプロンプトには、あなたのビジネス名とカテゴリーが含まれることがあります。
• Google（Gemini）とOpenRouter（OpenAIとAnthropicのモデル）：コンテンツの下書きを作成し、その品質を確認します。リクエストには、ページのアドレス・タイトル・本文、ブランド名、あなたが提供した事実、競合、出典の抜粋が含まれることがあります。
• Google Search Console、Google Analytics、ビジネスプロフィール、Merchant Center、YouTube Data、PageSpeed Insights、Chrome UX ReportのAPI、Bing Webmaster API、IndexNow：サイトの検索・パフォーマンスデータを読み取り、変更したページを検索エンジンに知らせるために使います。
• DataForSEOとBright Data：Sonarがあなたのサイトのために追跡するクエリとドメインについて、検索結果、AI OverviewsとAI Modeの回答、キーワードの検索ボリューム、被リンクのデータを取得します。リクエストに含まれるのはキーワード、ドメイン、市場であり、あなたに関するデータは含みません。
• Google（Gmail）とMicrosoft（Microsoft 365）：アウトリーチ用にメールボックスを接続した場合のみで、送信の権限だけを使います。Resend：Sonar自身が送るメール（運用アラートなど）を配信し、アウトリーチメールへの返信を受け取ってあなたに転送します。
• Vercel、Netlify、GitHub、Shopify、Webflow、その他の公開・ホスティング・DNSのプロバイダー：接続したものだけを、サイト構成の読み取り、ログドレインの受信、承認済み変更の適用に使います。Vercelはこのウェブサイトをホストすることもできますが、現在はこのアドレスへのリダイレクトのみを行っています。
• SlackとMicrosoft Teams：ワークスペースのオーナーがWebhookを追加した場合のみ、Sonarがそのワークスペースの通知を投稿します。
• Google Fonts：このウェブサイトのフォントを配信します。ブラウザーはGoogleから直接フォントを取得します。
• Telegram：Sonarチーム向けの運用メッセージにのみ使用します。

データの保存期間

データベースのバックアップは毎週エクスポートし、日次の差分エクスポートも行い、90日後に削除します。Cloudflareはワークフロー実行履歴を7日間保持し、エラーログは最長30日間保存します。週1回のジョブで、運用イベントは180日後、クローラーの訪問ごとの行は400日後、検索順位の行は730日後、エッジトラフィックの生ファイルと古いスキャン文書は90日後、証拠として保存したページのスナップショットは400日後に削除します。スコア、AI回答の計測結果、費用の記録、監査ログはワークスペースが存在する間保持し、監査ログは以下に記載のとおりさらに長く保持します。無料スキャンのレポート依頼は、削除を依頼されるまで保持します。

サイトの接続解除とワークスペースの閉鎖

サイトの接続を解除すると、Sonarはそのサイトのすべての自動化を停止し、そのサイト用に保存した認証情報を直ちに削除します。サイトの測定履歴と監査証跡は、ワークスペースが存在する間は保持されます。

オーナーがワークスペースを閉鎖すると、すべての自動化が停止し、保存されている認証情報はすべて直ちに削除されます。また、Sonarはワークスペースのデータを、オーナーがダウンロードできるJSONファイルとしてエクスポートします。30日後に、ワークスペースのデータとエクスポートは削除されます。データベースのバックアップ内のコピーは、バックアップ自体とともに期限切れになります。

承認、変更、アカウント操作の監査ログは、ワークスペースを閉じても削除されません。法令上および会計上の保存義務を満たすため、証拠として少なくとも4年間保持します。

データの処理場所

データベースはインド（Supabaseのap-south-1リージョン）でホストされています。Cloudflareおよび上記のプロバイダーは、あなたの国の外にある場合もある自社のネットワーク上でデータを処理します。現在、EU域内にデータを保管するオプションはありません。これらの移転に関する保護措置は、法務レビューの後にここに記載します。

あなたの選択肢と権利

「責任者」に記載の窓口から、データのコピー、訂正、削除を依頼できます。ワークスペースのオーナーは、設定からワークスペースのデータをエクスポートしたり、ワークスペースを閉じたりすることもできます。あなたに適用される法律が定める期間内に回答します。

本ポリシーの変更

変更はこのページで公開し、重要な変更については、効力を生じる前にサインイン中のユーザーにお知らせします。