プライバシーポリシー

1.適用範囲と、当社が担う二つの役割

本ポリシーは、에스에이치랩솔루션즈（以下「当社」）が SC4SAP コンソール、そのバックエンドおよびスキル（以下本サービス）において個人情報をどのように取り扱うかを説明するものです。本ポリシーは個人情報保護法（大韓民国）（以下本法）および同法施行令の要件に沿って作成されており、利用規約の一部を構成します。

当社が管理者である場合

アカウントを持つためにお客様が当社に提供する情報 — 氏名、メールアドレス、パスワード、請求情報、およびお客様のアカウントが行った操作の記録 — については、当社が処理の目的と手段を決定し、当社が管理者となります。第3条から第6条までがこの部分を説明します。

当社が処理者である場合

セッションがお客様の SAP システムから読み取るもの — ABAP ソース、ディクショナリのメタデータ、設定値、お客様が抽出を承認したテーブルの内容、およびプロンプトに入力したあらゆる内容 — については、当社はお客様の指示に基づいてのみ行動します。その資料の管理者は、そこに含まれる個人情報も含めて、お客様の組織です。当社はお客様が依頼したセッションを実行するためにのみそれを処理し、それ以外の目的では処理しません。第8条がこの部分を説明します。

2.当社の基本方針

• 当社は本サービスに必要な最小限の情報のみを収集し、任意の情報の提供を本サービス利用の条件とはしません。
• 当社は、お客様のコンテンツ、プロンプト、SAP 資料をモデルの学習に使用しません — 当社のモデルであれ、他の誰のモデルであれ同様です。
• 当社は個人情報を販売しませんし、これまでに販売したこともありません。
• 当社は、新たな法的根拠なしに、個人情報を収集目的以外の目的で利用しません。
• 秘密情報 — パスワード、SAP の認証情報 — は暗号化して保存し、一度保存された後はブラウザに再表示しません。

3.収集する情報

お客様が提供する情報

• アカウント — 姓、名、メールアドレス、およびソルト付き一方向ハッシュとしてのみ保存されるパスワード。
• Google で登録した場合 — Google アカウントの固有識別子、および Google が提供する氏名とメールアドレス。
• 招待コード — 登録時に使用した招待コード。アカウントとともに保存されます。
• SAP 接続情報 — SAP ログオン URL(ホスト)、クライアント番号、システムのティア、SAP ユーザー ID、SAP パスワード。SAP パスワードは保存時に暗号化されます。
• 請求情報 — 有料プランを利用する場合の決済の記録(プラン、金額、日時、取引番号)。カード番号などの決済手段の情報は決済代行業者(トスペイメンツ株式会社)が保管し、当社が保持することはありません。
• 同意の記録 — お客様が同意した規約および本ポリシーのバージョンとその日時、国外移転への同意の有無、ならびにマーケティング情報の受信への同意の有無。
• 参考ノート — お客様が設定画面でアップロードした Obsidian ボールトの Markdown(.md)ノート。アカウントごとに最大1,000件、50MB まで受け付け、当社サーバー上のそのアカウント専用のフォルダに保存し、他のアカウントと共有することはありません。
• サポートおよびフィードバック — メッセージに貼り付けた内容を含め、お客様が当社に書き送るすべての内容。

「Obsidian に送る」は、内容をお客様の端末のクリップボードまたは Obsidian にコピーするだけであり、当社のサーバーには何も送信しません。

本サービスの利用中に生成・収集される情報

• セッション記録 — プロンプト、トランスクリプト、セッションが呼び出したツール、およびお客様が許可または拒否した承認とそのタイムスタンプ。承認は、それを行ったアカウントに帰属します。その帰属こそが監査記録であり、これは意図的な設計です。
• 利用状況およびコスト — ターン数、トークン数、および各セッションが報告したコスト。
• アクセス記録 — IP アドレス、ブラウザ情報(ユーザーエージェント)、リクエストのパス、アクセス日時、およびエラーの記録。セキュリティと障害対応のために保持します。

送らないようお願いするもの

質問に必要のない個人情報をプロンプトに入れないでください。また、ネットワークの外へ送ることが許可されていない本番データをスキルに扱わせないでください。本サービスのガードレールは、常設のブロックリストにあるテーブルからの一括抽出を防ぎますが、お客様独自のカスタムテーブルを分類することはできず、お客様自身による確認の代わりにはなりません。

4.処理の目的とその法的根拠

本法に基づき、当社は次のいずれかの根拠により個人情報を処理します。お客様との契約の履行、お客様の同意、お客様の権利に優越しない範囲での当社の正当な利益、または法令上の義務です。具体的には次のとおりです。

• 本サービスの運営 — お客様の認証、SAP システムへの接続、セッションの実行、セッションが回答する際のお客様の参考ノートの検索、再度開けるようにするためのトランスクリプトの保存。根拠：契約の履行。
• 請求および税務 — 請求書の発行、代金の回収、および商法・税法が保管を求める記録。根拠：契約および法令上の義務。
• セキュリティおよび不正利用の防止 — 不正アクセスの検知、インシデントの調査、利用規約の執行、および承認の監査記録の維持。根拠：正当な利益および法令上の義務。
• サポート — お客様からのお問い合わせへの回答。根拠：契約。
• 本サービスの改善 — 機能の利用状況に関する集計および非識別化された統計。根拠：正当な利益。これにお客様の SAP コンテンツやトランスクリプトの閲覧が含まれることは決してありません。
• マーケティング — 新機能、イベント、料金プランに関するお知らせメールの送付。処理する項目は【マーケティング項目】であり、同意を撤回するかアカウントを解約するまで保持します。お客様が受信に同意した場合にのみ送付し、すべてのメッセージに配信停止の方法を記載します。同意しなくても本サービスの利用に一切の制限はありません。当社は、情報通信網利用促進及び情報保護等に関する法律(정보통신망법)第50条第8項および同法施行令第62条の3【条文番号要確認】に基づき、受信への同意日から2年ごとに受信同意の有無をメールでお知らせします。根拠：同意(本法第15条第1項第1号)。

同意が根拠となる場合、その同意は任意です。同意を拒否しても、その同意を求めた機能が利用できなくなるだけで、それ以外の不利益はありません。同意はいつでも撤回でき、撤回は既に行われた処理に影響しません。

5.保存期間

当社は個人情報を目的に必要な期間だけ保持し、その後破棄します。実際には次のとおりです。

• アカウント記録 — アカウントの存続期間中保持し、解約時には以下に挙げるものを除き遅滞なく破棄します。最後に本サービスを利用した日(ログインを含みます)から1年が経過したアカウントは第10条に従って削除します。
• 接続プロファイル — お客様がプロファイルを削除するかアカウントを解約するまで。いずれか早い方によります。
• セッションおよびトランスクリプト — お客様が削除するかアカウントを解約するまで。個々のセッションはいつでも削除できます。
• 参考ノート — 再度アップロードすると以前のノートを新しいノートに置き換えます。設定画面の「すべて削除」、アカウントの解約、または第10条の1年間未利用による削除の際に遅滞なく破棄します。
• 承認の監査記録 — 属するセッションとともに保持し、セッションとともに破棄します。
• アクセス記録 — 最長3か月。進行中のセキュリティ調査に必要な場合にのみ、それより長く保持します。
• サポートのやり取り — 最後のメッセージから最長3年。

法令が期間を定めている場合は、その期間が優先します。電子商取引等における消費者保護に関する法律および税法に基づき、契約および代金決済の記録は5年、消費者の苦情または紛争処理の記録は3年、表示・広告の記録は6か月、そして通信秘密保護法に基づき、アクセスログは3か月間保持します。

バックアップは独自の周期で消滅するため、削除は即時ではなく、その周期の中でバックアップに反映されます。

6.第三者への提供

当社は、第三者がその独自の目的のために利用できるよう、お客様の個人情報を提供することはありません。 提供するのは、お客様が別途同意した場合、または法令が要求する場合 — 令状、裁判所の命令、または法の定める手続きに従った捜査機関からの適法な要請 — に限ります。

そのような要請を受けた場合、当社はそれが有効で範囲が限定されていることを確認し、その範囲に含まれるもののみを開示し、法が禁じない限りお客様にお知らせします。

当社が合併、買収または事業譲渡の当事者となる場合には、本法が要求するとおり、譲渡が効力を生じる前に、譲受人およびお客様の撤回の権利についてお客様に通知します。

7.処理の委託と当社の再処理者

当社は、本サービスの提供のため、次のとおり個人情報の処理業務を委託します。

当社は委託契約において、委託業務の目的外での処理の禁止、技術的・管理的保護措置、再委託の制限、受託者に対する管理・監督、損害賠償などの責任に関する事項を定め、受託者が個人情報を安全に処理しているかを監督します。

韓国国外で個人情報を処理する受託者に関する事項は、第9条に従います。受託者または委託業務が変わる場合は、変わる前に本ポリシーでお知らせします。

8.お客様の SAP コンテンツに含まれる個人情報

セッションがお客様の SAP システムから読み取った内容は、モデルが回答できるようモデル提供者に送信されます。その資料に個人情報が含まれている場合 — お客様が抽出を承認したテーブル、テストデータ、プログラムにハードコードされた値など — それも残りの内容とともに送信されます。

その資料については、お客様の組織が管理者であり、当社はその処理者です。当社はそれをセッションの実行にのみ使用し、当社自身のいかなる目的にも使用せず、モデルの学習に使用せず、属するセッションとともに削除します。セッションがそもそもそのデータを適法に扱えるかどうかを判断するのは、管理者の役割です。

参考ノートも同じです。共有する権利のない他人の個人情報を参考ノートとしてアップロードしないでください。参考ノートに他人の個人情報が含まれている場合、その個人情報については SAP の資料と同様に、お客様が管理者であり、当社はその処理者です。

お客様の組織が必要とする場合、当社は指示事項、再処理者、セキュリティ対策、データ主体からの要請への協力、侵害の通知、契約終了時の削除を定めたデータ処理契約を締結します。sc4sap.dev@gmail.com までお問い合わせください。

9.個人情報の国外移転

当社は、お客様との利用契約を履行するため、次のとおり個人情報を韓国国外へ移転します。当社は本法第28条の8第1項第1号に基づき、登録画面で国外移転について別途の同意をいただきます。

第7条の受託者のうち韓国国外で個人情報を処理する者は、第7条の表に処理国とともに記載します。【ホスティング・データベース・メールの受託者が国外で処理する場合は、本条の表にそれぞれの移転項目、時期と方法、保有期間を追加する必要があります。】当社は国外の受託者との契約で本法が要求する水準の保護措置を定め、個人情報を暗号化された通信で移転します。

お客様は国外移転を拒否することができます。登録画面で国外移転に同意しなければ移転されません。すでに同意している場合は、セッションを実行せず、設定画面でアカウントを解約するか、sc4sap.dev@gmail.com まで拒否の意思をお知らせください。当社は拒否の意思を受け取った後は、お客様の情報を国外へ移転しません。

AI の回答は Anthropic による処理によってのみ作られるため、国外移転を拒否すると本サービスを利用することはできません。すでに決済した料金は別途定めるところに従って返金します。

10.破棄の方法

保存期間が終了するか目的が達成されたときは、当社は遅滞なく情報を破棄します。実際には、その事由が発生してから30日以内に破棄します。

• 電子的な記録は復元できない方法で削除し、暗号化された記録は暗号文とともに鍵も廃棄することにより破棄します。
• 紙に記録されたものは裁断または焼却します。
• 法令上の保存期間に基づいて保持する記録は、稼働中のデータから分離し、その期間が終了するまで別に保管します。
• 最後に本サービスを利用した日(ログインを含みます)から1年間利用のないアカウントには、1年となる日の30日前にメールでお知らせし、1年となった時点でアカウント、会話記録、SAP 接続情報、参考ノートを削除します。法令上保管が必要な記録(契約・代金決済の記録は5年など)は、その期間に限り別に保管します。

11.お客様の権利とその行使方法

本法に基づくデータ主体として、お客様はいつでも次のことができます。

• 当社がお客様について保有する情報を確認し、その写しを受け取ること。
• 誤りがあれば訂正させ、不完全であれば補完させること。
• 法令が保管を求めない限り、削除させること。
• 処理の停止を求めること。
• 不利益を受けることなく、以前に行った同意を撤回すること。
• お客様が提供した情報およびセッションが生成した内容を、機械可読な形式でエクスポートして受け取ること。

行使方法

このほとんどはコンソールで行えます。設定にはアカウント情報と接続プロファイルがあり、どのセッションも一覧からエクスポートまたは削除できます。退会は設定の「アカウントの削除」からいつでも行えます。本人確認はパスワード(Google で登録したアカウントはメールアドレス)で行います。退会すると個人情報は直ちに破棄し、法令が保管を求める記録のみその期間だけ別に保管します。それ以外については、sc4sap.dev@gmail.com までご連絡ください。本法が要求するとおり、要請を受け取ってから10日以内に回答し、対応できない場合にはその理由を、異議申立ての方法とともに書面でお知らせします。

他の誰かがお客様の権利を代わりに行使することを防ぐため、当社は対応の前に本人確認を行います。法定代理人または委任を受けた者は、本法の施行規則が定める委任状等を提出することにより、お客様に代わって行動できます。14歳未満の児童には法定代理人の同意が必要であり、当社は児童であることを知りながらアカウントを開設することはありません。

お客様の SAP コンテンツに含まれる資料に関する要請は、そのシステムの管理者であるお客様の組織に対して行ってください。そうした要請が当社に直接届いた場合、当社は単独で対応するのではなく、これを引き継ぎます。

12.自動化された決定

本サービスは、お客様に法的効果を生じさせたり、お客様に重大な影響を及ぼしたりする自動化された決定を行いません。モデルは回答と下書きを生成するだけで、人について何かを決定することはありません。

この点が変わることがあれば、まずここでお知らせし、その論理と基準を平易な言葉で説明し、その決定を拒否し、説明と人による見直しを求めるための本法上の権利をお客様に保障します。

13.安全管理措置

当社は本法が要求する管理的、技術的および物理的な措置を講じており、これには次のものが含まれます。

• 内部管理計画、アクセス規則、および従業員に対する定期的な研修。
• 最小限の人数に限り、役割に応じて付与し、定期的に見直し、退職時には直ちに取り消すアクセス権限。
• すべての通信の暗号化、およびパスワード、SAP 認証情報の保存時の暗号化 — パスワードは当社にも復元できない一方向のソルト付きハッシュとして保存。
• 不正利用を追跡できるよう、アクセスログを保持し点検。
• 本サービスを稼働させるシステムに対する侵入防止、脆弱性管理およびパッチ適用。
• ホスティング提供者が運営するデータセンターにおける物理的な管理。

いかなる安全対策も絶対ではありません。侵害がお客様の個人情報に影響を及ぼした場合、当社は本法が定める形式と期限に従い、遅滞なくお客様および個人情報保護委員会に通知し、何が起きたのか、何が影響を受けたのか、どう対処すべきかをお知らせします。

14.Cookie および類似の技術

当社は、本サービスの動作に必要な用途に限って Cookie およびブラウザストレージを使用します。ログイン状態の維持、開いていたセッションやスキルの記憶、言語とサイドバーの設定の保持がそれです。コンソールに広告用 Cookie や第三者のトラッカーはありません。

ブラウザの設定で Cookie を拒否または削除できます。セッション Cookie を拒否すると、ログイン状態を維持できなくなります。

15.個人情報保護責任者と連絡先

当社は、個人情報の取り扱い、お客様からの要請、および当社の処理に起因する苦情と救済を担当する個人情報保護責任者を指定しています。

• 個人情報保護責任者 — 【保護責任者の氏名】(【役職】)
• 電話 — 【保護責任者の電話番号】
• メール — sc4sap.dev@gmail.com
• セキュリティに関する報告 — sc4sap.dev@gmail.com

本ポリシーに関することは、まず当社にご連絡ください。遅滞なく、かつ本法が定める期間内に回答します。

16.ご納得いただけない場合

当社とは別に、次のいずれの機関にも苦情を申し立てることができます。

• 個人情報紛争調停委員会 — 1833-6972、kopico.go.kr
• 個人情報侵害通報センター （韓国インターネット振興院） — 118、privacy.kisa.or.kr
• 大検察庁 — 1301、spo.go.kr
• 警察庁サイバー捜査局 — 182、ecrm.police.go.kr

また、本法に基づき、お客様は自らの権利に関する公的機関の処分または不作為に対して行政審判を求めることができます。

17.本ポリシーの変更

本サービスまたは法令が変わったときに、本ポリシーを更新します。新しいバージョンをその施行日とともにここに掲載し、以前のバージョンも引き続き閲覧できるようにします。

お客様にとって重要な変更 — 新しい目的、新しい再処理者、新しい国外の受領者、または保存期間の延長 — については、施行の少なくとも7日前にコンソールまたはメールで通知し、本法が要求する場合には30日前に通知します。変更にお客様の同意が必要な場合には、同意を前提とせず、改めてお願いします。

本ポリシーは韓国語で作成されており、英語版・日本語版の翻訳と内容が異なる場合は韓国語版が優先します。