aqua にもどる / Back to aquaEnglish ↓
プライバシーポリシー
制定日: 2026年10月5日 最終改定日: 2026年10月9日
バーチャルクロス（以下「当社」といいます）は、バーチャル水族館「aqua」（以下「本サービス」といいます）における利用者の情報を、次のとおり取り扱います。当社の住所と代表者は 特定商取引法に基づく表記 に記載しています。
1. 収集する情報のまとめ
| 項目 | 収集主体 | 目的 |
|---|---|---|
| Google アカウントの名前、メールアドレス、プロフィール画像の場所（URL） | 当社（Google でログインしたとき） | ログイン状態の維持、入場券の保存、画面への名前の表示 |
| Apple が発行する利用者の番号、メールアドレス（非公開を選んだ場合は転送用のアドレス）、初回のみ名前、Apple との連携を解除するためのトークン | 当社（Apple でサインインしたとき） | 同上。トークンはアカウント削除時に Apple との連携を解除するためだけに使います |
| 入場券の記録（種類、デザイン、有効な日、支払いの番号と金額） | 当社 | 入場の確認、入場券ホルダーの表示 |
| 端末を見分けるしるし（クッキー） | 当社 | ログインせずに買った入場券をその端末で使えるようにする、ログイン状態の維持 |
| アバターのなまえと姿、館内での位置 | 当社（部屋にいるあいだ、同じ部屋の人へ中継する。位置は保存しない） | 同じ部屋の人への表示 |
| 招待した人のなまえ、部屋を開いた回数 | 当社 | 招待の画面への表示（部屋が終わって1日後まで）、1日2回までの確認（その日のうちだけ） |
| Web 版で決済するときに入力するメールアドレス | Stripe（決済会社。利用者の端末から直接）。当社は Stripe の管理画面で確認できます | 領収書の送付、お支払いに関する連絡 |
| アプリ内課金の取引の情報（App Store の取引 ID、Google Play の購入トークンと注文番号、商品の種類、購入日時など） | 当社（iOS / Android アプリで購入したとき。アプリから受け取り、Apple または Google に問い合わせて確かめる） | 購入の確認、入場券の発行、同じ購入からの二重発行の防止 |
| アプリ内課金のお支払いの情報（お支払い方法、請求先など） | Apple（App Store）または Google（Google Play）。利用者の端末から直接 | 決済、領収書の送付、返金の手続き |
| 接続元の IP アドレスなどの通信の記録 | Cloudflare（配信事業者） | サイトの配信、不正利用の防止 |
| 文字（フォント）を読み込むときの接続元の IP アドレス | Google（Google Fonts。利用者の端末から直接） | 文字の表示 |
| 決済情報（カード番号など） | 取得しない（Web 版は Stripe、アプリ内課金は Apple または Google が処理） | — |
| 位置情報、連絡先、写真、マイク・カメラの内容 | 取得しない | — |
| 広告のための識別子、アクセス解析の情報 | 取得しない（広告もアクセス解析ツールも使っていません） | — |
当社は、上の表の情報を、表に記した目的（本サービスの提供、入場の確認と入場券の保存、同じ部屋の人への表示、購入の確認と二重発行の防止、不正利用の防止、お問い合わせへの対応）のために利用し、それ以外の目的には利用しません。
2. アカウントとログイン
Google または Apple のアカウントでログインできます。当社が受け取るのは上の表の情報だけで、パスワードは受け取りません。ログイン状態を保つため、ブラウザにクッキーを保存します。
3. 入場券とお支払い
Web 版でのお支払いは、決済会社 Stripe の画面で行います。カード番号などの決済情報は Stripe が処理し、当社は受け取りません。iOS アプリと Android アプリでのお支払いは、次の「4. アプリ内課金について」のとおりです。当社が記録するのは、入場券の種類、デザイン、有効な日、支払いの番号と金額です。ログインせずに購入した入場券の記録は、購入から30日後に消去します。同じ支払いから入場券が二重に発行されるのを防ぐため、支払いの番号（決済会社またはストアが発行するもの）と購入日だけは、入場券の記録を消去したあとも、購入から30日間は保持します。
4. アプリ内課金について
iOS アプリでの購入は Apple の App Store の、Android アプリでの購入は Google Play のアプリ内課金で行います。お支払い方法やカード番号などの決済情報は Apple または Google が処理し、当社は受け取りません。
当社が受け取るのは、購入のあとアプリから送られる取引の情報（App Store の取引 ID、または Google Play の購入トークンと商品の種類）です。当社のサーバーは、これを Apple（App Store Server API）または Google（Google Play Developer API）に送って、購入が成立していること（商品の種類、購入日時、取り消されていないかなど）を確かめたうえで、入場券を発行します。Google Play の購入は、確認のあと、購入の処理が済んだことを Google に知らせます。受け取った情報は、購入の確認、入場券の発行、同じ購入からの二重発行の防止のためにだけ使います。入場券の記録には、App Store の取引 ID または Google Play の注文番号を支払いの番号として残します（保持の期間は「3. 入場券とお支払い」と同じです）。
領収書は Apple または Google から届きます。アプリ内課金の返金は、Apple または Google の定める手続きによります。
5. 友達との部屋
部屋に入っているあいだ、アバターのなまえと姿、館内での位置が、同じ部屋にいる人に送られます。位置は保存しません。招待した人のなまえは、招待の画面に表示するため、部屋が終わって1日後までサーバーに残ります。部屋を開いた回数は、1日2回までの決まりを確かめるため、その日のうちだけ記録します。
6. ブラウザの中に保存するもの
アバターのなまえと姿、表示する言語、画質・コマ数・鳴き声の設定、開いている部屋の番号は、利用者のブラウザの中にだけ保存します。サーバーには送りません（アバターは、部屋に入るときだけ送ります）。
7. 業務の委託と、外国にある委託先
当社は、本サービスの提供に必要な範囲で、次の事業者に個人情報の取扱いを委託しています。当社は、委託先を適切に選び、契約により安全管理の措置を確保し、必要かつ適切な監督を行います。
| 委託先 | 所在国 | 委託する内容 | データの保存場所 |
|---|---|---|---|
| Cloudflare, Inc. | 米国 | サーバー、データベース及びファイルの保管、配信 | アジア太平洋地域のデータセンター（国は同社が公表していないため、特定できません）。アクセスの記録の保存国は、同社が公表していないため特定できません |
| ストライプジャパン株式会社 | 日本 | Web 版の決済の処理（個人データの処理は Stripe Payments Europe, Limited〈アイルランド〉が行い、米国の Stripe, LLC へ移転されます。インド等にあるサービス提供者が取り扱うことがあります）。同社は、決済の処理のほか、不正の防止、法令の遵守及び同社のサービスの改善のため、同社のプライバシーポリシーに従って独立した事業者としても情報を取り扱います | アイルランド、米国（インド等にあるサービス提供者が取り扱うことがあります） |
Google・Apple のログインと、App Store・Google Play のアプリ内課金は、各社が利用者の端末から直接取得して自らの責任で取り扱うもので、当社からの委託ではありません（「8. 利用者の端末から外部に送られる情報」）。アプリ内課金の確認のために当社のサーバーから Apple・Google に送るのは、各社が発行した取引の番号だけで、各社はそれが自社の発行したものかを答えます（「4. アプリ内課金について」）。
上の委託先のうち Cloudflare, Inc. は米国の事業者で、データは日本国外で取り扱われます。Stripe の決済の処理はアイルランド（個人情報保護委員会が日本と同等の水準にあると認めた国）の関連会社が行い、米国の Stripe, LLC へ移転されます（インド等にあるサービス提供者が取り扱うことがあります）。当社は、Cloudflare, Inc. が、個人情報の保護に関する法律第4章第2節の規定の趣旨に沿った措置（安全管理、委託された目的以外の利用の禁止、再委託先の管理、漏えい時の報告等）を継続的に講じる体制を整備していることを、同社が取得しているグローバル CBPR の認証により確認しています（同法第28条第1項、同法施行規則第16条）。なお、Stripe の個人データの処理を担う Stripe Payments Europe, Limited の所在国（アイルランド）を含む欧州経済領域（EEA）の国及び英国は、個人情報保護委員会が日本と同等の水準にあると認めた国です。同社から個人データの移転を受ける Stripe, LLC（米国）は、グローバル CBPR の認証を受けています。当社は、年に1回以上、これらの措置の実施状況と、その実施に影響を及ぼすおそれのある外国の制度を確認します。これらの措置について、ご請求があれば、法令の定めに従い、下記のお問い合わせ先でご案内します（同法第28条第3項）。各社の取り扱いは、それぞれのプライバシーポリシーをご覧ください。各国の個人情報の保護に関する制度は、個人情報保護委員会が公表している情報（個人情報保護委員会のページ）で確認できます。
8. 利用者の端末から外部に送られる情報
本サービスを使うと、次の情報が利用者の端末から次の事業者に直接送られます。これらの事業者は、それぞれのプライバシーポリシーに従って、自らの責任で情報を取り扱います。これは当社からの個人データの提供ではありません。当社がこれらの事業者から受け取るのは、表の「当社が受け取るもの」に記載したものだけです。広告や解析のための送信はありません。（電気通信事業法の外部送信規律にもとづく公表）
| 送信先（取り扱う者） | 送られる情報 | 目的 | 当社が受け取るもの |
|---|---|---|---|
| Cloudflare, Inc.（本サービスの配信） | IP アドレス、ブラウザ及び端末の情報などの通信の記録、クッキー | サイトとアプリの配信、不正利用の防止。同社は通信の記録を同社のサービスの改善のためにも利用します | 通信の記録の集計 |
| Google LLC（Google アカウントのログイン画面） | Google アカウントの情報、IP アドレス、ブラウザの情報 | ログイン | 名前、メールアドレス、プロフィール画像の場所、識別子（利用者が許可したもの） |
| Apple Inc.（Apple でサインインの画面） | Apple アカウントの情報、IP アドレス、端末の情報 | ログイン | Apple が発行する利用者の番号、メールアドレス（または転送用のアドレス）、初回のみ名前、連携解除のためのトークン |
| Stripe（Web 版の決済画面） | カード番号等の決済情報、メールアドレス、IP アドレス、端末の情報 | 決済の処理。同社は不正の防止、法令の遵守及び同社のサービスの改善のためにも、独立した事業者として利用します | 決済の結果、支払いの番号と金額 |
| Apple Inc.／iTunes 株式会社（App Store） | 購入の手続きに必要な情報、お支払いの情報 | iOS アプリのアプリ内課金（日本では iTunes 株式会社が当社の代理人として販売します） | 取引の識別子 |
| Google LLC（Google Play） | 購入の手続きに必要な情報、お支払いの情報 | Android アプリのアプリ内課金 | 購入トークンと注文番号 |
| Google LLC（Google Fonts） | IP アドレス、ブラウザの情報、開いているページ | 書体の配信 | なし |
9. 第三者提供
当社は、法令にもとづく場合を除き、利用者の同意なく、利用者の情報を第三者に提供しません。「7. 業務の委託と、外国にある委託先」の委託先への取り扱いの委託は、これにあたりません。当社が本サービスに係る事業を第三者に承継させる場合は、利用者の情報を承継先に引き継ぐことがあります。
10. 安全管理措置
当社は、利用者の情報の漏えい、滅失またはき損を防ぐため、次の措置を講じています。取り扱いの決まりを定め、情報にアクセスできる者を必要な者に限り、データベースへのアクセスに認証と暗号化された通信を用い、ログインの状態や購入の確認はサーバー側で検証しています。外的環境の把握として、当社は米国の事業者（Cloudflare, Inc.）に個人データの取扱いを委託し、データはアジア太平洋地域のデータセンターに保存されます（国は特定できません）。Web 版の決済の処理はアイルランド・米国で行われます（インド等にあるサービス提供者が取り扱うことがあります）。これらの国の個人情報の保護に関する制度を把握したうえで、安全管理措置を講じています。
11. アカウントと情報の削除
ログイン後、入場券ホルダーの「アカウントを削除する」から、アカウントと入場券の記録を消すことができます。お支払いの記録は、決済会社（Stripe）またはストア（Apple、Google）に残ります。そのほかの削除のご希望は、下記のお問い合わせ先までご連絡ください。
12. 開示等の請求
利用者は、当社が保有する自分の情報について、開示、訂正、追加、削除、利用の停止または第三者提供の停止を請求できます。請求は下記のお問い合わせ先へのメールで受け付けます。本人確認のため、ログインに使っているアカウントのメールアドレスからの送信、または購入の記録（支払いの番号など）の提示をお願いすることがあります。手数料はいただきません。
13. 子どものプライバシー
13歳未満の方は本サービスを利用できません。未成年の方がログインまたは購入をする場合は、保護者の同意を得たうえでご利用ください。当社は、子どもの情報であることを知りながら、必要以上の情報を収集することはありません。
14. 本ポリシーの変更
当社は、必要に応じて本ポリシーを変更することがあります。変更したときは、このページに掲示します。利用者に重要な影響がある変更は、事前に本サービス上で告知します。
15. お問い合わせ
本ポリシーに関するご質問、苦情やご相談は、次の窓口で受け付けます。
バーチャルクロス / VirtualCross
メールアドレス: info@virtual-cross.com
運営者情報（電話・所在地）: 特定商取引法に基づく表記
Privacy Policy
This English text is a reference translation. The Japanese text above is the one that applies.
Enacted: October 5, 2026 · Last revised: October 9, 2026
VirtualCross (“we”) handles the information of users of the virtual aquarium “aqua” (the “Service”) as follows. Our address and representative are given in the Notice under the Act on Specified Commercial Transactions.
1. Summary of the information collected
| Item | Collected by | Purpose |
|---|---|---|
| Your Google account’s name, email address and the location (URL) of your profile picture | Us (when you sign in with Google) | Keeping you signed in, keeping your tickets, showing your name on screen |
| The user number Apple issues, your email address (a relay address if you chose to hide it), the first time only your name, and a token for revoking the link with Apple | Us (when you sign in with Apple) | As above. The token is used only to revoke the link with Apple when you delete your account |
| The record of your tickets (kind, design, the day it is valid, the payment’s reference and amount) | Us | Checking entry, showing the ticket holder |
| A mark that tells devices apart (a cookie) | Us | Letting a ticket bought without signing in work on that device; keeping you signed in |
| Your avatar’s name and look, and where you are in the hall | Us (relayed to the people in the same room while you are in it; positions are not stored) | Showing you to the people in the same room |
| The host’s name, and the number of rooms opened | Us | Showing the invitation screen (until one day after the room ends); checking the limit of two a day (that day only) |
| The email address you enter when paying on the web | Stripe (the payment company; directly from your device). We can see it in Stripe’s dashboard | Sending the receipt; contact about the payment |
| The details of an in-app purchase (the App Store transaction ID; the Google Play purchase token and order number; the product, the time of purchase and the like) | Us (when you buy in the iOS or Android app; received from the app and checked with Apple or Google) | Confirming the purchase, issuing the ticket, and keeping one purchase from being turned into more than one ticket |
| The payment details of an in-app purchase (payment method, billing details and the like) | Apple (App Store) or Google (Google Play), directly from your device | Payment, sending the receipt, handling refunds |
| Traffic records such as the connecting IP address | Cloudflare (the delivery provider) | Delivering the site; preventing misuse |
| The connecting IP address when fonts are loaded | Google (Google Fonts; directly from your device) | Displaying text |
| Payment details (card numbers and the like) | Not collected (handled by Stripe on the web, and by Apple or Google for in-app purchases) | — |
| Location, contacts, photos, microphone or camera content | Not collected | — |
| Advertising identifiers, analytics data | Not collected (we use neither advertising nor analytics tools) | — |
We use the information in the table above only for the purposes listed there (providing the Service, checking entry and keeping tickets, showing you to the people in the same room, confirming purchases and preventing double issue, preventing misuse, and answering enquiries).
2. Accounts and sign-in
You can sign in with a Google or an Apple account. We receive only the information in the table above, and never your password. A cookie is stored in your browser to keep you signed in.
3. Tickets and payment
On the web, payment is made on the pages of the payment company Stripe. Payment details such as card numbers are handled by Stripe and do not reach us. Payment in the iOS and Android apps is described in “4. In-app purchases” below. What we record is the kind of ticket, its design, the day it is valid, and the payment’s reference and amount. The record of a ticket bought without signing in is erased 30 days after purchase. To keep one payment from being turned into more than one ticket, the payment's reference number (issued by the payment company or the store) and the date of purchase are kept for 30 days from purchase, even after the record of the ticket has been erased.
4. In-app purchases
Purchases in the iOS app are made through Apple’s App Store, and purchases in the Android app through Google Play’s in-app billing. Payment details such as the payment method and card numbers are handled by Apple or Google and do not reach us.
What we receive is the transaction information the app sends after a purchase (the App Store transaction ID, or the Google Play purchase token and the product). Our server sends it to Apple (App Store Server API) or Google (Google Play Developer API) to confirm that the purchase is complete (the product, the time of purchase, whether it has been cancelled and so on), and then issues the ticket. For a Google Play purchase, after confirming it we tell Google that the purchase has been processed. We use the information we receive only to confirm the purchase, issue the ticket, and keep one purchase from being turned into more than one ticket. The ticket’s record keeps the App Store transaction ID or the Google Play order number as the payment’s reference (kept for the same period as in “3. Tickets and payment”).
Receipts come from Apple or Google. Refunds for in-app purchases follow Apple’s or Google’s procedures.
5. Rooms with friends
While you are in a room, your avatar’s name and look and your position in the hall are sent to the people in the same room. Positions are not stored. The host’s name stays on the server until one day after the room ends, so that it can be shown on the invitation screen. The number of rooms opened is recorded for that day only, to check the limit of two a day.
6. What is kept in your browser
Your avatar’s name and look, the display language, the settings for quality, frame rate and animal calls, and the code of the room you have open are kept only in your browser. They are not sent to the server (the avatar is sent only when you enter a room).
7. Contractors, including those outside Japan
To the extent needed to provide the Service, we entrust the handling of personal information to the companies below. We choose them with care, secure safeguards by contract, and supervise them as necessary and appropriate.
| Contractor | Country | What is entrusted | Where data is stored |
|---|---|---|---|
| Cloudflare, Inc. | United States | Servers, database and file storage, delivery | Data centres in the Asia-Pacific region (the country is not published by the company and cannot be identified). The country where access logs are kept cannot be identified because Cloudflare does not disclose it |
| Stripe Japan, Inc. | Japan | Processing of payments on the web (personal data is processed by Stripe Payments Europe, Limited in Ireland and transferred to Stripe, LLC in the United States; service providers located in India and elsewhere may handle it). Besides processing payments, Stripe also handles information as an independent business, under its own privacy policy, for fraud prevention, legal compliance and the improvement of its services | Ireland and the United States (service providers located in India and elsewhere may handle it) |
Sign-in with Google or Apple, and in-app purchases through the App Store or Google Play, are handled by those companies on their own responsibility, with information they obtain directly from your device; they are not our contractors (see “8. Information sent from your device”). To confirm an in-app purchase, our server sends Apple or Google only the transaction reference that company issued, and the company answers whether it is genuine (see “4. In-app purchases”).
Of the contractors above, Cloudflare, Inc. is a United States company and handles data outside Japan. Stripe’s payment processing is carried out by an affiliate in Ireland (a country the Personal Information Protection Commission of Japan recognises as having an equivalent level of protection) and transferred to Stripe, LLC in the United States (service providers located in India and elsewhere may handle it). We have confirmed, through its Global CBPR certification, that Cloudflare, Inc. has a system in place to continuously take measures in line with Chapter IV, Section 2 of Japan’s Act on the Protection of Personal Information (security, no use beyond the entrusted purpose, control of sub-processors, breach reporting and the like) (Article 28(1) of the Act; Article 16 of its Enforcement Rules). The countries of the European Economic Area (EEA), including Ireland, where Stripe Payments Europe, Limited, which processes personal data for Stripe, is located, and the United Kingdom are recognised by the Personal Information Protection Commission as having a level of protection equivalent to Japan’s. Stripe, LLC (United States), which receives personal data transferred from that company, holds Global CBPR certification. We review these measures, and any foreign laws that may affect them, at least once a year. On request, we will provide further information as required by law through the contact below (Article 28(3)). For how each company handles information, see its privacy policy. Information on each country’s data protection system is published by the Personal Information Protection Commission (PPC page, in Japanese).
8. Information sent from your device
When you use the Service, the following information is sent directly from your device to the companies below. These companies handle it on their own responsibility under their own privacy policies. This is not a provision of personal data by us. What we receive from them is only what is listed under “What we receive”. Nothing is sent for advertising or analytics. (A disclosure under the external-transmission rules of the Telecommunications Business Act.)
| Sent to (handled by) | Information sent | Purpose | What we receive |
|---|---|---|---|
| Cloudflare, Inc. (delivery of the Service) | Traffic records such as the IP address and browser and device information; cookies | Delivering the site and the apps; preventing misuse. Cloudflare also uses traffic records to improve its own services | Aggregated traffic records |
| Google LLC (the Google account sign-in page) | Google account information, IP address, browser information | Sign-in | Name, email address, profile picture location and identifier (as you allow) |
| Apple Inc. (the Sign in with Apple page) | Apple account information, IP address, device information | Sign-in | The user number Apple issues, your email address (or a relay address), your name the first time only, and a token for revoking the link |
| Stripe (the payment pages on the web) | Payment details such as card numbers, email address, IP address, device information | Processing the payment. Stripe also uses it as an independent business for fraud prevention, legal compliance and the improvement of its services | The result of the payment, the payment reference and amount |
| Apple Inc. / iTunes K.K. (App Store) | Information needed for the purchase; payment details | In-app purchases in the iOS app (in Japan, iTunes K.K. sells on our behalf) | The transaction identifier |
| Google LLC (Google Play) | Information needed for the purchase; payment details | In-app purchases in the Android app | The purchase token and order number |
| Google LLC (Google Fonts) | IP address, browser information, the page being viewed | Delivering fonts | Nothing |
9. Provision to third parties
Except where the law requires it, we do not provide your information to third parties without your consent. Entrusting its handling to the contractors in “7. Contractors, including those outside Japan” is not such provision. If we transfer the business of the Service to a third party, users’ information may be passed to the successor.
10. Security measures
To prevent leaks, loss or damage of users’ information, we set rules for handling it, limit access to those who need it, protect database access with authentication and encrypted connections, and verify sign-in state and purchases on the server. As to the external environment: we entrust the handling of personal data to a United States company (Cloudflare, Inc.), and data is stored in data centres in the Asia-Pacific region (the country cannot be identified). Payments on the web are processed in Ireland and the United States (service providers located in India and elsewhere may handle them). We take our security measures with an understanding of the data protection systems of these countries.
11. Deleting your account and data
After signing in, you can delete your account and the record of your tickets from “Delete account” in the ticket holder. Records of payment stay with the payment company (Stripe) or the store (Apple, Google). For other deletion requests, please use the contact below.
12. Requests for disclosure and the like
You can ask us to disclose, correct, add to, delete, stop using, or stop providing to third parties the information we hold about you. Send your request by email to the contact below. To confirm your identity, we may ask that you write from the email address of the account you sign in with, or show a record of a purchase (such as the payment reference). There is no fee.
13. Children’s privacy
Persons under 13 may not use the Service. If you are a minor, please use sign-in and purchases with the consent of a parent or guardian. We do not knowingly collect more information than necessary from children.
14. Changes to this policy
We may change this policy when necessary. Changes are posted on this page. Changes that significantly affect users are announced on the Service in advance.
15. Contact
Questions, complaints and consultations about this policy are received at the following contact.
VirtualCross
Email: info@virtual-cross.com
Operator details (telephone and address): Notice under the Act on Specified Commercial Transactions