プライバシーポリシー : SR Query Builder（sr-query-builder-plugin） Privacy Policy : SR Query Builder (sr-query-builder-plugin)

このページは、Chrome ウェブストアの審査および利用者への開示のために、本拡張が扱うデータとその流通経路を説明します。 This page explains, for Chrome Web Store review and for our users, what data the extension handles and where it flows.

要点 Summary

本拡張の開発者が運用するサーバーは存在しません。 利用者のデータが開発者側に送信・保存・収集されることは一切ありません。データはすべて、以下の 各主体との間でのみ流通します。 There is no developer-operated server. No user data is ever transmitted to, stored by or collected by the developer. All data flows only between the following parties.

1. 利用者のブラウザ（本拡張の実行環境。chrome.storage を含む） The user’s browser, where the extension runs (including chrome.storage)
2. 利用者の Google アカウント（Google Sheets = プロジェクト DB、Google Drive = LLM API ログなどの実体保管） The user’s Google account (Google Sheets as the project database; Google Drive for LLM API log files)
3. 利用者が自分の API キー（BYOK: Bring Your Own Key）で契約する LLM API（Gemini、OpenRouter、または Anthropic。既定は Anthropic の Claude）、NCBI E-utilities、および NLM MeSH RDF（MeSH 階層情報の取得。API キー不要の公開エンドポイント） The LLM API the user contracts with using their own key (BYOK: Gemini, OpenRouter, or Anthropic; Anthropic's Claude is the default), NCBI E-utilities, and NLM MeSH RDF (used to fetch MeSH hierarchy data; a public endpoint that needs no API key)

取り扱うデータと送信先 Data handled and where it goes

Google ユーザーデータへのアクセス範囲 Scope of access to Google user data

本拡張が要求する OAuth スコープは以下の 1 つ のみ です。 The extension requests only the following OAuth scope.

• https://www.googleapis.com/auth/drive.file : 利用者が作成に関与したファイル（本拡張が作成したスプレッドシート・Drive フォルダ・ログファイル、および利用者が Google ピッカーで明示的に選択したファイル）だけ にアクセスします。Drive 全体を読むスコープ（drive.readonly 等）や、全スプレッドシートへ アクセスできる https://www.googleapis.com/auth/spreadsheets スコープは要求しません。 https://www.googleapis.com/auth/drive.file : access limited to files the user was involved in creating (spreadsheets, Drive folders and log files created by the extension, plus any file the user explicitly selects in the Google Picker). Broader scopes such as drive.readonly, or the https://www.googleapis.com/auth/spreadsheets scope that reaches every spreadsheet, are never requested.

共有スプレッドシートを開くとき（Google ピッカー） Opening a shared spreadsheet (Google Picker)

他の利用者が作成して共有したスプレッドシートは、上記スコープの性質上、利用者がそのファイルを明示的に選択するまで本拡張からは読めません。このため、共有スプレッドシートを開こうとしたときに Google 公式の「ピッカー」（ファイル選択画面）を表示し、対象ファイルを 1 回だけ選んでもらいます。選択されたファイルにのみアクセスが許可され、Drive 上の他のファイルは対象になりません。 Because of the scope above, a spreadsheet created and shared by someone else cannot be read by this extension until the user explicitly selects that file. When you try to open such a spreadsheet, the extension therefore shows Google’s official Picker (file selection dialog) and asks you to select the file once. Access is then granted to that file only; no other file in your Drive becomes accessible.

ピッカーの画面は、Chrome 拡張のセキュリティ制約（Manifest V3 の CSP）により拡張内に埋め込めないため、本拡張の公開ページ（picker.html。GitHub Pages で配信される静的ページ）に置いています。このページは Google の公式スクリプトを読み込んでファイル選択画面を表示し、選択されたファイルの ID を拡張機能へ返すだけです。開発者が運用するサーバーは介在せず、ファイルの内容もサインイン情報もこのページには保存されません。なお、選択の際に利用者のメールアドレスを URL のフラグメント（# 以降。HTTP リクエストとして送信されない部分）で渡し、拡張でサインイン中のアカウントと同一かを確認します。異なるアカウントで許可された場合は、取得したトークンを破棄して選択をやり直してもらいます。 Chrome extension security rules (the Manifest V3 CSP) prevent the Picker from being embedded inside the extension, so it is hosted on this site instead (picker.html, a static page served by GitHub Pages). That page loads Google’s official scripts to display the file selection dialog and only returns the selected file’s ID to the extension. No developer-operated server is involved, and neither file contents nor sign-in information are stored on the page. Your email address is passed to it in the URL fragment (the part after #, which is never sent as part of the HTTP request) so that the page can confirm you are granting access with the same account you are signed in with in the extension; if a different account is used, the token obtained is discarded and you are asked to try again.

サインイン中アカウントのメールアドレスは OAuth スコープではなく、Chrome 拡張 API の chrome.identity.getProfileUserInfo()（identity.email permission）で取得します。これは Chrome プロファイルの同期アカウント情報を読むだけで、OAuth スコープを広げるものではありません。取得したメールアドレスは、Meta・Protocol の created_by、SeedPapers の decided_by、FormulaVersions の saved_by、LLMApiLog の executed_by、Drive のログ JSON の executed_by に記録します。Google ピッカーでのアカウント確認、および NCBI E-utilities の email パラメータにも使用します。開発者へ送信することはありません。 The signed-in account’s email address is not obtained via an OAuth scope; it comes from the Chrome extension API chrome.identity.getProfileUserInfo() (the identity.email permission). This only reads the Chrome profile’s synced account information and does not widen the OAuth scope. The email address obtained is recorded in created_by in Meta and Protocol, decided_by in SeedPapers, saved_by in FormulaVersions, executed_by in LLMApiLog, and executed_by in Drive log JSON. It is also used to verify the account in Google Picker and as the NCBI E-utilities email parameter, and is never sent to the developer.

本拡張は、Google API から取得したユーザーデータを、上記の機能提供以外の目的（広告・分析・第三者への提供・機械学習モデルの学習等）に 一切使用しません。Google API Services User Data Policy（Limited Use 要件を含む）を遵守します。 User data obtained through Google APIs is never used for anything beyond the features described above : no advertising, analytics, transfer to third parties, or model training. The extension complies with the Google API Services User Data Policy, including its Limited Use requirements.

LLM API・NCBI API への送信について Transmission to the LLM API and NCBI API

• LLM プロバイダ（Gemini、OpenRouter、または Anthropic。既定は Anthropic の Claude）: 検索式のドラフト生成や検証結果の解釈補助を実行すると、研究プロトコル本文・検索式ブロック定義・検索式・PubMed の書誌（タイトル・抄録）・シード論文と判定結果が、利用者が選択した LLM プロバイダの API キー（BYOK）を用いて、そのプロバイダ（Google の Gemini API、OpenRouter、または Anthropic の API）へ送信されます。送信先によるデータの取り扱いは、各プロバイダ自身のプライバシーポリシー・利用規約に従います。本拡張はプロバイダを仲介せず、利用者のブラウザから直接 API を呼び出します。 LLM provider (Gemini, OpenRouter, or Anthropic; Anthropic's Claude is the default): running search-strategy drafting or getting help interpreting validation results sends the protocol text, search block definitions, search strategies, PubMed titles and abstracts, seed papers and decisions to the LLM provider the user selected : Google’s Gemini API, OpenRouter, or Anthropic’s API : using that provider’s API key (BYOK). How that destination handles the data is governed by that provider’s own privacy policy and terms. The extension does not proxy the request: the call is made directly from the user’s browser.
• NCBI E-utilities: 検索式の検証（ブロックごとのヒット数、シード論文捕捉率、MeSH 用語抽出）のため、検索式や PMID、取得できたサインイン中の Google アカウントのメール（email）、設定済み NCBI API キーを NCBI の E-utilities（eutils.ncbi.nlm.nih.gov）へ送信します。NCBI API キーは任意で BYOK として設定でき、レート制限緩和のために使用します。 NCBI E-utilities: to validate the search strategy (per-block hit counts, seed-paper capture rate, MeSH term extraction), the search strategy, PMIDs, the signed-in Google account email (email) when available, and configured NCBI API key are sent to NCBI’s E-utilities (eutils.ncbi.nlm.nih.gov). An NCBI API key can optionally be configured as BYOK to ease rate limits.
• NLM MeSH RDF（SPARQL エンドポイント）: ブロック内の MeSH 用語について、MeSH ツリー上の親子関係（祖先・子ノードの名称）を取得するため、descriptor 名や tree number を NLM の MeSH RDF エンドポイント（id.nlm.nih.gov/mesh/sparql）へ SPARQL クエリとして送信します。PMID や研究プロトコルの本文は送信されません。認証や API キーは不要です。 NLM MeSH RDF (SPARQL endpoint): to fetch the parent/child relationships of MeSH terms within a search block (the names of ancestor and child nodes), descriptor names and tree numbers are sent as a SPARQL query to NLM’s MeSH RDF endpoint (id.nlm.nih.gov/mesh/sparql). PMIDs and protocol text are never sent this way. No authentication or API key is required.

初回の AI 送信前に、送り先・送る内容・各社のデータの扱いを示す同意モーダルを表示します。同意しなければ送信しません。OpenRouter / Anthropic は、そのモデルの選択時またはキーの保存時に Chrome が任意の送信許可を求めます。拒否してもキー・モデルは保存できます。設定画面の「許可する」から再度許可でき、許可がない間は送信せず、自動再試行もしません。 Before the first AI transmission, a consent dialog explains the destination, data and provider practices. No data is sent without consent. Chrome requests optional host permission for OpenRouter / Anthropic when selecting that provider’s model or saving its key. Keys and models can still be saved after refusal. Permission can be granted later using the allow button in settings; no requests or automatic retries occur without permission.

同意モーダル、任意の許可、NCBI の email、実行者の記録の追加は、次回の拡張機能の更新から適用します。 The consent dialog, optional host permissions, NCBI email and added executor records apply from the next extension update.

Google の説明では、Gemini API の無料枠では、送った内容と応答が Google の製品の改善に使われ、人が読むことがあるとされています。有料枠では改善に使わないとされています。未公開のプロトコルなど機密の内容は、無料枠で送らないでください。EEA・スイス・英国では無料枠でも有料枠と同じ扱いとされています。 According to Google, Gemini API free-tier inputs and responses may be used to improve products and may be read by humans. Paid-tier content is not used for improvement. Do not send confidential unpublished protocols through the free tier. In the EEA, Switzerland and UK, paid-tier data treatment applies even to free services.

Anthropic の説明では、API の入力と出力は、既定ではモデルの学習に使わないとされています。保持期間などは Anthropic の説明を確かめてください。Anthropic の説明では、API の入力と出力は、受け取りまたは生成から 30 日以内にバックエンドから自動で削除されるとされています（利用ポリシー違反の確認や法令上の必要などの例外があります）。 According to Anthropic, API inputs and outputs are not used for model training by default. Check Anthropic’s explanation of retention and other practices. According to Anthropic, API inputs and outputs are automatically deleted from its backend within 30 days of receipt or generation, with exceptions such as enforcing its Usage Policy or legal requirements.

OpenRouter の説明では、OpenRouter 自身は既定ではプロンプトと応答を保存しないとされています。転送先の提供元の扱いは提供元ごとに異なり、OpenRouter のプライバシー設定で学習に使う提供元を除外できます。 According to OpenRouter, it does not store prompts and responses by default. Data handling by downstream providers varies; OpenRouter privacy settings can exclude providers that use data for training.

抄録などの著作権は各著作者・出版社にあります。AI への送信は利用者の判断と責任で行い、送り先の利用条件に従ってください。 Copyright in abstracts and other works belongs to their authors and publishers. Sending them to AI is your decision and responsibility; follow the destination’s terms.

• Gemini API terms
• Gemini API pricing
• Anthropic model training
• Anthropic retention
• OpenRouter provider logging and training
• OpenRouter ZDR

データの保存・削除 Retention and deletion

• すべてのデータは利用者自身の Google アカウント（Sheets / Drive）とブラウザローカルストレージに保存されます。削除は、利用者が Google Drive / Sheets 上のファイルを削除し、拡張を削除（またはブラウザのストレージをクリア）することで完結します。 All data is stored in the user’s own Google account (Sheets / Drive) and in browser local storage. Deleting the files in Google Drive / Sheets and removing the extension (or clearing browser storage) removes everything.
• 本拡張をアンインストールすると、chrome.storage 内の設定（LLM プロバイダ（Gemini / OpenRouter / Anthropic）・NCBI の API キー、認証状態等）は Chrome によって削除されます。Google Drive / Sheets 上のプロジェクトデータは利用者の資産としてそのまま残ります。 Uninstalling the extension makes Chrome delete its chrome.storage settings (LLM provider (Gemini / OpenRouter / Anthropic) and NCBI API keys, sign-in state, etc.). Project data in Google Drive / Sheets remains, as it belongs to the user.

第三者提供・データ販売 Third parties and data sales

本拡張は、利用者のデータを第三者へ販売・提供しません。開発者はデータを収集しないため、そもそも提供しうるデータを保持しません。 The extension neither sells nor discloses user data to third parties. The developer collects no data and therefore holds nothing that could be disclosed.

お問い合わせ Contact

本ポリシーに関する問い合わせは、GitHub リポジトリの Issues へお願いします。 Please contact us through the Issues page of the GitHub repository.