プライバシーポリシー

1. 個人情報取扱事業者の名称

2. 収集する個人情報の項目

当社は、本サービスの提供にあたり、以下の個人情報を取得します（個人情報保護法第20条・第21条）。

2.1 お客様から直接取得する情報

2.2 第三者から間接取得する情報

• freee会計API：お客様の同意に基づくOAuth連携により、freee上の取引データ及び請求書データを取得します。
• LINE LIFFマジックリンク：サプライヤー（子テナントの取引先）が提出する光熱費データ。LINEプロフィール情報（表示名・プロフィール画像URL）はLIFF SDK経由で取得される場合がありますが、当社データベースには保存しません。
• 親テナントからの招待：金融機関（親テナント）がSME（子テナント）を一括招待する際に提供するメールアドレス。

3. 利用目的の特定（第17条・第18条）

当社は、取得した個人情報を以下の目的の達成に必要な範囲内でのみ利用します。あらかじめお客様の同意を得ることなく、これらの利用目的の達成に必要な範囲を超えて個人情報を取り扱うことはありません（第18条）。

1. ESGコンプライアンスレポートの生成、コンプライアンス状態の分析及びギャップ分析の実施（CBAM、SSBJ、CSRD/ESRS、VSME、SEC Climate等の各フレームワークへの対応）
2. ドキュメントの受信、OCR処理、AI分類・抽出、及びUniversal ESG Ledgerへの構造化データの格納
3. SLL（サステナビリティ・リンク・ローン）適格性の数理的評価及びコベナント・モニタリング
4. アカウントの認証、ユーザー管理、ロールベースアクセス制御の実施
5. カスタマーサポートの提供及びサービスに関する通知の送信
6. 本サービスの安定稼働の確保、障害対応、セキュリティインシデントの検知・対応
7. 本サービスの品質向上のための匿名化された統計分析（個人を識別不可能な形での集計に限ります。）
8. 法令に基づく対応、監査対応及び規制当局への報告
9. AI支援による監査分析、レポート作成支援及びコンプライアンスに関するQ&A対応
10. サービスに関するご案内及びマーケティング情報の送付（お客様の事前同意がある場合に限ります）

当社は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用しません（第19条）。

4. データ管理における役割（委託元・委託先）

4.1 基本的な役割分担

4.2 データフロー別の役割

• Google OAuth連携：お客様がGoogle OAuthでログインする際、当社はGoogleから提供されるプロフィール情報（氏名、メールアドレス、プロフィール画像URL）をアカウント認証目的でのみ処理します。当社はGoogleに対するデータの委託先ではなく、お客様の同意に基づく独立した取得です。
• freee会計API連携：お客様のOAuth同意に基づきfreeeから取引データを取得します。当社はfreeeに対するデータの委託先ではなく、お客様の明示的同意に基づき、お客様に代わってfreee APIからデータを取得する立場です。取得した認証トークンは暗号化のうえtenant_integrationsテーブルに保管され、連携解除時に即座に削除されます。
• LINE LIFFサプライヤーリンク：SME（委託元）がサプライヤーにマジックリンクを発行し、サプライヤーが光熱費データを提出する場合、当社はSMEの委託先として当該データを処理します。サプライヤーの個人情報に関する本人への通知・同意取得は、SME（委託元）の責任において行われるものとします。

5. 自動PII除去（個人情報の最小化）

当社は、プライバシー・バイ・デザインの原則に基づき、ドキュメント処理パイプラインにおいて個人情報を自動的に検出・除去する多層的なメカニズムを実装しています。

この多層構造により、AI推論エンジン（Gemini/Claude）に送信されるデータ及びWORM台帳に永続化されるデータから、個人情報が設計上排除されます。

6. データの保管場所及び外国にある第三者への提供（第28条）

6.1 永続データの国内保管保証

• お客様の個人データを含むすべての永続データ（PostgreSQLデータベース、Google Cloud Storageバケット）は、日本国内のGoogle Cloud東京リージョン（asia-northeast1）に保管されます。
• ディザスタリカバリ用のレプリカは大阪リージョン（asia-northeast2）に配置されます。いずれも日本国内です。

6.2 AI推論処理のリージョン制約

上記のアーキテクチャにより、すべてのAI推論処理はお客様のoperating_region設定に基づきGoogle Vertex AIのリージョン指定エンドポイントで完結するため、個人データの「外国にある第三者への提供」（第28条）は発生しない設計としています。Anthropic Claude APIへのアクセスもVertex AI Model Gardenを経由し、推論データは指定リージョン内に留まります。加えて、Tier 0のPIIサニタイザーにより個人を識別可能な情報は推論前に除去されるため、AI推論エンジンに送信されるデータは「個人データ」に該当しません。

万一、技術的障害等によりPII除去が不完全となるリスクに備え、Google Cloud Platform及びAnthropicとの間でData Processing Addendum（DPA）を締結し、第28条第1項に定める「相当措置を継続的に講ずるために必要な体制」の確保に努めています。なお、EUテナントのお客様については、Standard Contractual Clauses（SCC）に基づく追加的保護措置を講じています。

7. 第三者提供の制限（第27条）

当社は、以下の場合を除き、あらかじめお客様の同意を得ることなく、お客様の個人データを第三者に提供しません。

1. 法令に基づく場合
2. 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
3. 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
4. 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合

7.1 委託に伴う提供（第27条第5項第1号）

当社は、本サービスの提供に必要な範囲で、以下の委託先にデータ処理を委託しています。第27条第5項第1号に基づき、利用目的の達成に必要な範囲内での委託に伴う個人データの提供は、「第三者提供」に該当しません。

上記に加え、Google Cloud Platform内のサービスとして、Google Drive API（処理済みPDF・Excelファイルのテナントフォルダへのアーカイブ）及びGoogle Sheets API（ドキュメント処理サマリーの連携）を利用しています。

当社は、第25条に基づき、各委託先に対してデータ処理契約の締結、安全管理状況の定期確認その他の必要かつ適切な監督を行っています。委託先の追加又は変更がある場合は、30日前までに本ポリシーを更新して通知します。

8. 安全管理措置（第23条）

当社は、個人データの漏えい、滅失又は毀損の防止その他の安全管理のために、以下の技術的及び組織的措置を講じています。

8.1 技術的措置

• 暗号化：転送時TLS 1.3、保管時AES-256、機密フィールドのCMEK暗号化
• テナント分離：PostgreSQL Row Level Security（RLS）による論理的テナント分離。アプリケーションDBロールはBYPASSRLS権限なし
• アクセス制御：RBAC（8ロール：閲覧者、報告者、管理者、モニター、検証者、銀行RM、銀行管理者、スーパー管理者）+ OIDC内部認証 + JWTクレームベースのIDOR防止
• 監査証跡：SHA-256チェーンハッシュによるWORM監査台帳（UPDATE/DELETE不可）
• PII除去：Tier 0サニタイザー + Tier 4ゲートによる多層的個人情報除去
• 鍵管理：Google Cloud KMS（HSMバックド）、90日自動ローテーション

8.2 組織的措置

• 個人情報保護管理者の設置
• 従業員に対する個人情報保護に関する教育・研修の定期実施
• 個人データへのアクセス権限の定期的な棚卸し
• セキュリティインシデント対応手順の策定・訓練

9. データ内容の正確性の確保（第22条）

当社は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つよう努めます。お客様は、本サービスの管理画面を通じて、ご自身のアカウント情報を随時更新することができます。

利用する必要がなくなった個人データは、遅滞なく消去するよう努めます。ただし、WORM監査台帳に記録されたハッシュ値については、第10条に定める方法により対応します。

9.2 データ保持期間

9.3 ブロックチェーンアンカリング

監査証跡の完全性を保証するため、日次でMerkleルートハッシュをEthereumブロックチェーン（Base L2ネットワーク）にアンカリングしています。ブロックチェーン上に記録されるのはハッシュ値のみであり、個人情報や業務データは一切含まれません。ブロックチェーン上のデータはその性質上削除することができません。

10. 開示・訂正・利用停止等の請求（第33条〜第37条）

お客様は、個人情報保護法に基づき、以下の権利を行使することができます。

10.1 請求の種類

10.2 請求手続（第37条）

• 受付窓口：privacy@scxaudit.com
• 本人確認：請求者のメールアドレスとアカウント登録メールアドレスの照合、又は身分証明書の提示により本人確認を行います。過重な負担を課さないよう配慮します（第37条第4項）。
• 対応期間：受領後30日以内に対応いたします。
• 手数料：開示請求1件につき1,000円（税込）。訂正・削除・利用停止等の請求については無料です。

10.3 WORM監査台帳における削除請求への対応

10.4 システム監査ログにおける削除の制限

10.5 仮名化リンクの暗号学的切断

WORM監査台帳上のすべての操作記録は、SHA-256ハッシュによる仮名（pseudonym）で記録されています。アカウント削除時またはSCIMプロビジョニングによるユーザー削除時には、仮名と実ユーザーを結びつける唯一のテーブル（actor_resolution）がCASCADE削除され、仮名から個人を特定することが暗号学的に不可能となります（暗号学的シュレッディング）。これにより、WORM台帳の完全性を損なうことなく、「忘れられる権利」を実質的に実現します。

11. Cookie及びアクセス解析

11.1 使用するCookie

• 必須Cookie：セッション管理及び認証状態の維持に必要なCookieを使用します。これらのCookieはHttpOnly、Secure、SameSite=Lax属性が設定されています。
• 言語設定Cookie（NEXT_LOCALE）：お客様の言語設定（日本語/英語）をブラウザに保存します。有効期間は1年間です。本Cookieには個人情報は含まれません。
• トラッキング広告：当社は、サードパーティの広告トラッキングCookieを使用しません。
• アクセス解析：当社は、Google Analytics等のサードパーティ解析サービスを使用しません。マーケティングサイトの記事閲覧数は、IPアドレスとUser-AgentのSHA-256ハッシュによる匿名化セッションIDにより集計しており、生のIPアドレスやUser-Agent情報は保存しません。

11.2 セッショントークン（JWT）

セッション管理のため、認証トークン（JWT）にはお客様のメールアドレス、氏名、テナントID、ロール等の情報が含まれます。当該トークンはHS256アルゴリズムにより署名されていますが、暗号化はされておらず、クライアント側で内容を確認することが可能です。トークンの有効期間はセッションの継続に必要な範囲に限定されます。

11.3 ブラウザ内データストレージ

• localStorage：テーマ設定（ダークモード/ライトモード）のみを保存します。個人情報は含まれません。
• IndexedDB（オフラインキュー）：オフライン機能をご利用の場合、送信待ちデータはお客様のブラウザ内（IndexedDB）にAES-256-GCM + RSA-OAEP-2048ハイブリッド暗号化のうえ一時保存されます。暗号化されたデータは当社サーバーでのみ復号可能です。ネットワーク復帰後の同期完了時に自動削除されます。
• Service Worker：オフラインページ表示及び静的アセットのキャッシュを目的としたService Workerを使用します。APIレスポンスはキャッシュされません。バックグラウンド同期機能により、オフライン中に蓄積された送信待ちデータを自動的に同期します。

12. 漏えい等の発生時の対応（第26条）

個人データの漏えい、滅失又は毀損が発生し、個人の権利利益を害するおそれが大きい事態が生じた場合、当社は以下の対応を行います。

• 個人情報保護委員会への速やかな報告（第26条第1項）
• 影響を受ける本人への遅滞ない通知（第26条第2項）。72時間以内の通知を目標とします
• 原因分析及び再発防止策の策定・実施
• 事後報告書のお客様への提供

13. プライバシーポリシーの変更

当社は、法令の改正、事業内容の変更その他の事由により、本ポリシーを変更する場合があります。重要な変更がある場合は、本サービスの管理画面又はメールにより、変更の効力発生日の30日前までにお客様に通知します。

14. お問い合わせ窓口

個人情報の取扱いに関するお問い合わせ、苦情及び開示等の請求は、以下の窓口までご連絡ください。

14.2 データ保護責任者（DPO）

当社は、GDPR第37条に基づくデータ保護責任者（DPO）の設置義務の対象には該当しませんが、個人情報保護に関する統括責任者として個人情報保護管理者（Chief Privacy Officer）を設置しています。GDPR対象のお客様からのお問い合わせについても、上記窓口にて対応いたします。

当社の個人情報の取扱いに関して、個人情報保護委員会（www.ppc.go.jp）に苦情を申し立てることもできます。