プライバシーポリシー

1. 運営者情報

Maguyvaは、シンガポールに登記された会社であるUT INTERNATIONAL PTE. LTD.が運営するコードインテリジェンスサービスである。

2. 収集する情報

当社は、以下の3つのカテゴリーのデータを収集する:

• アカウントデータ: 氏名、メールアドレス、GitHub OAuthトークン（ユーザーが認可したリポジトリへのアクセスに使用）
• コードデータ: ソースコード（ファイル内容の提供および検索機能のために保存）、抽象構文木、シンボルグラフ、およびコードから生成されるセマンティック埋め込み
• 利用データ: 呼び出したツール、タイムスタンプ、集計されたクエリパターン

ブラウザストレージ。 本ウェブサイトは、カラーモードの設定を記憶するため、ブラウザのローカルストレージに少量のデータを保存する（キー: "maguyva-color-mode"）。任意のCRTイースターエッグを起動した場合、現在のタブに限り、有効なビジュアルテーマがセッションストレージに保存される。これらのデータはブラウザの外部に送信されることはなく、当社サーバーへ送信されることもない。当社の広告のいずれかを経由して訪問した場合、そのリンクに含まれるキャンペーンパラメータおよび広告クリック識別子も、現在のタブに限りセッションストレージに保存され（キー: "maguyva_utm"）、サインアップまたはサインインのリンクをたどった際に当社のアプリケーションへ引き渡される。以下の"6. Cookieと広告"を参照のこと。インフラ提供者であるCloudflareは、セキュリティ目的で機能的なCookieを設定する場合がある。集計された利用状況の解析には、Cookieを設定せず個人を特定できる情報を収集しない、プライバシーに配慮した解析サービスUmamiを使用する。

3. 情報の利用目的

当社は、コードのインデックス化およびコードインテリジェンス機能の提供、Stripeを通じた決済処理、取引メール（アカウント確認、領収書）の送信、ならびに集計利用統計の算出のために、ユーザーのデータを利用する。当社は、顧客のコードを機械学習モデルの学習に使用することはない。ユーザーのデータを販売することもない。

4. あなたのコードについて

リポジトリを接続すると、ファイル取得や検索を含むコードインテリジェンス機能を実現するため、ソースコードは当社のサービスインフラに保存される。当社はtree-sitterを用いてコードを解析し、Voyage AIを通じてセマンティック埋め込みを生成し、定義と参照からなるシンボルグラフを構築する。埋め込みリクエストで送信されるのは、完全なファイルやリポジトリではなく、ASTに基づくセマンティックチャンクであり、リポジトリ名、ユーザー名、組織識別子、ファイルパスといった顧客を特定できるメタデータは除外される。これらのチャンクは、顧客データによる学習を許可しないAPI規約およびアカウント設定のもとで、埋め込みの生成に使用される。ソースおよび派生インデックスデータは、ファイル取得、検索、グラフ解析に必要な形式でPostgreSQLに保存される。製品へのアクセスは、組織およびネームスペース単位のアクセス制御によって管理されており、Maguyvaの運営担当者がリポジトリデータにアクセスするのは、サービスの運用、保護、またはサポートに必要な場合に限られる。リポジトリの接続を解除するかアカウントを解約した場合、アクティブなインデックス済みソースコードおよび派生データはサービスシステムから削除され、残存するバックアップコピーはバックアップ保持期間内に期限切れとなる。

5. 第三者サービス

当社は、Maguyvaの運営に以下のサービスを利用している:

• Supabase（データベースホスティング、AWS米国リージョン）
• Cloudflare（CDN、エッジコンピューティング、DNS）
• Voyage AI（現在はMongoDBの一部、埋め込み生成 -- 完全なファイルやリポジトリではなく、顧客識別子を含まないASTベースのコードチャンクを受信）
• Stripe（決済処理）
• GitHub（OAuth認証およびリポジトリへのアクセス）
• Umami（Cookieを使用しないウェブサイト利用状況解析 -- 集計指標のみを収集し、個人を特定できる情報は含まない）
• Google Ads（コンバージョン測定 -- アカウント作成時にキャンペーンパラメータおよび広告クリック識別子を受信するが、アカウントデータやコードデータは受信しない）

6. Cookieと広告

当社は、Google Adsを通じてMaguyvaの広告を配信し、どの広告がサインアップにつながったかを測定している。これには、2つの独立したファーストパーティCookieが関与する。当社のアプリケーション（app.maguyva.ai）では、Googleのgtag.jsが"_gcl_"系のCookie（例: "_gcl_aw"。最長90日間保持される）を設定して訪問の前に発生した広告クリックを記録し、アカウントが作成された際にGoogle Adsへコンバージョンを報告する。また、maguyva.aiおよびapp.maguyva.aiの両方において、当社は独自のCookieである"maguyva_first_touch"も設定し、最初に到達した広告リンクを記録することで、どの広告がアカウントにつながったかを判別できるようにしている。当社は、自社ドメイン上でこれ以外の広告Cookieを設定することはない。

• Googleへ送信される内容: キャンペーンパラメータおよび広告クリック識別子のみ。ページアドレスのそれ以外の部分は、招待リンクに含まれるメールアドレスも含め、レポートがGoogleに届く前に除去される。
• 広告のパーソナライゼーションに関するシグナルは無効化されており、これは広告オーディエンスを構築するものではなく、コンバージョンを測定するものである。
• "maguyva_first_touch"が保持する内容: 到達元リンクに含まれるキャンペーンパラメータ（utm_source、utm_medium、utm_campaign、utm_content、utm_term）、そのリンクが伴っていた広告クリック識別子（gclid、gbraid、wbraid、dclid、twclid、またはrdt_cid）、参照元ページのアドレス、パラメータを含む着地したパス、およびその到達日時。このCookieは当社のサーバーによって設定され、ページ上で実行されるスクリプトからは読み取ることができず、最長90日間保持される。
• 記録されるのは最初の広告経由の到達のみであり -- その後の広告クリックによって置き換えられることはない。アカウントを作成した場合、これらの値は当該アカウントにコピーされ、そのアカウントを生み出した広告に帰属させることができるようになり、その後Cookieは削除される。アカウントを作成しなかった場合、Cookieは自動的に期限切れとなる。
• 当社のマーケティングサイト（maguyva.ai）では、さらに、到達時の広告クリック識別子を現在のタブに限りセッションストレージに保持し、サインアップまたはサインインのリンクをたどった際にアプリケーションへ引き渡せるようにしている（"2. 収集する情報"に記載のとおり）。この複製は、タブを閉じた時点で破棄される。
• 適用されない場合: 欧州経済領域、英国、またはスイスの訪問者に対して、および地域を判定できない場合には、当社はGoogleタグを読み込まず、これらのCookieのいずれも設定しない。これらの場合、ファーストタッチの記録は一切収集されない。
• コンバージョンが報告される際、GoogleがGoogle自身のドメイン上でCookieを設定する場合がある。それらはGoogleのプライバシーポリシーに準拠する。

7. データセキュリティ

データはHTTPS/TLSを通じて送信される。インデックス化されたリポジトリデータは、保存時にストレージレベルの暗号化が施された管理インフラ上に保存される。ソースおよび派生インデックスデータは、検索、ファイル取得、サポート、セキュリティ運用のために必要な範囲で、サービス側から読み取り可能な状態を保つ。リポジトリへのアクセスは、組織およびネームスペース単位のアクセス制御によって管理される。APIキーは、保存されたメタデータおよびリポジトリのアクセス制限と照合の上で検証される。

8. ユーザーの権利

シンガポールのPDPAおよび（該当する場合）EU GDPRのもと、ユーザーは以下の権利を有する:

• 当社が保有する自身の個人データへのアクセス
• 不正確なデータの訂正
• 自身のデータおよびインデックス化されたリポジトリの削除請求
• アカウントデータのエクスポート
• 処理への異議申し立て、または同意の撤回

9. データの保持

有効なアカウント: アカウントが有効である間、データを保持する。削除されたリポジトリおよび解約されたアカウント: アクティブなインデックス済みソースコードおよび派生データは30日以内に削除され、残存バックアップコピーは90日以内に期限切れとなる。請求記録は、法律で定められた期間である7年間保持する。

10. 変更とお問い合わせ

本ポリシーに重要な変更があった場合、メールで通知する。ご質問やデータに関するお問い合わせは、privacy@maguyva.ai まで連絡すること。