プライバシーポリシー

第1条（基本方針）

Zidotto運営（以下「運営者」）は、Zidotto（以下「当サービス」）の提供にあたり、 利用者の個人情報およびデータを適切に取り扱うことを重要な責務と考え、 個人情報の保護に関する法律（個人情報保護法）その他の関係法令を遵守します。 本プライバシーポリシー（以下「本ポリシー」）は、当サービスにおける情報の取り扱いについて定めるものです。

第2条（取得する情報）

運営者は、当サービスの提供にあたり以下の情報を取得します。

1. アカウント情報：メールアドレス、表示名、所属テナント、ロール（権限区分）、パスワード（後述のとおりハッシュ化して保存し、平文では保持しません）。
2. 利用者が入力したデータ：ディメンション定義、メンバー、業績・計画データ、保存されたビュー、AI分析の履歴など、利用者が当サービス上で作成・入力した一切のデータ。
3. 認証・操作に関する情報：ログイン日時、ワンタイムパスコード（OTP）の発行・検証記録、操作監査ログ。
4. 技術情報：IPアドレス、ブラウザ種別（User-Agent）、アクセス日時等のアクセスログ。
5. Cookie：ログイン状態を維持するための認証 Cookie（詳細は第6条）。

第3条（利用目的）

取得した情報は、以下の目的の範囲内でのみ利用します。

• 当サービスの提供・本人認証・アカウント管理のため
• 利用者が入力したデータの保存・集計・表示・分析機能の提供のため
• AI による初期設定支援・ディメンション編集・データ要約機能の提供のため（第5条）
• 不正利用の防止、セキュリティの確保、および障害対応のため
• 当サービスの品質改善・新機能開発のため
• 重要なお知らせ・本人確認・問い合わせ対応のための連絡のため

第4条（第三者提供）

運営者は、次の場合を除き、利用者の個人情報を本人の同意なく第三者に提供しません。

1. 法令に基づく場合、または国の機関等への協力が必要な場合
2. 人の生命・身体・財産の保護のために必要で、本人の同意取得が困難な場合
3. 第5条に定める外部サービス（AI・クラウド基盤・メール送信）への、サービス提供に必要な範囲での委託・連携

利用者が入力したデータを、運営者が広告・販売目的で第三者に販売・共有することはありません。

第5条（外部サービスへのデータ送信・委託先）

当サービスは、機能提供のために以下の外部サービスを利用します。 これらの利用に伴い、必要な範囲でデータが各事業者へ送信されます。

1. 生成AI（Google「Gemini」API）： AI 自動セットアップ・ディメンション編集・データ要約分析の各機能を利用した場合、 対象となるディメンション構成やグリッド上のデータが Google（Google LLC）の Gemini API に送信され、処理結果が返されます。 AI 機能を利用しなければ、これらのデータが外部に送信されることはありません。 機密性の高いデータについては、AI 機能の利用を控えるか、必要に応じて匿名化のうえご利用ください。
2. クラウドホスティング基盤： 当サービスのアプリケーションおよびデータベースは Microsoft Azure（西日本リージョン／日本国内）上で稼働します。
3. メール送信： 本人確認用のワンタイムパスコード（OTP）や各種通知の送信に、メール配信のための SMTP サービスを利用する場合があります。

第6条（Cookie の利用）

当サービスは、ログイン状態を保持するために認証 Cookie を使用します。 プランナー画面用とシステム管理画面用にそれぞれ独立した Cookie を発行し、セッションを分離しています。 これらの Cookie は当サービスの動作に必須であり、広告目的のトラッキングには使用しません。 ブラウザの設定で Cookie を無効にすると、ログインを伴う機能が利用できなくなります。

第7条（安全管理措置）

運営者は、個人情報およびデータの漏えい・滅失・毀損を防止するため、以下の措置を講じます。

• 通信の暗号化：利用者と当サービス間の通信はすべて TLS（HTTPS）により暗号化されます。
• パスワードの保護：パスワードは平文で保存せず、利用者ごとに固有のソルトを付与した PBKDF2-SHA256（10万回反復）でハッシュ化して保存します。運営者を含め、保存されたハッシュから元のパスワードを復元することはできません。
• テナント分離：組織（テナント）ごとにデータベースを物理的に分離して保管し、他テナントのデータへアクセスできない設計としています。
• アクセス制御：ロール（権限区分）に基づくアクセス制御により、利用者は自身の権限の範囲でのみデータを操作できます。
• 多要素認証：システム管理者ログインおよび新規登録時に、メールによるワンタイムパスコード認証を採用しています。
• Web セキュリティ対策：Content-Security-Policy 等のセキュリティヘッダーを設定し、一般的な Web 攻撃のリスクを低減しています。

第8条（データの保管場所と保有期間）

1. 利用者のデータは Microsoft Azure（西日本リージョン／日本国内）のサーバー上に保管されます。
2. 運営者は、利用目的の達成に必要な期間、または法令で定められた期間、情報を保有します。
3. アカウントの退会・削除またはテナントの削除が行われた場合、当該データは運営者の定める手順に従い削除されます。

第9条（データのエクスポートとポータビリティ）

利用者（テナント管理者）は、当サービスのバックアップ／エクスポート機能を用いて、 自身のテナントに保存されたデータをいつでも JSON 形式で取り出すことができます。 また、データは CSV・Excel 形式でも出力可能です。 利用者のデータが当サービス内に固定されることはなく、いつでも持ち出すことができます。

第10条（開示・訂正・削除等の請求）

利用者は、運営者が保有する自己の個人情報について、開示・訂正・利用停止・削除を請求することができます。 ご請求は第12条の連絡先までお問い合わせください。本人確認のうえ、法令に従い合理的な期間内に対応します。

第11条（本ポリシーの変更）

運営者は、法令の改正やサービス内容の変更に応じて本ポリシーを変更することがあります。 変更後の本ポリシーは、当サービス上に掲示した時点から効力を生じるものとします。 重要な変更を行う場合は、当サービス上での告知等、適切な方法でお知らせします。

第12条（お問い合わせ窓口）

本ポリシーに関するお問い合わせ、個人情報の取り扱いに関するご請求は、以下までご連絡ください。

事業者名：Zidotto運営（屋号）
連絡先：Support@zidotto.com
所在地：請求があったときは遅滞なく開示します。