プライバシーポリシー

言語に関する注記: 本ページは、ドイツ語で作成されたプライバシーポリシーの翻訳であり、お客様の便宜のために提供するものです。法的に拘束力を有するのはドイツ語の原文です。両者の間に相違がある場合は、ドイツ語版が優先します。ドイツの法令（BDSG、TDDDG、AO、HGB、BGB）は原語の名称で引用しています。

本プライバシーポリシーは、ウェブサイト kurokolabs.ai、ならびに顧客ポータル、お問い合わせフォーム、事業活動において利用するAI支援サービスを含む、Kuroko Labs GmbH のすべての関連するデジタルサービスに適用されます。

本プライバシーポリシーは、EU一般データ保護規則（GDPR）、ドイツ連邦データ保護法（BDSG）、ドイツ電気通信デジタルサービスデータ保護法（TDDDG）、人工知能に関する規則（EU）2024/1689（EU AI法）、および日本の個人情報の保護に関する法律（個人情報保護法）の要件を踏まえています。

当社はお客様の個人データの保護を重視し、法令の定めに従って機密として取り扱います。

GDPR第4条第7号にいう管理者:

Kuroko Labs GmbH
代表者: Wessal Furmoly（業務執行社員）
Poccistraße 5
85375 Neufahrn bei Freising
ドイツ

メール: wessal@kurokolabs.ai
電話: +49 176 30472811

商業登記: ミュンヘン区裁判所 HRB 312188。付加価値税番号（UStG第27a条）: DE462493210。税務番号: 115/130/90090。

当社は、国内外の法人のお客様（B2B）に対し、AIエージェント開発、ウェブデザイン、業務プロセス最適化およびデジタル戦略の分野でサービスを提供しています。

BDSG第38条第1項により、個人データの自動処理に常時20名以上が従事する場合には、データ保護責任者の選任が必要となります。これとは別に、GDPR第35条に基づくデータ保護影響評価の対象となる処理を行う場合にも選任義務が生じることがあります（BDSG第38条第1項第2文）。

当社は選任義務の有無を継続的に確認しており、法定の要件を満たした時点でデータ保護責任者を選任します。

データ保護に関するお問い合わせは、次の宛先までご連絡ください。
wessal@kurokolabs.ai

個人データの処理は、次の法的根拠にのみ基づいて行われます。

法的根拠	適用範囲
GDPR第6条第1項(a)（同意）	分析用Cookie（Google Analytics）、任意の付加機能
GDPR第6条第1項(b)（契約の履行）	顧客ポータル、プロジェクト管理、請求、チャット、受託プロジェクトにおけるAIサービス
GDPR第6条第1項(c)（法的義務）	税務上の保存義務（AO第147条、HGB第257条）、GoBD遵守
GDPR第6条第1項(f)（正当な利益）	サーバーログ、ボット対策、ITセキュリティ、不正防止、監査ログ。当社の正当な利益は、安全かつ正常に機能するウェブサイトの確保と事業プロセスの保護にあります。
BDSG第26条	採用手続における応募者データの処理
TDDDG第25条第2項	技術的に必要なCookieおよび端末へのアクセス（同意なしに許容）

5.1 ウェブサイトの閲覧（サーバーログ）
当社ウェブサイトへのアクセスのつど、次のデータが自動的に取得されます。IPアドレス（処理後に短縮・匿名化）、アクセス日時、閲覧したURL、リファラーURL、使用ブラウザおよびOS、転送データ量。
法的根拠: GDPR第6条第1項(f)。当社の正当な利益は、障害のない運用の確保、攻撃の検知と防御、および障害解析にあります。
保存期間: 7日間。その後、復元不能な形で削除します。

5.2 お問い合わせフォームおよびご相談
お問い合わせフォームのご利用、またはメールもしくは電話でのご連絡の際に、次の情報を取得します。氏名、メールアドレス、電話番号（ご記入いただいた場合）、ご希望のサービス、案件の詳細、ご予算の範囲、ご希望の時期、およびご連絡日時。
法的根拠: GDPR第6条第1項(b)（契約締結前の措置）または同第6条第1項(f)（事業上の問い合わせ対応に関する正当な利益）。
保存期間: 契約締結に至らなかったお問い合わせは6か月後に削除します。契約締結に至った場合は、第18章に定める保存期間が適用されます。

5.3 顧客ポータル（登録、ログイン、二要素認証）
顧客ポータルへのご登録に際して、次の情報を取得します。氏名、メールアドレス、パスワード（暗号学的ハッシュとしてのみ保存）、敬称、会社名（任意）、ならびに登録日時および利用規約への同意（バージョン、日時）。

アカウント保護のため、端末ベースの二要素認証（2FA）を使用しています。その際、次の追加データを取得します。端末ハッシュ（ブラウザおよび接続情報から生成したSHA-256）、IPアドレス、端末名称（例:「Windows上のChrome」）、最終利用日時。未知の端末からのアクセス時には、有効期限付きのワンタイムコード（OTP）をメールで送信します。

顧客プロフィールには、さらに次の情報を登録できます。姓名、電話番号、住所（番地、郵便番号、都市）、国、業種、付加価値税番号、および連絡用の別メールアドレス。

法的根拠: GDPR第6条第1項(b)（契約の履行）。二要素認証については同第6条第1項(f)（顧客アカウントの安全確保に関する正当な利益）。
保存期間: アカウント情報は取引関係が継続する間、保存します。認証が完了していないアカウントは24時間後に自動的に削除します（確認リンクの有効期間と同じです）。

5.4 プロジェクト管理およびチャット
プロジェクトの遂行にあたり、次のデータを処理します。プロジェクト情報（名称、種別、状態、進捗、日程）、お客様とプロジェクトチームとの間のチャットメッセージ（1件あたり最大2,000文字）、既読情報、コンサルティングおよびレビューの日程候補、開発状況の更新、ならびにアップロードされたコンセプト資料（PDF、最大15 MB）。
法的根拠: GDPR第6条第1項(b)（契約の履行）。
保存期間: 取引関係が継続する間、および法定の保存期間。

5.5 請求書および見積書
請求および見積の作成のため、次のデータを処理します。宛先情報（氏名、会社名、住所、メールアドレス）、請求書・見積書番号、明細、金額、税務情報、支払状況、および見積承諾時のIPアドレスとユーザーエージェント（BGB第126b条に基づく証跡）。
法的根拠: GDPR第6条第1項(b)（契約の履行）、同第6条第1項(c)（税務上の保存義務）。
保存期間: AO第147条第3項（2025年1月1日施行版）に基づき8年間、商業書簡についてはHGB第257条に基づき6年間。

5.6 AIエージェントおよびAI支援サービス
受託プロジェクトにおいて当社のAIサービスおよびエージェントをご利用いただく際には、次のデータを処理します。対話履歴（入力および出力）、セッションのメタデータ、および場合によりアップロードされた文書。
法的根拠: GDPR第6条第1項(b)（契約の履行）。
保存期間: 最終セッションから30日後に、復元不能な形で削除します。
重要なご注意: AIシステムのご利用にあたっては、特に機微な個人データ（健康に関する情報、銀行の認証情報、パスワード、GDPR第9条に定めるデータなど）を入力しないでください。利用者が任意にこれらを入力した場合について、当社は責任を負いかねます。AIの利用に関する詳細は第06章から第09章をご参照ください。

5.7 採用応募
採用手続において、次のデータを処理します。氏名、メールアドレス、応募書類・メッセージ、履歴書（PDFアップロード）、資格、応募書類に記載されたその他の情報、および選考状況。
法的根拠: BDSG第26条第1項（雇用関係を目的とするデータ処理）。
保存期間: 選考終了（不採用）から6か月。人材プールでの長期保存についてご同意をいただいた場合を除きます。採用に至った場合は人事記録へ移管します。

当社は法人のお客様向けにAIエージェントおよびAI支援ソリューションを開発しており、サービスの提供にあたり規則（EU）2024/1689（EU AI法）にいうAIシステムを利用しています。

6.1 利用するAIモデルおよび提供者
AIサービスの提供のため、次の提供者のAPIを利用しています。

• OpenAI LLC（米国サンフランシスコ）— GPT-4、GPT-4 Turbo、GPT-4o および後継モデル
• Anthropic PBC（米国サンフランシスコ）— Claude シリーズ
• Google LLC（米国マウンテンビュー）— Google Cloud Platform / Vertex AI 経由の Gemini シリーズ

実際に利用する提供者およびモデルは、個々のプロジェクト契約で定め、お客様にお知らせします。

6.2 AIによるデータ処理の内容
AIシステムは、個々のプロジェクトの遂行のためにのみ個人データを処理します（GDPR第6条第1項(b)）。処理の内容は、入力データ（プロンプト）の分析と出力（レスポンス）の生成に限られ、これを超える利用は行いません。

6.3 お客様のデータをモデル学習に使用しないこと
上記提供者のAPIを通じて送信された個人データは、生成AIモデルの学習、ファインチューニングまたは改善に使用されません。これは各社のデータ処理契約（DPA）およびAPI利用規約により契約上担保されるとともに、対応する設定（学習からのオプトアウト）により技術的にも確保されています。

6.4 人による監督（ヒューマン・イン・ザ・ループ）
AIが生成した結果は、お客様または第三者に対して効力を生じる前に、有資格の担当者が確認します。AIシステムが独自に法的拘束力のある判断を行うことはありません。AIエージェントが実行するすべての動作（メッセージ送信、データベースの変更など）は、当該運用者の責任に属します。個別のプロジェクトで自動化について異なる取り決めを行う場合は、当該プロジェクト契約およびデータ処理契約において個別に定め、記録します。

6.5 AIリテラシー（EU AI法第4条）
EU AI法第4条に従い、当社はAIシステムを利用または監督するすべての従業者が十分なAIリテラシーを備えるよう努めています。これには、利用するシステムの仕組み、限界およびリスクに関する知識が含まれます。

当社は、お客様に法的効果を生じさせ、または同様に重大な影響を及ぼす、専ら自動処理（プロファイリングを含む）に基づく決定を行いません（GDPR第22条第1項）。

サービスの提供にあたりAIシステムを利用する場合も、それは人による意思決定を支援する道具にとどまり、最終的な判断は常に人が行います。

将来これを変更する場合には、GDPR第13条第2項(f)に従い、当該自動処理に用いられるロジック、その重要性および想定される影響について事前にお知らせし、GDPR第22条第3項に定める保護措置（人による関与、お客様の見解の表明、決定に対する異議申立て）を確保します。

規則（EU）2024/1689第50条に従い、AIシステムの利用について次のとおりお知らせします。

8.1 AIとのやり取りの明示
当社のサービスにおいてAIシステムとやり取りが行われる場合（AI支援チャットボット、自動返信案など）には、その旨を明確に表示します。人ではなくAIシステムと対話していることをお知らせします（EU AI法第50条第1項）。

8.2 AI生成コンテンツの表示
AIシステムが生成し、または実質的に加工したコンテンツ（テキスト、画像、コード）は、EU AI法第50条第2項により必要とされる範囲で、その旨を表示します。技術的に可能な場合は機械可読な形式で表示します。

8.3 EU AI法における当社の役割
Kuroko Labs は、文脈に応じて提供者（プロバイダー）— お客様向けに独立したAIシステムを開発し市場に提供する場合 — または運用者（デプロイヤー）— 既存のAIモデル（GPT-4、Claude、Gemini）を自社サービスで利用する場合 — として行動します。いずれの役割となるか、およびそれに伴う義務は、お客様とのプロジェクト契約で定めます。

8.4 禁止されるAIの慣行
当社は、EU AI法第5条により禁止される慣行に該当するAIシステムを利用しません。特に、ソーシャルスコアリング、職場における感情認識、サブリミナルな操作、機微な属性を推知するための生体情報の分類は行いません。

注記: EU AI法第50条の透明性義務は2026年8月2日から全面的に適用されます。当社はこれに先立って要件の実装を進めています。

AIガバナンス、リスク分類、および運用者としてのお客様の義務に関する詳細は、AI透明性のページをご覧ください。

当社の処理、とりわけ個人データを処理するAIシステムの利用が、自然人の権利および自由に対して高いリスクをもたらすおそれがある場合には、GDPR第35条に基づくデータ保護影響評価（DPIA）を実施し、または既に実施しています。

DPIAには特に、処理の体系的な記述、必要性および比例性の評価、データ主体の権利および自由に対するリスクの評価、ならびにリスクを軽減するための対策および安全管理措置が含まれます。

加えて、EU AI法にいう高リスクAIシステムを利用する場合には、法令上必要な範囲で基本権影響評価（EU AI法第27条）を実施します。両評価は、EU AI法前文第96項に従い、一つの文書にまとめることができます。

実施済みのデータ保護影響評価に関する情報は、wessal@kurokolabs.ai までご請求ください。

AI支援サービスの提供のため、次の再委託先を利用しています。これらはAI処理の過程で個人データを受領することがあります。

提供者	所在地	目的	移転の根拠	モデル学習
OpenAI LLC	米国	GPTモデル／言語モデルの推論	EU-US DPF + SCC	なし（APIオプトアウト）
Anthropic PBC	米国	Claudeモデル／言語モデルの推論	SCC + DPA	なし（APIポリシー）
Google LLC	米国／EU	Geminiモデル、Vertex AI、GCP	EU-US DPF + SCC	なし（Vertex AI規約）

すべてのAI提供者との間で、GDPR第28条に基づくデータ処理契約（DPA）を締結しています。実際に利用する提供者は個々のプロジェクト契約で定めます。ご要望に応じて、お客様のプロジェクトで利用している提供者をお知らせします。

当社は、同等の保護水準を確保し、かつ適切な法的根拠（SCC、十分性認定またはDPF）に基づいて移転が行われることを条件に、他のAI提供者を利用することがあります。重要な変更についてはお客様にお知らせします。

お客様の個人データを第三者に提供するのは、原則として次の場合に限られます。

• お客様から明示的な同意をいただいた場合（GDPR第6条第1項(a)）
• 契約の履行に必要な場合（GDPR第6条第1項(b)）
• 法令上の義務がある場合（GDPR第6条第1項(c)）
• 正当な利益のために必要であり、お客様の保護に値する利益がこれに優先しない場合（GDPR第6条第1項(f)）

受領者の類型:

• 税理士および監査人 — 税法上および商法上の義務の履行のため（GDPR第6条第1項(c)）。
• Qonto（Olinda SAS、フランス） — 法人口座および請求業務。取引・証憑データの同期、ならびに自動消込のための請求書データ（氏名、住所、付加価値税番号、請求内容）の送信。処理はEU域内で行われます。GDPR第28条に基づくデータ処理契約を締結しています。法的根拠: GDPR第6条第1項(b)および(f)。詳細は第14.9項をご参照ください。
• Google Ireland Ltd.（Google Workspace） — メールによる連絡、業務文書の保管および日程調整。ここでは往復書簡、契約・請求関連書類および予定情報が処理されます。GDPR第28条に基づくデータ処理契約を締結しており、第三国への移転はEU-USデータプライバシーフレームワークに基づき、標準契約条項を予備的な保護措置として維持しています。詳細は第14.10項をご参照ください。
• AI提供者 — 本ポリシー第10章に定めるとおり。
• ホスティングおよびITサービス提供者 — GDPR第28条に基づくデータ処理契約の枠内で（第14章参照）。
• 公的機関 — 法令上の義務がある場合（税務当局、捜査機関など）。

お支払いはSEPA銀行振込のみで承っております。外部の決済サービス（Stripe、PayPalなど）は利用していません。銀行口座情報は請求書および会計システムにのみ保存されます。

当社の委託により個人データを処理するすべての事業者との間で、GDPR第28条に基づくデータ処理契約を締結しています。

当社が利用する事業者の一部は、EU／EEA域外に所在します。第三国への移転にあたっては、次の方法により十分な保護水準を確保します。

• 欧州委員会の十分性認定（GDPR第45条）
• 標準契約条項（SCC）（GDPR第46条第2項(c)、現行版: 実施決定（EU）2021/914）
• EU-USデータプライバシーフレームワーク（DPF） — 認証を受けた米国企業について（2023年7月10日の十分性認定）。あわせてSCCを予備的な保護措置として維持しています。

第三国への移転については、十分性認定を超えて必要となる範囲で、移転先国の保護水準の評価（移転影響評価、TIA）を実施します。

米国: OpenAI、Anthropic、Google および Supabase への移転は、EU-US DPF（認証されている範囲）および／またはSCCに基づいて行われます。当社はFISA第702条から生じうるリスクを認識しており、SCCを補完的な保護措置として維持しています。

これらの移転には、メール、文書保管および日程調整のための Google Workspace の利用（第14.10項）も含まれます。当社が利用しているプランでは欧州域内での保管が保証されていないため、移転はEU-USデータプライバシーフレームワークに関する十分性認定に基づいています。将来この認定が廃止、停止または無効とされた場合には、引き続き合意されている標準契約条項に基づいて移転を行い、移転先国の保護水準を評価したうえで、補完的な保護措置を検討します。

日本: 2019年1月23日以降、EUと日本との間には相互の十分性認定が存在します。あわせて日本の個人情報保護法の要件を遵守しています。したがって、日本へのデータ移転には追加の保護措置は必要ありません。

個別の事案で適用される保護措置に関する情報は、wessal@kurokolabs.ai までご請求ください。

当社ウェブサイトはCookieおよび類似の技術を使用しています。法的根拠はTDDDG第25条（ドイツ電気通信デジタルサービスデータ保護法、旧TTDSG）によります。

技術的に必要なCookie（TDDDG第25条第2項 — 同意不要）:

Cookie	目的	有効期間
access_token / access_token_admin	認証（JWT、httpOnly、Secure、SameSite=Strict）	15分
refresh_token / refresh_token_admin	トークンの更新（httpOnly、Secure、SameSite=Strict）	7日
kl_device	二要素認証における信頼済み端末の識別（httpOnly、Secure、SameSite=Lax）。個人と結びつかないランダムな秘密値のみを含み、照合は HMAC で行います。	90日
__csrf	CSRF対策（httpOnly、Secure、SameSite=Strict）	セッション

これらのCookieは顧客ポータルの安全な運用に不可欠であり、無効にすることはできません。読み取り可能な形の個人データは含まれていません（JWTのペイロードはBase64エンコード、リフレッシュトークンはSHA-256ハッシュとしてデータベースに保存）。

分析用Cookie（TDDDG第25条第1項 — 同意がある場合のみ）:
当社は、ウェブサイトの公開ページで Google Analytics 4（測定ID: G-NZ501W0KK2）を使用しています。分析スクリプトは、Cookieバナーを通じたお客様の明示的な同意の後にのみ読み込まれます。同意がない場合、トラッキングは行われません。Google Analytics の詳細は第14.3項をご参照ください。

保護されたポータルのページ（ログイン、登録、ダッシュボード、管理画面）では、分析用およびマーケティング用のCookieを一切使用していません。

ご同意は、Cookieバナーから設定を変更するか、ブラウザでCookieを削除することにより、いつでも将来に向かって撤回できます。お客様の設定は12か月間保存され、その後、改めて同意を確認いたします。

14.1 ホスティング — Hostinger International Ltd.
当社のウェブサイトおよびバックエンドは、Hostinger International Ltd.（61 Lordou Vironos Street, 6023 Larnaca, キプロス）がホスティングしています。サーバーは欧州のEU域内に所在します。ホスティングに関して第三国への恒常的な移転は行われません。GDPR第28条に基づくデータ処理契約を締結しています。詳細: hostinger.com/legal/privacy-policy。
法的根拠: GDPR第6条第1項(f)（安定したホスティングに関する正当な利益）。

14.2 フォームの不正利用対策
お問い合わせフォームを自動化された不正利用（スパム、ボット）から保護するため、当社は自社のサーバー側の対策のみを用いています。すなわち、IPアドレスおよびメールアドレスごとのリクエスト頻度の制限（レート制限）、CSRF対策、およびサーバー側の入力検証です。この過程で第三者へのデータ送信は行われず、追加のCookieも設定されません。処理されるのは、配信のためにいずれにせよ技術的に必要なIPアドレスのみです（14.1参照）。
法的根拠: GDPR第6条第1項(f)（ボット攻撃およびスパムからの保護に関する正当な利益）。

14.3 アクセス解析 — Google Analytics 4
ウェブサイトの公開ページ（ポータルのページを除く）では、Google Ireland Ltd.（Gordon House, Barrow Street, Dublin 4, アイルランド。親会社: Google LLC、米国）の Google Analytics 4 を使用しています。Google Analytics は、利用状況を仮名化された形で分析するためにCookieおよび類似の技術を使用します。
処理されるデータ: IPアドレス（匿名化）、ページビュー、滞在時間、参照元、端末およびブラウザの情報。
データの移転: データは米国に移転されることがあります。契約の相手方はGoogle Irelandであり、Google LLCへの再移転にはEU-US DPFおよびSCCが適用されます。
法的根拠: GDPR第6条第1項(a)（同意）。トラッキングは、Cookieバナーを通じた明示的な同意の後にのみ有効になります（TDDDG第25条第1項）。
異議・オプトアウト: 同意はいつでも撤回できます。加えて、Google Analytics を無効化するブラウザアドオンもご利用いただけます: tools.google.com/dlpage/gaoptout。
詳細: policies.google.com/privacy。

14.3.1 自社によるアクセス測定 — Cookieなし
加えて、当社自身のサーバーのみで動作する自社開発のCookie不使用の分析システムを使用しています。記録されるのは、ページビュー、おおよそのクリック位置（ページサイズに対する割合）およびスクロールの深さです。Cookieは設定せず、端末のストレージも使用せず、ユーザープロファイルも作成せず、IPアドレスその他の識別可能な情報も保存しません。個人の特定は不可能です。ブラウザのDo Not TrackおよびGlobal Privacy Controlの信号を尊重します。匿名データは180日後に削除されます。
処理されるデータ: 閲覧ページ、クリック位置、スクロールの深さ、端末カテゴリ、参照元ドメイン、ページの言語、行動喚起ボタンのクリック（ボタンの表示名のみ）、お問い合わせフォームおよび応募フォームの進行状況（開いた、到達したステップ、送信、離脱）、ステップごとの滞在時間、ならびに流入URLのキャンペーンパラメータ（utm_source、utm_medium、utm_campaign） — いずれも個人との関連付けはありません。utmの値は、許可された文字の固定リストに照らして除外処理を行います。フォームの入力内容は記録しません。氏名、メールアドレス、電話番号、自由記述は対象外です。gclid、wbraid、gbraidなどの広告クリック識別子は、本システムでは取得も保存もしません。
データの移転: なし（自社サーバー）。
法的根拠: GDPR第6条第1項(f)（ウェブサイト改善に関する正当な利益）。端末への情報の保存・読み出しを行わないため、TDDDG第25条に基づく同意は不要です。

14.4 書体 — 自社サーバーで配信
当社ウェブサイトで使用する書体（「Helvetica Now Display」および日本語用の「Noto Sans JP」）は、すべて当社自身のサーバーから配信しています。書体の読み込みにあたり、Google その他の第三者のサーバーへの接続は発生せず、第三者へのデータ送信もありません。
データの移転: ありません。
法的根拠: GDPR第6条第1項(f)（第三者を介さずに統一的で一貫した組版表示を行うことに関する正当な利益）。

14.5 顧客ポータルでの日程調整
コンサルティングおよびレビューの日程は、顧客ポータル上で候補をご提示し、お客様に承認または辞退していただく方式です。確定時にはカレンダーファイル（.ics）をメールで送付し、あわせてワンクリックでご自身のカレンダーに登録できるリンクをご案内します。お客様のカレンダーへの自動的なアクセスは行いません。カレンダーの権限を要求することも、カレンダーの内容を読み取ることもありません。
処理されるデータ: 予定の件名、日付、時刻、参加者のアドレス — ポータルで合意した予定に限ります。
法的根拠: GDPR第6条第1項(b)（契約の履行）。
当社自身の予定管理は Google Workspace で行っています（第14.10項）。

14.6 コンテンツ配信 — Webflow CDN
静的コンテンツ（画像、スタイルシート）の配信には、Webflow Inc.（米国カリフォルニア州サンフランシスコ）のコンテンツ配信ネットワークを利用しています。配信は Fastly Inc. および Amazon CloudFront（AWS）を経由します。これらのコンテンツの取得時に、IPアドレスがCDNのサーバーに送信されます。
データの移転: 米国。移転の根拠はSCC。
法的根拠: GDPR第6条第1項(f)（迅速かつ安定したコンテンツ配信に関する正当な利益）。

14.7 AI 対話データの保存
受託プロジェクトにおいて AI との対話を継続的に保存する場合、保存先は EU 域内のサーバーです。実際に利用するサービスは個々のプロジェクト契約およびデータ処理契約で定めます。候補の一つが Supabase Inc.（米国カリフォルニア州オークランド）で、データはフランクフルトの EU サーバー（AWS eu-central-1）に保存されます。米国からの管理目的のアクセスには EU-US DPF および SCC が適用されます。
当社の顧客ポータルでは、現在 AI 対話データを保存していません。
保存期間: 保存する場合は最終セッションから30日です。

14.8 AIインフラ
利用するAIインフラはプロジェクトによって異なり、次の提供者のサービスを含むことがあります。Amazon Web Services（AWS）、Hostinger、Google Cloud Platform（GCP）、Microsoft Azure、Hetzner および DigitalOcean。EU域内のサーバーで処理できる場合は、これを優先します。実際に利用するサービスは、個々のプロジェクト契約またはデータ処理契約で定めます。

14.9 銀行取引・請求 — Qonto
法人口座には Qonto（Olinda SAS）（18 rue de Navarin, 75009 Paris, フランス）を利用しています。Qonto はフランス（EU）に所在し、ACPR（健全性監督破綻処理機構）の規制を受ける決済機関です。処理およびデータの保管は欧州連合域内（フランス、アイルランド）のサーバーでのみ行われ、第三国への移転はありません。
処理の目的:

• 取引の同期（読み取り）: 入金を未決済の請求書に自動的に消し込み、支出を記帳するため、Qonto の API を通じて口座の入出金を会計システムに取り込みます。
• 証憑の保管（読み取り）: 取引に紐づく証憑（請求書PDF、領収書）を、Qonto の Attachments API を通じてGoBDに準拠した証憑保管庫へ移すことができます（保存期間: AO第147条第3項により8年）。
• お客様への請求（書き込み）: 顧客ポータルで作成した請求書を「クライアント請求書」として Qonto に送信します。Qonto は入金されたSEPA送金をこれらの請求書と自動的に照合し、請求書の状態を当社システムに返します。処理されるお客様の情報: 氏名、住所、メールアドレス、付加価値税番号および税番号（ある場合。いずれも顧客レコードの作成時点で送信されます）、請求書番号、日付、金額、明細、支払期限、受取人の口座情報。

法的根拠: GDPR第6条第1項(b)（契約の履行 — 請求は契約関係の法定の構成要素です）、UStG第14条（請求書交付義務）、GDPR第6条第1項(f)（効率的で誤りの少ない会計処理および自動消込に関する正当な利益）。
データ処理契約: Qonto との間でGDPR第28条に基づくデータ処理契約（DPA）を締結しています。DPAは Qonto の顧客ポータルから参照できます。
保存期間: 取引および証憑のデータは、AO第147条第3項（2025年1月1日施行版）に基づき8年間保存します。その後の削除は、Qonto および当社システムに登録された保存期限に従って自動的に行われます。
詳細: legal.qonto.com/en。

14.10 業務上の連絡および文書保管 — Google Workspace（Gmail、ドライブ、カレンダー）
業務上の連絡および業務文書の保管のため、Google Ireland Limited（Gordon House, Barrow Street, Dublin 4, アイルランド）の Google Workspace（Business Starter プラン）を利用しています。契約の相手方は Google Ireland であり、Google LLC（1600 Amphitheatre Parkway, Mountain View, CA 94043, 米国）およびGoogleが公表するその他の企業が再委託先として関与します。

当社が利用している主なサービスは次のとおりです。

• Gmail（メール）: 業務上の往復書簡、およびすべてのシステムメール（本人確認、ワンタイムコード、各種通知、請求書、見積書、予定の確認）の送信は、メールボックス wessal@kurokolabs.ai を経由します。顧客ポータルからの自動送信は Google Workspace のSMTPリレーを利用し、当社サーバーのIPアドレスにより許可されます。処理されるデータ: 送信者および受信者のアドレス、件名、添付ファイルを含む本文（請求書・見積書のPDFなど）、日時、ならびに接続およびログに関する技術情報。
• Google ドライブ（文書保管）: 契約書、見積書、請求書、プロジェクト資料、往復書簡などの業務文書を保管します。処理されるデータ: 担当者の氏名、住所および連絡先、契約・請求に関する情報、ならびにこれらの文書に含まれるその他の個人データ。ファイルを一般公開することはなく、アクセスは経営者に限定しています。
• Google カレンダーおよび Google Meet: コンサルティング、レビューおよび打合せの日程調整と実施。処理されるデータ: 予定の件名、日付および時刻、参加者のアドレス、説明、接続情報。本項は当社の社内カレンダーに関するものであり、第14.5項に記載するお客様ご自身のGoogleカレンダーとの任意の連携とは区別されます。

データ処理契約: Google Ireland との間では、Google Workspace 契約の一部を構成する Cloud Data Processing Addendum の形で、GDPR第28条に基づくデータ処理契約を締結しています。同契約において Google は、主要サービスの顧客データを当社の指示に従ってのみ処理し、広告目的またはプロファイリングに使用しないことを約束しています。再委託先の最新の一覧は workspace.google.com/terms/subprocessors.html で公表されています。
保管場所および第三国への移転: 処理はGoogleの世界各地のデータセンターで行われ、米国での処理も排除されません。当社が利用している Business Starter プランには、欧州域内のみで保管することの契約上の保証は含まれていません（「データリージョン」機能は上位プランからの提供です）。移転は、Google LLC が認証を受けている EU-USデータプライバシーフレームワークに関する2023年7月10日付の欧州委員会十分性認定に基づきます。加えて、Cloud Data Processing Addendum で合意された標準契約条項が予備的な保護措置として適用されます。第三国移転の詳細は第12章をご参照ください。
セキュリティ: データは転送時および保存時に暗号化されます。当社のWorkspaceアカウントは二要素認証で保護され、アクセスは知る必要性の原則に従います。
法的根拠: GDPR第6条第1項(b)（契約の履行および契約締結前の措置 — 往復書簡、見積、請求）、同第6条第1項(c)（AO第147条およびHGB第257条による商業書簡および会計証憑の保存）、ならびに同第6条第1項(f)（安全で確実かつ追跡可能な業務連絡に関する正当な利益）。
保存期間: 第18章の定めによります。商法上または税法上の意義を有するメールおよび文書は法定の保存期間の対象となり、期間の経過後に削除されます。
詳細: Cloud Data Processing Addendum および policies.google.com/privacy。

14.11 SSL/TLSによる暗号化
当社ウェブサイトおよびサービスへのすべての接続は、SSL/TLSにより暗号化されています（HSTS、プリロード対応）。お客様のブラウザと当社サーバーとの間の通信は、常に暗号化されて行われます。

当社がサービスの提供にあたりお客様の委託を受けて個人データを処理する場合には、GDPR第28条に基づくデータ処理契約をお客様と締結します。同契約では特に次の事項を定めます。

• 処理の対象および期間
• 処理の性質および目的
• 個人データの種類およびデータ主体の類型
• 管理者の義務および権利
• 技術的および組織的措置（TOM）
• 再委託に関する定め

データ処理契約の雛形は、wessal@kurokolabs.ai までご請求いただけます。

お客様はGDPRに基づき、次の権利を有します。

• アクセス権（GDPR第15条）: 個人データが処理されているかどうかの確認、および当該データへのアクセス（写しの取得を含む）を求める権利。
• 訂正権（GDPR第16条）: 不正確なデータの遅滞ない訂正、または不完全なデータの補完。
• 消去権（GDPR第17条）: 法定の保存事由がない限り、データの消去を求める権利。税法上の保存義務（AO第147条、HGB第257条）により、請求書および契約に関するデータを直ちに消去できない場合があることにご留意ください。
• 処理制限権（GDPR第18条）: 法定の要件のもとで処理の制限を求める権利。
• データポータビリティ権（GDPR第20条）: 構造化され、一般に用いられる機械可読な形式でデータを受け取り（顧客ポータルからJSON形式で書き出せます）、他の管理者へ移転させる権利。
• 同意撤回権（GDPR第7条第3項）: いつでも将来に向かって同意を撤回する権利。撤回までに行われた処理の適法性は影響を受けません。

GDPR第21条に基づく異議申立権に関する個別のご案内:

お客様は、ご自身の特別な状況から生じる理由に基づき、GDPR第6条第1項(e)または(f)に基づいて行われるお客様に関する個人データの処理に対して、いつでも異議を申し立てる権利を有します。これらの規定に基づくプロファイリングについても同様です。

異議が申し立てられた場合、当社は、お客様の利益、権利および自由に優先する、やむを得ない正当な理由を証明できる場合、または法的請求の行使もしくは防御のために処理が必要な場合を除き、当該個人データの処理を停止します。

異議のお申し出は次の宛先までお願いします: wessal@kurokolabs.ai。

監督機関への苦情申立権:
他の救済手段を妨げることなく、お客様はデータ保護監督機関に苦情を申し立てる権利を有します。当社を管轄する監督機関は次のとおりです。
バイエルン州データ保護監督局（BayLDA）
Promenade 18
91522 Ansbach, ドイツ
www.lda.bayern.de

権利行使のお申し出は wessal@kurokolabs.ai までお寄せください。当社は遅滞なく、遅くとも1か月以内に対応します（GDPR第12条第3項）。複雑な事案では、さらに2か月延長することがあり、その場合は最初の1か月以内にお知らせします。

当社はGDPR第32条に従い、リスクに応じた適切な保護水準を確保するため、次の技術的および組織的措置（TOM）を講じています。

一般的な措置:

• 通信の暗号化: すべての接続にTLS/SSLを使用、HSTSプリロード（max-age 1年）。
• 認証: bcryptによるパスワードのハッシュ化（ソルトラウンド: 12）、二要素認証（メールによるOTP）、端末ベースの信頼管理、15分以内に5回失敗した場合の自動ロック。
• セッションの安全性: 有効期間15分（アクセス）および7日（リフレッシュ）のJWTトークン、httpOnlyおよびSecure属性、SameSite=Strict、CSRF対策（ダブルサブミット方式）。
• アクセス制御: 役割に基づく権限管理（管理者／お客様）、知る必要性の原則、顧客アカウント間の厳格なリソース分離。
• レート制限: ログイン、登録、OTP検証、お問い合わせフォームおよび一般的なAPIアクセスに対する個別のレート制限。
• セキュリティヘッダー: Content Security Policy（CSP）、X-Frame-Options: deny、X-Content-Type-Options: nosniff、Referrer-Policy: strict-origin-when-cross-origin。
• 監査ログ: セキュリティに関わる事象（ログイン試行、登録、パスワード変更、メール認証）を、日時、匿名化したIPアドレスおよび端末情報とともに記録します。
• 入力検証: すべての利用者入力のサーバー側検証、SQLインジェクション対策としてのパラメータ化クエリ、ファイルアップロードにおけるパストラバーサル対策。
• 定期的なセキュリティ点検: 当社のシステムは定期的に脆弱性を点検し、更新しています。

AIに特有の措置:

• データ最小化: AI提供者へは、当該AI業務に必要な個人データのみを送信します。
• モデル学習への不使用: 送信したデータが学習に使用されないよう、APIの設定で担保しています。
• 自動削除: AIの対話データは30日後に自動的に削除されます。
• 入出力の記録: 品質保証および追跡可能性のためAIとのやり取りを記録し、保存期間の経過後に削除します。

インターネットを介したデータ伝送（メールでのやり取りなど）には、原理的に安全上の弱点が存在しうる点にご留意ください。第三者によるアクセスを完全に防ぐことは技術的に不可能です。

個人データは、それぞれの処理目的に必要な期間、または法定の保存義務が存続する期間に限り保存します。

データの種類	保存期間	法的根拠
サーバーログ	7日	GDPR第6条第1項(f)
お問い合わせ（契約に至らない場合）	6か月	GDPR第6条第1項(f)
顧客アカウント情報	取引関係の継続期間＋保存期間	GDPR第6条第1項(b)
未認証のアカウント	24時間（自動削除）	—
請求書、会計証憑	8年（AO第147条第3項、2025年1月1日施行版）	GDPR第6条第1項(c)
商業書簡、契約書	6年（HGB第257条第4項）	GDPR第6条第1項(c)
メールでの往復書簡（Google Workspace）	商業書簡は6年、会計証憑は8年。その他の往復書簡は取引関係終了後12か月まで	GDPR第6条第1項(c)または(f)
業務文書（Google ドライブ）	契約書は6年、請求書・証憑は8年。保存義務のないプロジェクト資料はプロジェクト完了後12か月まで	GDPR第6条第1項(c)または(b)
AIとの対話	最終セッションから30日	GDPR第6条第1項(b)
応募者情報	不採用通知から6か月	BDSG第26条
データバックアップ（暗号化、EU サーバー）	日次30日、週次12週、月次12か月、年次7年	GDPR第6条第1項(f)（第32条第1項(c)）
監査ログ	3年	GDPR第6条第1項(f)
プロジェクトのチャット	取引関係の継続期間＋保存期間	GDPR第6条第1項(b)

保存期間の経過後、法定の保存義務がない限り、個人データは削除するか、復元不能な形で匿名化します。削除は（技術的に管理された期間については）自動的に、またはその他の場合は定期的な手作業の点検の中で行われます。

個人データの保護の侵害が生じた場合、当社はGDPR第33条および第34条に従って対応します。

• 監督機関への通知（GDPR第33条）: 侵害が自然人の権利および自由に対するリスクをもたらすおそれがある場合、認識後72時間以内に BayLDA へ通知します。
• データ主体への連絡（GDPR第34条）: 権利および自由に対する高いリスクがある場合、遅滞なく対象の方にお知らせします。

当社はGDPR第33条第5項に従いすべての侵害を内部で記録し、封じ込めと再発防止のための適切な技術的および組織的措置を直ちに講じます。

日本にお住まいのお客様およびデータ主体の方には、日本の個人情報の保護に関する法律（個人情報保護法）の定めが補足的に適用されます。

• 十分性認定: 2019年1月23日以降、EUと日本との間には相互の十分性認定が存在します。したがって、EUと日本との間の個人データの移転には追加の保護措置は必要ありません（GDPR第45条、個人情報保護法第28条）。
• 開示請求（個人情報保護法第33条）: 当社が保有するお客様の個人データについて開示を請求できます。顧客ポータルからJSON形式でデータを書き出すこともできます。
• 訂正・利用停止（個人情報保護法第34条・第35条）: 事実と異なるデータの訂正、およびデータの利用停止を請求できます。
• 言語: メールでのご連絡および請求書は、プロフィールに登録された国（日本）に応じて日本語で送付します。
• 利用目的（第21条）: 個人情報を利用する目的は、本ポリシー第4章に公表しています。
• 安全管理措置および取扱いを行う外国の名称（第32条第1項第4号、施行規則第10条）: 当社が講じている技術的および組織的な措置は第17章に記載しています。日本のお客様の個人データは、次の国において取り扱われます。ドイツ連邦共和国（本社および事業運営）、欧州連合の加盟国（第14.1項のサーバー。ホスティング事業者 Hostinger International Ltd. はキプロスに所在。第14.9項の決済はフランスおよびアイルランド）、およびアメリカ合衆国（第12章および第14章）。各国の個人情報の保護に関する制度、ならびに移転先の事業者が講じる措置についての情報は、ご請求に応じて提供します（第28条）。
• 共同利用および匿名加工情報: 第27条第5項第3号にいう共同利用は行っていません。第43条にいう匿名加工情報の作成も行っていません。
• 苦情の申出先: まず wessal@kurokolabs.ai までお申し出ください。30日以内に回答します。これとは別に、日本の監督機関である個人情報保護委員会（www.ppc.go.jp）にも苦情を申し出ることができます。

米国への移転: EUと日本との十分性認定は、この二つの法域の間のデータ流通のみを対象とします。日本のデータ主体の情報は Google Workspace（第14.10項）にも保存され、そこでは米国での処理も排除されません。当該移転については EU-US データプライバシーフレームワークに基づき、標準契約条項を予備的な保護措置として維持しています。個人情報保護法第28条に基づき、この点を個別にご案内し、移転先国に関する追加情報もご請求に応じて提供します。

日本のデータ主体の方からのご請求には30日以内に対応します。連絡先: wessal@kurokolabs.ai。

当社は、法令の改正、新たな事業者の利用、またはデータ処理の実務の変更に合わせて、必要に応じて本プライバシーポリシーを更新することがあります。

データ主体としてのお客様の権利に関わる重要な変更を行う場合には、適切な方法（メールまたはウェブサイト上の告知など）でお知らせします。

本プライバシーポリシーを定期的にご確認いただくことをお勧めします。

バージョン	日付	内容
2.5	2026年8月20日	第20章に、GDPRにはない個人情報保護法固有の公表事項を追加しました。利用目的（第21条）、取扱いを行う外国の名称を含む安全管理措置（第32条第1項第4号、施行規則第10条）、共同利用（第27条第5項第3号）および匿名加工情報（第43条）に関する明記、ならびに苦情の申出先としての個人情報保護委員会。
1.0	2025年2月26日	初版
2.0	2026年4月10日	全面改訂: EU AI法（第50条の透明性、第5条の禁止される慣行、GDPR第22条）、TDDDGへの対応、保存期間の更新（改正AO第147条による8年）、利用サービスの全面開示（Google Analytics、Google Fonts、Google Calendar API、Webflow CDN、Qonto）、削除方針の追加、データ保護影響評価の章、日本・個人情報保護法の章の拡充、顧客ポータルにおけるデータ処理の詳細化
2.1	2026年5月2日	Qonto の章を拡充: 請求書（「クライアント請求書」）の送信および Attachments API による証憑の取得
2.3	2026年8月11日	法務・セキュリティ監査の結果を受け、記載を実際のシステム動作に合わせました。第14.4項（書体は自社配信、Google への接続なし）、第14.5項（カレンダーへのアクセスを伴わない日程調整）、第14.7項（AI 対話データはプロジェクト依存、ポータルでは現在保存なし）、第14.9項（税番号および8年の保存期間）、Cookie 一覧に kl_device を追加、削除方針にデータバックアップを追加、未認証アカウントの削除期限を24時間に修正、個人情報保護法の章に米国への移転を追記。技術面の対応: 分析用 Cookie は同意後にのみ読み込まれるようになり、監査ログには短縮した IP アドレスのみを保存します
2.2	2026年8月11日	Google Workspace（Gmail、ドライブ、カレンダー）を処理者として追加（第14.10項）: 業務上の連絡および文書保管、保管場所、第三国への移転、予備的な保護措置を記載。旧「メール／SMTP — Hostinger」の項を差し替え、SSL/TLSの項を14.11へ移動。受領者の類型（第11章）、国際的なデータ移転（第12章）および削除の方針（第18章）を併せて更新。英語版および日本語版を初めて公開