隐私政策
本文为日文原版的参考译文。本译文与日文版如有不一致之处，以日文版为准。
Imaginest Studio / Naotsugu Zushi（以下称「我方」）就 Imaginest Studio（由 Scriptnest、Boardnest、Pipenest 及共用账户平台构成，以下合称「本服务」）中用户个人信息的处理，制定本隐私政策（以下称「本政策」）。
1. 收集的信息
为提供本服务，我方收集下列信息。
| 账户信息 | 电子邮箱地址、显示名称、昵称、密码（仅保存经哈希处理的值，不保存密码本身）、账户创建时间 |
|---|---|
| 同意记录 | 同意服务条款及本政策的时间、所同意的版本、显示语言、所使用的服务、IP 地址、浏览器信息（User-Agent）。用于证明已作出同意。 |
| 登录与会话信息 | 会话标识、有效期、IP 地址、浏览器信息（User-Agent） |
| 用户内容 | 剧本、分镜、作品信息、人物与场景设定、上传的图片及用户在本服务中保存的其他数据 |
| 共享与邀请信息 | 受邀者的邮箱地址、权限、邀请状态及时间 |
| 支付信息 | Stripe 签发的客户标识、订阅方案、合同状态与合同期间。信用卡号等由 Stripe 保管，我方不予收集。 |
| API 密钥（使用 BYOK 时） | 用户登记的外部生成式AI服务的 API 密钥 |
| 运行日志 | 用于故障排查的最小限度运行记录（来源服务、事件类型、发生时间）。不包含可识别个人的信息。 |
| Cookie | 用于保持登录状态的会话 Cookie（在 imaginest-studio.com 域下三项服务通用）以及显示语言设置 Cookie |
本服务使用下列 Cookie。均为第一方 Cookie（由我方域名签发），不用于广告或第三方跟踪。
| __Secure-better-auth.session_token | 保持登录状态（三项服务通用）。有效期：7天（随使用延长） |
|---|---|
| better-auth.session_data | 会话信息的短期缓存。有效期：5分钟 |
| NEXT_LOCALE | 记住显示语言（仅在选择语言时保存）。有效期：1年 |
| bn_last_project | 恢复在 Boardnest 中最后打开的作品。有效期：30天 |
此外，界面主题设置及AI功能设置（含API密钥）保存在浏览器的 localStorage 中，不会发送至我方服务器。
我方不使用以广告为目的的第三方跟踪 Cookie。
我方不使用访问分析工具。
2. 使用目的
所收集的信息用于下列目的。
- 提供、维护本服务及对用户进行身份验证
- 本人确认、邮箱地址验证及密码重置
- 付费方案的计费、请款及合同状态管理
- 提供作品共享与协同编辑功能并发送邀请邮件
- 就本服务的重要事项（条款修订、故障、维护等）进行通知
- 防范并处理不正当使用、非法访问及其他违反条款的行为
- 故障排查与恢复，以及服务质量的改进
- 依法履行相关义务
我方不会将用户内容用作生成式AI模型的训练数据，未经用户同意也不会用于广告宣传目的。
3. 向第三方提供与委托处理
除法律另有规定或为保护人的生命、身体、财产所必需的情形外，未经用户事先同意，我方不会向第三方提供个人信息。但在提供本服务所必需的范围内，委托下列服务商处理相关信息。
| Cloudflare, Inc.（美国） | 应用运行环境、数据库、文件存储、邮件发送 |
|---|---|
| Stripe, Inc.（美国） | 付费方案的支付处理。在支付所必需的范围内提供邮箱地址等信息。 |
| 生成式AI服务提供者（Google LLC、Anthropic PBC、OpenAI, L.L.C. 等） | 仅在用户使用AI功能时，发送用户输入的内容及必要的上下文信息。用户使用自有 API 密钥时，该使用依据用户与该提供者之间的合同。 |
4. 向境外转移
上述受托方均位于日本境外（主要为美国），数据可能在境外服务器上处理与保存。我方在确认其已采取适当的安全管理措施后方予委托。
5. 保存期限
- 账户信息及用户内容：在账户存续期间保存。账户删除时，按我方规定的方式删除或移交给其他协作者。
- 会话信息：在有效期（默认7天）届满后陆续删除。
- 邮箱验证及密码重置的令牌：自签发起1小时失效。
- 同意记录：保存至账户删除为止（用于证明同意的事实）。
- 运行日志：自记录之日起满30天后自动删除。
- 与支付有关的记录：由 Stripe 及我方在法律要求的期间内保存。
6. 安全管理措施
- 数据库在存储时已加密（Cloudflare D1）。
- 所有通信均通过 TLS 加密。
- 密码以单向哈希（scrypt）保存，不以明文形式保留。
- 会话 Cookie 附加 Secure 与 HttpOnly 属性。
- 管理控制台仅限事先登记的管理员访问。
7. 用户的权利
用户可就我方持有的本人个人信息，请求披露、更正、追加、删除、停止使用或停止向第三方提供。请通过本政策末尾的联系方式提出。我方将在确认为本人后，依法予以处理。
账户信息及用户内容也可由用户自行在本服务的设置画面中删除。
8. 未成年人的信息
本服务不面向未满13周岁者，我方不会有意收集未满13周岁者的个人信息。一经发现已收集此类信息，将立即删除。未满18周岁者请在取得法定代理人同意后使用。
9. 致欧洲经济区（EEA）及英国居民（GDPR）
如果您居住在欧洲经济区（EEA）、英国或瑞士，我方将依据《欧盟通用数据保护条例》（GDPR）及英国 GDPR 处理您的个人数据。个人数据的控制者为 Imaginest Studio / Naotsugu Zushi，联系方式为 support@imaginest-studio.com。
处理个人数据的法律依据如下。
| 履行合同（GDPR 第6条第1款(b)） | 账户的创建与认证、本服务的提供、共享与协同编辑功能的提供、付费方案的计费 |
|---|---|
| 正当利益（同款(f)） | 防范不正当使用与非法访问、保障安全、故障调查与恢复、服务质量改进。我方已就自身利益与用户的权利自由进行了衡量。 |
| 履行法律义务（同款(c)） | 税务与会计记录的保存、依法配合披露请求 |
| 同意（同款(a)） | 出于上述以外目的进行处理的情形。您可随时撤回同意（不影响撤回前处理的合法性）。 |
您对自己的个人数据享有下列权利。
- 访问（查阅）权
- 更正权
- 删除权（被遗忘权）
- 限制处理权
- 数据可携带权（以机器可读格式接收并转移）
- 反对处理权（包括基于正当利益的处理及直接营销）
- 撤回同意的权利
- 向所在国数据保护监管机构投诉的权利
行使上述权利，请通过本政策末尾的联系方式与我方联系。在确认为本人后，原则上将在一个月内予以答复。
跨境传输：我方位于日本。欧盟委员会已认定日本具备充分的保护水平（充分性认定），英国在脱欧后也将该认定纳入其国内法。向位于美国的受托方（Cloudflare、Stripe 等）的传输，依据该等服务商采取的标准合同条款（SCC）进行；自英国传出的，则依据国际数据传输协议（IDTA）或英国附录等其他适当保障措施进行。
我方不进行对您产生法律效果或具有类似重大影响的自动化决策（含用户画像）。个人数据的保存期限见“5. 保存期限”。
10. 本政策的变更
我方可能因法律修订或本服务内容变更而修改本政策。作出重大变更时，将在生效日之前通过本服务内公告或向注册邮箱发送通知的方式告知。
11. 联系方式
| 运营者 | Imaginest Studio / Naotsugu Zushi |
|---|---|
| 地址 | 7F T&J Building, 2-2-12 Tenjin, Chuo-ku, Fukuoka 810-0001, Japan |
| 联系方式 | support@imaginest-studio.com |