プライバシーポリシー

本ポリシーは SteamVaults(以下「当社」「本サービス」)が収集するデータ、その目的、利用者の権利を説明します。収集最小化の方針で設計されています。

1. 収集する情報#

Steam ログイン時に以下を取得します。

• SteamID64 — 公開 Steam アカウント番号。サービス内の識別子。
• ペルソナ名 — 公開 Steam プロフィール表示名。
• アバター URL — 公開プロフィール画像 URL。
• IP アドレスおよび User-Agent — 不正利用の防止とレート制限のため、ホスティングおよび不正利用防止のインフラで処理します。SteamVaults の利用者プロフィール、ファーストパーティ分析テーブル、アプリケーションログには保存しません。
• ウォレットアドレス — 出金時のみ。出金記録に紐付けて保管。
• 制裁スクリーニング結果 — 出金時に設定済みの公開オンチェーン制裁オラクルでウォレットアドレスを確認し、結果のステータスだけを記録します。現在、有料スクリーニング事業者のトランザクション ID は生成・保存していません。
• クッキー — 後述「クッキー」参照。

ホスティング事業者の Railway は、各 HTTP リクエストの送信元 IP アドレスと User-Agent を、別途エッジ HTTP ログに記録します。このインフラログは分析への同意の有無にかかわらず記録され、SteamVaults のアプリケーション分析ではありません。Railway のログ保持に関する文書によると、保持期間は Hobby/Trial で 7 日、Pro で 30 日、Enterprise で最大 90 日であり、実際の期間は現在の Railway ワークスペースプランに従います。

Steam にログインせず公開サポートフォームを利用する場合、選択した問い合わせ種別と入力した詳細、任意で提供した SteamID64 および Steam 取引 ID を収集します。このフォームにはメールアドレス、電話番号、住所の専用入力欄はなく、これらの情報を求めません。ただし、自由記入の詳細欄に入力したすべての文章は問い合わせとともに保存されます。連絡先情報、パスワード、秘密鍵、リカバリーフレーズ、Steam Guard コードは入力しないでください。リクエスト元の IP アドレスは、不正利用の防止とレート制限のため一時的に処理し、SteamVaults のアプリケーションログには保存しません。

公開サポート依頼ごとにアクセスコードを生成します。元のコードは一度だけ表示され、保存されません。保存するのは SHA-256 ハッシュのみです。その問い合わせの状況を確認するたびに同じコードを使用します。

2. 提出を求めない情報#

以下の情報について専用入力欄を設けず、提出も求めません。公開サポートの自由記入欄は全内容が問い合わせとともに保存されるため、そこにも入力しないでください。

• メールアドレス
• 電話番号
• 住所
• 政府発行 ID
• 法的氏名
• Steam パスワード — Steam OpenID は SteamID64 のみ返却します
• ウォレット秘密鍵・リカバリーフレーズ
• Steam Guard コード

漏えい時の影響を最小化するための意図的な設計です。

3. 利用目的#

• SteamID64・ペルソナ・アバター: Steam OpenID 認証および画面表示。
• Steam インベントリ(リアルタイム照会、保存しない): 見積・取引執行。
• IP アドレス: 不正利用の防止とレート制限のための一時的な処理。SteamVaults のアプリケーションログには保存しません。
• ウォレットアドレス + 制裁スクリーニング結果: 制裁および出金リスクの低減。この限定的な自動確認を完全な AML または KYC 体制とは表示しません。
• 取引記録(Steam 取引 ID, USD 換算額, USDT 数量, ネットワーク, 時刻): 運営、紛争支援、法定保存。
• 公開サポートデータ: 取引・セキュリティ・一般的なサポート依頼への対応と不正利用の防止。
• 公開サポート用アクセスコードの SHA-256 ハッシュ: 元のコードを保管せず、依頼状況へのアクセス権を確認。
• セッションクッキー: セッション維持。
• 任意の分析: 明示的な同意。自社分析はファネルイベントを、Google Analytics はページパス、タイトル、ブラウザ・端末の測定値を記録します。同意前は Google タグを読み込みません。

Chrome 拡張機能#

SteamVaults Chrome 拡張機能は、取り消し可能な拡張機能アクセストークンと有効期限、一時的な連携状態、任意の Steam Trade URL を Chrome の拡張機能ストレージに保存します。利用者が Steam から取得を押した場合に限り、steamcommunity.com への任意アクセスを要求し、Steam の取引プライバシーページに表示された Trade URL だけを読み取ります。Steam のパスワード、Cookie、Steam Guard コード、CAPTCHA、閲覧履歴は読み取りません。Trade URL は見積りを明示的に承認するまで端末内に留まり、承認後は依頼されたトレードオファーを作成する目的に限って SteamVaults に送信されます。公開 Steam プロフィールとインベントリの確認、Vault 残高、見積り、出金、取引記録には本ポリシーと同じ規則が適用されます。ローカルトークンは期限切れまたは連携解除時に削除され、拡張機能をアンインストールするとローカルデータも消去されます。拡張機能はリモートホストされたコードを実行せず、データを広告に使用しません。

拡張機能は、ポップアップを閉じた後も正しい状態を復元するため、SteamVaults アカウント識別子と未完了の販売・購入・出金処理の識別子も保存します。API リクエストでは取り消し可能な拡張機能トークンが送信され、上記のサービス提供、不正利用防止、レート制限のためにホスティング基盤が送信元 IP アドレスと User-Agent を処理します。

The use of information received from Google APIs will adhere to the Chrome Web Store User Data Policy, including the Limited Use requirements.

4. 第三者提供#

サービス運営に必須の事業者にのみ共有します。

• Valve / Steam: SteamID64 を Steam OpenID へ送信し認証。Steam のインベントリ・取引 API でアイテム取得。Steam のプライバシーポリシー適用。
• Polygon RPC 提供者: 宛先アドレスは Chainalysis の公開オンチェーン制裁オラクルへの読み取り専用 eth_call にエンコードされ、出金確定時は Polygon トランザクションにも含まれます。現在、有料 Chainalysis API や取引所カストディ連携はありません。
• Railway はアプリ、DB、キャッシュ、インフラログをホストし、Doppler はランタイム秘密情報を保管します。
• Google Analytics (Google LLC): 明示的な同意後に限り、ページパスとタイトル、ブラウザ・端末の測定値を受信します。URL クエリ、SteamID64、ウォレットアドレス、Steam 取引 URL、自社ファネルデータは Google に送信しません。広告用ストレージ、シグナル、パーソナライズは無効です。Google プライバシーポリシーが適用されます。
• Polygon RPC 提供者: 出金ブロードキャスト時、送金先と取引情報は公開オンチェーンデータとなり、取り消せません。

データ販売、広告主への共有、マーケティング利用は行いません。

5. 保有期間#

• アカウントデータ(SteamID64、ペルソナ、アバター): 認証済み削除申請の完了まで。ただし保存義務のある記録を除きます。
• 任意の自社分析イベント: 90 日後に自動削除。
• Google Analytics データ: Analytics プロパティで選択した保持設定と Google の適用されるシステム保持ポリシーに従います。
• 取引・制裁スクリーニング記録: 適用法令で求められ、会計、不正防止、制裁対応、紛争処理に合理的に必要な期間のみ保有します。期間は記録の種類と管轄地域によって異なります。
• 公開サポートデータ: 問い合わせの解決、サポート業務の説明責任、セキュリティおよび適用法令の遵守に合理的に必要な期間のみ保有します。期間は問い合わせごとに異なります。
• オンチェーン取引: ブロックチェーン上で永久公開、当社制御外。

退会後も保存が必要な取引記録には目的とアクセスの制限を適用します。現在、それらが物理的に分離されたコンプライアンスアーカイブへ移されるとは表示していません。

6. 利用者の権利#

居住地により GDPR(EU/UK)、個人情報保護法(韓国)、CCPA(カリフォルニア)、LGPD(ブラジル)等の権利があります。当社は居住地を問わず以下を尊重します。

• アクセス権: 保有データの写し請求。
• 訂正権: 不正確情報の訂正(Steam 由来データは先に Steam で訂正)。
• 削除権「忘れられる権利」: アカウント消去請求。一部の取引記録は「保有期間」に記載した基準に従い、引き続き保存される場合があります。
• データポータビリティ権: 機械可読フォーマットでのエクスポート請求。
• 異議申立・処理制限権: 居住国法令上の根拠による処理への異議。

アカウントデータの開示・エクスポート、訂正、削除または処理制限の申請には、サービス内の正式な手順で Steam にログインし、直近に再認証を行う必要があります。匿名サポートフォームを使ってアカウントデータを開示または変更することはありません。適用法令で定められた期間内に対応します。

応答に不服があれば、居住国のデータ保護当局へ申し立て可能です。

7. クッキー#

必須セッションクッキーと、同意に基づく自社分析および Google Analytics を使用します。

• セッションクッキー: ログイン維持用。httpOnly、Secure、SameSite=Strict。
• 機能上の紹介コード保存: 有効な ref コードがある場合、そのコードをブラウザのローカルストレージに保存し、Steam ログインに付加して実際の新規登録を帰属させます。広告には使用せず、分析への同意は不要です。
• クッキーを使わない訪問カウント: クッキー、ローカルストレージ、識別子を使わず、ページごとの訪問数を合計としてのみ数えます。保存する項目は日付、ページパス(クエリを除く)、参照元サイトのドメイン、デバイス種別(モバイル・タブレット・デスクトップ)、閲覧数と流入数だけで、IPアドレス、ユーザーエージェント、アカウント情報は保存しません。このカウントは分析への同意に関係なく動作し、最大400日で削除します。
• 任意の自社分析: 明示的に同意した場合、ランダムなセッション ID、ページパス、外部参照元ホスト、UTM 値、端末区分、イベント時刻、ログイン中の内部ユーザー ID を記録します。
• Google Analytics: 同じ同意後、URL クエリを除くパスとタイトルでページビューを測定します。Google は同社ポリシーに従いネットワーク、ブラウザ、端末情報を処理する場合があります。広告用ストレージ、シグナル、パーソナライズは無効です。
• 自社分析ストアは生の IP アドレス、ウォレットアドレス、Steam 取引 URL を保存しません。どちらの分析連携にもウォレットアドレスや Steam 取引 URL は渡しません。

分析を拒否してもサービスを利用できます。フッターの Cookie 設定 はいつでも開けます。必須機能のみを選ぶと、以後の分析を停止し、現在の第一者分析セッションとそのイベントの削除をサーバーに要求し、Google にも分析同意の拒否を送信します。アカウントおよび取引記録については、上記の本人確認付きデータ請求手続が別途必要です。

8. 子ども#

本サービスは 18 歳未満を対象とせず、未成年のデータを意図的に収集しません。未成年利用が疑われる場合はサポートへご連絡ください。

9. 国際移転#

当社インフラは居住国外に所在することがあります。

• Steam: グローバル
• Railway、Doppler、Google Analytics、Polygon RPC その他のクラウド基盤は国外で処理する場合があり、公開 Polygon ブロックチェーンは世界中に複製されます。
• ブロックチェーン RPC: グローバル

法令上必要な場合(例: GDPR 第 5 章)、SCC 等の移転メカニズムを使用します。

10. セキュリティ#

データ転送には TLS を使用し、内部アクセスを制限し、アプリケーションログでは機微な値をマスキングし、セキュリティおよび不正利用の兆候を監視します。侵害発生時は法定期限内に通知します。

11. 変更#

重要な変更は効力発生 少なくとも 14 日前に告知します。