Polya プライバシーポリシー

株式会社ジパンク（以下「当社」といいます。）は、当社の提供する「Polya」（以下「本サービス」といいます。）における、ユーザーについての個人情報を含む利用者情報の取扱いについて、以下のとおりプライバシーポリシー（以下「本ポリシー」といいます。）を定めます。

本ポリシーにおいて「ユーザー」とは、本サービスの契約組織（利用契約を締結した法人、団体または個人事業主）及びその組織アカウントの下で本サービスを利用する登録ユーザーをいいます。

第1条（本サービスにおけるデータの位置づけ）

  1. 本サービスは、組織向けのサービスです。契約組織またはその登録ユーザーが本サービスに入力し、もしくは外部サービスとの連携を通じて本サービスに取り込む業務上の情報、及びこれらから本サービスが契約組織のために生成する情報（コンテキストグラフを含みます。利用規約第2条に定める「組織データ」と同義であり、以下「組織データ」といいます。）に第三者の個人情報が含まれる場合、当該個人情報の取扱いの主体（個人情報取扱事業者）は契約組織であり、当社は、契約組織から委託を受けた者として、当該契約組織へのサービス提供の目的の範囲でこれを取り扱います。
  2. 当社は、前項の委託に基づき取り扱う個人データを、契約組織の指示（本サービス上の設定・操作を含みます。）に基づき取り扱い、本ポリシー第7条に定める安全管理措置を講じます。当社が組織データを本サービスの改善その他当社自身の目的のために利用する場合は、特定の組織及び個人を識別できない統計的な情報に加工した上でのみ利用します。
  3. ユーザーのアカウント情報等、当社が自らの利用目的のために取り扱う利用者情報については、当社が個人情報取扱事業者として、本ポリシーの定めに従い取り扱います。

第2条（収集する利用者情報及び収集方法）

本ポリシーにおいて、「利用者情報」とは、ユーザーの識別に係る情報、通信サービス上の行動履歴、その他ユーザーまたはユーザーの端末に関連して生成または蓄積された情報であって、本ポリシーに基づき当社が収集するものを意味するものとします。本サービスにおいて当社が収集する利用者情報は、その収集方法に応じて、以下のようなものとなります。

  1. ユーザーからご提供いただく情報
    • 氏名、所属組織名、役職等プロフィールに関する情報
    • メールアドレス等連絡先に関する情報
    • パスワード（ハッシュ化して保存します）
    • クレジットカード情報等決済手段に関する情報（有料プランをご利用の場合。カード番号等は決済代行事業者が保持し、当社は保持しません。）
    • ケース、ノート、ワークフロー定義、オントロジー定義等、入力フォームその他当社が定める方法を通じてユーザーが入力または送信する情報
  2. 外部サービスとの連携により収集する情報 ユーザーが、本サービスの利用にあたり、外部サービス（Google Workspace、Slack、Microsoft Teams、Notion、Salesforce、Zendesk 等）との連携を許可した場合には、その許可の際にご同意いただいた範囲に基づき、以下の情報を当該外部サービスから収集することがあります。
    • 当該外部サービスでユーザーが利用するアカウントの識別子（メールアドレス等）
    • 当該外部サービス上のデータのうち、連携時に許可された範囲の情報（チャンネル・ファイル等の一覧情報、メッセージ・文書等の内容情報を含みます。取得される情報の範囲は、各外部サービスの連携許可画面に表示されます。）
    • 外部サービスへの接続に必要な認証情報（OAuth トークン、API キー等。暗号化して保存します。）
  3. ソーシャルログインにより収集する情報 ユーザーが Google、GitHub、Microsoft 等のアカウントによるログインを利用する場合、当該サービスから、氏名、メールアドレス、アカウント識別子等の情報を収集します。
  4. 本サービスの利用を通じて自動的に収集する情報
    • 本サービスの操作履歴・アクティビティログ（ケースの作成・更新、ワークフローの実行、承認等の記録。監査証跡として保存されます。）
    • AI 機能の利用履歴（利用日時、消費クレジット等）
    • リファラ、IP アドレス、ユーザーエージェント、サーバーアクセスログに関する情報
    • Cookie その他の識別子（セッション管理、利用状況分析のために利用します）

第3条（利用目的）

本サービスのサービス提供にかかわる利用者情報の具体的な利用目的は以下のとおりです。

  1. 本サービスに関する登録の受付、本人確認、ユーザー認証、ユーザー設定の記録、利用料金の決済計算等本サービスの提供、維持、保護及び改善のため
    • ケース管理、ワークフローの定義・実行、承認・通知のため
    • 外部サービスとの連携（連携データの取得及びユーザーの指示に基づく外部サービスへの操作の実行）のため
    • AI 機能（情報の抽出・要約・提案・検索、コンテキストグラフの構築等）の提供のため
    • 監査証跡（アクティビティログ）の記録・提供のため
  2. ユーザーのトラフィック測定及び行動測定、本サービスの品質改善のため
  3. 本サービスに関するご案内、お問い合わせ等への対応並びにカスタマーサポートのため
  4. 本サービス及び関連サービスに関するお知らせ・マーケティング情報の配信のため（第9条第4項に定める方法でいつでも配信停止できます。）
  5. 本サービスに関する当社の規約、ポリシー等（以下「規約等」といいます。）に違反する行為に対する対応のため
  6. 紛争、訴訟などへの対応のため
  7. 本サービスの停止・中止・契約解除並びに本サービスに関する規約等の変更などを通知するため
  8. その他前各項目に付帯・関連する事項のため

（AI モデルの学習・改善について） 当社は、ユーザーの組織データ（外部サービスから取得した連携データを含みます。）を、当該ユーザーが属する契約組織へのサービス提供の範囲を超えて、汎用的な機械学習モデルまたは人工知能モデルの開発、訓練または改善のために利用しません。また、当社が利用する AI プロバイダーとの間では、送信されたデータが当該プロバイダーのモデルの訓練に使用されない条件での契約を維持します。

第4条（Google ユーザーデータの取扱い）

本サービスの Google Workspace 連携機能において当社が Google API を通じて取得する情報（以下「Google ユーザーデータ」といいます。）の取扱いは、以下のとおりです。

  1. 取得する情報: 当社は、ユーザーが Google アカウントとの連携を許可した場合に限り、連携許可画面（OAuth 同意画面）に表示される範囲の Google ユーザーデータを取得します。具体的には、アカウントのメールアドレスのほか、利用する連携機能に応じて、(1) ユーザーの指示に基づき送信するメールの内容（Gmail 送信）、(2) Google カレンダーの予定情報（読み取り及びユーザーの指示に基づく予定の作成）、(3) 本サービスが作成し、またはユーザーが本サービスに対して指定した Google ドライブ上のファイル、を取り扱います。取得する情報の範囲は、機能の提供に必要な最小限のスコープに限定します。

  2. 利用方法: Google ユーザーデータは、ユーザーが利用する本サービスのユーザー向け機能（業務コンテキストの構築・検索、ユーザーの指示に基づくメール送信・予定作成・文書作成等）の提供及び改善のためにのみ利用します。

  3. 保存: Google API への接続に用いる認証情報（OAuth トークン）は AES-256-GCM により暗号化して保存します。取得した Google ユーザーデータは、アクセス制御及びテナント分離を実装したデータベースに保存します。

  4. 共有: 当社は、Google ユーザーデータを広告目的で利用せず、広告事業者、データブローカーその他の情報転売事業者に販売または提供しません。第三者への提供は、(1) 本ポリシー第5条に定める委託先（本サービスの提供に必要なクラウドインフラ及び AI プロバイダー）への提供、(2) ユーザーの指示に基づく外部サービスへの送信、(3) 法令に基づく場合、(4) セキュリティ上の調査・不正利用対応に必要な場合、及び (5) 合併その他の事業承継に伴う場合（ユーザーの明示的な事前の同意を得て、承継後も本条と同等の取扱いを維持する場合に限ります。）に限ります。

  5. 人によるアクセスの制限: 当社の役職員は、(1) ユーザーが特定のメッセージ、ファイルその他のデータの閲覧について明示的に同意した場合、(2) セキュリティ上の調査・不正利用対応に必要な場合、(3) 法令遵守に必要な場合、または (4) 個人を識別できない形に集計・匿名化されている場合を除き、Google ユーザーデータを閲覧しません。閲覧する場合も、当該目的に必要な最小限の範囲に限ります。

  6. AI モデルの学習への不使用: 当社は、Google ユーザーデータを、汎用的な機械学習モデルまたは人工知能モデル（生成 AI モデルを含みます。）の開発、訓練または改善のために利用しません。

  7. 保持期間及び削除: ユーザーが Google アカウントとの連携を解除した場合、当社は保存している当該認証情報を削除し、取得済みの Google ユーザーデータを連携解除後90日以内に削除します（法令に基づき保存が必要な場合、及び Google ユーザーデータから生成された、元データを復元できない業務コンテキスト情報を除きます。）。連携解除前でも、取得済みの Google ユーザーデータの削除を希望する場合は、第10条の窓口にご連絡ください。ユーザーは、Google のセキュリティ設定ページ（https://myaccount.google.com/permissions）からも本サービスのアクセス権を取り消すことができます。なお、Google ユーザーデータから生成された派生情報の削除に関する技術的な限界については、第9条第5項をご参照ください。

  8. Limited Use の遵守: 本サービスによる Google API から取得した情報の利用及び他のアプリへの移転は、Google API Services User Data Policy（Limited Use の要件を含みます。）に準拠します。

    Polya's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

    （和訳: Polya による Google API から受領した情報の利用及び他のアプリへの移転は、Limited Use の要件を含む Google API Services User Data Policy に準拠します。）

第5条（第三者提供及び委託）

  1. 当社は、利用者情報のうち、個人情報については、あらかじめユーザーの同意を得ないで、第三者（日本国外にある者を含みます。）に提供しません。但し、次に掲げる必要があり第三者（日本国外にある者を含みます。）に提供する場合はこの限りではありません。

    1. 当社が利用目的の達成に必要な範囲内において個人情報の取扱いの全部または一部を委託する場合
    2. ユーザーの指示（ワークフローの設定・実行、外部サービスへの操作の指示等を含みます。）に基づき、外部サービスへ情報を送信する場合
    3. ユーザーに利用料金を請求する目的で、決済代行事業者、クレジットカード会社及び銀行に本サービスを利用しているユーザーの個人情報を預託する場合
    4. 合併その他の事由による事業の承継に伴って個人情報が提供される場合
    5. 人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難である場合
    6. 国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、ユーザーの同意を得ることによって当該事務の遂行に支障を及ぼすおそれがある場合
    7. その他、個人情報の保護に関する法律（以下「個人情報保護法」といいます。）その他の法令で認められる場合

  2. 当社が利用する主要な委託先（サブプロセッサ）は以下のとおりです。当社は、適切な安全管理措置を講じている事業者を委託先として選定し、業務に必要な範囲の情報のみを提供します。

    委託先所在国委託内容
    Google Cloud（Google LLC）米国（データセンター: 東京リージョン）クラウドインフラ（アプリケーションホスティング等）
    Supabase, Inc.米国データベース及びストレージのホスティング
    Anthropic, PBC米国AI 機能（大規模言語モデルによる処理）

    委託先は本サービスの機能追加等に伴い変更・追加されることがあります。最新の一覧は当社ウェブサイト上に掲載します。

  3. 当社は、個人情報を第三者に提供したときは、法令に基づき記録の作成及び保存を行います。

第6条（外国にある第三者への提供）

前条の委託先には、米国その他の外国にある事業者が含まれます。当社は、外国にある第三者に個人データの取扱いを委託する場合、個人情報保護法の定めに従い、当該第三者が個人情報保護法に準ずる措置を継続的に講ずるために必要な体制を整備していることを確認した上で提供し、必要な情報をユーザーに提供します。米国には、個人情報の保護に関する包括的な連邦法は存在しませんが、各委託先はそれぞれのプライバシーポリシー及び当社との契約に基づき個人情報を保護する措置を講じています。

第7条（安全管理措置）

当社は、利用者情報の漏えい、滅失または毀損の防止その他の利用者情報の安全管理のために、必要かつ適切な措置を講じています。主な措置は以下のとおりです。

  1. 組織的安全管理措置: 取扱責任者の設置、取扱状況の記録（監査ログ）
  2. 人的安全管理措置: 役職員への秘密保持義務の徹底及び教育
  3. 物理的安全管理措置: サーバー等の物理的な管理は、第5条に定めるクラウド事業者のデータセンターにおける入退室管理その他の管理策に依拠し、当社は当該事業者の第三者認証の取得状況等を確認
  4. 技術的安全管理措置: 通信の暗号化（TLS）、外部サービス認証情報の暗号化保存（AES-256-GCM）、契約組織間のデータ分離（データベースレベルのアクセス制御）、アクセス権限の最小化
  5. 外的環境の把握: 外国にある委託先が所在する国の個人情報保護制度の把握

安全管理措置の具体的な内容については、第10条に記載のお問い合わせ窓口までお問い合わせください。

第8条（Cookie 等及び利用者情報の外部送信）

  1. 当社は、セッション管理（ログイン状態の維持）のために Cookie を利用します。

  2. 当社は、サービス改善のための利用状況把握を目的として、アクセス解析ツールを利用し、ユーザーの識別子、IP アドレス、ユーザーエージェント、操作イベント等の利用者情報を当該ツール提供者に送信することがあります。送信される情報、利用目的、送信先の詳細は、当社ウェブサイト上の「利用者情報の外部送信について」に掲載します。

    利用者情報の外部送信について: https://app.polyaai.com/legal/ja/polya-external-transmission

第9条（利用者情報の保持期間、削除及び開示等の請求）

  1. 当社は、利用者情報を、利用目的の達成に必要な期間保持します。契約組織が利用契約を解約した場合、当社は、法令等に基づき保存が必要な場合を除き、運用上のバックアップに要する期間の経過後、合理的な期間内に、利用者情報及び組織データを削除し、または個人を識別できない形に加工するものとします。早期の削除を希望する場合は、第10条の窓口にご連絡ください。
  2. 当社は、ユーザーから、個人情報保護法の定めに基づき保有個人データの利用目的の通知、保有個人データまたは第三者提供記録の開示、内容の訂正・追加・削除、利用の停止・消去・第三者提供の停止のご請求（以下「開示等の請求」といいます。）があった場合は、ユーザーご本人からのご請求であることを確認した上で、法令に基づき遅滞なく対応します。開示等の請求は、第10条のお問い合わせ窓口へのメールにより受け付け、当社は、登録メールアドレスからの送信の確認その他の合理的な方法により本人確認を行った上で、原則として電磁的方法により回答します。なお、利用目的の通知または開示のご請求については、手数料（1件あたり1,000円）を頂戴する場合があります。
  3. 組織データに含まれる第三者の個人情報に関する開示等の請求については、個人情報取扱事業者である契約組織が対応の主体となります。当社に当該請求が寄せられた場合、当社は契約組織にその旨を通知し、契約組織の対応に必要な協力を行います。
  4. マーケティング目的のメール配信等については、ユーザーがいつでもオプトアウトできる手段を提供します。
  5. 外部サービスとの連携の解除に伴い当社が行う、当該連携により取得した情報及びその派生情報の削除には、次の技術的な限界があります。
    1. LLM 由来の帰属不能な派生情報: 本サービスの AI 機能は、外部サービスとの連携により取得した情報をもとに、要約、コンテキストグラフ上のエンティティ・関係性その他の派生情報を生成します。ユーザーが外部サービスとの連携を解除した場合、当社は、当該連携により取得した元データ及びそれに紐づくことが構造的に特定できる派生情報を、本ポリシー及び関連する削除手続に従い削除します。もっとも、大規模言語モデルによる要約・生成処理の性質上、連携解除された情報が他の情報と混在して要約その他の派生情報の生成に影響を与えた場合であって、当該影響を事後的に当該情報に一意に帰属させることができないときは、当該派生情報の削除または完全な特定は技術的に困難であり、これを保証するものではありません。派生情報の削除は、バイト単位で完全であることを意味するものではありません。
    2. 関係性データの残差: 本サービスのコンテキストグラフにおいて、二つの情報項目間の関係性（以下「関係性データ」といいます。）は、当該関係性の根拠となった連携元の情報（複数の外部サービス連携にまたがる場合を含みます。）に基づき生成されます。ユーザーが外部サービスとの連携を解除した場合、当該連携にのみ由来する関係性データは削除の対象となりますが、関係性データの両端に位置する情報項目自体がそれぞれ他の連携元の情報によっても裏付けられ保持される場合、解除された連携のみに由来していた関係性データが、技術的な理由により削除されず残存することがあります。
    3. レジストリ直接連携由来データ: 本サービスの一部の連携方式（レジストリを通じた直接データ取込み）により取得された情報のうち、当該情報がどの外部サービス連携に由来するかを個別に追跡する情報（連携元の認証情報との対応関係）が記録されていないもの（当該対応関係を記録する仕組みの導入前に取り込まれた情報を含みます。）については、ユーザーが当該連携を解除した場合であっても、他の連携経由データと異なり、連携解除に伴う選別的な削除の対象とすることができず、残存します。また、当該対応関係が記録されている情報についても、これを選別的な削除の処理に反映する実装が完了するまでの間は、同様に残存することがあります。

第10条（お問い合わせ窓口）

ご意見、ご質問、苦情のお申出その他利用者情報の取扱いに関するお問い合わせは、下記の窓口までお願いいたします。

第11条（未成年者の利用）

本サービスは事業者による事業目的での利用を想定しています。未成年者が登録ユーザーとして本サービスを利用する場合は、法定代理人の同意を得た上でご利用ください。

第12条（プライバシーポリシーの変更手続）

当社は、必要に応じて、本ポリシーを変更します。但し、法令上ユーザーの同意が必要となるような本ポリシーの変更を行う場合、変更後の本ポリシーは、当社所定の方法で変更に同意したユーザーに対してのみ適用されるものとします。当社は、本ポリシーを変更する場合には、変更後の本ポリシーの施行時期及び内容を当社のウェブサイト上での表示その他の適切な方法により周知し、またはユーザーに通知します。ユーザーに不利益となる重要な変更については、施行時期の相当期間前までに周知または通知します。

附則

【2026年●月●日 制定】（ドラフト — 正式リリース時に制定日を確定）