Keyvaci 利用規約

本利用規約（以下「本規約 (Terms)」）は、シンガポールで設立された法人である XNOR Group Pte. Ltd.（以下「Keyvaci」「当社」）が運営するゼロ知識認証情報保管庫である Keyvaci へのアクセスおよびその利用について定めるものです。本規約は、当社と、本サービスを購読する組織（以下「顧客 (Customer)」「お客様」）との間の拘束力ある合意を構成します。

Keyvaci 上で組織を作成する者は、当該組織を本規約に拘束させる権限を有することを確認するものとします。組織が Microsoft Entra ID を通じて作成される場合、その者は顧客自身のディレクトリにおいて全体管理者 (Global Administrator) または特権ロール管理者 (Privileged Role Administrator) のロールを保有していなければならず、当社は当該ロールを権限の証拠として取り扱います。メールアドレスによって作成される場合、当社が検証できるのはその者が当該アドレスを管理していることのみであるため、当社はその者が行う確認に依拠します。いずれの経路についても第3条に定めます。

目次

1. 定義
2. 本サービス
3. アカウント、権限およびメンバー
4. ゼロ知識アーキテクチャ
5. データの回復不能な喪失
6. 顧客の責任
7. 管理者による復旧と可視性
8. 試用、料金、シートおよび更新
9. 支払いの不履行と凍結されたアカウント
10. 許容される利用
11. データ、プライバシーおよび処理
12. 当局からの要求
13. 可用性およびサポート
14. セキュリティ開示と保証の限界
15. 期間、利用停止および終了
16. 保証および免責
17. 責任の制限
18. 補償
19. 本規約の変更
20. 準拠法および紛争
21. 一般条項

1. 定義

用語	意味
本サービス (Service)	Keyvaci のウェブアプリケーション、API および関連コンポーネント。
組織 (Organisation)	本サービス上のテナントであり、顧客が作成し、顧客に帰属するもの。
メンバー (Member)	顧客の組織のもとで本サービスを利用することを顧客から認められた個人。
管理者 (Administrator)	組織において ADMIN ロールを保有するメンバー。
保管庫 (Vault)	組織内にある、暗号化された項目の入れ物。
顧客データ (Customer Data)	顧客またはそのメンバーが本サービスに保存するすべてのもの。保管庫の暗号化された内容を含みます。
サインインリンク (Sign-in Link)	メールサインインを利用する場合に、その人のメールアドレス宛てに当社が送る一度だけ使えるリンク。これを開くことがそのアドレスを保有している証明となり、それがサインインの方法です。送信から5分で期限切れになり、これは何も復号しません。別途のサインインパスワードはありません。当社はそれを求めず、保持もしません。
マスターパスワード (Master Password)	メンバーが登録時に選ぶパスフレーズであり、これから当該メンバーの個人鍵が導出されます。当社に送信されることはありません。保管庫の内容を実際に復号するのはこれであり、当社によっても、メールによっても再設定できません。
組織の復旧鍵 (Organisation Recovery Key)	サインアップ時に顧客のブラウザ内で生成される鍵であり、すべてのメンバーの秘密鍵を復号できます。当社に送信されることはありません。
組織の署名鍵 (Organisation Signing Key)	サインアップ時に生成される鍵であり、顧客はこれによってメンバーの ID 鍵を確認します。当社に送信されることはありません。
復旧キット (Recovery Kit)	組織の復旧鍵と組織の署名鍵を含むファイルであり、サインアップ時にブラウザ内で一度だけ生成されます。

2. 本サービス

Keyvaci は、顧客に代わって認証情報および類似の秘密情報を暗号化された形式で保存し、それらの秘密情報をメンバー間で管理された形で共有する手段を提供します。本規約および該当する料金の支払いを条件として、当社は顧客に対し、購読期間中に本サービスを利用する非独占的かつ譲渡不能な権利を許諾します。

当社は機能を変更、追加または削除することがあります。変更が本サービスのセキュリティまたは中核的機能を重大に低下させる場合、当社は管理者宛のメールまたは本サービスを通じて、合理的な事前の通知を行います。

3. アカウント、権限およびメンバー

1. 2つのサインイン方法。組織は、顧客の環境において本サービスが提供する範囲に応じて、 Microsoft Entra ID、または当社が保持するパスワードを伴うメールアドレスを利用できます。
   • Microsoft Entra ID。認証は Microsoft 側で行われます。どのアカウントが存在するか、そのうちどれが特権的なディレクトリロールを保持し続けるか、どのような条件付きアクセスまたは多要素のポリシーが適用されるかを含め、顧客は自身のディレクトリについて責任を負います。当社がディレクトリのパスワードを受け取ることはなく、その発行も再設定もできません。
   • メールアドレスとパスワード。当社はパスワードを受け取って検証し、パスワードそのものではなく、そのソルト付きハッシュのみを保存します。セッショントークンは当社が発行します。メンバーは、任意の認証アプリケーションによる時間ベースのワンタイムコードという形で第 2 要素を追加でき、管理者は認証情報が表示される前に組織全体でその使用を必須とすることができます。復旧コードはその時点で一度だけ発行され、認証アプリを失った場合に戻る唯一の手段です。
2. 組織を作成する権限。Microsoft Entra ID の場合、組織を作成できるのは顧客自身のディレクトリの全体管理者または特権ロール管理者のみであり、組織は当該ディレクトリのテナント識別子に結び付けられます。メールアドレスの場合、その者は当社が送付するリンクを通じて当該アドレスの管理権を確認済みでなければならず、かつ既にいずれかの組織に所属していてはなりません。1つのアドレスは1つの組織に属します。
3. メンバーとなるには、管理者が発行する招待が必要です。招待はメールアドレス宛に送られますが、本サービス内の ID は、招待を受け入れたアカウントの Entra オブジェクト識別子です。招待された者は、第6条に記載のとおり管理者がその ID 鍵を確認するまで、いかなる保管庫へのアクセス権も得られません。
4. 顧客は、自らの組織のもとで行われるすべての活動について、また、アクセス権を有するべきでなくなったメンバーを速やかに削除または停止することについて、責任を負います。

4. ゼロ知識アーキテクチャ

保管庫の内容の暗号化および復号は、メンバーのブラウザ内で行われます。顧客データを読むために必要な鍵は、マスターパスワードから導出されるか、組織の復旧鍵によって保護されています。これらのいずれも、当社が利用できる形でブラウザから出ることはありません。

これが実際に何を意味するのかを、誤解の余地がないよう率直に示します。

当社にできないこと	当社にできること
いずれかの保管庫の項目の内容を読むこと。忘れられたマスターパスワードを再設定すること。該当する鍵が失われたときにデータを復元すること。復号された顧客データを、裁判所や規制当局を含む誰かに提出すること。バックアップから読み取り可能なデータを復元すること。	第11条およびプライバシーポリシーに記載された運用データを閲覧し、処理すること。これにはメンバーの氏名とメールアドレス、組織と保管庫の構造、どの保管庫に誰がアクセス権を持つか、アクセスの監査記録が含まれます。顧客データの暗号化された形を閲覧すること。組織を停止または削除すること。

顧客は、この設計が顧客自身が選択した意図的なトレードオフであることを承認します。すなわち、これは当社を顧客データを読むことができる当事者から除外し、その代わりに、当社を顧客データを復元できる当事者からも除外するものです。

5. データの回復不能な喪失

顧客は、これらの結果について単独で責任を負うことを受け入れ、マスターパスワード、復旧キット、または顧客もしくはそのメンバーが保持するその他の鍵材料の喪失に起因する顧客データの喪失またはアクセス不能について、当社が一切の責任を負わないことに同意します。このリスク配分は、本サービスが記載の価格で提供されるための根本的な前提です。

顧客は、自らのリスク評価に応じた間隔で顧客データをエクスポートすることを含め、事業継続のための独自の備えを維持するものとします。本サービスは、組織が停止または削除されていない限り、いつでも顧客データのエクスポートを提供します。

6. 顧客の責任

1. 復旧キットの保管。復旧キットはブラウザ内で一度だけ生成され、一度だけ表示されます。顧客は、その価値に見合った方法でこれを保管しなければなりません。その価値とは、組織が今後保持するすべての認証情報の価値です。復旧キットは、それが保護する最も機微な認証情報と少なくとも同等の慎重さをもって取り扱うべきです。
2. メンバーの ID 鍵の確認。メンバーが保管庫へのアクセス権を受け取れるようになるのは、管理者がその ID 鍵に署名した後だけです。その署名は、当該の鍵が実在する本人のものであるという顧客による表明です。管理者は、署名する前に、表示された鍵のフィンガープリントを本サービス以外の経路で本人と照合しなければなりません。照合せずに署名することは、なりすましがアクセス権を得るのを防ぐために存在する管理策を無効にするものであり、そうしたことの結果は顧客が負います。
3. マスターパスワードの選択。本サービスは最低限の強度を強制しますが、顧客は引き続き自らのパスワードポリシーについて、また再設定が不可能であることをメンバーに周知することについて、責任を負います。
4. メールボックスの安全。メールサインインを利用する場合、当社が送るサインインリンクを開くことがサインインそのものであるため、メンバーのメールを読める者は誰でもそのメンバーとしてサインインできます。したがってメンバーのメールボックスの安全性は、そのアカウントの安全性の前提条件です。これは別途のサインインパスワードに代わるものであり、本サービスはもはやそれを用いません。盗まれたり使い回されたりしうる秘密が一つ減り、その重みをメールボックスが担います。第 2 要素は利用可能であり、組織は項目を表示する前にそれを必須とすることができます。
5. サインインリンクにできないこと。アカウントに入り直すことは、データには何の影響もありません。保管庫の内容はマスターパスワードで封じられたままであり、それは当社に届くことがなく、当社によっても当社が送るいかなるリンクによっても再設定できません。両者を混同した場合に最も起こりやすい結果は、もう一度サインインすればデータが復旧したと思い込むことであるため、顧客はメンバーがこの点を確実に理解するようにしてください。
6. ディレクトリの健全性。組織を作成する権限も、すべてのメンバーの ID も、顧客の Entra ディレクトリに由来するため、当該ディレクトリのセキュリティは組織のセキュリティの前提条件となります。
7. メンバーのデータに関する適法性の根拠。顧客は、第7条に記載された事項を含め、メンバーによる本サービスの利用に関連して法令上必要となる通知を行い、必要となる同意を取得することについて責任を負います。

7. 管理者による復旧と可視性

本条は、顧客自身の管理者が保持する権能について記載します。これを別立てにしているのは、それが顧客において管理しなければならない労働法上およびデータ保護上の帰結を伴うためです。

1. 復旧。組織の復旧鍵を保持する者は、いずれのメンバーの個人秘密鍵も、したがって当該メンバーが開くことのできるいずれの保管庫も復号できます。本サービスが復旧を実行するのは、対象となるメンバー自身が申請した場合のみであり、その事実は監査証跡に記録されます。もっとも、組織の復旧鍵を保持していること自体が、本サービスを用いることなく、保存データから取得したメンバーの鍵材料を復号するのに十分です。したがって顧客は、本サービスのワークフローのみに依拠するのではなく、ガバナンスの問題として当該鍵を管理しなければなりません。
2. 監査による可視性。本サービスは、メンバーが保管庫を開いたとき、項目を表示したとき、アクセス権を付与されたとき、または失ったとき、および復旧が利用されたときを含め、セキュリティに関わるイベントを記録します。管理者はこれらの記録を取得できます。これらは個人の活動の監視に該当します。
3. 顧客の義務。顧客のメンバーが従業員または業務委託先である場合、顧客はこの監視および復旧の権能についてのデータ管理者 (controller) となります。顧客は、これらについて本人に通知し、適用法のもとでの適法性の根拠を確立しなければなりません。当社は仕組みを提供するのであって、顧客がそれをどのような目的で利用するかを決定するものではありません。
4. 私的な利用。メンバーは、顧客の事業と無関係な純粋に私的な認証情報を本サービスに保存すべきではありません。そのような認証情報も、顧客の復旧および監査の権能の範囲に入ることになるためです。

8. 試用、料金、シートおよび更新

1. 試用。新しい組織には、サインアップ時に本サービス上で示される期間の無料試用が提供されます。開始にあたり支払方法の登録は不要です。試用期間の終了時点で購読していない組織は、第9条に記載のとおり凍結されます。
2. 料金。価格は、購入時点で本サービス上に表示されているものとします。支払いは Stripe が処理し、当社がカード情報を受領または保存することはありません。Stripe が徴収しない租税、公課または銀行手数料については、顧客が負担します。
3. シート。シート単位のプランでは、停止されていないメンバーごとに、および未処理の招待ごとに、 1 シートが消費されます。有料期間中にメンバーを追加した場合は日割りの課金が生じ、削除した場合はその後の請求書に充当されるクレジットが生じます。シート数は Stripe と自動的に同期されます。
4. 自動更新。購読は、選択に応じて月次または年次の各請求期間の終了時に、解約されるまで、その時点の価格で自動的に更新されます。顧客は、本サービス内の請求ポータルからいつでも解約できます。
5. 返金不可。既に支払われた料金は、解約の場合、支払済みの数量を下回るシート数への減少の場合、および顧客の違反による契約終了の場合を含め、その全部または一部を問わず返金されません。解約した場合、購読は既に支払われた期間の終了まで有効に存続し、更新はされません。無料試用は、顧客が支払う前に本サービスを評価できるようにするために存在します。
6. 価格の変更。当社は、管理者宛のメールにより少なくとも30日前に通知したうえで、価格を変更することがあります。変更は次回の更新時に効力を生じます。顧客が価格の変更を受け入れない場合、その救済手段は当該更新の前に解約することです。

9. 支払いの不履行と凍結されたアカウント

請求が失敗した場合、組織は猶予期間に入り、その間は通常どおり動作し続けます。その期間内に支払いが解消されない場合、または購読が更新されずに終了した場合、組織は凍結されます。

凍結された組織は、引き続きそのすべての顧客データを読み取り、エクスポートすることができ、その管理者は購読を復旧するためのチェックアウトにも到達できます。停止されるのは書き込みの機能、すなわち保管庫の作成、項目の追加や変更、およびアクセス権の付与です。当社は、請求書を理由に顧客自身の認証情報を人質に取ることは容認できないと考えており、本条項はそうしないという約束です。

凍結中も復旧のワークフローは利用可能なままです。これは、支払いが途切れている間にマスターパスワードを忘れたメンバーが、エクスポートする権利のあるデータへのアクセスを失わないようにするためです。

10. 許容される利用

顧客は、以下の行為を行ってはならず、また、いずれのメンバーにも行わせてはなりません。

• 適用法に違反して本サービスを利用すること、または所持が違法である素材を保存すること。
• 他の組織のデータ、または本サービスのうちその者に向けられていない部分へのアクセスを試みること。
• レート制限を回避すること、または他の利用者にとっての品質を低下させる態様でアクセスを自動化することを含め、本サービスの運用を妨害すること。
• 当社の書面による合意なく、本サービスを再販売し、サブライセンスし、または自らのサービスとして第三者に提供すること。
• 法律により当該制限が執行できない範囲を除き、本サービスをリバースエンジニアリングすること。

セキュリティ研究は第14条のもとで歓迎されており、そこに記載された範囲内で行われる限り、本条の違反には当たりません。

11. データ、プライバシーおよび処理

当社による個人データの取扱いはプライバシーポリシーに記載しています。当社が顧客に代わって個人データを処理する場合、データ処理付属文書が適用され、本規約の一部を構成します。顧客が当該データのデータ管理者 (controller) であり、当社はそのデータ処理者 (processor) です。

第4条に記載したアーキテクチャのため、当社が実際に処理できる個人データは運用データに限られます。当社は保管庫の項目の内容を処理することができず、顧客からのいかなる指示によっても、いかなる法的命令によっても、それができるようになることはありません。

12. 当局からの要求

顧客データに関する拘束力のある法的要求を受けた場合、当社は、法律上禁止されていない限り、顧客が保護的救済を求められるよう顧客に通知し、当該要求が求めるもののうち当社が実際に保有しているものに限って開示します。

顧客はそれが何であるかを理解しておくべきです。当社が提出できるのは運用データと暗号文です。当社は読み取り可能な保管庫の内容を提出できません。当社はそれらを復号する手段を保有していないからです。 そのように求める要求は、意思の問題としてではなく、事実の問題として、応じることができません。

13. 可用性およびサポート

当社は高い可用性を目指しますが、本規約においてサービスレベルを約束するものではありません。顧客との間で別途書面によるサービスレベル契約が締結されている場合、可用性およびサポートの応答については当該契約が優先します。

サポートは、管理者宛のメールにより提供されます。当社がメンバーにマスターパスワードまたは復旧キットを求めることは決してなく、それらを求める連絡はいずれも当社からのものではありません。

14. セキュリティ開示と保証の限界

1. 報告。脆弱性の疑いは keyvaci@xnorgroup.com までご報告ください。当社は 5 営業日以内に受領の連絡を行います。プライバシーの侵害、データの破壊およびサービスの品質低下を避け、かつ他者に属するデータにアクセスしない善意の研究について、当社が第10条の違反として追及することはありません。
2. インシデントの通知。当社が処理するデータの偶発的もしくは違法な破壊、喪失、改変または不正な開示につながるセキュリティ侵害について、当社は影響を受ける顧客に対し、データ処理付属文書が求める詳細をもって、不当に遅滞することなく通知します。
3. 破られないことの保証はありません。本サービスは確立された暗号技術を用いており、そのアルゴリズムとパラメータは本サービス内に文書化されています。当社は、暗号解読技術の進歩、将来の計算能力、または基盤となる構成要素の欠陥のいずれによるものであれ、この暗号技術が破られないことを保証しません。そうした事態に対する顧客の備えは、鍵をローテーションし、保存された認証情報を変更できることであり、そのいずれも本サービスが提供しています。

15. 期間、利用停止および終了

1. 本規約は、組織の作成時から組織が削除されるまで適用されます。
2. 顧客は、購読を解約し組織を削除することにより、いつでも本規約を終了させることができます。既に支払われた料金については第8条5項が適用されます。
3. メンバー自身によるメンバーシップの終了。メンバーはいつでも、自身のプロフィールからアカウントを削除できます。アクセス、プロフィール、鍵は直ちに削除されます。そのメンバーが作成したエントリは組織の保管庫に残ります。それらはメンバーのものではなく顧客のデータだからです。メンバーは14日以内であれば、自身のアドレスに送られたリンクから削除を取り消せます。それを過ぎると削除は確定します。組織の最後の管理者であるメンバー、または保管庫の唯一の管理者であるメンバーは、その責任を他者へ引き継ぐまでアカウントを削除できません。
4. 組織の削除。管理者は管理領域から組織の削除を予約できます。削除は30日後に実行されます。その期間中、組織は通常どおり動作し、すべての管理者に削除が予約されたことが通知され、いずれの管理者も予約を取り消せます。実行後は、保管庫、エントリ、メンバーのプロフィール、監査記録が削除され、当社を含め誰も復元できません。
5. 当社は、法律により求められる場合、またはその利用が本サービスもしくは他者に対して重大かつ切迫したリスクをもたらす場合、直ちに組織の利用を停止することがあります。当社は管理者に通知し、原因が是正可能である場合は、是正されしだいアクセスを回復します。
6. 当社は、書面による通知から30日以内に是正されない重大な違反について、契約を終了することができます。
7. 終了時、顧客は30日間、その顧客データをエクスポートできます。その期間の経過後、当社は稼働システムから顧客データを削除し、バックアップの周期が満了するのに応じて、さらに35日以内にバックアップからも削除します。監査記録、および法務、税務または会計上必要とされる記録は、プライバシーポリシーに記載された期間保持されます。当社は顧客データを読むことができないため、削除とは暗号文の削除を意味します。

16. 保証および免責

当社は、合理的な技能と注意をもって本サービスを提供することを保証します。本規約に明示的に定める場合を除き、法律で認められる最大限の範囲において、本サービスは「現状有姿」（"as is"）で提供され、当社は、商品性、特定目的への適合性および権利非侵害の黙示の保証を含め、明示か黙示かを問わずその他のすべての保証を否認します。

当社は、本サービスが中断されないことまたは誤りがないことを保証せず、顧客が当社に書面で伝えていない要件を満たすことも保証しません。

17. 責任の制限

1. いずれの当事者も、自らの過失による死亡もしくは人身傷害、詐欺もしくは詐欺的不実表示、または法律上排除できないその他の責任について、責任を排除しません。
2. 除外される損害。いずれの当事者も、その原因のいかんを問わず、逸失利益、事業の損失、期待した節約分の損失、のれんの毀損、または間接損害もしくは結果的損害について責任を負いません。
3. 責任の上限。本規約に起因または関連して生じる当社の累積総責任は、請求の原因となった事象の直前12か月間に顧客が当社に支払った料金を上限とします。料金が支払われていない場合、当社の累積総責任は SGD 100 を上限とします。
4. 鍵材料の喪失。疑義を避けるために、また第5条に定めるとおり、マスターパスワード、復旧キット、組織の復旧鍵、組織の署名鍵、または顧客のディレクトリの認証情報の喪失、開示または不正利用に起因する顧客データの喪失またはアクセス不能について、当社は一切の責任を負いません。
5. 顧客は、本サービスの性質および課される料金に照らして、これらの制限が合理的なリスク配分であること、およびこれらなしには当社が本条件で本サービスを提供しないであろうことを承認します。

18. 補償

顧客は、以下から生じる請求、損失および合理的な費用について当社を補償するものとします。すなわち、第10条に違反する本サービスの利用、第7条が求める通知をメンバーに行わなかったこと、および第7条に記載された復旧または監査の権能を顧客が行使したことに関するメンバーまたは第三者からの請求です。

19. 本規約の変更

当社は本規約を変更することがあります。各版には、本文書の冒頭に表示されるバージョン識別子が付されます。

• 顧客の権利を重大に減じない変更については、当社は更新後の本規約を公開し、バージョン識別子を更新します。
• 重大な変更については、当社は管理者宛のメールにより少なくとも30日前に通知し、本サービスは、管理上の利用を継続する前に管理者が新しい版に同意することを求めます。効力発生日以後の利用の継続は、同意を構成します。
• 本サービスは、どの版が、誰によって、いつ同意されたかを記録します。合意の証拠として当社が依拠するのは、この記録です。

20. 準拠法および紛争

本規約は、抵触法の規則にかかわらず、シンガポール法に準拠します。両当事者は、まず30日間、上級の代表者間の交渉により、誠実に紛争の解決を試みるものとします。

これにより解決されない紛争は、シンガポール国際仲裁センター (SIAC) の管理のもと、その時点で効力を有する規則に従い、仲裁人1名により、シンガポールを仲裁地とし、英語で行われる仲裁に付託され、最終的に解決されるものとします。いずれの当事者も、管轄権を有する裁判所に緊急の差止的救済を求めることを妨げられません。

本条のいかなる規定も、消費者である顧客、または自国の法律のもとで放棄できない権利を有する顧客から、当該権利の保護を奪うものではありません。

21. 一般条項

• 完全合意。本規約、プライバシーポリシーおよびデータ処理付属文書は、その対象事項に関する両当事者間の完全な合意であり、従前の一切の了解に代わるものです。
• 優先順位。矛盾がある場合、まず両当事者間の署名された書面による契約が優先し、次に個人データに関する事項についてはデータ処理付属文書が、次に本規約が、次にプライバシーポリシーが優先します。
• 譲渡。いずれの当事者も、その事業の実質的に全部の承継人に対する場合を除き、相手方の同意なく本規約を譲渡することはできません。
• 分離可能性。いずれかの規定が執行不能と判断された場合でも、残りの部分は引き続き効力を有し、当該規定は執行可能となるために必要な最小限の範囲で修正されます。
• 権利放棄の否定。ある規定を行使しなかったことは、当該規定の放棄を意味しません。
• 言語。本規約は英語で作成されています。翻訳は便宜のために提供されるものであり、相違がある場合は英語版が優先します。
• 通知。当社への通知は keyvaci@xnorgroup.com 宛に行います。顧客への通知は、本サービスに記録されたその管理者のメールアドレス宛に行います。