AxiPassプライバシーポリシー

1.拡張機能の単一目的

AxiPass SWA Chrome拡張機能は、テナント管理者が登録した業務用SaaSログイン画面で、ユーザーが承認したアカウント情報を安全に自動入力し、そのログイン試行を監査ログとして記録する機能のみを提供します。

2.収集する個人情報の項目および収集方法

AxiPassはサービス提供に必要な最小限の個人情報を収集し、サービスの種類や利用段階に応じて以下の項目を収集します。

3.収集しない情報

拡張機能は、ユーザーの全閲覧履歴、訪問ページ本文、広告識別子、決済情報、アドレス帳、ファイル、画面内容、承認済み業務アプリのログインと無関係な入力値を収集しません。ページアクセスは、ユーザーが開始したSWAログイン機能に必要なドメインと画面要素に限定されます。

4.個人情報の収集および利用目的

AxiPassは収集した個人情報を次の目的にのみ利用し、目的外の利用が必要な場合または利用目的が変更される場合は、事前に同意を得ます。 会社は、契約の履行（個人情報保護法第15条第1項第4号）、情報主体の同意（同項第1号）、法令上の義務の遵守（同項第2号）などを処理の根拠とします。

• サービス提供・契約履行: SSOおよびOIDC/OAuth2・SAML認証、SWA自動ログイン、SCIMプロビジョニング、テナント・メンバー・グループ・アプリアクセスポリシー管理
• 本人確認・アカウント管理: 加入意思および本人確認、アカウント識別、パスワード・セッション管理、メンバー招待および権限付与
• セキュリティ・不正利用防止: MFA適用、アクセス権限の統制、不正ログイン・不正利用の検知および遮断、セキュリティ事故調査
• 監査・法令遵守: 監査ログの記録・提供、ISMS-P等のセキュリティ報告書の作成、電子商取引法等の法令上の義務の履行
• 顧客サポート・運用: お問い合わせ対応、障害・セキュリティ事故対応、サービス変更・ポリシー告知の伝達
• サービス改善（統計または別途同意）: 特定の個人を識別しない形での利用統計分析、新機能開発および品質改善

5.個人情報の保有および利用期間

会社は原則として、個人情報の収集および利用目的が達成された後は、当該情報を遅滞なく破棄します。ただし、次の情報は明示した期間保管し、保管時は保管目的に必要な最小限の項目のみを分離して保管します。

6.個人情報の破棄手順および方法

AxiPassは、保有期間が経過し、または処理目的が達成され不要となった個人情報を遅滞なく破棄します。破棄の手順および方法は次のとおりです。

7.個人情報の第三者提供

AxiPassは利用者の個人情報を外部に提供しないことを原則とし、広告ネットワーク・データブローカー・情報再販売業者へ販売または提供しません。ただし、次の場合は例外とします。

• 利用者またはお客様組織が事前に同意した場合
• 法令に基づく場合、または適法な手続きにより捜査機関の要請がある場合
• 統計作成・セキュリティ研究等のため、特定の個人を識別できない形に加工して提供する場合

8.個人情報処理の委託

AxiPassは安定したサービス提供のため、以下のとおり個人情報処理業務を外部に委託します。委託契約時には個人情報保護法第26条に従い、委託業務の目的外処理の禁止、技術的・管理的保護措置、再委託の制限、受託先の管理・監督、損害賠償など責任に関する事項を文書に明示し、受託先が個人情報を安全に処理するかを監督します。委託業務の内容または受託先が変更される場合は、本方針を通じて遅滞なく公開します。

• Amazon Web Services, Inc. — サーバー・データベースインフラ（クラウド）ホスティング / サービス運用に保存される個人情報
• Contabo GmbH — サーバーインフラホスティング / サービス運用に保存される個人情報
• Polar Software, Inc. — 有料サブスクリプションの決済および決済代行（Merchant of Record）、インボイス発行・税務処理 / 購入者の氏名・メール・電話番号、請求先住所、商号・事業者番号、カード種別・カード番号下4桁、購入・サブスクリプション履歴、接続情報。決済処理にはPolarの再委託先が関与し、全リストは https://polar.sh/legal/sub-processors で確認できます。
• Stripe, Inc.（Polarの決済処理再委託先） — カード決済の承認・精算・返金・不正防止 / 決済カード情報、請求先住所、メール、決済取引履歴

9.個人情報の国外移転

AxiPassはサービス提供のため、以下のとおり一部の個人情報を国外に移転します（移転項目 / 移転目的 / 移転時点・方法 / 保有期間の順）。利用者は国外移転を拒否できますが、拒否した場合、該当機能（ソーシャルログイン等）の利用が制限されることがあります。拒否の意思は [email protected] までお知らせください。

• Amazon Web Services, Inc.（米国） / サーバーに保存される個人情報 / インフラホスティング / サービス利用・認証時にネットワーク送信 / サービス利用期間中保管
• Contabo GmbH（ドイツ） / サーバーに保存される個人情報 / インフラホスティング / サービス利用・認証時にネットワーク送信 / サービス利用期間中保管
• Google LLC（米国） / メール・氏名・プロフィール / Googleソーシャルログイン / ログイン時点にネットワーク送信 / Googleのポリシーに従い保管
• Polar Software, Inc.（米国） / 購入者の氏名・メール・電話番号、請求先住所、商号・事業者番号、カード種別・カード番号下4桁、購入・サブスクリプション履歴、接続情報 / 有料サブスクリプションの決済・決済代行（税務処理・インボイス発行） / 決済（チェックアウト）進行時にネットワーク送信 / アカウント維持期間および関連法令上の義務履行・紛争解決に必要な期間
• Stripe, Inc.（米国） / 決済カード情報、請求先住所、メール、決済取引履歴 / カード決済の承認・精算・返金・不正防止 / 決済時点にPolarを通じて送信 / 決済・精算および関連法令上の保存期間

10.情報主体の権利・行使方法

利用者（情報主体）は、自身の個人情報について次の権利を行使できます。請求はサービス内機能、所属組織のAxiPass管理者、または [email protected] を通じて行うことができ、会社は本人または正当な代理人であることを確認したうえで処理します。管理対象テナントの場合、一部の権利は所属組織の管理者の方針に従って処理されることがあります。

• 個人情報の閲覧の請求
• 誤り等に対する訂正・削除の請求
• 処理停止の請求（正当な理由がない限り10日以内に処理）
• 同意の撤回および会員（アカウント）退会の請求
• 権利行使は、法定代理人または委任を受けた代理人を通じて行うこともできます。
• 閲覧・処理停止の請求は個人情報保護法第35条第4項および第37条第2項により制限される場合があり、他の法令で収集対象として明示された個人情報は削除を請求できません。

11.クッキーおよび自動収集装置

AxiPassは、ログイン状態の維持およびサービス利用分析・セキュリティのため、クッキーや訪問識別子などの自動収集装置を使用します。

• 使用目的: ログインセッションの維持、訪問頻度・利用統計の分析、セキュリティおよび不正利用防止
• 拒否方法: ウェブブラウザの設定でクッキーの保存を拒否できますが、拒否するとログイン維持など一部機能の利用が制限されることがあります

12.個人情報の安全性確保措置

AxiPassは、個人情報が紛失・盗難・漏えい・改ざん・毀損されないよう、次の管理的・技術的・物理的措置を講じます。

• 管理的措置: 個人情報取扱権限の最小化およびロールに基づく分離、定期的な内部点検
• 技術的措置: 秘密情報（OAuth client_secret、TOTPシード、SCIMトークン、SWA認証情報など）のカラム暗号化（Lockbox）、パスワードの一方向暗号化、通信区間へのTLS適用、監査ログへの秘密情報の平文の不記録
• アクセス統制: テナント・ロールに基づくアクセス制御（マルチテナンシー分離）、運用環境のアクセス権限管理およびアクセス記録の保管
• 物理的措置: クラウドデータセンターの入退室管理およびセキュリティ施設の利用

13.個人情報保護責任者

AxiPassは個人情報保護法第30条に基づき本方針を策定・公開し、個人情報処理に関する業務を統括し、利用者の苦情処理および被害救済を担当する個人情報保護責任者を以下のとおり指定します。 — 氏名: 정은호（Jeong Eun-ho） / 役職: 代表 / 連絡先: 010-3140-2180 / メール: [email protected]。個人情報保護に関するお問い合わせ・苦情は保護責任者に申し出ることができ、会社は迅速かつ誠実に対応します。

14.満14歳未満の児童の個人情報

AxiPassはお客様組織が導入・管理するB2B業務用サービスであり、満14歳未満の児童を対象とせず、満14歳未満の児童の個人情報を収集しません。

15.権益侵害の救済方法

個人情報侵害に関する申告や相談が必要な場合は、以下の機関にお問い合わせいただけます。（韓国の機関）

• 個人情報侵害申告センター（KISA）: (局番なし) 118 / privacy.kisa.or.kr
• 個人情報紛争調整委員会: (局番なし) 1833-6972 / www.kopico.go.kr
• 大検察庁サイバー捜査: (局番なし) 1301
• 警察庁サイバー捜査局: (局番なし) 182 / ecrm.police.go.kr

16.処理方針の変更

本プライバシーポリシーは施行日から適用され、法令または会社の方針により変更される場合、施行7日前（重要または利用者に不利な変更は30日前）からサービス内告知またはメールで通知します。

17.お問い合わせ

個人情報、拡張機能のデータ処理、削除要請、セキュリティ脆弱性の報告は [email protected] までご連絡ください。管理対象テナントのユーザーは、所属組織のAxiPass管理者にもアクセス権限の変更やアカウント削除を依頼できます。