Atalaya プライバシーポリシー
Natsuki Yamamoto(個人事業主。以下「当社」といいます)は、セキュリティ診断・監視サービス「Atalaya」(以下「本サービス」といいます)における個人情報等の取扱いについて、以下のとおり定めます。
1. 取得する情報
当社は、本サービスの提供にあたり、以下の情報を取得します。
(1) メールアドレス(アカウント登録時。診断結果及び関連するご案内の送付に使用します)。月額プランをご契約のお客様については、上記とは別に、ログインが成功した時点で確認済みのメールアドレスをアカウントIDと対にして記録し、変化のお知らせメール(第2条2項(2)、プライバシーポリシー4)の宛先としてのみ使用します。(2) 診断対象として登録されたウェブアプリケーションのURL。ネイティブアプリについては、上記(6)の情報によります。(3) IPアドレス(取得後、直ちにハッシュ化して保存します。回数制限(同一IP・同一URL・同一ホストからの連続診断の制限)の判定にのみ使用し、それ以外の目的には使用しません)(4) お問い合わせ・開示請求等でいただいた場合の、その内容(5) 決済に関する情報(クレジットカード情報を含みません。決済処理はStripe, Inc.が行い、当社はカード番号等を保持しません)(6) ストアで配布されているスマートフォンアプリ(以下「ネイティブアプリ」)を対象アプリとしてご登録いただいた場合に、所有権の確認及び対象アプリのデータ露出に関する確認についての個別の同意をいただいたうえでお預かりする、次の3点(対象アプリが接続するデータベース等の接続先(URL)、当該接続に用いる、公開されることを前提とした鍵、及びお客様から申告いただいた確認対象のテーブル名又は保存領域(バケット)名)(7) 本サービスのウェブサイトのうち、トップページ・アカウント登録画面・ログイン画面、及び本規約・プライバシーポリシー・特定商取引法に基づく表記のページについて、Googleアナリティクス(Google LLCが提供するアクセス解析ツール)により発行されるCookie等の識別子、閲覧したページのURL、参照元(リファラ)及び端末情報(ブラウザの種類、OS等)。マイページその他上記に挙げた画面以外には設置していません。メールアドレス、お客様のアカウントを識別する情報、診断対象として登録されたURL及び診断結果は、Googleアナリティクスを通じて送信しません。
2. 取得しない・保存しない情報
本サービスの性質上、以下は取得の対象としない、又は判定にのみ使用しその場で破棄し、保存しません。
(1) 診断の過程で検出した秘密情報(鍵・トークン等)の値そのもの(2) 診断の過程で確認したパス・ファイル名の文字列、及び対象アプリからのレスポンス本文(3) お客様のアカウントのパスワード。パスワードは認証基盤(Supabase, Inc.が提供するSupabase Auth)に保管され、当社は平文・ハッシュ化後の値のいずれについても取り扱いません。(4) ネイティブアプリの確認において読み取れた対象データベース等の内容そのもの、確認のために発行された署名付きURL、及び管理者権限を有する鍵。上記1(6)でお預かりするのは、公開されることを前提とした鍵に限ります。
3. 利用目的
取得した情報は、以下の目的で利用します。
(1) 本サービス(無料診断及び月額プラン)の提供(2) 診断結果(レポート)の作成及びお届け(3) 回数制限による不正利用の防止(4) 月額プランの決済処理(5) お問い合わせ・開示請求への対応(6) 本サービスに関するご案内の送付(下記4に定める同意をいただいた方のみ)(7) 本サービスの品質改善のための統計的な分析(個人を特定しない形で行います)(8) ネイティブアプリについての週1回の定期確認及びお客様の操作による任意の確認の実施(上記1(6)の情報を用います)(9) 月額プランの契約者に対する変化のお知らせメールの送信(上記1(1)の情報のうち、アカウントIDと対にして記録したメールアドレスを用います)(10) 本サービスのウェブサイトの利用状況の把握及び改善(Googleアナリティクスによる統計的な分析。個人を特定できる情報と結び付けて行うものではありません)
4. メールによるご案内について
当社は、診断結果と関連するご案内をメールでお送りすることについて、あらかじめ明示的にご同意(オプトイン)いただいた方にのみ、当該メールを送付します。ご同意いただいていない方のメールアドレスへは、ご案内メールを送付しません。ご案内メールには、配信停止の方法を明記します。
前項は、本サービスに関するご案内(広告的な性質を持つ通知)についての定めです。これとは別に、当社は、月額プランをご利用のお客様に対し、週1回の定期確認の結果、確定した検出項目の件数の増減又はセキュリティスコアのグレードの変化があった場合に、その旨をお知らせするメール(以下「変化のお知らせメール」といいます)を送付します。お客様の操作による任意の確認の結果については、変化のお知らせメールを送付しません。変化のお知らせメールは、本サービスの契約内容(第2条2項(2))に基づくお知らせであるため、上記の同意(オプトイン)の有無にかかわらず送付します。送付先は、当該月額プランをご契約のお客様ご本人のメールアドレスに限ります。変化のお知らせメールにも、配信停止の方法を明記します。配信を停止された場合、当社は変化のお知らせメールの送付を停止しますが、月額プランのご契約及び本サービスの他の機能には影響しません。
5. 保存期間
(1) 無料診断の結果(スキャン記録及び検出項目の記録)は、生成から7日を経過した時点で自動的に削除します。ただし、お客さまがそのアプリの持ち主であることの確認を行ったうえで実施した診断の結果は、生成から30日を経過した時点で削除します。いずれに該当するかは、マイページ及びお渡しするレポートのファイルの両方に表示します。削除までの残り日数は、マイページにのみ表示します(ファイルとしてお渡しした時点の日数をそのまま記載すると、時間の経過により実際の残り日数と一致しなくなるため、記載しません)。(2) 月額プランへのお申し込み後に実施した診断の結果は、プラン継続中は削除しません。履歴の推移を確認いただけることが月額プランの価値の一部であるためです。解約後は、解約日から30日を経過した時点で削除します。なお、月額プランへのお申し込み前に実施した無料診断の結果は、お申し込み後も、上記(1)の区分にしたがって削除されます。お申し込みによってこの結果の保存期間が延長されることはありません。(3) 無料診断利用枠の消費記録(同一URLでの再診断を防ぐための記録)は、上記(1)の削除後も、期限を設けず保持します。診断結果を削除しても無料枠の判定が維持されるようにするためです。(4) 月額プランでご登録いただいたURLの記録(URLをハッシュ化した値を含みます)は、解約後も期限を設けず保持します。解約後に再度お申し込みいただいた場合に、ご登録いただけるURLの数(枠)が増えないようにするためです。月額プランの種類の変更により登録できるURLの数が少なくなった場合に、登録可能数を超えて確認を停止したURLの記録についても、同様に期限を設けず保持します。(5) 決済に関する記録は、法令(法人税法・所得税法・消費税法等)に基づく帳簿書類の保存義務に従い保存します。この記録は診断結果(上記(1)(2))とは別のシステム(Stripe及び当社の会計記録)で管理しており、7日での削除の対象ではありません。(6) 上記1(6)の情報(ネイティブアプリの確認のためにお預かりする接続先・鍵・テーブル名等)は、暗号化して保存します。次のいずれかに該当する場合は、該当する情報を削除します。・ お客様が、対象アプリについての同意を取り消された場合・ 月額プランを解約された場合・ 月額プランへのお申し込みがないまま実施した確認である場合は、当該確認が完了した時点・ 対象アプリの所有権の確認から90日を経過した場合(この場合、当該所有権の確認に基づく確認は実施しません)は、経過後30日(7) 上記1(1)の、月額プランの契約者についてアカウントIDと対にして記録したメールアドレスは、ログインが成功するたびに記録を更新し、解約された場合に削除します。(8) 週1回の定期確認を行うため、月額プランでご登録いただいたURLを、確認の実行に用いる記録として保持します。この記録は契約中に限り保持し、解約された場合、又は当該URLの登録を解除された場合に削除します。上記(4)のハッシュ化した記録(登録できるURLの数の判定に用いるもの)とは別の記録です。(9) 変化のお知らせメールの配信停止のお申し出をいただいた記録(アカウントの識別子・記録した日時・停止の理由の区分。メールアドレスは含みません)は、期限を設けず保持します。配信停止のお申し出後に、変化のお知らせメールの配信を再開することはできません。この記録を削除すると配信停止が解除されたことになり、お客様の意思に反して配信が再開してしまうためです。(10) 週1回の定期確認を最後まで実施できなかった週の記録(アカウントの識別子・対象アプリのホスト名・ご登録いただいたURLをハッシュ化した値・当該確認を開始した日時・実施できなかった理由の区分。URLそのもの、確認の結果及び検出した内容は含みません)は、記録から30日を経過した時点で削除します。この記録は、前回の定期確認を実施できなかったことをマイページに表示するために保持するものです。(11) 月額プランでご登録いただいたURLの入れ替え(席の解放)を行った記録(アカウントの識別子・席番号・何回目の入れ替えであるかを示す番号・次にご登録いただくURLをハッシュ化した値・当該URLについて行った所有権の確認の記録の識別子・解放した日時。URLそのもの及び診断の結果は含みません)は、上記(4)の記録と同じく、解約後も期限を設けず保持します。この記録は、ご登録いただけるURLの数を判定するため、及び、入れ替え後にご登録いただくURLのうち4件目以降について、入れ替えの際に所有権を確認済みのものに限ってお受けするための判定のために、保持するものです。
6. 第三者への提供・業務委託先
当社は、本サービスの提供にあたり、以下の事業者に業務を委託し、必要な範囲で情報を取り扱わせています。このうち一部は、現在稼働している委託ではなく、今後の機能提供のために利用を予定している委託先です。
- Supabase, Inc.(データベースでのデータ保管、認証基盤の提供。所在国:アメリカ合衆国)- Vercel Inc.(本サービスの配信・実行基盤。所在国:アメリカ合衆国)- Stripe, Inc.(決済処理。所在国:アメリカ合衆国)- Anthropic, PBC(診断レポートの文面生成に関する機能拡張での利用を予定しています。現時点では稼働しておらず、レポートの文面は当社があらかじめ用意した定型文から作成しています。所在国:アメリカ合衆国)- ゾーホージャパン株式会社(お問い合わせ窓口メールの送受信基盤。所在国:日本)- Google LLC(アクセス解析ツール「Googleアナリティクス」の提供。上記1(7)に定める範囲の情報のみが送信されます。Googleにおける情報の取扱いについては、Google社のプライバシーポリシー(https://policies.google.com/privacy)をご参照ください。ブラウザの拡張機能(Googleアナリティクス オプトアウト アドオン)を導入することで、Googleアナリティクスへの情報の送信を無効にすることができます。所在国:アメリカ合衆国)
上記の委託先のうち、ゾーホージャパン株式会社を除く各社は、日本国外に所在し、又は日本国外にサーバーを設置しています。個人情報保護法上、国外にある第三者に個人データの取扱いを委託する場合、委託先が同法上の「基準適合体制」を整備しているか等に応じて、本人の同意取得その他の対応が必要となることがあります。当社は、この点について現在、各委託先の対応状況の確認を進めている段階であり、各委託先が基準適合体制を整備しているか、十分性認定の対象となるかについて、現時点で断定的な結論を示すものではありません。専門家の確認を経て対応方針を確定し、確定次第、本ポリシーを更新します。
上記の委託先を除き、当社は、法令に基づく場合を除き、お客様の同意なく個人情報を第三者に提供しません。
7. 開示・訂正・利用停止等のご請求
お客様は、当社が保有するご自身の個人情報について、法令に基づき、開示・訂正・利用停止等を請求することができます。ご請求は、下記お問い合わせ先までご連絡ください。ご本人確認のうえ、遅滞なく対応します。
8. お問い合わせ先
Atalaya お問い合わせ窓口メールアドレス:support@atalaya.jp
制定日:2026年8月19日