プライバシーポリシー

当事業者は、本サービスの提供にあたり、以下の情報を取得します。

• 登録情報: 氏名、ふりがな、メールアドレス、電話番号、所属組織名、業種、想定利用人数、役職など
• 認証情報: パスワード（ハッシュ化して保存）、Google アカウント識別子（Google OAuth 経由でのログイン時）
• 業務データ: 領収書・請求書の画像、OCR 抽出結果（取引先・金額・日付・税区分等）、勘定科目、部署・店舗、ユーザー入力の各種テキスト
• 決済情報: 請求書送付先メール、住所、会社名、課税情報、決済代行事業者の顧客 ID（カード番号等の機微な決済情報は当事業者サーバーには保存せず、PCI DSS 準拠の決済代行事業者にて安全に管理）
• 利用ログ: アクセス日時、操作履歴（監査ログ）、IP アドレス、ユーザーエージェント、Cookie 識別子

当事業者は、取得した情報を以下の目的で利用します。

• 本サービスの提供・運用・本人認証
• 領収書・請求書のOCR処理および会計データへの変換
• 料金の計算・請求・督促・入金管理
• 本サービスの改善、新機能の開発、不具合の調査
• 当事業者からの重要なお知らせ、機能のご案内、アンケート等の送付
• 規約違反、不正利用、犯罪行為の検出・防止
• お問い合わせへの対応
• その他、上記利用目的に付随する目的

当事業者は、利用者本人の同意がある場合または法令に定める場合を除き、個人情報を第三者に提供しません。次の場合は第三者提供に該当しないものとして取り扱います。

• 本サービス運営に必要な業務を委託する場合（後述「委託先」）
• 事業の承継に伴って提供される場合
• 共同利用する場合（その旨を別途お知らせします）

当事業者は、本サービスの提供にあたり、以下の業務を外部事業者に委託しています。各委託先は適切な情報管理体制を有することを当事業者が確認し、契約により安全管理措置を講じる旨を定めています。

• アプリケーションのホスティング基盤
• データベース・ファイルストレージ・認証基盤
• ログイン認証および OCR / AI 解析処理
• クレジットカード決済
• トランザクションメール配信
• 請求書発行・会計処理（請求書払いの場合）

委託先の具体的な事業者名は、法令上の要請があった場合または合理的な理由をお示しいただいたお問い合わせがあった場合に、書面または電子メールにて開示いたします。

上記委託先には、日本国内に所在する事業者のほか、米国に所在する事業者が含まれます。米国所在の委託先のサーバーに個人情報を保管・処理することがあります。各委託先とは個人情報保護法令に基づく契約を締結し、安全管理措置を講じています。

米国における個人情報の保護に関する制度は、カリフォルニア州消費者プライバシー法（CCPA）等を含み、各州法および連邦法により規律されています。具体的な移転先国および各国の個人情報保護制度の詳細は、お問い合わせいただけば書面でご案内いたします。

当事業者は、個人情報の漏えい、滅失、毀損の防止その他安全管理のため、以下の措置を講じています。

• 通信は HTTPS（TLS）で暗号化
• パスワードはソルト付きの一方向ハッシュ関数（scrypt）で変換して保存し、平文では保持しません（旧方式で保存されたものは次回ログイン時に自動的に移行します）
• サービス間通信および管理操作はトークン・APIキーで認証
• マルチテナント基盤による組織間データ分離（アプリケーション層でテナント境界を強制し、データベース層でも Row Level Security を有効化）
• 管理者操作の監査ログ記録
• 従業員に対する個人情報保護教育の実施

当事業者は、利用者が本サービスに登録した領収書・請求書の画像、OCR 結果、取引データ等の業務データの内容を、通常の運営業務において閲覧することはありません。当事業者がこれらのデータの内容にアクセスするのは、以下の場合に限られます。

• 利用者からのサポート・お問い合わせへの対応に必要な場合（原則として利用者の同意または依頼に基づきます）
• システム障害・不具合の調査または復旧に必要な場合
• 法令に基づく要請、または裁判所その他公的機関の命令に対応する場合
• 規約違反、不正利用、犯罪行為の検出・防止のために必要かつやむを得ない場合

これらのアクセスは必要最小限の範囲に限定し、当事業者の従業員による操作は監査ログに記録します。なお、OCR 処理等の自動処理は人手を介さずシステムにより実行されるものであり、当事業者の従業員がその過程で個々のデータ内容を閲覧するものではありません。

本サービスでは、Cookie および類似技術を以下のカテゴリに分けて使用します。初回アクセス時に画面下部に表示されるバナーから、またはクッキー設定からいつでも同意状態を変更できます。

• 必須 Cookie（同意取得不要）: ログインセッションの維持、CSRF 対策、セキュリティトークン等。これらは本サービスの提供に必要不可欠なため利用者の同意なしに使用します。
• 分析 Cookie（同意取得後に有効化）: ページ閲覧数、機能利用状況、エラー発生状況等の統計収集。サービス改善を目的とし、個人を特定する情報は含めません。
• マーケティング Cookie（同意取得後に有効化）: 広告効果測定、リターゲティング広告の配信。第三者の広告配信事業者へ識別子（Cookie ID 等）が送信されることがあります。

ブラウザの設定により Cookie の受け入れを拒否することもできますが、その場合は本サービスの一部機能（ログイン状態の維持等）が利用できなくなる場合があります。

電気通信事業法に基づく「外部送信規律」への対応として、第三者のサーバーに送信される情報の項目・送信先・利用目的は、上記カテゴリの説明をもって公表しています。

• 登録情報・業務データ: 利用契約期間中。退会後は90日間保管した後、速やかに削除します。
• 監査ログ: 取得から最低1年間保管します。
• 請求関連情報: 法令に基づく保存義務（最大7年）に従い保管します。

利用者は、当事業者が保有する自己の個人情報について、開示・訂正・追加・削除・利用停止・第三者提供の停止を請求できます。請求は本ポリシー末尾の「お問い合わせ窓口」まで連絡してください。本人確認のうえ、合理的な期間内に対応します。

本サービスは事業者向けサービスであり、未成年者の利用は想定していません。万一未成年者が利用する場合は、保護者の同意を得たうえで利用してください。

当事業者は、必要に応じて本ポリシーを変更することがあります。変更後の本ポリシーは、本サービス上に掲載した時点から効力を生じるものとします。

本サービスにおける個人情報取扱事業者は以下のとおりです。

• 名称：株式会社トスライズ
• 所在地：愛知県名古屋市中村区名駅４丁目24番5号 第2森ビル 401
• 代表者：代表取締役 山本 庸介

本ポリシーに関するお問い合わせ、開示請求等は、以下の窓口までご連絡ください。

support@sugukeihi.jp