プライバシーポリシー

株式会社Initial State（以下「当社」といいます。）は、当社が提供するクラウドサービス「グランツピッカー」（以下「本サービス」といいます。）で取り扱う個人情報を、当社の個人情報保護方針に基づき、JIS Q 15001（個人情報保護マネジメントシステム－要求事項）に準拠して適切に取り扱います。本ポリシーでは、本サービスで取り扱う個人情報の利用目的、第三者提供、委託、安全管理措置、開示等の請求手続きについてお知らせします。

当社の個人情報保護方針は、こちらをご覧ください：https://initialstate.co.jp/privacy/

本ポリシーで使う「利用者」「ユーザー」「顧客ユーザー」「登録情報」「利用者データ」「テンプレート」は、グランツピッカー利用規約の定義に従います。

1. 事業者の名称、住所、代表者の氏名

2. 個人情報保護管理者の氏名、役職名及び連絡先

3. 本サービスで取得する個人情報と利用目的

当社は、本サービスに関して、次の個人情報を、次の利用目的の範囲内で、適正かつ適法な手段により取得し、利用します。

テンプレートシェアモードで公開されるテンプレートには、個人情報を含めないでください（利用規約13条4項）。公開されるテンプレートに、作成した利用者の名称は表示されません。

4. 利用者からお預かりする個人情報（委託を受けて取り扱う個人情報）について

1. 利用者が本サービスに登録する顧客ユーザーの個人情報は、当社が利用者から取扱いの委託を受けて取り扱うものです（個人情報の保護に関する法律 第27条第5項第1号）。当社は、委託の目的の範囲内でのみ取り扱います。
2. これらの個人情報の利用目的、本人への通知・同意の取得は、利用者が自らの責任で行います。
3. 顧客ユーザーご本人から当社に開示等の請求があった場合、当社は、委託元である利用者にお知らせし、利用者と協力して対応します。
4. 利用者が退会したときは、利用者データを退会から30日を経過した後に削除します（利用規約17条2項）。利用者が指定した外部サービス（Googleドライブ、OneDrive、Slackなど）に保存・通知された情報は、外部サービス側に残り、当社は削除できません。

5. 個人情報の第三者提供

当社は、本サービスで取得した個人情報を、次の場合を除き、第三者に提供しません。

1. ご本人の同意がある場合
2. 法令に基づく場合
3. 人の生命、身体又は財産の保護のために必要がある場合であって、ご本人の同意を得ることが困難であるとき
4. 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、ご本人の同意を得ることが困難であるとき
5. 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、ご本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき

なお、利用者が本サービスを外部サービスと連携させた場合、利用者の指示により、提出された書類や通知が外部サービスに送られます。これは利用者の操作に基づく送信で、外部サービスでの取扱いは、各サービスの提供者の定めによります。

6. 個人情報取扱いの委託

当社は、本サービスの提供のために、個人情報の取扱いの全部又は一部を、次の業務について外部に委託します。委託先は、個人情報の適切な取扱いが認められる事業者を選定し、契約等で漏えい防止のための措置を取り決めたうえで、委託先における取扱いを適切に管理します。

顧客ユーザーが提出した書類のファイルは、当社のサーバーに保存せず、利用者が指定した外部サービス（Googleドライブ、OneDriveなど）に保存します。当社のデータベースには、ファイルの名前、外部サービス上の識別子、提出の状態と履歴だけを記録します。

7. 外国にある第三者への委託と、外国の個人情報の保護に関する制度

当社は、前項のとおり、本サービスのサーバーとデータベースの提供を、外国にある事業者 Cloudflare, Inc.（アメリカ合衆国）に委託します。当社は、同社との間で個人データの取扱いに関する契約（Data Processing Addendum）を締結し、同社が個人情報の保護に関する法律に定める基準に適合する体制を整備していることを確認したうえで委託します（同法第28条第1項）。

当社は、委託先における取扱いの状況と、委託先の所在国の制度の変更を定期的に確認します。委託先が講じる措置について、ご本人の求めに応じて遅滞なく情報を提供します。

8. 保有個人データに対して行う安全管理措置

当社は、JIS Q 15001に従い、本サービスで取り扱う個人情報の安全管理のため、次の措置を講じます。

1. 基本方針の策定：個人情報保護方針を策定し、社内外に公表しています。
2. 個人データの取扱いに係る規律の整備：取得・利用・保管・提供・削除の各段階の取扱規程を整備しています。
3. 組織的安全管理措置：個人情報保護体制の整備、自己点検及び監査を実施しています。
4. 人的安全管理措置：従業者からの秘密保持誓約書の取得、定期的な教育・訓練、就業規則への記載を行っています。
5. 物理的安全管理措置：入退室管理、機器・媒体・書類の盗難紛失防止対策を講じています。
6. 技術的安全管理措置：本サービスでは、次の措置を講じています。
   • 通信を暗号化しています（TLS）。
   • パスワードは、元に戻せない形（ハッシュ値）に変換して保存しています。招待やパスワード再設定のリンクに使う値も、ハッシュ値だけを保存しています。
   • 利用者ごとにデータを分けて管理し、ほかの利用者のデータを表示・操作できないようにしています。
   • 当社の従業者が利用者データにアクセスできる者を、本サービスの運用に必要な者に限り、アクセスを記録しています。
   • ログインの試行回数を制限し、不正なログインを防いでいます。
   • 顧客ユーザーが提出した書類のファイルを、当社のサーバーに保存していません（上の6）。
7. 外的環境の把握：本サービスのサーバーとデータベースは、アメリカ合衆国の事業者に委託しています。同国の個人情報の保護に関する制度を把握したうえで、安全管理措置を講じています（上の7）。

9. 保有個人データ等の開示等の請求

ご本人又はその代理人から、次の請求があった場合には、本人確認のうえ、合理的な期間内に対応します。

1. 利用目的の通知
2. 開示（第三者提供記録の開示を含みます）
3. 訂正、追加又は削除
4. 利用の停止又は消去
5. 第三者への提供の停止

請求の方法、ご提出いただく書類、手数料、回答の方法は、当社の「個人情報の取扱いについて」の「保有個人データ等の開示等の手続きについて」に定めるとおりです：https://initialstate.co.jp/privacy-handling/#part-2

登録情報の訂正は、本サービスの設定画面からも行えます。

10. 営業・案内の連絡の停止

3の利用者の登録情報の利用目的(3)(4)による案内・営業の連絡は、次の窓口へのお申し出、又は電子メールに記載した配信停止の方法により、いつでも停止できます。停止しても、本サービスは引き続きご利用いただけます。本サービスの提供に必要な連絡（3の利用目的(1)(2)）は、停止の対象になりません。

11. 個人情報を提供されることの任意性

当社への個人情報のご提供は任意です。ただし、利用登録に必要な情報をご提供いただけない場合は、本サービスをご利用いただけません。お問い合わせに必要な情報をご提供いただけない場合は、回答できないことがあります。

12. ご本人が容易に認識できない方法により取得する場合について

本サービスでは、ログインの状態を保つため、クッキーを使用しています。クッキーを無効にすると、本サービスにログインできません。

本サービスのウェブサイトと画面では、利用状況を把握し、本サービスを改善するため、Google LLC（アメリカ合衆国）が提供するアクセス解析ツール「Google アナリティクス」を使用しています。

13. 苦情相談窓口

本サービスの使い方についてのお問い合わせは、本サービスのお問い合わせフォームからお願いします。

14. 認定個人情報保護団体

当社は、次の認定個人情報保護団体の対象事業者です。

【注意：当社のサービスに関する問合せ先ではございません】

15. 本ポリシーの改定

当社は、法令の改正、本サービスの内容の変更などに応じて、本ポリシーを改定することがあります。改定した内容は、本サービス上に掲示した時点から効力を生じます。利用目的を変更するときは、変更前の利用目的と関連性を有すると合理的に認められる範囲で行い、変更した利用目的を本サービス上でお知らせします。

制定日：公開日に記入
最終改定日：公開日に記入
株式会社Initial State　代表取締役　北山 洋樹

以　上