GENFLUX Security プライバシーポリシー

１　関係法令・ガイドライン等の遵守

当社は、個人情報保護法その他の関係法令、個人情報保護委員会の定めるガイドライン等および本ポリシーを遵守し、個人情報を適法かつ適正に取り扱います。

２　取得する個人情報

当社は、本サービスの提供にあたり、以下の個人情報およびこれに関連する情報を取得する場合があります。

アカウント・契約情報

• 氏名、メールアドレス、電話番号
• 所属組織名、部署名、役職
• テナント名、テナントID、契約プラン、利用上限、請求・契約に関する情報
• 管理者アカウント、ロール、認証状態、ログイン履歴、登録事項
• 問い合わせ、サポート依頼、商談、資料請求、サービス申込みに含まれる情報

利用者および端末に関する情報

• 利用者のメールアドレス、表示名、所属グループ、外部ID
• ブラウザ拡張機能のバインド状態、最終稼働時刻、アンインストールまたは未保護状態に関する情報
• 拡張機能のバージョン、ブラウザ、OS、デバイス識別子、IPアドレス、User-Agent等の技術情報
• Magic Link、拡張機能用トークン、APIキーその他認証に関する情報。ただし、当社は、秘密値そのものを必要以上に保持せず、ハッシュ化、暗号化その他適切な方法により保護します。

AI利用イベント・DLP検知結果

• AIサービス名、アクセス先URL、イベント発生時刻、イベント種別、実行されたアクション
• プロンプト、応答、ファイルアップロード、ツール呼び出し等に関するメタデータ
• 適用されたポリシー、DLPルール、検知カテゴリ、重要度、検知結果、検知箇所に関する情報
• プロンプト本文、応答本文、ファイル内容等の原文データ
• 原文データから生成されるハッシュ、マスク済みテキスト、検知対象文字列のハッシュ、周辺文脈等

当社は、原文データの取得・保存を、本サービスの提供、DLP判定、監査ログ、障害調査その他必要な目的の範囲に限定し、契約、管理者設定、サービス仕様に応じて、ハッシュ化、マスキング、メタデータ化その他のデータ最小化措置を講じます。

SaaS監査ログ連携・外部サービス連携情報

• Microsoft 365 Copilot、Google Workspace、Slackその他外部SaaSから取得される監査ログ、利用ログ、外部イベントID、同期カーソル
• SaaS連携状態、OAuthスコープ、連携設定、エラー情報、最終同期時刻
• OAuth refresh token等の認証情報。当社は、これらを暗号化し、アクセス権限を限定して取り扱います。

技術情報・運用情報

• IPアドレス、ブラウザの種類およびバージョン、OSの種類
• Cookie情報、リクエストに付随する技術的な識別情報
• サーバーログ、エラーログ、アクセスログ、操作ログ、監査ログ
• 不正アクセス、障害、脆弱性、規約違反、セキュリティインシデントの調査に必要な情報

３　個人情報の利用目的

当社は、ユーザーの個人情報について、以下の利用目的の範囲内で取得および利用し、ユーザーまたは利用企業の同意がある場合または法令で認められている場合を除き、他の利用目的で利用しません。

⑴ 本サービスへの登録、本人確認、認証、アカウント管理およびテナント管理のため

⑵ 本サービスの提供（AI利用状況の可視化、DLP判定、ポリシー適用、警告、ブロック、監査ログ記録、SaaS監査ログ連携、未保護端末検知等を含みます）のため

⑶ 本サービス上で行うユーザーサポートおよびアフターサービスを実施するため

⑷ 本サービスの運営上必要となる事項を通知するため

⑸ 電子メール等により本サービスその他当社の事業に関する情報を配信するため

⑹ ユーザーまたは利用企業からの問い合わせに対応するため

⑺ 本サービスの品質向上、障害分析、性能改善および新機能開発のために、利用状況、操作ログ、エラー情報その他これらに類する情報を解析・分析するため

⑻ 本サービス利用代金の請求、返金、支払等および関連する事務処理のため

⑼ 本サービスの利用規約、利用企業の設定したポリシーその他当社または利用企業が定めるルールに違反する行為への対応、その他本サービスの不正利用の調査・検知・予防のため

⑽ 本ポリシーで定める個人データの第三者提供のため

⑾ 本ポリシーの変更を通知するため

なお、上記の利用目的には、ユーザーが本サービス上で入力したデータ、本サービスにより生成されたデータ、AI利用イベント、DLP検知結果、監査ログその他利用企業に関するデータ（以下「入出力データ等」といいます）を、当社または第三者が提供するAIモデルの学習・トレーニングの目的で利用することは含まれません。

４　利用企業と利用者の関係

本サービスは、利用企業が自社または自組織の業務環境に導入し、利用管理者がポリシー、DLPルール、ユーザー、グループ、外部サービス連携その他の設定を管理することを前提とするB2Bサービスです。

利用者のAI利用イベント、監査ログ、DLP検知結果、ブラウザ拡張機能の稼働状態等は、利用企業の情報セキュリティ管理、監査、内部統制、規程遵守、インシデント対応等の目的で取得され、利用企業の利用管理者に表示または提供される場合があります。

利用企業は、本サービスの導入および利用にあたり、適用法令、就業規則、社内規程、情報セキュリティポリシー、従業員への通知、同意取得その他必要な手続を自らの責任で行うものとします。

５　外部サービスの利用およびデータの提供

委託先への提供

当社は、本サービスの機能を提供するため、以下の種類の外部サービス提供事業者（以下「委託先」といいます）に対し、必要な範囲でユーザーの個人データの取扱いを委託する場合があります。

• AI基盤サービス提供事業者（テキストの生成・解析、DLP補助判定等）
• 文書解析サービス提供事業者（アップロード文書の解析・テキスト抽出等）
• SaaS API提供事業者（Microsoft 365、Google Workspace、Slack等の監査ログ取得等）
• 認証基盤サービス提供事業者（ユーザー認証・アカウント管理等）
• メール配信サービス提供事業者（通知メール、招待メール等の送信）
• クラウドインフラサービス提供事業者（データの保管・処理基盤等）
• 監視、ログ管理、セキュリティ対策、問い合わせ管理、決済その他本サービス提供に必要な事業者

当社は、委託先に対し、個人データの安全管理が図られるよう必要かつ適切な監督を行います。また、再委託を行う場合、再委託先に対しても委託先と同等の安全管理義務を課し、必要かつ適切な監督を行います。

AIモデルの学習・トレーニングへの不使用

当社は、ユーザーの入出力データ等を、当社または委託先その他の第三者のAIモデルの学習・トレーニングの目的で利用または提供いたしません。また、AI基盤サービス提供事業者その他の委託先においても同目的で利用されないよう、契約上の措置その他適切な措置を講じています。

外国にある第三者への提供

上記の委託先には、日本国外に所在する事業者が含まれる場合があります。当社は、外国にある第三者に個人データを提供する場合、個人情報保護法の定めに従い、当該第三者との間で個人データの適切な取扱いに関する契約を締結する等、必要な措置を講じます。

当社が外国にある第三者に個人データを提供する場合、当該提供先の所在国、当該国における個人情報保護制度の概要、当該第三者が講ずる個人情報保護措置の概要その他法令上必要な情報を、当社ウェブサイトにおいて公表し、または本人の求めに応じて遅滞なく提供します。当社は、外国にある第三者が継続的に相当措置を講じていることを定期的に確認し、当該措置の継続が困難となった場合は、必要かつ適切な措置を講じ、必要に応じて提供を停止します。

第三者提供

当社は、上記の委託先への提供を除き、ユーザーまたは利用企業の事前同意がある場合または個人情報保護法その他の法令で認められている場合を除き、ユーザーの個人データを第三者に提供いたしません。

当社は、ユーザーの個人データ、入出力データ等、AI利用イベント、DLP検知結果、監査ログを、第三者広告、データブローカー、個人向け広告配信の目的で利用または提供しません。

６　個人データの安全管理措置

当社は、取り扱う個人データの漏えい、滅失または毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じます。また、従業者や委託先（再委託先等を含みます）に個人データを取り扱わせるにあたっては、当該個人データの安全管理が図られるよう、必要かつ適切な監督を行います。当社の講じている安全管理措置の主な内容は以下のとおりです。

組織的安全管理措置

個人データの取扱いに関する責任者を設置し、個人データを取り扱う従業者および当該従業者が取り扱う個人データの範囲を明確化しています。

人的安全管理措置

個人データの取扱いに関する留意事項について、従業者に適正な教育を行い、必要かつ適切な監督を行っています。

物理的安全管理措置

個人データを取り扱うことのできる従業者以外が容易に個人データを閲覧できないような措置を実施し、個人データを取り扱う機器、電子媒体および書類等の盗難または紛失等を防止するための措置を講じています。

技術的安全管理措置

当社は、個人データの保護のため、以下の技術的安全管理措置を講じています。

• 保存データの暗号化
• 通信経路の暗号化（TLS/SSLによる通信の保護）
• ネットワーク保護（ネットワーク分離、Webアプリケーションファイアウォール、レート制限等）
• アクセス制御（ロールベースアクセス制御、最小権限の原則に基づくアクセス管理、多要素認証への対応）
• データ分離（利用企業ごとの論理的なデータ分離の実施）
• 認証情報の保護（APIキー、拡張機能用トークン等のハッシュ化保存、OAuth token等の暗号化保存、暗号鍵のセキュアな管理）
• 監視体制（システムログ、監査ログの継続的な収集・保管、リソース使用状況の監視）
• バックアップ
• 入力検証（リクエストデータの型検証、インジェクション対策等）
• DLP原文データの保存最小化、ハッシュ化、マスキング、メタデータ化

７　個人データの保管

保管場所

当社は、ユーザーの個人データを、当社が利用するクラウドインフラサービスの日本国内のリージョンに所在するサーバーにおいて保管することを基本とします。ただし、外部サービス連携、委託先の利用、バックアップ、監視その他本サービス提供に必要な範囲で、日本国外に所在するサーバーまたは事業者において処理される場合があります。

保管期間

当社は、利用目的の達成に必要な期間、個人データを保管します。利用契約の終了後は、当社が別途定める保管期間（原則として終了後90日間）の経過後に、個人データを削除します。ただし、法令に基づき保管が義務付けられている場合、紛争対応、監査、バックアップ、セキュリティ確保その他合理的な理由がある場合はこの限りではありません。

AI利用イベント、DLP検知結果、監査ログ、原文データ、ハッシュ、メタデータの保存期間は、利用契約、サービス仕様、利用企業の管理者設定により異なる場合があります。

８　保有個人データ等の開示、訂正等、利用停止等

当社は、ユーザーから、個人情報保護法の定めに基づき保有個人データもしくは第三者提供記録の開示または保有個人データの利用目的の通知を求められたときは、ユーザーご本人からの請求であることを確認したうえで、遅滞なく開示または通知いたします。ただし、個人情報保護法その他の法令により、当社が開示または通知する義務を負わない場合はこの限りではありません。

当社は、ユーザーから、個人情報保護法の定めに基づき、保有個人データの内容が事実でないとして、当該保有個人データの内容の訂正、追加または削除（以下「訂正等」といいます）を求められたときは、ユーザーご本人からの請求であることを確認したうえで、遅滞なく必要な調査を行い、その結果に基づき、訂正等を行います。ただし、個人情報保護法その他の法令により、当社が訂正等を行う義務を負わない場合はこの限りではありません。

当社は、ユーザーから、個人情報保護法の定めに基づき、保有個人データの利用停止、消去、または第三者への提供の停止（以下「利用停止等」といいます）を求められたときは、ユーザーご本人からの請求であることを確認したうえで、遅滞なく、利用停止等を行います。ただし、個人情報保護法その他の法令により、当社が利用停止等を行う義務を負わない場合はこの限りではありません。

利用企業の管理下にある利用者に関する情報については、原則として所属する利用企業の利用管理者を通じて、開示、訂正等、利用停止等の依頼を受け付けます。前3項に定めるお求めをご希望いただく場合は「１０ お問い合わせ窓口」宛までご連絡ください。

９　Cookieおよびアクセス解析ツール

当社では、本サービスのご利用状況を把握し、本サービスの利便性を向上するために、Cookieを使用し、または類似の技術を利用する場合があります。これらの情報に特定の個人を識別する情報は含まれていません。

当社は、本サービスのご利用状況を把握し、本サービスの利便性を向上するために、アクセス解析ツールを利用する場合があります。アクセス解析ツールはCookie等を利用して、特定の個人を識別する情報を含まないかたちで閲覧履歴を収集、分析し、当社はその結果を受け取り、本サービスの開発、改善等に利用する場合があります。

Cookieの無効化は、ご利用のブラウザの設定から行うことができます。ただし、Cookieを無効化した場合、本サービスの一部の機能がご利用いただけなくなる場合があります。

１０　お問い合わせ窓口

保有個人データに関するお求めの受付、その他当社の個人情報の取扱いに関するお問い合わせは、下記の窓口までお願いいたします。

株式会社Elith　個人情報保護管理担当

E-mail: sales-team@elith.ai

１１　本ポリシーの変更について

当社は、本ポリシーの内容を適宜見直し、必要に応じて変更する場合があります。変更後の本ポリシーは、当社サイトへの掲載、電子メールその他適切な方法により利用企業に通知した時点から効力を生じるものとします。重要な変更を行う場合は、当社サイト上での掲示その他適切な方法で事前にお知らせいたします。