KIZASHI プライバシーポリシー

前文

株式会社Ｃ－ＳＰ（以下「当社」といいます）は、当社が提供するサイバーセキュリティ監視・対応サービス「Cyber SP」（以下「本サービス」といいます）の利用者（以下「お客様」といいます）の個人情報の保護を最重要事項と認識しています。当社は、個人情報の保護に関する法律（個人情報保護法）その他関係法令を遵守し、以下のプライバシーポリシー（以下「本ポリシー」といいます）に基づき、お客様の個人情報を取り扱います。

第1条（取得する個人情報）

1. 当社は、本サービスの提供にあたり、以下の個人情報を取得します。

第2条（取得しない個人情報）

1. 1. 当社は、以下の個人情報は取得しません。
2. (1) 経営者本人の生年月日
3. (2) 経営者本人の自宅住所
4. (3) 銀行口座番号
5. (4) クレジットカード番号（決済はStripeに直接渡され、当社サーバーには保存されません）
6. (5) マイナンバー（個人番号）
7. (6) 顔写真（身分証以外）

第3条（利用目的）

1. 1. 当社は、取得した個人情報を以下の目的で利用します。
2. (1) 本サービスの提供（サイバーセキュリティ監視、インシデント検知、通知、レポート作成）
3. (2) 本人確認
4. (3) 利用料金の請求・決済
5. (4) お客様からのお問い合わせ対応
6. (5) 本サービスの改善および新機能開発
7. (6) 本サービスに関する重要なお知らせの送付
8. (7) 本規約違反、不正利用、犯罪行為への対応
9. (8) 統計データの作成（個人を特定できない形に加工した上で）

第4条（個人情報の保管期間）

1. 1. 当社は、取得した個人情報を以下の期間保管します。
2. (1) 通常データ（インシデント情報、月次レポート等）: 契約期間中(無期限)
3. (2) 本人確認書類（身分証画像）: 本人確認完了後60日以内に物理的に削除
4. (3) 解約後のデータ: 解約日から30日間保持し、その後物理的に削除
5. (4) 法令により保管が義務付けられる情報（会計関連書類等）: 法定保存期間中

第5条（第三者への提供・委託）

1. 当社は、本サービスの提供にあたり、以下の第三者に個人情報の一部を提供・委託することがあります。

1. 2. 当社は、上記以外の第三者に対して、お客様の事前の同意なく個人情報を提供しません。ただし、法令に基づく場合、人の生命・身体・財産の保護のために必要な場合等、個人情報保護法に定める例外事由に該当する場合は除きます。

第6条（個人情報の越境移転について）

1. 1. 当社は、本サービスの提供のため、お客様の個人情報を米国・シンガポールに所在する外部事業者（Supabase等）に保管します。また、メール送信のためResend, Inc.（米国）に宛先メールアドレス等を提供します。同社の配信基盤は東京リージョンを指定していますが、同社は外国にある第三者に該当します。
2. 2. これらの国における個人情報保護法制は、日本の個人情報保護法と必ずしも同等の保護水準を提供するものではありません。当社は、外部事業者と適切な契約（標準契約条項またはこれに相当する措置）を締結し、個人情報の保護を確保します。
3. 3. お客様は、本サービスの利用を開始することにより、上記の越境移転に同意したものとみなします。

第7条（安全管理措置）

1. 1. 当社は、お客様の個人情報の漏洩、滅失または毀損の防止その他の個人情報の安全管理のため、以下の措置を講じます。
2. (1) 技術的安全管理措置: 通信の暗号化（HTTPS）、保存データの暗号化（Supabase Encryption at Rest）、アクセス権限の制限、二要素認証の必須化
3. (2) 組織的安全管理措置: 個人情報を取り扱う従業者への定期的な教育、個人情報取扱規程の整備
4. (3) 人的安全管理措置: 守秘義務契約の締結、退職後の守秘義務の継続
5. (4) 物理的安全管理措置: データセンター（Supabase、Vercel等）における物理的セキュリティの確保

第8条（Cookie・アクセス解析）

1. 当社は、本サービスにおいて以下のCookieおよび類似技術を使用します。

1. 2. お客様は、ブラウザの設定または本サービスのCookie設定画面から、Cookieの利用を拒否することができます。ただし、必須Cookieを拒否した場合、本サービスの一部機能を利用できなくなる可能性があります。

第9条（お客様の権利）

1. 1. お客様は、ご自身の個人情報について、以下の権利を有します。
2. (1) 開示請求権: 当社が保有する個人情報の開示を求めることができます
3. (2) 訂正・追加・削除請求権: 個人情報に誤りがある場合、訂正・追加・削除を求めることができます
4. (3) 利用停止請求権: 個人情報の利用停止を求めることができます
5. (4) 第三者提供停止請求権: 個人情報の第三者提供の停止を求めることができます
6. 2. 上記の請求は、ダッシュボード上の操作または下記の問い合わせ先まで、メールにてご連絡ください。
7. 3. 請求に対しては、ご本人確認の上、合理的な期間内に対応します。法令により対応できない場合は、その理由を説明します。

第10条（家族メンバーの個人情報）

1. 1. Personal Premium プランまたは法人プランにおいて家族メンバーを登録する場合、契約者は、家族メンバーから本サービスへの登録および個人情報の取扱いに関する同意を取得する責任を負います。
2. 2. 14歳未満の家族メンバーを登録する場合、契約者（親権者または親権者から同意を得た者）は、当社所定の同意取得手続きに従うものとします。
3. 3. 当社は、家族メンバーから直接同意を取得することは原則行いません。契約者の責任において、家族メンバーへの説明および同意取得をお願いします。

第11条（法人プランにおける社員の個人情報）

1. 1. 法人プランにおいて社員を監視対象として登録する場合、契約法人は、当該社員から本サービスへの登録および個人情報の取扱いに関する同意を取得する責任を負います。
2. 2. 当社は、契約法人から提供された社員の個人情報を、本サービスの提供目的のみに利用します。

第12条（SNS監視機能における取扱い）

1. 1. 本サービスにおけるSNS監視機能は、お客様および同意済みの家族・社員に関する公開情報のみを対象とします。
2. 2. 本サービスでは、第三者の非公開情報、フォロワー限定投稿、DM等は監視対象外です。
3. 3. 本サービスを通じて取得したSNS上の情報は、本サービスの提供目的（インシデント検知・通知・レポート作成）のみに利用し、その他の目的での二次利用は行いません。

第13条（改正）

1. 1. 当社は、関係法令の改正、本サービスの内容変更等に伴い、本ポリシーを改正することがあります。
2. 2. 改正後のポリシーは、本サービスのウェブサイト上に掲載した時点で効力を生じます。

第14条（お問い合わせ窓口）

1. 個人情報の取扱いに関するお問い合わせは、以下の窓口までご連絡ください。