プライバシーポリシー

データ管理者は個人事業主 Adrien Pennetier（「PENRA」）です。連絡先は法的表記に記載しています。データに関するお問い合わせは contact@capsul.chat まで。

データ保護責任者は選任していません。管理者は公的機関ではなく、その中核業務は個人の大規模かつ定期的・体系的な監視ではなく、また機微データや有罪判決に関するデータを大規模に取り扱ってもいないためです（GDPR 第 37 条 1 項）。責任者宛ての照会は、上記の宛先へお送りください。

capsul はプロンプトごとにトークンを削減します。あなたのコードが保存されることはありません。 プロンプトとファイルの内容は、あなたの端末から、あなた自身の契約（Claude、Codex）を通じて送られます。capsul を経由しません。capsul が書き出すものはあなたのディスク上に留まり、下の「capsul が端末上に書き出すもの」で説明します。

無料プランの間、当方のサーバーがプロンプトごとに記録するのは、アカウント上のカウンターを 1 増やすことだけです。ログも、時刻も、端末識別子も、内容もありません。有料プランに移行すると、記録は一切行われません。数えるものがなくなるからです。

ご利用状況に応じて、次の区分のデータを取り扱います。

機微データ（GDPR 第 9 条）は一切取り扱わず、GDPR 第 22 条にいう法的効果を生じさせる、または同様に重大な影響を及ぼすプロファイリングや自動化された決定も用いません。

メールアドレスの提供は、アカウントの作成と管理に必要です。ない場合はアカウントを作成できず、サービスを提供できません。ユーザー名はこのアドレスから導出され、ご要望により変更できます。

アカウントを作成できるのは 15 歳以上の方に限られます。これは GDPR 第 8 条に基づきフランスが定めた年齢です。

• アカウント：メールアドレスとユーザー名。目的：アカウントの作成と管理。法的根拠：契約の履行。Google または GitHub から送られる実名とプロフィール画像は保持しません。サービス内で使用しないため、登録時に削除します。
• 認証：パスワード（ハッシュ化し、平文では保持しません）または Google・GitHub でのサインイン。後者では、連携を成立させるのはそれだけであるため、提供元でのアカウント識別子のみを保持します。アクセストークンとリフレッシュトークンは保持しません。目的：アクセスの保護。法的根拠：契約の履行。
• 連携した端末：取り消す端末を判別できるようにするための、端末名。OS と本ツールのバージョンは承認画面にのみ表示され、連携リクエスト（10 分）とともに消えます。目的：端末の識別と取り消しを可能にすること。法的根拠：契約の履行。
• 利用状況／割当：無料プランで消費したプロンプト数のカウンターで、アカウントに紐づきます。ログも、時刻も、端末識別子もありません。目的：無料プランの適用。法的根拠：契約の履行。
• 課金：有料プランでは、メールアドレスとアカウント識別子を決済事業者（Polar）に送信します。カード情報を当方が見ることはありません。法的根拠：契約の履行、法的義務。
• セキュリティ：スキャンにさらされる箇所（サインイン、アカウント作成、端末連携の開始・取消・コード交換、決済セッションの開始）では、不正利用対策のカウンターを IP アドレスの不可逆なフィンガープリントに対して付け、アドレスそのものには付けません。読み取ることも再利用することもできず、カウンターは 10 分から 1 時間で失効します。同一の発信元からの試行回数を数えるためだけのもので、プロンプトに結び付けられることはありません。プロンプトの計数はアカウント識別子のもとで、アドレスなしに行われます。法的根拠：不正利用からサービスを守る正当な利益（GDPR 第 6 条 1 項 (f)）。

コマンドラインツールは、ユーザープロファイル内のフォルダー ~/.config/capsul に状態を保存します。フォルダーは権限 0700 で作成され、設定ファイルと下記の記録ファイルは 0600 で書き出されます。読めるのはあなたのアカウントだけです。例外は、エージェントが workspaces/ に置く下書きだけで、これらはセッションの既定の権限（umask、多くは 0644）になります。他のアカウントから遠ざけているのはファイルではなくフォルダーです。これらのファイルはあなたのディスクに留まり、運営者にも第三者にも送信されません。

capsul にはこれらのファイルを消去するコマンドはありません。あなたのものであり、ディスク上の他のファイルと同じように、全部でも一部でもご自身で削除してください。

• ledger.jsonl（権限 0600）：1 ターンにつき 1 行。時刻、リクエストの先頭部分（最大 120 文字）（認識できた Anthropic の API キーは切り詰めの前にマスクします）、プロジェクトの絶対パス、トークン数、モデルが報告したコスト、使用したエージェントとモデル。「stats」コマンドが集計するのはこのファイルです。
• config.json（権限 0600）：API キー、OAuth トークン、アカウントセッション。OS のキーチェーンが利用できない場合に限ります。利用できる場合、これらの秘密情報はキーチェーンに入り、このファイルには含まれません。
• mcp.json（権限 0600）：MCP サーバーの設定。サーバーが持つ環境変数と、ローカルプラグインのパスを含みます。
• workspaces/（権限 0700 のフォルダー）：エージェントが生成した下書き。プロジェクトごとのサブフォルダーに置かれ、そのプロジェクトの絶対パスにちなんで命名されます。
• claude-usage.json（権限 0600）：Claude Code のローカル記録（~/.claude/projects）から読み取った消費量合計のキャッシュ。起動のたびに読み直さないためのものです。

本サイトが設置するのは自社の Cookie のみで、動作に必要なもの、またはあなたが表明した設定を保持するものに限られます。加えてローカルストレージの目印が 1 つあります。アクセス解析・広告・追跡の Cookie は一切なく、したがって同意バナーもありません。 サイトの訪問状況は Vercel Web Analytics で計測しています。Cookie を設置せず、端末上の情報も読み取りません。個人を特定することも、サイトをまたいで追跡することもなく、ページビューを数えるだけです。

• capsul_theme、capsul_locale：選択したテーマと言語（12 か月）。
• capsul_cli_code：端末の連携を保護します（10 分）。
• authjs.session-token（本番では「__Secure-」を接頭）：サインインのセッション、7 日間。
• authjs.csrf-token と authjs.callback-url：CSRF 対策とサインイン後の戻り先。ブラウザーを閉じると消えます。本番では前者に「__Host-」、後者に「__Secure-」が付きます。
• authjs.pkce.code_verifier：OAuth の手順を保護する PKCE 検証値。Google または GitHub でのサインインの間だけ（15 分）。本番では「__Secure-」を接頭します。
• capsul:intro：Cookie ではなくローカルストレージの目印で、導入アニメーションを再生済みであることを覚え、繰り返さないようにします。識別子を含まず、サーバーに送信されることはなく、サイトのデータを消去すると失われます。

あなたのデータを販売・貸与することはありません。提供先の第三者は、責任の異なる 2 つの区分に分かれます。

処理者：当方のために、当方の指示にのみ従って行動します。

独立した管理者：あなたが直接関係を持ち、各社自身のポリシーに記載されたそれぞれの取扱いについて責任を負います。

欧州連合域外への移転。 これらの提供先のいくつかは米国に所在し（Vercel、Polar、Google、GitHub、Resend、Anthropic、OpenAI）、データベースのホスティングは Supabase プロジェクトで選択したリージョンによっては欧州連合域外になり得ます。当方のために域外移転が生じる場合は常に、GDPR 第 5 章にいう適切な保護措置、とりわけ欧州委員会の標準契約条項によって担保されます。写しは contact@capsul.chat 宛にご請求ください。

• Supabase：データベースのホスティング（本人確認情報、利用状況）。
• Vercel：サイトのホスティングおよび Cookie を使わないアクセス計測。IP アドレスが技術ログに残る場合があります。
• Resend：取引メールの送信（アドレス確認、アカウント通知）。
• Polar（Polar Software Inc.）：有料プランの決済と請求。
• Google / GitHub：この方法を選んだ場合のサインイン。
• Anthropic（Claude）、OpenAI（Codex）、およびあなたが設定したその他のモデル提供者。コマンドラインツールを通じ、あなた自身の契約のもとで利用されます。プロンプトと対応するファイルの抜粋は、あなたの端末から、あなたが選び認証した提供者へ送られます。capsul はこのデータを中継せず、運営者は受領者でもなく、アクセス手段も持ちません。

これらの期間は、手作業ではなくデータベース自身が毎日実行する自動削除によって適用されます。

• アカウント：有効である間。その後はご請求により削除します。
• 確認リンク：24 時間。保留中の登録：24 時間。
• 端末トークン：端末ページから取り消すまで（自動では失効しません）。
• 端末の連携リクエスト：有効期間 10 分、24 時間以内に自動削除。
• 課金：会計・税務上の義務が求める期間だけ保存します。請求書自体は Polar が保有し、当方はサブスクリプション識別子と現在の期間終了日のみを保持します。
• 不正利用対策：IP アドレスをそのまま記録することはありません。不可逆なフィンガープリントに変換し、カウンターの鍵として用い、対象期間の終了から 1 時間後に自動削除します。
• 取り消された端末とトークン：取り消しから 90 日後に自動削除します。

アクセス、訂正、消去、制限、異議、ポータビリティの各権利に加え、死後のデータの取扱いについて指示する権利（1978 年 1 月 6 日フランス法律第 78-17 号第 85 条）があります。行使は contact@capsul.chat へ。1 か月以内に回答します。全端末からのサインアウトと端末の取り消しは、アカウントから直接行えます。

CNIL に苦情を申し立てることもできます（cnil.fr）。

通信は暗号化され（HTTPS）、データベースは保存時に暗号化されています。データへのアクセスはサーバー側で隔離され（ブラウザーからのアクセスはありません）、パスワードはハッシュ化し（bcrypt）、当方が発行するトークン、すなわち端末トークン、確認リンク、保留中の登録は、フィンガープリントの形でのみ保存します。秘密情報がクライアントに露出することはありません。

ひとつだけ、意図的な例外があります。端末が表示する連携コードです。読み取って打ち直す性質上、構造的にエントロピーが低く、これを守るのはフィンガープリントではなく 10 分という有効期間です。

本ポリシーはサービスとともに変わることがあります。実質的な変更はこのページで告知します。最終更新日が基準となります。

最終更新： 2026 年 8 月 30 日。