トーキョーサンマルナナ株式会社（以下「当社」といいます。）は、個人情報の保護に関する法律その他の関係法令を遵守し、Staffpassに関連して取得する情報を本ポリシーに従って取り扱います。
1. 適用範囲と当事者の役割
- 本ポリシーは、本サービスの申込者、契約者の利用者、問い合わせ者およびウェブサイト訪問者に関する情報に適用されます。
- 契約者が自らの業務目的で従業員、顧客その他の個人データを本サービスへ入力する場合、原則として契約者が利用目的と処理手段を決定し、当社は契約者の指示に従う委託先として処理します。
- 契約者は、対象者への通知、同意取得、社内規程その他必要な適法化措置を講じる責任を負います。
2. 取得する情報
- 申込・アカウント情報: 会社名、氏名・表示名、メールアドレス、認証ユーザーID、パスワードの認証結果、所属Org、役割、権限、紹介コード
- AI社員・業務設定: 職務説明、権限スコープ、利用目的、承認ポリシー、行為上限、許可アカウント、通知先、外部連携設定
- 承認・監査情報: 操作の目的、概要、リスク、承認・却下・修正の結果、担当者、日時、操作結果、構造化監査イベント
- 認証・接続情報: 社員証メタデータ、秘密値のハッシュ、暗号化された通知チャネル認証情報、Webhook識別子、接続状態、最終利用日時
- 課金情報: プラン、契約状態、利用量、Stripe顧客・サブスクリプション識別子。カード番号等の決済情報は原則としてStripeが直接取り扱います。
- 技術情報: Cookie、セッション情報、IPアドレス、ブラウザ・端末情報、アクセス日時、エラーおよびセキュリティログ
- 問い合わせ情報: 問い合わせ内容、連絡先、サポートのために提供された資料
本サービスは、会話全文やAIの内部推論を常時保存することを必須としていません。ただし、契約者が入力した内容、承認概要、外部サービス側の履歴、または障害調査に必要な情報が保存される場合があります。
3. 利用目的
- アカウント開設、本人認証、Orgおよび権限管理
- AI社員、社員証、Gateway、承認、通知、監査および利用状況表示の提供
- トライアル、契約、利用量、請求および決済の管理
- 問い合わせ対応、導入支援、障害調査および契約者サポート
- 不正利用、権限逸脱、攻撃、漏えいその他セキュリティ上の問題の検知・防止・対応
- 品質、可用性および機能の改善、利用傾向の統計的分析
- 重要なサービス通知、規約変更、セキュリティ情報および契約に関する連絡
- 法令、裁判所、行政機関の命令への対応、権利行使および紛争対応
契約者データを、契約者の指示または明示的な同意なく、外部AIモデルの一般的な学習目的に利用することはありません。外部AIサービス側の学習利用は、契約者が選択する当該サービスの契約・設定に従います。
4. Cookieと認証セッション
本サービスは、ログイン状態の維持、セキュリティ、不正利用防止および基本的な動作のためにCookieその他のローカル技術を利用します。必須Cookieを無効にするとログインや管理画面を利用できない場合があります。広告目的の第三者Cookieを導入する場合は、必要に応じて別途通知または同意取得を行います。
5. 委託先・外部サービス
当社は、利用目的の達成に必要な範囲で、次の種類の事業者へ情報処理を委託または連携します。
- ホスティング: Vercel等
- データベース・認証: Supabase
- 決済: Stripe
- メール配信: Resend
- 通知: 契約者が設定したTelegram、LINE等
- AI・業務連携: 契約者が選択または接続するGrok Bot、Googleその他のサービス
当社は、委託先の選定、契約、アクセス制御その他必要かつ適切な監督を行います。利用する事業者は、機能追加や提供条件の変更に伴い更新される場合があります。
6. 第三者提供
当社は、本人の同意がある場合、法令に基づく場合、人の生命・身体・財産の保護に必要な場合、事業承継に伴う場合、利用目的達成に必要な委託の場合、または契約者の明示的な設定・指示により外部サービスへ送信する場合を除き、個人データを第三者へ提供しません。
7. 外国における取扱い
クラウド、決済、メール、通知またはAIサービスの提供者が日本国外に所在し、または国外のサーバーで情報を取り扱う場合があります。当社は、適用法令に従い、委託先の制度・安全管理措置の確認、契約上の保護その他必要な措置を講じます。特定の外部サービスを契約者自身が接続する場合、その国・地域および取扱条件は当該提供者の表示もご確認ください。詳細は問い合わせ窓口で受け付けます。
8. 安全管理措置
- Org単位の論理分離およびデータベースの行レベルアクセス制御
- owner、admin、memberおよび運営者権限の分離と最小権限化
- サービス用秘密鍵をブラウザへ公開しないサーバー側管理
- 社員証秘密値のハッシュ化、通知チャネル秘密情報の暗号化、秘密値の再表示制限
- 承認・監査ログ、接続状態および異常の記録
- 通信の暗号化、依存サービスのアクセス制御、脆弱性・障害への対応
- 個人データの取扱いに関する組織的な責任・手順の整備と委託先の監督
安全管理措置の詳細は、セキュリティを損なわない範囲で、本人からの求めに応じて遅滞なく回答します。
9. 保存期間と削除
- アカウント、Org、AI社員、承認および監査情報は、契約中およびサービス提供・セキュリティ・紛争対応に必要な期間保存します。
- 契約終了または適法な削除請求後は、法令上の保存義務、請求・紛争、不正調査およびセキュリティ上必要な情報を除き、個別契約または当社の削除手順に従い合理的な期間内に削除または匿名化します。
- バックアップ内の情報は、所定のローテーションに従って上書きされます。直ちに個別削除できない場合、復元時に再削除する等の措置を講じます。
- Stripeその他の外部サービスに保存された情報は、各提供者の保存方針にも従います。
10. 開示、訂正、利用停止等の請求
本人は、法令に従い、当社が保有する本人の個人データについて、利用目的の通知、開示（第三者提供記録を含む場合があります。）、訂正・追加・削除、利用停止・消去または第三者提供停止を請求できます。契約者の指示で処理するデータは、まず所属する契約者の管理者へお問い合わせいただく場合があります。
請求は info@tokyo307inc.com へ、対象情報と希望する措置を記載してお送りください。本人確認または代理権確認をお願いする場合があります。通常は手数料を徴収しませんが、特別な実費が生じる場合は事前にお知らせします。
11. 漏えい等への対応
個人データの漏えい、滅失、毀損その他の事案が発生した場合、当社は事実関係の調査、影響範囲の特定、再発防止その他必要な措置を講じ、法令上必要な場合は個人情報保護委員会への報告および本人への通知を行います。
12. ポリシーの変更
当社は、法令、サービス内容または取扱状況の変更に応じて本ポリシーを改定します。重要な変更は、施行日前にウェブサイト、管理画面または登録メールで通知します。
13. 個人情報取扱事業者・問い合わせ窓口
- 事業者
- トーキョーサンマルナナ株式会社
- 住所
- 〒105-0013 東京都港区浜松町2-2-15 2F
- 代表者
- 八坂 太洋