プライバシーポリシー

本ポリシーは、OTPRun のウェブサイト、ウェブダッシュボード、HTTP API および MCP サーバー（以下総称して「本サービス」）に適用されます。OTPRun は、事業者が自社のユーザーに WhatsApp および Telegram のメッセージやワンタイム認証コードを送信できるサービスです。

本サービスには、2 種類の人が関わります。「顧客」とは、アカウントを作成する事業者および開発者をいいます。「受信者」とは、顧客が OTPRun を通じて送信したメッセージを受け取る人をいいます。本ポリシーは、その双方に関するデータを対象とします。

本サービスは OTPRun（以下「当社」）が運営しています。顧客のアカウントデータについては、当社がその処理の方法と目的を決定し、データ管理者としての役割を担います。

受信者の電話番号とメッセージの内容については、何を誰に送信するかを顧客が決定します。これらのデータの管理者は顧客であり、当社は、メッセージの配信と履歴の表示のためにのみ、顧客に代わってこれを処理します。メッセージを受け取り、その内容についてご質問がある場合は、まず送信元の事業者にお問い合わせください。当社も可能な範囲でお手伝いします。

当社は、本サービスの運営に必要なデータのみを処理します。

• アカウントデータ：お客様の氏名、メールアドレスおよびパスワード。パスワードはハッシュ値としてのみ保存され、読み取り可能な形式で保存されることはありません。
• ワークスペースおよびプロジェクトの設定（チームメンバーとその役割を含みます）。
• API キー。当社は各キーのハッシュ値のみを保存します。キーの全体は作成時に一度だけ表示されます。
• 受信者の電話番号、メッセージ本文、および配信ステータス（送信済み、配信済み、既読、失敗など）。
• お客様が OTPRun にリンクした WhatsApp 番号で受信したメッセージ。
• 保存またはインポートした連絡先：名前、電話番号、別名、メモ。連携した WhatsApp 番号のアドレス帳からインポートした名前を含みます。
• 認証の記録：受信者、チャネル、ステータスおよび日時。認証コードは平文では一切保存されず、ハッシュ値としてのみ保存されます。
• お客様の番号の接続を維持するための WhatsApp リンク済みデバイスのセッションキー（該当する場合は暗号化して保存）。
• Telegram ボットトークンなどのチャネル認証情報（AES-256-GCM で暗号化）。
• 技術ログ：IP アドレス、クエリ文字列を除いたリクエストパス、およびユーザーエージェント。

当社は、次の目的のためにのみデータを利用します。

• 本サービスを提供し、お客様のアカウントを正常に維持するため
• お客様のメッセージおよび認証コードを配信し、そのステータスと履歴を表示するため
• 本サービスの安全を確保し、不正行為、スパムその他の濫用を防止するため
• 有料プランの請求処理を行うため
• お客様からのサポートのお問い合わせに対応するため

当社は、個人データを販売せず、広告を表示せず、メッセージの内容を配信およびお客様への表示以外の目的で利用することはありません。

当社は、お客様との契約の履行、法的義務の遵守、および本サービスの安全を確保し濫用を防止するという当社の正当な利益に基づいてデータを処理します。

当社は、本サービスの提供に必要な相手方に対してのみデータを共有します。

• WhatsApp（Meta）および Telegram：受信者へのメッセージの伝送を担います。WhatsApp のメッセージはお客様ご自身のリンク済みの番号から、Telegram のメッセージは @OTPRun_bot ボットを通じて送信されます。これらの事業者が処理するデータには、各社のプライバシーポリシーが適用されます。
• 当社のホスティング事業者であるカザフスタンの ps.kz クラウド：当社のサーバーとデータベースが稼働しています。
• 決済代行事業者：請求機能が有効な場合に、有料プランの支払いを受け付けるために利用します。
• お客様ご自身が接続したサードパーティアプリ：詳細は次の項目をご覧ください。

また、法令により求められる場合、たとえば裁判所や公的機関からの有効な命令に応じる場合には、データを開示することがあります。

お客様は、MCP サーバーを利用する場合などに、OAuth を通じてサードパーティアプリを OTPRun に接続できます。お客様が承認したアプリは、同意画面でお客様が選択したプロジェクトにのみアクセスできます。

接続済みアプリはダッシュボードで確認でき、いつでも接続を解除できます。解除後、そのアプリはお客様のデータにアクセスできなくなります。接続済みアプリが受け取ったデータをどのように取り扱うかについては、当該アプリの利用規約およびプライバシーポリシーが適用されます。

当社のサーバーはカザフスタンにあります。他の国から本サービスをご利用になる場合、お客様のデータはカザフスタンに移転され、同国で処理されます。お客様がメッセージを送信する際、WhatsApp または Telegram が各社の規約に基づき、他の国でこれを処理することがあります。

• 本サービスへの接続は HTTPS で暗号化されます。
• パスワード、API キーおよび認証コードは、ハッシュ値としてのみ保存されます。
• チャネル認証情報は AES-256-GCM で暗号化され、WhatsApp のセッションキーは該当する場合に暗号化して保存されます。
• 認証コードが当社のログに記録されることはなく、ログにはクエリ文字列も記録されません。

完全に安全なシステムは存在しません。お客様のデータに影響する侵害を当社が把握した場合は、不当に遅滞することなくお客様に通知します。

当社は、本サービスの運営と履歴の表示に必要な期間に限りデータを保存します。

• アカウントデータ：アカウントが存続する間
• メッセージの内容および配信記録：最長 90 日間
• 認証の記録：最長 30 日間
• 技術ログ：最長 30 日間

これらの期間が経過したデータは削除されます。お客様は、プロジェクト、リンク済みの番号またはアカウント全体をいつでも削除できます。アカウントを削除した場合、当社はそのデータを削除します。ただし、請求書類など、法令により保存が義務付けられている記録を除きます。

お住まいの地域に応じて、お客様には次の権利があります。

• 当社が保有するお客様の個人データにアクセスする権利
• 不正確なデータを訂正する権利
• データの削除を求める権利
• データをポータブルな形式で受け取る権利
• 特定の処理に異議を申し立て、またはその制限を求める権利

これらの多くはダッシュボードから直接行うことができます。それ以外のご請求については、アカウントのメールアドレスから当社までご連絡ください。30 日以内に回答します。受信者の方は、メッセージを送信した事業者に問い合わせることもできます。また、お客様には、居住地のデータ保護当局に苦情を申し立てる権利があります。

当社は、本サービスの動作に必要な Cookie のみを使用します。具体的には、ログイン状態の維持と、言語および表示設定の保存のためです。広告用 Cookie やクロスサイトトラッキング Cookie は使用しません。

OTPRun は事業者向けのサービスであり、お子様を対象としたものではありません。当社は、16 歳未満の方と知りながらアカウントを開設することはありません。

本サービスまたは法令の変更に伴い、当社は本ポリシーを更新することがあります。冒頭の施行日が現行版を示します。お客様のデータの取り扱いに重大な影響を及ぼす変更を行う場合は、変更の発効前に、メールまたはダッシュボードでお知らせします。

本ポリシーに関するご質問やお客様のデータに関するご請求は、support@otprun.com までご連絡ください。