平易な言葉で
- 当社は、お客様の組織が接続するソースからのメタデータおよび権限情報を処理します。これは読み取り専用であり、お客様が承認した範囲に限定されます。当社はデータを販売せず、また当該データをAIモデルの訓練に使用しません。
- アカウントデータは、お客様がアカウントを削除するまで保持されます。検出結果および権限スナップショットはデフォルトで24か月間保持されます（お客様の組織がこれを設定できます）。運用ログは90日間保持されます。
- お客様は、設定からご自身でデータをエクスポートまたは削除できます。サポートチケットは不要です。
- 5社のサブプロセッサー：Anthropic（AI分析）、Cloudflare（CDN）、RunPod（ホスティング）、Resend（メール、有効化後）、PayPal（請求）。
- GDPRおよびCCPAの権利が適用されます。お問い合わせは [email protected] まで。
1. 当社について、および本ポリシーが対象とする範囲
本ポリシーは、Enterprise.Systems（以下「当社」）が8200.dev上で個人データをどのように処理するかを説明するものです。アカウントデータおよびウェブサイトデータについては、当社が管理者となります。お客様の組織が接続するソース内のデータ（以下「顧客ソースデータ」）については、お客様の組織が管理者となり、当社はデータ処理契約に基づくその処理者となります。当該データには、お客様の組織自身のプライバシー通知が適用されます。
2. 当社が処理するデータ
当社は以下のカテゴリのデータを処理します:
- アカウントデータ — メールアドレス、氏名、パスワードハッシュ、組織名、役割、およびロケール。
- 顧客ソースデータ — 接続されたソースからのメタデータおよび権限情報であり、お客様が承認したOAuthスコープを通じて読み取り専用で取得されるもの: リソース名および識別子、共有設定、権限の付与、ならびにアクセス権を保有する主体（個人、サービスアカウント、およびAIエージェント）の識別情報。当社はお客様のファイルの内容を読み取りまたは保存しません。
- 検出結果 — プラットフォームがお客様の組織のために生成するセキュリティ検出結果、説明、および証跡。
- 利用およびログデータ — IPアドレス、ユーザーエージェント、タイムスタンプ、ならびにプラットフォーム上で行われた操作の追記専用の監査証跡。
- Cookie — サインインに必要なセッションCookie。当社は広告またはクロスサイトトラッキングのCookieを使用しません。
3. データの利用方法
当社は、本サービスを提供し保護するためにデータを使用します。すなわち、権限の列挙、検出結果および平易な言葉による説明の生成、お客様の認証、トランザクションメールの送信（メール配信が有効な場合）、サポートの提供、ならびに法的義務の遵守です。当社は、個人データを販売せず、広告を表示せず、また顧客ソースデータをAIモデルの訓練に使用しません。
4. 適法な根拠（GDPR）
GDPRが適用される場合、当社は以下に依拠します。
- 契約の履行（第6条(1)(b)）——お客様のアカウントの運用および検出結果の生成。
- 正当な利益（第6条(1)(f)）——プラットフォームの保護、不正利用の防止、および検出品質の向上。
- 同意（第6条(1)(a)）——任意の通信。いつでも撤回可能です。
- 法的義務（第6条(1)(c)）——会計、税務、および適法な要請。
5. AI処理
一部の分析は、Anthropic APIを介して大規模言語モデルにより実行されます。当社は、特定の分析に必要なメタデータのみを送信します。Anthropicの商用規約に基づき、APIを介して提出されたデータはAnthropicのモデルの訓練に使用されません。
6. 副処理者および共有
当社は、以下の副処理者、秘密保持義務の下にある専門アドバイザー、または法律が要求する場合に限り、個人データを共有します。
- Anthropic（米国）——メタデータのAI分析。
- Cloudflare（グローバル）——CDN、TLS終端、およびDDoS防御。
- RunPod（米国/EU）——プラットフォームをホストするクラウドインフラストラクチャ。
- Resend（米国）——メール機能が有効になった場合のトランザクションメール配信。
- PayPal（米国）— サブスクリプションの請求および決済処理。
当社は本リストを本ページにて更新します。DPAを締結している組織は、追加についてDPAに従い事前の通知を受けます。
7. 保持
当社は、必要な期間を超えてデータを保持しません。
- アカウントデータ——お客様のアカウントの存続期間中。アカウントの削除には7日間の猶予期間があり、その後データは永久に消去されます。
- 検出結果および権限スナップショット——デフォルトで24か月、またはお客様の組織が設定する期間。
- 運用ログおよび監査ログ——90日間。
- お客様のアカウントを削除すると、お客様が単独で所有する組織も削除され、これにはそのコネクタ（保存された認証情報は直ちに破棄されます）、スナップショット、および検出結果が含まれます。
8. お客様の権利
GDPRおよび類似の法律に基づき、お客様は、アクセス、訂正、消去、ポータビリティ、処理の制限、および異議申立ての権利、ならびに法的効果を伴う完全に自動化された決定の対象とならない権利を有します（本プラットフォームはお客様についてそのような決定を一切行いません）。エクスポートおよび消去はセルフサービスです。設定 → マイデータのエクスポート／マイアカウントの削除。その他の事項については、[email protected] までご連絡ください——当社は30日以内に対応します。お客様は、所轄の監督機関に苦情を申し立てることもできます。
9. 国際移転
当社はイスラエルに拠点を置いており、同国はEUの十分性認定を取得しています。インフラストラクチャは、副処理者の項に記載された地域で稼働します。個人データがEEA/英国から十分性のない国に移転される場合、当社は、欧州委員会の標準契約条項（SCC）および同等の英国の保護措置、ならびに補足的な技術的措置（転送中および保存時の暗号化）に依拠します。
10. カリフォルニア州（CCPA/CPRA）
当社は、CCPA/CPRAに定義される個人情報を販売または共有しておらず、過去12か月間においてもそのような行為を行っていません。カリフォルニア州の居住者は、知る権利、訂正する権利、削除する権利、及びこれらの権利を行使したことを理由として差別を受けない権利を有します。設定内のセルフサービスツールを利用するか、[email protected] までご連絡ください。
11. セキュリティ
データは転送中において暗号化され（TLS）、保存される認証情報は保存時に暗号化されます（AES-256-GCM）。ソースへのアクセスは読み取り専用かつ最小権限です。すべてのプラットフォーム上の操作は、追記専用の監査ログに記録されます。当社は、GDPR第33条から第34条に従い、個人データの侵害について、不当な遅延なく影響を受ける組織に通知します。
12. 児童
本プラットフォームはB2Bサービスであり、児童を対象としていません。当社は、16歳未満の者をアカウント保有者として、その認識の上でデータを処理することはありません。
13. 本ポリシーの変更
当社は、変更内容を本ページに掲載し、発効日を更新します。重要な変更については、アカウント所有者に事前に通知します。
14. Google API サービス
8200.dev が Google API から受領した情報の使用および他のアプリへの転送は、Limited Use 要件を含む Google API Services User Data Policy を遵守します。
15. 連絡先及びデータ保護責任者
プライバシー及びデータ保護に関する連絡先（DPO機能に関するものを含む）：[email protected]。