プライバシーポリシー

事業者名：株式会社CREATIVE DESIGN PLATFORM ／ 所在地：〒450-0003 愛知県名古屋市中村区名駅南４丁目１番７号ＣＡＳＡ＋α名駅南２０２号室

当社は、本サービスの提供にあたり、次の情報を取得します。

• 氏名、メールアドレスその他のアカウント登録情報
• 決済に必要な情報（決済は決済代行事業者を通じて処理され、当社はカード番号そのものを保持しません）
• 利用者が診断・スキャンのために入力・アップロードするコード、設定、ファイル、URL 等の診断対象（Webからの入力のほか、API・MCP連携経由の入力を含みます）
• アクセスログ、IPアドレス、Cookie、利用状況、トークン使用量等の技術情報

当社は、取得した情報を次の目的の範囲で利用します。

• 本人確認および認証
• 本サービスの提供、維持、改善
• 利用料金の決済および利用枠（診断回数・トークン）の管理
• お問い合わせ対応およびご連絡
• 不正利用の検知・防止およびセキュリティの確保
• 本サービスに関するお知らせ、新機能・キャンペーン等のご案内の送信（メールでの配信を含みます。配信の停止をご希望の場合は、当社が送信するメールに記載の配信停止用リンク、または当該メールへのご返信により、いつでも停止できます）
• 法令に基づく対応

当社は、法令に基づく場合、または利用者の生命・身体・財産の保護のために必要な場合等を除き、あらかじめ利用者の同意を得ることなく、個人情報を第三者に提供しません。

当社は、利用目的の達成に必要な範囲で、以下の事業者に個人情報の取扱いを委託します。当社は委託先に対して必要かつ適切な監督を行います。

• Google Cloud（Cloud Run / Firebase）— アプリケーション基盤・認証・データベース
• Google（Gemini API）— AIによる診断処理
• Stripe — クレジットカード決済の処理

本サービスの一部の処理は、外国にある事業者の設備で行われる場合があります。特に、AIによる診断処理（Gemini API）は国外で実行されることがあります。これらの委託先は、当社との契約および各社のプライバシー・セキュリティ基準に従って個人情報を取り扱います。なお、利用者データの保存は原則として日本国内（Google Cloud 東京リージョン）で行います。

当社は、個人情報の漏えい、滅失または毀損の防止その他の安全管理のために、アクセス制御、通信および保存の暗号化、最小権限の原則等、必要かつ適切な措置を講じます。

アカウント情報、決済に関する記録、および 8. に定める保存対象の情報は、日本国内（Google Cloud 東京リージョン）に保存します。ただし、AIによる診断処理は、6. のとおり国外で実行されることがあります。これは処理のために一時的に取り扱われるものであり、当該処理のために保存されるものではありません。

利用者が入力したコード等の診断対象は、利用者の秘密を守るため、以下のとおり取り扱います。

• 診断処理の前に、APIキー・秘密鍵・トークン・メールアドレス等の秘密情報を可能な範囲で自動マスキングし、当該秘密情報がAIに送信されないようにします。
• 診断に用いる生成AIは、入力データが当該AI提供事業者のモデル学習に利用されない契約・設定のもとで運用します。
• マルウェアスキャンは、アップロードされたファイルを実行することなくその内容を検査します。
• API・MCP連携経由で入力されたコードについても、上記と同一の取扱いを行います。

8-1. 保存しないもの

当社は、利用者が診断・スキャンのために入力した対象「そのもの」を保存しません。具体的には、次のものを保存しません。

• 入力されたソースコードの本文
• アップロードされたファイル（検査後ただちに削除します）
• Web診断で取得したURLの応答内容
• 貼り付けた依存ファイル（package.json 等）の本文
• 修正コード・所見の全文

これらは、診断・スキャンの処理に必要な範囲でのみ一時的に扱われ、処理後は保持しません。

8-2. 保存する情報とその目的

当社は、次の情報を、それぞれの目的のために必要な範囲で保存します。8-1. に掲げるものは含みません。

（1）診断の記録（履歴・監視・証明書のため）

利用者がプロジェクトを選択して診断した場合、診断結果の要約（スコア、グレード、指摘件数、カテゴリ名、重大度、対象の版情報等）を保存します。これは、診断履歴の閲覧、前回結果との比較、公開後の継続監視、証明書の発行といった機能を提供するためです。これらの機能は、過去の記録がなければ成立しません。

保存期間は、Memberプランで90日間、Proプランで365日間です。期間の経過により自動的に削除されるほか、プロジェクトの削除、退会によっても削除されます。無料（Free）プランでは、診断結果を保存しません。

証明書を発行できるプランにおいて、記録先のプロジェクトを指定せずに診断した場合は、証明書の発行に備えて診断結果の要約を最長24時間のあいだ保持します。この情報は、証明書の発行時、または24時間の経過により削除されます。

継続監視のために登録された監視対象のURL、および案件識別のためのプロジェクト名を保存します。継続監視は定期的に自動実行される機能であり、対象を記録しておく必要があるためです。これらはプロジェクトの削除、退会により削除されます。

依存パッケージの脆弱性を後日通知するため、貼り付けられた依存ファイルから抽出したパッケージ名とバージョンを保存します。ファイルの本文は保存しません。これらはプロジェクトの削除、退会により削除されます。

（2）証明書（第三者への提示のため）

利用者が証明書を発行した場合、証明書に表示する情報（診断結果に由来するスコア、確認項目、対象URL等）を保存します。証明書は、第三者がログインせずに共有URLから閲覧できることを目的とするため、プロジェクトとは独立して保存されます。そのため、プロジェクトを削除しても証明書は残り、退会によって削除されます。退会した場合、共有URLは無効となります。

証明書の共有ページにおいて、利用者が任意でユーザー名・アプリ名を入力した場合、これらを保存します。入力は任意であり、入力しない場合は保存されません。

（3）運営のための記録

創業期メンバー向けの割引を重複して取得されることを防ぐため、決済時に決済代行事業者（Stripe）が発行する支払い手段の識別子を保存します。これはカード番号そのものではありません。

サービスの利用状況を把握するため、診断・スキャンの実行回数を、日ごと・無料／有料別に集計して保存します。これは件数を集計するものであり、個人を特定する情報とは紐づきません。

8-3. 削除について

保存された情報は、それぞれ定められた期間の経過、プロジェクトの削除、または退会によって削除されます。証明書は退会によって削除されます。

当社は、利用目的の達成に必要な期間、または法令で定められた期間に限り個人情報を保有し、その後は適切に削除または匿名化します。診断に関する情報の保存期間および削除については、8. に定めるとおりです。利用者がアカウントを削除した場合、当社は、法令上保存が必要な情報を除き、当該利用者のアカウント情報・利用量データ・診断の記録・証明書を合理的な期間内に削除します。監査・不正防止のためのログは、セキュリティ確保に必要な範囲・期間で保管します。

利用者は、当社が保有する自己の個人情報について、法令の定めに従い、開示、訂正、追加、削除、利用停止等を請求することができます。請求は、13. のお問い合わせ窓口までご連絡ください。

本サービスは、利便性の向上および利用状況の分析のために Cookie 等を利用することがあります。利用者は、ブラウザの設定により Cookie を無効化することができますが、その場合、本サービスの一部機能をご利用いただけないことがあります。

また、本サービスでは、第三者配信の広告事業者として Google を利用することがあります。Google をはじめとする第三者配信事業者は、Cookie を使用して、利用者の過去の本サービスや他のウェブサイトへのアクセス情報に基づいた広告を配信します。特に Google は、DoubleClick Cookie 等を使用することにより、利用者の興味・関心に応じたパーソナライズド広告を表示することがあります。

利用者は、Google の広告設定にアクセスすることで、パーソナライズド広告を無効化（オプトアウト）できます。あわせて、www.aboutads.infoでは、第三者配信事業者による Cookie の利用を一括して無効化することができます。

当社は、必要に応じて本ポリシーを変更することがあります。変更後の本ポリシーは、本サービス上に掲示した時点から効力を生じるものとします。

本ポリシーに関するお問い合わせは、[email protected] までご連絡ください。

本サービスの検出ナレッジには、MITRE Corporation が公開する CAPEC™（Common Attack Pattern Enumeration and Classification）のデータを含みます。CAPEC は © The MITRE Corporation に帰属し、CAPEC Terms of Use に基づいて利用しています。