Circumflex

プライバシーポリシー

バージョン: v1.0 / 施行日: 2026-06-30

事業者情報

個人情報の保護に関する法律 (個人情報保護法) に基づき、本サービスにおける個人情報取扱事業者および問い合わせ窓口に関する事項を以下のとおり公表します。

事業者の名称
株式会社サーカムフレックス
所在地
東京都港区六本木四丁目 3 番 11 号 六本木ユニハウス 223
代表者氏名
代表取締役 北澤 幸啓
個人情報保護管理責任者
代表取締役 北澤 幸啓（兼任）
問い合わせ窓口
個人情報保護に関するお問い合わせは support@circumflex.jp までご連絡ください。

第 1 項 (適用範囲・基本方針)

  1. 本プライバシーポリシー (以下「本ポリシー」といいます) は、株式会社サーカムフレックス (以下「当社」といいます) が提供する CSPM SaaS「Circumflex Security」(以下「本サービス」といいます) における個人情報および利用者の顧客 Google Cloud 環境データの取り扱いについて定めます。
  2. 当社は、日本の個人情報の保護に関する法律 (個人情報保護法) その他関連法令を遵守するとともに、データ主体の権利 (個人情報へのアクセス・訂正・削除・利用停止・移行を含みます) を尊重します。

第 2 項 (収集する個人情報)

当社は、本サービスの提供に必要な範囲で、以下の個人情報を収集します。

  • 利用者の氏名・メールアドレス (Firebase Authentication 経由で取得)
  • Slack 連携時の Slack User ID・Channel ID・ワークスペース名 (Slack OAuth 経由で取得)
  • 課金情報 (当社指定の決済サービス会社が管理する決済情報。クレジットカード情報等のセンシティブな決済情報は、決済代行会社が直接取得・管理し、当社はこれらを直接取得または保持しません)

第 3 項 (顧客 Google Cloud プロジェクトデータの取り扱い)

  1. 当社は、本サービスの検知機能の動作のため、利用者が指定する顧客 Google Cloud 環境から以下のデータを取得します。
    • リソース構成情報 (バケット名・ポリシー設定・ファイアウォールルール等)
    • サービスアカウント情報 (キー作成日・最終使用日等)
    • Cloud Audit Logs (IAM ポリシー変更・サービスアカウントキー作成等)
  2. 当社が取得したデータは、日本国内のリージョンに所在するクラウドデータベースに保管されます。
  3. 当社が AI 推論処理 (第 6 項) のために Google LLC が提供する AI 推論サービス (Vertex AI、Gemini Enterprise Agent Platform、Gemini API その他のサービスを含みます) に送信するデータは、検知されたリソースのリソース名および違反内容に限定されます。具体的には以下のような項目を送信します。
    • リソース種別 (例: storage.bucket, iam.serviceAccountKey)
    • リソース名 (例: gs://example-bucket, sa-key-id-abc123)
    • 違反内容 (例: 公開アクセス有効、作成から 90 日経過)
    利用者の顧客 Google Cloud 環境内のファイル本文・データベースレコード・アプリケーションログ等は、AI 推論処理に送信されません。
  4. 当社は、取得した検知データを、本ポリシー第 4 項に定める利用目的の達成に必要な期間に限り保管します。データ種別ごとの保存期間の目安は以下のとおりです (法令により保管が義務付けられている情報については当該義務の終了まで保管します)。
    • 検知結果 (finding): 利用契約継続中。利用契約終了から 30 日以内に削除します。
    • 修復履歴・Undo 用バックアップ: 修復実行から原則 180 日。期間経過後は順次削除します。
    • 監査ログ (操作ログ・アクセスログ等): 原則 180 日 (法令に基づく場合はそれ以上)。
    • 請求情報・決済関連情報: 関連法令 (法人税法・電子帳簿保存法等) に従い、原則 7 年間保管します。
    • 個人情報 (氏名・メールアドレス等): 利用契約終了から 30 日以内に削除します。

第 4 項 (利用目的)

当社は、収集した個人情報および顧客 Google Cloud プロジェクトデータを、以下の目的で利用します。

  1. 本サービスの検知・分析・通知・修復処理の提供
  2. 本サービスの品質向上、機能改善、障害解析、利用状況の把握およびマーケティング目的のための、個人および特定の利用者を識別することができない統計情報・集計情報の作成・利用 (作成された統計情報・集計情報は個人情報には該当しないものとし、当社はこれを当社の事業のために自由に利用、加工、第三者提供および公表することができます)
  3. 本サービスの改善・新機能の開発
  4. 利用者からのお問い合わせへの対応
  5. 利用規約に違反する行為への対応

当社は、利用者から取得した個人情報および顧客 Google Cloud プロジェクトデータを、生成 AI モデルの学習データとして利用することはありません。また、当社は、業務委託先 (第 6 項参照) との契約その他合理的な方法により、利用者データが委託先の生成 AI モデルの学習に利用されないよう必要な措置を講じます。

第 5 項 (第三者提供)

  1. 当社は、利用者の個人情報を、利用者の同意なく第三者に提供しません。ただし、次の各号に該当する場合はこの限りではありません。
    • 法令に基づき開示が求められた場合
    • 人の生命、身体または財産の保護のために必要がある場合
    • 裁判所、検察庁、警察その他司法・行政機関から開示を求められた場合
  2. 業務委託に伴うデータの取り扱いについては、第 6 項に定めます。

第 6 項 (業務委託)

  1. 当社は、本サービスの提供に必要な範囲で、以下の業務を第三者に委託することがあります。委託先に対しては、適切な安全管理措置を講じるよう契約その他の方法により監督します。
    • クラウドインフラストラクチャ: Google LLC (Google Cloud)
    • AI 推論処理: Google LLC が提供する Vertex AI、Gemini Enterprise Agent Platform、Gemini API その他の AI 推論サービス
    • 決済処理: 当社指定のクレジットカード会社および決済代行会社

    なお、Slack Technologies, LLC が提供する Slack は、利用者が任意に本サービスと連携することにより、利用者と Slack との利用契約に基づき利用者に通知を提供する外部連携サービスであり、当社の業務委託先ではありません。Slack における利用者のデータの取り扱いについては、利用者と Slack との間の契約および Slack のプライバシーポリシーに従うものとします。

  2. 当社は、AI 推論処理のため、利用者の検知データの一部 (リソース名および違反内容) を Google LLC が提供する AI 推論サービス (Vertex AI、Gemini Enterprise Agent Platform、Gemini API その他のサービスを含みます) に送信します。利用者は、本プライバシーポリシーに同意することにより、個人情報保護法第28条に基づく外国にある第三者への提供についても同意するものとします。当該提供に関する情報は以下のとおりです。
    • 提供先の名称: Google LLC
    • 所在国: アメリカ合衆国（グローバル・エンドポイント経由で送信されるため、米国を含む同社のグローバルなインフラ上で処理される可能性があります）
    • 当該国の個人情報の保護に関する制度: アメリカ合衆国は連邦レベルで包括的な個人情報保護法を有しないものの、州法 (カリフォルニア州消費者プライバシー法 (CCPA) 等) および分野別法令が存在します。個人情報保護委員会が公表する「外国における個人情報の保護に関する制度等の調査」も併せてご参照ください (個人情報保護委員会の調査結果)。
    • 提供先が講じる個人情報保護措置: Google LLC は、Google Cloud Privacy Notice および同社が提供する AI 推論サービス (Vertex AI、Gemini Enterprise Agent Platform、Gemini API 等) のデータガバナンスに基づき、暗号化（保管時・転送時）、アクセス制御、データ所在地の管理、顧客データを生成 AI モデルの学習に利用しない旨等の安全管理措置を講じています (Google Cloud Privacy Notice / Gemini Enterprise Agent Platform Governance)。
    • 送信されるデータ項目: リソース種別、リソース名、違反内容等の最小限の項目 (利用者の顧客 Google Cloud 環境内のファイル本文・データベース内容等は送信されません)
  3. 当社は、AI 推論処理に送信するデータを、検知ルールが必要とするリソース名・違反内容等の最小限の項目に限定する措置を講じています。利用者の顧客 Google Cloud 環境内に存在するファイル内容・データベース内容・実行ログの本文等は、原則として AI 推論処理に送信されません。

第 7 項 (第三者ツール経由のデータ処理)

本サービスは、以下の第三者ツールと連携してデータを処理します。各社のプライバシーポリシーは以下のリンクをご参照ください。

第 8 項 (Cookie・トラッキング)

本サービスは、以下の目的・主体により Cookie およびこれに類する技術 (ローカルストレージ等を含みます。以下総称して「Cookie 等」) を利用することがあります。Cookie 等の利用を停止した場合、本サービスの一部または全部を正常にご利用いただけなくなることがあります。

  1. 認証 Cookie: 利用者のログイン状態を維持するために、Firebase Authentication および Google Identity が発行するセッション Cookie。
  2. セキュリティ・負荷分散 Cookie: 不正アクセス防止、攻撃緩和、トラフィックの最適化等のために、本サービスのフロントエンドが利用するクラウド配信プラットフォーム (Vercel) およびその関連 CDN・WAF (Cloudflare 等) が発行する Cookie。
  3. 決済関連 Cookie: 将来、当社が指定する決済代行会社 (Stripe 等) が決済セッションの維持・不正利用検知のために発行する Cookie。
  4. 分析 Cookie: 当社は、将来、本サービスの利用状況の分析・改善のために、Google Analytics 等のアクセス解析ツールを導入する可能性があります。導入時は本ポリシーを改訂し、利用者に通知します。

第 9 項 (安全管理措置)

当社は、取り扱う個人情報および顧客 Google Cloud 環境データの漏えい、滅失または毀損を防止し、その他個人情報および当該データの安全管理のため、以下の措置を講じています。

  1. 組織的安全管理措置: 個人情報保護に関する社内規程の整備、責任者の任命、取扱状況の点検および従業者への教育を実施しています。
  2. 人的安全管理措置: 従業者に対し、個人情報の適切な取扱いに関する誓約を取得するとともに、個人情報保護および情報セキュリティに関する教育を実施しています。
  3. 物理的安全管理措置: 個人情報を取り扱う情報システムは、Google Cloud の日本国内リージョン (asia-northeast1 等) を中心としたデータセンターで稼働させ、Google Cloud が提供する物理的セキュリティに依拠しています。
  4. 技術的安全管理措置:
    • 通信経路の暗号化 (TLS 1.2 以上) および保管時の暗号化 (Google Cloud 標準暗号化)
    • 顧客 Google Cloud 環境へのアクセスは、当社サービスアカウントに最小権限の IAM ロール (cspmDetect / cspmRepair) のみを付与する方式に限定 (利用者の Service Account Key・パスワード等は当社に保持しません)
    • 修復処理は、リソースの削除 (Delete) 権限を持たない可逆的な操作 (disable 等) に限定し、修復実行前に対象設定のバックアップ (Undo 用) を取得
    • 修復処理は利用者または承認者の明示的な承認操作 (Human-in-the-Loop) を経た場合のみ実行
    • 本サービスの操作・修復実行・Undo 等の監査ログを記録・保管
    • 脆弱性の継続的な監視と修正
  5. 委託先の監督: 個人情報の取扱いを委託する場合 (第 6 項参照) は、委託先における安全管理措置の状況を確認するとともに、契約その他の方法により必要かつ適切な監督を行います。
  6. 外的環境の把握: 第 6 項に定めるとおり、AI 推論処理の一部は Google LLC (米国) のグローバル・インフラ上で処理される可能性があります。同社が講じる安全管理措置については第 6 項を参照ください。

第 10 項 (保有個人データに関する事項)

個人情報保護法に基づき、当社が保有する保有個人データに関する事項を以下のとおり公表します。

  1. 保有個人データの利用目的: 本ポリシー第 4 項に定める利用目的のとおりです。
  2. 保有個人データに関する苦情の申出先: 冒頭の「事業者情報」に記載の問い合わせ窓口 (support@circumflex.jp) までご連絡ください。
  3. 開示等の請求: 利用者は、当社に対し、自己の保有個人データについて、以下の請求を行うことができます。
    • 利用目的の通知の求め
    • 開示の請求 (電磁的記録による方法を含みます)
    • 訂正、追加または削除の請求
    • 利用停止または消去の請求
    • 第三者提供の停止の請求
  4. 請求方法および本人確認: 開示等の請求は support@circumflex.jp までご連絡ください。当社は、登録メールアドレスからのご連絡であること、その他必要に応じて当社が指定する方法により本人確認を行ったうえで、合理的な期間内（原則として請求の受領後30日以内）に対応します。
  5. 手数料: 開示の請求および利用目的の通知の請求に対する回答にあたっては、手数料は徴収しません。ただし、当社が特別の対応を要すると合理的に判断する場合、別途実費相当額の手数料をご請求することがあります。
  6. 当社は、利用者のデータ主体としての権利 (アクセス・訂正・削除・利用停止・データポータビリティを含みます) を尊重します (データポータビリティは EU 一般データ保護規則 (GDPR) 適用範囲の利用者に対し提供します)。

第 11 項 (契約終了時のデータ削除)

  1. 本サービスの利用契約が終了した場合、当社は、利用者の検知データ・finding・例外学習データを30日以内に削除します。
  2. 法令に基づき保管が義務付けられているデータについては、当該義務の終了後速やかに削除します。

第 12 項 (個人データ漏えい等の通知)

  1. 当社は、当社が取り扱う個人データの漏えい、滅失または毀損 (これらのおそれを含みます。以下「漏えい等」といいます) が発生し、個人情報保護法その他の関連法令に基づき個人情報保護委員会への報告および本人への通知が必要となる事態が生じた場合には、当該法令に従い、速やかに必要な報告および通知を行います。
  2. 前項の通知は、登録メールアドレス宛の電子メール、本サービス上の表示、その他当社が適当と判断する方法のいずれかにより行うものとします。

第 13 項 (本ポリシーの変更)

  1. 当社は、法令の改正、本サービスの内容変更、運営上の必要性その他の事由により、本ポリシーを変更することができるものとします。
  2. 当社は、本ポリシーを変更する場合、変更後のポリシーの内容および効力発生日を、本サービス上の表示、登録メールアドレス宛の電子メールその他の方法により利用者に対し周知するものとします。
  3. 変更後の本ポリシーは、当社が前項により定めた効力発生日から効力を生じるものとし、効力発生日以後に利用者が本サービスを利用したときは、当該利用者は変更後の本ポリシーに同意したものとみなされます。

改訂履歴

バージョン改訂日改訂内容
v1.02026-06-30初版制定。