KANATA プライバシーポリシー

1. はじめに

Third Scope Asia PTE. LTD.（以下「当社」といいます。）は、お客様の個人情報の保護に取り組んでいます。本プライバシーポリシー（以下「本ポリシー」といいます。）は、当社が提供するサービス「KANATA」（以下「本サービス」といいます。）の利用に際して、個人情報の収集、利用、第三者提供、保護および保管について説明するものです。本ポリシーに係る法務およびプライバシーに関する事項は、当社の親会社である株式会社サードスコープ（日本法人）が管轄します。

本ポリシーは、日本国の個人情報の保護に関する法律（以下「個人情報保護法」といいます。）を主たる準拠法として策定されています。本サービスは世界各国のユーザーが利用可能であり、本ポリシーは、欧州経済領域、英国、米国など、ユーザーが居住する各法域の個人情報・データ保護に関する法令にも対応・遵守いたします。

本ポリシーは、KANATA 利用規約（以下「利用規約」といいます。）の不可分の一部を構成します。本ポリシーにおいて定義されていない用語は、利用規約における定義に従うものとします。

本サービスには、オンライン会議に録画ボットを同席させ、録画・文字起こし・議事録の生成を行う「AI レコーディング」機能が含まれます。この機能では、本サービスのご利用者ではない会議参加者の個人データを取り扱うことがあります。該当する方は、第17章および第18章をご参照ください。

2. 個人情報保護管理者およびお問い合わせ窓口

当社は、個人情報保護法に基づき、個人情報保護管理者を選任しています。個人情報の取扱いに関するお問い合わせ、苦情または各種請求は、以下までご連絡ください。

3. 各法域における拠点および代理人

DataRep に郵送でご連絡される場合は、宛名を必ず「DataRep」としてください。当社宛の表記で送付されたものは、DataRep に受領されないおそれがあります。

4. 収集する個人情報

当社は、本サービスの提供に際して、以下のカテゴリの個人情報を収集することがあります。米国にお住まいのユーザーのため、米国州法上の対応カテゴリも併せて表示しています。

5. 処理の法的根拠

5.1　全ユーザー

個人情報保護法に基づき、当社は個人情報の利用目的を特定し（第17条）、その目的の達成に必要な範囲を超えて個人情報を取り扱うことはありません。同意はサービス登録時に取得します。利用停止または提供停止の請求については第13章をご参照ください。

5.2　欧州経済領域および英国

EEA および英国にお住まいのユーザーに対しては、以下の法的根拠に基づき個人データを処理します。

正当な利益に基づく処理については、お客様の権利および自由が侵害されないことを確認するための利益衡量テストを実施しています。

5.3　米国

米国の州プライバシー法において、当社は本サービスに関連してお客様の個人情報を処理する際には「事業者」または「管理者」として行動します。企業ユーザーに代わり個人情報を処理する場合は、「サービスプロバイダー」または「処理者」として行動します。

6. 個人情報の利用目的

当社は、個人情報を以下の目的で利用します。

• 本サービスの提供、運営および維持（アカウント作成、本人確認、カスタマーサポートを含む）
• 請求および決済処理（適用される税額の判定を含む）
• 本サービスの改善、新機能の開発および品質向上（利用パターンの分析を含む）
• セキュリティの確保、不正利用の防止および検知
• 適用法令および規制要件の遵守
• サービスに関するお知らせおよび更新の通知
• オンライン会議の録音・録画、文字起こしおよび議事録の生成、ならびに生成された議事録のライブラリへの蓄積と他のアプリからの参照

当社は、上記の目的の達成に必要な範囲を超えて個人情報を利用することはありません（データ最小化の原則）。

7. 同意および同意の撤回

当社は、サービスへの登録時に本ポリシーへの同意を得ることで、お客様の同意を取得します。個人情報保護法において別途同意が必要な事項（第三者提供や要配慮個人情報の取扱い等）については、個別に同意を取得します。

お客様は、いつでもお問い合わせ窓口（第2章）または本サービス内の「プライバシー設定」ページから同意を撤回することができます。なお、同意の撤回により、本サービスの全部または一部を提供できなくなる可能性があります。

8. 第三者提供および委託

当社は、以下の場合に限り、個人情報を第三者に提供することがあります。

• サービス提供者（委託先）: クラウドホスティング、データベース、認証基盤、分析、メール配信、AI サービスプロバイダー。個人情報保護法上、これらは取扱いの委託に該当し、「第三者提供」には該当しません
• 販売主体（Link／Stripe）: 決済に関する情報。Link は当社の委託先ではなく、独立した管理者です。当社から Link への情報の提供は、個人情報保護法上、委託ではなく第三者提供として整理されます。詳細は第19章をご参照ください
• 法令に基づく場合: 法令により要求された場合、または裁判所、規制当局、法執行機関からの要請に応じる場合
• 事業承継: 合併、買収、事業譲渡に伴う場合
• お客様の同意がある場合: 事前にお客様の同意を得た場合

当社が利用する委託先（副処理者）の一覧は、当社ウェブサイトのサブプロセッサ一覧において、事業者名、所在国、処理の目的、処理するデータおよび保護措置とともに公開しています。当社は、副処理者を追加または変更する場合、変更の効力発生日の30日前までにウェブサイト上で公表します。

当社は、委託先に対し、適用法令に従った適切な安全管理措置を義務付ける契約を締結しています。

9. 個人情報の販売および共有

当社はお客様の個人情報を販売しません。また、クロスコンテキストの行動ターゲティング広告の目的で第三者に個人情報を提供することもありません。

本サービスの提供に必要な目的を超えて、お客様の同意なくセンシティブな個人情報を処理することはありません。将来この方針が変更される場合は、本ポリシーを更新し、必要なオプトアウトの仕組みを提供します。

10. 越境データ移転

本サービスはグローバルに提供されるため、個人情報が日本国外に移転されることがあります。主な移転先と保護措置は以下のとおりです。

• 日本: 個人情報保護法に基づき、外国にある第三者に個人データを提供する場合、事前にお客様の同意を得るか、受領者が個人情報保護委員会規則に定める基準に適合する体制を整備していること、または同等の保護水準を有すると認められた国に所在することを確認します
• EEA および英国: 標準契約条項（SCCs 2021/914）および英国国際データ移転付属文書（UK Addendum）を実施し、移転影響評価を行っています
• その他の法域: データ処理契約またはその他の法的拘束力のある文書を締結し、適切な保護水準を確保します

11. データセキュリティ

当社は、個人情報保護法が求める安全管理措置（組織的、人的、物理的および技術的措置）に従い、以下を含むセキュリティ対策を実施しています。

• 通信時（TLS 1.2 以上）および保管時（AES-256）のデータ暗号化
• アクセス制御、ロールベースのアクセス管理および多要素認証
• テナント分離
• 定期的な脆弱性スキャン、セキュリティ評価および監査
• 従業員に対する個人情報保護に関する教育・研修

インターネット上の伝送方法や電子的な保存方法は完全に安全ではなく、絶対的なセキュリティを保証することはできません。

12. データ保管期間

当社は、収集目的の達成に必要な期間、または法令により必要な期間、個人情報を保管します。主な保管期間は以下のとおりです。

契約終了後、当社は上記の期間の経過後に、ユーザーデータを削除または匿名化します（法令により保管が義務付けられている場合を除きます）。

13. お客様の権利

お客様は、ご自身の個人情報について、以下の権利を行使することができます。各権利の適用は、お客様の居住地に基づく適用法令によります。

* 全ての米国州で利用可能とは限りません。　** 個人情報保護法に基づき、電磁的記録による開示が可能です。　*** 州司法長官を通じた申立となります。

13.1　権利行使の方法

• メール: ga@third-scope.com
• ウェブフォーム: 本サービス内の「プライバシー設定」ページから

お客様の本人確認を行った上で請求を処理いたします。回答に要する期間は30日以内となります。

お客様が法人顧客の従業員その他の関係者である場合、当社は処理者として個人データを取り扱っているため、まず当該法人（管理者）にご連絡いただくようご案内することがあります。会議参加者としてご請求される場合は、第18章をご参照ください。

各国の個人情報保護法に基づき、開示請求については手数料をいただく場合があります。手数料の金額は請求時にお知らせいたします。米国のユーザーは、代理人を通じた請求も可能です。

13.2　監督当局

当社の対応にご納得いただけない場合、以下の監督当局に苦情を申し立てることができます。

• 日本: 個人情報保護委員会（PPC）— https://www.ppc.go.jp
• EEA: お住まいの加盟国のデータ保護監督当局 — https://edpb.europa.eu/about-edpb/about-edpb/members_en
• 英国: Information Commissioner’s Office (ICO) — https://ico.org.uk
• 米国: お住まいの州の司法長官事務所

14. ユニバーサル・オプトアウト・メカニズム

当社は、Global Privacy Control（GPC）を含む、ブラウザベースのユニバーサル・オプトアウト・メカニズム信号を認識し、尊重します。お客様がこのような信号を送信するブラウザまたはデバイスで本サービスにアクセスした場合、適用法令に従った有効なオプトアウト請求として取り扱います。

15. Cookie およびトラッキング技術

本サービスでは Cookie および同様の技術を使用しています。詳細は当社の Cookie ポリシー（https://kanata-ai.com/ja/cookie-policy/）をご参照ください。EEA および英国のユーザーに対しては、必須でない Cookie の設置に先立ち、Cookie 同意バナーを通じて同意を取得します。

16. 生成 AI に関する特別規定

KANATA は、生成 AI 技術を使用してコンテンツを作成します。以下の規定が適用されます。

• ユーザーが入力したテキストおよびアップロードしたコンテンツは、コンテンツ生成の目的で第三者の AI サービスプロバイダーに送信されることがあります。当社が現在利用している AI サービスプロバイダーは、OpenAI, LLC、Anthropic PBC および Google LLC です。
• 当社は、ユーザーの入力データおよび生成物を AI モデルのトレーニング目的で使用することはありません。上記の AI サービスプロバイダーとの間においても、API 経由で送信されたデータをモデルの学習に用いない旨を契約上確保しています。
• AI サービスプロバイダーに送信された入力および出力のデータは、各社側において30日以内に削除されます。
• 当社は、送信するデータを処理に必要な範囲に限定し（データ最小化）、プロンプトインジェクション対策および出力のフィルタリングを実施しています。
• 生成されたコンテンツには、事実と異なる記述、脱落その他の誤りが含まれることがあります。当社は、生成物の正確性、完全性および特定の目的への適合性を保証しません（利用規約 第12条5項・6項）。
• 欧州連合の AI に関する規則（AI Act）第50条に基づき、当社は、ユーザーが AI システムと対話していること、および出力が AI により生成されたものであることを、本サービスの画面上に表示します。

EEA および英国のユーザーに対しては、本処理の法的根拠は契約の履行または同意となります。個人情報保護法上は、本処理は第6章に定める利用目的の範囲内です。

17. AI レコーディングに関する特別規定

AI レコーディングは、Zoom や Google Meet などのオンライン会議に録画ボットを同席させ、録画、文字起こしおよび議事録の生成を行う機能です。手元にある録音・録画ファイルを取り込むこともできます。この機能では、通常のサービス利用よりも広い範囲の個人データを取り扱うため、本章に個別の規定を置きます。

17.1　収集するデータ

• 会議の音声および映像
• 会議の参加者の氏名または表示名
• 会議のタイトル、日時、参加者一覧、ミーティング URL
• 発言内容の文字起こし、および発言者の帰属
• 生成された議事録・要約
• 手動でアップロードされた録音・録画ファイルおよびその内容

17.2　当社の立場

お客様が法人その他の団体である場合、会議の録音・録画データおよびそこから生成される文字起こし・議事録について、当社は処理者（個人情報保護法上は委託を受けた者）として、管理者であるお客様の指示に基づいて処理します。会議参加者への告知および適用法令上必要な同意の取得は、管理者であるお客様の責任です。詳細は「AI レコーディング利用条件」および「データ処理契約（DPA）」に定めます。

17.3　処理の経路

17.4　保管期間および削除

録画データ、音声データ、文字起こしおよび議事録は、アカウントの存続中および契約終了後30日間保管され、その後削除されます。お客様は、本サービスの画面上から個々の会議の記録をいつでも削除することができます。

17.5　議事録の共有範囲

生成された議事録は、当該プロジェクトのライブラリに蓄積され、同じプロジェクトのメンバーが閲覧できるほか、AI チャットからの参照の対象となります。会議に参加していないメンバーであっても、当該プロジェクトのメンバーであれば内容にアクセスできる場合があります。この共有範囲は、お客様（管理者）がプロジェクトの設定により管理するものです。

17.6　精度について

文字起こしおよび議事録には、聞き取りの誤り、専門用語の誤変換、発言者の誤った帰属、内容の脱落が含まれることがあります。当社はその正確性を保証しません。

18. 会議参加者など、当社と直接の契約関係にない方の個人データ

AI レコーディングをご利用のお客様が主催または参加する会議に、当社と直接の契約関係にない方が参加されることがあります。この場合、当社は、当該会議の音声・映像、氏名または表示名、発言内容を取り扱います。

18.1　取得の経路と法的根拠

当社は、これらの個人データをご本人から直接ではなく、当社のお客様を通じて取得します。当社は処理者としてこれを取り扱い、管理者は当該会議を主催・記録した当社のお客様（法人顧客）です。録音・録画の告知および適用法令上必要な同意の取得は、管理者の責任において行われます。

18.2　録画中であることの表示

録画ボットは、会議の参加者一覧に表示される名称で入室し、録画が行われていることが会議参加者に認識できるようにしています。会議プラットフォームの仕様により、参加時に通知が表示される場合があります。

18.3　ご本人からのご請求

会議参加者として録音・録画された方が、ご自身のデータの開示、削除その他の権利を行使される場合、次のいずれかの方法をご利用ください。

• 当該会議を主催した組織（当社のお客様）にご連絡いただく方法。当社は処理者であるため、原則として管理者を通じてのご対応となります。
• 当社の窓口（第2章）に直接ご連絡いただく方法。この場合、当社は管理者である当社のお客様に速やかに取り次ぎ、管理者の指示に従って対応します。

当社は、ご請求を受けた場合、ご本人であることの確認を行ったうえで、適用法令が定める期間内に対応します。

18.4　録音への異議

会議の場で録音・録画に異議を述べられた場合、その会議の記録を停止し、または既に記録された内容を削除する判断は、会議を主催する当社のお客様が行います。当社は、お客様がその判断を実行できるよう、記録の停止および削除の手段を提供します。

19. 決済サービス（Link）について

19.1　販売主体

BUSINESS プランおよび追加クレジットの決済には、Stripe が提供する Managed Payments を利用しています。この仕組みでは、Stripe（お客様に対しては「Link」の名称で表示されます）が販売主体（merchant of record）となります。対価の受領、領収書および請求書の発行、返金、ならびに消費税等の徴収および納付は、原則として Link が行います。

本サービスそのものは、当社が提供します。

19.2　当社と Link の関係

Link は、当社の指示に従って個人データを処理する委託先（処理者）ではありません。Link は、自らの名で販売し、自ら税を申告し、お客様と直接の関係（Link アカウント）を持ちます。したがって当社は、Link を独立した管理者として取り扱います。

決済に際してお客様が Link に提供された情報の取扱いは、Link が定めるプライバシーポリシーによります。当該情報について、当社は管理者としての責任を負いません。

19.3　当社が受け取る情報

当社は、決済に関連して Link から次の情報を受け取り、請求の管理およびご契約の状態の把握のために利用します。

• 氏名、メールアドレス
• 請求先住所、税務登録番号（VAT／GST 番号等）
• 取引の履歴、およびご契約の状態（有効・支払い再試行中・終了）

クレジットカード番号は当社に提供されず、当社のサーバーに保存されることはありません。

19.4　Link アカウント

お客様は、決済に際して Link のアカウントを作成することも、作成せずにゲストとして購入することもできます。Link のアカウントをお持ちの場合、link.com において、ご注文履歴の確認、ご契約の解約、お支払い方法および請求先住所の変更を行っていただけます。

領収書、請求書、返金のご案内、およびご契約の更新に関するお知らせは、Link からお客様に直接送信されます。

19.5　Link に対するデータの削除請求

Link に対してご自身の情報の削除をご請求いただいた場合、Link は次を行います。

• Managed Payments を通じたご契約（サブスクリプション）の解約
• 決済に関するデータの削除（当社の Stripe アカウント内に保存されているものを含みます）
• 当社への通知

この結果、本サービスのご契約も終了し、ご購入いただいたシートはすべて消滅します。本サービスのご利用を継続したまま、決済に関する情報のみを削除することはできません。当社は、このご請求を止めることができません。

19.6　越境移転

決済に関する情報は、Link および Stripe の関連会社を通じて日本国外に移転されます。決済の取得は、Stripe Payments Company または Stripe Technology Europe, Limited が行います。

20. 子供のプライバシー

本サービスは主に事業用途を対象としており、子供を対象としたものではありません。

• 13歳未満: 当社は、13歳未満の子供から意図的に個人情報を収集することはありません。収集が判明した場合は、適用法令に従い速やかに削除します。
• 16歳未満: 当社は、16歳未満の未成年者の個人情報を、適用法令に従い、販売または共有することはありません。

21. データ保護影響評価

当社は、個人の権利および自由に高いリスクをもたらす可能性のある処理活動について、データ保護影響評価を実施しています。対象には、生成 AI によるコンテンツ処理機能、および AI レコーディングによる会議の録音・録画と文字起こしを含みます。評価結果は、関連する監督当局の要請に応じて提供いたします。

22. データ侵害対応

データ侵害が発生した場合、当社は侵害の範囲および影響を速やかに評価し、適用法令が定める期限に従って監督当局に報告するとともに、本人への通知を遅滞なく実施いたします。主な期限は以下のとおりです。

当社の社内対応手順は、上記のうち最も短い期限（72時間）に合わせて設計しています。

23. 財務インセンティブ

当社は、個人情報の収集、保管、販売または共有に関連する財務インセンティブプログラムを提供していません。

24. 本ポリシーの変更

当社は、本ポリシーを随時更新することがあります。更新後のポリシーはウェブサイト上で公開します。重要な変更の場合、メールまたはアプリ内通知でお知らせします。ユーザーに対して、重要な変更により新たな法的根拠が必要となる場合は、変更の発効前に同意を取得します。

25. 苦情およびお問い合わせ

本ポリシーについてご質問、苦情または懸念がある場合は、お問い合わせ窓口（第2章）までご連絡ください。当社の対応にご納得いただけない場合は、関連する監督当局に苦情を申し立てることができます（第13.2章）。

26. 準拠法

本ポリシーは、日本国の法律に準拠します。本ポリシーに起因しまたは関連する紛争は、利用規約 第29条に従い解決されるものとします。なお、本準拠法条項は、お客様の居住地において適用される強行的なデータ保護法令に基づく権利を制限するものではありません。

別紙　データ保護代理人（DataRep）の連絡先一覧

当社は、GDPR 第27条および UK GDPR 第27条に基づくデータ保護代理人として DataRep を選任しています。欧州経済領域、英国またはスイスにお住まいのお客様は、お住まいの国の下記住所宛に、書面によりご連絡いただけます。

郵送される場合は、宛名を必ず「DataRep」としてください。当社（Third Scope Asia PTE. LTD.）宛の表記で下記住所に送付されたものは、DataRep に受領されないおそれがあります。本文中に、当社の名称と「KANATA」に関するご連絡である旨を明記してください。