プライバシーポリシー

当社は、必要かつ適法な根拠がある場合にのみ個人情報を収集します。お客様との関わり方に応じて、以下の情報を収集する可能性があります。

お客様から提供いただく情報：

• 連絡先情報：お問い合わせフォーム送信時に収集する、氏名、メールアドレス、会社名、電話番号、メッセージ内容
• サービス提供情報：サービス契約後、合意されたサービス提供のためにのみ、アクセスを許可いただくシステム認証情報、ネットワーク構成、ログデータ、セキュリティアーティファクト
• アカウント情報：パートナーポータルまたはクライアントポータルに登録される場合、認証に必要な情報

お客様が当社のウェブサイトを訪問されると、セキュリティ保護と運用目的で以下の情報を自動収集します。

• IPアドレス、ブラウザの種類とバージョン、OS、デバイス識別子
• アクセス日時、閲覧ページ、滞在時間、クリック行動、リファラURL
• Cookie識別子および類似技術（第8条を参照）
• 脅威検知および不正利用防止のためのリクエスト特徴データ

コンソールのアカウントを作成された場合、当社はメールアドレス、氏名、ハッシュ化されたパスワード、所属組織、および有効にされた場合は二要素認証の設定を保存します。Google または GitHub でサインインされた場合、当社が受け取るのは各プロバイダーが開示するプロフィール項目のみで、パスワードは含まれません。

決済は Stripe が処理します。カード番号は Stripe 自身のホスト型フィールドに入力され、当社のシステムへ送信されることも、当社に保存されることもありません。当社が受け取り保持するのは取引記録、すなわち金額、通貨、ステータス、カードブランドと下4桁、および返金やサブスクリプション管理に必要な Stripe の識別子です。

アカウントが存続する間、当社は次を保持します：

• 請求書を含む注文およびサブスクリプションの履歴（税法が記録保持を求める期間）
• 当該アカウントに発行されたライセンスとその現在の状態
• アカウントに関して当社が送信したメールの配信記録（ライセンスや更新通知を送付した事実を示すため）

ライセンス提供のソフトウェアは、有効化のために当社のライセンスサーバーへ接続し、その後も定期的にライセンスの有効性を確認します。これはライセンス管理の仕組みそのものであり、ここに記載するのは、そこで扱われるデータが機器を、ひいては間接的に個人を識別しうるためです。

利用目的はライセンス管理、サポート、不正利用の検知に限られます。お客様のシステム内のコンテンツは収集しません。ログも、検索クエリも、業務データも、ソフトウェアが生成した結果も収集しません。

各有効化およびハートビートで記録される内容：

• 機器識別子から導出されるハードウェアフィンガープリント（ライセンスを環境に紐づけ、ノード数を管理するため）
• リクエスト元の IP アドレスおよびリクエスト日時
• 製品、エディション、バージョンおよびライセンス識別子
• 確認の成否、および失敗した場合はその理由

EU および英国のお客様については、法的根拠は契約の履行（これなしにライセンス管理は成立しません）および不正利用防止に関する当社の正当な利益です。ハートビートの記録は一定期間で順次削除され、無期限には保持しません。有効化の記録はライセンスの存続期間中保持します。ライセンスそのものがその記録によって定義されるためです。

当社は、明確、適法、かつ必要な目的のためにのみ、お客様の個人情報を処理します。

• お問い合わせへの回答、および依頼されたサービスの提供
• ウェブサイトおよびサービスの運用、維持、改善
• サービスステータス、重要なお知らせ、セキュリティアラートに関する通信
• お客様の同意を得た上でのマーケティング情報送信（いつでも配信停止可能）
• 詐欺、不正利用、セキュリティ脅威の検知と防止
• 法令遵守、司法・規制当局の要請への対応、当社および第三者の正当な権利の保護

適用される法域に応じて、当社は以下の法的根拠に基づき処理を行います。

• お客様の同意（マーケティング配信、必須でないCookie）
• 契約の履行（ご依頼のサービス提供、お問い合わせ対応）
• 法的義務（税務、監査、法執行のための記録保持）
• 正当な利益（サイト運用、詐欺防止、サービス改善）。ただしお客様の基本的権利に不当に優先するものではありません

当社は、お客様の個人情報を販売することはありません。以下の場合に限り必要な情報を共有します。

• サービスプロバイダー：業務運用のため、厳格なセキュリティ評価を行い、データ処理契約を締結した受託者と共有します（クラウドホスティングのVercel、メール配信のResend、メッセージング通知のFeishu、認証、分析サービス等）
• グループ関連会社：本ポリシーに則り、必要な範囲でReallysecのロンドン、メルボルン、シリコンバレーの関連拠点と共有
• 法的要請：法令、裁判所命令、または政府機関からの適法な要請に基づく開示
• 事業承継：合併、買収、資産譲渡が発生した場合、承継主体は本ポリシーの義務を引き継ぎます
• 権利保護：当社または第三者の権利、安全、財産を保護するために必要な場合

本サービスの運営にあたり、少数の処理者を利用しています。いずれもその機能に必要な範囲の情報のみを受け取り、データ処理契約に従い、お客様のデータを自らの目的で利用することは認められていません。

現在の処理者：

• Stripe —— 決済処理、サブスクリプション課金および返金
• Cloudflare —— 公開フォームのボット対策およびネットワーク層の保護
• メール配信事業者 —— ライセンス送付、メール確認、パスワード再設定、更新通知
• ホスティング事業者 —— 本サービスが稼働するサーバー

個人データの取扱いが実質的に異なる処理者を追加する場合は、事前に更新後の一覧を公開します。ご自身のコンプライアンス記録のために現行の一覧を書面で必要とされる場合は、お申し付けください。

Reallysecは合肥、ロンドン、メルボルン、シリコンバレーに拠点を構え、お客様の個人情報はお客様の居住国外で処理される可能性があります。

中国から国外への個人情報移転については、PIPL第38条に基づく安全評価、標準契約届出、または個人情報保護認証の取得等、法定手続を履行します。欧州経済領域（EEA）から域外への移転については、EU標準契約条項（SCC）と必要な補完的保護措置を適用します。

当社は、本ポリシーに定める目的の達成に必要な期間にのみ個人情報を保持します。処理目的、法的義務、合理的な業務上の必要性等を総合的に考慮します。

• お問い合わせフォーム送信情報：送信日から 24か月（取引関係が継続する場合を除く）
• サービス提供関連記録：《サービス契約》の定めに従い、通常プロジェクト終了後 3～7年（監査、法令遵守、紛争解決のため）
• ウェブサイトアクセスログ：最長 12か月
• 法令に別段の定めがある場合はそれに従います。保持期間経過後は、速やかに削除または匿名化します

PIPL、GDPR、その他適用される法令に基づき、お客様は個人情報について以下の権利を有します。

• 知る権利・決定権：処理方法の把握、処理の制限・拒否
• 開示・複製権：個人情報の写しの取得
• 訂正・補完権：不正確または不完全な情報の訂正
• 削除権（忘れられる権利）：法定の条件下での削除請求
• データポータビリティ権：構造化された、一般的かつ機械可読な形式でデータを取得し他機関へ移転
• 同意撤回権：同意に基づく処理について、いつでも撤回可能
• 苦情申立権：所轄のデータ保護機関（英国ICO、EU各国DPA、中国CAC、日本個人情報保護委員会等）への申立

当社は以下の種類のCookieを使用します。

• 必須Cookie：サイトの基本機能のため必須（言語設定、テーマ、セキュリティトークン等）。同意不要
• 機能Cookie：お客様の選択を記憶し、利便性を向上
• 分析Cookie：サイト利用状況の把握と改善のため（プライバシーに配慮した分析ソリューションを優先使用）

サイバーセキュリティ企業として、業界平均を大きく上回る水準でお客様データを保護します。当社は ISO/IEC 27001:2022 および ISO 9001:2015 を取得しており、中核専門家はCISM、OSCP等の国際資格を保有しています。

技術的・組織的措置には以下が含まれます：

• 伝送時の暗号化（TLS 1.3）と保存時の暗号化（AES-256）
• 最小権限のアクセス制御、多要素認証（MFA）、特権アカウント監査
• 24時間365日のSOC監視と侵入検知
• 定期的なペネトレーションテスト、レッドチーム演習、第三者セキュリティ監査
• 正式なインシデント対応プロセスと定期的な訓練
• 全従業員へのセキュリティ意識研修と厳格な守秘義務

厳格なセキュリティ対策を講じていますが、絶対的な安全を保証するシステムは存在しません。個人情報漏えい事案が発生した場合、適用法令に従い、影響を受ける利用者および監督当局に速やかに通知します。

当社のウェブサイトおよびサービスは法人利用者を主な対象としており、14歳（中国）または現地法で定める年齢未満の未成年者を対象としていません。未成年者から知りつつ情報を収集することはありません。未成年者が情報を提供した可能性がある場合、本ポリシー末尾の連絡先までお知らせください。確認の上、速やかに削除します。

当社ウェブサイトには、当社が管理しない第三者サイトまたはサービスへのリンクが含まれる場合があります。本ポリシーはそれら第三者には適用されません。情報提供前に、第三者のプライバシーポリシーを必ずご確認ください。

事業、法的環境、または技術の変化を反映するため、本ポリシーを改訂することがあります。重要な変更は、ウェブサイト上の告知、電子メール、またはその他合理的な方法で通知し、ページ上部の「最終更新日」を更新します。変更後にサービスを継続利用された場合、更新後のポリシーに同意したものとみなされます。