株式会社ISSEN GLOBAL（以下「当社」といいます）は、当社が提供する「ISSEN LXP」（以下「本サービス」といいます）における個人情報の取扱いについて、以下のとおり定めます。
第1条（適用範囲）
本ポリシーは、当社が本サービスの提供にあたって取得する個人情報および個人関連情報の取扱いについて適用されます。
第2条（取得する情報）
当社は、本サービスの提供にあたり、次の情報を取得します。
- 氏名、メールアドレス、所属する企業名および所属先での役割
- 認証に用いる情報。ただしパスワードは当社では保持せず、第6条に定める認証サービス提供事業者において暗号化して保管されます
- 本サービスの利用に関する記録（アクセス日時、閲覧したマニュアル、閲覧の完了状況、検索の内容）
- 利用企業が本サービス上に登録した業務手順その他の情報（以下「顧客コンテンツ」といいます）
- アンケートへの回答、およびAI機能との対話の内容
- 決済に関する情報。ただしクレジットカード番号は当社では取得せず、第6条に定める決済代行事業者が直接取得します
- お問い合わせの内容
- IPアドレス、ブラウザの種類、端末の種類、端末のOSその他の技術情報
- クッキーその他の識別技術により取得される情報
第3条（利用目的）
当社は、取得した情報を次の目的で利用します。
- 本サービスの提供、維持、運用および改善
- 利用者の属性および学習状況に応じた表示内容の生成
- 本人確認および認証
- 利用料金の請求および決済、ならびに滞納または過誤払いに関する精算
- 利用状況の集計、および利用企業の管理者への報告
- 利用企業の設定に応じて、利用者がAI機能に入力した質問およびその回答を、利用者の氏名とともに利用企業の管理者に提供すること
- お問い合わせへの対応
- 障害、不具合、保守その他重要な事項の通知
- 不正な利用の監視、および利用規約に違反する行為への対応
- 本サービスに関する統計データの作成
- 本サービスに関する情報、新機能の案内その他の連絡
- 紛争または訴訟への対応、および法令上の義務の履行
- 裁判所その他の公的機関からの要請、命令または調査への対応
第4条（AI機能における取扱い）
- 本サービスは、文面の生成、ヒントの提示、対話形式の演習および質問への回答等にあたり、外部の生成AI事業者が提供する機能を利用します。これに伴い、顧客コンテンツおよび対話の内容が、当該事業者に送信されます。
- 当社は、顧客コンテンツおよびAI機能との対話の内容を、生成AIモデルの学習または訓練の目的に利用しません。当社が利用する生成AI事業者においても、事業者向けの利用については既定で学習に利用しない取扱いとなっていることを確認しています。
- AI機能が生成する文章は下書きであり、当社はその正確性、完全性または特定の目的への適合性を保証しません。内容の確認および利用者への提示の判断は、利用企業の責任において行っていただきます。
- 安全、衛生または法令に関わる手順については、利用企業において必ずご確認ください。
- 利用者がAI機能に入力した質問およびAI機能の回答は、利用者ご本人の履歴として保存し、ご本人が閲覧できます。利用企業が会社の設定で「聞く」の共有を有効にしている場合（既定で有効です）、共有が有効の間に入力されたものに限り、利用者の氏名とともに当該利用企業の管理者が閲覧できます。保存した内容は、第9条の保存期間に従い、利用者ご本人が退会（アカウントの削除）をした場合は、所定の期間の経過後に削除します。
第5条（第三者提供）
当社は、次の場合を除き、あらかじめ本人の同意を得ることなく個人情報を第三者に提供しません。
- 法令に基づく場合その他個人情報の保護に関する法律第27条第1項各号に定める場合
- 第3条の利用目的の達成に必要な範囲において、個人情報の取扱いの全部または一部を委託する場合
- 合併その他の事由による事業の承継に伴って提供される場合
第6条（業務の委託および外国にある第三者への提供）
当社は、本サービスの提供のため、次の事業者に業務の一部を委託しています。いずれの事業者も日本国外に所在するため、これらへの個人データの提供は、個人情報の保護に関する法律にいう外国にある第三者への提供に該当します。
| 委託先 | 委託する業務 | 所在国 |
|---|
| Clerk, Inc. | 利用者の認証 | アメリカ合衆国 |
| Vercel Inc. | 本サービスの配信および実行環境 | アメリカ合衆国 |
| Supabase, Inc. | データベース（データの保存先は日本国内のデータセンター） | アメリカ合衆国 |
| Amazon Web Services, Inc. | 写真・動画およびデータのバックアップの保管（データの保存先は日本国内のデータセンター） | アメリカ合衆国 |
| Anthropic PBC | AI機能の提供 | アメリカ合衆国 |
| Stripe, Inc. | 決済処理 | アメリカ合衆国およびアイルランド |
| Functional Software, Inc.（Sentry） | 障害の検知および記録 | アメリカ合衆国 |
| Google LLC | 字幕・本文の翻訳、画像からの文字起こし（取り込んだ写真そのものを送信）、音声からの文字起こし（取り込んだ音声そのものを送信）、および画面で用いる書体の配信（お客様の端末のIPアドレスが送信されます） | アメリカ合衆国 |
| Cloudflare, Inc. | 動画の保存および配信 | アメリカ合衆国 |
| Voyage AI（Voyage AI Inc.） | マニュアル本文および利用者の質問文の検索用ベクトルの生成 | アメリカ合衆国 |
| PostHog, Inc. | 利用状況の記録（会社および利用者の識別子、画面の遷移。氏名・メールアドレス・マニュアル本文・質問文は送信しません） | アメリカ合衆国 |
| Resend（Plus Five Five, Inc.） | 管理者向けメールの送信（宛先および本文） | アメリカ合衆国 |
外国における個人情報の保護に関する制度について
上記各事業者が所在する国には、個人情報の保護に関する制度が存在します。アメリカ合衆国においては分野別の連邦法および各州法により、アイルランドにおいてはEU一般データ保護規則（GDPR）により、それぞれ個人情報の保護が図られています。制度の詳細については、個人情報保護委員会が公表する「外国における個人情報の保護に関する制度等の調査」をご参照いただけるほか、第12条の窓口までお問い合わせいただければ、当社が把握する範囲でご説明します。
委託先が講じる措置について
当社は、上記各事業者との間で個人データの取扱いに関する契約を締結し、当社が本人に対して負う義務と同等の措置が継続的に確保されるよう努めています。
外的環境の把握について
当社は、前項までのとおり日本国外の事業者に個人データの取扱いを委託しており、これらの国における個人情報の保護に関する制度を把握したうえで、安全管理措置を講じています。
- 前項までに掲げる委託先は、本ポリシーの制定日または最終の改定日の時点におけるものです。当社は、本サービスの提供に必要な範囲において、委託先を追加し、変更し、または削除することがあります。この場合、当社は合理的な期間内に本ポリシーの記載を更新するよう努めます。
- 委託先がさらに第三者に業務の一部を再委託する場合、当社は委託先を通じて必要かつ適切な監督を行います。ただし、当社は、当該再委託先の名称その他の個別の情報を本ポリシーにおいて開示せず、また、これらを継続的に把握する義務を負いません。
- 最新の委託先については、第12条の窓口までお問い合わせいただければ、当社が把握する範囲でご回答します。
第7条（外部サービスの取扱い）
本サービスと連携し、または本サービスから遷移する外部のサービスにおける情報の取扱いについては、本ポリシーは適用されず、当該サービスの提供者が定める規定に従います。利用企業および利用者は、当該サービスをご利用になる前に、その内容をご確認ください。
第8条（安全管理措置）
当社は、個人情報の漏えい、滅失または毀損の防止その他の安全管理のため、次の措置を講じています。
- 利用企業ごとにデータを分離し、他の利用企業のデータを参照できない仕組みを設けています
- 役割に応じて、参照および操作できる範囲を制限しています
- 通信を暗号化しています
- アクセスの記録を保存し、定期的に点検しています
- 障害を検知した場合に通知が届く仕組みを設けています
- 個人情報を取り扱う者を、業務上必要な範囲に限定しています
第9条（保存期間）
- 当社は、契約の終了後90日間、顧客コンテンツおよび利用に関する記録を保存します。
- 前項の期間の経過後、当社はこれらを利用できない状態とします。その後、当社の判断により、またはお客様のご請求により削除します。ただし、動画は、前項の期間が経過した時点で自動的に削除します。
- 無料トライアル期間の終了後に有料契約へ移行されなかった場合も、前2項と同様の取扱いとなります。
- 前3項にかかわらず、当社は、その判断により、第1項の期間の経過前にこれらを削除することがあります。
- 当社は、契約の期間中であっても、次の情報を次の期間の経過後に削除します。有効期限の切れた招待（招待先のメールアドレスおよび氏名を含みます）は有効期限の日から30日、お知らせは作成の日から1年、AI機能の利用の記録は作成の日から13か月とします。
- 当社は、障害や誤操作からの復旧に備えて、顧客コンテンツおよび利用に関する記録の控え（バックアップ）を保管します。第1項から前項までの定めまたは第10条のご請求により削除したものは、控えからは削除の日から40日以内に消去されます。ただし、月末時点の控えは作成の日から1年間保管し、その後消去します。操作の記録（いつ・誰が・何をしたか）の控えは、作成の日から400日間保管し、その後消去します。控えは、障害等からの復旧の目的（操作の記録の控えについては、不正の調査の目的を含みます）以外には利用しません。
- 前各項にかかわらず、法令に基づき保存が必要な情報については、当該法令が定める期間保存します。
第10条（開示、訂正、利用停止等の請求）
- ご本人またはその代理人から、保有個人データの開示、訂正、追加、削除、利用の停止、消去または第三者提供の停止のご請求があった場合、当社は法令に従い、遅滞なくこれに対応します。
- ご請求は、第12条の窓口までご連絡ください。ご本人であることを確認させていただいたうえで対応します。
- 当社が当該情報を保有していない場合、または法令上開示の義務を負わない場合は、この限りではありません。
- 利用者は、本サービスの画面から、ご自身のアカウントを削除することができます。削除の手続をすると、直ちに本サービスをご利用いただけなくなり、30日を経過した後に、ログインに用いる情報、氏名およびメールアドレス等の個人を識別できる情報を消去します。利用企業における教育の記録（閲覧の記録、確認テストの結果、レポート等）は、個人を識別できない形で、退会したメンバーの記録として当該利用企業に残ります。この30日の間は、当社にご連絡いただくことで、元に戻すことができます。
第11条（クッキー等の利用）
本サービスは、ログイン状態の維持および利用状況の把握のためにクッキーを利用します。ブラウザの設定によりクッキーを無効にすることができますが、その場合、本サービスの一部または全部をご利用いただけません。
第13条（本ポリシーの変更）
- 当社は、法令の改正または本サービスの内容の変更に伴い、本ポリシーを変更することがあります。
- 変更後の内容は、本サービス上または当社ウェブサイト上に掲示した時点から効力を生じます。ただし、利用企業に重大な影響を及ぼす変更を行う場合は、効力発生の30日前までに通知します。