Circle for Shopify プライバシーポリシー

Shopifyアプリ「Circle」をご利用のストアおよびそのお客様向け　／　最終更新日：2026年10月22日　／　Burst株式会社

Burst株式会社（以下「当社」）は、Shopifyアプリ「Circle」（以下「本アプリ」）を提供しています。本ポリシーは、本アプリをインストールしたストア（以下「マーチャント」）と、そのストアのお客様（以下「お客様」）について、本アプリが取得する情報、その利用目的、保管と削除の方法を説明するものです。当社は個人情報の保護に関する法律その他の法令、ならびにShopifyのAPI利用規約およびパートナープログラム契約に従って情報を取り扱います。

1. 当社の立場

• お客様の個人情報について、取扱いの目的を決めるのはマーチャントです。当社は、マーチャントの指示に基づき、本アプリの機能を提供するためにのみ処理します（個人データの取扱いの委託）。
• お客様は、ご自身の情報に関するご請求を、ご利用のストアに対して行ってください。ストアから当社に届いた請求には、第7項のとおり対応します。
• マーチャントご自身の情報（ストア名、連絡先メールアドレス等）については、当社が本アプリの提供者として取り扱います。

2. 取得する情報

• 【ストアの情報】インストール時と最初に本アプリを開いたときに、ストアのドメイン、ストア名、ストアの連絡先メールアドレスを取得します。ShopifyのAPIアクセストークンも保管しますが、暗号化して保存します。
• 【商品・在庫】マーチャントが本アプリに取り込んだ商品、バリエーション、在庫数、価格、画像URL、およびマーチャントが本アプリで入力した商品属性。
• 【注文】会員プランの注文の注文ID、ステータス、金額、商品明細、注文したお客様のShopify顧客ID。
• 【お客様の個人情報】会員プランの注文があったとき、ShopifyのAdmin APIから、その注文のお客様のメールアドレス、氏名、配送先住所（配送先住所がない場合は請求先住所）を取得します。電話番号は取得しません。
• 【カート】Circleの商品がカートに入ったときの、カートトークン、商品バリエーションID、数量（在庫の一時確保のため）。お客様を特定する情報は含みません。
• 【お客様アカウント】お客様がストアのアカウントページで本アプリの画面を開いたときのShopify顧客ID、およびお客様が送信した返却申請と、その申請に記入されたメモ。
• 【請求】Shopifyを通じた本アプリの利用料金のプラン、請求期間、従量課金の対象となる取引額。カード情報等の決済情報は取得しません（決済はShopifyが行います）。
• 【サポート】マーチャントが本アプリからサポートに問い合わせた場合の、問い合わせ内容と返信先。

3. 利用目的

• 会員プランの会員を登録・管理し、マーチャントが会員に商品を発送できるようにするため（氏名・住所・メールアドレスはこの目的に限って利用します）。
• レンタル中の商品、返却申請、在庫の状況をマーチャントの管理画面とお客様のアカウントページに表示するため。
• Shopifyと本アプリの間で商品と在庫を同期するため。
• Shopifyを通じて本アプリの利用料金を請求し、請求内容を照合するため。
• マーチャントへのサポート、重要なお知らせ、障害対応のため。
• 当社は、取得した情報を販売したり、広告や他のマーチャントのために利用したりしません。また、法的または重大な影響を及ぼす自動化された意思決定には利用しません。

4. 第三者提供

• 法令に基づく場合を除き、マーチャントの指示または同意なく、第三者に提供しません。
• 本アプリの運営のため、第5項の事業者に取扱いを委託します。委託先とは秘密保持と安全管理の義務を定め、必要な監督を行います。

5. 委託先と保管場所（外国にある第三者）

• 【Shopify Inc.（カナダ）】ストア、注文、請求のプラットフォーム。
• 【Supabase, Inc.（米国）】データベース。データはインド（ムンバイ）のデータセンターに保管されます。
• 【Vercel Inc.（米国）】本アプリのホスティング。
• 【Resend（米国）】マーチャントへの通知メールの送信。メールにはお客様の氏名・メールアドレス・住所を含めません（会員プランの解約申請のお知らせには、お客様が申請時に記入したメモが含まれます）。
• 【Google LLC（米国）】当社内の監査ログの保管（Google ドライブ）。
• 各国の個人情報の保護に関する制度については、個人情報保護委員会のウェブサイト（https://www.ppc.go.jp/personalinfo/legal/kaiseihogohou/#gaikoku）をご参照ください。各事業者が講じる措置の詳細は、末尾の窓口にご請求いただければ提供します。

6. 保管期間と削除

• Shopifyから受信したWebhookの記録は、必要な項目だけに絞って保存し、30日後に削除します。
• 会員の情報は、マーチャントが本アプリを利用している間、会員管理のために保管します。
• Shopifyからお客様の削除要請（customers/redact）を受けた場合、そのお客様の情報を削除または匿名化します。
• 本アプリがアンインストールされると、Shopifyから48時間後に届く削除要請（shop/redact）に基づき、ストアと会員の情報を削除または匿名化します。APIアクセストークンはアンインストール時に直ちに削除します。
• 個人情報へのアクセス記録は365日間保管します。この記録には個人情報を含めません。

7. お客様のデータに関する請求

• Shopifyを通じてお客様の情報の開示請求（customers/data_request）を受けた場合、当社が保有するそのお客様の情報をまとめ、30日以内にマーチャントにお渡しします。
• お客様の削除請求は、第6項のとおり対応します。
• マーチャントご自身の情報の開示・訂正・利用停止等のご請求は、末尾の窓口までご連絡ください。本人確認のうえ、法令に従って遅滞なく対応します。

8. 安全管理措置

• 通信はすべてHTTPSで暗号化し、保存データも暗号化しています。APIアクセストークンは追加で暗号化しています。
• 本番データとテストデータを分離し、お客様の個人情報にアクセスできる担当者を限定し、二段階認証を必須としています。
• 個人情報へのアクセスは記録し、記録は変更できないように管理しています。
• セキュリティインシデントの対応方針を定めています。お客様の情報に関わる漏えい等が判明または疑われる場合、24時間以内にShopifyに報告し、影響を受けるマーチャントにも速やかにお知らせします。

9. Cookie等

• 本アプリの管理画面とお客様向けの画面は、Shopifyが発行するセッショントークンで認証します。本アプリは、広告やアクセス解析のためのCookieやタグを使用しません。

10. ポリシーの改定

• 本ポリシーは、法令や本アプリの機能の変更に応じて改定することがあります。重要な変更は、本アプリまたはメールでマーチャントにお知らせします。

Circle for Shopify privacy policy

For stores using the Circle Shopify app and their customers　／　Last updated: October 22, 2026　／　Burst Inc.

Burst Inc. ("we") provides the Shopify app "Circle" (the "App"). This policy explains what information the App collects about the stores that install it ("merchants") and their customers ("customers"), why, and how it is stored and deleted. We handle information under Japan's Act on the Protection of Personal Information and other laws, and under Shopify's API Terms and Partner Program Agreement. If this English version differs from the Japanese one, the Japanese version applies.

1. Our role

• The merchant decides why customer personal information is processed. We process it on the merchant's behalf, only to provide the App's features.
• Customers should send requests about their information to the store they bought from. Requests that reach us through the store are handled as described in section 7.
• For the merchant's own information (store name, contact email), we act as the provider of the App.

2. Information we collect

• Store: the shop domain, store name and store contact email, when the App is installed and first opened. We also keep the Shopify API access token, encrypted.
• Products and stock: products, variants, stock levels, prices and image URLs that the merchant imports into the App, and the product attributes the merchant enters in it.
• Orders: for membership orders, the order ID, status, amounts, line items and the customer's Shopify customer ID.
• Customer personal information: when a membership order is placed, the customer's email, first and last name, and shipping address (or billing address if there is no shipping address), read through the Shopify Admin API. We do not collect phone numbers.
• Carts: when a Circle item is added to a cart, the cart token, variant IDs and quantities, to hold stock. This does not identify the customer.
• Customer accounts: the Shopify customer ID when a customer opens the App's page in their store account, and the return requests (with any note) the customer sends.
• Billing: the App plan, billing cycle and the transaction amounts that usage charges are based on. We do not collect card or payment details; Shopify handles payment.
• Support: the content of support requests the merchant sends from the App, and the reply address.

3. How we use it

• To register and manage members of the merchant's membership plans so the merchant can ship items to them. Name, address and email are used only for this.
• To show rentals, return requests and stock in the merchant's admin and on the customer's account page.
• To keep products and stock in sync between Shopify and the App.
• To bill App fees through Shopify and reconcile them.
• To support merchants, send important notices and handle incidents.
• We do not sell this information, use it for advertising or for other merchants, or use it for automated decisions with legal or similarly significant effects.

4. Sharing

• We do not share it with third parties without the merchant's instruction or consent, except where the law requires.
• We use the service providers in section 5 to run the App, under confidentiality and security obligations, and we supervise them.

5. Service providers and where data is stored

• Shopify Inc. (Canada): the store, order and billing platform.
• Supabase, Inc. (USA): database. Data is stored in a data center in Mumbai, India.
• Vercel Inc. (USA): App hosting.
• Resend (USA): notification emails to merchants. They do not contain customer names, email addresses or addresses (a membership cancellation request notice includes the note the customer wrote in the request).
• Google LLC (USA): storage of our internal audit logs (Google Drive).
• Details of the measures these providers take are available on request from the contact below.

6. Retention and deletion

• Webhooks received from Shopify are stored with only the fields we need and deleted after 30 days.
• Member information is kept while the merchant uses the App, to manage members.
• When Shopify sends a customer erasure request (customers/redact), we delete or anonymize that customer's information.
• When the App is uninstalled, we delete the access token immediately, and delete or anonymize the store's and its members' information when Shopify sends the shop erasure request (shop/redact) 48 hours later.
• Records of access to personal information are kept for 365 days. They contain no personal information.

7. Customer data requests

• When Shopify sends a customer data request (customers/data_request), we compile the information we hold about that customer and give it to the merchant within 30 days.
• Customer erasure requests are handled as in section 6.
• Merchants can ask us to disclose, correct or stop using their own information by contacting us below. We verify identity and respond without delay, as the law requires.

8. Security

• All traffic uses HTTPS, and stored data is encrypted. API access tokens are additionally encrypted.
• Production and test data are kept separate. Access to customer personal information is limited to the staff who need it, and two-factor authentication is required.
• Access to personal information is logged, and the log cannot be changed.
• We have a security incident response policy. If a breach involving customer information is found or suspected, we report it to Shopify within 24 hours and promptly inform the affected merchants.

9. Cookies

• The App's admin and customer pages are authenticated with session tokens issued by Shopify. The App uses no advertising or analytics cookies or tags.

10. Changes

• We may update this policy when laws or the App change. We tell merchants about important changes in the App or by email.