プライバシーポリシー

当方が扱う情報は、性質の異なる2種類に分かれます。

• お客様ご自身の情報 — アカウントのメールアドレス、ログイン履歴、プロジェクトの設定など。 当方がこれらの管理者（個人情報取扱事業者）です。
• お客様がお預けになるテレメトリデータ — お客様のサービスをお使いの方の情報が含まれることがあります。これについて 当方はお客様からの委託を受けて取り扱う立場（個人情報保護法27条5項1号の委託先）であり、利用目的を独自に決めることはしません。

このほか、テレメトリデータを受け付けるサーバーの手前に置いた CDN で、 アクセスログを記録しています。これについては第4項に定めます。

また、お客様がアップロードするソースマップ（およびそこから当方が作成するキャッシュ）を お預かりします。ソースマップには、お客様のソースコードが含まれることがあります。 ソースマップは、テレメトリデータの発生箇所を元のソースコード上の位置に戻して表示し、 同じエラーをまとめるためにのみ使用します。保存期間は第4項に定めます。

お客様ご自身の情報は、ログイン、お客様へのご連絡、ご請求、および不正利用の防止のために 利用します。これらの情報の開示、訂正、利用の停止等をご希望の場合は、kromise@jugoya.aiまでご請求ください。ご本人であることを確認したうえで、遅滞なく対応します。

個人情報取扱事業者: JUGOYA.AI（代表 中平 善文）。住所は、請求があった場合に遅滞なく開示します。 窓口: kromise@jugoya.ai

何が含まれるかを決めるのは、お客様のアプリケーションと SDK の設定です。 当方の側で内容を選別することはしません。一般に次のものが含まれます。

• 例外の種類とメッセージ、スタックトレース、発生箇所
• SDK が自動的に付与する情報（ブラウザ、OS、リクエストされた URL など）
• お客様が SDK に設定した利用者の識別子やメールアドレス
• エラーに至るまでの操作の記録（ブレッドクラム）
• 性能の計測（処理にかかった時間、画面の表示にかかった時間など）
• セッションの開始と終了、およびその間にエラーが起きたかどうか
• お客様のアプリケーションが送るログ、定期実行の監視（チェックイン）の記録
• お客様が SDK で有効にした場合、添付ファイルと画面の再生記録（リプレイ）

エラーのメッセージ自体に、利用者を識別しうる文字列が含まれることがあります。たとえば「利用者 ○○@example.com が見つかりません」といった内容です。送信される 内容の設計はお客様の側にありますので、必要のない情報を送らない設定をおすすめします。

画面の再生記録（リプレイ）には、画面に表示された文字や入力された内容が含まれることがあります。どこを伏せ字にするかは SDK の設定で決まり、その設定はお客様の側にあります。

お預かりした記録は、次の目的にのみ使用します。

• お客様に対してテレメトリデータの内容を表示し、検索・集計できるようにすること
• お客様が設定した通知を送ること
• 障害対応、不正利用の検知、および利用量の算定

お預かりした記録を、統計の作成を含め、上記以外の目的に使うことはありません。当方の製品やサービスの改善に使うことも、機械学習の学習データとして 使うこともありません。

お預かりした記録の保存と処理は、東京リージョン（ap-northeast-1）で行います。 送信の受け口に CDN（Amazon CloudFront）を使用しているため、通信の暗号化は送信元に近い拠点で解かれ、 東京へ転送されます。保存期間は次のとおりで、経過後は自動的に削除します。

• テレメトリデータ — 30 日
• アクセスログ — 30 日
• 受け口の動作ログ — 14 日
• ソースマップ（アップロードされたファイルと、そこから作成したキャッシュ） — 最後に使われてから 90 日（一度も使われなかった場合はアップロードから）

テレメトリデータを受け付けるサーバー（公開デモを含みます）の手前に置いた CDN （Amazon CloudFront）で、リクエストごとのアクセスログを記録しています。 アクセスログには、接続元の IP アドレス、ユーザーエージェント、リクエストされた URLが含まれます。保存場所は東京リージョンです。 アクセスログはセキュリティの確保と不正利用の防止のためにのみ使用し、 30 日が経過した後に自動的に削除します。それ以外の目的には使用しません。

当方は、クロミスの提供に次の事業者の設備を利用しています（一覧は委託先一覧と安全管理措置のページにも掲載しています）。各事業者との契約で 定められた取扱いの範囲は、以下のとおりです。また、当方でも、保存された内容に アクセスできる者を限定しています。

• Amazon Web Services — テレメトリデータの保存と処理。東京リージョン。 AWS は、サービスの維持・提供に必要な場合と法令に基づく場合を除き、保存された内容に アクセスせず、利用もしない旨を契約で定めています。
• Supabase（SUPABASE PTE. LTD.、シンガポール） — アカウント情報および、テレメトリデータを一覧・検索するための索引。設備は東京リージョンです。 当方の指示に基づいて処理する旨を定めたデータ処理契約（DPA）に基づいて 利用しています。
• Vercel（Vercel Inc.、米国） — ウェブサイトと管理画面の配信。お預かりしたテレメトリデータが Vercel を通ることはありません。
• Cloudflare（Cloudflare, Inc.、米国） — アカウント登録時のボット対策（Turnstile）。認証の提供開始時から利用します。

Supabase は外国にある事業者のため、索引に含まれる個人データの取扱いには 個人情報保護法28条がかかります。この再委託に伴う越境の措置は、当方が講じます。具体的には、同法施行規則16条1号に基づく契約上の措置をとり、同規則18条に基づき、 Supabase による措置の実施状況とシンガポールの制度を年1回以上確認します。 ご本人から求めがあった場合は、同条3項に定める事項を遅滞なくお知らせします。

お客様がクロミスにテレメトリデータをお預けになることについて、お客様の側で 28条の手続きをとっていただく必要はありません。あわせて、上記のとおり再委託先の越境については当方が28条3項の措置を講じ、 お客様が委託先を監督する（同法25条）ために必要な資料をご提供します。

外国の制度について。索引の取扱いに関わるシンガポール、およびウェブサイトの配信に関わる米国の 個人情報保護制度については、個人情報保護委員会が公表している各国の調査結果 （シンガポール、米国） を確認したうえで、安全管理措置を講じています。

お客様ご自身のアカウント情報については、アカウントの登録時に、移転先の国名、 その国の制度、移転先が講じる措置をお示ししたうえで同意をいただきます。

委託先の追加・変更は、変更の14日前までに委託先一覧のページで周知し、 ご登録のメールアドレス宛にお知らせします（セキュリティ上の緊急時は事後に遅滞なく）。 そのほかの安全管理措置については、kromise@jugoya.ai までお問い合わせいただければ 遅滞なく回答します。

お預かりした記録を第三者に提供することはありません。ただし、法令に基づく開示の 求めがあった場合を除きます。その場合、法令上可能な限り、お客様にお知らせします。

お客様は、いつでもご自身のプロジェクトのデータの書き出しと削除を求めることが できます。kromise@jugoya.ai までご連絡ください。

お客様のサービスをお使いの方から、当方に直接ご請求をいただいた場合は、 当方が受託者である旨をお伝えしたうえで、お客様にお取り次ぎします。当方の側で内容を判断してお答えすることはありません。

お預かりした記録の漏えい、滅失、毀損が判明した場合、お客様ご自身が法令上の報告 義務を果たせるよう、判明している事実をお客様にお知らせします。

第一報は、当方が事態を知った時から72時間以内にお送りします。再委託先から通知を受けた時点も、当方が知った時に含みます。 その後も、新たな事実が判明するたびにお知らせします。連絡の方法はサポートと SLA のページに定めます。

内容を改定する場合は、改定後の内容と改定が効力を生じる日を定め、 その日の14日前までにこのページで周知し、あわせてご登録のメールアドレス宛に お知らせします。