プライバシーポリシー

1. 情報を利用する目的

本ポリシーは、AwaI株式会社が提供する「脆弱性ハンター by withAwaI」（本サービス）に適用します。次の目的に必要な範囲で情報を取り扱います。

• アカウント登録、ログイン、メールアドレスの確認、アカウントの復旧と不正利用の防止。
• 診断対象の管理権限・実施許諾の確認と、利用者が指定・許可した範囲の診断、レポート、修正後の再検証。
• 利用枠の管理、セキュリティ確保、障害の検知・復旧、問い合わせへの対応。

個人情報、診断データ、メール送信で取り扱う情報を販売せず、広告配信、信用評価、生成AIモデルの学習には利用しません。現在の診断機能は、診断データを生成AIサービスへ送信しません。

2. 取り扱う情報と保存期間

アカウント・認証

メールアドレス、氏名、組織名、役割、パスワードの検証情報、暗号化した認証アプリの設定情報、認証状態を取り扱います。アカウントの利用中に保持し、退会による組織削除の完了時に削除します。パスワードの平文や復旧コードの平文を永続保存しません。

セッション・コード

ログインを維持するCookieと、認証・不正リクエスト防止に必要な情報を使います。認証用コードは目的・期限・単回使用を検証し、失効後に整理します。広告用の追跡Cookieは本サービスに設置していません。

診断対象・許諾

対象ホスト、環境、管理権限の確認、許可された範囲・期限を保持します。登録資産は利用中に保持し、診断時点の対象情報は診断履歴とともに整理します。組織削除では登録資産も削除します。

診断履歴・証拠

診断終了から90日を標準保存期間とし、実行条件、観測結果、指摘、対応・再検証の履歴を期限処理で削除します。既存アカウントは初回ログインで告知を受けてから90日間の移行期間を設け、画面に適用日を表示します。処理中の診断は終了後に整理します。

画面内通知・利用量

画面内通知は作成から90日、または関連する診断の削除に合わせて整理します。履歴削除後の利用量は、対象サイトや診断への参照を持たない集約記録へ置き換え、組織削除時に消去します。

監査・障害監視

権限や設定の変更を監査し、90日の履歴整理では古い記録を最小限の検証用記録へ置き換えます。組織削除後は個人・対象サイト・証拠を含まない消去完了記録へ置き換えます。障害監視の集計記録は30日間保持します。

メール送信

宛先、固定の件名・案内文、確認コードと期限を扱います。送信待ちデータからは送信開始・失効・取消時に宛先とコードを除き、送信状態の終端記録は24時間後に整理します。Resend・受信者側に保存されたメールには別の保存・削除の扱いが適用されます。

問い合わせ

返信先、問い合わせ本文、対応に必要な情報をGmailで受け取り、回答・問題の解決に利用します。対応と必要な記録保持の目的が終了した情報は整理します。不要な診断証拠や機密情報を本文に含めないでください。

アクセス・デモ

通信経路ではIPアドレス、HTTPメタデータなどがCloudflareで処理されます。基盤側のログは同社の設定・規定に従います。体験パスで利用するデモは架空データを使用し、その操作データは最大24時間で整理します。

期限に達した記録は定期処理で整理します。期限時刻と物理的な消去時刻には差が生じることがあります。利用者がダウンロード・共有したレポートの複製は、本サービスから遠隔で削除できません。

3. アカウント関連メールの取り扱い

メール機能を有効化した場合、Resendを利用してアカウント確認・再設定などのメールを送信します。送信元は notify@mail.withawai.com、返信先は support@withawai.com です。現在の機能の利用可否は利用ガイドとアカウント画面に表示します。

アクセスする情報と用途

アカウント関連メールの送信のために、利用者にGoogleログインやGmailへのアクセス権を求めません。受信箱、既存メール、連絡先、カレンダーを読み取りません。

Resendへ送る内容は、宛先、固定の送信元・返信先・件名・案内文、確認コードと期限です。診断対象ホスト、診断証拠、利用者の自由入力を自動配信メールに含めません。Resendから受け取る送信結果は、メール送信の成功・失敗の確認にだけ使います。

保存・共有・削除

送信に必要な資格情報はCloudflareの秘密情報管理機能で保持し、ブラウザや公開コードへ配信しません。運営者が連携を解除する場合は、Resend側のAPIキーを無効化し、本サービスの資格情報を削除して送信を停止します。

送信内容は配信のためにResendと受信者のメール基盤へ渡ります。受け取った情報を、広告事業者、データ販売事業者、AI学習サービスへ転送しません。運営上のアクセスは、依頼されたサポート、セキュリティ対応、法令上必要な対応に必要な範囲へ制限します。

旧Gmail送信経路でGoogle APIから受け取った情報の利用および他のアプリへの転送は、Limited Useの要件を含むGoogle API Services User Data Policy（新しいタブ）に従います。問い合わせの受付には引き続きGoogle（Gmail）を利用します。

4. 外部サービス・安全管理

登録とデモ開始の不正な自動操作を防ぐため、Cloudflare Turnstileを利用します。確認のためにIPアドレスやブラウザー等の技術情報がCloudflareへ送信されます。確認用トークンは入口で検証し、登録情報や診断データには保存しません。詳しくはCloudflare Turnstileのプライバシーポリシー（新しいタブ）をご確認ください。

本サービスの提供に必要な範囲で、次の外部サービスを利用します。日本国内だけで保存・処理するサービスではなく、国外で取り扱われる場合があります。

• Cloudflare：Web配信、アプリケーション実行、データ保存、アクセス保護、障害監視の基盤。Cloudflareのプライバシーポリシー（新しいタブ）
• Resend：アカウント関連メールの配信。Resendのプライバシーポリシー（新しいタブ）
• Google（Gmail）：運営者宛ての問い合わせ受付。Googleのプライバシーポリシー（新しいタブ）
• Slack：運営者の専用非公開チャンネルへの障害通知。接続を有効化した場合に製品名、固定の監視項目名、異常・継続・回復の区分、時刻を送り、利用者のメールアドレス、対象ホスト、証拠本文を含めません。接続確認時は、実際の障害ではないことと確認時刻を記載します。Slack側の投稿の保持は、ワークスペースの設定に従います。Slackのプライバシーポリシー（新しいタブ）

保存レコードの暗号化、組織ごとのデータ分離、多要素認証、権限の確認、監査記録、秘密情報の分離により、情報の保護を図ります。サービス提供上必要な処理、利用者の同意がある場合、法令に基づく場合を除き、個人情報を第三者へ提供しません。

診断は権限を確認した対象の許可範囲に限ります。検査用の入力には個人情報を使わず、検証環境では架空データを使用してください。取得・保存する証拠は診断に必要な範囲へ制限します。

5. 退会・組織削除と復旧用の記録

組織の管理責任者（owner）が再認証を行って組織削除を申し込むと、通常の利用を停止し、7日間の猶予期間を設けます。猶予中は取り消せます。猶予後、処理の停止と消去条件を確認し、全メンバー、登録資産、診断履歴を削除します。

削除後の監査記録は、個人・対象サイト・証拠を含まない最小限の消去完了記録へ置き換えます。過去の復旧データから削除済み情報が再表示されることを防ぐため、組織識別子を鍵付きで変換した照合値と消去日等を別に保持します。元のメールアドレスや対象サイトは、この照合記録に保存しません。

Cloudflareの復旧用履歴には、削除前のデータが最大30日間含まれることがあります。復旧時は隔離した状態で現在の消去記録を再適用します。この履歴は、退会後に個別データを復元するための保存サービスではありません。

6. 開示・訂正・削除等のご相談

個人情報の開示、訂正、利用停止、削除、取り扱いに関する質問・苦情は、運営者 AwaI株式会社 が support@withawai.com で受け付けます。対象となる手続きと登録メールアドレスをお知らせください。

本人・代理人であることを必要な範囲で確認したうえで、法令に従って対応します。ご希望に対応できない場合は、その理由をご案内します。問い合わせにパスワード、認証アプリのコード、復旧コードを記載しないでください。受付時間や回答・復旧時間の保証は設けていません。

情報の漏えい等が疑われる場合は、被害の拡大防止と影響確認を行い、法令に従って必要な報告・本人への通知に対応します。

7. ポリシーの変更

運営主体、送信元、利用目的、委託先、保存期間等を変更する場合は、このページの適用日と内容を更新します。利用者への重要な変更はサービス内等でお知らせし、法令上同意が必要な場合は同意を取得します。