プライバシーポリシー（β版）
本ポリシーは、招待制・無償で提供する SHIKIGAN β版に適用される正式版です。正式提供（GA）の開始までに弁護士レビューを実施し、必要な改定を行います。LPからのお問い合わせにより取得する個人情報（メールアドレス・氏名等）についても、本ポリシーに沿って運用します。
横松佑宜（個人事業主。ワイスクエアード・パートナーズ合同会社の設立準備中。以下「当社」といいます。）は、事業性評価SaaS「SHIKIGAN（識眼）」β版（以下「本サービス」といいます。）の提供および本サービスに関するお問い合わせ対応に際して取得する個人情報の取扱いについて、以下のとおりプライバシーポリシー（以下「本ポリシー」といいます。）を定めます。
1. 個人情報の定義
本ポリシーにおける「個人情報」とは、個人情報保護法第2条第1項に定義される個人情報をいい、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別できるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含みます。）をいいます。
2. 取得する個人情報の種類
本サービスの提供およびお問い合わせ対応に際して、以下の個人情報を取得することがあります。
| カテゴリ | 取得する情報 | 取得経路 |
|---|---|---|
| お問い合わせ情報 | 氏名、メールアドレス、所属組織、お問い合わせ内容 | LP経由のお問い合わせ時 |
| アカウント情報 | メールアドレス、パスワード（ハッシュ値）。多要素認証（TOTP）の導入後は TOTP 設定・Recovery Code を含む | アカウント登録時 |
| 組織情報 | 組織名、所在地、担当者名、連絡先 | アカウント登録時 |
| 事業計画データ（インプット） | 評価対象企業の商号、代表者名、所在地、財務データ、経営者経歴、事業計画の定性情報 | 本サービスの利用時 |
| 対話データ | 対話サイクルでのユーザー入力テキスト | 本サービスの利用時 |
| 決済情報 | β版期間中は無償のため取得しません（有償化時に Stripe 経由で取得予定。クレジットカード情報は Stripe が保有し、当社は保有しません） | （有償化後）決済時 |
| アクセスログ | IPアドレス、ブラウザ情報、アクセス日時 | 本サービスのアクセス時 |
3. 個人情報の利用目的
当社は、取得した個人情報を以下の目的にのみ利用します。
| # | 利用目的 | 現時点の運用状況 |
|---|---|---|
| 1 | 本サービスの提供（事業性評価レポートの生成、対話応答、感度分析再計算） | 稼働 |
| 2 | アカウント管理、認証 | 稼働 |
| 3 | 利用料金の請求・決済処理 | β版期間中は未稼働（無償提供） |
| 4 | 本サービスの品質改善（匿名化・統計化した情報の分析に限る） | 現時点では未稼働（β版期間中は個別データの分析を行いません） |
| 5 | カスタマーサポート、お問い合わせ対応 | 稼働 |
| 6 | 本サービスに関する通知（メンテナンス、規約変更、セキュリティ等） | 稼働 |
| 7 | 法令に基づく対応 | 稼働 |
匿名化・統計化の留保: 利用目的4の権限は将来の本格運用に備えて留保しますが、β版期間中は実施しません。利用目的4を稼働させる場合は、本ポリシーを改定し事前にユーザーに通知します。
4. 個人情報の第三者提供（委託先）
当社は、本サービスの提供に必要な範囲で、以下の事業者へ個人情報を委託（個人情報保護法第27条第5項第1号）します。
| 提供先 | 所在地 | 提供する情報 | 目的 |
|---|---|---|---|
| Google Cloud（Vertex AI） | 推論時：β版期間中は日本（asia-northeast1）＝Google Gemini で完結 保管時：日本（asia-northeast1） | 事業計画データの一部（API経由でAI推論時のみ） | AI 推論処理 |
| Google Cloud（Cloud Run、Cloud SQL、Cloud Storage、Secret Manager 等） | 日本（asia-northeast1） | 事業計画データ・認証情報・運用ログ等 | 本サービスのアプリケーション基盤 |
| Firebase Authentication（Google LLC） | Google global | メールアドレス・認証情報のメタデータ（パスワード・TOTPは当社で管理） | 認証基盤 |
| SendGrid（Twilio Inc.） | 米国 | 招待メール本文、メールアドレス | トランザクションメール送信 |
| Google LLC（Grounding with Google Search） | 検索の実行地域は当社が指定していません | 検索クエリ（業種名・産業分類コード、評価対象企業の所在地〈入力された粒度。町丁目・最寄駅を含みます〉、統計名等の一般的な検索語）。商号・代表者名及び5桁以上の数値は送信前に除去します | 市場・統計データの検索（事業計画の検証） |
| Slack（Salesforce, Inc. グループ） | 米国 | 障害・不正アクセスの検知に関する情報＝ログの重大度・サービス名・システムが発行する識別子、及び管理コンソールへのリンク（ログの本文は送信しません） | システム障害・セキュリティインシデントの検知通知 |
4.1 データの処理場所と国外への送信
β版期間中、本サービスのAI推論は Google Cloud Vertex AI 上の Google Gemini モデル（asia-northeast1＝東京リージョン）で実行され、事業計画データ及び評価結果の保管も asia-northeast1（東京リージョン）で行います。
一方で、本サービスは以下の処理において、日本国外の事業者又は当社が処理地域を指定していない基盤へデータを送信します。いずれの経路でも、事業計画データ本体（入力フォームの内容・添付文書・AIへのプロンプト本文・評価レポート本文）は送信しません。
| 経路 | 送信する情報 | 送信先 |
|---|---|---|
| 市場・統計データの検索（Grounding with Google Search） | 検索クエリ（業種名・産業分類コード、評価対象企業の所在地〈入力された住所文字列がそのまま用いられます。入力欄は町名までの記入を案内していますが、番地・建物名まで入力された場合はそのまま送信されます〉、最寄駅、統計名等の一般的な検索語）。商号・代表者名及び5桁以上の数値は、送信前にプログラム処理で除去します（この除去処理は2026年8月21日に是正しました） | Google LLC（当社が asia-northeast1 に固定しているのはAIモデルの呼び出しであり、検索そのものは Google の検索基盤で実行されます） |
| 障害・不正アクセスの検知通知 | 検知したログの重大度・サービス名・システムが発行する識別子と、管理コンソールへのリンク。ログの本文は送信しません（本文に何が記録されるかによらず、通知にはあらかじめ定めた形式の値のみを載せる方式です）。本方式は2026年8月21日に実装し、本ポリシー制定日（2026年9月1日）までに本番環境へ反映します。障害の内容の確認は、当社のログ基盤（Google Cloud）で行います | Slack（米国） |
このほか、認証基盤（Firebase Authentication）及びメール送信（SendGrid）についても、上記委託先表のとおり国外で処理されます。
個人情報保護法第28条（外国にある第三者への提供）の取扱い: 当社は、上記の各送信について、送信される情報の範囲を特定したうえで、同条の適用関係と必要な手当（基準適合体制の確認又はご本人の同意の取得）の整理を進めています。整理が完了した内容は、本ポリシーを改定して記載します。ご本人の求めに応じ、送信先の国、当該国における個人情報の保護に関する制度、及び送信先が講ずる措置に関する情報を提供します（お問い合わせ先は第10条）。
当社はLLM（大規模言語モデル）をプロバイダ可換の設計で運用しており、将来、国外リージョンでの推論を伴うAIモデルへ切り替える場合があります。その場合は、切替の実施前にユーザーへ通知のうえ本ポリシーを改定し、送信先の国・地域、個人情報保護法第28条への対応方法（基準適合体制の整備又は本人同意の取得）、学習非利用・永続化の取扱いを本ポリシーに明記します。切替後も、お客様の事業計画データ・評価結果の保管は asia-northeast1（東京）リージョンを維持します。
4.2 第三者サービスの所在地・取扱方針へのリンク
ユーザーは、各第三者サービス事業者のプライバシーポリシーを以下のリンクで確認できます。
- Google Cloud Privacy Notice: https://cloud.google.com/terms/cloud-privacy-notice
- Firebase Privacy and Security: https://firebase.google.com/support/privacy
- Twilio (SendGrid) Privacy: https://www.twilio.com/legal/privacy
- Slack Privacy Policy: https://slack.com/trust/privacy/privacy-policy
4.3 法令に基づく開示
当社は、上記4.1・4.2に加え、以下の場合に個人情報を第三者に提供することがあります。
- (a) ユーザーの事前同意がある場合
- (b) 法令に基づく場合（個人情報保護法第27条第1項各号）
- (c) 人の生命・身体・財産の保護のために必要であって、本人の同意を得ることが困難な場合
5. 個人情報の安全管理措置
当社は、取得した個人情報の漏洩、滅失又は毀損を防止するため、以下の安全管理措置を講じます。
| 措置 | 内容 |
|---|---|
| 組織的安全管理 | 個人情報管理責任者の設置、取扱い規程の整備、委託先監督 |
| 人的安全管理 | 従業者への教育、秘密保持義務の徹底 |
| 物理的安全管理 | データセンター（Google Cloud）の物理的セキュリティに依存 |
| 技術的安全管理 | TLS 1.3による通信暗号化、Cloud SQLの保存時暗号化（AES-256）、VPCによるネットワーク分離、Firebase Authentication によるアクセス制御（パスワード強度検証。多要素認証〈TOTP〉は正式提供の開始までに導入予定）、操作のない状態が45分続いた場合の自動ログアウト、Secret Managerによる認証情報管理、AI駆動セルフオーディット（Webアプリ脆弱性／AIパイプライン／ペネトレーション／GCP設定の四半期点検）、Cloud SQL SSL接続強制、監査ログ二重出力（DB＋Cloud Logging。認証・操作ログ1年、アクセスログ・インフラログ90日） |
| 国外への送信に係る安全管理 | 認証基盤・メール送信（Firebase Authentication・SendGrid）のメタデータの取扱いにつき、各委託先の Data Processing Addendum に基づく契約上の義務付け。検索については送信前の商号・代表者名の除去（4.1）、インシデント検知通知については送信内容をあらかじめ定めた形式の値（重大度・サービス名・識別子・リンク）に限定する運用（4.1） |
6. 個人情報の保存期間と削除
| データ種別 | 保存期間 | 削除方法 |
|---|---|---|
| お問い合わせ情報 | 対応完了後1年 | 手動削除 |
| アカウント情報 | アカウント有効期間中＋削除後30日 | Cloud SQLから完全削除 |
| 事業計画データ（インプット） | アカウント有効期間中＋削除後30日 | Cloud SQLから完全削除 |
| 評価結果（アウトプット） | アカウント有効期間中＋削除後30日 | Cloud SQL・Cloud Storageから完全削除 |
| アクセスログ | 90日 | Cloud Loggingの自動期限切れ |
| 監査ログ | 1年 | Cloud Loggingの自動期限切れ |
| 決済情報 | （β版期間中は取得なし）有償化後は Stripe の保持ポリシーに準ずる | Stripe 側で管理 |
| Vertex AI 推論時の一時データ | 推論完了後に永続化されない | Request-Response LoggingはデフォルトOFFで運用 |
アカウント削除時は、ユーザーの要求に応じて、保存期間の経過を待たず速やかに削除を実行します。削除完了後、ユーザーの請求に応じて当社所定の様式で削除証明書を発行します（β版期間中は手作業発行・5営業日以内）。β版期間中の削除フローの詳細は、当社が別途定めるデータ削除運用手順に定めます。
7. Cookie等の利用
本サービスでは、以下の目的でCookie及び類似の技術を使用します。
| 目的 | 種別 | 必須/任意 |
|---|---|---|
| セッション管理・認証 | 機能的Cookie | 必須 |
| アクセス解析 | 分析Cookie（Google Analytics等） | 任意（オプトアウト可） |
8. ユーザーの権利
ユーザーは、個人情報保護法に基づき、以下の権利を行使することができます。当社の問い合わせ窓口までご連絡ください。
| 権利 | 内容 |
|---|---|
| 開示請求 | 当社が保有する個人情報の開示を求めることができます |
| 訂正・追加・削除 | 個人情報の内容が事実でない場合、訂正等を求めることができます |
| 利用停止・消去 | 利用目的の範囲を超えた利用又は不正取得があった場合、利用停止等を求めることができます |
| 第三者提供の停止 | 第三者提供の停止を求めることができます |
| データポータビリティ | 個人情報を電磁的記録により受け取る権利（個人情報保護法第33条） |
9. 顧客が認定支援機関等の場合の二次取扱い
本サービスのユーザー（認定支援機関・税理士法人等）が、その顧問先（中小企業）の事業計画データを本サービスに入力する場合、以下のとおり整理します。
- 二次同意の取得: ユーザーは、顧問先（中小企業）から事業計画データの本サービス利用について、別途同意を取得するものとします。当社は、ユーザーに同意取得テンプレートを提供します。
- 当社の立場: 当社はユーザーから委託を受けた個人データの取扱事業者として、適切な安全管理措置を講じます（個人情報保護法第27条第5項第1号「委託」）。
- 再委託: 当社は、本サービスの提供に必要な範囲で、第4条に記載した委託先に再委託します。再委託先に対しては当社が適切な監督を実施します。
10. 個人情報管理責任者およびお問い合わせ窓口
個人情報取扱事業者・個人情報管理責任者：横松 佑宜（本人）
所在地：〒150-0044 東京都渋谷区円山町5-5 Navi渋谷Ⅴ 3階
メールアドレス：privacy@shikigan.jp
苦情処理：上記メールアドレスまでお問い合わせください。
11. 事業継続性に関する保証
- サービス終了時の通知: 本サービスを終了する場合、当社は90日以上前に全ユーザーに通知します（β版期間中は最低通知期間を30日に短縮することがあります）。
- 事業終了時のデータ取扱い: 終了通知後60日以内の標準形式（PDF・JSON）での無償エクスポート、または終了後30日以内の完全削除のいずれかを保証します。
- 倒産・M&A時の取扱い: 事業承継の場合、ユーザーデータの取扱いは本ポリシーと同水準以上の保護を維持する後継事業者にのみ承継します。
- 法人への承継: 当社がワイスクエアード・パートナーズ合同会社（設立準備中）の設立に伴い事業を承継させる場合、ユーザーデータの取扱いは本ポリシーと同水準以上の保護を維持したまま同社に承継します。
12. 認定個人情報保護団体
該当なし（β版時点）。
13. 本ポリシーの変更
当社は、法令の変更又は本サービスの変更等に伴い、本ポリシーを変更することがあります。重要な変更を行う場合は、本サービス上で通知し、変更の効力発生日の30日前までに通知します。