Privacy Policy

Last updated: April 11, 2026

1. Who We Are

story-story ("we," "us," "our") operates the platform at story-story.ai. We provide AI Native Document Services and Privacy for Global Communities.

2. Data We Collect

Information you provide

Information collected automatically

3. How We Use Your Data

4. Cross-Border Data Transfer

Your personal data is transferred to and processed in the United States, with edge processing occurring at global points of presence operated by Cloudflare (including locations in the EU/EMEA and Asia-Pacific regions). The following table details each transfer recipient, as required by applicable law including Korea's Personal Information Protection Act (PIPA, Article 28-8), the EU General Data Protection Regulation (GDPR, Articles 44–49), and Canada's Personal Information Protection and Electronic Documents Act (PIPEDA).

4.1 Xano, Inc.

4.2 Cloudflare, Inc.

4.3 Netlify, Inc.

4.4 Stripe, Inc.

4.5 Your rights regarding cross-border transfers

You may refuse or withdraw consent for cross-border data transfer at any time. Withdrawing consent for essential transfers (Xano, Cloudflare, Netlify) requires account deletion, as the service cannot operate without these providers. To exercise this right, contact us at privacy@story-story.ai.

4.5.1 EU/EEA Users — GDPR Cross-Border Transfer Basis

For users in the European Union or European Economic Area, personal data is transferred to the United States under Standard Contractual Clauses (SCCs) adopted by the European Commission (Decision 2021/914). We have entered into SCCs with each of our US-based service providers (Xano, Cloudflare, Netlify, Stripe) to ensure an adequate level of data protection as required by Articles 44–49 of the GDPR.

4.5.2 Canadian Users — PIPEDA Cross-Border Transfer

For users in Canada, we ensure that personal data transferred to the United States receives a substantially similar level of protection as required by the Personal Information Protection and Electronic Documents Act (PIPEDA). We have reviewed each US provider's data protection practices and determined they meet the standard set by the Office of the Privacy Commissioner of Canada for cross-border transfers.

5. Third-Party Services

We share data only with the service providers listed in Section 4, solely to operate the platform. We do not sell your personal data to any third party.

5.1 User-Linked External Services

When you create cards, you may choose to provide your own payment handles and content URLs from external services. These are displayed publicly on your cards as you entered them. story-story does not make any server-side API calls to these services or transfer your data to them. When visitors click these links, they interact with the external service directly in their own browser.

These identifiers are stored in our database (Xano, see Section 4.1) and are subject to the same data rights described in Section 7. You may remove them at any time by editing or deleting your card.

5.2 Embedded Third-Party Content in Cards

Cards may embed third-party content you select via iframes or direct media loaders, including video (YouTube, Vimeo, Twitch, native video files), audio (Spotify), interactive games and code sandboxes (itch.io, CodePen, Scratch, Glitch, Replit, GitHub Pages, Vercel, Netlify, Cloudflare Pages, Workers), 3D models and augmented reality (<model-viewer>, A-Frame, iJewel3D, Pixotronics), and payment forms (Stripe, Kakao Pay). When a visitor opens a card containing such an embed, their browser loads the content directly from the third-party provider. This load shares the visitor’s IP address, user-agent string, and referring URL with that provider under the provider’s own privacy policy. story-story does not proxy this traffic and does not receive any cookies those providers may set inside their own frame.

3D and augmented-reality rendering uses device-motion sensors (accelerometer, gyroscope) and, where supported, WebXR spatial tracking. These sensor permissions are granted only to first-party code on story-story.ai and are never delegated to embedded third parties.

6. Data Retention

We retain your data for as long as your account is active. You may request deletion of your account and associated data at any time by contacting us.

7. Your Rights

You have the right to:

7.1 Additional Rights for EU/EEA Users (GDPR)

If you are located in the EU or EEA, you additionally have the right to:

7.2 Additional Rights for Canadian Users (PIPEDA/CASL)

If you are located in Canada, you additionally have the right to:

7.3 EU/EMEA Opt-In and Opt-Out Rights

Opt-In (How We Obtain Your Consent)

For users in the EU, EEA, and wider EMEA region, we obtain consent through separate, unbundled checkboxes during account registration:

Consent is recorded with timestamp, IP address, user agent, and consent version for audit trail purposes.

Opt-Out (How to Withdraw Your Consent)

You may withdraw consent at any time without affecting the lawfulness of prior processing:

You may also lodge a complaint with your national data protection supervisory authority if you believe your data is being processed in violation of the GDPR. In Germany, this is the Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) or your state data protection authority (Landesbeauftragte für den Datenschutz). In France, contact the CNIL.

14-day right of withdrawal: For digital purchases, you have a 14-day right of withdrawal from the date of purchase under the EU Consumer Rights Directive.

7.4 Canadian Opt-In and Opt-Out Rights (CASL)

Opt-In

Under Canada's Anti-Spam Legislation (CASL), we only send commercial electronic messages (CEMs) with your express consent. During registration, a separate checkbox allows you to opt in to marketing communications. This consent is distinct from acceptance of Terms and Privacy Policy.

Every commercial message we send includes:

Opt-Out

You may withdraw marketing consent at any time by:

We will process your unsubscribe request within 10 business days as required by CASL.

8. Cookies and Local Storage

We do not use third-party tracking cookies. We use browser localStorage for the following purposes:

8.1 Third-Party Authentication Scripts

If you choose to sign in with Google, we load the Google Identity Services library from accounts.google.com. During the sign-in popup, Google may set its own cookies on Google's domain to manage the OAuth flow. We do not control these cookies. Your Google access token is sent once to our server to verify your identity and is not stored in your browser. After verification, you receive the same xano_auth_token used by all authentication methods.

For details on Google's data practices, see Google's Privacy Policy.

EU/EEA users are asked to consent to functional storage during signup. You may withdraw this consent at any time via your Consent Settings page.

8.2 Browser Security Policies (CSP and Permissions-Policy)

We enforce a Content Security Policy that restricts which origins may load scripts, styles, fonts, images, iframes, and outbound network connections on story-story.ai. This allowlist blocks unauthorized third-party code and limits the set of providers whose content can appear inside a card. We also set a Permissions-Policy that denies camera, microphone, and geolocation access site-wide, and grants motion sensors (accelerometer, gyroscope) and spatial tracking (xr-spatial-tracking) only to first-party code for 3D and augmented-reality card rendering.

These policies are declared in HTTP response headers and enforced by the browser. They apply equally to logged-in and logged-out visitors, and cannot be disabled by user content embedded in cards.

9. Children's Privacy

Our service is intended for university-level users (age 18+). We do not knowingly collect data from children under 16.

10. Changes to This Policy

We may update this policy from time to time. When we do, we will update the "Last updated" date and, for significant changes, notify you via email or an in-app consent prompt.

11. Contact

For privacy-related inquiries, data access requests, or complaints:
Email: privacy@story-story.ai

12. Data Protection Officer

For GDPR, PIPEDA, or other data protection inquiries, you may contact our Data Protection Officer directly:
Email: privacy@story-story.ai
Subject line: "DPO Inquiry"

13. California Privacy Rights (CCPA)

If you are a California resident, the California Consumer Privacy Act (CCPA) provides you with specific rights regarding your personal information, including the right to know what data we collect, the right to delete your data, and the right to opt out of the sale of your personal information.

story-story.ai does not sell your personal information. We do not sell, rent, or trade personal information to third parties for monetary or other valuable consideration.

To exercise your rights under the CCPA (access, deletion, or portability), visit your Consent Settings page or email privacy@story-story.ai with subject line "CCPA Request."

1. Qui sommes-nous

story-story (« nous », « notre ») exploite la plateforme story-story.ai. Nous fournissons une plateforme communautaire de narration pour les étudiants, le corps professoral et les anciens élèves universitaires.

2. Données que nous recueillons

Renseignements que vous fournissez

Renseignements recueillis automatiquement

3. Utilisation de vos données

4. Transfert transfrontalier des données

Vos renseignements personnels sont transférés et traités aux États-Unis, avec un traitement périphérique dans les régions UE/EMEA et Asie-Pacifique via le réseau CDN mondial de Cloudflare. Conformément à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE/PIPEDA), nous nous assurons que vos données bénéficient d’un niveau de protection essentiellement équivalent à celui offert au Canada.

4.1 Xano, Inc.

4.2 Cloudflare, Inc.

4.3 Netlify, Inc.

4.4 Stripe, Inc.

4.5 Vos droits relatifs aux transferts transfrontaliers

Vous pouvez refuser ou retirer votre consentement au transfert transfrontalier en tout temps. Le retrait du consentement pour les transferts essentiels (Xano, Cloudflare, Netlify) nécessite la suppression de votre compte, car le service ne peut fonctionner sans ces fournisseurs. Pour exercer ce droit, contactez-nous à privacy@story-story.ai.

4.5.1 Utilisateurs de l’UE/EEE — Base juridique RGPD

Pour les utilisateurs de l’Union européenne ou de l’Espace économique européen, les données personnelles sont transférées aux États-Unis en vertu des Clauses contractuelles types (CCT) adoptées par la Commission européenne (Décision 2021/914).

4.5.2 Utilisateurs canadiens — LPRPDE

Pour les utilisateurs au Canada, nous veillons à ce que les renseignements personnels transférés aux États-Unis bénéficient d’un niveau de protection essentiellement équivalent tel qu’exigé par la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE). Nous avons examiné les pratiques de protection des données de chaque fournisseur américain.

5. Services tiers

Nous partageons des données uniquement avec les fournisseurs de services énumérés à la section 4, uniquement pour exploiter la plateforme. Nous ne vendons pas vos renseignements personnels à des tiers.

5.1 Services externes liés par l’utilisateur

Lorsque vous créez des cartes, vous pouvez fournir vos propres identifiants de paiement et URL de contenu provenant de services externes. story-story n’effectue aucun appel API vers ces services et ne leur transfère pas vos données. Les services tiers comprennent :

5.2 Contenu tiers intégré aux cartes

Les cartes peuvent intégrer du contenu tiers que vous sélectionnez au moyen d’iframes ou de chargeurs de médias directs, notamment : vidéo (YouTube, Vimeo, Twitch, fichiers vidéo natifs), audio (Spotify), jeux interactifs et environnements de code (itch.io, CodePen, Scratch, Glitch, Replit, GitHub Pages, Vercel, Netlify, Cloudflare Pages, Workers), modèles 3D et réalité augmentée (<model-viewer>, A-Frame, iJewel3D, Pixotronics) et formulaires de paiement (Stripe, Kakao Pay). Lorsqu’un visiteur ouvre une carte contenant un tel intégrant, son navigateur charge le contenu directement depuis le fournisseur tiers. Ce chargement partage l’adresse IP du visiteur, sa chaîne user-agent et l’URL référente avec ce fournisseur, régi par la politique de confidentialité propre au fournisseur. story-story ne sert pas de relais pour ce trafic et ne reçoit aucun témoin que ces fournisseurs pourraient définir dans leur propre cadre.

Le rendu 3D et de réalité augmentée utilise des capteurs de mouvement de l’appareil (accéléromètre, gyroscope) et, lorsque cela est pris en charge, le suivi spatial WebXR. Ces autorisations de capteur sont accordées uniquement au code de première partie sur story-story.ai et ne sont jamais déléguées à des tiers intégrés.

6. Conservation des données

Nous conservons vos données tant que votre compte est actif. Vous pouvez demander la suppression de votre compte et de vos données associées en tout temps.

7. Vos droits

Vous avez le droit de :

7.1 Droits supplémentaires pour les utilisateurs de l’UE/EEE (RGPD)

Si vous êtes situé(e) dans l’UE ou l’EEE, vous avez également le droit de :

7.2 Droits supplémentaires pour les utilisateurs canadiens (LPRPDE/LCAP)

Si vous êtes situé(e) au Canada, vous avez également le droit de :

8. Consentement aux communications commerciales (LCAP)

8.1 Inscription (Opt-in)

Conformément à la Loi canadienne anti-pourriel (LCAP/CASL), nous n’envoyons des messages électroniques commerciaux (MEC) que si vous avez donné votre consentement exprès. Lors de l’inscription, une case à cocher distincte vous permet d’accepter ou de refuser les communications commerciales. Ce consentement est séparé de l’acceptation des conditions d’utilisation et de la politique de confidentialité.

Chaque message commercial que nous envoyons comprend :

8.2 Désabonnement (Opt-out)

Vous pouvez retirer votre consentement aux communications commerciales en tout temps :

Nous traiterons votre demande de désabonnement dans un délai de 10 jours ouvrables, conformément à la LCAP.

9. Consentement UE/EEE — Inscription et désinscription (RGPD)

9.1 Base juridique et inscription (Opt-in)

Pour les utilisateurs de l’Union européenne et de l’Espace économique européen, nous traitons vos données sur les bases juridiques suivantes :

Le consentement aux communications commerciales est librement donné, spécifique, éclairé et sans ambiguïté. Il est recueilli séparément des autres consentements lors de l’inscription.

9.2 Désinscription et retrait du consentement (Opt-out)

Vous pouvez retirer votre consentement au traitement de vos données en tout temps, sans que cela affecte la licéité du traitement effectué avant le retrait. Pour exercer vos droits :

Vous avez le droit de déposer une plainte auprès de votre autorité de contrôle nationale si vous estimez que le traitement de vos données enfreint le RGPD. En France, il s’agit de la CNIL. En Allemagne, contactez le BfDI ou l’autorité de protection des données de votre Land (Landesbeauftragte für den Datenschutz).

Droit de rétractation de 14 jours : Pour les achats numériques, vous disposez d’un droit de rétractation de 14 jours à compter de la date d’achat, conformément à la directive européenne sur les droits des consommateurs.

10. Témoins et stockage local

Nous n’utilisons pas de témoins de suivi tiers. Nous utilisons le stockage local du navigateur (localStorage) aux fins suivantes :

10.1 Scripts d’authentification tiers

Si vous choisissez de vous connecter avec Google, nous chargeons la bibliothèque Google Identity Services depuis accounts.google.com. Pendant la fenêtre de connexion, Google peut définir ses propres témoins sur le domaine de Google pour gérer le flux OAuth. Nous ne contrôlons pas ces témoins. Votre jeton d’accès Google est envoyé une seule fois à notre serveur pour vérifier votre identité et n’est pas stocké dans votre navigateur.

Pour plus de détails, consultez la Politique de confidentialité de Google.

10.2 Politiques de sécurité du navigateur (CSP et Permissions-Policy)

Nous appliquons une politique de sécurité du contenu (Content Security Policy) qui restreint les origines pouvant charger des scripts, styles, polices, images, iframes et connexions réseau sortantes depuis story-story.ai. Cette liste d’autorisation bloque le code tiers non autorisé et limite l’ensemble des fournisseurs dont le contenu peut apparaître dans une carte. Nous définissons également une Permissions-Policy qui refuse l’accès à la caméra, au microphone et à la géolocalisation à l’échelle du site, et accorde les capteurs de mouvement (accéléromètre, gyroscope) et le suivi spatial (xr-spatial-tracking) uniquement au code de première partie pour le rendu des cartes 3D et de réalité augmentée.

Ces politiques sont déclarées dans les en-têtes de réponse HTTP et appliquées par le navigateur. Elles s’appliquent également aux visiteurs connectés et non connectés, et ne peuvent être désactivées par le contenu utilisateur intégré dans les cartes.

11. Vie privée des enfants

Notre service est destiné aux utilisateurs de niveau universitaire (18 ans et plus). Nous ne recueillons pas sciemment de données concernant des enfants de moins de 16 ans.

12. Modifications de cette politique

Nous pouvons mettre à jour cette politique périodiquement. En cas de modifications importantes, nous vous en informerons par courriel ou par une demande de consentement dans l’application.

13. Coordonnées

Pour toute question relative à la protection de la vie privée, demande d’accès aux données ou plainte :
Courriel : privacy@story-story.ai

14. Délégué à la protection des données

Pour les demandes relatives au RGPD, à la LPRPDE ou à toute autre question de protection des données :
Courriel : privacy@story-story.ai
Objet : « Demande au DPD »

15. Droits de confidentialité en Californie (CCPA)

Si vous résidez en Californie, la loi CCPA vous accorde des droits spécifiques concernant vos informations personnelles, notamment le droit de savoir, le droit de suppression et le droit de refuser la vente de vos informations.

story-story.ai ne vend pas vos informations personnelles. Nous ne vendons, ne louons ni n’échangeons vos informations personnelles à des tiers.

Pour exercer vos droits en vertu du CCPA, visitez vos Paramètres de consentement ou envoyez un courriel à privacy@story-story.ai avec l’objet « Demande CCPA ».

1. 개인정보처리자

story-story(이하 "회사")는 story-story.ai를 운영하며, 대학생, 교직원, 동문을 위한 커뮤니티 스토리텔링 플랫폼을 제공합니다.

2. 수집하는 개인정보

이용자가 직접 제공하는 정보

자동으로 수집되는 정보

3. 개인정보의 이용 목적

4. 개인정보의 국외 이전 (개인정보보호법 제28조의8)

회사는 서비스 제공을 위해 아래와 같이 개인정보를 미국으로 이전하고 있으며, Cloudflare의 글로벌 CDN 네트워크를 통해 EU/EMEA 및 아시아태평양 지역의 엣지 서버에서도 처리가 이루어집니다. 각 수탁업체의 세부 사항은 다음과 같습니다.

4.1 Xano, Inc.

4.2 Cloudflare, Inc.

4.3 Netlify, Inc.

4.4 Stripe, Inc.

4.5 국외 이전에 대한 이용자의 권리

이용자는 언제든지 개인정보 국외 이전에 대한 동의를 거부하거나 철회할 수 있습니다. 다만, 필수 서비스 제공업체(Xano, Cloudflare, Netlify)에 대한 동의 철회 시 서비스 이용이 불가능하므로 계정 삭제가 필요합니다. 권리 행사를 원하시면 privacy@story-story.ai로 연락해 주시기 바랍니다.

5. 제3자 제공

제4조에 명시된 서비스 제공업체에만 플랫폼 운영 목적으로 데이터를 공유합니다. 개인정보를 제3자에게 판매하지 않습니다.

5.1 이용자가 연결하는 외부 서비스

카드를 생성할 때 이용자는 외부 서비스의 결제 수단 정보와 콘텐츠 URL을 직접 입력할 수 있습니다. 이 정보는 이용자가 입력한 그대로 카드에 공개적으로 표시됩니다. story-story는 해당 서비스에 서버 측 API 호출을 하거나 이용자의 데이터를 전송하지 않습니다. 방문자가 이 링크를 클릭하면 자신의 브라우저에서 해당 외부 서비스와 직접 상호작용합니다.

이러한 식별 정보는 회사의 데이터베이스(Xano, 제4.1조 참조)에 저장되며, 제7조에 명시된 동일한 데이터 권리가 적용됩니다. 카드를 수정하거나 삭제하여 언제든지 이 정보를 제거할 수 있습니다.

5.2 카드에 임베드되는 제3자 콘텐츠

카드에는 이용자가 선택한 제3자 콘텐츠가 iframe 또는 미디어 로더를 통해 임베드될 수 있습니다. 여기에는 비디오(YouTube, Vimeo, Twitch, 네이티브 비디오 파일), 오디오(Spotify), 인터랙티브 게임 및 코드 샌드박스(itch.io, CodePen, Scratch, Glitch, Replit, GitHub Pages, Vercel, Netlify, Cloudflare Pages, Workers), 3D 모델 및 증강현실 (<model-viewer>, A-Frame, iJewel3D, Pixotronics), 결제 양식 (Stripe, 카카오페이)이 포함됩니다. 방문자가 이러한 임베드가 포함된 카드를 열면, 방문자의 브라우저가 제3자 제공업체로부터 직접 콘텐츠를 로드합니다. 이 과정에서 방문자의 IP 주소, user-agent 문자열, 리퍼러 URL이 해당 제공업체와 공유되며, 이는 해당 제공업체의 자체 개인정보처리방침에 따라 처리됩니다. story-story는 이 트래픽을 중계하지 않으며, 제공업체가 자체 프레임 내에서 설정하는 쿠키를 수신하지 않습니다.

3D 및 증강현실 렌더링은 기기 모션 센서(가속도계, 자이로스코프) 및 지원되는 경우 WebXR 공간 추적을 사용합니다. 이러한 센서 권한은 story-story.ai의 퍼스트파티 코드에만 부여되며, 임베드된 제3자에게는 위임되지 않습니다.

6. 개인정보의 보유 및 파기

계정이 활성화된 동안 데이터를 보유합니다. 언제든지 계정 삭제 및 관련 데이터의 파기를 요청할 수 있습니다. 파기 시 복구할 수 없는 방법으로 즉시 삭제합니다.

7. 이용자의 권리

이용자는 다음의 권리를 행사할 수 있습니다:

참고: 이용약관 및 개인정보 수집·이용 동의의 철회는 계정 삭제를 수반합니다 (개인정보보호법).

8. 쿠키 및 로컬 저장소

제3자 추적 쿠키는 사용하지 않습니다. 브라우저 localStorage를 다음 용도로 사용합니다:

8.1 제3자 인증 스크립트

Google로 로그인하는 경우, accounts.google.com에서 Google Identity Services 라이브러리를 로드합니다. 로그인 팝업 과정에서 Google이 OAuth 흐름을 관리하기 위해 Google 도메인에 자체 쿠키를 설정할 수 있습니다. 이러한 쿠키는 당사가 통제하지 않습니다. Google 액세스 토큰은 본인 확인을 위해 서버에 한 번만 전송되며 브라우저에 저장되지 않습니다.

자세한 내용은 Google 개인정보처리방침을 참조하세요.

8.2 브라우저 보안 정책 (CSP 및 Permissions-Policy)

회사는 콘텐츠 보안 정책(Content Security Policy)을 적용하여 story-story.ai에서 스크립트, 스타일, 글꼴, 이미지, iframe 및 네트워크 연결을 로드할 수 있는 출처를 제한합니다. 이 허용 목록은 허가되지 않은 제3자 코드를 차단하고 카드에 표시될 수 있는 제공업체의 범위를 한정합니다. 또한 Permissions-Policy를 설정하여 사이트 전체에서 카메라, 마이크, 위치 정보 접근을 거부하며, 모션 센서(가속도계, 자이로스코프) 및 공간 추적(xr-spatial-tracking)은 3D 및 증강현실 카드 렌더링을 위해 퍼스트파티 코드에만 부여합니다.

이러한 정책은 HTTP 응답 헤더에 선언되며 브라우저에 의해 적용됩니다. 로그인 여부와 관계없이 모든 방문자에게 동일하게 적용되며, 카드에 임베드된 이용자 콘텐츠로는 비활성화할 수 없습니다.

9. 아동의 개인정보

본 서비스는 대학생 이상(만 18세 이상)을 대상으로 합니다. 만 14세 미만 아동의 개인정보는 수집하지 않습니다.

10. 방침 변경

본 방침은 수시로 변경될 수 있습니다. 중요한 변경 사항이 있을 경우 이메일 또는 앱 내 동의 요청을 통해 안내하며, "최종 수정일"을 갱신합니다.

11. 문의처

개인정보 관련 문의, 열람·정정·삭제 요청, 불만 접수:
이메일: privacy@story-story.ai

12. 캘리포니아 개인정보 보호 권리 (CCPA)

캘리포니아 거주자인 경우, CCPA에 따라 개인정보에 대한 열람, 삭제, 판매 거부 등의 권리가 있습니다.

story-story.ai는 귀하의 개인정보를 판매하지 않습니다. 당사는 제3자에게 개인정보를 판매, 임대 또는 거래하지 않습니다.

CCPA에 따른 권리 행사는 동의 설정 페이지를 방문하거나 privacy@story-story.ai로 "CCPA 요청" 제목의 이메일을 보내주세요.

1. 我们是谁

story-story（"我们"）运营 story-story.ai 平台。 我们为大学生、教职员工和校友提供社区故事创作平台。

2. 收集的信息

您提供的信息

自动收集的信息

3. 信息的使用

4. 个人信息的跨境传输

您的个人信息将被传输至美国并在美国进行处理，同时通过 Cloudflare 全球 CDN 网络在欧盟/EMEA及亚太地区的边缘节点进行处理。 以下详细说明每个接收方的信息，符合《中华人民共和国个人信息保护法》（PIPL）第三十八条的要求。

4.1 Xano, Inc.

4.2 Cloudflare, Inc.

4.3 Netlify, Inc.

4.4 Stripe, Inc.

4.5 跨境传输的法律依据

我们依据《个人信息保护法》第三十八条，通过标准合同进行个人信息的跨境传输。 该标准合同按照国家互联网信息办公室（CAC）规定的模板签订，并已向 CAC 备案。 标准合同确保境外接收方提供与中国法律等同的个人信息保护水平。

5. 第三方服务

我们使用以下第三方服务，各有其自身的隐私政策：

5.1 卡片中嵌入的第三方内容

卡片可以通过 iframe 或媒体加载器嵌入您选择的第三方内容，包括：视频（YouTube、Vimeo、 Twitch、原生视频文件）、音频（Spotify）、互动游戏和代码沙盒（itch.io、CodePen、Scratch、 Glitch、Replit、GitHub Pages、Vercel、Netlify、Cloudflare Pages、Workers）、 3D 模型和增强现实（<model-viewer>、A-Frame、iJewel3D、Pixotronics） 以及支付表单（Stripe、Kakao Pay）。当访问者打开包含此类嵌入内容的卡片时，其浏览器 会直接从第三方提供商加载内容。此加载过程会将访问者的 IP 地址、user-agent 字符串和 引用 URL 与该提供商共享，并受该提供商自身隐私政策的约束。story-story 不会代理此 流量，也不会接收这些提供商在其自有框架中可能设置的任何 Cookie。

3D 和增强现实渲染使用设备运动传感器（加速度计、陀螺仪），以及在支持时使用 WebXR 空间跟踪。这些传感器权限仅授予 story-story.ai 上的第一方代码，不会 委派给嵌入的第三方。

6. 数据保留与删除

我们在您的账户活跃期间保留您的个人信息。您可以随时请求删除账户和相关数据。 我们将在收到请求后 15 个工作日内处理删除请求，符合《个人信息保护法》的要求。 某些数据可能因法律义务（如财务记录）而需保留更长时间。

7. 用户权利

根据《个人信息保护法》第四十四条至第四十九条，您享有以下权利：

如需行使上述权利，请联系 privacy@story-story.ai。 我们将在 15 个工作日内回复。

8. 营销通讯

营销邮件仅在您明确同意后发送。您可以随时通过邮件中的退订链接或 联系 privacy@story-story.ai 撤回同意。撤回同意后，我们将立即停止发送营销通讯。

9. Cookie 和本地存储

我们使用的存储

名称类型目的过期时间
xano_auth_tokenlocalStorage认证会话 JWE 令牌关闭浏览器或登出时清除
xano_userlocalStorage用户资料缓存（不含密码）关闭浏览器或登出时清除
xano_permissionslocalStorage用户权限/角色缓存关闭浏览器或登出时清除
cookie_consentlocalStorageCookie 同意偏好（仅限欧盟用户）持久存储
story_draft_*localStorage故事编辑器草稿自动保存手动清除或提交时清除
stack_draft_*localStorage卡片堆叠向导草稿手动清除或提交时清除
i18n_*sessionStorage翻译字符串缓存会话结束时清除
policy_translate_*sessionStorage策略页面翻译缓存会话结束时清除

我们不使用第三方追踪 Cookie。上述所有存储项目仅用于功能目的（认证和用户体验）。 草稿数据仅存储在您的设备上，不会传输到我们的服务器。

9.1 第三方认证脚本

如果您选择通过 Google 登录，我们会按需加载 Google Identity Services（accounts.google.com/gsi/client） 库。在登录弹窗过程中，Google 可能会在 Google 域名下设置 Cookie 以管理 OAuth 流程， 这些 Cookie 不受我们控制。Google 访问令牌仅发送一次至服务器用于身份验证，不会存储在浏览器中。

请参阅 Google 隐私政策了解详情。

9.2 浏览器安全策略（CSP 和 Permissions-Policy）

我们实施 内容安全策略（Content Security Policy），限制可以在 story-story.ai 上加载脚本、样式、字体、图片、iframe 和网络连接的 来源。此允许列表阻止未经授权的第三方代码，并限定可以在卡片中出现内容的提供商 范围。我们还设置了 Permissions-Policy，在整个网站范围内拒绝 摄像头、麦克风和地理位置访问，并仅将运动传感器（加速度计、陀螺仪）和空间跟踪 （xr-spatial-tracking）授予第一方代码以渲染 3D 和增强现实卡片。

这些策略在 HTTP 响应标头中声明，并由浏览器强制执行。它们同样适用于已登录和未登录 的访问者，且无法被卡片中嵌入的用户内容禁用。

10. 未成年人隐私

本服务面向大学生及以上用户。根据《个人信息保护法》第三十一条， 处理不满十四周岁未成年人的个人信息，应当取得其父母或其他监护人的同意。 如我们发现无意中收集了不满十四周岁未成年人的个人信息，将立即删除。

11. 政策变更

我们可能会不时更新本隐私政策。如有重大变更，我们将通过电子邮件或 应用内同意请求通知您，并更新"最后更新"日期。

12. 联系方式

如有个人信息相关问题、权利行使请求或投诉：
邮箱： privacy@story-story.ai

13. 监管机构

如您认为我们未妥善处理您的个人信息，有权向以下机构投诉：

14. 加州隐私权 (CCPA)

如果您是加州居民，CCPA赋予您有关个人信息的特定权利，包括知情权、删除权以及拒绝出售个人信息的权利。

story-story.ai不出售您的个人信息。 我们不会向第三方出售、出租或交易个人信息。

如需行使CCPA权利，请访问同意设置页面， 或发送邮件至privacy@story-story.ai， 主题为"CCPA请求"。

1. 我們是誰

story-story（「我們」）營運 story-story.ai 平台。 我們為大學生、教職員及校友提供社群故事創作平台。

2. 蒐集的資訊

您提供的資訊

自動蒐集的資訊

3. 資訊的使用

4. 個人資料的跨境傳輸

您的個人資料將被傳輸至美國並在美國進行處理，同時透過 Cloudflare 全球 CDN 網路在歐盟/EMEA及亞太地區的邊緣節點進行處理。 以下詳細說明各接收方的資訊，符合《個人資料保護法》（PDPA）第二十一條的要求。

4.1 Xano, Inc.

4.2 Cloudflare, Inc.

4.3 Netlify, Inc.

4.4 Stripe, Inc.

4.5 跨境傳輸的法律依據

我們依據《個人資料保護法》第二十一條，在確保您的個人資料獲得充分保護的前提下進行跨境傳輸。 我們對每位境外接收方進行適當保護評估，確保其資料保護水準不低於台灣法律的要求。

5. 第三方服務

我們使用以下第三方服務，各有其自身的隱私政策：

5.1 卡片中嵌入的第三方內容

卡片可以透過 iframe 或媒體載入器嵌入您選擇的第三方內容，包括：影片（YouTube、Vimeo、 Twitch、原生影片檔案）、音訊（Spotify）、互動遊戲和程式碼沙箱（itch.io、CodePen、 Scratch、Glitch、Replit、GitHub Pages、Vercel、Netlify、Cloudflare Pages、Workers）、 3D 模型和擴增實境（<model-viewer>、A-Frame、iJewel3D、Pixotronics） 以及付款表單（Stripe、Kakao Pay）。當訪客開啟包含此類嵌入內容的卡片時，其瀏覽器會 直接從第三方提供者載入內容。此載入過程會將訪客的 IP 位址、user-agent 字串和引用 URL 與該提供者共用，並受該提供者自身隱私權政策的約束。story-story 不會代理此流量， 也不會接收這些提供者在其自有框架中可能設定的任何 Cookie。

3D 和擴增實境渲染使用裝置動作感應器（加速度計、陀螺儀），以及在支援時使用 WebXR 空間追蹤。這些感應器權限僅授予 story-story.ai 上的第一方程式碼， 不會委派給嵌入的第三方。

6. 資料保留與刪除

我們在您的帳戶活躍期間保留您的個人資料。您可以隨時請求刪除帳戶及相關資料。 我們將在收到請求後 30 日內處理刪除請求。 某些資料可能因法律義務（如財務紀錄）而需保留更長時間。

7. 使用者權利

根據《個人資料保護法》第三條，您享有以下權利：

如需行使上述權利，請聯絡 privacy@story-story.ai。 我們將在 30 日內回覆。

8. 行銷通訊

行銷郵件僅在您明確同意後傳送。您可以隨時透過郵件中的取消訂閱連結或 聯絡 privacy@story-story.ai 撤回同意。撤回同意後，我們將立即停止傳送行銷通訊。

9. Cookie 和本機儲存

我們使用的儲存

名稱類型目的到期時間
xano_auth_tokenlocalStorage驗證工作階段 JWE 權杖關閉瀏覽器或登出時清除
xano_userlocalStorage使用者資料快取（不含密碼）關閉瀏覽器或登出時清除
xano_permissionslocalStorage使用者權限/角色快取關閉瀏覽器或登出時清除
cookie_consentlocalStorageCookie 同意偏好（僅限歐盟使用者）持久儲存
story_draft_*localStorage故事編輯器草稿自動儲存手動清除或提交時清除
stack_draft_*localStorage卡片堆疊精靈草稿手動清除或提交時清除
i18n_*sessionStorage翻譯字串快取工作階段結束時清除
policy_translate_*sessionStorage政策頁面翻譯快取工作階段結束時清除

我們不使用第三方追蹤 Cookie。上述所有儲存項目僅用於功能目的（驗證和使用者體驗）。 草稿資料僅儲存在您的裝置上，不會傳輸到我們的伺服器。

9.1 第三方驗證指令碼

如果您選擇透過 Google 登入，我們會按需載入 Google Identity Services（accounts.google.com/gsi/client） 程式庫。在登入彈窗過程中，Google 可能會在 Google 網域下設定 Cookie 以管理 OAuth 流程， 這些 Cookie 不受我們控制。Google 存取權杖僅傳送一次至伺服器用於身分驗證，不會儲存在瀏覽器中。

請參閱 Google 隱私權政策了解詳情。

9.2 瀏覽器安全政策（CSP 和 Permissions-Policy）

我們實施 內容安全政策（Content Security Policy），限制可以在 story-story.ai 上載入指令碼、樣式、字型、圖片、iframe 和網路連線的 來源。此允許清單阻擋未經授權的第三方程式碼，並限定可以在卡片中出現內容的提供者 範圍。我們還設定了 Permissions-Policy，在整個網站範圍內拒絕 攝影機、麥克風和地理位置存取，並僅將動作感應器（加速度計、陀螺儀）和空間追蹤 （xr-spatial-tracking）授予第一方程式碼以渲染 3D 和擴增實境卡片。

這些政策在 HTTP 回應標頭中宣告，並由瀏覽器強制執行。它們同樣適用於已登入和未登入 的訪客，且無法被卡片中嵌入的使用者內容停用。

10. 未成年人隱私

本服務面向大學生及以上使用者。根據中華民國民法，未滿 20 歲者為限制行為能力人， 使用本服務應取得法定代理人之同意。 如我們發現無意中蒐集了未滿 16 歲使用者的個人資料，將立即刪除。

11. 政策變更

我們可能會不時更新本隱私政策。如有重大變更，我們將透過電子郵件或 應用程式內同意請求通知您，並更新「最後更新」日期。

12. 聯絡方式

如有個人資料相關問題、權利行使請求或申訴：
電子郵件： privacy@story-story.ai

13. 監管機構

如您認為我們未妥善處理您的個人資料，有權向以下機構申訴：

14. 加州隱私權 (CCPA)

如果您是加州居民，CCPA賦予您有關個人資訊的特定權利，包括知情權、刪除權以及拒絕出售個人資訊的權利。

story-story.ai不出售您的個人資訊。 我們不會向第三方出售、出租或交易個人資訊。

如需行使CCPA權利，請訪問同意設定頁面， 或發送電子郵件至privacy@story-story.ai， 主題為「CCPA請求」。

1. 運営者情報

story-story（以下「当社」）は、story-story.aiにおいてプラットフォームを運営しています。 当社は、大学生、教職員、卒業生のためのコミュニティストーリーテリングプラットフォームを提供しています。

2. 収集する情報

ご提供いただく情報

自動的に収集する情報

3. 情報の利用目的

4. 個人情報の越境移転

お客様の個人情報は米国に移転され処理されます。また、Cloudflare の グローバル CDN ネットワークを通じてEU/EMEAおよびアジア太平洋地域の エッジサーバーでも処理が行われます。 以下に各移転先の詳細を記載します（個人情報保護法第28条に基づく）。

4.1 Xano, Inc.

4.2 Cloudflare, Inc.

4.3 Netlify, Inc.

4.4 Stripe, Inc.

4.5 越境移転の法的根拠

当社は、個人情報保護法第28条に基づき、お客様の同意を取得した上で越境移転を行います。 また、個人情報保護委員会（PPC）が十分な保護水準を有すると認めた体制の下で、 各海外受領者に対して適切な保護措置を講じています。

5. 第三者サービス

当社は以下の第三者サービスを利用しており、各サービスには独自のプライバシーポリシーがあります：

5.1 カードに埋め込まれる第三者コンテンツ

カードには、ユーザーが選択した第三者コンテンツが iframe またはメディアローダーを 通じて埋め込まれる場合があります。これには、動画（YouTube、Vimeo、Twitch、ネイティブ 動画ファイル）、音声（Spotify）、インタラクティブゲームおよびコードサンドボックス （itch.io、CodePen、Scratch、Glitch、Replit、GitHub Pages、Vercel、Netlify、 Cloudflare Pages、Workers）、3Dモデルおよび拡張現実 （<model-viewer>、A-Frame、iJewel3D、Pixotronics）、決済フォーム （Stripe、Kakao Pay）が含まれます。訪問者がこうした埋め込みコンテンツを含むカードを 開くと、訪問者のブラウザは第三者プロバイダから直接コンテンツを読み込みます。この 読み込みにより、訪問者のIPアドレス、user-agent文字列、リファラURLが当該プロバイダと 共有され、プロバイダ独自のプライバシーポリシーに基づいて処理されます。story-storyは このトラフィックを中継せず、プロバイダが自身のフレーム内で設定するCookieも受信しません。

3Dおよび拡張現実のレンダリングでは、デバイスのモーションセンサー（加速度計、 ジャイロスコープ）および対応する場合はWebXR空間トラッキングを使用します。これらの センサー権限は story-story.ai 上のファーストパーティコードにのみ 付与され、埋め込まれた第三者に委譲されることはありません。

6. データの保持と削除

当社は、お客様のアカウントが有効である間、個人情報を保持します。アカウントおよび関連データの削除はいつでもリクエストできます。 削除リクエストは受領後30日以内に処理いたします。 法的義務（財務記録等）により、一部のデータはより長期間保持される場合があります。

7. ユーザーの権利

個人情報保護法第28条から第33条に基づき、以下の権利を有します：

上記の権利を行使される場合は、 privacy@story-story.aiまでご連絡ください。 30日以内にご回答いたします。

8. マーケティング通信

マーケティングメールは、お客様の明示的な同意がある場合にのみ送信します。 メール内の配信停止リンクまたは privacy@story-story.ai へのご連絡により、いつでも同意を撤回できます。同意撤回後は、速やかにマーケティング通信を停止します。

9. Cookieとローカルストレージ

使用するストレージ

名称種類目的有効期限
xano_auth_tokenlocalStorage認証セッションJWEトークンブラウザ終了またはログアウト時にクリア
xano_userlocalStorageユーザーデータキャッシュ（パスワード除く）ブラウザ終了またはログアウト時にクリア
xano_permissionslocalStorageユーザー権限/ロールキャッシュブラウザ終了またはログアウト時にクリア
cookie_consentlocalStorageCookie同意設定（EUユーザーのみ）永続
story_draft_*localStorageストーリーエディタの下書き自動保存手動クリアまたは送信時にクリア
stack_draft_*localStorageカードスタックウィザードの下書き手動クリアまたは送信時にクリア
i18n_*sessionStorage翻訳文字列キャッシュセッション終了時にクリア
policy_translate_*sessionStorageポリシーページ翻訳キャッシュセッション終了時にクリア

当社はサードパーティのトラッキングCookieを使用しません。上記のすべてのストレージは機能目的（認証およびユーザーエクスペリエンス）にのみ使用されます。 下書きデータはお客様のデバイスにのみ保存され、当社のサーバーには送信されません。

9.1 第三者認証スクリプト

Googleログインをご利用の場合、Google Identity Services （accounts.google.com/gsi/client）ライブラリをオンデマンドで読み込みます。 ログインポップアップの過程で、GoogleはGoogleドメイン上にOAuthフロー管理用のCookieを設定する場合があります。 これらのCookieは当社の管理外です。Googleアクセストークンは認証のためにサーバーに一度だけ送信され、ブラウザには保存されません。

詳細はGoogleプライバシーポリシーをご確認ください。

9.2 ブラウザのセキュリティポリシー（CSPおよびPermissions-Policy）

当社はコンテンツセキュリティポリシー（Content Security Policy） を適用し、story-story.ai 上でスクリプト、スタイル、フォント、画像、 iframe、ネットワーク接続を読み込むことができる送信元を制限しています。この許可 リストは、許可されていない第三者コードをブロックし、カード内に表示できるプロバイダ の範囲を限定します。さらに Permissions-Policy を設定し、サイト 全体でカメラ、マイク、位置情報へのアクセスを拒否しつつ、モーションセンサー （加速度計、ジャイロスコープ）および空間トラッキング（xr-spatial-tracking）は 3Dおよび拡張現実カードのレンダリングのためファーストパーティコードにのみ許可します。

これらのポリシーはHTTP応答ヘッダーで宣言され、ブラウザによって適用されます。 ログインの有無にかかわらずすべての訪問者に等しく適用され、カードに埋め込まれた ユーザーコンテンツによって無効化することはできません。

10. 未成年者のプライバシー

本サービスは大学生以上を対象としています。日本の民法に基づき、18歳未満の方は 未成年者となり、本サービスの利用には法定代理人の同意が必要です。 16歳未満の方の個人情報を意図せず収集したことが判明した場合は、速やかに削除いたします。

11. ポリシーの変更

当社は本プライバシーポリシーを随時更新する場合があります。重大な変更がある場合は、 メールまたはアプリ内の同意リクエストにてお知らせし、「最終更新日」を更新します。

12. お問い合わせ

個人情報に関するご質問、権利行使のご要望、または苦情については：
メール： privacy@story-story.ai

13. 監督機関

当社が個人情報を適切に取り扱っていないとお考えの場合、以下の機関に苦情を申し立てる権利があります：

14. カリフォルニア州プライバシー権（CCPA）

カリフォルニア州にお住まいの場合、CCPAにより個人情報に関する特定の権利（知る権利、削除する権利、個人情報の販売を拒否する権利）が付与されます。

story-story.aiは、お客様の個人情報を販売しません。 当社は第三者に対して個人情報を販売、賃貸、または取引することはありません。

CCPAに基づく権利行使については、同意設定ページにアクセスするか、 privacy@story-story.ai宛に件名「CCPAリクエスト」でメールをお送りください。