委託先一覧と安全管理措置

• Amazon Web Services — テレメトリデータ（お客様のアプリケーションに組み込んだ SDK が送信する、エラー、性能の計測、セッション、ログなどのデータ。以下同じ）の受信・保存・処理。東京リージョン（ap-northeast-1）。
• Supabase（SUPABASE PTE. LTD.、シンガポール） — テレメトリデータを一覧・検索するための索引、およびアカウント情報。設備は東京リージョン。
• Vercel（Vercel Inc.、米国） — ウェブサイトと管理画面の配信。 お預かりしたテレメトリデータは通りません。
• Cloudflare（Cloudflare, Inc.、米国） — アカウント登録時のボット対策（Turnstile）。認証の提供開始時から利用します。

委託先を追加・変更する場合は、変更の14日前までにこのページで周知し、 ご登録のメールアドレス宛にお知らせします。ただし、セキュリティ上の理由で緊急に変更する必要がある場合は、変更を先に行い、 その後遅滞なくお知らせします。

Supabase への索引の再委託に伴う越境の措置は、プライバシーポリシーに記載のとおり クロミスが講じます。

個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」 別添10の項目に沿って記載します。クロミスは個人事業として運営しており、 運営者は1名です。

お預かりしたテレメトリデータは、その受信・保存・表示、お客様が設定した通知、 ならびにそのために必要な障害対応・不正利用の検知・利用量の算定のためにのみ使用し、統計の作成、製品の改善、機械学習には使用しません。この方針は利用規約と プライバシーポリシーに定めています。

• データの保存・削除・書き出しの手順を文書化しています。
• 送信の受け口で受け付ける件数と大きさの上限は、設定ではなくプログラムの中で定めています。

• 責任者は運営者（1名）です。
• 漏えい等が判明した場合は、クロミスが知った時から72時間以内にお客様へ第一報をお送りします。
• 委託先の越境について、年1回以上、委託先の措置の実施状況と所在国の制度を確認します。

お預かりしたデータに触れられるのは運営者のみです。従業者を置く場合は、 秘密保持の誓約を取ったうえで、必要な範囲に限って権限を与えます。

データは委託先（AWS・Supabase）のデータセンターに保存しています。データセンターの 物理的な管理は各委託先が行います。書き出しのご請求に応じる際は、データが一時的に 運営者の端末を経由します。お渡しした後、端末上の写しは削除します。

• 送信は TLS 1.2 以上で暗号化しています。暗号化されていない接続は HTTPS に転送します。
• 保存したテレメトリデータは、保存時に暗号化しています（AES-256）。保存先への一般からのアクセスは遮断しています。
• 保存したテレメトリデータを読むには、プロジェクトごとの読み取り用トークンが必要です。 トークンはハッシュ値のみを保管し、平文では保管しません。
• 書き込み用の鍵（DSN）では、保存済みのデータを読むことはできません。
• 索引のデータベースでは、行単位のアクセス制御（Row Level Security）により、他のプロジェクトのデータを読めないようにしています。
• テレメトリデータの本体は 30 日、 アクセスログは 30 日、受け口の動作ログは 14 日で 自動的に削除します。一覧・検索用の索引も、同じく30 日で削除します。

外国にある委託先について、個人情報保護委員会が公表している各国の調査結果 （シンガポール、米国）を確認したうえで、措置を講じています。

上記の措置の実施状況について、年1回の書面による報告をご希望の場合は、kromise@jugoya.ai までご連絡ください。