短く言うと、アカウントなしなら単語と設定はブラウザ内に留まり、外へ出るのは翻訳する単語だけです。ログインすると、語彙（その出どころである字幕の文も含めて）と演習の回答、利用イベントが当方のデータベースへ同期され、AI 機能は必要な部分を Google の Gemini API に送ります。販売は一切なく、すべて削除を依頼できます。
1. 責任者
管理者（GDPR 第4条(7)およびトルコ個人データ保護法第6698号（KVKK）にいう管理者）は Murathan Bakti です。
- メール： contact@wordmi.com
- 設立地： Türkiye
2. 拡張機能が何をするか、どこで動くか
拡張機能は netflix.com と www.youtube.com でのみ動作し、ほかでは動きません。再生中の作品または動画向けにプラットフォームが提供する字幕トラックを読み、二つを同時に表示し、上の行の単語を押せるようにします。YouTube では、プレーヤーと同じ方法で、その動画の字幕を YouTube 自身の字幕サービスに要求します。動画にご自身の言語の字幕がない場合の YouTube の自動翻訳も、これに含まれます。Netflix や Google の認証情報、支払い情報、視聴履歴、その他の訪問サイトを読むことは ありません。動画や音声をダウンロードすることはなく、字幕ファイルを端末に保存することもありません。
3. アカウントなしで使う
アカウントは任意です。アカウントがなければ 当方のサーバーには何も保存されません。 選んだ言語、外観の設定、保存した単語、その出どころの文、復習の予定は、すべてブラウザのローカルストレージにあります。まだ送信されていない演習の回答と利用イベントも、同じ場所で待機します。
例外が一つあります。単語の意味を表示するには、その単語を翻訳サービスへ送る必要があります。直訳モードを有効にしている場合は、そのとき画面に出ている字幕の行も送られます。これはログインの有無にかかわらず行われます（第6節をご覧ください）。
初めてログインしたとき、そのブラウザにたまっていた単語と送信待ちの記録（利用イベントは最大500件、演習の回答は最大2,000件）が、ログインしたアカウントへアップロードされます。
4. ログイン後に扱うもの、およびその法的根拠
| データ | 目的 | 法的根拠 | 保持期間 |
|---|---|---|---|
| メールアドレス | アカウントの識別とログインコードの送信のため | 契約の履行（GDPR 第6条(1)(b) · KVKK 第5条2項c） | アカウントを削除するまで |
| パスワード（ソルト付きハッシュのみ保存） | 本人確認のため。ログイン時には照合のため当方のサーバー関数を通りますが、平文がどこかに保存されることはありません | 契約の履行（GDPR 第6条(1)(b) · KVKK 第5条2項c） | アカウントを削除するまで |
| 電話番号：メールアドレスとパスワードでの登録時は必須。Google でのログインでは求めません | アカウントの復旧のために保存します。確認コードはこの番号ではなくメールに届きます。この番号に SMS を送ることも、電話をかけることもありません | 正当な利益（GDPR 第6条(1)(f) · KVKK 第5条2項f） | アカウントを削除するまで |
| 表示名とプロフィール画像 | アプリ内での識別のため。表示名はリーダーボードにも出ます。Google でログインした場合はどちらも Google から提供されます。画像はご自身でアップロードすることもできます | 契約の履行（GDPR 第6条(1)(b) · KVKK 第5条2項c） | アカウントを削除するまで |
| プロフィール情報：母語、学習中の言語、レベル、1日の目標、学習の目的、興味のある分野 | 演習と AI の回答をご本人に合わせるため | 契約の履行（GDPR 第6条(1)(b) · KVKK 第5条2項c） | アカウントを削除するまで |
| 保存した単語：単語、その訳、言語ペア、それが現れた字幕の文、視聴中の作品または動画の名前と ID、その中での位置 | これが製品そのものです。学習の材料であり、文こそが単語を記憶に残します | 契約の履行（GDPR 第6条(1)(b) · KVKK 第5条2項c） | 単語またはアカウントを削除するまで |
| 間隔反復の状態：反復回数、間隔、易しさ、次回予定日、失敗、回答履歴の全体 | 各単語をいつ再提示するか決めるため | 契約の履行（GDPR 第6条(1)(b) · KVKK 第5条2項c） | 単語またはアカウントを削除するまで |
| 演習の記録：問題形式、設問、入力または選択した回答、正誤、回答時間、使ったヒントと削除キーの回数、設問の表示中にタブを離れたかどうか。スピーキング問題では、ブラウザが認識したテキスト（音声の録音ではありません） | 進捗を採点し、難易度を調整し、AI 講師がつまずいている箇所を把握できるようにするため | 契約の履行（GDPR 第6条(1)(b) · KVKK 第5条2項c） | アカウントを削除するまで |
| 利用イベント：単語の保存と削除、学習セッションの開始と終了、1日の目標の達成、レベルの変化、カーソルを合わせたが保存しなかった単語とその回数（作品の名前と ID を伴う）、解説を求めた文、シーンへのリンクとアップグレードボタンのクリック、拡張機能のバージョン | AI 講師とレポートがご本人を把握できるようにするため。製品の使われ方と同期エラーを確認するため | 正当な利益（GDPR 第6条(1)(f) · KVKK 第5条2項f） | アカウントを削除するまで |
| AI 講師との会話 | 会話を中断したところから続けられるようにするため | 契約の履行（GDPR 第6条(1)(b) · KVKK 第5条2項c） | スレッドまたはアカウントを削除するまで |
| AI がご本人向けに生成したもの：演習セットとレポート | 過去のレポートを開き直せるようにするため、および1日の利用枠を数えるため | 契約の履行（GDPR 第6条(1)(b) · KVKK 第5条2項c） | アカウントを削除するまで |
| スコアと利用カウンター：ランキングのスコア、ゲームレベル、プランの名称、AI 利用の日次・週次カウンター | リーダーボードを作成し、AI 機能の利用上限を適用するため | 契約の履行（GDPR 第6条(1)(b) · KVKK 第5条2項c） | アカウントを削除するまで |
| 確認コードと信頼済み端末の記録：メールに送った6桁のコードのハッシュ、このブラウザを記憶するトークンのハッシュ、ブラウザの種類（ユーザーエージェント）、最終利用時刻 | メールアドレスとパスワードでのログインを第二の手順で保護するため。同じブラウザで30日間はコードを再度求めないため | 正当な利益（GDPR 第6条(1)(f) · KVKK 第5条2項f） | コードは10分間、端末トークンは30日間有効です。記録そのものはアカウントを削除するまで残ります |
| レート制限のカウンター：メールアドレスごと、アカウント ID ごと、およびリクエスト元の IP アドレス ごとの試行回数 | パスワードの試行とコード送信を総当たりから制限するため。チャットの1日の利用枠を数えるため | 正当な利益（GDPR 第6条(1)(f) · KVKK 第5条2項f） | 集計の区間は15分から24時間です。1日を過ぎたカウンターは自動的に削除されます。上限に達したカウンターは、同じキーが再び使われるまで残ります |
拡張機能に 広告も、第三者のアナリティクス SDK やトラッキング SDK もありません。上記の利用イベントは当方自身のデータベースにのみ書き込まれます。マーケティング目的のプロファイリングも、広告用の識別子の作成も行いません。
5. AI 機能
講師とのチャット、演習セット、文の解説、文中での単語の意味、レポート、AI による字幕翻訳は Google の Gemini API が生成します。回答のために送るのは、その回答に必要な部分だけです。対象の単語とその出どころの文、演習の回答と利用イベントの要約、プロフィール（表示名、レベル、目標、学習の目的、興味のある分野）、そして入力されたメッセージです。字幕翻訳では、動画の字幕テキストと名前が送られます。メールアドレスと電話番号は送りません。
この点で Google は当方の処理者として行動します。Gemini API の 有償 条件のもとでは、送信した内容が Google のモデルの学習に使われることはありません。保存された単語は、関連語を探せるように同じ API で数値ベクトル（埋め込み）にも変換されます。
リスニング問題とスピーキング問題
リスニング問題とスピーキング問題の文は Google Cloud Text-to-Speech が読み上げます。このサービスに渡るのは文のテキストと言語だけで、アカウント ID は送りません。生成された音声ファイルは、同じ文を二度生成しないよう、共有の、誰でも読み取れるキャッシュに保存されます。キャッシュの記録にアカウント ID は含まれません。利用上限を適用するため、アカウントごとに1日の文字数を数えます。サービスに接続できない場合は、ブラウザ自身の音声が文を読み上げます。
スピーキング問題がマイクを使うのは、ご自身がマイクのボタンを押したときだけで、ブラウザの許可ダイアログを経たうえでのことです。音声をテキストに変えるのはブラウザ自身の音声認識機能（Web Speech API）です。音声は拡張機能にも当方のサーバーにも届かず、当方が保存することもありません。 Chrome ではこの認識はサーバー側で行われ、音声は認識のために Google の音声サービスへ送られます。当方に届くのは認識されたテキストだけで、演習の記録とともに保存されます。
6. 翻訳
単語にカーソルを合わせたりクリックしたりすると、その単語 と言語ペアが Google 翻訳 へ、最初のリクエストが失敗した場合は MyMemory（Translated s.r.l.）へ送られます。単語の周囲の文は、これらのサービスには送られません。直訳モードが有効で AI 翻訳が使えないとき（たとえばログインしていないとき）は、そのとき画面に出ている字幕の行も同じ経路で翻訳されます。これらのリクエストにアカウント識別子は含まれません。MyMemory は送信されたテキストを公開の翻訳メモリに保持することがあるため、機微な内容はクリックしないでください。
ログイン中は、単語の上にしばらくカーソルを置くと、その単語が それを含む字幕の文とともに 当方のサーバーへ送られ、そこから文中での意味を求めるために Gemini へ送られます。「文を解説」ボタンも、同じ経路で文を送ります。
三つの AI の結果（字幕トラック全体の翻訳、文中での単語の意味、文の解説）は、同じ内容を次の人のために再生成せずに済むよう、当方のサーバーの共有キャッシュに保存されます。キャッシュには、字幕翻訳では翻訳された行と作品の ID、単語の意味では単語と文、文の解説では文が入り、三つのいずれにも内容の指紋、AI の回答、そして 最初に要求したアカウントの ID が入ります。アカウント ID は1日の利用上限を数えるために保持します。キャッシュが他の利用者に返すのは翻訳または解説だけで、誰が要求したかはどの利用者にも示されません。
7. リーダーボードは他の利用者に公開されます
ログイン中は、表示名・語学レベル・ゲームレベル・スコアが、ログイン中の他の Wordmi 利用者に見えます。 リーダーボードには、ランク付きテストで20問以上に回答した後に掲載されます。メールアドレス、電話番号、保存した単語、チャット履歴がそこに出ることはありません。
アップロードしたプロフィール画像はリーダーボードには表示されませんが、誰でも読み取れるストレージに置かれます。アドレスを知っている人は誰でも開くことができ、そのアドレスにはアカウント ID が含まれます。
練習を励みのあるものにするという正当な利益に基づいて行っています（GDPR 第6条(1)(f)）。第21条により異議を述べる権利があります。 contact@wordmi.com までご連絡いただければ、アカウントを他の面で制限することなく掲載から外します。
8. 共有先
データを販売しません。 広告主やデータブローカーへ渡すこともなく、与信判断や融資に使うこともありません。言語を教えること以外の目的にも使いません。関わる第三者は製品を動かすための事業者だけで、GDPR 第28条にいう処理者として行動します。
| 受領者 | 目的 | 所在 |
|---|---|---|
| Supabase Inc. | データベース、認証、ファイルの保存（プロフィール画像、読み上げ音声）、AI 機能の背後にあるサーバー関数 | 米国拠点。データはプロジェクトで設定したリージョンの AWS 基盤上 |
| Google LLC（Gemini API） | 講師、演習セット、解説、単語の意味、レポート、字幕翻訳、埋め込み | 米国拠点。グローバル基盤 |
| Google LLC（Cloud Text-to-Speech） | リスニング問題とスピーキング問題の文の読み上げ（文のテキストと言語のみ） | 米国拠点。グローバル基盤 |
| Google LLC（Google 翻訳） | 単語の翻訳。直訳モードでは画面に出ている字幕の行 | 米国拠点。グローバル基盤 |
| Translated s.r.l.（MyMemory） | 上記のリクエストが失敗したときの代替翻訳 | イタリア（EU） |
| Google LLC（Google でログイン） | この方法を選んだ場合のみ。Google が本人確認を行い、名前・メールアドレス・プロフィール画像が Google から提供されます | 米国拠点。グローバル基盤 |
| 当方のメール事業者 | ログインコードと二要素認証コードの配信 | 当該事業者自身の基盤に従う |
それ以外では、法的に強制される場合（裁判所の命令や明示的な法令上の要求）に限って開示します。
9. 国際移転
これらの事業者は世界規模で運営しているため、データは Türkiye 域外・EEA 域外（米国を含む）で処理されることがあります。米国拠点の処理者への移転は、GDPR 第46条(2)(c)にいう欧州委員会の 標準契約条項 に基づき、各事業者のデータ処理条件に組み込まれています。KVKK 上は、他の根拠が適用されない場合、国外移転は第9条に基づく明示的な同意に依拠します。
10. 保持と削除
アカウントとそれに紐づくものは、削除するまで残ります。拡張機能には、アカウントをご自身で削除するボタンはありません。削除するには contact@wordmi.com までご連絡ください。アカウントが削除されると、単語、復習履歴、演習の記録、利用イベント、チャットのスレッド、プロフィール情報、プロフィール画像、電話番号、メールアドレスは30日以内に取り除かれます。 バックアップはその後まもなく独自のサイクルで入れ替わります。
共有キャッシュにある翻訳、意味、解説は他の利用者にも使われるため、キャッシュに残ります。ブラウザ内にだけあるデータは、拡張機能をアンインストールするかストレージを消去すると取り除かれます。
11. 権利
GDPR（第15〜22条）および KVKK（第11条）により、当方が保持する内容を知り、その写しを受け取り、訂正させ、消去させ、取扱いを制限しまたは異議を述べ、ポータビリティを求め、いつでも同意を撤回する権利があります。撤回は、それ以前に適法であったことに影響しません。
単語は学習ページからご自身でいつでも JSON として書き出せます。当方に頼む必要はありません。それ以外は contact@wordmi.com までご連絡ください。30日以内に回答し（KVKK：30日、GDPR：1か月、複雑な請求では2か月延長可）、無償で対応します。
12. 監督機関への申立て
扱いに問題があったとお考えの場合は、まず当方へお知らせください。直せるほうがよいと考えています。トルコの Kişisel Verileri Koruma Kurumu（KVKK）、または EEA にお住まいなら居住地・勤務地の監督機関へ申し立てることもできます。
13. 保護の方法
通信は HTTPS を通ります。パスワードは認証事業者がソルト付きハッシュとしてのみ保存します。すべてのテーブルに 行レベルセキュリティ があり、アカウントは自分の行しか読めません。ログインとコード送信は総当たり対策としてレート制限されます。メールアドレスとパスワードでのログインでは、当方が認識していないブラウザからの場合、メールに送るコードによる第二の手順を求めます。
完全に安全なシステムはありません。侵害が権利を危うくするおそれがある場合、GDPR 第33条の求めるとおり72時間以内に監督機関へ通知し、第34条が求める場合はご本人に直接お知らせします。
14. 子ども
拡張機能は13歳未満の子ども向けではなく、そのデータを知りながら集めることはありません。子どもがアカウントを作成したとお考えの場合は contact@wordmi.com までご連絡ください。削除します。
15. 自動化された決定
AI 機能は提案と解説を生成し、復習アルゴリズムは単語を再提示する時期を決めます。いずれもご本人に法的効果や同様に重大な影響を生じないため、GDPR 第22条にいう自動化された意思決定には当たりません。
16. 変更
何を集めるか、誰が受け取るかに関わる形で本ポリシーが変わる場合、上部の日付を更新し、変更の発効前にアカウント保有者へメールでお知らせします。
17. 連絡先
データ保護に関するご質問、開示請求、削除請求は contact@wordmi.com まで。