プライバシー
ポリシー

概要

このプライバシーポリシー (以下「本ポリシー」) は、データベース監視サービス Scandock (以下「本サービス」) の運営者 (第 12 条に記載する事業者。以下「当社」) が、本サービスにおいて取得する情報とその取り扱いを定めるものです。本ポリシーで用いる用語は、別途定める利用規約に従います。

当社が取り扱う情報には、当社が自ら取得する情報 (アカウントの情報など) と、お客様の委託を受けて取り扱う情報 (お客様のデータベースから読み取る情報など。第 6 条) があります。第 2 条の利用目的と第 10 条の請求の手続は、前者について定めるものです。

1. 取得する情報

当社は、本サービスの提供にあたり、主に以下の情報を取得します。

• アカウント情報: アカウントの作成時に登録する氏名、メールアドレス、パスワード、および登録時に同意した利用規約の版と日時。パスワードはハッシュ化して保存し、当社が平文を知ることはありません。2段階認証を設定した場合は、その鍵とバックアップコードを暗号化して保存します。会社の ID (SSO) でログインした場合は、IdP から受け取る氏名・メールアドレス・IdP での利用者の識別子を保存し、パスワードは使いません。
• プロジェクトとメンバーの情報: プロジェクト名、プロジェクトに所属するメンバーとその役割、招待先のメールアドレス。Enterprise プランで SSO を設定した場合は、管理者が登録した IdP の設定 (識別子・ログイン URL・署名証明書、OpenID Connect ではクライアントの ID とシークレット) とメールのドメインを保存します。
• データベースの接続情報: お客様が登録したデータベースの接続文字列 (監視用の読み取り専用の接続と、登録された場合は管理者の接続)、本サービスが作成した読み取り専用ユーザーの名前、および接続の確認で返ったエラーの内容。接続文字列は暗号化して保存します。
• Cloudflare Tunnel の設定: Cloudflare Tunnel を使う場合、Tunnel の名前、cloudflared から見たデータベースの IP アドレス、当社が割り当てたホスト名。
• Cloudflare D1 の連携: Cloudflare D1 を使う場合、Cloudflare の OAuth の同意で受け取るリフレッシュトークン (暗号化して保存します)、同意した方と日時、登録した D1 のアカウントの ID とデータベースの ID。
• BigQuery の連携: BigQuery を使う場合、Google の OAuth の同意で受け取るリフレッシュトークン (暗号化して保存します)、同意した方と日時、登録した Google Cloud のプロジェクトの ID。
• 監視と調査で取得するデータ: 対象データベースのスキーマ情報、監視項目のクエリが返した値、調査や会話の中で実行したクエリとその結果、AI による判定の履歴・調査の結論・DB の意味づけ。クエリの結果には、対象データベースに保存されている内容が含まれる場合があります。
• お客様が入力する情報: 会話での指示や質問とその回答の履歴、メモリとして記録した内容、登録した対処 (SQL や通知の内容)、対処の承認・却下とそのメモ、通知先の設定。連携先の認証トークンは暗号化して保存します。
• 決済に関する情報: 契約中のプランと契約の状態、決済代行事業者が発行する顧客と契約の識別子、請求書の宛名に使う会社名・請求先の住所・税の識別番号 (入力された場合)、請求書払いを選んだ場合は請求書を受け取るメールアドレスと入金の状況。クレジットカードの番号は決済代行事業者が取り扱い、当社は保存しません。
• 利用に関する情報: ログインのセッションに紐づく IP アドレスとユーザーエージェント、監査ログ (プロジェクト内での操作の内容・日時・操作したメンバーの氏名とメールアドレス)、および本サービスの実行基盤が記録するリクエストとエラーのログ (アクセス元の情報、要求したページ、日時など)。

2. 利用目的

当社は、自ら取得する情報を以下の目的で利用します。

• 本サービスの提供: 監視項目の設計、異常の判定、原因の調査、対処の提案と実行、通知の送信、会話への回答など、本サービスの機能を提供するため。
• 本人確認とセキュリティ: ログインの認証、不正な利用の防止、およびプロジェクト内の操作を監査ログとして記録し、お客様が後から確認できるようにするため。
• 料金の請求: 契約の管理と、利用料金および従量分の請求のため。
• お客様への連絡: メールアドレスの確認、パスワードの再設定、プロジェクトへの招待、インシデントの通知、その他サービスの運営に必要なお知らせを送るため。
• 不具合の解消と改善: アカウント情報と利用に関する情報を用いて、障害の調査、不具合の解消、および本サービスの改善を行うため。監視と調査で取得するデータと、お客様が入力する情報は、お問い合わせへの対応など本サービスの提供に必要な場合を除き、この目的には利用しません。

3. 委託先と所在国

当社は、本サービスの提供に必要な範囲で、以下の事業者に情報の取り扱いを委託します。

• OpenAI (米国): AI モデルの提供。監視項目の設計、異常の判定、原因の調査、会話への回答のために、接続の名前、スキーマ情報と DB の意味づけ、監視項目の定義と値、過去のインシデントとその決着、クエリとその結果、メモリ、お客様の指示や質問を送信します。データベースの接続文字列は送信しません。OpenAI の API の利用条件では、送信したデータは既定でモデルの学習に使われません。
• Stripe (米国): 契約と決済の処理、消費税の計算、請求書の発行。プロジェクトとメールアドレスなどの情報を送信します。カードの情報と請求先の情報は、お客様から Stripe に直接入力されます。
• Cloudflare (米国): 本サービスの実行基盤、値の履歴と監視の予定の保存 (保存する地域は固定していません)、メールの送信、ボット対策 (Turnstile)、リクエストとエラーのログ、Cloudflare Tunnel 経由の接続 (Tunnel・経路・DNS レコード)、および Cloudflare D1 の読み取り。
• PingCAP (TiDB Cloud、米国): アカウント、プロジェクト、接続情報、監視項目、インシデント、監査ログなどの保存。データは東京リージョンに保存します。

このほか、お客様が通知先や対処として登録した連携先 (Slack、Microsoft Teams、Google Chat、Discord、LINE、LINE WORKS、Chatwork、kintone、Webhook の送信先など) およびメールの宛先には、お客様の設定に従って、インシデントの内容や設定した文面を送信します。

4. 外国にある事業者への委託

前条の OpenAI、Stripe、Cloudflare、PingCAP は米国の事業者です。当社は、これらの事業者との間で、個人情報の適正な取り扱いのための措置を定める契約 (データの処理に関する契約や利用規約) を結び、個人情報保護法第 28 条第 1 項に定める基準に適合する体制を整えたうえで、個人データの取り扱いを委託します。

当社は、これらの事業者による取り扱いの状況と、その取り扱いに影響を及ぼすおそれのある米国の制度の有無を、定期的に確認します。Cloudflare が値の履歴を保存する地域は固定していないため、米国以外の国に保存されることがあります。

米国には、個人情報の保護に関する連邦レベルの包括的な法律はなく、分野ごとの連邦法と、カリフォルニア州の消費者プライバシー法などの州法があります。詳しくは、個人情報保護委員会が公表している外国の制度に関する情報をご覧ください。

ご本人から求めがあった場合、当社は、個人情報保護法第 28 条第 3 項に基づき、これらの措置の概要などの情報を提供します。第 12 条の窓口にご連絡ください。

5. 第三者への提供

当社は、前 2 条の委託およびお客様の設定による送信を除き、お客様の同意なく第三者に個人データを提供しません。ただし、法令に基づく場合、人の生命・身体・財産の保護のために必要で同意を得ることが困難な場合、および事業の承継に伴って提供する場合その他法令で認められる場合はこの限りではありません。

6. お客様の委託を受けて取り扱う情報

監視と調査の過程では、お客様が登録したデータベースに保存されている内容を読み取ります。これには、お客様の顧客など第三者に関する情報が含まれる場合があります。

当社は、これらの情報を、お客様から個人情報保護法第 27 条第 5 項第 1 号に基づく委託を受けて取り扱い、本サービスの提供以外の目的には利用しません。当社は、その処理の一部を第 3 条の事業者に再委託します。

これらの情報に関するご本人からの開示等の請求には、お客様が対応するものとし、当社はお客様の求めに応じて必要な協力を行います。当社にこれらの請求が届いた場合は、お客様に取り次ぎます。

監視対象に個人情報が含まれる場合、その取得と取り扱いについて適用される法令上の対応はお客様の責任で行うものとします。監視の範囲は、監視項目の設定や一時停止によりお客様が調整できます。

BigQuery の連携により Google の API から受け取る情報 (BigQuery のスキーマ、クエリの結果、プロジェクトの一覧。以下「Google ユーザーデータ」) は、本サービスの監視と調査の機能を提供するためにだけ使います。当社が Google ユーザーデータを共有・移転・開示する相手は、次に限ります。

• OpenAI: 異常の判定、原因の調査、会話への回答のため (第 3 条)。
• Cloudflare: 本サービスの実行と、監視項目の値の履歴の保存のため (第 3 条)。
• PingCAP (TiDB Cloud): 監視項目、インシデント、会話の記録の保存のため (第 3 条)。
• お客様が登録した通知先: お客様の設定に従い、インシデントの内容を送るため (Slack、メールの宛先など)。
• 法令に基づく場合など: 法令に基づく場合、および事業の承継に伴う場合 (第 5 条)。

当社は、Google ユーザーデータを販売せず、広告や、汎用の AI モデルの開発・学習に使いません。人が読むのは、お客様の同意がある場合、セキュリティのために必要な場合、または法令に基づく場合に限ります。本サービスによる Google の API から受け取った情報の使用と他のアプリへの移転は、Limited Use の要件を含む Google API Services User Data Policy に従います。

7. Cookie と外部への送信

本サービスでは、以下の目的で Cookie およびブラウザの保存領域を使用し、一部の画面で外部の事業者に情報を送信します。広告や行動の追跡、アクセスの解析を目的としたツールは使用しません。フォントは当社のサーバーから配信します。

• ログインのセッション: ログイン状態を保つためのセッションの Cookie (最長30日) と、確認を速くするための一時的な Cookie (5分) を使用します。いずれも画面のスクリプトから読み取れない設定で発行します。
• 2段階認証: 認証アプリのコードを入力するまでの間、一時的な Cookie を使用します。「この端末を信頼する」を選んだ場合は、その端末で2段階認証を省くための Cookie (30日) を使用します。
• 表示言語: 表示する言語の設定を Cookie に1年間保存します。
• 画面の案内: 操作の案内を表示したかどうかを、お使いのブラウザに保存します。
• ボット対策 (Cloudflare Turnstile): ログイン・登録・パスワード再設定の画面では、ボットによる不正な利用を防ぐため、Cloudflare, Inc. の Turnstile を読み込みます。その際、お使いのブラウザと端末の情報 (IP アドレス、ブラウザの種類や設定など) が Cloudflare に送信され、Cloudflare のプライバシーポリシーに従って取り扱われます。

8. 保存期間と削除

監視項目の値の履歴と監査ログは、ご契約のプランに定める期間 (値の履歴は Starter 30日・Business 90日・Enterprise 365日、監査ログは Starter 30日・Business 365日・Enterprise 3年) を過ぎたものから、毎日削除します。有効な契約がないプロジェクトには、契約が終わってから30日間はそれまでのプランの期間を、その後は最も短い期間 (30日) を適用します。AI の判定の履歴は30日で削除します。

期限の切れたログインのセッション (IP アドレスとユーザーエージェントを含みます) は、毎日削除します。実行基盤のリクエストとエラーのログは、Cloudflare の保存期間 (最長7日) を過ぎると消えます。

インシデント、調査の記録、会話の履歴、メモリ、対処の記録は、期間を定めず、お客様が接続・会話・メモリ・プロジェクトを削除するまで保存します。

接続を削除すると、その接続文字列、監視項目、インシデントと調査の記録を削除します。プロジェクトを削除すると、そのプロジェクトの接続・監視項目・値の履歴・インシデント・調査の記録・会話・メモリ・監査ログなどを削除します。

アカウントは、アカウントの設定画面から削除できます。ただし、契約が続いているプロジェクトや、ほかのメンバーがいるのにほかのオーナーがいないプロジェクトがある場合は、解約やオーナーの変更を済ませるまで削除できません。アカウントを削除しても、ほかのプロジェクトの監査ログに記録されたお客様の氏名とメールアドレスは、そのプロジェクトの保存期間が過ぎるまで残ります。

削除したデータは、委託先のバックアップに一定期間残ることがあります。請求の記録など法令で保存が求められる情報は、法令の定める期間保存します。

9. 安全管理措置

当社は、取り扱う個人データの漏えい・滅失・毀損を防ぐため、以下の措置を講じます。

• 基本方針: 関係する法令とガイドラインを守り、本ポリシーに沿って個人データを適正に取り扱います。
• 組織的な措置: 個人データを取り扱う者とその範囲を定め、本番の環境とデータベースに触れられる者を限ります。組織内の操作は監査ログに記録します。漏えい等の事案が起きたときの報告と対応の手順を定めます。
• 人的な措置: 個人データを取り扱う者に、秘密の保持と適正な取り扱いを求めます。
• 物理的な措置: 個人データは、物理的な安全対策を講じた委託先 (第 3 条) の設備に保存し、当社は自ら設備を持ちません。業務に使う端末は、盗難や紛失に備えた措置を講じます。
• 技術的な措置: 接続文字列と連携先の認証トークンは AES-256-GCM で暗号化して保存し、平文を画面・ログ・API の応答・AI への入力に出しません。監視と調査には読み取り専用の接続だけを使い、AI が生成したクエリは単文の読み取りに限って実行します。インターネットを通るデータベースへの接続では、TLS の証明書の検証を常に行います。Cloudflare Tunnel 経由の接続では、Cloudflare からお客様の cloudflared までを Tunnel が暗号化します。cloudflared からデータベースまでの区間は暗号化しないため、お客様のネットワークの中で保護してください。Cloudflare D1 と BigQuery には、読み取りの権限だけを求める Cloudflare と Google の同意を通して接続し、その同意のトークンも暗号化して保存します。ログインには2段階認証とボット対策を用意しています。
• 外的環境の把握: 個人データの取り扱いを米国の事業者に委託し、一部の情報 (値の履歴) は保存する地域を固定していません。米国の個人情報の保護に関する制度を把握したうえで、安全管理措置を講じます (第 4 条)。

10. 開示等の請求

お客様は、当社が保有するご自身の個人データについて、利用目的の通知、開示 (第三者への提供の記録の開示を含みます)、訂正・追加・削除、利用の停止・消去、第三者への提供の停止を請求できます。お客様の委託を受けて取り扱う情報 (第 6 条) は、この請求の対象ではありません。

• 請求の方法: 第 12 条の窓口に、登録したメールアドレスから、請求の内容をお送りください。
• 本人確認: 登録したメールアドレスからの送信であることを確認します。代理人による請求の場合は、代理権を確認できる書類をお送りいただきます。
• 手数料: 無料です。
• 回答の方法: 原則として電子メール (電磁的な方法) で、法令に従い遅滞なく回答します。書面など別の方法をご希望の場合はお申し出ください。

アカウントの情報の多くは、本サービスの設定画面からご自身で確認・訂正・削除できます。

11. 本ポリシーの変更

当社は、必要に応じて本ポリシーを変更することがあります。重要な変更を行う場合は、本サービス上での掲示その他の方法でお知らせします。法令でご本人の同意が必要な変更は、同意を得たうえで行います。最新の本ポリシーは、常に当社のウェブサイトでご確認いただけます。

12. 事業者と苦情・お問い合わせの窓口

当社の名称・住所・代表者は以下のとおりです。本ポリシーと情報の取り扱いに関するお問い合わせ、苦情、ご相談は、以下の窓口で受け付けます。

名称

株式会社Subnect

住所

〒532-0002 大阪府大阪市淀川区東三国二丁目18番7号 IPビル3階

代表者

関口壮真

苦情・お問い合わせの窓口

support@scandock.ai