プライバシーポリシー

株式会社Srush（以下「当社」といいます。）は、当社がSrushの名称で提供する分析サービス（以下「本サービス」といいます。）における、本サービスを利用する契約者（以下「契約者」といいます。）の個人情報を含む対象情報の取扱いについて、以下のとおりプライバシーポリシー（以下「本ポリシー」といいます。）を定めます。

• 1.1 本ポリシーにおいて、「対象情報」とは、次の各号に掲げる情報で、本ポリシーに基づき当社が取得するものをいいます。

  • 1.1.1 本サービスのアカウント作成のために契約者が登録した情報（氏名・名称、住所・本店所在地、メールアドレス、連絡先等を含みますが、これらに限られません。）その他契約者が本サービスを利用するために当社に、書面又は電磁的方法により提供又は開示した情報
  • 1.1.2 本サービスを、契約者の保有又は管理する電子端末により使用することで当社に記録される情報（端末情報、IPアドレス、ログ情報、Cookie（これに類する技術を含むものとします。以下、同じ。）及び匿名ID、位置情報等）
  • 1.1.3 契約者が本サービスの利用に当たり、外部連携の対象となる各種外部サービス（以下「外部提供サービス」といいます。）を利用するために入力した情報及び外部提供サービスを利用することで取得した情報（以下「入力情報」といいます。）
  • 1.1.4 契約者が本サービス上で保有又は生成する情報
  • 1.1.5 契約者が本サービスの利用にあたって第三者の提供する外部サービス（以下「第三者提供サービス」といいます。）を利用して取得した情報（以下「外部情報」といいます。）及び契約者が第三者提供サービスに入力した情報
  • 1.1.6 当社のパートナーネットワーク利用規約に基づき、契約者が本サービスを利用するために当社のパートナー企業に対し、書面又は電磁的方法により提供又は開示した情報及び契約者が登録した情報（氏名・名称、住所・本店所在地、メールアドレス、連絡先等を含みますが、これらに限られません。）
  • 1.1.7 契約者が本サービスの試用に当たって当社に対して提供したサンプルデータその他契約者が指定した上で提供した情報
  • 1.1.8 前各号の他、当社が取得する契約者の保有する個人情報（個人情報保護法第2条1項の定義によります。以下同じ。）及び個人関連情報（個人情報保護法第2条第7項の定義によります。以下同じ。）
  • 1.1.9 前各号の他、当社が取得する契約者の営業秘密（不正競争防止法第2条第2項の定義によります。以下同じ。）

• 1.2 前項に関わらず、以下の各号に掲げる情報（1.1.6に該当する情報を除く。）は、対象情報に含まれません。

  • 1.2.1 当社が契約者から取得した時点で既に公知であった情報
  • 1.2.2 当社が契約者から取得する以前から当社が保有していた情報
  • 1.2.3 当社が取得した後、当社の責に帰さない事由により公知となった情報
  • 1.2.4 当社が、契約者以外の第三者から、守秘義務を負うことなく正当に取得した情報
  • 1.2.5 契約者から取得した情報に基づくことなく、当社が独自に開発した情報

• 1.3 当社は、対象情報を無断アクセス、消失、破棄又は変更から守るため、管理面、技術面及び物理面におけるセキュリティ対策として、以下の措置を継続的に実施し更新します。

  • 1.3.1 ファイアウォールの設置、アクセス許可の対象IP及びポートの限定並びにデータ暗号化
  • 1.3.2 SQLインジェクション対策の実施
  • 1.3.3 ディレクトリ・トラバーサル対策の実施
  • 1.3.4 セッションIDの脆弱性解消策の実施
  • 1.3.5 クロスサイトスクリプティング対策の実施
  • 1.3.6 CSRF（クロスサイト・リクエスト・フォージェリ）対策の実施
  • 1.3.7 HTTPヘッダ・インジェクション対策の実施
  • 1.3.8 アクセス制御や認可制御の欠落に対する対策（認証機能の設置、認可制御の処理の実装及びなりすまし防止の実施を含みます。）
  • 1.3.9 バックドア及びデバッグオプション対策の実施
  • 1.3.10 HTMLソース等に含まれる開発者用コメントの削除その他のコメント対策の実施
  • 1.3.11 不審なアクティビティや潜在的なセキュリティ脅威を検出し、不審なアクティビティの遮断
  • 1.3.12 データの暗号技術を用いた保管及び各種パスワードの秘密鍵による暗号化の実施
  • 1.3.13 外部からのDoS攻撃を未然に防ぐ対策の実施
  • 1.3.14 ユーザー活動及びAPI使用状況を記録し、監査目的で使用できるログの定期的な分析の実施
  • 1.3.15 不要なディレクトリの参照防止措置
  • 1.3.16 メール、HTTP、FTP等で、電子メール及びファイルの送受信を行うサーバ並びに運用管理・開発移行に利用する端末におけるウイルス検知ソフトウェアの導入及び自動更新
  • 1.3.17 情報の利用者（取扱可能者）を特定し、取扱可能者以外の者は一切情報を取り扱わない体制
  • 1.3.18 情報の取扱いネットワーク外への持出しや送信を厳格に禁止する体制
  • 1.3.19 業務利用するPC等端末に対する二段階認証の設置及びログイン・ログアウトの記録保管
  • 1.3.20 業務利用するPC等端末の私的利用を厳格に禁止する体制
  • 1.3.21 外部記録端末の持込み・利用を厳格に禁止する体制
  • 1.3.22 業務利用するPC等端末にWinny等のファイル共有ソフトをインストールすることを厳格に禁止する体制
  • 1.3.23 情報の漏洩等の事故が発生した場合の対応手順や責任者のルール及びマニュアルの整備及び当該ルール及びマニュアルを運用可能な体制
  • 1.3.24 情報の漏えい・改ざんなど、事故が起きたとき時の対応手続及び運用体制
  • 1.3.25 情報の取扱い規程に違反した時の罰則規定及び運用体制
  • 1.3.26 情報保護の監査に関する規程及び運用体制
  • 1.3.27 毎年1回以上、情報の取扱いに関する監査の実施
  • 1.3.28 入社時及び以後毎年１回以上の当社役員、従業員、外部委託先その他の業務従事者に対する個人情報及び機密情報の管理に関する教育の実施
  • 1.3.29 外部委託先における上記各措置の適用並びに外部委託先における実施義務及び義務履践状況の査察手続を定めた契約書の締結

• 1.4 前項各号の措置にもかかわらず、万一、対象情報の漏洩、滅失、毀損その他の対象情報の安全の確保に係る事態であって、以下に掲げるもの（以下「漏洩等」といいます。）が生じたときは、当社は契約者に対し、速やかに当該事態の概要、漏洩等が発生し、又は発生したおそれがある対象情報に係る本人の数、漏洩等の原因、二次被害又はそのおそれの有無及び内容、本人への対応の実施状況、公表の実施状況、再発防止のための措置、その他参考情報（以下「通知事項」といいます。）を通知し、又は当社ウェブサイトにて公表します。

  • 1.4.1 個人情報保護法第2条第3項に定める「要配慮個人情報」が含まれる対象情報（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下本プライバシーにおいて同じ。）の漏洩等が発生し、又は発生したおそれがある事態
  • 1.4.2 不正に利用されることにより財産的被害が生じるおそれがある対象情報の漏洩等が発生し、又は発生したおそれがある事態
  • 1.4.3 不正の目的をもって行われたおそれがある対象情報の漏洩等が発生し、又は発生したおそれがある事態
  • 1.4.4 個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態