// forms-pdf / privacy policy

1. このアドオンが扱うデータ

2. 外部送信について

• 回答データ、設定、ライセンスキーを S-Hub や第三者のサーバーに送信することはありません。PDF の生成と保存は、すべてあなたの Google アカウント内（Google Apps Script と Google ドライブ）で完結します。
• アドオンは解析・広告・トラッキングのコードを含みません。
• 例外: Pro を購入する際は、あなたが「Pro にする」を押したときに S-Hub の購入ページ（Stripe Checkout）を開きます。このとき利用中の Google アカウントのメールアドレスを購入ページに渡します。決済情報は Stripe が処理し、S-Hub はカード番号を受け取りません。

3. データの保護

• 通信の暗号化: アドオンと Google のサービスの間の通信は、Google により TLS（HTTPS）で暗号化されます。購入ページ、Stripe、S-Hub のサーバーとの通信もすべて TLS で暗号化されています。
• 保存時の暗号化: 回答データは、生成した PDF に差し込まれた形でのみ保存され、その PDF はあなたの Google ドライブ（Google により保存時に暗号化）にのみ保存されます。購入記録は S-Hub のデータベース（Supabase）に保存され、保存時に暗号化されています。
• 外部送信をしない設計: アドオン（Apps Script）は外部への通信を行う権限（script.external_request）を要求していません。そのため、アドオンが回答データや設定を外部のサーバーへ送信することは技術的にできません（購入ページを開くときの例外は「2. 外部送信について」のとおり）。
• アクセスの最小化: drive.file により、アドオンがアクセスできるのはアドオン自身が作成したファイルだけです。forms.currentonly により、開いているフォーム以外は読みません。設定はあなたのフォームとアカウントに紐づく Apps Script の設定領域に保存され、S-Hub を含む第三者は参照できません。
• 購入記録の保護: 購入記録（メールアドレス、プラン、有効期限、ライセンスキー、Stripe の顧客 ID と契約 ID。再発行を申請した場合は購入時と Google アカウントの 2 つのメールアドレス）は、公開アクセスを遮断したデータベースに保存し、サーバー側の処理からのみ読み書きします。カード情報は Stripe（PCI DSS 準拠）が処理し、S-Hub は受け取りません。
• 署名鍵の管理: ライセンスキーの発行と検証に使う鍵は、アドオンのコードには含めず、運営者のみが参照できる領域に保管しています。
• 人によるアクセス: 運営者が回答データや生成した PDF を閲覧することはありません。購入記録の閲覧は、サポート対応と法令対応に必要な範囲に限ります。
• 第三者提供・利用の制限: Google API から取得した情報を販売せず、広告や AI モデルの学習には使いません。
• 保存期間: 購入記録は契約期間中と、法令（日本の税法）で保存が求められる期間保持し、その後削除します。削除の依頼は support@dev-tools-hub.xyz で受け付けます。
• 事故時の対応: 購入記録に関わる漏えいなどが判明した場合は、影響を受ける方に速やかに通知します。

4. Google API の利用（OAuth スコープ）

このアドオンの Google API から取得した情報の利用は、Google API サービスのユーザーデータに関するポリシー（https://developers.google.com/terms/api-services-user-data-policy）— 限定的な使用の要件を含む — に従います。

5. データの削除

• アドオンをアンインストールすると、トリガーは停止します。設定領域のデータはフォームを削除するか、サイドバーと設定の画面の各「削除」操作で消せます。
• 生成した PDF はあなたのドライブにあり、あなたが自由に削除できます。
• 購入記録（メールアドレス・購入日・キー発行履歴）は S-Hub が Stripe と発行記録として保持します。削除のご希望は下記連絡先へ。

6. 変更と連絡先

このポリシーを変更する場合は本ページで告知します。お問い合わせ: support@dev-tools-hub.xyz

Privacy Policy (English summary)

• What we access: the questions and responses of the Google Form the add-on is opened in; issuer details, seal image, field mapping and sequence counters you enter in the sidebar; a license key that contains the buyer's email.
• Where it is stored: everything stays inside your Google account — generated PDFs in your Google Drive, settings in the Apps Script properties of the form and of your account. Respondent names, addresses and emails are stored only inside the PDFs, never in the add-on's settings.
• No external transmission: response data, settings and license keys are never sent to S-Hub or any third party. The add-on contains no analytics or tracking. The only outbound step is opening the S-Hub purchase page (Stripe Checkout) when you click "Upgrade to Pro"; it receives the email of the signed-in Google account. Card details are handled by Stripe.

3. How we protect your data

• Encryption in transit: traffic between the add-on and Google services is encrypted by Google with TLS (HTTPS). Traffic to the purchase page, Stripe and S-Hub's servers is also encrypted with TLS.
• Encryption at rest: response data is stored only inside the generated PDFs, and those PDFs are stored only in your Google Drive (encrypted at rest by Google). Purchase records are stored in S-Hub's database (Supabase), encrypted at rest.
• No external transmission by design: the add-on (Apps Script) does not request the permission to make external network requests (script.external_request), so it is technically unable to send response data or settings to external servers. The only exception, opening the purchase page, is described above.
• Least access: with drive.file the add-on can access only files it created; with forms.currentonly it reads only the form it is opened in. Settings are stored in the Apps Script properties tied to your form and account, which no third party, including S-Hub, can read.
• Protection of purchase records: purchase records (email, plan, expiry date, license key, Stripe customer and subscription IDs, and, if you request a reissue, both the purchase email and the Google account email) are stored in a database with public access blocked, and are read and written only by server-side processes. Card details are processed by Stripe (PCI DSS compliant); S-Hub never receives them.
• Signing key management: the key used to issue and verify license keys is not included in the add-on's code and is kept in locations accessible only to the operator.
• Human access: the operator never views response data or generated PDFs. Purchase records are viewed only as needed for customer support and legal compliance.
• Limits on sharing and use: information received from Google APIs is never sold and never used for advertising or to train AI models.
• Retention: purchase records are kept for the duration of the subscription and for the period required by law (Japanese tax law), then deleted. Deletion requests: support@dev-tools-hub.xyz
• Incident response: if a leak or similar incident involving purchase records is discovered, affected users will be notified promptly.

Google API scopes, deletion and contact

• Google API scopes: forms.currentonly (read the current form), drive.file (save and list only files the add-on created), script.scriptapp (create/remove the form-submit trigger), script.container.ui (sidebar), userinfo.email (compare the license key with the signed-in account). Use of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements.
• Deletion: uninstalling stops the trigger; settings can be removed from the sidebar or by deleting the form; PDFs are in your Drive. Purchase records held by S-Hub/Stripe can be deleted on request. Contact: support@dev-tools-hub.xyz