プライバシーポリシー

Visual PDFは、預かるデータをできるだけ少なくする方針で作られています。このページでは、何を、なぜ、どれだけの期間集めるのか、そしてそれに対してどのような権利があるのかを、平易な言葉で説明します。

最終更新日： 2026年10月31日

データの管理者

データの管理者は、Emmanuel Jégo EI（フランスの個人事業主、entrepreneur individuel）です。所在地は26 B rue Émile Bernard, 35700 Rennes, Franceで、フランスの全国企業登録簿（RNE）に登録しています（SIREN 850 238 825）。

データについてのお問い合わせは、contact@visualpdf.com宛にお送りください。運営者の詳細は運営者情報のページに記載しています。

ツール、アカウント、ワークスペース、請求の記録、セキュリティについては、運営者が管理者です。Premiumの支払いは、Stripeの関連会社であるSold through Link, LLCが記録上の販売者（merchant of record）として扱います。LinkとStripeは、それぞれが集める支払いデータについて独立した管理者です。

運営者情報

要点

まず押さえておいていただきたい点です。

ほとんどのツールはブラウザの中で動くため、そのファイルは外部に送信されません。例外はWord、Excel、PowerPointの変換ツールで、下記のとおりサーバーを使います。
ツールはアカウントなしで使えます。アカウントが必要なのは、Premiumの購入、署名や透かしの保存、ワークスペースへの参加のときだけです。
アクセス解析は自社で運用しており、クッキーを使わず、サイトをまたいで利用者を追跡することもできません。
広告は表示せず、広告目的でデータを販売したり提供したりすることもありません。
支払いはStripeを通じて行われます。カード番号を運営者が見ることも、保存することもありません。
1回のタスクのために送られたデータ（フィードバックのメッセージ、Office変換のために送られたファイル）は、決められた期間で削除します。アカウントを作成した場合、そのデータはアカウントを削除するまで残ります。アカウントの削除は、アカウントのページから自分で行えます。

プライバシー・バイ・デザインの仕組み

ブラウザ内で処理されるファイル

ブラウザで動くツール（結合、分割、圧縮、署名、透かし、トリミングなど、Office変換以外のすべて）を使うとき、処理はすべてお使いの端末の中で行われます。ファイルが送信されることはないため、運営者がその内容を見ることも、保存することも、解析することもできません。アクセス解析がファイルについて知るのは、ファイルの数、合計サイズ、ツールが変更したページ数などの件数だけです（「アクセス解析」を参照）。

それでも、これらのツールからサーバーに届くものが2つあります。匿名の利用イベント（「アクセス解析」を参照）と、Premiumのアカウントに保存すると決めた署名や透かしです。後者は、下記のとおり暗号化して保存します。作業中の文書がどちらかに含まれることはありません。

OfficeファイルのPDF変換

Word、Excel、PowerPointのファイルをPDFに変換するには、現時点ではブラウザ内で動かせないソフトウェアが必要なため、この3つのツールはサーバーを使います。ファイルは次のように扱われます。

ファイルは暗号化された通信でサーバーに送られ、サーバーが変換のためにMicrosoft（OneDrive）へ転送します。
Microsoftに送った複製は変換の直後に削除し、残ったものがあっても自動処理が75分以内に取り除きます。削除は完全なもので、ファイルはOneDriveのごみ箱を経由しないため、その後Microsoftの手元に複製は残りません。
変換後のPDFは、ダウンロードできるようストレージ（Cloudflare R2）に置き、作成からおよそ1時間後（最長75分）に自動的に削除します。念のため、1日で消えるストレージ側の規則も併用しています。
ダウンロード用のリンクは、変換の完了から30分で無効になります。
進行状況を表示し、ダウンロードするファイルに名前を付けるため、ファイル名を変換ジョブと一緒に保存します。ジョブは、ログインしているかどうかにかかわらず、作成から24時間後に削除します。ログインしている場合は、それまでのあいだジョブがアカウントにも結びつけられます。
Premiumの会員には、1日あたりの変換枠があります。その日に変換したバイト数とファイル数のカウンターを、アカウントに結びつけて最長でおよそ3日間保存します。
文書の中身を読むことはなく、サーバーのログにファイル名を書き込むコードもありません。
ファイルとその名前を取り扱うのは、依頼された変換を行うためだけです。法的根拠は利用者との契約です（GDPR（一般データ保護規則）第6条第1項(b)）。

アカウント

アカウントは任意です。Premiumの購入、署名と透かしの保存、ワークスペースへの参加に必要になります。ログインはGoogleか、メールで届くリンクで行います。パスワードはありません。アカウントの作成にはメールアドレスが必要です。メールアドレスがないとログインできませんが、無料のツールはアカウントなしで使えます。表示名は任意です。

アカウントのデータは、ログインのため、そして登録や購入をした内容を提供するために使います。法的根拠は利用者との契約です（第6条第1項(b)）。アカウントは削除されるまで残ります。使われていないアカウントを閉じることはありません。

ログインセッションの記録は、その端末でログアウトするか、セッションの期限が切れるか、アカウントを削除するまでデータベース（Cloudflare D1）に残ります。キャッシュされた複製（Cloudflare KV）は、セッションと同時に期限切れになります。期限切れのセッションは、期限から15分以内に削除します。ログイン時に確認したIPアドレスとブラウザの識別文字列は、不正利用やアカウントの乗っ取りを調べるために保存します。法的根拠は運営者の正当な利益です（第6条第1項(f)）。

アカウントに保存される内容は次のとおりです。

メールアドレスと、その確認が済んでいるかどうか。
表示名。Googleでログインした場合はGoogleから受け取ります。アカウントのページで変更できます（1〜100文字）。
最後にログインしたとき、またはログイン中に言語を切り替えたときのサイトの言語。運営者からのメールはこの言語で送ります。ただしログインリンクのメールは、リンクを求めたページの言語に従います。Stripeの支払いページとメールでも使えるよう、Stripeにも送ります。
Googleでログインした場合：GoogleアカウントのID、Googleのプロフィール写真のアドレス、Googleが返すアクセストークン、リフレッシュトークン、IDトークン。Googleに求めるのは基本的なプロフィールとメールアドレスだけ（「openid」「email」「profile」のスコープ）なので、これらのトークンでGoogleドライブやGmailなど、ほかのGoogleのデータにはアクセスできません。トークンはアカウントを削除するまで保存します。
ログインセッション。各セッションには、ランダムなトークン、ログイン時に確認したIPアドレスとブラウザの識別文字列、開始日時と有効期限が含まれます。セッションは7日間有効で、サイトを使っているあいだは自動的に延長されます。
ログインリンクを求めたとき：入力したメールアドレス。保留中のリクエストとして保存し、リンクが使われた時点で削除します。使われなかった場合も、ログインを最後まで済ませなかった場合も、25分以内に削除します。リンク自体の有効期間は10分です。
Premiumの状態、ワークスペースのメンバーシップ、保存したアイテム。詳しくは以下の各セクションで説明します。

アカウントの削除

アカウントは自分で削除できます。アカウントを開き、「アカウント」で「アカウントを削除」を使ってください。安全のため、削除には24時間以内のログインが必要です。それより前のログインであれば、先にもう一度ログインしていただきます。

サブスクリプションが続いているワークスペースを所有しているあいだは、削除できません。サブスクリプションを終了するか、「チーム」のページでワークスペースをメンバーに譲ってから、アカウントを削除してください。

削除すると、アカウント、セッション、Googleのトークン、保存した署名と透かし、変換ジョブ、Premium 1週間パスの記録、所有しているワークスペースがすぐに消去されます。そのワークスペースのメンバーには、閉鎖されたことをメールでお知らせします。

削除後も、次のものは残ります。

Stripeにある支払い、請求書、注文の記録。Visual PDFのアカウントを削除しても、これらには及びません（「Premiumの支払い」を参照）。
ほかのワークスペースから届いた招待に含まれるメールアドレス（招待の期限切れから30日後まで）と、そのワークスペースのアクティビティログに含まれるメールアドレス（各記録から30日間）。
短期間だけ残るカウンターとファイル：ハッシュ化したログイン用メールのカウンター（約35分）、変換後のファイル（75分）、ダウンロード用リンク（変換の完了から30分）、1日あたりの変換カウンター（最長でおよそ3日）。レート制限のカウンターは、運営者ではなくCloudflareが保持しています。
Premium 1週間パスの購入ごとに、購入とその終了日を記録した1行。この行は、もう本人を指しません。
サーバーの技術ログ（7日間）。
データベースの復元ポイント。ホスティング事業者が30日間保持します（Cloudflare D1のTime Travel）。使うのは障害から復旧するときだけです。

ワークスペースとチーム

どのアカウントにも、専用のワークスペースが1つあります。Premiumのサブスクリプションがあれば、オーナーは招待によってほかの人とPremiumを共有できます。1人につき1ライセンスです。

ほかの人を招待するとき、オーナーはその人のメールアドレスを入力します。運営者がアドレスを得るのはここからです。アドレスは招待に保存し、ワークスペース名と招待した人の名前（名前を設定していない場合はメールアドレス）をその人にメールで送ります。メールの言語は、そのアドレスにすでにアカウントがあればそのアカウントの言語、なければ招待した人の言語です。招待リンクを持っている人は誰でも、ワークスペース名、オーナーのファーストネーム、招待した人の名前、招待されたアドレスの一部を伏せた表示を見られます。オーナーや招待した人が名前を設定していない場合は、メールアドレスの@より前の部分を代わりに使います。ワークスペースの既定の名前も同じ方法で作ります。

招待は7日で期限が切れ、その30日後に削除します。ワークスペースのアクティビティログは、招待したアドレスを30日間保持します。その後、記録はアドレスなしで残ります。

ワークスペースのデータは、利用者や組織が申し込んだサービスを提供するために取り扱い（契約、第6条第1項(b)）、ワークスペースが閉じられるまで保存します。招待されたもののまだアカウントのない人と、アクティビティログが30日間保持する招待アドレスについては、招待を届け、誰にアクセス権を与えたかを記録しておくという、運営者とワークスペースのオーナーの正当な利益が法的根拠です（第6条第1項(f)）。ワークスペースが閉じられるのは、オーナーがアカウントを削除したときだけです。メンバーがアカウントを削除すると、アクティビティログの記録はその人を指さなくなります。ただし招待に記録されたアドレスは、招待の作成から30日が経つまで残ります。

組織がスタッフのためにワークスペースを運営する場合、メンバーのデータの利用についてはその組織が責任を負います。法人の利用者は、contact@visualpdf.com宛にデータ処理契約（DPA）を求めることができます。

ワークスペースの中で誰が何を見られるかは、次のとおりです。

メンバーは全員、ほかのメンバーの名前、メールアドレス、役割、参加した日時を見られます。
メンバーは全員、ワークスペース名、オーナーのファーストネーム（名前がない場合はメールアドレスの@より前の部分）、ライセンス数、更新日も見られます。ワークスペースに共有された署名と透かしも、作成者の名前とともに表示されます。
オーナーはさらに、保留中の招待（メールアドレスと有効期限）とアクティビティログを見られます。アクティビティログには、招待、参加、退出、メンバーの削除、ライセンス数とプランの変更、名前の変更、共有されたアイテム、支払いの失敗、オーナーの譲渡が、関係した人の名前（名前がない場合はメールアドレス）とともに記録されます。
オーナーを含め、ワークスペースの誰も、文書、変換、共有していない保存アイテム、セッション、IPアドレスを見ることはできません。
メンバーを外すか、自分から退出すると、ワークスペースへのアクセスが終わり、そのメンバーがワークスペースに共有したアイテムも削除されます。その人自身のアカウントは削除されません。

保存した署名と透かし

Premiumでは、署名と透かしをアカウントに保存できます。保存するかどうかは、常に自分で選べます。テキストの透かし（文字、色、フォント、不透明度）、入力した署名、手書きの署名はデータベース（Cloudflare D1）に保存します。手書きの署名はペンの軌跡として保存し、書いた時間の情報や筆圧は含みません。透かしの画像（最大1MB）はファイルストレージ（Cloudflare R2）に保存します。保存できるのは、署名10件、透かし20件までです。

すべて、利用者ごとの鍵（AES-256）で暗号化し、その鍵自体もサーバーの鍵で保護しています。これは保存時の暗号化で、エンドツーエンドの暗号化ではありません。アイテムを本人や共有先のワークスペースに送るたびに、サーバーが復号します。データベースやストレージからこれらのアイテムの複製を持ち出しても、サーバーの鍵がなければ読めません。

ライセンスが2つ以上あるワークスペースには、アイテムを共有できます。共有したアイテムは、作成者と閲覧するメンバーがともにワークスペースに所属し、サブスクリプションが続いているあいだ、作成者の名前とともに表示されます。オーナーは、自分のワークスペースからアイテムを外せます。ワークスペースから退出するか外されると、そのワークスペースへの共有は削除されます。

Premiumが終了しても、アイテムの表示、ダウンロード、削除はできます。ただし新しく作成したり編集したりはできず、共有したアイテムも表示されなくなります。

アイテムは、そのアイテムかアカウントを削除するまで残ります。アイテムを削除すると、そのアイテムと画像がすぐに消えます。アカウントを削除すると、まず利用者の鍵を破棄し、次に画像、最後に記録を削除します。30日間保持されるデータベースの復元ポイントには、暗号化された複製が、保護された鍵とともに残っている場合があります。これを使うのは障害から復旧するときだけです。法的根拠は利用者との契約です（第6条第1項(b)）。

Premiumの支払い

Premiumは、Stripe Managed Paymentsを通じて販売しています。記録上の販売者は、Stripeの関連会社であるSold through Link, LLCです。代金を受け取り、付加価値税（VAT）を計算し、領収書と請求書を送るのはこの会社です。カード、請求先住所、税番号（ある場合）は、Stripe自身のページで入力します。カード番号を運営者が見ることも保存することもなく、Stripeのスクリプトがこちらのページで動くこともありません。

StripeとLinkは、それぞれが集める支払いデータについて独立した管理者です。データは各社のプライバシーポリシーと法的義務に従って保管され、Visual PDFのアカウントを削除しても消えません。Linkにデータの削除を求めると、StripeはLinkを通じて購入したPremiumのサブスクリプションを解約し、運営者のStripeアカウントからデータを削除します。

Stripeに送るもの。サブスクリプションの場合は、ワークスペース名、オーナーのメールアドレス、ワークスペースの識別子と、オーナーの譲渡後は新しいオーナーのメールアドレス。Premium 1週間パスの場合は、メールアドレス、名前、アカウントの識別子。どの場合も、該当する人のアカウントに設定された言語もあわせて送ります。

Stripeから共有されるもの。Linkの規約にもとづき、Stripeは運営者のStripeアカウントで注文データを参照できるようにします。名前、メールアドレス、電話番号、請求先住所、税番号（入力した場合）、支払い情報（カード番号の全体は含みません）、購入した内容です。これはサポートと会計のために使います。下記の識別子を除き、運営者のシステムがこのデータを複製することはありません。

運営者のデータベースに保存するもの。Stripeの顧客ID。サブスクリプションについては、プラン、状態、ライセンス数、月額か年額か、現在の請求期間、解約や試用期間に関する日付を、ワークスペースがあるかぎり保存します。予約されたライセンス数の削減は、適用から30日後まで保存します。Premium 1週間パスについては、Stripeのチェックアウトと支払いの識別子、開始日と終了日を保存し、パスの終了から30日後に削除します。パスを購入すると、社内のアクティビティログにも、パスの終了日を記した1行が残ります。この行に期限はありません。アカウントを削除した後も残りますが、もう本人を指しません。

法的根拠は次のとおりです。Premiumを提供するための利用者との契約（第6条第1項(b)）、サポートの依頼、返金、契約の撤回に対応するための運営者の正当な利益（第6条第1項(f)）、会計記録を保存する運営者の法的義務（第6条第1項(c)）。注文データは、Stripeが保持するかぎり運営者のStripeアカウントに残り、Linkにデータの削除を求めた場合は消去されます。

利用規約 Stripeのプライバシーポリシー Linkのプライバシーポリシー

運営者が送るメール

メールを送るのはサービスに必要なときだけで、宣伝のメールは送りません。法的根拠は利用者との契約です（第6条第1項(b)）。

送ったメールの複製をコードが残すことはありません。送信に失敗した場合は、配信事業者のエラーメッセージがサーバーのログに残ります。ログの保存期間は7日間です。

受信箱を大量のメールで埋める行為を防ぐため、アドレスごとに10分間に送ったメールの数を数えます。このカウンターはアドレスそのものではなくアドレスのハッシュで保存し、約35分以内に削除します。このハッシュは仮名化されたもので、匿名ではありません。アドレスをすでに知っている人なら、同じハッシュを計算できます。

領収書、請求書、支払いのリマインダーは、運営者ではなくLinkとStripeから届きます。

メールはnoreply@mail.visualpdf.comから、Cloudflare Email Sendingを通じて送られます。Cloudflareは宛先のアドレスとメールの内容を受け取ります。送るメールは次のとおりです。

ログインリンク（10分間有効）。
ワークスペースへの招待。オーナーが入力したアドレスに送ります。
ワークスペースのライセンスが外されたときのお知らせ。
支払いに失敗したときの、オーナーへのお知らせ。
ワークスペースを通じたPremiumが終了したときの、全メンバーへのお知らせ。
ワークスペースのオーナーが変わったときの、当事者2人へのお知らせ。相手の名前（名前を設定していない場合はメールアドレス）を記載します。
オーナーがアカウントを削除してワークスペースが閉鎖されたときの、メンバーへのお知らせ。
このポリシーや利用規約の重要な変更、サブスクリプション利用者に対する料金の変更、Premiumの内容が目に見えて悪くなる変更についての、適用の30日前のお知らせ。

ヘルプとフィードバックのフォーム

「ヘルプとフィードバック」フォームからメッセージを送ると、次の情報を受け取ります。選択した用件、メッセージ本文、返信用のメールアドレス、送信元のページ、表示言語、ブラウザの識別文字列、接続から判定した国（IPアドレス自体はメッセージと一緒に保存しません）、そして添付したファイルがあればそのファイルです。

これらのデータは、依頼を理解して回答するという目的にだけ使います。メッセージと添付ファイルは、対応の完了から30日後、遅くとも送信から12か月後に自動的に削除します。法的根拠は、連絡をくれた人に回答し、サービスを改善するという運営者の正当な利益です（第6条第1項(f)）。メッセージが購入やアカウントに関するものであれば、利用者との契約が法的根拠になります。

メッセージが届くと、運営チームにDiscordのチャンネルで通知が届きます。通知に含まれるのは、メッセージ番号、用件、言語、国、ページのアドレス、添付ファイルの名前とサイズです。メッセージ本文とメールアドレスはDiscordには送信されません。これらの通知は、運営者が削除するまでDiscordのチャンネルに残ります。

運営者宛のメール

contact@visualpdf.com宛にメールを送ると、メッセージとアドレスはドイツのIONOS SEにあるメールボックスに保存されます。使うのは回答のためだけです。法的根拠は運営者の正当な利益です（第6条第1項(f)）。購入、契約の撤回、アカウントに関する連絡であれば、利用者との契約が法的根拠になります。

これらのメールを自動で削除する仕組みはありません。回答と、返金や紛争などその後の対応に必要なあいだ保管し、その後に手作業で削除します。

ツールの評価

ツールを評価すると、ツール名、評価、コメントを書いた場合はその本文を保存します。それ以外は何も一緒に保存しません。ログインしていても、IPアドレスも識別子もアカウントも結びつけません。「このツールは評価済み」という印は、お使いのブラウザの中にだけ残ります。これとは別に、アクセス解析はツールが評価されたことを評価の値とともに記録しますが、コメントは含みません（「アクセス解析」を参照）。

評価は匿名のため、製品の統計として期限を定めずに保管します。コメントに個人が特定できる情報は書かないでください。誰が書いたものか分からないため、後から本人と結びつけて削除することができません。

アクセス解析

サイトの使われ方は、オープンソースでクッキーを使わない解析ツールRybbitで測定しています。フランス国内のサーバー（OVH）で自社運用しており、広告ネットワークに何かを渡すことも、利用者のプロフィールを作ることもありません。

記録するのは、閲覧されたページ（完全なアドレス。招待リンクを開いた場合はそのリンクも含みます）、参照元のサイト、ブラウザとOSの種類、画面サイズ、国と地域です。IPアドレスは訪問した時点で国と地域を判定するために使い、その後は破棄します。訪問記録と一緒に保存されることはありません。訪問を数えるため、RybbitはIPアドレスとブラウザの識別文字列から算出した仮名の識別子で訪問同士を結びつけます。この識別子は日ごとに変わらないため、同じIPアドレスとブラウザからの訪問は、どちらかが変わるまで時間をまたいで結びつけられます。招待リンクを開いた場合はそのアドレスも記録されるため、その1回の訪問が招待と結びつく可能性があります。Office変換が失敗したときは、イベントに変換のリクエスト番号が含まれます。そのため、サーバーのログを保存している7日間は、イベントをそのリクエストと照合できます。

不具合を直せるよう、ツールの使われ方に関するイベントも記録します。ツールを開いた、完了した、止まった、失敗した（短く切り詰めた技術的なエラーメッセージまたはエラーコード付き）、ファイルの数と合計サイズ、選んだオプション、結果の件数（変更されたページ数や見つかった画像の数など）、結果をダウンロードした方法、アプリ内ブラウザの外でページを開くよう案内したかどうかです。フィードバックのメッセージを送ったこと（用件と、ファイルを添付したかどうか）や、ツールを評価したこと（ツールと評価の値）も記録しますが、メッセージ本文、コメント、メールアドレスは記録しません。

アカウントとPremiumについては、次の段階を記録します。ログインの開始、完了、失敗（方法と、新規か既存のアカウントか）、ログアウト、アカウントの削除、無料プランの上限への到達、Premiumの案内の表示とその理由、決済の開始（プラン、ライセンス数、月額か年額か）と完了、ライセンス数の変更、解約、招待の送信・承諾・辞退、メンバーの削除、オーナーの譲渡です。これらのイベントには、名前、メールアドレス、アカウントの識別子は含まれません。

解析のイベントは最長24か月保管し、その後削除します。

この取扱いは、サービスを把握し改善するという運営者の正当な利益にもとづいています。フランスのCNILが定めるアクセス測定の適用除外の範囲に収まるよう設定しており、同意バナーが必要ないのはそのためです。

セキュリティと不正利用の防止

これらの対策は、サービスを使える状態に保ち、アカウントを守るという運営者の正当な利益にもとづいています（第6条第1項(f)）。

サービスとアカウントを守るため、次の仕組みを使っています。そのいくつかはIPアドレスを処理します。

レート制限：IPアドレスごと、ログインしている場合はアカウントごとに、1分間の枠でリクエスト数を数えます。カウンターはCloudflareのレート制限サービスが保持するため、その保存期間はCloudflareが決めます。送信内容やメッセージと一緒に保存されることはありません。
Cloudflare Turnstile：フィードバックの送信、ツールの評価、ログインリンクの請求、PremiumなしでのOffice変換の開始時に動くボット対策の確認です。Cloudflareが運用しており、人間とボットを見分けるために、IPアドレス、ブラウザの識別文字列、接続の技術的な特徴、当サイトの識別子を処理します。Turnstileは広告用のクッキーを設置せず、サイトをまたいだ追跡に使われることもありません。Cloudflareがこのデータから利用者のプロフィールを作ることもありません。
ログイン用メールの上限：メールアドレスごとのカウンターで、アドレスのハッシュとして約35分間保存します（「運営者が送るメール」を参照）。
ログインセッションには、ログイン時に確認したIPアドレスとブラウザの識別文字列が保存されます（「アカウント」のセクションを参照）。
ログインリンクは、リンクのダイジェストを保存したクッキーを使い、リンクを求めたブラウザでしか機能しません。
サーバーのログ：ホスティング事業者のCloudflareは、サーバーが処理したリクエストの技術ログを記録します。ログには、要求されたアドレス、IPアドレス、ブラウザの識別文字列が含まれます。保存期間は7日間で、エラーの修正と不正利用の調査にだけ使います。コードがこのログに書き込むメッセージには、アカウント、ワークスペース、Stripeの識別子や、招待リンクとダウンロードリンクのアドレスが含まれることがありますが、メールアドレスやファイルの内容は含まれません。

Cloudflare Turnstileのプライバシーポリシー

Googleのサービス

Googleでログイン：この方法を選ぶと、Googleから名前、メールアドレス、そのアドレスが確認済みかどうか、プロフィール写真のアドレス、GoogleアカウントのIDを受け取ります。これらは、Googleが返すトークンとともに、「アカウント」のセクションで説明したとおり保存します。

プロフィール写真：Googleでログインした場合、アバターを表示するページでは、ブラウザがGoogleのサーバーから直接写真を読み込みます。そのため、Googleがホストするほかの画像と同じく、GoogleはIPアドレスとブラウザの識別文字列を受け取ります。

Googleドライブからの読み込み：Googleドライブからファイルを読み込む場合、やり取りはすべてブラウザとGoogleの間で完結し、運営者のサーバーは一切関与しません。許可する範囲は選んだファイルだけ（Googleの「drive.file」スコープ）で、一時的なアクセストークンはブラウザのローカルストレージにのみ保存されます。この機能はクリックしたときにだけ動きます。

Googleがこれらのデータをどう扱うかは、Google自身のプライバシーポリシーが定めています。

Googleのプライバシーポリシー

データの保存期間

1回のタスクに結びついたデータは、決められた期間で削除します。アカウントに結びついたデータは、そのデータ自体、アカウント、またはデータが属するワークスペースを削除するまで残ります。個別の期間は次のとおりです。

データ	保存期間
ブラウザ内のツールで処理されるファイル	外部に送信されません
Office変換：Microsoftに送った複製	変換後に完全に削除（残ったものも75分以内に自動削除）
Office変換：変換後のPDF	約1時間（最長75分。念のため1日のストレージ規則を併用）
Office変換：ダウンロード用リンク	変換の完了から30分
Office変換：ジョブとファイル名	24時間
1日あたりの変換カウンター（Premium）	最長でおよそ3日
フィードバックのメッセージ、メールアドレス、添付ファイル	対応完了から30日、最長12か月
Discordのフィードバック通知（ページのアドレス、ファイル名）	チャンネルから削除するまで
contact@visualpdf.com宛に送られたメール	依頼とその後の対応が済んだ後、手作業で削除するまで
レート制限のカウンター（IPアドレスまたはアカウント）	Cloudflareが保持（1分間の枠で集計）
サーバーの技術ログ（IPアドレス、ブラウザの識別文字列）	7日間
ツールの評価	期限を定めず保管（完全に匿名）
解析のイベント	最長24か月
アカウント（メールアドレス、名前、写真のアドレス、GoogleのID）	アカウントを削除するまで
Googleのログイン用トークン	アカウントを削除するまで（ほかに期限なし）
ログインセッション（IPアドレス、ブラウザの識別文字列）	ログアウト、セッションの期限切れ（7日間使わなかった場合）、アカウントの削除のいずれかまで。期限切れのセッションは15分以内に削除
保留中のログインリンク、またはGoogleログインの途中の段階	使われた時点で削除。使われなかった場合も25分以内に削除
ログイン用メールのカウンター（ハッシュ化したアドレス）	約35分
保存した署名と透かし	そのアイテムかアカウントを削除するまで
ワークスペース、メンバーシップ、サブスクリプションの記録	ワークスペースが閉じられるまで
ワークスペースのアクティビティログ	ワークスペースがあるかぎり。招待したメールアドレスは30日後にログから削除
ワークスペースへの招待	期限切れから30日後まで（招待の期限は7日）
Premium 1週間パスの記録	パスの終了から30日後まで
アクティビティログ内のPremium 1週間パス購入の行	期限なし。アカウントの削除後は本人と結びつかない
予約されたライセンス数の削減	適用から30日後まで
Stripeが保持する支払い、請求書、注文のデータ	Stripe自身のポリシーに従う。アカウントを削除しても消えない
運営者のStripeアカウントで参照できる注文データ	Stripeが保持するかぎり。Linkへの削除依頼で消去
データベースの復元ポイント	30日間

クッキーと第三者のコンテンツ

広告用のクッキーも、第三者による追跡用のクッキーも設置しません。クッキーバナーが出ないのはそのためです。

第三者のコンテンツは、必要な場所でだけブラウザに読み込まれます。対象のフォームとログインではCloudflare Turnstile、Googleでログインを使う場合はGoogleのログインページとプロフィール写真、ドライブの読み込みを開いたときはGoogleのスクリプト、Premiumを購入または管理するときは、こちらから案内するStripeの支払いと請求のページです。フォントはGoogle Fontsのサーバーではなく、自社のドメインから配信しています。

使っているクッキーはすべて厳密に必要なものなので、同意の対象外です。ログインせずに設置されるのは最初の1つだけで、ほかはログインの手続き中かログインしているあいだだけ存在します。

「i18n_redirected」：言語が選ばれるか判定された後、その言語の設定を覚えます。識別子は含まず、有効期間は1年です。
「__Secure-better-auth.session_token」：ログインセッションです。ページ上のスクリプトからは読めず、visualpdf.comとそのサブドメインで共有されます。有効期間は7日間で、サイトを使っているあいだは延長されます。
「vpdf_session」：セッションがあることをページに伝え、アカウントをすぐ表示できるようにします。値は1だけで、有効期間はセッションのクッキーと同じです。
「__Host-vpdf_ml」：ログインリンクを、それを求めたブラウザに結びつけます。リンク自体ではなくリンクのダイジェストを保存し、有効期間は10分です。
「__Secure-better-auth.state」：Googleでログインする手続きのあいだだけ使う、有効期間5分のセキュリティ用のクッキーです。

ローカルストレージ

いくつかの設定はブラウザのストレージに保存されます。読み取るのはこちらのページだけで、サーバーに送信されることはありません。

「vpdf_account」：お名前、メールアドレス、イニシャル、アバターの色、Googleの写真のアドレス、Premiumの状態。サーバーの応答を待たずにヘッダーとアカウントメニューにアカウントを表示するためのものです。アカウントの識別子は含まず、ログアウトするかアカウントを削除すると消去されます。
「vpdf_r7k」：無料プランで直近1時間に行ったタスクの数。
「vpdf_currency」：Premiumの料金を利用者の通貨での概算として表示するための通貨と為替レート。保存期間は24時間です。通貨は、Cloudflareが接続に付ける国をもとにサーバーが選び、サーバーには保存しません。
「nuxt-color-mode」：ライトテーマかダークテーマかの選択。
「visualpdf:ratings」：評価した、または評価を断ったツールと、最後に評価をたずねた日時。
「visualpdf:viewer-zoom」：エディタで使う表示倍率。
Googleドライブからの読み込みを使った場合：Googleの一時的なアクセストークン。
タブを閉じると空になるセッションストレージには、更新に失敗した後にページを復旧させるための印を1つ保存します。

委託先と提供先

データを販売したり、貸し出したり、広告目的で提供したりすることはありません。データを受け取るのは次の提供先だけで、それぞれ記載した目的に限られます。

Cloudflare, Inc.（アメリカ合衆国）：ホスティング、データベース、ファイルの保存、コンテンツ配信、サーバーのログ、セキュリティ（Turnstileを含む）、メールの配信。EUの標準契約条項を含むデータ処理契約（DPA）を締結しています。
Microsoft（アメリカ合衆国）：上記のとおり、Word、Excel、PowerPointの変換のみを行います。
OVH SAS（フランス）：自社運用のアクセス解析のホスティング。
Google（アメリカ合衆国）：Googleでログイン、それを使う場合のプロフィール写真、任意で使うGoogleドライブからの読み込み（ブラウザ内で動きます）。
Stripe（Sold through Link, LLCを含む、アメリカ合衆国）：Premiumの支払い、付加価値税（VAT）、領収書と請求書。記録上の販売者かつ独立した管理者として扱います。
Discord, Inc.（アメリカ合衆国）：運営チームへの社内通知。フィードバックのメッセージについては、番号、用件、言語、国、ページのアドレス、添付ファイルの名前とサイズ。メールの送信失敗については、エラーコードのみ。メッセージ本文やメールアドレスは含みません。
IONOS SE（ドイツ）：contact@visualpdf.com宛に送られたメールを保存します。
ほかの利用者：所属するワークスペースのメンバーと、招待した人は、「ワークスペースとチーム」のセクションで説明した内容を見られます。

国外へのデータ移転

一部の委託先は、アメリカ合衆国にあるか、同国でデータを処理する場合があります。Cloudflare（データベースとストレージをホスティング）、Microsoft、Google、Stripe、Discordです。これらの移転は、受領者が認証を受けている場合はEU-USデータプライバシーフレームワークに、それ以外の場合は欧州委員会の標準契約条項にもとづいています。これらの保護措置の写しは、contact@visualpdf.com宛に請求できます。

利用者の権利

GDPRにもとづき、保有している自分のデータについて、アクセス、訂正、消去、データポータビリティを求めることができ、取扱いに異議を述べたり、取扱いの制限を求めたりすることもできます。アカウントがある場合、その対象にはアカウント、ワークスペースのデータ、保存したアイテムが含まれます。

一部は自分で行えます。アカウントのページでの名前の変更、保存したアイテムの削除、アカウントの削除です（「アカウントの削除」を参照）。それ以外の依頼は、他のサービスに移せる形式でのアカウントデータの写しを含め、contact@visualpdf.com宛にご連絡ください。1か月以内に回答します。

異議を述べる権利：運営者の正当な利益にもとづく取扱い（アクセス解析、セキュリティ対策、セッションの記録、サーバーのログ）に対しては、自分の状況に関する理由から、いつでも異議を述べることができます。contact@visualpdf.com宛にご連絡ください。アクセス解析については、コンテンツブロッカーでwww.visualpdf.com/api/e/へのリクエストをブロックすれば、自分で止めることもできます。サイトはそのまま使えます。

支払いデータについては、StripeやLinkに直接連絡することもできます。両社のプライバシーポリシーへのリンクは「Premiumの支払い」のセクションにあります。

死後に自分のデータをどう扱うかについて、指示を残すこともできます（フランス情報処理・自由法（Loi Informatique et Libertés）第85条）。指示がない場合、アカウントは相続人から削除の依頼があるまで残ります。相続人は、死亡を証明する書類を添えてcontact@visualpdf.com宛に依頼できます。指名した人にデータを引き渡してよいかどうかも、同じアドレスでお伝えいただけます。

権利が尊重されていないと考える場合は、フランスのデータ保護監督機関であるCNIL（3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France、www.cnil.fr）に苦情を申し立てることができます。住んでいる国、働いている国、または侵害があったとされる国がEU加盟国であれば、その国の監督機関に申し立てることもできます。

プロファイリングと年齢制限

自動化された判断を行うことも、プロファイリングを行うこともありません。ツールにアカウントは不要で、一般の利用者に向けて提供しています。

アカウントを作成できるのは15歳以上の人です。購入は成人、または保護者の許可を得た未成年者に限ります。15歳未満の子どもから意図的にデータを集めることはありません。

このポリシーの変更

取り扱いが変わる場合は、変更が適用される前にこのページと「最終更新日」を更新します。アカウントの保有者に大きく影響する変更については、適用の30日前にメールでもお知らせします。