1. 基本方針 — 本サービスはデータを預かりません

本サービスは、読み込まれたデータをお使いのブラウザの中だけで処理する設計です。

スプレッドシートやファイルから読み込まれたお客様・スタッフの情報（氏名・メール・希望日時等）は、当方のサーバーに送信されず、お使いの端末にも保存されません。ブラウザのタブを閉じると消去されます。

マッチング結果は Excel／CSV として出力され、その保管・管理は利用者ご自身が行います。

2. 事業者情報

事業者：Shiftaru

所在地：請求があれば遅滞なく開示します。

連絡先：info@shiftaru.com

3. 当方が取得する情報

お問い合わせ：ご連絡いただいた際のメールアドレス・内容（回答・記録のため）。

有料プランの決済：決済代行事業者（Merchant of Record）が販売者として直接取得・管理し、当方はクレジットカード情報を取得しません。当方はライセンスキー（ランダムな文字列）と有効期限のみを管理します。

アクセス解析（Google Analytics 4）：閲覧ページ・参照元・端末種別・おおよその地域などの利用状況。本サービスに読み込まれたお客様・スタッフのデータの内容は含まれません。EU/EEA・英国の利用者には同意取得のうえで実行します。

4. Googleフォーム自動生成機能とGoogleユーザーデータの利用

本サービスの任意機能として、利用者ご自身のGoogleアカウントと連携し、予約フォーム等のGoogleフォームを自動生成できます。この機能を利用する場合に限り、以下のGoogle権限（スコープ）を要求します。

・Googleフォームの作成・編集（forms.body）：利用者の指示に基づき、お客様用・スタッフ用のフォームを作成・設定するためにのみ使用します。

・本サービスが作成したファイルへのアクセス（drive.file）：本サービスが作成したフォームの管理にのみ使用し、利用者のドライブ内の他のファイルにはアクセスしません。

接続情報（認証トークン）はお使いのブラウザ内に保存され、当方のサーバーやデータベースには保存しません。フォーム生成の実行時に限り、この情報とフォーム設定が当方のサーバーを経由してGoogleに送信されますが、当方はこれらを記録・保存しません。連携はいつでも解除できます。

データ保護（セキュリティ対策）：Googleおよび当方サーバーとの通信はすべて暗号化された接続（HTTPS/TLS）で行います。認証トークンをはじめとするGoogleユーザーデータは、利用者ご自身の端末のブラウザ内（ローカルストレージ）にのみ保存し、当方のサーバー・データベースには一切保存しません（保存先が存在しないため、当方側での漏えいは構造的に発生しません）。フォーム生成の実行時に限り、トークンとフォーム設定は暗号化通信で当方サーバーを経由してGoogle APIを呼び出しますが、リクエスト処理中にメモリ上で扱うのみで、ログや永続ストレージには記録しません。当方のインフラおよびシークレット（APIキー等）へのアクセスは、権限を持つ運営者に限定しています。連携はアプリの「解除」またはGoogleアカウントのセキュリティ設定からいつでも取り消せます。

本サービスによるGoogleユーザーデータの取り扱いは、Google API Services User Data Policy（「Limited Use」要件を含む）に準拠します。取得したGoogleユーザーデータを、上記のユーザー向け機能の提供以外の目的（広告等）に使用・譲渡・販売することはありません。

5. 端末内に保存される設定情報

利便性のため、エリア・コース等の設定、マッチング設定、フォームデザイン設定、読み込み元シートのURL、（フォーム生成利用時の）Google接続情報を、お使いのブラウザ（localStorage）に保存します。これらは端末内にのみ保存され、当方には送信されません。ブラウザのサイトデータ削除でいつでも消去できます。

6. 外部サービス

ホスティング（Vercel Inc.・米国）：アプリの配信のみ。読み込まれたお客様・スタッフのデータは送信されません。

Google LLC（米国）：利用者自身のシート読み込み・（任意の）フォーム作成。第4条のとおり。

Google Analytics 4（Google LLC・米国）：アクセス解析（第3条）。Cookieを利用するのはこの解析のみです。

7. あなたの権利

当方が保有する情報（お問い合わせ記録・ライセンスキー）について、開示・訂正・削除等のご請求に対応します。第2条の連絡先までご連絡ください。

本サービスに読み込まれるお客様・スタッフの個人情報は当方が保有していないため、これらに関するご請求は、本サービスの利用者（シフトを作成する事業者）にお問い合わせください。

8. 改定・お問い合わせ

本ポリシーは必要に応じて改定し、重要な変更は本サービス上でお知らせします。

お問い合わせ：info@shiftaru.com

1. Core principle — the Service does not hold your data

The Service processes the data you load entirely within your own browser.

Customer/staff information (names, emails, preferred times) loaded from spreadsheets or files is never transmitted to our servers and is not stored on your device; it is cleared when you close the browser tab.

Matching results are exported as Excel/CSV files, which you keep and manage.

2. Who we are

Provider: Shiftaru

Address: provided without undue delay on request.

Contact: info@shiftaru.com

3. Information we collect

Inquiries: your email address and message when you contact us (to respond and keep a record).

Payments: handled by our payment provider (Merchant of Record), who collects card details directly as seller of record; we do not receive card details. We hold only the license key (a random string) and its expiry.

Analytics (Google Analytics 4): usage such as pages viewed, referrer, device type, and approximate region. It does not include the content of any customer/staff data loaded into the Service. For EU/EEA/UK visitors we rely on consent.

4. Google Forms feature and use of Google user data

As an optional feature, you can connect your own Google account to auto-generate Google Forms (e.g. booking forms). Only when you use this feature do we request the following Google scopes:

· Create and edit Google Forms (forms.body): used solely to create and configure customer/staff forms at your direction.

· Access to files created by this app (drive.file): used only to manage the forms this app creates; we do not access other files in your Drive.

The connection information (authentication token) is stored in your browser, not on our servers or databases. Only when you run form generation are this information and your form settings relayed through our server to Google; we do not log or retain them. You can disconnect at any time.

Data protection (security measures): All communication with Google and with our server uses encrypted connections (HTTPS/TLS). Google user data, including the authentication token, is stored only in your browser (local storage) on your own device and is never stored on our servers or in any database — because no server-side store exists, a breach on our side cannot expose it. Only when you run form generation are the token and form settings relayed through our server over encrypted connections to call the Google API; they are held only in memory for the duration of the request and are never written to logs or persistent storage. Access to our infrastructure and secrets (such as API keys) is restricted to authorized operators. You can revoke access at any time from the app ("Disconnect") or from your Google Account security settings.

Shiftaru's use of Google user data complies with the Google API Services User Data Policy, including the Limited Use requirements. We do not use, transfer, or sell Google user data for any purpose (such as advertising) other than providing the user-facing features described above.

5. Settings stored on your device

For convenience, settings (areas, courses, matching settings, form design, source sheet URL, and — when using form generation — Google connection info) are stored in your browser (localStorage). These stay only on your device and are not transmitted to us. You can erase them anytime by clearing site data.

6. Third parties

Hosting (Vercel Inc., USA): app delivery only; loaded customer/staff data is not transmitted.

Google LLC (USA): reading your own sheet and (optional) form creation, as in Section 4.

Google Analytics 4 (Google LLC, USA): analytics (Section 3). The only component using cookies is this analytics tool.

7. Your rights

For information we hold (inquiry records, license keys) you may request access, correction, or deletion. Contact us at the address in Section 2. Depending on your location you may also have rights under the GDPR/UK GDPR or CCPA/CPRA. We do not sell or share personal information.

The customer/staff data you load into the Service is not held by us; requests concerning it should be directed to the Service user (the business creating the shifts), who is the controller of it.

8. Changes & contact

We may revise this policy; significant changes will be announced within the Service.

Contact: info@shiftaru.com