個人情報の取扱い

取り扱う情報と目的

メールアドレス、会社情報、利用者が入力した取引・取引先・帳簿情報、認証・操作記録を、本人確認、帳簿の保存・表示、アクセス制御、不正利用の防止、お問い合わせ対応のために取り扱います。入力する第三者の情報について、必要な権限や通知等を確認し、記帳に不要な機微情報を入力しないでください。

保存環境（日本国内）と委託先

アプリケーション、データベース、認証基盤及びバックアップは、GMO インターネット株式会社が提供する ConoHa VPS 上の当社管理環境に保存します。ConoHa は日本国内のデータセンターを利用しています。Supabase のソフトウェアを当社で運用しており、Supabase のクラウドホスティングとは異なります。

バックアップは暗号化して保存し、原則として作成から90日を経過したものを順次削除します。ただし、直近7世代のバックアップ及び復元訓練の証跡として指定したバックアップは、90日を超えて保持する場合があります。バックアップは本番環境と同じ事業者の基盤上に保存するほか、暗号化した複製を当社が管理する別の保存先にも保存しています。複製も上記と同じ保存期間の考え方に従って削除します。保存先を変更・追加する場合は、本ページを更新してお知らせします。

外国にある事業者の利用（アメリカ合衆国）

本サービスでは、次のアメリカ合衆国の事業者が個人データを取り扱います。

【Resend（Plus Five Five, Inc.／アメリカ合衆国）】認証メール（登録確認・パスワード再設定等）の送信に利用します。同社には、送信先メールアドレス、メール本文（確認・再設定用リンクを含む）及び送信記録が送られます。メールの送信処理は同社の東京リージョンで行いますが、同社の公表によれば、アカウント、メールのメタデータ及びログ等のデータは送信リージョンにかかわらず米国で保管され、メール及びログのデータは30日間保存されます。同社が講ずる措置：同社は、同社のデータ処理契約（DPA）において、当社の委託先として個人データを取り扱うこと、再委託先の管理（同社の公表によれば再委託先はいずれもアメリカ合衆国に所在し、変更時は事前に通知されます）及び契約終了後90日以内のデータ削除を定めており、また SOC 2 Type II を取得していると自ら公表しています。ただし同社は、同 DPA において、送信元・送信先の特定に用いる情報や活動記録等の利用データについては同社自身が管理者となり、不正利用・セキュリティ事象の防止等の同社自身の目的にも利用するとしています（同社の公表によれば、信頼性・安全性確認のためメールの一部標本を米国の再委託先で処理することがあります）。また同社は、個人データの侵害を知ったときは遅滞なく当社に通知すること、保存時及び通信時の暗号化を約しています。一方、同社の DPA は日本の個人情報保護法に言及していません。ご本人からの開示等の請求は当社の窓口で受け付け、必要に応じて同社と連携して対応します。Resend への提供は、登録時にいただくご本人の同意に基づいて行います。

【Cloudflare Turnstile（Cloudflare, Inc.／アメリカ合衆国）】登録・ログイン・パスワード再設定画面でのボット対策に利用します。IP アドレス、TLS フィンガープリント、User-Agent、サイトキー及び接続元等の技術情報が同社に送られます（フォームの入力内容は送られません）。ボット対策は、ログイン・パスワード再設定画面では利用者が入力欄の操作を始めた時点で、登録画面では同意欄にチェックした後に読み込み、画面を開いただけでは読み込みません。同社は、これらの情報をボット検知の改善という同社自身の目的にも利用し、その保存期間を公表していません。同社の公表によれば、情報は主にアメリカ合衆国及び欧州経済領域で保管されます。同社が講ずる措置：同社は、グローバル CBPR システム及びグローバル PRP システムの認証を取得していると自ら公表しています。一方、同社の顧客向けデータ処理契約（DPA）は日本の個人情報保護法に言及しておらず、日本の利用者の情報に適用されるかは確認できていません。また、同社が自身の目的で行う利用は当社の指示の範囲外です。ご本人からの開示等の請求は当社の窓口で受け付け、必要に応じて同社と連携して対応します。同社への提供（登録・ログイン・パスワード再設定時に当社の認証基盤から送信する IP アドレス等を含みます）は、登録時にいただくご本人の同意に基づいて行います。ボット対策は本サービスへのログインに必要なため、この同意を撤回された場合は、ログインができなくなり、利用終了のお手続きをご案内します。

アメリカ合衆国の個人情報の保護に関する制度については、個人情報保護委員会が公表している「外国における個人情報の保護に関する制度等の調査」のアメリカ合衆国の部分をご参照ください。

上記各社への提供に関するご質問は、下記の窓口で受け付けます。

• 個人情報保護委員会：アメリカ合衆国（PDF）
• 個人情報保護委員会：外国における制度等の調査（一覧）
• Cloudflare Turnstile プライバシー補足（英語）

安全管理措置

会社ごとのメンバー権限を確認してデータへのアクセスを制御します。他のサービスと認証基盤が共通でも、会社の帳簿を他の利用者に公開するものではありません。運営上必要な管理アクセスは、保守、安全管理、お問い合わせ等の目的に限定します。個人データの取扱責任者として代表取締役を定めています。サーバーへの管理アクセスは鍵認証に限定し、ログインの記録を保存しています。バックアップは暗号化して保存します。

外的環境の把握として、個人データが日本国内（ConoHa）及びアメリカ合衆国（Resend、Cloudflare。Cloudflare は欧州経済領域でも保管すると公表しています）で取り扱われることを確認し、アメリカ合衆国の制度については前項の個人情報保護委員会の調査結果を参照しています。また、上記各社の認証・契約の状況及びアメリカ合衆国の関連制度を年1回以上確認します。

保存・削除とご本人の権利

保有個人データの利用目的の通知、開示（第三者提供記録の開示を含みます）、訂正・追加・削除、利用停止・消去、第三者提供の停止、外国にある第三者への提供に関する情報提供のご請求は、登録メールアドレスから service@shingihou.com へご連絡ください。登録メールアドレスからの送信等によりご本人であることを確認のうえ、原則として電子メールで回答します。手数料はいただきません。利用終了のご請求は利用規約の定めによります。法令上の保存義務、帳簿の整合性、安全管理や監査に必要な記録は、直ちに削除できない場合があります。バックアップ内のデータは、保存期間（原則90日。直近7世代及び復元訓練の証跡として指定したものを除きます）の経過により削除されます。外部事業者における保存は、上記の各社の定めによります。保存の必要性がなくなった情報は適切に処理します。