最終更新日 / Last updated: 2026-10-13
本ポリシーは弁護士監修前の暫定版（日本法準拠フィルタ済み）です。確定版は弁護士監修完了後に差し替えます。
株式会社Atasino（以下「当社」）は、docspi.ai（以下「本サービス」）の提供にあたり、 ユーザーの個人情報を以下のとおり取り扱います。本ポリシーは、日本の 個人情報保護法（APPI）および EU 一般データ保護規則（GDPR）に準拠して 策定されています。
当社は、本サービスの提供のため、以下の個人情報を収集します:
当社は、人種、信条、社会的身分、病歴、犯罪歴等の要配慮個人情報 （個情法第 2 条第 3 項）を意図的に収集することはありません。万一 ユーザーコンテンツに要配慮個人情報が含まれる場合、ユーザーは 当該情報の取扱について自己責任を負うものとします。
当社は、以下の利用目的の達成に必要な範囲で個人情報を取り扱います。 利用目的を変更する場合は、変更後の目的が当初の目的と関連性を 有する範囲を超えないものとし、ユーザーに通知または公表します。
| データ種別 | 利用目的 |
|---|---|
| 登録情報 | アカウント認証、サービス提供、本人確認、不正利用防止 |
| ユーザーコンテンツ | ドキュメント保存・表示・検索、AI 要約・推薦、 バックアップ、エクスポート機能の提供 |
| 外部連携データ（Google Drive） | ユーザーが選択したファイルを本人の仮想ツリーに表示し、本人または 本人が許可したエージェントが読み取れるようにすること（第 11 章） |
| 利用ログ | 不正アクセス検知、サービス改善、統計分析（個人を特定しない形式）、 法令遵守の証跡管理 |
| 決済情報 | 課金処理、請求書発行、税務申告、不正取引検知 |
| 連絡先 | 重要なお知らせ、サポート対応、マーケティング（同意がある場合のみ） |
| サポート対応情報 | お問い合わせ対応、サービス品質改善 |
第三者提供の原則禁止: 当社はユーザーの個人情報を販売せず、ユーザーの事前同意なく 第三者に提供しません。以下の場合に限り第三者に提供することがあります:
外国にある第三者への提供（個情法第 28 条）: 一部の第三者プロセッサは日本国外（米国、EU 等）にデータを保管します。 当社は以下のいずれかの措置を講じた上で海外移転を行います:
当社は本サービス提供のため、以下の第三者プロセッサ（委託先）を 利用します。委託先に対しては、個情法第 25 条に基づき必要かつ適切な監督を行います。
「利用状況」欄の常時は本サービスの稼働に不可欠で 常に利用されるもの、設定により有効化は当社の運用設定に応じて有効・無効が切り替わり、無効時は当該 プロセッサへデータが送信されないものを指します。下表は当社が 利用しうるプロセッサを網羅的に開示するものです。
| プロセッサ | 用途 | 所在地 | 利用状況 |
|---|---|---|---|
| Cloudflare | CDN・WAF・DNS | 米国（グローバル） | 常時 |
| Cloudflare Access | ゼロトラストアクセス・SSO 認証 | 米国（グローバル） | 設定により有効化（SSO を構成した Enterprise テナントのみ） |
| AtsPayment | 決済処理・請求書発行（PCI-DSS 準拠）。決済の実行にあたっては、 AtsPayment を通じて国外に所在する決済事業者・カード決済 ネットワークが再委託先として関与する場合があります。 | 日本（再委託先は日本国外を含む） | 常時 |
| Google OAuth | SSO 認証 | 米国（グローバル） | 常時 |
| Resend | トランザクションメール送信 | 米国 | 設定により有効化 |
| Sentry | エラー監視・例外トラッキング | 米国 | 設定により有効化 |
| Datadog | ログ・メトリクス監視 | 米国 | 設定により有効化 |
| GitHub OAuth | SSO 認証 | 米国 | 設定により有効化 |
上記のほか、本サービスのアプリケーション・データベースの稼働環境は、 外部のクラウド／IaaS 事業者から提供を受けています。決済に関する処理は 上記 AtsPayment を通じて行われ、その先で外部の決済事業者へ再委託される 場合があります。これらの再委託先を含む委託先の名称・所在地の一覧は、 第 8 章の窓口へご請求いただいた場合に開示します。
プロセッサの追加・変更が生じた場合は、本ポリシーを改訂し 第 12 章の改訂履歴に記載します。
当社は、利用目的の達成に必要な期間、または法令で定められた期間、 個人情報を保管します:
ユーザーは個人情報保護法（第 33 条 - 第 39 条）および GDPR （Article 15-22）に基づき、以下の権利を有します:
これらの権利を行使する場合は、第 8 章のお問い合わせ窓口までご連絡ください。 当社は、本人確認の上、原則として 30 日以内に回答します。複雑な請求の場合は さらに 30 日延長することがあり、その旨ユーザーに通知します。
個人情報の取扱に関するお問い合わせは下記までお願いいたします:
事業者: 株式会社Atasino
所在地: 〒100-0005 東京都千代田区丸の内一丁目8番3号 丸の内トラストタワー本館20階
個人情報保護管理責任者: 代表取締役 藤村 友祥
連絡先: [email protected]
EU/EEA 在住のユーザーに対し、当社は GDPR に基づくデータ管理者 （Data Controller）として行動します。各処理の法的根拠 （Art. 6(1)）は以下のとおりです:
データ移転については、欧州委員会の標準契約条項（SCC、2021 年版）または 同等の保護措置を講じます。EU 監督機関への苦情申立も可能です。 当社は EU 域内に代理人（Art. 27 representative）を置く必要が生じた場合、 本ポリシーを改訂し連絡先を記載します。
日本在住のユーザーに対し、当社は個人情報保護法（APPI）に基づく 個人情報取扱事業者として、以下を遵守します:
当社は個人情報の漏えい・滅失・毀損が発生した場合、個情法第 26 条に 基づき個人情報保護委員会への報告および本人通知を遅滞なく行います。
Limited Use 要件への準拠: Docspi による Google API から受け取った情報の利用および他のアプリへの転送は、 Limited Use 要件を含む Google API Services User Data Policyに準拠します。
openid・email・profile のみを要求し、アカウントの作成と認証（識別子、メールアドレス、表示名、 プロフィール画像）に使用します。ログインの際に Google Drive の権限は要求しません。https://www.googleapis.com/auth/drive.file のみを要求します。このスコープで当社がアクセスできるのは、ユーザーが Google Picker で選択したファイルに限られ、Drive 内のその他のファイルや フォルダ配下には及びません。これ以外の Drive スコープが付与された場合、 当社は連携を拒否し、その付与を取り消します。Google ユーザーデータは、ユーザーが Docspi 上で利用する次の機能の提供・改善のためにのみ使用します: 選択したファイルをユーザー本人の仮想ツリーに表示すること、ファイルの更新・削除・ アクセス権の喪失を検知して表示に反映すること（Drive の変更履歴の定期取得）、 およびユーザー本人（またはユーザーが許可したエージェント）が本文を読めるようにすること。 エージェントが Drive 由来のファイルを読むには、ユーザーが連携（マウント）ごとに エージェントへの公開を明示的に設定し、かつエージェントのトークンに外部ソースの 読み取り権限（read:external）が付与されている必要があります。
Cache-Control: private, no-store を付与します。ただし、同じ本文の再取得を減らすため、サーバーのメモリ上にのみ 暗号化した状態で一時的に保持することがあります（既定の保持時間は最大 10 分、 1 ファイルあたり最大 2 MiB。ファイルの更新・マウントの削除・連携解除の際は 直ちに破棄し、サーバーの再起動でも失われます）。Google Drive 連携は段階的に提供しており、すべてのお客様の環境で利用できるとは限りません。 連携の仕様を変更する場合（要求するスコープの追加を含む）は、変更の前に本ポリシーを改訂し、 第 12 章の改訂履歴に記載し、アプリ内でもユーザーの同意を取得します。
Limited Use disclosure: Docspi's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
Scopes and data. Signing in with Google requests only openid, email and profile, used to create and authenticate your account. Google Drive access is an optional feature that you start yourself, as a separate consent from sign-in, and requests only https://www.googleapis.com/auth/drive.file. With this scope we can access only the files you select in Google Picker; it does not reach other files in your Drive or the contents of a folder. If any other Drive scope is granted, we refuse the connection and revoke the grant. We obtain and store: (a) OAuth tokens; (b) an identifier of the connected Google account (the e-mail address is kept only in a masked form, showing just its first two characters and its domain, and the account identifier only as an HMAC value); (c) the identifier, name, type (MIME), size and version information of the files you select; and (d) the body of a file when you, or an agent you have allowed, open it (Markdown files and the Markdown/plain-text export of Google Docs).
Purpose.We use Google user data only to provide and improve the user-facing features you use in Docspi: showing the files you selected in your own virtual tree, reflecting updates, deletions and loss of access (by periodically reading Drive's change list), and letting you, or an agent you allow, read the content. For an agent to read Drive-based files, you must explicitly enable exposure to agents for that connection (mount), and the agent's token must also carry the external-source read permission (read:external).
Storage, encryption and retention. Refresh tokens are stored in our database encrypted with a per-tenant AES-256-GCM key that is itself protected by a separate key (envelope encryption), in a table and with keys separate from the sign-in credentials. Access tokens are never written to the database or disk; they are held only in server memory until they expire. File bodies are not stored in our database, on disk, in backups or in logs. A body is fetched from Google each time it is requested, and the response is sent with Cache-Control: private, no-store. To reduce repeated fetches, an encrypted copy may be held temporarily in server memory only (by default for at most 10 minutes and at most 2 MiB per file); it is discarded immediately when the file changes, the mount is removed or the connection is disconnected, and it is lost when the server restarts. File metadata (identifier, name, type, size, version) is kept in your tenant while the connection is active. The fact that a Drive body was read (time, reader, target identifier, size) is recorded in the tamper-resistant audit log described in Section 6; the body itself is not. We do not currently create or store search indexes, summaries or embeddings from the body of Drive files; if we offer them in the future, it will only be with your explicit consent per connection, and we will update this policy and its revision history.
Disconnecting and deletion.You can disconnect Google Drive at any time in the connection settings. On disconnect we ask Google to revoke the token, delete the encrypted token we hold and discard any in-memory copy of file bodies; depending on your choice at that time, mounted files are removed from your virtual tree or only their structure (names and placement) is kept. If revocation at Google fails, our own deletion still continues and the outcome is recorded. You can also revoke Docspi's access at any time at https://myaccount.google.com/permissions; the connection is then treated as invalid at the next request and the same deletion is performed. For automatic disconnections (token revocation, leaving the tenant, forced disconnection by an administrator), the original Drive identifiers are erased immediately even when the structure is kept, and the retention of that structure expires after 30 days. Deleting your account disconnects Drive first. You may also send requests to access, correct or delete Google user data through the contact in Section 8.
Transfer, sale and human access. We do not sell Google user data, use it for advertising (including retargeting, personalized or interest-based advertising), provide it to data brokers or information resellers, or use it to determine creditworthiness. We do not transfer it to third parties except as permitted by the Limited Use requirements: where necessary to provide the user-facing feature with your consent, for security purposes (such as investigating abuse), to comply with applicable law, or in a merger, acquisition or sale of assets with prior notice to you. The data is processed on the hosting environment described in Section 4, and we do not provide it to those providers beyond that purpose. Google user data is returned to an agent only if you allow it, and only to an agent holding a token you issued; this is a transfer you direct, not a disclosure by us to a third party. In the current implementation, the body and metadata of Google Drive files are not sent to any external LLM provider or embedding provider. We do not use Google user data to develop, improve or train generalized AI or machine-learning models. Our personnel do not read Google user data except: (a) with your affirmative agreement for the specific data; (b) where necessary for security purposes (such as investigating abuse); (c) where necessary to comply with applicable law; or (d) for internal operations of the service, using data that has been aggregated and anonymized.
Availability. Google Drive integration is being rolled out in stages and may not be available in every environment. Before we change it (including requesting any additional scope), we will update this policy, list the change in Section 12, and ask for your consent in the app.
当社は、必要に応じて本ポリシーを改訂することができます。 重要な変更を行う場合は、本サービス上での通知またはメールにより 事前に告知します。改訂後のポリシーは、当社が指定する効力発生日より 適用されます。
改訂履歴: