プライバシーポリシー — Mentionedが保存するもの

収集するもの

チェックのデータ。入力したブランドとカテゴリ、生成された5つの購買者の質問、AIの回答、そこから得られたスコア。結果の表示と、作成した共有リンクに使われるデータです。
ハッシュ化したIPアドレス。IPアドレスはSHA-256でハッシュ化してから保存し、1分あたりの連続利用の制限と、チェックの1日あたりの全体上限を適用するためだけに使います。生のIPアドレスは保存しません。
チェック結果と一緒に保存されるメールアドレス（お客様が提供した場合のみ）。チェック結果と一緒にアドレスを残していただいた場合、入力されたメールアドレスと、任意で関連するチェックへの参照を保存します。これ以外では、アカウントとお問い合わせフォームを除き、メールアドレスは収集しません。
お問い合わせフォームから送信した内容。お名前、メールアドレス、任意の会社欄、トピック、メッセージは、返信のために当社にメールで送られます。データベースには書き込まれず、受信トレイのメールが当社が保管する唯一のコピーです。
アナリティクス。Google Tag Managerを使ってアナリティクスのタグを読み込み、どのページが閲覧され、どのようにサイトが見つかっているかを把握しています。また、お客様の行動のうち2つを数えています。チェックが完了したことと、メールアドレスが保存されたことです。この2つのカウントには、お客様に関する詳細は含まれません。チェックのイベントに含まれるのは、スコアの大まかな区分（5つの質問のうち、なし、一部、ほとんど、すべて）だけで、どちらにもブランド、カテゴリ、メールアドレス、結果のリンク、AIの回答は含まれません。これは前述のデータには影響しません。チェック、ハッシュ化したIP、メールアドレスは、いずれの場合も同じように扱われます。
どこから来たか（リンクが教えてくれた場合）。紹介タグ付きのリンク（たとえば、Hire Alvinなどのパートナーからの、アドレスにrefやutm_の値が付いたもの）からアクセスした場合、そのタグと最初に開いたページのパスを、mnt_refというファーストパーティのCookieに最大30日間保存します。このCookieに入るのは短いタグだけで、お客様に関する情報は含まれず、ブラウザのスクリプトからは読み取れません。当社のサインアップボタンと「無料チェックを実行」ボタンにもタグが付いており、ボタンの位置（navやfooterなど）だけを示します。クリックすると、そのタグと、クリックしたこのサイト内のページのパスが同じCookieに保存されます。ただし、パートナーのタグがすでにある場合は上書きしません。Cookieがある間にアカウントを作成すると、どのパートナーや当社のどのボタンがMentionedへの流入につながったかを把握するため、そのタグをアカウントに保存します。タグ付きのリンクからのアクセスでも、これらのボタンのクリックでもなければ、何も設定されず、何も保存されません。
アカウント。チェックの実行にはアカウントが必要です。メールアドレスとパスワードを保存しますが、パスワードはアカウントごとのランダムなソルト付きのargon2idハッシュとしてのみ保存し、そこから入力した内容を復元する手段はありません。argon2id導入前に作成されたアカウントは、古いPBKDF2-SHA256ハッシュで検証され、次回のログイン時にargon2idへ移行されます。ログインセッションはCookie内のランダムなトークンで、保存するのはそのSHA-256のみのため、データベースのコピーをログインとして再利用することはできません。
Googleでのサインイン（利用した場合のみ）。「Googleで続行」では、Googleにopenid email profileのスコープのみを求め、それ以上は求めません。Googleの署名付きの応答から、確認済みのメールアドレス（アカウントの検索または作成に使用）と、Googleアカウントに付与された固定のIDを使います。このIDは、連携した日と最後に使用した日とともに、Mentionedのアカウントに紐付けて保存します。名前やプロフィール写真は保存せず、Googleからのアクセス許可も保持しません。このサインインでMentionedがGoogleのデータにアクセスできるようになることはなく、後述のAnalyticsとSearch Consoleの連携とは別のものです。GoogleとMentionedの両方がアドレスを確認済みの場合に限り、Googleを既存のアカウントに紐付けます。この方法で作成したアカウントには、リセット用リンクで設定するまでパスワードがありません。
パスキー（追加した場合のみ）。パスキーごとに、認証情報ID、公開鍵、署名カウンター、ブラウザが報告するトランスポートのヒント（「internal」や「usb」など）、お客様が付けた名前、追加日と最終使用日を保存します。秘密鍵はお使いのデバイスまたはパスワードマネージャーの外には出ません。指紋、顔、PINの確認はデバイス上で行われ、生体データを当社が受け取ることはありません。サインインや設定のたびに使い捨てのチャレンジを使い、保存するのは最長5分間です。
プロバイダーAPIキー（お客様が意図的に保存したものだけ）。設定ページでキーを保存すると、暗号化して保存します。何から守られ、何から守られないかは、後述のセクションで正確に説明します。
Googleとの連携（連携した場合のみ）。Google AnalyticsとSearch Consoleを連携すると、暗号化したGoogleのアクセス許可と、選択したプロパティおよびサイトを保存します。アナリティクスのデータ自体は保存しません。後述のGoogleのユーザーデータをご覧ください。
Bing Webmaster Toolsのキー（保存した場合のみ）。保存したプロバイダーキーと同じ方法で暗号化し、どのキーが保存されているかをページに表示するため、末尾4文字のみ読める状態で保持します。現時点で、このキーを読み取るレポートはありません。設定で削除すると、キーは消去されます。
アカウントに連携するアプリ。APIトークンや、同意画面での承認によってClaudeなどのMCPクライアントを連携した場合、トークンそのものではなくそのSHA-256ハッシュ、お客様が付けた名前またはアプリの名前と戻り先アドレス、作成日（お客様が作成したトークンの場合は最終使用日も）を保存します。アプリにできることは、後述の連携アプリをご覧ください。
設定用のCookie。mnt_themeは、ライトまたはダークの選択を1年間保持し、サイト自身のスクリプトがこれを読み取ることで、どのページも選択したテーマで開きます。mnt_railは、アプリのサイドバーを折りたたんだかどうかを、mnt_wsは、最後に開いたワークスペースを保持します。サインインや連携の手順の合間には、有効期間の短いCookieが使われ、数分以内に失効します。これらのいずれも、広告や追跡には使いません。
無料ツール。AIクローラーチェッカー、llms.txt検証ツール、構造化データチェッカーは、入力されたアドレスを当社のサーバーから取得し、見つかった内容を表示します。アドレス、ページ、結果は保存しません。各リクエストは、IPアドレスをキーとする短期間のレート制限の対象となり、これは当社のデータベースではなくCloudflareのレートリミッターで管理されます。ページを取得するリクエストは、最初にTurnstileの確認を通過します。llms.txt検証ツールに貼り付けたテキストは、確認後に破棄されます。llms.txtジェネレーターと購買者の質問ジェネレーターは、すべてお使いのブラウザ内で動作し、当社には何も送信しません。

収集しないもの

生のIPアドレスは収集しません。前述のハッシュ化した形式のみです。
読める形のパスワードは保存しません。前述のとおりです。
単発のチェックでのAPIキーは保存しません。ホームページのチェッカーに、ChatGPT、Gemini、DeepSeek、Groq、Perplexityのご自身のキーを貼り付けた場合、そのキーはその1回のチェックとともに送られ、質問に使われ、リクエストの終了とともに破棄されます。データベースにも、エラーログを含むどのレベルのログにも、書き込まれることはありません。この点は変わりません。設定に意図的に保存するキーは、別のオプトイン式のもので、次に説明します。

ご自身のキーを使うプロバイダー

無料チェックは、Claudeは当社のAnthropicキーで、ChatGPTは当社のOpenRouterアカウント経由で、Geminiは当社のOpenRouterアカウント経由（OpenRouterが使えない場合は当社のGoogleキー）で実行されます。回答を比べるために、別のプロバイダーのご自身のAPIキーを任意で追加できます。追加した場合は次のようになります。

キーは、その1回のチェックとともにHTTPSで送信され、そのプロバイダーへのリクエストの認可ヘッダーとして使われ、破棄されます。キーそのものも、そのハッシュも、フィンガープリントも、キーに関するものは何も保存しません。
「このブラウザにキーを記憶する」にチェックを入れると、毎回貼り付けなくて済むように、キーはお使いのデバイスのブラウザのローカルストレージに保存されます。これは便利な一方で、現実的なトレードオフがあります。そのブラウザで動くものは何でもキーを読み取れるということです。このチェックボックスは初期状態ではオフで、「保存したキーを削除」で消去できます。
ブランド、カテゴリ、生成された質問は、選択したプロバイダーに送信されます。ご自身のキーを提供したプロバイダーについては、そのリクエストはそのプロバイダー自身のAPI規約と、お客様ご自身のアカウントのもとで処理されます。無料チェックでのClaude、ChatGPT、Geminiについては、当社のアカウントのもとで処理されます。後述のGoogleに関する注記をご覧ください。

設定に保存するキー

アカウントをお持ちの場合、毎回貼り付けなくて済むように、プロバイダーAPIキーを保存できます。これはオプトイン式で、何かに必須というわけではなく、毎週の実行もキーなしで動きます。保存したキーに何が起こるかを、正確にご説明します。

データベースに書き込む前に、AES-256-GCMで暗号化します。その暗号鍵は、そのデータベースには保存しません。そのため、データベースのコピーだけでは、使えるキーは何も含まれません。
その限界を、率直にお伝えします。このサイトは、保存したものを復号できます。キーを使うために必要だからです。つまり、この暗号化は、当社のデータベースが漏えいした場合にはお客様を守りますが、当社からお客様を守るものではなく、そうだと主張するつもりもありません。このトレードオフを望まない場合は、キーを保存しないでください。単発のチェックに貼り付ける方法なら、引き続き使え、何も保存されません。
どのキーが保存されているかをページに表示できるよう、末尾4文字は暗号化せずに保持します。キーを再び表示することはなく、どのAPIからも返しません。
保存したキーが使われるのは、2つの場合だけです。キーワードのページからご自身のキーで明示的に開始した実行と、毎日に設定したキーワードのすべての実行です。どちらも、そのプロバイダーでのお客様ご自身の予算を消費します。毎週の実行がこのキーに触れることはなく、そちらはこれまでどおり当社のキーで行われます。また、他の人のチェックに使われることもありません。
OpenRouter。OpenRouterのキーを保存してモデルを一覧にした場合、そのモデルでの実行は、質問をOpenRouterに送り、OpenRouterがそれを、選択したモデルの提供元（OpenAI、xAI、Meta、Mistralなど）に渡します。これは、お客様のOpenRouterアカウントとその規約のもとで行われます。保存したモデル一覧はプレーンテキストで保存されます。これはモデル名の一覧であり、機密ではありません。
設定ページでキーを削除すると、保存されている行が削除されます。

Googleのユーザーデータ

Googleとの連携は任意です。連携する場合、設定から行い、付与されたアクセスをMentionedが何に使うかは、次のとおりです。

アクセスするもの。1つの同意画面でまとめて求める、2つの読み取り専用のGoogleスコープです。https://www.googleapis.com/auth/analytics.readonly（Google Analytics 4）とhttps://www.googleapis.com/auth/webmasters.readonly（Google Search Console）。これらを使って、Googleアカウントから見えるGA4プロパティとSearch Consoleサイトの一覧を読み取り、それぞれ1つを選べるようにします。そのうえで、選択したプロパティとサイトについて、Search Consoleの直近28日間のクリック数、表示回数、クリック率、平均掲載順位、上位の検索クエリと、GA4のセッションとユーザー（chatgpt.comやperplexity.aiなど、AIアシスタントを参照元とするセッションを含む）を読み取ります。Googleアカウントの内容を変更することはできません。これらのスコープは読み取り専用です。
使い道。そのデータをお客様自身に表示するためだけに使います。お客様のアカウントの「検索とトラフィック」ページで、Mentionedがすでに追跡しているAI可視性の数字の隣に表示します。このページを開くたびにGoogleから取得し、当社のデータベースには保存しません。ブランドに言及するクエリにタグを付けるため、クエリのテキストと、追跡しているブランド名を照合します。これは当社のサーバー上での単純なテキスト照合で、AIモデルではありません。
共有、販売、移転はしません。Googleのユーザーデータを販売せず、他の誰かと共有・移転せず、広告、リターゲティング、あらゆる種類のプロファイリングに使うこともしません。共有ワークスペースのチームメンバーを含め、Mentionedの他のユーザーがお客様のGoogleデータを見ることはできません。
AIプロバイダーには送らず、モデルの学習にも使いません。Google AnalyticsとSearch Consoleのデータは、Anthropic（Claude）、Google Gemini、その他のAIプロバイダーに送ることはなく、プロンプトに含めることもなく、当社のものか他社のものかを問わず、AIや機械学習のモデルの開発、改善、学習に使うこともありません。
どう保護しているか。保存するのは、Googleが発行する長期有効なアクセス許可（リフレッシュトークン）と、選択したプロパティID、プロパティ名、サイトURLです。リフレッシュトークンは、データベースに書き込む前にAES-256-GCMで暗号化します。暗号鍵はそのデータベースには保存せず、トークンはお客様を含め誰にも表示せず、どのAPIからも返さず、ログにも書き込みません。この暗号化の限界は、前述の保存したAPIキーについて説明したものと同じです。Googleとの通信と、このサイトとの通信は、すべてHTTPSを使います。
保持と削除。連携は、お客様が解除するまでのみ保持します。設定でGoogleの連携を解除すると、Google側でアクセス許可が取り消され、保存された連携が削除されます。アカウントを削除した場合も同じで、Google側でアクセス許可が取り消され、保存された連携が削除されます。また、Googleアカウントのhttps://myaccount.google.com/permissionsから、いつでもMentionedのアクセスを削除できます。その後、レポートは動作しなくなり、再連携を求めます。アナリティクスのデータはその都度取得しており保存していないため、削除すべきデータは他にありません。

限定的な使用。MentionedによるGoogle APIから受け取った情報の使用と、他のアプリへの移転は、限定的な使用の要件を含め、Google API Services User Data Policy（https://developers.google.com/terms/api-services-user-data-policy）に従います。

連携アプリ

ClaudeなどのMCPクライアントの連携は任意で、行えるのはお客様だけです。連携したアプリは、アカウントのデータを読み取れます。追跡キーワード、スコアと推移、その裏にある質問、競合、モデル、ソース、保存済みの回答です。依頼すれば、追跡キーワードの再実行（1日の利用枠から1回分を消費）や、プランの上限内でのキーワードの追加もできます。パスワードや保存したAPIキーは読み取れません。読み取った内容は、当社ではなく、お客様自身とその提供元との契約に基づき、そのアプリとその背後のAIプロバイダーに送られます。トークンの失効やアプリの連携解除は、設定のClaudeを連携から、いつでもでき、その時点で即座に動作しなくなります。

このデータを他に誰が見るか

チェックを実行するには、AIの回答を得るために、ブランド、カテゴリ、生成された質問をAnthropic（Claudeの提供元）とGoogle（Geminiの提供元）に送る必要があります。これがこのプロダクトの中核です。当社のClaudeとGeminiへのリクエストはOpenRouterを経由することがあり、OpenRouterがそれをAnthropicまたはGoogleに転送し、回答を返します。無料チェックでは、同様にOpenRouterを経由してOpenAI（ChatGPTの提供元）にも問い合わせます。それぞれが、そのリクエストを自社のAPI規約のもとで処理します。サイト自体はCloudflare（Workers、D1データベース、ボット対策のTurnstile）上で動いており、Cloudflareはインフラ提供元として、当社に代わってトラフィックを処理し、データを保存します。お問い合わせフォームからのメッセージと、パスワード再設定などのアカウントメールは、Resendが配信します。Resendは、送信するためだけにそれらを扱います。

有料プランに申し込むと、Stripeが支払いを処理します。カード情報は直接Stripeに送られ、当社のサーバーには届きません。当社が保存するのは、Stripeが返す顧客IDとサブスクリプションIDだけで、これによってアプリはどのプランかを判断します。カード番号は当社には見えず、無料アカウントに請求することもありません。

Googleは他と異なります。その内容を知っておいてください。当社のGeminiキーはGoogleの無料枠で、Googleは、その枠で送信されたコンテンツを自社製品の改善に使うと述べています。AnthropicのAPI規約には、そうした定めはありません。つまり、無料チェックは、条件の異なる2社にブランドとカテゴリを送ります。Anthropicは回答のためだけに処理しますが、Googleはそこから学習することもあります。これが気になる場合は、設定でご自身のGemini APIキーを追加してください。ご自身のキーでのチェックは、当社ではなく、お客様ご自身のGoogleとのアカウントと規約のもとで実行されます。

データを販売せず、広告やマーケティングの目的で他の誰かと共有することもありません。

チェック結果を保存する理由

各チェックを保存しているのは、「判定をコピー」や「Xで共有」のリンクと、/r/<id>の結果ページを動かすためです。記録を保管していなければ、共有リンクは読み込むものがありません。また、公正利用の上限を適用できるようにもなります。

保持期間

チェックの記録とハッシュ化したIPは、プロダクトの運用（結果ページ、レート制限、不正利用の防止）のために保持します。チェックや保存したメールアドレスの削除をご希望の場合は、下記からお問い合わせください。

お客様の選択

チェックの実行には無料アカウントが必要なため、登録に使ったメールアドレスと、サインインの方法を保持します。パスワード（argon2idハッシュとしてのみ保存し、古いPBKDF2ハッシュは次回ログイン時に置き換えられます）、Googleアカウントとの紐付け、追加したパスキーです。パスキーは、セキュリティページからいつでも削除できます。

アカウントは、ご自身で削除できます。設定から行えます。削除されるのは、アカウント、すべての追跡クエリとその実行履歴、実行したすべてのチェック、保存したプロバイダーキー、GoogleとBingの連携、Googleサインインの紐付けとパスキー、APIトークンと連携アプリです。共有された結果のリンクは、その裏にある回答も削除の対象に含まれるため、使えなくなります。有料プランの場合は、まずStripeで解約され、その解約が失敗した場合は何も削除されません。ログインできなくなったアカウントに請求が続く状態にはしません。保持するのは1つだけです。Stripeから請求イベントを受け取ったという記録で、アカウント識別子は取り除きます。

メールアドレスだけを削除したい場合や、アカウントを削除せずに共有された結果を1件取り下げたい場合は、お問い合わせフォームからご連絡いただければ対応します。

本ポリシーの変更

保存する内容が変わる場合は、先にこのページを更新し、冒頭の「最終更新日」に反映します。

無料チェックを実行