1. 事業者情報
本プライバシーポリシーは、株式会社サグブレイン（以下「当社」）が運営する ウェブサイト診断サービス「AuditToDesk」におけるユーザー情報の取扱いを定めるものです。 本ポリシーは、日本の個人情報の保護に関する法律（APPI）および EU 一般データ保護規則 （GDPR）に基づいて作成されています。
所在地：〒135-0034 東京都江東区永代2-31-15 ベルウッド永代ビル5F
代表者：代表取締役CEO 相楽賢哉／執行役員COO 笠原克弘
2. 取得する情報
- アカウント情報： メールアドレス、ハッシュ化済パスワード、ロケール設定、契約プラン
- 診断データ： ユーザーが入力したURL、スキャン結果（DOM・スクリーンショット・HTTPヘッダ・ネットワークログ）
- 利用ログ： IPアドレス（ハッシュ化）、ユーザーエージェント、操作タイムスタンプ
- 支払い情報： 当社はクレジットカード番号を保持しません。決済は全て Stripe を通じて処理されます。
3. 利用目的
- 本サービスの提供（スキャン実行、レポート生成、制作会社のご紹介）
- アカウント管理および認証
- 請求・支払い処理
- 不正利用・脅威の検知・防止
- 匿名化された統計データの作成（業界ベンチマーク用）
- 法令に基づく対応（裁判所命令、税務報告等）
4. 第三者への提供
当社は、ユーザーの明示的な同意なしに個人情報を第三者に販売・貸与しません。 ただし、制作会社のご紹介を通じてユーザーが特定の制作会社に連絡を希望した場合、 当該制作会社に診断結果と連絡先情報を共有します。これは、ユーザーの行動による 明示的な共有の指示として扱われます。
5. データ処理委託先（サブプロセッサ）
- AWS（Amazon Web Services）: ホスティング・データベース・ストレージ。リージョン：ap-northeast-1（東京）
- Google Cloud（Gemini API）: AI 診断エンジン（後述「5-A. AI 学習データへの不使用」参照）
- Stripe: 決済処理
- Resend / AWS SES: 取引メール送信
5-A. AIトレーニングへのスキャンコンテンツの使用について
AuditToDeskは、診断レポートを生成する目的のみで、スキャンしたウェブサイトのコンテンツ （HTML、スクリーンショット、メタデータ）をGoogle Gemini APIに送信します。 このデータはAIモデルの学習には使用されません。データの保持期間は、 不正利用の監視等を目的とした一時的な保持を含め、Googleのデータ保持ポリシーに従います。
GoogleのGemini API利用規約は、APIリクエストデータをAIモデルのトレーニング、 改善、またはファインチューニングに使用することを明示的に禁止しています。 AuditToDeskは、トレーニング目的でスキャンコンテンツを他のAIサブプロセッサと共有しません。
お客様のスキャンしたサイトコンテンツは以下の目的には使用されません：
- AIモデルのトレーニングまたはファインチューニング
- モデル改善のための第三者との共有
- 診断レポートの生成以外のいかなる目的
6. 国際移転
当社が個人データの取扱いを委託しているサブプロセッサの所在国は、以下のとおりです。
- 日本：AWS（ap-northeast-1・東京リージョン）。アカウント情報・スキャン結果の 保管先であり、これらのデータは原則として日本国内にとどまります。
- 米国：Google LLC（Gemini API／AI 診断）、Stripe, Inc.（決済処理）、 Resend, Inc.（取引メール送信）。
米国の個人情報保護制度について：米国には日本や EU のような包括的な個人情報保護法は 存在せず、分野別の連邦法およびカリフォルニア州消費者プライバシー法（CCPA／CPRA）等の州法により 規律されています。また、外国情報監視法（FISA）702 条をはじめとする、政府機関によるデータへの アクセスを認める制度が存在します。米国は、EU 一般データ保護規則（GDPR）に基づく十分性認定を、 EU-US データプライバシーフレームワーク（DPF）に参加する事業者に限って受けています。
当社が講じている措置：上記の各委託先との間でデータ処理契約（DPA）を締結し、 欧州委員会の標準契約条項（SCC）またはこれと同等の契約上の保護措置を確保しています。あわせて、 転送中・保存中の暗号化、アクセス権限の最小化、委託先の定期的な見直しを行っています。 EU 居住者の個人データを EU 域外へ移転する場合も、SCC に基づき適切な保護措置を講じます。
各国の個人情報保護制度に関する情報は、個人情報保護委員会が公表する外国制度に関する調査資料も あわせてご参照ください。当社が講じている保護措置の詳細については、第13条のお問い合わせ窓口までご請求いただければご提供します。
7. 保存期間
- アカウント情報：アカウント削除後 30 日以内に削除
- スキャン結果：90 日後にスクリーンショット等の生データを削除（メタデータは匿名化のうえ保持）
- 支払い記録：法令上の保存義務に従い 7 年間保持
- 監査ログ（個人データへのアクセス記録および管理操作の記録）：3 年間保持し、経過後は自動的に削除
8. ユーザーの権利
ユーザーは以下の権利を行使できます。
- 個人データの開示請求
- 訂正・追加・削除請求
- 利用停止・第三者提供停止請求
- データポータビリティ（GDPR 居住者のみ）
- 監督機関への苦情申立て
権利行使のご請求は、第13条のお問い合わせ窓口までご連絡ください。48時間以内に受付確認のご連絡をし、本人確認の上、14日以内にご対応します。
手数料：開示等のご請求（保有個人データの利用目的の通知、開示、訂正・追加・削除、 利用停止・消去、第三者提供の停止、第三者提供記録の開示）について、当社は手数料を申し受けません （無料）。
10. セキュリティ
当社を運営する株式会社サグブレインは、ISO/IEC 27001（情報セキュリティマネジメントシステム：ISMS、 認証番号 MSA-IS-532）の認証を 2022 年 1 月より取得しています。個人データの漏えい・滅失・毀損の 防止その他の安全管理のため、同認証に基づく管理体制のもとで以下の措置を講じています。
- 組織的安全管理措置：ISMS に基づき情報セキュリティの管理責任者および個人情報の 取扱責任者を定め、取扱状況を記録・点検し、内部監査を定期的に実施しています。漏えい等の事案が 発生した場合の報告・連絡体制を整備し、個人情報保護委員会への報告および本人への通知の手順を 定めています。委託先との間ではデータ処理契約（DPA）を締結し、取扱状況を定期的に見直しています。
- 人的安全管理措置：個人データを取り扱う従業者に対し、雇用契約および内部規程により 秘密保持義務を課し、ISMS の要求事項に基づく情報セキュリティ教育を継続的に実施しています。
- 物理的安全管理措置：個人データは AWS の東京リージョンのデータセンターで 保管しており、入退室管理・機器の管理等の物理的保護措置は同社の管理策に従っています。 当社の業務端末には、施錠管理およびディスク暗号化を適用しています。
- 技術的安全管理措置：データベースの行レベルセキュリティ（RLS）およびアプリケーション層の 二重の権限チェックによるテナント分離、通信の暗号化（TLS 1.2 以上）、保存データの暗号化（AES-256）、 パスワードのハッシュ化（bcrypt）、多要素認証（MFA）、最小権限原則に基づくアクセス制御、 および定期的な脆弱性スキャンを実施しています。
- 外的環境の把握：米国のサブプロセッサに個人データの取扱いを委託しているため、 同国の個人情報保護制度を把握したうえで安全管理措置を講じています。詳細は 「6. 国際移転」をご参照ください。
技術的な詳細はセキュリティページをご参照ください。
11. お子様の個人情報
本サービスは 18 歳未満の方にはご利用いただけません。 当社はお子様の個人情報を意図的に取得することはありません。
12. ポリシーの変更
本ポリシーを変更する場合、重要な変更については本サービス上で 30 日前までに通知します。
13. お問い合わせ
プライバシーに関するお問い合わせは info@sagbrain.com（データ保護責任者宛）まで。日本国外の方も同アドレスから受け付けます。