Keyvaci プライバシーポリシー

本ポリシーは、Keyvaci がどのような個人データを、なぜ取り扱うのか、また個人がどのような権利を有するのかを説明するものです。本ポリシーは、XNOR Group Pte. Ltd.（以下「当社」）が運営する Keyvaci サービスを対象とします。

1. データ管理者およびデータ処理者としての役割

Keyvaci は組織に対して販売されます。組織のメンバーのデータについては、顧客である組織がデータ管理者 (controller) であり、当社はそのデータ処理者 (processor) として行動します。その役割における当社の義務は、データ処理付属文書に定めています。

当社は、限られた範囲のデータについては、当社自身がデータ管理者として行動します。すなわち、請求記録、当社とのやり取り、およびサービスを保護するために当社が保持するセキュリティログです。

Keyvaci を利用している組織のメンバーであり、ご自身のデータに関する権利を行使したい場合は、まずご自身の組織にご連絡ください。当社は組織を支援しますが、法律により求められる場合を除き、組織の指示なくそのデータについて行動することはありません。

2. 当社が保持するもの

2.1 当社が読めるデータ

区分	項目	目的
メンバーの ID	Microsoft Entra のオブジェクト識別子、勤務先メールアドレス、表示名、組織内のロール、アカウントの状態	メンバーを識別し、招待の宛先とし、アクセス制御を適用するため
組織	組織の識別子、Entra ディレクトリの識別子、購読の状態、試用終了日、シート数、組織の公開鍵、パスワードの有効期間の設定	テナントを運営し、利用権限を適用するため
招待	招待先のメールアドレス、招待した人、招待した日時	新しいメンバーが参加できるようにし、未処理のものを管理者に表示するため
アクセス構造	どの保管庫が存在するか、それぞれに誰がどのロールでアクセス権を持つか、誰が付与したか、鍵のバージョン	権限を強制するため。保管庫の名前は暗号化されており、当社には読めません
監査記録	イベントの種類、操作したメンバー、タイムスタンプ、および対象となったオブジェクト。たとえば保管庫を開いた、項目を表示した、アクセス権を付与または取り消した、復旧を利用した、規約に同意した	セキュリティ、インシデント調査、および顧客自身のコンプライアンス上の義務のため
サインインの認証情報 （メールサインインの場合のみ）	アドレスが確認済みか否かおよびその時期、既存のすべてのセッションを終了させる必要が生じるたびに増加するカウンター、未処理のワンタイムリンクのダイジェスト	当社がその人のアドレス宛てに送るリンクを開くことによって、本人であることを証明できるようにするため。サインインパスワードはありません。当社はそれを求めず、何も保持しないため、ここに当社から盗まれうる認証情報は存在しません。リンクはダイジェストとしてのみ保存されるため、当社のデータベースの複製から使用可能なリンクは得られません。Microsoft Entra ID でサインインするメンバーには、これらのデータは一切ありません
第 2 要素 （メールサインインで、有効にしている場合のみ）	認証アプリケーションがコードを生成するために用いる共有シークレット。これは当社の鍵管理サービスのもとで暗号化されており、保存された記録からは読み取れません。加えて、コードが二度使われないよう最後に受け入れたコードの期間、および未使用の各復旧コードの SHA-256 ダイジェスト	ワンタイムコードを検証するため。シークレットを記録の他の部分と分けて暗号化しているのは、それを保持する者は無期限に有効なコードを生成できてしまい、それこそが第 2 要素が防ぐために存在するものだからです
ワンタイムリンク	アドレス確認、パスワード再設定および招待の各リンクの SHA-256 ダイジェストと、それが発行された宛先のアドレスおよび有効期限。リンクそのものは保存しません	リンクをちょうど一度だけ使用でき、その後は無効になるようにするため。ダイジェストのみを保存することは、当社のデータベースの複製からは使用可能なリンクが得られないことを意味します
当社が使用できない鍵材料	公開鍵、暗号化された形のメンバーの秘密鍵、鍵導出のパラメータおよびソルト	メンバー自身の暗号化された鍵をそのブラウザに返すため。当社はそれらを復号する手段を保持していません
請求	Stripe の顧客識別子および購読識別子、プラン、請求サイクル、シート数、請求書の状態と日付	正しく課金し、支払い履歴を表示するため。カード情報は Stripe に送られ、当社に届くことはありません
運用ログ	リクエスト識別子、エラーの種類、エッジにおける IP アドレスとユーザーエージェント、レート制限のカウンター、失敗したサインインに含まれていたトークンのクレームの名称	可用性、不正利用の防止および診断のため。ログの内容からは、リクエストのボディおよびトークンのクレームの値を意図的に除外しています
規約への同意	これらの文書のどの版が、どのメンバーによって、いつ同意されたか	合意を証明するため、および再同意が必要となる時期を把握するため

2.2 当社が保持しているが読めないデータ

すべての保管庫の項目の内容、およびすべての保管庫の名前は、その認証データとともに暗号文としてのみ保存されています。当社にも当社の従業員にも、それらを読むことを可能にする鍵はなく、手続きも存在しません。これは、考えを改めれば覆せるような方針上の約束ではなく、システムがどのように構築されているかという性質です。

2.3 当社が決して受け取らないもの

• マスターパスワード。ハッシュ化された形であっても、ブラウザから出ることはありません。
• 組織の復旧鍵および組織の署名鍵。
• 支払いカード番号。
• 組織が Microsoft Entra ID でサインインする場合の、ディレクトリのパスワード。その認証は当社ではなく Microsoft 側で行われます。

ひとつ重要な区別があります。組織が代わりにメールアドレスでサインインする場合でも、サインインパスワードは存在しません。サインインとは、当社がそのアドレス宛てに送る一度だけ使えるリンクを開くことであり、それによってその人がアドレスを保有していることが証明されます。当社はそのリンクのダイジェストのみを保存し、リンク自体は決して保存せず、送信から5分で期限切れになります。マスターパスワードはまったく別の秘密です。それはデータを復号し、いかなる形でも当社に届くことがなく、当社によっても当社が送るいかなるリンクによっても再設定できません。

3. データの入手元

• メンバーの Entra アカウントから、サインイントークンを通じて。オブジェクト識別子、テナント識別子、表示名、勤務先メールアドレス。ディレクトリのパスワードを受け取ることはありません。
• ご本人から直接、メールサインインを利用する場合。メールアドレス、表示名、および当社が直ちにハッシュ化し、入力されたままの形では決して保存しないパスワード。
• 管理者から、メンバーを招待したり設定を変更したりする際に。
• サービスの利用から、監査記録および運用ログという形で。
• Stripe から、購読および請求書の状態という形で。

4. 処理の目的と法的根拠

目的	GDPR における根拠	PDPA／政令 13 における根拠
顧客との契約に基づくサービスの提供	契約の履行（第 6 条 1 項 (b)）、または個人が契約当事者でない場合は顧客の正当な利益	個人が所属する組織との契約のために必要であること。通知された目的
セキュリティ、不正利用の防止、監査証跡	正当な利益（第 6 条 1 項 (f)）：認証情報保管庫を安全に運営すること	取得時に通知された正当な目的。セキュリティは明文の義務です
請求および税務記録	法的義務（第 6 条 1 項 (c)）および契約	会計および税務の規則に基づく法的義務
サービスおよびセキュリティに関する通知	正当な利益および契約	通知された目的。これらはマーケティングのメッセージではありません

当社は、法的効果を生じさせる自動化された意思決定のために個人データを利用せず、また個人のプロファイリングも行いません。

5. マーケティング

当社は管理者に対し、サービスの運営に必要なメッセージを送信します。すなわち、請求に関する通知、セキュリティ勧告、およびこれらの文書の重大な変更です。これらはマーケティングではなく、購読が有効である間は配信を停止することができません。真にマーケティングであるメールは、同意がある場合にのみ送信され、配信停止のリンクを伴います。

6. 関与するその他の事業者

当社は少数のデータ処理者を利用しています。それぞれは、当社の指示にのみ従ってデータを処理し、これを保護することを契約により義務付けられています。現時点の一覧は次のとおりです。

提供者	役割	データ	所在地
Amazon Web Services	ホスティング、データベース、鍵管理、ログ記録、および当社のメール送信	すべての運用データおよびすべての暗号文。さらに Amazon SES は、アドレス確認、パスワード再設定および招待のメッセージについて、受信者のアドレスと氏名を取り扱います	シンガポール（ap-southeast-1）。エッジ配信および証明書のサービスは、米国内の AWS 施設および世界各地に分散したエッジロケーションも利用します
Stripe	決済処理	請求連絡先のメールアドレス、購読および請求書のデータ、Stripe が直接取得するカード情報	米国およびアイルランド
Microsoft	ID プロバイダー	認証は顧客自身の Entra ディレクトリで行われます。Microsoft は顧客の提供者であって当社の再委託先 (sub-processor) ではありませんが、サインインには必然的に Microsoft が関与します	顧客自身の Microsoft テナントによって定まります

当社は、データ処理付属文書に定めるとおり、再委託先を追加する前に通知し、顧客が異議を述べられるようにします。

当社がこの一覧の外にデータを開示するのは、拘束力のある法的要求により求められる場合（第11条参照）、守秘義務を負う専門家の助言者に対する場合、または事業の合併もしくは売却における承継人に対する場合に限られ、後者の場合、本ポリシーは通知のうえ置き換えられるまで引き続き適用されます。

7. 国際的な移転

データは主にシンガポールで保持されます。欧州経済領域、英国またはスイスに所在する個人の個人データがこれらの地域外に移転される場合、当社は、データ処理付属文書に組み込まれた欧州委員会の標準契約条項 (Standard Contractual Clauses) および移転リスク評価に依拠します。

シンガポール国外への移転については、当社は、受領者を契約により同等の保護水準に拘束することで、PDPA に基づく移転制限義務を満たします。ベトナムに所在する個人の個人データについては、政令 13/2023/ND-CP が求める記録を維持し、顧客自身の影響評価文書の作成に協力します。

8. 保持期間

データ	保持期間
保管庫の暗号文およびアクセス構造	顧客が削除するまで、または組織の終了から30日後まで
メンバーのプロフィール	メンバーシップが存続する間。その後は組織とともに削除されます
メールサインインのアカウント	アカウントが存続する間。パスワードハッシュはパスワードが変更されるたびに置き換えられ、古い形で保持されることはありません
ワンタイムリンク	サインインリンク5分、アドレス確認24時間、招待24時間。リンクが使用された時点で削除され、いずれか早い方が適用されます
監査記録	組織が存続する間保持され、顧客が削除することはできません。疑いをかけられた者が消せる監査証跡は監査証跡ではないからです。法的な保全命令がある場合を除き、組織とともに削除されます
退出したメンバーの公開鍵	メンバーが退出すると、その二つの公開鍵と組織による署名は組織が存続する間保持され、それ以外の情報は保持されません。これは、そのメンバーが書いたエントリを引き続き検証できるようにするためです。これがなければ、一人の退出によって、その人が作成したすべてのエントリが同僚には未署名として見えてしまいます。氏名やアドレスは一緒に保持しません。組織とともに削除されます
バックアップ	35日間のポイントインタイムリカバリのウィンドウ。削除されたデータは、そのウィンドウが進むにつれてバックアップから消えます
請求および税務の記録	シンガポールの会計および税務の法令が求めるとおり、5年間
運用ログ	アプリケーションログは30日間、ヘルスチェックのエンドポイントは7日間
レート制限のカウンター	2つのカウント期間以内、通常は1時間未満で自動的に失効します
規約への同意の記録	契約の証拠として、組織が存続する間および終了後6年間

9. セキュリティ

講じている措置を、形容詞の羅列ではなく、率直に記載します。

• 保管庫の内容のエンドツーエンド暗号化。鍵はブラウザ内で Argon2id を用いて導出され、送信されることはありません。
• 転送中（TLS 1.2 以上）および保存時の暗号化。環境ごとに別個の顧客管理鍵を使用します。
• すべてのデータベースキーを構成する単一のコードパスで強制されるテナントの分離。失敗時にデプロイを阻止する自動のテナント間テストを備えています。
• アプリケーションコードではなくインフラストラクチャの権限によって強制される追記のみの監査証跡。これにより、いかなるアプリケーションの不具合も履歴を書き換えることはできません。
• インラインスクリプトを禁止し、第三者のスクリプトはただ一つのオリジン、お問い合わせページの Cloudflare Turnstile のみを許可する厳格なコンテンツセキュリティポリシー。フォームが人によって記入されていることを確認するためのものです。ほかのオリジンはここでスクリプトを実行できず、それがブラウザ内の鍵材料を保護する管理策です。
• 表示および暗号化された保管庫の内容の取得に対する利用者ごとのレート制限、ならびにエッジにおけるウェブアプリケーションファイアウォール。
• メールサインインを利用する場合、サインインパスワードは一切なく、その種の認証情報を当社が保持することも失うこともありません。サインインリンクは 32 バイトのランダム値で、SHA-256 ダイジェストとしてのみ保存され、一度だけ使え、送信から5分で無効になります。リンクの要求はアドレス単位でもネットワークアドレス単位でも頻度制限され、アドレスにアカウントが存在するか否かにかかわらず同一の応答を返します。
• メールサインインについて、任意の認証アプリケーションによる時間ベースのワンタイムコードを用いる、任意の第 2 要素。シークレットは当社の鍵管理サービスのもとで暗号化され、各コード期間は多くとも一度しか受け入れられず、コードの空間が小さいため、試行はパスワードよりも厳しくレート制限されます。
• サインインのコンポーネントのみが読み取れる Ed25519 の鍵で署名されたセッショントークン。すべてのリクエストが通過するコンポーネントは公開側のみを保持するため、それが侵害されても誰かのためのトークンを生成することはできません。
• 当社の従業員に対する最小権限のアクセス。いかなる従業員も保管庫の内容を読むことはできず、これは権限の設定ではなく設計上の性質です。

完全に安全なシステムは存在しません。利用規約の第14条は、当社が何を保証し、何を保証しないか、および脆弱性の報告方法を定めています。

10. 個人の権利

お住まいの地域によっては、アクセス、訂正、削除、処理の制限または処理への異議、データポータビリティ、および同意が根拠である場合の同意の撤回に関する権利を有することがあります。

行使の方法。顧客である組織のメンバーである場合は、その組織にご連絡ください。組織はあなたのデータを管理しており、ほとんどのご請求についてはサービス内で直接対応できます。当社にご連絡いただいた場合、当社は組織にお取り次ぎし、組織の対応を支援します。

率直な限界。当社は、2.1 に列挙した運用データについては対応できます。保管庫の項目の内容については、それらを読むことも、誰の個人データが含まれているかを判断することもできないため、対応できません。「保管庫の項目の中にある私のデータ」の削除を求めるご請求は、それを復号して編集できる組織に対して行ってください。

苦情。監督機関に苦情を申し立てることができます。すなわち、シンガポールの個人情報保護委員会 (Personal Data Protection Commission)、EEA または英国における各国のデータ保護当局、ベトナムの公安省、またはカリフォルニア州プライバシー保護局です。まず当社に解決の機会をいただければ幸いです。

10.1 カリフォルニア州

本ポリシーの日付に先立つ12か月間において、当社は CCPA に定義される意味での個人情報の販売または共有を行っておらず、また今後も行いません。当社は、文脈横断的な行動ターゲティング広告のために個人情報を処理せず、児童からデータを故意に収集することもありません。カリフォルニア州の居住者は、第10条に記載の経路により、アクセス、削除、訂正および非差別の権利を行使できます。

11. 当局からの要求

データについて拘束力のある法的要求を受けた場合、当社は、法律上禁止されていない限り、影響を受ける顧客が保護的救済を求められるよう、応じる前に顧客に通知し、当該要求が求めるもののうち当社が実際に保有しているものに限って提出します。

当社が実際に保有しているのは、運用データと暗号文です。当社は読み取り可能な保管庫の内容を提出できません。 これは方針上の立場ではなく、事実としての限界です。

12. クッキーおよびローカルストレージ

console.keyvaci.com のアプリケーションは、広告またはアナリティクスのクッキーを一切設定しません。 アプリケーションは、機能させるために厳密に必要な範囲で、少量のデータをブラウザに保存します。

• 選択されたインターフェースの言語。
• 認証セッション。Microsoft サインインの場合は Microsoft のライブラリがセッションストレージに保持し、メールサインインの場合は当社が発行したトークンで、付与から1時間後に失効し、最初のサインインから 12時間を超えて更新することはできません。いずれもブラウザのタブを閉じると消去されます。
• アカウントの復旧中に、ブラウザ内で生成される一時鍵。有効期限を持ち、復旧が完了または失効した時点で消去されます。

keyvaci.com のマーケティングウェブサイトでは、お客様が許可された場合に限り、Google Analytics を用いてページビューを計測することがあります。お客様がバナーで許可を選択されるまで、何も読み込まれず、アナリティクスのクッキーも設定されません。拒否された場合、または Do Not Track もしくは Global Privacy Control の信号が送信されている場合、アナリティクスのスクリプトが要求されることは一切ありません。

許可された場合、Google Analytics は再訪のブラウザを識別するために自らのファーストパーティクッキーを設定し、閲覧されたページ、参照元のページ、IP アドレスから導かれるおおよその所在地、およびデバイスとブラウザの基本情報を受け取ります。当社はこれを、どのページが読まれ、どの説明が不十分かを把握するために利用します。広告には利用しません。 Google の広告機能と広告のパーソナライズは無効に設定しており、このデータを販売も共有もしません。Google は自社の規約に基づき、当社に代わってこれを処理します。

お客様は、ウェブサイトのいずれのページでもフッターの計測の設定からいつでも回答を変更できます。そこで拒否を選択すると、すでに設定されたアナリティクスのクッキーも削除されます。この選択はお客様のブラウザに記憶されるため、ブラウザごと、デバイスごとに適用されます。

復号鍵はメモリ上にのみ保持され、ストレージに書き込まれることはなく、サインアウト時、15分間操作がなかったとき、またはタブが隠れてから5分後に消去されます。

13. 児童

Keyvaci は事業者向けの製品であり、児童に向けたものではありません。当社は 16 歳未満の者から個人データを故意に収集することはありません。

14. 本ポリシーの変更

当社は、サービスの変化に応じて本ポリシーを更新します。冒頭のバージョン識別子もそれに伴い変更されます。個人に重大な影響を及ぼす変更については、少なくとも30日前に管理者へ通知し、当該変更がサービス提供の前提となる条件に影響する場合には、アプリケーション内で管理者に更新後の文書への同意を求めます。

15. 連絡先

XNOR Group Pte. Ltd.、シンガポール。
プライバシーに関するお問い合わせ、データ保護に関するご請求およびセキュリティの報告: keyvaci@xnorgroup.com