プライバシーポリシー

第1条（事業者）

第2条（取得する情報）

当社は、本サービスの提供にあたり、次の情報を取得します。

1. 送信者（利用者及びメンバー）の情報：氏名、メールアドレス、組織名、ログインの記録（日時、IPアドレス、ブラウザの情報）、パスキーを登録した場合はその公開鍵と名前、料金プラン及び契約の状態、お問い合わせの内容
2. 署名者及びCCの情報：送信者が入力する氏名及びメールアドレス、署名の手続での操作の記録（開封、本人確認、署名、辞退の日時）、IPアドレス、ブラウザの情報（ユーザーエージェント）
3. 文書及び署名欄に入力された内容（手書きの署名や印影の画像、文字等）：送信者又は署名者のブラウザで暗号化された状態でのみ受け取り、保管します。当社は復号に必要な鍵を保存しません。ただし、完成文書を作成して電子署名を付す処理の間に限り、当社の自動の処理（AWS 東京リージョン）がそのメモリ内で復号します。また、完成文書、完了証明書及び索引CSVを添付した完了の電子メールは、暗号化されずに Amazon SES 及び受信者それぞれのメールサービスを通ります。
4. 封筒の情報：送信者が入力する件名、取引年月日、金額及び取引先、並びに送信内容の記録（署名者及びCCの氏名とメールアドレス、署名欄の位置）。これらは暗号化せずに保存します。
5. 決済の情報：クレジットカードの情報は決済代行事業者である Stripe, Inc. が直接取得し、当社のサーバーを通らず、当社は保存しません。当社は Stripe から、顧客を識別する番号、契約及び支払いの状態、請求先のメールアドレス等を受け取ります。
6. アクセスの記録：本サービスへのアクセス時のIPアドレス、日時、URL、ブラウザの情報

第3条（利用目的）

当社は、取得した情報を次の目的で利用します。

1. 本サービスの提供（アカウントの管理、パスキーによるログイン、署名依頼・確認コード・お知らせ・完了通知の送信、CCへの完成文書の送付、文書への署名の反映、電子署名の付与、完了証明書及び索引CSVの作成）
2. 本人確認、並びに署名の経過の記録及び証明（監査ログ、完了証明書、検証ページでの照合）
3. 料金の請求及び決済
4. 不正利用の防止、セキュリティの確保及び障害の調査
5. お問い合わせへの対応
6. 利用規約の変更、本サービスの変更・中断・終了その他重要なお知らせの送付
7. 本サービスの改善（個人を識別できない形の統計を作成して行います。）
8. 法令に基づく対応及び紛争への対応

当社は、広告の配信を目的として個人情報を利用しません。

第4条（保存期間）

1. 暗号化された文書（PDF）及び署名欄に入力された内容、並びにこれらを開く鍵を包んだデータ：封筒の完了後、Free プランは7日、Standard プランは30日で削除します。送信者が送付後すぐに削除する設定をした場合は、完成文書等の送付がすべて済んだ時（添付できずダウンロード用リンクで送付した場合は、そのリンクの期限（72時間）が過ぎた時）に削除します。完了しなかった封筒は、終了後30日で削除します。送信者は、これより前にいつでも削除できます。
2. 完成文書に封をするために預かる、暗号化された鍵：封をし終えた時に消去します。封をしないまま24時間を過ぎたものは使えなくなります。
3. 文書のハッシュ値、監査ログ及び封筒の情報（件名、当事者の氏名及びメールアドレス、本人確認の方法、取引年月日、金額、取引先等）：証拠の保全及び検証のため、原則として作成から10年間保存します。
4. 送信者のアカウントの情報：利用登録の抹消まで保存します。抹消後は、前号の記録に含まれるもの及び法令により保存が必要なもの（会計に関する記録等）を除き、合理的な期間内に削除します。
5. 送信者のブラウザに保存される鍵：送信者の端末のブラウザの保存領域（IndexedDB。使えない場合はそのタブの保存領域（sessionStorage））に保存され、当社のサーバーには送られません。送信者がブラウザのデータを消去するまで（プライベートウィンドウではウィンドウを閉じるまで）、その端末に残ります。ログインしていない状態で送信控えのリンクを開いた場合は、ログインの後に鍵を受け取れるよう、最長2時間、そのブラウザの保存領域（localStorage）に置きます。署名者のブラウザでは、署名の手続の間だけ、そのタブの保存領域（sessionStorage）に鍵を置き、タブを閉じると消去されます。
6. 2026年10月24日より前に送信された封筒の文書：旧方式（当社のサーバーの鍵による暗号化）で保管しており、前各号の時期又は2027年1月22日のいずれか早い時期までに削除します。
7. アクセスの記録及びお問い合わせの内容：不正利用への対策、障害の調査又はお問い合わせへの対応に必要な期間保存します。

第5条（第三者への提供）

1. 当社は、次の場合を除き、あらかじめ本人の同意を得ることなく、個人データを第三者に提供しません。
   1. 法令に基づく場合
   2. 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
   3. 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
   4. 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
   5. 業務の委託又は事業の承継に伴って個人データが提供される場合
2. 本サービスは、契約の当事者の間で署名の経過を示すことを目的とするため、次の情報を封筒の当事者（送信者及び署名者）並びに送信者が指定したCC（写しの受取人）に提供します。送信者は利用規約への同意により、署名者は署名の手続を進めることにより、この提供に同意するものとします。
   1. 署名依頼のメールで、送信者の氏名、組織名及びメールアドレスを署名者に通知します。
   2. 封筒の完了時に、完成文書、完了証明書及び監査ログの抜粋（各署名者の氏名、メールアドレス、本人確認の方法、操作の日時、IPアドレス及びブラウザの情報を含みます。）を、送信者、すべての署名者及びCCに送付します。
   3. 検証ページで、利用者の手元の文書と当社の記録が一致した場合に、その文書の当事者と署名日時の要約を表示します。

第6条（業務の委託及び外国にある第三者への提供）

1. 当社は、利用目的の達成に必要な範囲で、個人データの取扱いを次の事業者に委託しています。

   委託先（所在国）	委託する業務
   Cloudflare, Inc.（アメリカ合衆国）	サーバー、データベース及び文書の保管（文書は暗号化された状態でのみ保管し、復号に必要な鍵は保存しません。）
   Amazon Web Services, Inc.（アメリカ合衆国。Lambda・KMS・SES の処理は東京リージョン、CloudFront は各地の拠点）	通信の中継（Amazon CloudFront：すべてのアクセスのIPアドレス、Cookie、送受信されるデータ）、完成文書の作成と電子署名の処理（この処理の間だけ、メモリ内で文書を復号します。）、電子署名の鍵の管理（AWS KMS）、署名依頼・確認コード・完了通知等の電子メールの配信（Amazon SES。完成文書等を添付した完了の電子メールは暗号化されずに配信されます。）
   Stripe, Inc.（アメリカ合衆国）	クレジットカード決済、請求及び領収書の発行

2. 個人データは、Cloudflare, Inc. が運営する日本国外のデータセンターで保存又は処理されることがあります。Amazon Web Services, Inc. による Lambda・KMS・SES の処理は、東京リージョンで行います。Amazon CloudFront による通信の中継は、日本国外を含む各地の拠点で行われることがあります。
3. アメリカ合衆国の個人情報の保護に関する制度については、個人情報保護委員会が公表している「外国における個人情報の保護に関する制度等の調査」をご覧ください。
4. 当社は、第1項の委託先との間で、個人データの取扱いに関する条項を含む契約を締結し、個人情報の保護に関する法律に基づき個人情報取扱事業者が講ずべき措置に相当する措置が継続的に講じられるよう、その内容と実施状況を確認しています。本人の求めがあった場合は、この措置に関する情報を提供します。

第7条（安全管理措置）

当社は、個人データの漏えい、滅失又は毀損の防止その他の安全管理のため、次の措置を講じています。

1. 基本方針の策定：本ポリシーを定め、公表しています。
2. 規律の整備：個人データの取得、利用、保存、削除の方法と、それぞれの担当者及び手順を定めています。
3. 組織的安全管理措置：個人データの取扱いの責任者を定め、法令や規律に反する事実やその兆候を把握した場合の報告及び対応の体制を整えています。
4. 人的安全管理措置：従業者に、個人データの取扱いに関する教育を行い、秘密の保持について定めています。
5. 物理的安全管理措置：当社は本サービスのサーバーを自ら保有せず、物理的な安全管理が行われたクラウドサービスを利用しています。業務に使う端末の盗難や紛失を防ぐ措置を講じています。
6. 技術的安全管理措置：管理のための権限を必要な者に限り、通信を暗号化（HTTPS）しています。文書は利用者のブラウザで暗号化（AES-256-GCM）された状態で受け取り、復号に必要な鍵は保存しません。電子署名の鍵は、外へ取り出せない設定で鍵管理サービス（AWS KMS）に保管しています。確認コードやアクセスコードはハッシュ化して保存し、監査ログは書き換えや削除ができない仕組みで記録しています。
7. 技術的安全管理措置の限界：当社の稼働中のシステムが第三者に不正に操作された場合、その間に送信、署名又は封をされた文書、及びその間に本サービスのページを開いた送信者のブラウザに鍵が保存されている文書は、読まれるおそれがあります（詳しくは「安全性と仕組み」のページで説明しています）。
8. 外的環境の把握：前条のとおり、アメリカ合衆国の事業者のサービスを利用しており、通信の中継（Amazon CloudFront）は日本国外の拠点で行われることがあります。同国の個人情報の保護に関する制度を把握したうえで、安全管理措置を講じています。

第8条（開示等の請求）

1. 本人は、当社に対し、保有個人データの利用目的の通知、開示（第三者提供記録の開示を含みます。）、内容の訂正・追加・削除、利用の停止・消去、及び第三者への提供の停止を請求することができます。
2. 請求は、お問い合わせ窓口（support@beyondxbrain.com）までメールでご連絡ください。ご本人であること（代理人による場合は代理権）を確認したうえで、法令に従って遅滞なく対応します。
3. 監査ログは、署名の経過を証明するため、書き換えや削除ができない仕組みで保存しています。そのため、法令上認められる範囲で、訂正や削除の請求に応じられない場合があります。その場合は、理由をご説明します。
4. 当社は、文書及び署名欄に入力された内容を、復号に必要な鍵を持たない暗号化された状態でしか保有していません。そのため、これらの内容を読める形で開示することはできません。

第9条（Cookie及びブラウザへの保存）

1. 本サービスは、ログインの状態と署名の手続を保つために必要な Cookie だけを使います。
2. 広告のための Cookie やトラッキングの技術、アクセス解析のツールは使いません。
3. ブラウザの設定で Cookie を無効にすると、ログインと署名ができなくなります。
4. 本サービスは、文書を開く鍵を、送信者のブラウザの保存領域（IndexedDB）及び署名者のブラウザのタブの保存領域（sessionStorage）に保存します。ログインしていない状態で送信控えのリンクを開いた場合は、最長2時間、ブラウザの保存領域（localStorage）にも置きます。これらは当社のサーバーには送られません。ブラウザがこれらの保存を許可しない場合（プライベートブラウズ等）は、送信控えの電子メールで鍵の控えを受け取る必要があります。

第10条（本ポリシーの変更）

1. 当社は、法令の改正や本サービスの変更に合わせて、本ポリシーを変更することがあります。
2. 重要な変更を行う場合は、本サービス上への掲示又は電子メールでお知らせします。

第11条（お問い合わせ窓口）

個人情報の取扱いについてのご質問、ご相談、苦情は、次の窓口までご連絡ください。