Privacy Policy / プライバシーポリシー

第1条（基本方針）

1. 合同会社AllNew（以下「当社」）は、Evidence Gate（以下「本サービス」）における個人情報の保護を重要な責務と認識し、個人情報の保護に関する法律（以下「個人情報保護法」）その他の関連法令を遵守します。
2. 本プライバシーポリシー（以下「本ポリシー」）は、本サービスの利用に関して当社が取得する情報の取り扱いについて定めるものです。

第2条（取得する情報）

当社は、本サービスの提供にあたり、以下の情報を取得します。

2.1 利用者が提供する情報

• テナント名
• メールアドレス
• GitHubリポジトリ情報（Organization名、リポジトリ名）
• 決済に必要な情報（Stripeを通じて処理。当社はクレジットカード番号等の決済情報を直接保持しません）

2.2 サービス利用に伴い生成される情報

• 評価エビデンスデータ（品質ゲートの判定に提出されたデータおよびその評価結果）
• API利用メトリクス（リクエスト数、評価回数、レート制限情報）
• APIキーのハッシュ値（SHA-256。平文のAPIキーは保存しません）
• 学習レコード（品質状態の改善に使用される匿名化済みデータ）
• GitHub OIDC認証トークンから取得される情報（リポジトリ名、サブジェクト識別子、発行者情報）
• ライセンスJWTに含まれるクレーム情報（テナント識別子、プランティア、発行者、鍵識別子、有効期限）
• Webhook連携設定データ（配信先URL、名前、トリガー条件、KMS暗号化済みWebhookシークレット、配信ログ（ステータス、HTTPステータスコード、タイムスタンプ））
• CloudEventsイベントデータ（評価結果の通知に使用されるイベントデータ。評価ID、合否、ステータス、ゲートタイプ、信頼度、課題数、評価日時を含む。エビデンス本文は含みません）

2.3 自動的に取得される情報

• APIリクエストに含まれるIPアドレス
• User-Agentヘッダー情報
• リクエストのタイムスタンプ

なお、本サービスはAPI基盤のサービスであり、CookieおよびWebトラッキング技術は使用しません。ダッシュボードにおいてもトラッキングCookieは設置しません。ただし、ダッシュボードでは利用者の利便性のため、利用者が入力したAPI接続情報をブラウザのLocalStorageに保存します。この情報は利用者のブラウザ内にのみ存在し、当社のサーバーには送信されません。

第3条（利用目的）

当社は、取得した情報を以下の目的に利用します。

1. 本サービスの提供、運営、維持および改善
2. 利用者のアカウント管理および認証
3. プラン管理、課金処理および請求
4. 品質ゲートの評価および結果の記録・保管
5. サービスの利用状況の分析および統計データの作成（匿名化処理を施したうえで実施）
6. レート制限およびサービス保護のための不正利用検知
7. 利用者への重要な通知（サービス変更、障害情報、セキュリティ通知等）
8. 利用者からの問い合わせへの対応
9. 法令に基づく対応（監査対応を含む）

第4条（第三者への提供）

1. 当社は、以下の場合を除き、利用者の個人情報を第三者に提供しません。
   • 利用者の同意がある場合
   • 法令に基づく場合
   • 人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
   • 公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
   • 国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
2. 当社は、本サービスの提供に必要な範囲で、以下の第三者（委託先）にデータ処理を委託することがあります。

   委託先	利用目的	提供されるデータ
   Amazon Web Services, Inc.	データの保存・処理・配信（DynamoDB, S3, EventBridge, SQS）	サービスデータ全般（暗号化して保存）
   Stripe, Inc.	決済処理	決済関連情報
   Langfuse GmbH（任意）	オブザーバビリティ（利用者が有効化した場合のみ）	評価トレースデータ
   Slack Technologies, LLC（利用者設定時のみ）	通知配信（利用者がWebhook連携先としてSlackを設定した場合のみ）	評価結果の要約データ

3. 当社は、委託先に対し、個人情報の適切な取り扱いを義務付け、監督します。

第5条（国際的なデータ移転）

1. 本サービスのデータは、原則としてAWSの東京リージョン（ap-northeast-1）に保存されます。
2. ただし、当社の委託先（AWS、Stripe、Langfuse）は米国法人または欧州法人であり、サービスの提供・保守にあたり、日本国外からデータにアクセスする場合があります。
3. 国外の第三者へのデータ提供にあたっては、個人情報保護法第28条に基づき、以下の措置を講じています。
   • Amazon Web Services, Inc.（米国）: 個人情報保護法施行規則第16条に基づく基準適合体制の確認（契約上の安全管理措置の確保を含む）
   • Stripe, Inc.（米国）: 同上（Stripeのデータ処理契約による安全管理措置の確保）
   • Langfuse GmbH（ドイツ）: EU域内の個人情報保護制度がGDPRに基づくことの確認（利用者が有効化した場合のみ）

第6条（利用者の権利）

利用者は、個人情報保護法に基づき、当社に対して以下の請求を行うことができます。

1. 開示請求: 当社が保有する利用者の個人情報の開示を請求すること
2. 訂正・追加・削除請求: 当社が保有する利用者の個人情報の内容が事実と異なる場合、訂正、追加または削除を請求すること
3. 利用停止・消去請求: 当社が利用目的の達成に必要な範囲を超えて個人情報を取り扱っている場合、またはその他法令に基づく事由がある場合、利用停止または消去を請求すること
4. 第三者提供の停止請求: 個人情報保護法に基づき、第三者への提供の停止を請求すること

上記の請求は、第11条に記載する連絡先までお申し出ください。当社は、請求者が本人であることを確認したうえで、法令に定める期間内に対応します。開示請求の手数料は無料です。

第7条（漏えい等の通知）

1. 個人情報の漏えい、滅失、毀損その他の個人データの安全の確保に係る事態（以下「漏えい等」）が発生し、またはそのおそれがある場合、当社は速やかに事実関係を調査し、影響を受ける利用者および個人情報保護委員会に対し、個人情報保護法に基づき通知・報告します。
2. 前項の報告は、事態を知った日から3日から5日以内に速報を行い、30日以内（不正の目的によるおそれがある場合は60日以内）に確報を行います。
3. 当社は、漏えい等の再発防止策を策定し、実施します。

第8条（安全管理措置）

当社は、個人情報の漏えい、滅失、毀損の防止その他の安全管理のために、以下の措置を講じています。

8.1 技術的安全管理措置

• 保存データの暗号化: AWS KMS（Key Management Service）による暗号化（DynamoDB、S3）
• 通信の暗号化: TLS 1.2以上の使用を強制
• APIキーの保護: SHA-256によるハッシュ化保存（平文保存なし）
• アクセス制御: テナント単位の論理的データ分離
• Webhook配信の完全性保護: HMAC-SHA256による配信ペイロード署名（署名用シークレットはKMSで暗号化して保存）
• SSRF対策: Webhook配信先URLのプライベートIPアドレス・予約済みIPアドレスへの接続を制限
• ライセンスJWTの署名: KMS非対称署名鍵（RSA_2048、SIGN_VERIFY）によるJWT署名

8.2 組織的安全管理措置

• アクセス権限の最小化原則に基づく権限管理
• インフラストラクチャのコード管理（AWS CDK）による設定変更の監査可能性の確保

8.3 人的安全管理措置

• 個人情報を取り扱う従業者に対する教育および監督
• 秘密保持に関する事項を就業規則等に規定

第9条（保存および削除）

データの種類	保存期間	根拠
評価結果	90日（TTLにより自動削除）	品質ゲート判定結果の短期参照のため
エビデンスファイル（S3）	テナント存続中＋解約後90日以内に削除	品質ゲート監査の継続性のため
改善記録	テナント存続中（解約後90日以内に削除）	品質改善ナレッジの蓄積のため
API利用メトリクス	400日（TTLにより自動削除）	課金・レート制限管理のため
品質スナップショット	365日（TTLにより自動削除）	品質トレンド分析のため
決済イベント	30日（TTLにより自動削除）	決済処理の冪等性保証のため
Webhook配信ログ	30日（TTLにより自動削除）	配信状態の確認のため
アカウント情報	アカウント存続中＋解約後90日以内に削除	契約履行および法令遵守のため
コンプライアンスアーカイブ	365日（S3ライフサイクルにより自動削除）	紛争解決のための匿名化済み課金・利用記録の保全

利用者がアカウントを削除した場合、当社はデータベース上のデータおよびオブジェクトストレージ上のエビデンスファイルを、解約日から90日以内に削除します。TTLにより自動削除されるデータ（評価結果、決済イベント等）は、それぞれの保存期間経過後に自動的に削除されます。法令に基づき保存が義務付けられるデータ、および下記のコンプライアンスアーカイブはこの限りではありません。

当社は、紛争解決および法令遵守の目的で、アカウント削除処理に先立ち、以下の情報を匿名化したうえでコンプライアンスアーカイブとして保存します。アーカイブには、ハッシュ化されたテナント識別子（SHA-256の先頭12文字）、ハッシュ化されたStripe顧客識別子、プラン情報、利用記録（期間、評価回数、API呼出数）、および課金イベント（イベント種別、数量、ゲートタイプ）が含まれます。テナント名、メールアドレスその他の直接的な個人識別情報は含まれません。アーカイブは365日後にS3ライフサイクルポリシーにより自動的に削除されます。

第10条（外部送信規律）

本サービスはAPI基盤のサービスであり、利用者の端末に情報を記録させ、または利用者の端末から情報を取得するCookie等の技術は使用しません。したがって、電気通信事業法に基づく外部送信規律（第27条の12）に基づく通知または公表の対象となる外部送信は行いません。

第11条（お問い合わせおよび苦情の申出先）

本ポリシーに関するお問い合わせ、第6条に基づく各種請求、および個人情報の取り扱いに関する苦情は、以下の連絡先までお願いします。

合同会社AllNew
個人情報取扱責任者: 代表社員
〒107-0052 東京都港区赤坂 8-4-14 青山タワープレイス8F
お問い合わせ: https://allnew.work/#contact

第12条（ポリシーの変更）

1. 当社は、法令の改正、事業内容の変更、またはその他の必要に応じて、本ポリシーを変更することがあります。
2. 重要な変更を行う場合、当社は変更の効力発生日の30日前までに当社ウェブサイトに掲示し、または利用者に電子メールで通知します。
3. 変更後の本ポリシーは、当社ウェブサイトに掲載した時点から効力を生じます。

Article 1 (Basic Policy)

1. AllNew LLC ("we", "us", or "the Company") recognizes the protection of personal information in connection with Evidence Gate (the "Service") as an important responsibility, and complies with the Act on the Protection of Personal Information (APPI) and other applicable laws and regulations.
2. This Privacy Policy (the "Policy") sets forth how we handle information collected in connection with the use of the Service.

Article 2 (Information Collected)

We collect the following information in connection with providing the Service.

2.1 Information Provided by Users

• Tenant name
• Email address
• GitHub repository information (organization name, repository name)
• Payment-related information (processed through Stripe; we do not directly store credit card numbers or other payment card data)

2.2 Information Generated Through Service Use

• Evaluation evidence data (data submitted for quality gate assessment and resulting evaluation outcomes)
• API usage metrics (request counts, evaluation counts, rate limit information)
• API key hashes (SHA-256; plaintext API keys are not stored)
• Learning records (anonymized data used for quality state improvement)
• Information obtained from GitHub OIDC authentication tokens (repository name, subject identifier, issuer information)
• Claims contained in license JWTs (tenant identifier, plan tier, issuer, key identifier, expiration)
• Webhook integration configuration data (destination URL, name, trigger conditions, KMS-encrypted webhook secret, delivery logs (status, HTTP status code, timestamps))
• CloudEvents event data (event data used for evaluation result notifications, including evaluation ID, pass/fail status, gate type, confidence, issue count, and evaluation timestamp; evidence body content is never included)

2.3 Automatically Collected Information

• IP addresses included in API requests
• User-Agent header information
• Request timestamps

The Service is an API-based service and does not use cookies or web tracking technologies. The dashboard also does not set tracking cookies. However, for user convenience, the dashboard stores API connection information entered by the user in the browser's LocalStorage. This information exists only within the user's browser and is not transmitted to our servers.

Article 3 (Purposes of Use)

We use collected information for the following purposes:

1. Provision, operation, maintenance, and improvement of the Service;
2. User account management and authentication;
3. Plan management, billing, and invoicing;
4. Quality gate evaluation and recording/storage of results;
5. Analysis of service usage and creation of statistical data (conducted after anonymization);
6. Fraud detection for rate limiting and service protection;
7. Important notifications to users (service changes, incident reports, security notices, etc.);
8. Responding to user inquiries;
9. Compliance with legal requirements (including audit response).

Article 4 (Disclosure to Third Parties)

1. We do not provide users' personal information to third parties except in the following cases:
   • With the user's consent;
   • As required by law;
   • When necessary for the protection of life, body, or property, and obtaining the individual's consent is difficult;
   • When particularly necessary for improving public health or promoting the sound development of children, and obtaining the individual's consent is difficult;
   • When cooperation with a government agency or local public body performing affairs prescribed by law is needed, and obtaining the individual's consent may impede the performance of such affairs.
2. We may entrust data processing to the following third parties to the extent necessary for providing the Service:

   Service Provider	Purpose	Data Provided
   Amazon Web Services, Inc.	Data storage, processing, and delivery (DynamoDB, S3, EventBridge, SQS)	General service data (stored encrypted)
   Stripe, Inc.	Payment processing	Payment-related information
   Langfuse GmbH (optional)	Observability (only when enabled by user)	Evaluation trace data
   Slack Technologies, LLC (only when configured by user)	Notification delivery (only when user configures Slack as a webhook destination)	Evaluation result summary data

3. We require our service providers to handle personal information appropriately and supervise them accordingly.

Article 5 (International Data Transfers)

1. Service data is stored primarily in the AWS Tokyo region (ap-northeast-1).
2. However, our service providers (AWS, Stripe, Langfuse) are US-based or EU-based entities and may access data from outside Japan in connection with providing or maintaining their services.
3. For provision of data to third parties outside Japan, we take the following measures in accordance with Article 28 of the APPI:
   • Amazon Web Services, Inc. (United States): Confirmation of standards-compliant systems pursuant to Article 16 of the APPI Enforcement Rules (including contractual safety management measures)
   • Stripe, Inc. (United States): Same as above (contractual safety management measures under Stripe's data processing agreement)
   • Langfuse GmbH (Germany): Confirmation that the EU personal information protection system is based on the GDPR (only when enabled by user)

Article 6 (User Rights)

Users may make the following requests to us in accordance with the APPI:

1. Disclosure: Request disclosure of personal information held by us about the user;
2. Correction, Addition, or Deletion: Request correction, addition, or deletion if the content of personal information held by us differs from the facts;
3. Suspension of Use or Erasure: Request suspension of use or erasure if we handle personal information beyond the scope necessary for achieving the purpose of use, or if other grounds exist under the applicable law;
4. Suspension of Third-Party Provision: Request suspension of provision to third parties in accordance with the APPI.

Please direct the above requests to the contact information in Article 11. We will verify the identity of the requester and respond within the period prescribed by law. There is no fee for disclosure requests.

Article 7 (Breach Notification)

1. In the event of a breach, loss, damage, or other incident affecting the security of personal data (a "Breach"), or where there is a risk thereof, we will promptly investigate the facts and notify affected users and the Personal Information Protection Commission in accordance with the APPI.
2. Preliminary reports shall be made within 3 to 5 days of becoming aware of the incident, and a full report shall be submitted within 30 days (or 60 days where the incident involves a risk of unauthorized purpose).
3. We will develop and implement measures to prevent recurrence of any Breach.

Article 8 (Security Measures)

We implement the following measures to prevent leakage, loss, or damage of personal information and to ensure its security.

8.1 Technical Security Measures

• Data-at-rest encryption: AWS KMS (Key Management Service) encryption for DynamoDB and S3
• Data-in-transit encryption: TLS 1.2 or higher enforced
• API key protection: SHA-256 hashing (no plaintext storage)
• Access control: Logical data isolation at the tenant level
• Webhook delivery integrity protection: HMAC-SHA256 payload signing (signing secrets encrypted via KMS)
• SSRF protection: Webhook destination URL validation restricting connections to private and reserved IP addresses
• License JWT signing: KMS asymmetric signing key (RSA_2048, SIGN_VERIFY) for JWT signature generation

8.2 Organizational Security Measures

• Access privilege management based on the principle of least privilege
• Infrastructure as Code (AWS CDK) to ensure auditability of configuration changes

8.3 Human Security Measures

• Education and supervision of employees who handle personal information
• Confidentiality provisions established in employment regulations

Article 9 (Retention and Deletion)

Data Type	Retention Period	Rationale
Evaluation results	90 days (automatically deleted via TTL)	Short-term reference for quality gate assessment outcomes
Evidence files (S3)	Duration of tenant + deleted within 90 days after termination	Continuity of quality gate auditing
Improvement records	Duration of tenant (deleted within 90 days after termination)	Accumulation of quality improvement knowledge
API usage metrics	400 days (automatically deleted via TTL)	Billing and rate limit management
Quality snapshots	365 days (automatically deleted via TTL)	Quality trend analysis
Payment events	30 days (automatically deleted via TTL)	Idempotency of payment processing
Webhook delivery logs	30 days (automatically deleted via TTL)	Delivery status verification
Account information	Duration of account + deleted within 90 days after termination	Contract fulfillment and legal compliance
Compliance archive	365 days (automatically deleted via S3 lifecycle)	Preservation of anonymized billing and usage records for dispute resolution

When a user deletes their account, we will delete database records and evidence files in object storage within 90 days of the termination date. Data subject to automatic TTL-based deletion (evaluation results, payment events, etc.) will be automatically deleted after their respective retention periods. Data required to be retained by law, as well as the compliance archive described below, is excepted.

For the purposes of dispute resolution and legal compliance, we create a compliance archive with anonymized data prior to account deletion processing. The archive includes a hashed tenant identifier (first 12 characters of SHA-256), a hashed Stripe customer identifier, plan information, usage records (period, evaluation count, API call count), and metering events (event type, quantity, gate type). Tenant name, email address, and other directly identifying personal information are not included. The archive is automatically deleted after 365 days via S3 lifecycle policy.

Article 10 (External Transmission Regulation)

The Service is an API-based service and does not use cookies or other technologies that store information on, or retrieve information from, the user's device. Accordingly, no external transmissions subject to notification or publication requirements under Article 27-12 of the Telecommunications Business Act are performed.

Article 11 (Contact Information and Complaints)

For inquiries regarding this Policy, requests under Article 6, and complaints regarding the handling of personal information, please contact us at:

AllNew LLC
Personal Information Officer: Representative Member
Aoyama Tower Place 8F, 8-4-14 Akasaka, Minato-ku, Tokyo 107-0052, Japan
Contact: https://allnew.work/#contact

Article 12 (Policy Amendments)

1. We may amend this Policy in response to changes in laws, changes in our business, or other necessities.
2. For material changes, we will post the amendment on our website or notify users by email at least 30 days before the effective date of the change.
3. The amended Policy shall take effect upon publication on our website.