SCIRNEX 共通プライバシーポリシー

制定・施行日：2026年6月21日／最終改定日：2026年7月10日

合同会社SCIRNEX（代表社員：濱上 昂、本店所在地：石川県金沢市此花町5-6 ライフ金沢第一ビル、以下「当社」といいます。）は、当社が提供するすべてのSaaSサービス（AI HIBIKI、AI BOOTH、AI STUDIO、AI HOTARU、DAICHO ERP 等。以下総称して「本サービス」といいます。）における利用者および利用者の顧客等の個人情報を適切に取り扱うため、本プライバシーポリシー（以下「本ポリシー」といいます。）を定めます。各サービスに固有の取得情報・利用目的は、本ポリシー末尾の「製品別取扱い（別表）」に定めます。

1. 取得する個人情報

(1) 利用者（契約者・管理者）からの取得情報：氏名、メールアドレス、所属法人名・事業者名、パスワード（一方向ハッシュ化のうえ保存）、決済情報（クレジットカード番号本体は当社で保持せずStripeを通じて処理。当社は顧客ID・カード下4桁・有効期限のみ保管）、管理画面の利用ログ、IPアドレス、ブラウザ・デバイス情報、操作履歴。

(2) 利用者の顧客・エンドユーザーからの取得情報：各サービスの機能に応じて取得する情報（内容は製品別取扱い（別表）に定めます）。

(3) 当社は、各サービスの目的に照らして必要な範囲を超える個人情報を取得しません。サービス固有の取得項目は別表に明示します。

2. 利用目的

取得した個人情報は次の目的の範囲で利用します：(1)本サービスの提供・本人認証・利用者管理・テナント機能の提供、(2)料金請求・決済処理・領収書発行、(3)各サービス機能の提供（生成AIへの必要な入力の引渡しを含む）、(4)品質改善・新機能開発・不正利用/スパム検知と防止、(5)重要なお知らせ・メンテナンス通知・規約変更通知、(6)個人を識別できない形に加工した利用統計・分析、(7)お問い合わせ・サポート対応、(8)法令に基づく対応および当社の権利・財産・サービスの保護。

3. 第三者提供および外部委託（業務委託先）

当社は、ご本人の同意なく個人情報を第三者に提供しません。ただし、本サービスの提供に必要な範囲で以下の委託先に取扱いを委託し、各社と適切なデータ処理契約（DPA）を締結し安全管理措置を講じます。

・Stripe, Inc.／Stripe Payments Japan株式会社（決済処理・サブスクリプション管理／米国・日本）

・Supabase, Inc.（データベース・認証・ストレージ／米国、リージョン：東京）

・Google LLC（Gemini API：生成AIによる文章生成／Places API：店舗情報取得等／米国）※利用は製品により異なります

・Cloudflare, Inc.（CDN・エッジ実行・DDoS対策・WAF、DAICHO ERP 議事録機能における商談音声の一時保管（R2）／米国。エッジ：日本含むグローバル。音声の一時保管：アジア太平洋地域のデータセンターを指定していますが、国は Cloudflare の自動配置のため特定できません）

・Resend, Inc.（トランザクションメール送信／米国）

上記のうち外国に所在する事業者への提供は、個人情報保護法第28条に基づく外国にある第三者への提供に該当します。提供先の所在国は米国です（Supabase・Cloudflare はデータを日本または指定地域のデータセンターに置きますが、事業者の所在国は米国です）。米国には民間部門を包括的に規律する個人情報保護法はなく、分野別の連邦法と州法により規律されており、OECD プライバシーガイドライン8原則に対応する事業者の義務・本人の権利の一部が法令上は定められていません。また政府機関による情報収集を可能とする制度があります。各社はいずれも ISO/IEC 27001 または SOC 2 等の第三者認証を受け、当社との契約に基づき当社の指示の範囲でのみ個人データを取り扱います。各社の制度・措置の詳細、および Cloudflare R2 の保管地域が特定できない理由（地域指定のみ可能で国単位の指定・保証がないため）については info@scirnex.com までお問い合わせください。

前項にかかわらず、(1)法令に基づく場合、(2)人の生命・身体・財産の保護に必要で本人同意取得が困難な場合、(3)公衆衛生・児童の健全育成に必要で本人同意取得が困難な場合、(4)国の機関等への協力が必要な場合は、本人の同意なく提供することがあります。

4. 保管期間および削除

(1)利用目的の達成に必要な期間に限り保管します。(2)利用者が解約した場合、当該テナントのデータは解約日から30日間、復旧目的で保持し、その後完全に削除します。(3)エンドユーザーの入力データはテナントの保管期間に従います。(4)スパム検知等のためのIPアドレス（ハッシュ化）・アクセスログは取得日から90日間保管後、自動削除します。(5)課金・取引履歴等の法定保管義務がある情報は法定期間に従い別途保管します。(6)削除請求は第6項・第7項に従い対応します。

5. Cookie および類似技術の利用

(1)ログイン状態の維持・操作の利便性・CSRF対策のため必要最小限のCookieを使用します。(2)本サービス内に広告配信目的の第三者Cookie・トラッキングピクセルは設置しません。(3)各サービスのランディングページではアクセス解析ツール（Google Analytics等）を使用することがあり、Cookie同意バナー（順次導入）で同意・拒否を選択できます。(4)ブラウザ設定でCookieを無効化できますが、一部機能を利用できないことがあります。

6. お問い合わせ・データ削除請求窓口

SCIRNEX 個人情報お問い合わせ窓口／メール：info@scirnex.com／受付時間：平日 10:00〜19:00 JST／回答目安：5営業日以内。

7. 開示・訂正・利用停止・消去等の請求権

(1)ご本人は、個人情報保護法第33条以下に基づき、当社保有個人情報の開示・訂正・追加・削除・利用停止・消去・第三者提供停止を請求できます。(2)第6項の窓口へご連絡ください。本人確認のうえ、原則30日以内に対応します。(3)法定保管義務がある情報、業務遂行に著しい支障を及ぼす情報、他の法令に違反する情報等は対応できないことがあります。(4)手続手数料は当面無料（合理的範囲を超える請求は実費を申し受けることがあります）。

8. 安全管理措置

組織的（責任者任命・規程整備・教育・定期見直し）、人的（取扱者限定・誓約）、物理的（データセンターの物理アクセス制御＝委託先措置に依拠）、技術的（TLS暗号化、保存時暗号化、認証情報ハッシュ化、Row Level Securityによるテナント分離、IPハッシュ化保存、不正アクセス検知）の各措置を講じます。

8.2 漏えい等への対応

当社は、取り扱う個人データについて漏えい、滅失、毀損その他の個人データの安全の確保に係る事態（以下「漏えい等」といいます）が生じた場合、個人情報保護法第26条に基づき、速やかに事実関係および再発防止策等を個人情報保護委員会へ報告するとともに、影響を受ける本人へ通知します。委託を受けて取り扱う個人データについて漏えい等が生じ、またはそのおそれを認識した場合は、委託元（お客様）に対し、認識後72時間以内を目標に速やかに通知します。

9. 未成年者の利用

テナント契約は原則として法人または個人事業主の代表者を対象とし、未成年者の単独契約は想定していません。エンドユーザー向け公開機能では未成年者の利用も想定され得るため、保護者の同意のもとご利用ください。保護者の同意なく未成年者から個人情報を取得していたことが判明した場合、速やかに削除します。

10. 本ポリシーの改訂

法令改正・サービス変更等に応じ改訂することがあります。改訂後は本ページ掲載時に効力を生じ、重要な変更は管理画面または電子メールで事前に通知します。

製品別取扱い（別表）

各サービスに固有の取得情報・利用目的・委託先を以下に定めます。本文と別表が矛盾する場合は別表が優先します。

11. Googleユーザーデータの取り扱い（Google API Services User Data Policy／Limited Use）

当社サービスが Google の認証（OAuth）を通じて取得する Google ユーザーデータ（AI HIBIKI における Google ビジネスプロフィールの Place ID・店舗情報・投稿・クチコミ・返信等、AI HOTARU における Google Search Console 連携データ等）の取得・利用・保存・共有は、Google API Services User Data Policy（Limited Use 要件を含む）に準拠します。当該データは、利用者が明示的に許可した機能（店舗情報の取得・表示、クチコミへの返信、投稿の作成、掲載順位のモニタリング等）の提供のみに使用し、広告目的での利用、第三者への販売・譲渡、および人による閲覧は行いません（法令遵守・セキュリティ・不正利用防止、または利用者の明示的な同意がある場合等の限定的な例外を除きます）。当該データは目的の達成に必要な範囲でのみ保持し、連携の解除またはご請求に応じて速やかに削除します。

別表A：AI HIBIKI

取得情報（来店客＝公開フォーム利用者）：AI生成のため回答した5問の入力テキスト、生成された口コミ下書き・編集履歴、NPS回答、IPアドレス（SHA-256ハッシュ化のうえ保存、元IPは長期保管しない）、ブラウザ・デバイス情報、アクセス日時、言語設定。氏名・住所・電話等の直接識別子は取得しません（任意記載時は下書きの一部として店舗運営者に表示）。

取得情報（テナント＝店舗運営者）：Googleビジネスプロフィールの Place ID・店舗住所・業種・電話番号その他公開情報、アップロードした店舗コンテンツ（説明文・FAQ・画像等）。固有委託先：Google LLC（Gemini／Places API）。

別表B：AI BOOTH（AIコンシェルジュ）

取得情報：エンドユーザーからの問い合わせ内容・対話ログ、テナントがアップロードした受付/マニュアル/FAQ等のコンテンツ、担当者の氏名・メール・操作ログ。利用目的：受付・問い合わせ対応の提供、回答生成（生成AIへの入力引渡しを含む）、品質改善。固有委託先：Google LLC（Gemini API）。

別表C：AI STUDIO（バーチャル試着）

取得情報：商品画像・商品情報、バーチャル試着のためにアップロードされた人物画像（肖像に該当し得る）、店舗情報、利用者の氏名・メール・操作ログ。利用目的：バーチャル試着・商品登録機能の提供、画像処理（生成AIへの入力引渡しを含む）、品質改善。試着用人物画像は処理目的の範囲で取り扱い、必要期間経過後に削除します。固有委託先：Google LLC（生成AI／画像処理）。

別表D：AI HOTARU（SEO/AIO記事生成）

取得情報：対象サイト・店舗情報、記事テーマ・キーワード、（Proで）Google Search Console連携データ、利用者の氏名・メール・操作ログ。利用目的：SEO/AIO記事の生成・改善（生成AIへの入力引渡しを含む）、順位モニタリング、品質改善。固有委託先：Google LLC（Gemini／Search Console関連）。現行は ai-hotaru.scirnex.com に自前のプライバシーポリシーあり→本共通ポリシーへ集約予定。

別表E：DAICHO ERP（顧客・売上管理クラウド）

取得情報：利用者（店舗）のアカウント情報のほか、利用者の顧客の氏名・連絡先・来店/商談記録・購買/レンタル履歴・ご寸法等（利用者が登録するもの）。利用目的：顧客管理・売上管理機能の提供、帳票作成、品質改善（商談録音の要約等で生成AIへの入力引渡しを含む場合があります）。これらは利用者を個人情報取扱事業者とする個人データの取扱いの委託にあたります。固有委託先：Google LLC（生成AIによる要約処理）。

商談の録音とAI文字起こし（DAICHO ERP の議事録機能）：利用者が商談の録音を本機能に送信した場合、当社は次のとおり取り扱います。(1) 録音は商談の冒頭で出席者に口頭で案内し承諾を得たうえで行い、承諾部分の文字起こし抜粋を同意の記録として保管します。(2) 送信された音声は、文字起こしまでの間、米国 Cloudflare, Inc. のクラウドストレージ（R2）に一時保管します（音声の一時保管先はアジア太平洋地域のデータセンターを指定していますが、国は Cloudflare の自動配置のため特定できません。特定できた場合はお申し出により国名をお伝えします）。音声は米国 Google LLC の生成AI（Gemini）で文字起こしします。Google は処理のための一時ファイルを最長48時間、不正利用監視のためのログを最長55日間保持し、当社契約（有料 Developer API）では入力内容をモデルの学習に使用しません。(3) 保管期間：音声ファイルは文字起こし完了の翌日に削除（処理できない場合も最長90日）、文字起こし全文は議事録確定から90日で削除、議事録・承諾抜粋・お礼メール文案は3年（年1回見直し）。議事録は当社の Google Workspace（Google ドキュメント）にも保管します。2026年10月15日より前に送信された音声は当社の Supabase（東京リージョン）に保管し、同じ期限で削除します。(4) 議事録の作成完了は当社社内の連絡用 Slack に通知されます（取引先名・日時のみ）。(5) 健康状態・信条等の要配慮情報は議事録に記載しません。(6) 削除のお申し出は本ポリシー6.の窓口（info@scirnex.com）まで。当社は当社システムおよび Google ドキュメントの該当部分を削除しますが、Google の不正利用監視ログ、Google ドキュメントの版履歴、Slack の通知、担当者端末のボイスメモに残る原音声（担当者が手動で削除します）は本機能の自動削除の対象外です。