プライバシーポリシー

収集するデータ

• 登録時のメールアドレスとパスワード（パスワードは暗号化して保存し、平文では保存しません）。
• 登録時に使用したIPアドレス、およびログインやプレイに使用したIPアドレス（セッション中に接続が変わった場合、たとえばWi-Fiからモバイル回線に切り替わった場合を含む）と、使用したブラウザの種類。拒否されたログインまたは登録の試行（パスワード誤り、アカウント停止、アカウント数の上限到達）も、そのIPアドレスとともに記録しますが、入力されたメールアドレスは記録しません。
• キャラクターとゲーム内の進行状況に関するデータ。
• アバター（送信した場合のみ）。
• ゲーム内の通知（攻撃を受けた、メッセージを受信した、懸賞金、製造またはクエストの完了、ギャングのイベントなど）と通知の設定。端末でシステム通知を有効にした場合は、その端末について、ブラウザの通知サービスから提供される送信先アドレス（端末固有の識別子）、通知を送るための暗号鍵、使用しているブラウザの種類、動作に関する一部の情報（作成日、最後に送信に成功した日、失敗回数）も記録します。
• ショップでの購入時の決済情報は、本番環境でStripe決済モジュールが有効化・設定されている場合（現時点では本書で確実に確認することはできません）、この決済事業者が直接処理し、当方では一切保存しません。決済条件の詳細は利用規約をご覧ください。

収集する理由

これらのデータは、ゲームを動かすためだけに使います。認証、進行状況の管理、不正の防止（複数アカウント、チート）、購入の処理が目的です。

IPアドレスと接続ログは、セキュリティと不正対策（複数アカウント、アカウントへの攻撃）のためだけに使います。閲覧できるのは権限を持つ運営チームのみで、重要な閲覧はすべて記録されます。また、これらを根拠に自動で処分が下されることは一切ありません。IPアドレスが特定するのは接続であり人ではないため、あらゆる判断は人間が確認したうえで行います。

通知は、本人に関わるゲーム内の出来事をお知らせするためだけに使います。広告や勧誘には使いません。システム通知は任意で、同意した場合にのみ有効になり、いつでも解除できます。内容はあえて一般的なものにとどめ、プライベートメッセージの内容、ユーザー名、金額、場所が含まれることは決してありません。

アドレスを分析するため、管理者が公開レジストリ（DNS、IPアドレスのレジストリ）やIPアドレス情報の提供事業者に照会することがあります。送信されるのは分析対象のアドレスのみで、本人の身元は送られず、正確な位置情報も保存されません。

IPアドレスの保存期間

• アカウントに紐づくIPアドレスとブラウザの種類：最後に利用してから180日間。
• 拒否されたログインまたは登録の試行：90日間。
• 運営の調査記録：調査中は保存し、終了後2年間保存します。
• これらのデータは、アカウントが削除されると、本人の身元情報と同時に消去されます。

通知：保存する内容と期間

• 通知センターの通知（ベルのアイコン）：未読の場合は90日間、既読にしてから14日間、1アカウントあたり最大200件です（超えた分は古いものから消去されます）。クリーンアップは1時間ごとに行われます。この期間は、不在中の出来事の記録を役立つ形で残しつつ、履歴を際限なく保存しないためのものです。
• システム通知に登録した端末：解除しない限り保存されます。端末は次の場合に登録解除されます。システム通知を無効にしたとき、その端末でこのアカウントからログアウトしたとき、セッションが（本人または運営によって、たとえばパスワード変更後に）失効したとき、ブラウザの通知サービスがその端末はもう存在しないと通知したとき、送信に5回連続で失敗したとき、アカウントへのログインや操作が180日間ないとき（IPアドレスと同じ期間）、アカウントを削除したとき。登録できる端末は最大10台です。共用の端末では「ログアウト」を使ってください。タブを閉じるだけでは端末の登録は解除されません。
• 設定：アカウントが存在する間は保存されます。
• アカウントを削除または匿名化すると、通知、設定、登録した端末は消去されます。

ゲーム内の通知を見られるのは、そのアカウントだけです。技術的には、通知はゲームのデータベースに保存されており、データベースの他の情報と同様に、サーバーを管理する人だけがアクセスできます。ゲームの管理画面に通知が表示されることはありません。システム通知は、ゲームのプログラム（「サービスワーカー」）とブラウザ自身が管理する購読情報を除き、ブラウザに何も書き込みません。解除はブラウザのサイト設定から行えます。

システム通知を目にするのは誰か。配信のため、暗号化されたメッセージはブラウザの通知サービスを経由します。Chrome・AndroidはGoogle、EdgeはMicrosoft、FirefoxはMozilla、SafariはAppleです。このサービスは内容を読めませんが、端末のアドレス、送信時刻、送信サイズは把握します。このサービスはブラウザが選ぶもので、当方が選ぶものではなく、これらの情報をEU域外で処理する場合があります（後述の確認事項を参照）。

選択できること。ベルのアイコンから「設定」に進むと、通知のカテゴリごとに、ゲーム内アラートとシステム通知を別々にオフにできます。システム通知をオフにしても、通知センターの履歴は削除されません。

キャラクターをフォーラムのアカウントに連携している場合、フォーラムの一部の通知（返信、メンション、プライベートメッセージ、お知らせ、ギャングのスペース、モデレーションの判断）がゲームの通知センターにも表示されます。内容は表示されず、フォーラムからゲームに送られるのは、出来事の種類、キャラクター、該当ページへのリンクだけです。

GoogleまたはFacebookでログイン

GoogleアカウントまたはFacebookアカウントでアカウントを作成してログインすることも、メールアドレスとパスワードをそのまま使うこともできます。選ぶのは自由で、義務ではありません。

• 受け取る情報：そのサービス固有の識別子（変わることがなく、名前もプロフィールも分からないもの）と、サービスが提供する場合はメールアドレスです。Googleの場合、アドレスはGoogleによって確認済みです。Facebookの場合、アドレスがないこともあり、確認済みとは見なされません。通常の登録と同じく、ゲームに入る前に確認用のリンクを送ります。
• 受け取らず、保存もしない情報：名前、写真、友だち、投稿、そしてGoogleやFacebookが発行するアクセストークンです。保存するのは、Black Empireのアカウントに紐づけたサービスの識別子と、連携日および最終ログイン日だけです。
• 利用目的：そのサービスでログインしたときにアカウントを識別するためです。GoogleやFacebookのアカウントに何かが投稿されることはなく、メールアドレスが似ているというだけでBlack Empireのアカウント同士が統合されることもありません。
• サービス側に伝わること：GoogleやFacebookは、Black Empireにログインしていることを把握し、その情報を自社のプライバシーポリシーに従って処理します。この処理を当方が管理することはできません。

データの解除・削除。ゲーム内でプロフィールを開き、「セキュリティ」セクションで、GoogleまたはFacebookの連携を解除できます（常にログイン手段が残るよう、パスワードの設定が必要です）。アカウントを削除すると、紐づけた識別子も消去されます。また、GoogleまたはFacebookのアカウント設定で、許可済みアプリからBlack Empireを削除することもできます。これでゲームのアカウントが消えることはなく、その後はメールアドレスとパスワードでログインできます。

データに関する権利

アカウントはいつでもゲーム内から削除できます（正確な手順はルールページを参照）。削除後は7日間の猶予期間があり、再ログインすれば取り消せます。猶予期間が過ぎると、完全に元に戻せない形で消去されます。

アカウントが削除されると、そのアカウントのユーザー名、メールアドレス、主要な日付（登録、最終ログイン、削除の申請と実行）は、異議申し立て、決済トラブル、不正行為に対応できるよう、ゲームの所有者だけがアクセスできる台帳に6か月間保存されます。IPアドレスは保存されず、これらの情報はその後自動的に消去されます。

Cookieとセッション

ログインはセッショントークンに基づいており、ゲームの動作に必要なものです。広告や第三者のトラッキング用Cookieは使いません。

通知ではCookieもローカルストレージも使いません。システム通知を有効にすると、ブラウザにゲームの小さなプログラム（「サービスワーカー」）と購読情報が登録されます。これらはブラウザのサイト設定から削除できます。

アクセス解析

サイトの訪問数を数えて、何人が閲覧し、どのページが読まれているかを把握しています。この計測はBlack Empire内部で完結しており、第三者の統計サービス、Cookie、ブラウザへの保存は一切使いません。

記録する内容：閲覧したページ、日時、参照元サイト（ドメイン名のみで、完全なアドレスは記録しません）、キャンペーン名がある場合はその名前です。IPアドレスはそのままでは保存されません。元に戻せない秘密のフィンガープリントに変換され（仮名化）、同じ接続を何度も数えないためだけに使われます。フィンガープリントも個人データであり、Super Adminだけが合計値の形でしか見られません。

保存期間：最後の訪問から13か月後に、フィンガープリントとそれに紐づく閲覧記録は削除されます。既知のボットはフィンガープリントなしで別に集計されます。運営チームの訪問は集計されません。

選択できること：ブラウザが「トラッキング拒否」（Do Not Track）または「Global Privacy Control」のシグナルを送信している場合、計測は無効になります。この計測への異議申し立てや権利行使のための専用連絡先は、まだ設置されていません（後述の「確認待ちの事項」を参照）。