MASAMUNE.AI プライバシーポリシー（個人情報保護方針）

第1条（事業者情報）

第2条（収集する情報）

当社は、本サービスの提供にあたり、以下の情報を収集します。

1. アカウント情報

• 氏名、メールアドレス、会社名、電話番号
• パスワード（ハッシュ化して保存）
• ユーザーの役割（権限区分）

2. デバイス情報

• IMEI（国際移動体装置識別番号）
• シリアル番号
• 端末のメーカー名、モデル名、色、容量、OS情報
• ネットワーク利用制限状態（赤ロムチェック結果）

3. 消去作業情報

• 消去ログ（消去方式、処理時間、開始・終了日時、処理結果）
• 消去作業報告書

4. 利用情報

• アクセスログ（IPアドレス、アクセス日時、操作内容、ユーザーエージェント）
• 本サービスの利用状況に関する統計情報

5. 決済情報

• 請求先情報（法人名、住所）
• 取引履歴（freee会計サービスを通じて管理）
• クレジットカード決済を選択した場合：カード名義、カード番号の末尾4桁、有効期限（カード番号の全桁は当社サーバーには保存されず、Stripe, Inc.が直接管理します）

第3条（利用目的）

当社は、収集した情報を以下の目的で利用します。

1. 本サービスの提供及び運営（アカウント管理、認証、消去ログ管理、消去作業報告書の生成、赤ロムチェック、IT資産管理、デバイス検査を含みます）
2. 利用料金の請求及び経理処理
3. カスタマーサポートの提供
4. 本サービスの改善、新機能の開発及び品質向上
5. 本サービスに関するお知らせ、メンテナンス情報等の通知
6. 利用規約への違反行為の検知及び対応
7. 法令に基づく対応及び不正利用の防止
8. 匿名化又は統計化した情報の作成及び利用

第4条（個人情報の第三者提供）

当社は、以下の場合を除き、利用者の個人情報を第三者に提供しません。

1. 利用者の同意がある場合
2. 法令に基づく場合
3. 人の生命、身体又は財産の保護のために必要がある場合であって、利用者の同意を得ることが困難であるとき
4. 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、利用者の同意を得ることが困難であるとき
5. 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用者の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき

第5条（業務委託先への提供）

当社は、本サービスの提供のために、以下の業務委託先に個人情報の取り扱いを委託する場合があります。当社は、これらの委託先に対し、個人情報の安全管理が図られるよう、必要かつ適切な監督を行います。

第6条（外国にある第三者への提供）

当社は、本サービスの提供にあたり、以下の外国にある第三者に個人情報を提供する場合があります（個人情報の保護に関する法律第28条）。

1. Supabase, Inc.（米国）：データベースの運用のため。データは日本国内のサーバーに保管されますが、同社の運用担当者が米国からアクセスする場合があります。
2. Vercel Inc.（米国）：ウェブアプリケーションのホスティングのため。
3. Zoho Corporation（インド / 米国）：カスタマーサポートツールの運用のため。
4. Stripe, Inc.（米国）：クレジットカード決済処理のため。なお、クレジットカード番号は当社のサーバーには保存されず、Stripeが直接管理します。Stripeは PCI DSS Level 1認証（クレジットカード業界の最高レベルのセキュリティ基準）を取得しています。

当社は、これらの委託先との間で、個人情報の適切な取り扱いを確保するためのデータ処理契約（DPA）を締結しています。

外国の個人情報保護制度の概要

米国: 連邦レベルでの包括的な個人情報保護法は制定されていませんが、連邦取引委員会法（FTC Act）に基づくプライバシー保護、カリフォルニア州消費者プライバシー法（CCPA/CPRA）等の州法による保護が存在します。上記の米国委託先（Supabase、Vercel）は、SOC 2 Type II認証を取得しています。

インド: 2023年デジタル個人データ保護法（DPDP Act 2023）が制定されており、個人データの処理に関する規制が整備されつつあります。Zoho Corporationは、ISO 27001認証を取得しています。

詳細については、個人情報保護委員会のウェブサイト（https://www.ppc.go.jp/personalinfo/legal/kaiseihogohou/#gaikoku）をご参照ください。

第7条（赤ロムチェックに関する情報の取り扱い）

1. 赤ロムチェック機能の利用にあたり、当社は、利用者が入力したIMEI番号を通信キャリア各社（株式会社NTTドコモ、KDDI株式会社、ソフトバンク株式会社、楽天モバイル株式会社、株式会社オプテージ）に送信し、ネットワーク利用制限状態の照会を行います。
2. 当社から通信キャリア各社に送信される情報はIMEI番号のみであり、利用者の個人情報は送信されません。
3. 通信キャリア各社における情報の取り扱いについては、各社のプライバシーポリシーが適用されます。

第8条（IMEI番号の取り扱い）

1. IMEI番号は、端末を一意に識別する番号であり、利用者が保有する他の情報と照合することにより特定の個人を識別できる場合には、個人情報に該当します。
2. 当社は、IMEI番号を個人情報として適切に取り扱い、本ポリシーに定める安全管理措置を講じます。

第9条（安全管理措置）

当社は、個人情報の漏洩、滅失又は毀損の防止のために、以下の安全管理措置を講じています。

1. 組織的安全管理措置

• 個人情報保護に関する責任者の設置
• 従業員に対するアクセス権限の管理（ロールベースアクセス制御）
• 個人情報の取り扱いに関する規程の整備

2. 人的安全管理措置

• 従業員に対する個人情報保護に関する教育の実施
• 機密保持義務に関する契約の締結

3. 物理的安全管理措置

• クラウドサービス事業者による物理的セキュリティの確保

4. 技術的安全管理措置

• 通信の暗号化（TLS/SSL）
• データベースレベルでの行レベルセキュリティ（RLS）ポリシーの適用
• 認証トークン（JWT）による認証
• 二要素認証（TOTP）の提供
• アクセスログの記録及び監視

第10条（個人情報の保存期間）

保存期間経過後、当社は個人情報を速やかに削除又は匿名化するものとします。

第11条（Cookieの利用）

1. 本サービスは、利用者の認証状態の維持及びサービスの提供のために、Cookieを使用します。
2. 本サービスで使用するCookieは、認証に必要な技術的Cookieであり、広告目的のCookieは使用していません。
3. 利用者は、ブラウザの設定によりCookieの受け入れを拒否することができますが、その場合、本サービスの全部又は一部を利用できなくなる場合があります。

第12条（利用者の権利）

利用者は、当社に対し、個人情報の保護に関する法律に基づき、以下の請求を行うことができます。

1. 利用目的の通知の請求：当社が保有する個人情報の利用目的の通知を求めること
2. 開示の請求：当社が保有する個人情報の開示を求めること
3. 訂正等の請求：当社が保有する個人情報の内容が事実でない場合に、訂正、追加又は削除を求めること
4. 利用停止等の請求：当社による個人情報の利用の停止又は消去を求めること
5. 第三者提供の停止の請求：当社による個人情報の第三者への提供の停止を求めること

上記の請求を行う場合は、以下の連絡先までお問い合わせください。

お問い合わせ先: [email protected]

当社は、請求者が本人であることを確認したうえで、法令に定める期間内に対応いたします。なお、法令に定める要件を充たさない請求については、対応いたしかねる場合があります。

第13条（プライバシーポリシーの変更）

1. 当社は、法令の改正、本サービスの変更その他の事情により、本ポリシーを変更する場合があります。
2. 変更後のプライバシーポリシーは、当社ウェブサイトに掲載した時点から効力を生じるものとします。利用目的の変更を伴う場合は、変更後の利用目的を公表し、又は利用者に通知するものとします。その他の重要な変更を行う場合は、利用者に対して電子メール等の方法により通知するものとします。

第14条（お問い合わせ窓口）

個人情報の取り扱いに関するお問い合わせは、以下の窓口までご連絡ください。