プライバシーポリシー

本ポリシーは、当社が提供する Chrome 拡張機能「SecureJAM」および管理ダッシュボードにおける情報の取扱いのすべてに適用されます。取得する情報の種類、取得方法、利用目的、第三者への提供、保存期間および削除方法を、以下のとおり包括的に開示します。

本サービスは、リスクの判定をユーザーの端末内で行い、当社サーバーに記録する情報を本サービスの提供に必要な範囲に限定する設計を採用しています。端末内で完結し送信されない処理の範囲は第3条に、当社が取得する情報の範囲は第2条に記載します。

当社は、本サービスの提供にあたり、次の情報を取得します。取得元は、ユーザーによる入力、Chrome 拡張機能による自動収集、および決済事業者からの通知です。

(1) アカウント・契約情報

• メールアドレス
• 表示名（氏名を入力された場合は氏名を含みます）
• 所属組織名
• 契約プラン、ライセンス識別子、契約状態および契約期間
• パスワード（ハッシュ化して保存します。平文では保存しません）
• ログイン用リンク（Magic Link）の発行・使用履歴

(2) 認証情報

• ログインセッションを維持するためのアクセストークンおよびリフレッシュトークン

(3) 生成 AI サービスの利用状況（アクティビティ）

• 生成 AI サービスへアクセスした事実、その日時およびホスト名（例: chatgpt.com）。URL のパス部分（会話 ID 等）は取得しません。
• 生成 AI サービスへ送信操作を行った回数および日時
• リスク警告が表示された際にユーザーが選択した操作（送信を続行した／取りやめた）

(4) ウェブサイトのコンテンツ

• 生成 AI サービスの入力欄に入力されたテキストの冒頭一部（最大 200 文字）のプレビュー
• 入力されたテキストの文字数および行数
• 添付されたファイルの名称およびファイルサイズ、ならびに当該ファイルから抽出したテキストの冒頭一部（最大 200 文字）のプレビュー。ファイル本体は当社サーバーへ送信しません。
• 検知されたリスクの種別（個人情報、NG キーワード、機密文脈等）、重大度、および検知内容。個人情報として検知された箇所は伏字化して記録しますが、機密文脈等の検知では、検知の根拠となった箇所の原文を記録します。
• 第5条に定める場合に限り、入力されたテキストの全文（検知精度の改善のみを目的とします）
• 未把握の生成 AI サイトの除外を申請した場合、その申請対象ページの URL

(5) 未把握の生成 AI（未知 AI）の検出に関する情報

本拡張機能は、閲覧中のウェブページに生成 AI 特有の入力欄が存在するかどうかをページ内で判定します。判定の結果、生成 AI サービスであると推定されたサイトについてのみ、次の情報を当社サーバーへ送信します。

• 当該サイトのホスト名（ドメイン名）
• 生成 AI サイトらしさを示す判定スコアおよび検出日時

生成 AI サイトと推定されなかったページについては、ホスト名を含め、いかなる情報も当社サーバーへ送信しません。閲覧履歴の網羅的な収集・記録は行いません。

(6) 技術的情報

• IP アドレス、ブラウザの種類・バージョン、OS 情報
• 拡張機能のバージョン、動作環境（ローカル AI モデルの実行方式等）
• Cookie および類似技術によって生成される識別子
• 不具合発生時のエラー内容およびスタックトレース。送信前に、入力テキスト・プロンプト・認証情報等に該当しうる項目を自動的に除去します。除去後の内容には、不具合が発生した機能名、対象ファイル名、対象ホスト名が含まれることがあります。

(7) 決済に関する情報

• 請求金額、決済状態、決済事業者が発行する顧客識別子
• クレジットカード番号その他の決済手段の情報は、決済事業者が直接取得・処理するものであり、当社は取得も保存もしません。

当社は、位置情報、健康・医療に関する情報、および金融口座情報を取得しません。

本拡張機能のリスク判定は、次のとおりユーザーの端末内で完結します。判定のために入力内容が当社その他の外部サーバーへ送信されることはありません（第5条に定める場合を除きます）。

• ルールベース検知（個人情報、API キー等の検出）は、拡張機能内で実行されます。
• 組織が設定した NG キーワードとの照合は、端末内にキャッシュしたキーワード一覧に対して実行されます。
• 文脈を理解する高度なリスク判定は、ユーザーの端末内で動作するローカル AI モデルにより実行されます。
• 添付ファイルからのテキスト抽出および走査は端末内で行われ、ファイル本体が当社サーバーへ送信されることはありません。ただし、リスクが検知された場合は、第2条(4)に定めるプレビューおよび検知内容が記録されます。

また、本拡張機能は次の情報をユーザーの端末内（Chrome の拡張機能ストレージ）にのみ保存します。これらは拡張機能をアンインストールすると削除されます。

• ログインセッション（アクセストークン・リフレッシュトークン）
• 組織のリスク検知ポリシーおよび NG キーワードのキャッシュ
• 未知 AI の検出除外設定のキャッシュ
• 当日の検知件数、オンボーディングの完了状態、ローカル AI モデルの準備状態

当社は、取得した情報を次の目的で利用します。

• 本サービスの提供、維持、保護および改善のため
• ユーザーの認証およびアカウント・ライセンスの管理のため
• 生成 AI 利用状況の可視化、リスク検知および管理者への通知のため
• 未把握の生成 AI（未知 AI）の利用を組織の管理者が把握できるようにするため
• リスク検知の精度改善のため（第5条に定める範囲に限ります）
• お問い合わせ対応および重要なお知らせの連絡のため
• 利用料金の請求および決済処理のため
• 不正利用の防止、および本サービスのセキュリティ確保のため
• 法令に基づく対応のため

当社は、取得した情報を、上記の目的および本サービスの主要機能の提供と無関係な用途に利用しません。

当社は、リスク検知の精度を改善する目的に限り、次のいずれかに該当する場合、入力されたテキストの全文を当社サーバーへ送信し、保存することがあります。これは第2条(4)に定める「ウェブサイトのコンテンツ」の取得にあたるため、以下のとおり具体的に開示します。

• 端末内のローカル AI モデルが、送信内容に機密性がないと明示的に判定し、警告を表示せずに送信を通した場合。この場合、当該送信内容の全文を「安全と判定された学習サンプル」として保存します。本号は、リスクが検知されなかった送信に広く適用されます。
• ユーザーがリスク警告に対して「役に立たなかった」旨のフィードバックを行った場合（誤検知の訂正）。この場合、当該送信内容の全文を訂正サンプルとして保存します。

前号は、ローカル AI モデルによる判定が有効な環境（法人向けプランおよび個人向け有料プラン）において動作します。ローカル AI モデルによる判定を利用しない環境では、本条による全文の保存は行われません。

本利用について、当社は次の取扱いを行います。

• 保存するのは、テキスト本文、判定されたリスク分類、判定スコアおよび判定に用いたモデル情報に限られます。
• 組織識別子およびライセンス識別子は、受付時の認証および不正利用防止のためにのみ使用し、保存するテキストとは紐付けて保存しません。当社は、保存したテキストを送信者または所属組織に紐付けて管理することはありません。
• 保存したテキストは、リスク検知モデルの再学習および評価の目的にのみ使用し、他の目的には使用しません。第三者への販売・譲渡は行いません。
• 保存したテキストは、保存から 90 日を経過した時点で削除します。

本項により保存されたテキストの削除をご希望の場合は、第16条の窓口へご連絡ください。前号のとおり、保存されたテキストは送信者に紐付けて管理していないため、削除にあたっては対象となるテキストを特定できる情報のご提供をお願いすることがあります。なお、いずれの場合も保存から 90 日の経過により削除されます。

当社は、次のいずれかに該当する場合を除き、あらかじめユーザーの同意を得ることなく、第三者に個人情報を提供しません。

• 法令に基づく場合
• 人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
• 国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合
• 第7条に定める業務委託先に対して、利用目的の達成に必要な範囲で提供する場合
• 合併その他の事由による事業の承継に伴って提供される場合

当社は、ユーザーデータを販売しません。また、ユーザーデータを、広告の配信・ターゲティング、信用調査または融資の判断のために利用または提供することはありません。

法人向けプランにおいては、ユーザーの生成 AI 利用状況および検知結果は、当該ユーザーが所属する組織の管理者が管理ダッシュボード上で閲覧できます。これは組織による情報漏えい管理を目的とする本サービスの主要機能です。

当社は、利用目的の達成に必要な範囲で、取得した情報の取扱いの一部を次の事業者に委託しています。当社は、各委託先との間で個人情報の取扱いに関する契約を締結し、適切な監督を行います。

上記のほか、本拡張機能がローカル AI モデルのファイルを初回のみダウンロードする際、次の配布元へ通信が発生します。当社はこれらの事業者に対してユーザーデータを提供しませんが、通信の性質上、ユーザーの IP アドレス等が各事業者に到達します。

• Hugging Face（huggingface.co / cdn-lfs.huggingface.co）
• jsDelivr（cdn.jsdelivr.net）
• GitHub（raw.githubusercontent.com）

なお、当社の法人向け販売パートナーを通じて契約が締結された場合、当社は当該パートナーから契約の成立・解約に関する情報および契約担当者の連絡先の提供を受けます。この場合において、当社から当該パートナーへユーザーデータを提供することはありません。生成 AI の利用状況および検知結果を、当社が上表以外の第三者へ提供することはありません。

第7条に記載のとおり、当社は米国に所在する事業者へ個人情報の取扱いを委託しており、取得した情報は日本国外のサーバーに保存されます。当社は、移転先において適切な安全管理措置が講じられていることを確認したうえで委託を行います。移転先の国における個人情報保護制度に関する情報の提供をご希望の場合は、第16条の窓口へご連絡ください。

当社は、取得した情報を次の期間保存し、経過後に削除します。

• 生成 AI の利用ログ、検知結果、アラート、NG キーワードおよび組織のポリシー設定: 契約期間中は保存します。ユーザーまたは組織が退会した場合、退会日から 90 日を経過した後に削除します。
• 第5条により保存する入力テキスト: 保存から 90 日を経過した時点で削除します。
• アカウント情報（メールアドレス、パスワード等）: 退会日から 90 日を経過した後に消去します。
• 契約・課金に関する記録および操作監査記録: 法令上の保存義務および紛争対応の必要から、退会後も保存することがあります。これらの記録には生成 AI への入力内容は含まれません。
• エラー情報: 第7条に定める委託先において設定された保持期間の経過後に削除されます。
• 端末内に保存された情報: 拡張機能のアンインストールにより削除されます。

当社は、本拡張機能を通じて取得した情報の取扱いについて、Chrome ウェブストアのデベロッパー プログラム ポリシー（限定的な使用の要件）を遵守し、次の各号を確約します。

• 取得した情報は、本ポリシー第4条に定める、ユーザーに明示した機能の提供および改善のためにのみ使用します。
• 取得した情報を第三者に販売、貸与または譲渡しません。
• 取得した情報を、広告目的（パーソナライズド広告、リターゲティング広告を含みます）に使用または提供しません。
• 取得した情報を、信用調査または融資適格性の判断のために使用または提供しません。
• 取得した情報を人間が閲覧することはありません。ただし、(a) ユーザーの明示的な同意を得た場合、(b) セキュリティ上の目的（不正利用の調査等）に必要な場合、(c) 法令の遵守に必要な場合、(d) 個人を識別できない形に集計・匿名化した場合を除きます。

当社は、取得した情報の漏えい、滅失またはき損の防止その他の安全管理のために必要かつ適切な措置を講じます。

• 通信はすべて暗号化（TLS）します。
• パスワードはハッシュ化して保存し、平文では保存しません。
• 本サービスの全リソースを組織単位で分離し、データベースの行単位アクセス制御により、ユーザーが権限を有する範囲のデータにのみアクセスできるよう管理します。
• ログインセッションの有効期限を短く設定し、権限の失効が速やかに反映されるようにしています。
• 当社従業員による個人情報へのアクセスは、業務上必要な範囲に限定し、アクセス記録を保持します。

当社は、ログイン状態の維持およびサービス改善のために Cookie および類似技術を使用します。当社は、広告目的の Cookie を使用せず、第三者の広告事業者に Cookie 情報を提供しません。ユーザーはブラウザの設定により Cookie の利用を制限できますが、その場合、本サービスの一部機能が利用できないことがあります。

ユーザーは、当社が保有する自己の個人情報について、利用目的の通知、開示、訂正、追加、削除、利用停止、消去および第三者提供の停止を求めることができます。第16条の窓口へご連絡いただき、当社がご本人であることを確認できた場合、法令に従い遅滞なく対応します。

アカウントの削除（退会）をご希望の場合も、同窓口または管理ダッシュボードからお手続きいただけます。退会後の情報の取扱いは第9条のとおりです。

本サービスは事業者による業務利用を想定しており、13 歳未満の方を対象としていません。当社は、13 歳未満の方の個人情報を意図的に取得しません。

当社は、必要に応じて本ポリシーを変更することがあります。重要な変更を行う場合は、本サービス上での掲示またはメールにより事前に通知します。変更後の本ポリシーは、本サービス上に表示した時点（事前通知を行った場合は通知に定める日）から効力を生じるものとします。

本ポリシーに関するお問い合わせ、開示等の請求、および個人情報の取扱いに関するご意見は、次の窓口までご連絡ください。

• CRAFTRANS K.K. 個人情報お問い合わせ窓口
• メールアドレス: support@securejam.jp