プライバシーポリシー

1. 取得する情報

• アカウント情報（氏名、メールアドレス、プロフィール画像、アカウントの状態）
• 認証情報（パスワードはハッシュ化して認証基盤に保存され、当社が平文で保持することはありません。パスワード再設定用のトークンはハッシュ化して保存し、有効期限経過後は使用できません）
• 所属情報（ワークスペース名・識別子・タイムゾーン、ワークスペース内の役割、クライアント担当者・ベンダー担当者としての所属と状態、招待の記録）
• クライアント情報（クライアント名、コード、Web サイト、ロゴ画像、種別、取引状態、社内メモ、クライアント側の担当者名・連絡先）
• 案件情報（プロジェクト名、課題の件名・説明・優先度・公開範囲・担当者・期間・進捗、カテゴリ・種別・状態・マイルストーン、カスタム項目の値、課題の関連と前後関係）
• コメントおよび添付画像（本文、画像ファイル、既読の記録、ピン留め、メンション）
• 確認・承認の記録（社内確認・クライアント確認の依頼、承認・修正依頼の別、コメント、実施者、日時）
• 保守運用の情報（保守契約の内容と期間、作業時間の記録、請求対象時間、インシデントの内容と影響）
• 外部サービス連携の情報（下記 3 のとおり。アクセストークン・リフレッシュトークンは暗号化して保存します）
• 操作の記録（監査ログ: 操作の種別、実施者、対象、日時、および操作に付随する情報）
• 通知の記録（メンション、確認の依頼と結果、担当者になったこと、見ている課題への コメント、重大インシデントについて、宛先・対象の課題・日時・本文の抜粋。 下記 10 のとおり一定期間の経過後に自動的に削除します）
• 不正利用対策のための情報（ログイン・新規登録・パスワード再設定・招待の各操作について、IP アドレスまたはメールアドレスを鍵とした一定時間内の試行回数。試行回数の記録は一定時間の経過後に無効となります）
• 契約情報（プラン、利用人数の上限、契約期間）。 なお本サービスは、クレジットカード番号等の決済情報を取得していません
• お問い合わせの内容（公開サイトのお問い合わせフォームから送信された、お名前、会社名、メールアドレス、電話番号、お問い合わせの種類と本文、送信元のページ）。 あわせて、迷惑投稿の防止のためブラウザの種類（User-Agent）と、IP アドレスを日付とともにハッシュ化した値を記録します（IP アドレスそのものは保存しません）
• Cookie 等を用いた認証セッション情報、および画面表示の設定

2. 利用目的

• 本サービスの提供・運用・改善
• 本人確認・認証・不正利用の防止
• 案件に関する通知メールの送信（招待、確認依頼、承認・修正依頼、メンション、重大インシデント、保守契約の使用状況）
• ワークスペース・クライアント・ベンダーの間での案件情報の共有
• 利用状況の把握と、契約プラン・利用人数の管理
• お問い合わせへの回答・ご案内（資料の送付、導入のご相談、お見積り）
• 関連する法令・ガイドラインへの対応

当社は、利用者が本サービスに登録したデータを、AI・機械学習モデルの学習に使用しません。

3. 外部サービス連携で取得する情報

以下の連携は、ワークスペースの管理者が明示的に接続した場合に限り行われます。接続しない場合、これらのデータを取得することはありません。接続はいつでも解除でき、解除時に当社が保持するトークンは削除されます。

Google ドライブ

• このアプリで使用するファイルのみの参照・編集・作成・削除（drive.file）― プロジェクトのファイル置き場となるフォルダの作成と、課題への関連付けのために使用します。 このスコープでは、利用者が選択ダイアログで自ら選んだファイル・フォルダ、および本サービスが作成したものにのみアクセスできます。Google ドライブ全体を参照することはできません
• アカウント情報（openid / userinfo.email / userinfo.profile）― 接続したアカウントを画面に表示し、取り違えを防ぐために使用します

本サービスが Google から受け取る情報の利用は、Google API サービスのユーザーデータに関するポリシー（Limited Use の要件を含む）に従います。すなわち、取得した情報は上記の機能を提供する目的にのみ使用し、広告目的では使用せず、第三者へ販売せず、AI・機械学習モデルの学習にも使用しません。また、当社の担当者が内容を閲覧することはありません（利用者の明示的な同意がある場合、セキュリティ上の調査に必要な場合、法令に基づく場合を除きます）。 当社が保存するのは、フォルダ・ファイルの識別子と名称などの参照情報であり、ファイルの中身を当社のサーバへ複製することはありません。

Box

• 接続したアカウントの情報、および基準フォルダ配下のフォルダ・ファイルの識別子・名称・更新日時。プロジェクトのファイル置き場と課題への関連付けに使用します

Figma

• 接続したアカウントの情報、およびコメントに貼られた Figma の URL から得られるファイル名・サムネイル画像。課題に紐づくデザインの一覧表示とプレビューに使用します

Slack

他の連携と異なり、Slack は情報を受け取るためではなく、送るために接続します。当社が Slack から取得する情報は、送信先を選ぶために必要な最小限に限られます。

• 接続先ワークスペースの識別子・名称― どのワークスペースへ接続しているかを設定画面に表示するために使用します
• チャンネルの識別子・名称― 通知先を一覧から選べるようにするために使用します。取得するのはパブリックチャンネルと、アプリが招待されたプライベートチャンネルに限られ、チャンネル内のメッセージを読み取ることはありません
• 利用者の Slack ユーザー識別子― 本人宛てのダイレクトメッセージ機能を利用する場合に限り、本サービスに登録されたメールアドレスを Slack へ送信して該当ユーザーを特定し、その識別子を保存します。メンバー一覧やプロフィールの取得は行いません。メールアドレスが一致しない場合、ダイレクトメッセージは送信されません

当社が Slack へ送信する内容は次のとおりです。

• チャンネルへの投稿― 課題キー・件名・操作した方の氏名・課題へのリンク・プロジェクトの識別子。 チャンネルの参加者を当社が確認できないため、コメント本文は送信しません
• ダイレクトメッセージ― 上記に加えて、その通知の対象となったコメント本文の抜粋（先頭 500 文字まで）。 受信するのはご本人のみであるため本文を含めています。受け取り方は個人設定で変更できます

投稿はすべて本サービスのアプリ名義で行い、利用者本人になりすまして書き込むことはありません（そのための権限を要求していません）。 接続を解除すると、当社が保持するトークンおよび Slack ユーザーの識別子は削除されます。Slack 上に投稿済みのメッセージは削除されません。

4. 情報が共有される範囲

本サービスでは、登録された情報は次の範囲で共有されます。共有範囲は課題ごとに設定でき、社内限定の情報をクライアントに開示しない運用ができます。

• 社内メンバー ― ワークスペースに所属するメンバー。参加しているプロジェクトの情報を閲覧・編集できます
• クライアント担当者 ― 自身が所属するクライアントの案件のうち、公開範囲が「クライアントに公開」の情報のみを閲覧できます。社内限定の課題・コメント・社内確認の記録は表示されません
• ベンダー担当者 ― 共有された課題に限り閲覧できます
• 氏名・プロフィール画像・メールアドレスは、同じワークスペースまたは同じ案件に関わる利用者に表示されます。関係のないクライアント同士で相互に表示されることはありません

5. 第三者提供

当社は、法令に基づく場合、または利用者の同意がある場合を除き、個人情報を第三者へ提供しません。下記 6 の委託先への提供は、本サービスの提供に必要な範囲での委託であり、第三者提供にはあたりません。

6. データの保管および委託先

本サービスは、運営のために以下の事業者を利用しています。いずれも本サービスの提供に必要な範囲でのみデータを取り扱います。

• Supabase（データベース・認証・ファイル保管）
• Vercel（アプリケーションの実行環境）
• Resend（通知メールの送信）
• Box / Google / Figma / Slack（利用者が連携を接続した場合に限る。取扱いは上記 3 のとおり）

これらの事業者のサーバは日本国外に所在する場合があります。当社は、委託先との契約により、本ポリシーと同等の安全管理措置を求めています。

7. Cookie 等

本サービスは、ログイン状態の維持と画面表示の設定（表示モード、クライアント閲覧モード、サイドバーの開閉など）のために Cookie を使用します。広告目的の第三者 Cookie は使用していません。

トップページ・料金プラン・利用規約・本ポリシー・お問い合わせの各ページ（ログインせずに閲覧できるページ）では、アクセス解析や広告のための Cookie を使用していません。

なお、Google ドライブのファイル選択ダイアログは Google のページを画面内に読み込むため、ご利用のブラウザが他サイトの Cookie を遮断している場合は正しく表示されないことがあります。

8. 操作の記録（監査ログ）

権限の変更、メンバーの招待・停止、外部サービスの接続・解除、ファイルの関連付けなど、重要な操作は実施者・対象・日時とともに記録します。これは不正利用の調査と、案件の経緯を後から確認できるようにするためのものです。監査ログはワークスペースの管理者が参照できます。

9. セキュリティ

• 通信は TLS で暗号化しています
• データベースは行単位のアクセス制御（Row Level Security）により、所属するワークスペース・クライアント・ベンダーの範囲を超えて読み書きできないようにしています
• 外部サービスのアクセストークン・リフレッシュトークンは暗号化して保存し、ブラウザへ渡しません
• ログイン・パスワード再設定・招待には試行回数の制限を設けています

10. 利用者の権利・データの削除

利用者は、自身の個人情報の開示・訂正・利用停止・削除を請求できます。氏名・プロフィール画像などは設定画面からご自身で変更できます。アカウントの削除、およびワークスペース単位でのデータの削除をご希望の場合は、下記 12 のお問い合わせ先までご連絡ください。

案件の経緯（課題・コメント・承認の記録）は、他の利用者との共同作業の記録でもあるため、退会後も当該ワークスペースに残ることがあります。この場合、氏名等の表示は削除または匿名化します。

保存期間

お問い合わせの内容は、回答および同種のご相談への対応のため、受付から 3 年間保存し、その後削除します。削除のご希望があれば受付後いつでも消去します。 通知の記録は、既読になってから 90 日、未読のまま 365 日が経過したものを 自動的に削除します。案件そのものの情報（課題・コメント・承認の記録・監査ログ）は、 ワークスペースの運用に必要なため期間を定めず保存し、上記の請求または ワークスペースの削除に応じて消去します。

11. 改定

本ポリシーは、法令の改正やサービス内容の変更等に応じて改定することがあります。重要な変更については本サービス上で告知します。

12. お問い合わせ・事業者情報

本ポリシーおよび個人情報の取扱いに関するお問い合わせは、下記までお願いいたします。

• 事業者: 株式会社ガジェログ
• 所在地: 〒105-0014 東京都港区芝3-43-16 KDX三田ビル5階
• お問い合わせ: info@gadgelog.com（お問い合わせフォーム）