プライバシーポリシー

1. 運営者情報

Maguyvaは、シンガポールに登記された会社であるUT INTERNATIONAL PTE. LTD.が運営するコードインテリジェンスサービスである。

2. 収集する情報

当社は、以下の4つのカテゴリーのデータを収集する:

• アカウントデータ: 氏名、メールアドレス、GitHub OAuthトークン(ユーザーが認可したリポジトリへのアクセスに使用)
• コードデータ: ソースコード(ファイル内容の提供および検索機能のために保存)、抽象構文木、シンボルグラフ、およびコードから生成されるセマンティック埋め込み
• 利用データ: 呼び出したツール、タイムスタンプ、集計されたクエリパターン
• ウェブサイトのパフォーマンスおよびエラーデータ: 当社は、自社インフラ上で運用する Grafana Faro を使用して、ページのパフォーマンスを計測し、エラーを発見する。収集する情報は、ページのパス(クエリパラメータは除去)、ブラウザ、OS、デバイスの種類、パフォーマンス計測値、JavaScript のエラー、ページが行うリクエストの所要時間であり、これらはローカルストレージに保存されるランダムなセッション識別子によって関連付けられる。この識別子は、操作のない状態が約16分続くと失効し、次回の訪問時に新しいものに置き換えられる。氏名、メールアドレス、アカウント識別子は含まれず、アカウントデータや広告データと組み合わせることはない。当社は、サイトを正常に機能させるという正当な利益(シンガポールにおいては、事業改善の目的)に依拠する。ログは30日間、トレースは14日間保持する。異議を申し立てる場合は privacy@maguyva.ai まで連絡すること。

ブラウザストレージ。 本ウェブサイトは、カラーモードの設定を記憶するため、ブラウザのローカルストレージに少量のデータを保存する(キー: "maguyva-color-mode")。任意のCRTイースターエッグを起動した場合、現在のタブに限り、有効なビジュアルテーマがセッションストレージに保存される。これらのデータはブラウザの外部に送信されることはなく、当社サーバーへ送信されることもない。当社の広告のいずれかを経由して訪問した場合、そのリンクに含まれるキャンペーンパラメータおよび広告クリック識別子も、現在のタブに限りセッションストレージに保存され(キー: "maguyva_utm")、サインアップまたはサインインのリンクをたどった際に当社のアプリケーションへ引き渡される。以下の"6. Cookieと広告"を参照のこと。インフラ提供者であるCloudflareは、セキュリティ目的で機能的なCookieを設定する場合がある。集計された利用状況の解析には、Cookieを設定せず個人を特定できる情報を収集しない、プライバシーに配慮した解析サービスUmamiを使用する。 ページのパフォーマンスとブラウザのエラーの監視には Grafana Faro を使用する。Faro は、連続する計測値を一回の訪問と認識できるよう、ランダムに生成されたセッション識別子をブラウザのローカルストレージに保存する(キー: "com.grafana.faro.session")。この識別子は、操作のない状態が約16分続くと失効し、次回の訪問時に新しいものに置き換えられる。この識別子に氏名、メールアドレス、アカウント識別子は含まれない(上記の"ウェブサイトのパフォーマンスおよびエラーデータ"を参照)。欧州経済領域、英国、スイスの訪問者、および地域を判定できない場合、Faro は読み込まれず、当該キーも書き込まれない。以下の"6. Cookieと広告"に記載した広告用 Cookie と同じ地域規則に従う。

3. 情報の利用目的

当社は、コードのインデックス化およびコードインテリジェンス機能の提供、Stripeを通じた決済処理、取引メール(アカウント確認、領収書)の送信、ならびに集計利用統計の算出のために、ユーザーのデータを利用する。当社は、顧客のコードを機械学習モデルの学習に使用することはない。ユーザーのデータを販売することもない。

4. あなたのコードについて

リポジトリを接続すると、ファイル取得や検索を含むコードインテリジェンス機能を実現するため、ソースコードは当社のサービスインフラに保存される。当社はtree-sitterを用いてコードを解析し、Voyage AIを通じてセマンティック埋め込みを生成し、定義と参照からなるシンボルグラフを構築する。埋め込みリクエストで送信されるのは、完全なファイルやリポジトリではなく、ASTに基づくセマンティックチャンクであり、リポジトリ名、ユーザー名、組織識別子、ファイルパスといった顧客を特定できるメタデータは除外される。これらのチャンクは、顧客データによる学習を許可しないAPI規約およびアカウント設定のもとで、埋め込みの生成に使用される。ソースおよび派生インデックスデータは、ファイル取得、検索、グラフ解析に必要な形式でPostgreSQLに保存される。製品へのアクセスは、組織およびネームスペース単位のアクセス制御によって管理されており、Maguyvaの運営担当者がリポジトリデータにアクセスするのは、サービスの運用、保護、またはサポートに必要な場合に限られる。リポジトリの接続を解除するかアカウントを解約した場合、アクティブなインデックス済みソースコードおよび派生データはサービスシステムから削除され、残存するバックアップコピーはバックアップ保持期間内に期限切れとなる。

5. 第三者サービス

当社は、Maguyvaの運営に以下のサービスを利用している:

• Supabase(データベースホスティング、AWS米国リージョン)
• Cloudflare(CDN、エッジコンピューティング、DNS)
• Voyage AI(現在はMongoDBの一部、埋め込み生成: 完全なファイルやリポジトリではなく、顧客識別子を含まないASTベースのコードチャンクを受信)
• Stripe(決済処理)
• GitHub(OAuth認証およびリポジトリへのアクセス)
• Umami(Cookieを使用しないウェブサイト利用状況解析: 集計指標のみを収集し、個人を特定できる情報は含まない)
• Railway(シンガポールでのホスティング: Grafana のオープンソースソフトウェアを用いて当社が自ら運用する監視システムを稼働させ、「2. 収集する情報」に記載したウェブサイトのパフォーマンスおよびエラーデータを保存する。このデータは自社コレクター faro.synacy.xyz を経由してのみ届き、Grafana Labs はこのデータを受け取らない。欧州経済領域、英国、スイスの訪問者、および地域を判定できない場合、監視用スクリプトは一切読み込まない)
• Google Ads(コンバージョン測定: アカウント作成時にキャンペーンパラメータおよび広告クリック識別子を受信するが、アカウントデータやコードデータは受信しない)

6. Cookieと広告

当社は、Google Adsを通じてMaguyvaの広告を配信し、どの広告がサインアップにつながったかを測定している。Googleのタグ(gtag.js)は、maguyva.aiとapp.maguyva.aiの両方で読み込まれる。広告ストレージが許可されている場合、このタグは"_gcl_"系のCookie(例: "_gcl_aw"。最長90日間保持される)を設定して訪問の前に発生した広告クリックを記録し、アカウントが作成された際にアプリケーションからGoogle Adsへコンバージョンが報告される。また、両ドメインにおいて、当社は独自のCookieである"maguyva_first_touch"も設定し、最初に到達した広告リンクを記録することで、どの広告がアカウントにつながったかを判別できるようにしている。以下に記載する同意用および地域判定用のCookieを除き、当社が自社ドメイン上で設定する広告Cookieはほかにない。

• Googleへ送信される内容: キャンペーンパラメータおよび広告クリック識別子のみ。ページアドレスのそれ以外の部分は、招待リンクに含まれるメールアドレスも含め、レポートがGoogleに届く前に除去される。
• 広告のパーソナライゼーションに関するシグナルは無効化されており、これは広告オーディエンスを構築するものではなく、コンバージョンを測定するものである。
• "maguyva_first_touch"が保持する内容: 到達元リンクに含まれるキャンペーンパラメータ(utm_source、utm_medium、utm_campaign、utm_content、utm_term)、そのリンクが伴っていた広告クリック識別子(gclid、gbraid、wbraid、dclid、twclid、またはrdt_cid)、参照元ページのアドレス、パラメータを含む着地したパス、およびその到達日時。このCookieは当社のサーバーによって設定され、ページ上で実行されるスクリプトからは読み取ることができず、最長90日間保持される。
• 記録されるのは最初の広告経由の到達のみであり、その後の広告クリックによって置き換えられることはない。アカウントを作成した場合、これらの値は当該アカウントにコピーされ、そのアカウントを生み出した広告に帰属させることができるようになり、その後Cookieは削除される。アカウントを作成しなかった場合、Cookieは自動的に期限切れとなる。
• 当社のマーケティングサイト(maguyva.ai)では、さらに、到達時の広告クリック識別子を現在のタブに限りセッションストレージに保持し、サインアップまたはサインインのリンクをたどった際にアプリケーションへ引き渡せるようにしている("2. 収集する情報"に記載のとおり)。この複製は、タブを閉じた時点で破棄される。
• 事前に同意を確認する場合: 欧州経済領域、英国、またはスイスの訪問者に対して、および地域を判定できない場合には、Googleタグは広告ストレージを無効にした状態で読み込まれ、送信内容から広告クリック識別子が除去されたうえで、広告Cookieを設定する前に当社が同意を確認する。回答があるまで、Googleが受け取るのは、ページが閲覧されたというCookieを伴わないシグナルのみである。許可した場合、"_gcl_"系のCookieおよび"maguyva_first_touch"が上記のとおり設定される。拒否した場合、そのいずれも設定されず、ファーストタッチの記録は一切収集されない。
• 回答は、"maguyva_ad_consent"という名称のCookieに12か月間保持され、maguyva.aiとapp.maguyva.aiの間で共有される。保持されるのは、回答内容と、その回答が行われた時点における本通知のバージョンのみである。再度確認することがないよう、許可・拒否のいずれの場合にもこのCookieは設定される。回答は、maguyva.aiのフッターにある"Cookieの設定"のリンクから、またはアプリケーションのSettings > Securityからいつでも変更できる。拒否に変更した場合、それ以降の広告ストレージは停止されるが、Googleがすでに設定したCookieはそれぞれの期限に従って失効する。
• maguyva.aiでは、"maguyva_ad_region"という名称の1時間有効のCookieが、当社が事前に確認を行う地域に該当するかどうかのみを記録する。個人データは一切保持しない。
• コンバージョンが報告される際、GoogleがGoogle自身のドメイン上でCookieを設定する場合がある。それらはGoogleのプライバシーポリシーに準拠する。

7. データセキュリティ

データはHTTPS/TLSを通じて送信される。インデックス化されたリポジトリデータは、保存時にストレージレベルの暗号化が施された管理インフラ上に保存される。ソースおよび派生インデックスデータは、検索、ファイル取得、サポート、セキュリティ運用のために必要な範囲で、サービス側から読み取り可能な状態を保つ。リポジトリへのアクセスは、組織およびネームスペース単位のアクセス制御によって管理される。APIキーは、保存されたメタデータおよびリポジトリのアクセス制限と照合の上で検証される。

8. ユーザーの権利

シンガポールのPDPAおよび(該当する場合)EU GDPRのもと、ユーザーは以下の権利を有する:

• 当社が保有する自身の個人データへのアクセス
• 不正確なデータの訂正
• 自身のデータおよびインデックス化されたリポジトリの削除請求
• アカウントデータのエクスポート
• 処理への異議申し立て、または同意の撤回

9. データの保持

有効なアカウント: アカウントが有効である間、データを保持する。削除されたリポジトリおよび解約されたアカウント: アクティブなインデックス済みソースコードおよび派生データは30日以内に削除され、残存バックアップコピーは90日以内に期限切れとなる。請求記録は、法律で定められた期間である7年間保持する。"2. 収集する情報"に記載したウェブサイトのパフォーマンスおよびエラーデータ: ログは30日間、トレースは14日間保持した後、自動的に削除する。その収集に異議を申し立てる場合は privacy@maguyva.ai まで連絡すること。

10. 変更とお問い合わせ

本ポリシーに重要な変更があった場合、メールで通知する。ご質問やデータに関するお問い合わせは、privacy@maguyva.ai まで連絡すること。