プライバシーとデータ保護
SigmaCV はデータ最小化を基本として構築されています。公開されている研究メタデータのみを読み取り、お客様の業績を識別子（ORCID / OpenAlex ID）によって照合し、氏名文字列で照合することは決してありません。また、お客様が明示的にオプトインしない限り、お客様の選択について何も記録しません。本通知では、当方が処理する内容と、EU GDPR および日本の APPI のもとでお客様が有する権利について説明します。
データ管理者
SigmaCV は、Basile Chrétien（PharmD、MSc、MPH）が独立した個人プロジェクトとして運営しています（大学や雇用主によるもの、またはその代理ではありません）。同氏が、SigmaCV が取り扱う個人データの唯一の管理者です。プライバシーに関するご質問やご請求は、privacy@sigmacv.org までご連絡ください。
当方が処理する情報
お客様のサインインプロバイダーから取得するアカウントデータ（ORCID iD、またはメールアドレス / Google アカウント）、CV の作成に使用する公開研究メタデータ（OpenAlex、ORCID、Crossref、DataCite、OpenAIRE、DBLP、Wikidata、Open Editors Plus、NIH iCite、OpenCitations、Sciety、Software Heritage、および氏名と所属機関で照合し確認待ちの候補としてのみ表示する UKRI、NIH RePORTER、NSF、ClinicalTrials.gov、EU CTIS、WHO ICTRP、欧州特許庁 から取得した論文、助成金、所属機関および各種指標）、お客様が作成する CV のコンテンツおよび表示に関する選択、ならびにお客様が任意でアップロードするプロフィール写真です。お客様が公開ページを公開することを選択しない限り、お客様の CV は非公開です。また、任意で自己申告のキャリアの背景（キャリア中断、パートタイム期間、臨床業務や育児・介護、初出版の年）を記録することもできます。これは CV とともに保存され、お客様が有効にした場合にのみ表示され、いかなるスコアの計算にも使用されず、アカウントデータのエクスポートに含まれます。CV のバージョンを固定した場合、その固定コピー（非公開メモを除く）はお客様のアカウントとともに保存され、お客様が公開に設定した場合にのみ公開され、他のデータとともにエクスポートおよび削除されます。バージョンに DOI を発行した場合、DataCite が保持する DOI レコード（そのバージョンのページ上の公開データ：お名前、ORCID iD、所属、表示されている業績の DOI、表示されている助成金の助成機関 / 助成番号）は削除されるのではなく取り下げ状態（非表示にされ「取り下げ済み」ページを指す）になります。
指導・メンタリングの記録には、あなたが指導した相手の氏名（第三者の個人情報）が含まれることがあり、その公開は履歴書の作成者であるあなたの判断によります。氏名は本人の同意を得た場合にのみ追加してください。公開ページとすべてのエクスポートでは、氏名の代わりに学位区分の表記（例：「博士課程学生」）を表示することもできます。これらの氏名は、履歴書の他の内容と同様にアカウント削除時に削除されます。
目的および法的根拠
当方は、お客様が要求されたサービス（CV の生成およびエクスポート）を提供するためにこのデータを処理します（GDPR Art. 6(1)(b)、契約の履行）。公開 CV ページの公開は、お客様の指示があった場合に限り行われます。当方はお客様のデータを販売せず、広告目的で使用することもありません。
データの提供先と保存場所
当方はお客様のデータを販売せず、広告にも利用しません。データの共有は、本サービスの運営に必要な範囲に限られます。すなわち、欧州連合（ドイツ）のホスティング事業者（データ処理契約に基づき当方に代わってデータを保存します）と、ログインまたは同期の際に、CV を作成するためお客様の識別子で照会する公開研究サービス（OpenAlex、ORCID、Crossref、DataCite、OpenAIRE、DBLP、ROR など）です。これらのサービスは、公開記録を返すためにお客様の ORCID iD または氏名を受け取り、その公開データについては独立した管理者として行動します。お客様のアカウントと CV は EU 内に保存されます。バックアップの複製は、管理者が日本において暗号化されたストレージに保管し、他のいかなる第三者とも共有しません。管理者は日本に所在し、日本と EU の間の移転は 2019 年の日 EU 相互の十分性認定によって保護されています。お客様がダイジェストメールの配信をオプトインされた場合、または連絡先メールアドレスを確認される場合、当方はこれらのメッセージを、ニュージーランドに拠点を置くメール配信の処理事業者である SMTP2GO を通じて送信します。SMTP2GO は、当方に代わってメールを送信するために、お客様のメールアドレスとメッセージの内容（ダイジェストの場合は、お客様ご自身の公開業績のタイトル）のみを受け取ります。ニュージーランドは、十分な水準のデータ保護を確保している国として EU に認められています。CV の固定バージョンに DOI を発行することを選択した場合、その DOI レコード（そのバージョンのページ上の公開データ：お名前、ORCID iD、所属、表示されている業績の DOI、表示されている助成金の助成機関 / 助成番号）は DataCite に登録され、DataCite が独立した管理者として自らの永続識別子ポリシーに基づき保持します。アカウントを削除しても、このレコードは消去されず取り下げ状態になります。DataCite の検索から非表示になり「所有者により取り下げられました」ページを指すため、DOI は解決可能なままですが、お客様のデータには辿り着きません。お客様が公開ページの検索エンジンによるインデックスを許可した場合、そのメタデータ（お客様の CV の公開レコードとそこに掲載された業績、Dublin Core 形式）は、当方の OAI-PMH エンドポイントを通じて OAI-PMH ハーベスタ（オープンリポジトリ、機関の CRIS システム、アグリゲータ）にも提供されます。これらは収集したデータについて独立した管理者として行動します。そのようなハーベスタ向けに現在の所属機関の ROR セットに掲載するかどうかは、別個のオプトインの選択であり、初期設定はオフです。SigmaCV 上の所属機関の公開ページ（/i/<ROR id>）への掲載は、さらに別個のオプトインで、現在の職位の中からチェックした機関に固定されます。掲載すると、氏名、ORCID iD、現在の職位、公開ページに掲載している業績がそのページに表示され、集計に含まれます。初期設定はオフで、所属が変わった場合は移し替えずに改めて確認し、いつでも撤回でき即時に反映されます。掲載を選んだ場合、SigmaCV 上のその機関のページ（/i/<ror>）に、その機関の下に掲載されている研究者の人数が公開されます。人数のみで、誰かは表示されません。機関の並置（/i/compare）は、二つまたは三つの機関について OpenAlex が公開している記録（成果数とオープン版の数であり、人に関するものではありません）を並べて示します。ある機関の下に少なくとも一人の研究者が掲載されているという事実（その機関を選べるかどうかを決めるだけのものです）を除き、お客様に関する情報も、機関ページに掲載された研究者の数値も、そこで使用・表示・比較されることはありません。照合用の行の共有も選んだ場合、/i/<ror>/reconciliation にある公開の CSV/JSON エクスポートに、指定した凍結版から、ORCID iD、公開ページに掲載されている業績（DOI・年・種別・ライセンス・確認されたオープンアクセス状態）、チェックした機関が掲載されます。既定ではオフで、チェックを外すと次のリクエストから停止します。
ORCID による公開プレビュー
誰でも ORCID iD を入力すれば、アカウントもログインもなしに、公開研究メタデータから組み立てた CV を見ることができます。このプレビューは、「当方が処理する情報」に挙げた公開ソースからリクエスト時に構築されます。多くは iD そのもので照会しますが、ORCID iD を持たない各国の助成・臨床試験・特許登録機関（UKRI、NIH RePORTER、NSF、ClinicalTrials.gov、EU CTIS、WHO ICTRP、欧州特許庁）は研究者の氏名と所属機関で照会し、そこから返された情報は、研究者本人が確認するためのフラグ付き候補としてのみ表示され、確定した事実として表示されることはありません。プレビューはリクエスト時に生成され、短期キャッシュに数分間保持された後に破棄されます。プロフィールとして保存されることはなく、当サイトのアクセス解析はどの iD が照会されたかを記録しません。プレビューは、ログインして自ら選択していない研究者について、引用数・指標・h 指数を決して表示しません。これらは本人が公開したページにのみ表示されます。/search の氏名検索は、ORCID iD を持つ研究者を OpenAlex に照会し、OpenAlex が既に公開している氏名と所属を表示します。結果は短期のメモリキャッシュに数分間保持されるだけで、検索内容や表示された人物についてディスクには何も書き込まず、数値指標も表示せず、各結果はこのプレビューにつながります。表示される人物は SigmaCV を一度も利用したことがない可能性があるため、本通知がその方への情報提供に当たります（GDPR Art. 14(5)(b)）。法的根拠は、既に公開されている書誌記録を正確に表示することについての当方の正当な利益（Art. 6(1)(f)、および Art. 5(1)(d) 正確性）であり、APPI 上、この取得データの利用目的は、リクエストに応じて公開研究記録を表示することです。入力された iD が SigmaCV アカウント保有者のものである場合、その方自身の名寄せ修正を追加で読み取り、適用します。「自分のものではない」と印を付けた業績は除外され、確認して残した業績からは「あなたのものではない可能性」の表示が消えます。それ以外はアカウントから何も読み取りません。表示設定、非公開メモ、保存済みレイアウト、連絡先も読み取らず、この仕組みは業績または警告を取り除くことしかできず、訪問者が本来見られないものを追加することはありません。修正をこのように使われたくない場合、またはご自身の記録の自動プレビューを一切表示してほしくない場合は、privacy@sigmacv.org までご連絡ください。該当する iD を除外します。
研究目的での利用（オプトインの場合のみ）
SigmaCV は、責任ある研究評価および著者名の名寄せ（曖昧性解消）に関する研究プロジェクトでもあります。研究目的でのお客様のキュレーション選択のログ記録は、初期設定ではオフになっており、お客様の明示的かつ個別の同意がある場合に限り行われます（GDPR Art. 6(1)(a)）。お客様はいつでもアカウントから同意を撤回でき、撤回により今後のログ記録は停止され、すでに収集された研究記録は消去されます。確証的分析は事前登録され、倫理／IRB プロトコルのもとで実施されます。研究目的のログ記録の範囲に重大な変更があった場合、当方は改めてお客様の同意を求めます。
AI 起草アシスタント（任意）
任意の AI 起草アシスタントを利用する場合、あなた自身の AI プロバイダーの API キーを入力します——このキーはセッション中あなたのブラウザーのメモリー内にのみ保持され、ブラウザーにも当方のサーバーにも保存されません。下書きを要求すると、表示中の業績に関する短い公開情報のみの要約（モジュール、業績数、いくつかのタイトル。連絡先や識別子は含みません）が、当方のサーバーからあなたが選んだプロバイダーへ、あなたのキーを用いて中継され、リクエストの内容は保存もログ記録もされません。データの送信先や取り扱いは、あなたが選ぶプロバイダーとその規約によって決まりますので、納得できるプロバイダーを選んでください（EU 内での処理を重視する場合は Mistral AI などの EU プロバイダーなど）。この機能は既定でオフで、下書きは毎回明示的に要求して通知に同意する必要があり、結果が自動的に CV に追加されることはありません。 応募先の公募文を貼り付けた場合、その要約とともにご自身のプロバイダーへ送信され、お使いのブラウザーにのみ記憶されます。
保持期間
当方は、お客様がアカウントを削除するまで、お客様のアカウントおよび CV データを保持します。アカウントを削除すると、お客様のプロフィール、CV、およびすべての研究記録は、稼働中のサービスから直ちに削除されます。暗号化されたバックアップは循環方式で保管され、14 日以内に上書きされるため、削除されたアカウントはその期間内にバックアップからも消えます。当方が削除済みのアカウントをバックアップから復元することはありません。公開されている公開ページは、お客様が公開を取り消すか削除した時点で直ちに配信が停止されます。ページの公開取り消し、インデックス登録の停止、機関セットからの離脱、ページからの業績の削除、アカウントの削除によって、ある記録がOAI-PMHで収集できなくなった場合、エンドポイントはその後30日間、その記録の識別子に「削除済み」と日付を返し続けます。離脱した機関セットを指定した収集では、そのセットも返します。収集済みのリポジトリが複製を削除できるようにするためです。この識別子にはページのアドレスが含まれ、アドレスにはお客様の氏名が入っています。
セキュリティと Cookie
当方は、HTTPS、アクセス制御、データベースに基づくセッション（ログイン提供元のアクセストークンは保存せず破棄します）によりデータを保護しています。コードは独立したセキュリティ監査を受けており、保有する情報は最小限にとどめています。ログイン状態を保持するための必要不可欠な Cookie を 1 つだけ使用し、広告・トラッキングの Cookie は一切使用しません。集計された利用統計のために、プライバシーに配慮した Cookie 不要の自己ホスト型アクセス解析（ファーストパーティのみ、第三者なし、クロスサイト追跡なし）を使用しています。そのため Cookie バナーは不要です。完全に安全なオンラインサービスは存在しませんが、当方は合理的かつ監査済みの対策を講じています。
お客様の権利
お客様は、ご自身のすべてのデータにアクセスしてエクスポートすること（ワンクリックでの JSON エクスポート）、エディターでデータを修正すること、研究目的の同意を撤回すること、ならびにアカウントおよび関連するすべてのデータをいつでも削除することができ、これらはすべてアプリから直接行えます。GDPR および APPI のもとで、お客様にはデータ保護当局に苦情を申し立てる権利もあります。
SigmaCV を一度も利用したことがない方でも、公開研究記録が「ORCID による公開プレビュー」に記載したリクエスト時プレビューに表示されることがあります。いつでも異議を申し立てることができます（GDPR Art. 21）。/object で ORCID iD を一度確認する（アカウントは作成されず、iD の鍵付きハッシュのみ保持されます）か、iD を添えて privacy@sigmacv.org にご連絡ください。30 日以内に対応します。いずれの場合も、ご自身の記録の自動プレビューは「公開記録なし」として扱われ、理由は求めず、異議があったことを訪問者に知らせることもありません。また、当方が保有するご自身に関するデータについて、アクセス・訂正・消去の権利、およびデータ保護当局に苦情を申し立てる権利があります。
お問い合わせ
ご質問やお客様の権利の行使については、管理者（privacy@sigmacv.org）宛てにメールでご連絡いただくか、お問い合わせページをご利用ください。30 日以内の回答に努めます。
本通知は便宜のため複数の言語で提供しています。各版に相違がある場合は英語版が優先します。
当方は本通知を更新する場合があります。研究目的のログ記録に関する重大な変更については、改めて同意が必要となります。