SimpleHub プライバシーポリシー
株式会社AccordSystem（以下「当社」といいます。）は、当社が提供するサービス「SimpleHub」（ウェブアプリケーション https://app.simplehub.jp、GitHub App「SimpleHub JP」、通知メールおよびサービス紹介サイト https://simplehub.jp を含み、以下「本サービス」といいます。）における個人情報その他の利用者に関する情報の取扱いについて、個人情報の保護に関する法律（以下「個人情報保護法」といいます。）その他の関係法令およびガイドラインを遵守し、次のとおり定めます。
本ポリシーは、当社のプライバシーポリシー（https://accordsystem.co.jp/privacy）に加えて、本サービスに適用されます。両者の内容が異なる場合、本サービスについては本ポリシーが優先します。
第1条（事業者）
| 項目 | 内容 |
|---|---|
| 名称 | 株式会社AccordSystem |
| 住所 | 京都府京田辺市興戸和井田56-1 A&Kビル202 |
| 代表者 | 代表取締役 請関 海 |
| 窓口 | support@accordsystem.co.jp |
第2条（用語）
- 「契約者」とは、SimpleHub 利用規約（以下「利用規約」といいます。）に定める契約者（本サービスの利用契約を締結した事業者）をいいます。
- 「利用者」とは、契約者の役員、従業員その他契約者が本サービスの利用を認めた者で、自らの GitHub アカウントにより本サービスにログインする者をいいます。
- 「本アプリ」とは、当社が GitHub 上に「SimpleHub JP」の名称で登録した GitHub App をいいます。
- 「Organization」とは、契約者が GitHub 上に保有し、本アプリをインストールした Organization をいいます。
- 「顧客データ」とは、Organization 内のリポジトリに保存された文書、ファイル、履歴、変更の提案、コメント、依頼、メンバーおよび権限の情報その他 GitHub 上に存在する契約者の情報をいいます。
- 「個人情報」「個人データ」「保有個人データ」は、個人情報保護法の定義によります。
第3条（当社の立場）
- 第4条の A（アカウント情報）、B（認証情報）、E（操作記録）、F（端末・アクセス情報）、および C（利用者が入力する情報）のうち通知先メールアドレス、表示名、AIレビューの観点および問い合わせの内容は、当社が本サービスの提供にあたり自ら取得する情報です。当社は、これらを個人情報取扱事業者として、本ポリシーに従って取り扱います。
- 第4条の D（顧客データに由来する一覧情報）、および C のうち利用者の名義で GitHub に送信される情報（提案の題名と説明、コメント、差し戻しの一言、依頼の題名と本文）は、契約者の顧客データを写したものです。当社は、これらを契約者から取扱いの委託を受けた者として、本サービスの提供に必要な範囲でのみ取り扱います。これらに含まれる個人情報に関する本人からの開示等の請求への対応は契約者が行い、当社はこれに協力します。
- 当社は、契約者と GitHub, Inc. との間の契約、および契約者と AI サービスの提供者との間の契約に基づく個人情報の取扱いには関与しません。
第4条（取得する情報）
当社は、本サービスに関して次の情報を取得します。
| 区分 | 項目 | 取得の方法と時点 |
|---|---|---|
| A. アカウント情報 | GitHub の利用者 ID、ログイン名、氏名、アバター画像の URL、GitHub に登録された主メールアドレス、所属する Organization の一覧、利用状況の記録（最後に表示した Organization、ログイン日時） | 利用者が GitHub の認可画面で本アプリを認可した際、および以後のログイン時に、GitHub から取得します |
| B. 認証情報 | 認証基盤の利用者識別子、GitHub のアクセストークン（利用者の名義で GitHub を操作するためのもの） | ログイン時に取得します。アクセストークンは暗号化して保存し、平文では保存しません |
| C. 利用者が入力する情報 | 通知先メールアドレス、表示名、提案の題名と説明、コメント、差し戻しの一言、依頼の題名と本文、AIレビューの観点、問い合わせの内容（氏名、返信先メールアドレス、件名、本文および送信者の所属の記録） | 利用者が本サービスの画面に入力した時点で取得します。提案、コメント、依頼は、利用者の名義で GitHub にも送信されます |
| D. 顧客データに由来する一覧情報 | 提案・依頼・作業中の変更の題名、提案の説明、依頼の本文および利用者宛ての言及の抜粋、差し戻しの一言、これらに関わった利用者の GitHub の ID・ログイン名・氏名、変更したファイルの名称・数・行数、自動チェックおよび AIレビューの結果、リポジトリの名称・表示名・説明・公開範囲および権限を持つ GitHub アカウントのログイン名、メンバーの ID・ログイン名・氏名・アバター画像の URL・権限・招待の状態、Organization の名称と導入の状態、出来事の記録 | GitHub からの自動通知および定期的な取得により、GitHub 上の情報を写します |
| E. 操作記録 | 承認、取り込み、差し戻し、招待、権限変更、退職処理、公開範囲の変更、設定の変更その他の重要な操作について、操作した利用者、日時、対象、変更前後の値、結果、IP アドレス、ユーザーエージェント（監査記録）。通知メールの宛先メールアドレス、件名、送信の結果（送信記録） | 操作時および送信時に、当社のサーバーで記録します |
| F. 端末・アクセス情報 | IP アドレス、ブラウザおよび OS の情報、アクセス日時、参照元 URL、エラーの情報 | 本サービスおよびサービス紹介サイトへのアクセス時に、当社および委託先のサーバーのログとして記録されます |
D には、利用者以外の者（Organization のメンバーで本サービスにログインしていない者、および GitHub 上で操作を行った者）の情報が含まれることがあります。
当社が当社のサーバーに保存しないものは次のとおりです。
- 文書ファイルの本文、フォルダの構成、履歴、差分の全文およびコメントの全文。これらは表示のたびに GitHub から取得し、当社のサーバーのメモリ上に一時的に保持するにとどめ、データベースおよびストレージには保存しません。ダウンロードおよび zip の生成も同様です
- GitHub のパスワードおよび二段階認証の情報（当社は認証を GitHub に委ねます。利用者の認可により GitHub が発行するアクセストークンは、B のとおり暗号化して保存します）
- AI サービスの API キー（契約者が GitHub に直接登録し、当社は受領も中継もしません）
- 通知メールの本文（件名と送信記録のみ保持します）
- 利用者が編集中の下書き（利用者のブラウザ内にのみ保存されます。第10条）
第5条（利用目的）
| 情報の区分 | 利用目的 |
|---|---|
| A・B | 本サービスへのログインと本人確認。利用者の名義で GitHub の操作を実行すること。利用者が所属する Organization の判定と表示 |
| A・C | 通知メールの送信。本サービスの画面での氏名の表示。問い合わせへの回答とサポートの提供。開示等の請求における本人確認 |
| C・D | 本サービスの画面の表示。承認待ち、依頼、言及の把握と通知。AIレビューの観点の各リポジトリへの配置。本サービスの設定に無い権限の管理者への通知 |
| E | 不正利用および情報漏えいの調査、権限管理の追跡、契約者からの問い合わせへの対応、紛争への対応 |
| F | 本サービスの安全の確保、障害への対応、不正アクセスの検知、性能の把握 |
| 全般 | 利用契約の履行、利用料金の請求、利用規約違反への対応、法令上の義務の履行。本サービスに関する重要な通知（利用規約の変更、利用料金の改定、本サービスの変更・中断・終了、障害、漏えい等の連絡）の送信。本サービスおよび当社の関連サービスに関する案内の送付（管理者に対するものに限ります。）。本サービスの改善（個人を識別できない統計の形で行います） |
利用者のアカウント情報（氏名、ログイン名、アバター画像）、利用者が入力した情報および操作の記録は、本サービスの機能として、同じ Organization に所属する他の利用者および契約者（管理者）に表示されます。
当社は、利用目的の達成に必要な範囲を超えて個人情報を取り扱いません。当社は、取得した情報を、第三者の広告の配信、第三者への営業目的での提供、または AI モデルの学習に利用しません。
第6条（保存場所と保存期間）
当社は、個人データを日本、米国および台湾において取り扱います。当社のデータベース、サーバー、暗号鍵およびバックアップは、日本国内（東京）に置きます。認証基盤は米国で処理され、サービス紹介サイト（https://simplehub.jp）の配信とそのアクセスログは台湾で取り扱われます。当社のサーバーのアクセスログの保管場所は、委託先（第8条）が定めます。
| 情報 | 保存期間 |
|---|---|
| A. アカウント情報 | 利用契約の終了時、または本人の求めがあった時に削除します |
| B. GitHub のアクセストークン | 利用者がいずれの契約者の Organization にも所属しなくなった時点（退職処理または利用契約の終了）から、日次の処理で破棄します。利用者が GitHub 側で認可を取り消したことを検知した場合は、その時点で破棄します |
| C. 問い合わせの内容 | 当社の電子メールシステムで保管し、対応の完了から原則として1年間保持します |
| D. メンバー情報 | 退職処理の時点で削除します。過去の提案・依頼に記録された作成者名等は、履歴として残ります |
| D. 提案・依頼・作業中の変更・リポジトリ・契約者の設定 | 利用契約の終了まで保持します。作業中の変更は提案が作られた時点で削除します |
| D. 出来事・利用者宛ての言及・AIレビューの結果 | 記録から、順に400日・180日・90日で自動削除します |
| E. 監査記録 | 利用契約の期間中保持し、終了後1年間保管した後に削除します |
| E. 通知の送信記録 | 記録から180日で自動削除します |
| F. アクセスログ等の記録 | 当社のサーバーのログは30日間保持します。認証基盤および配信基盤のログは、委託先の定めにより数週間から数か月間保持されます。利用者の認証記録は、利用契約の終了時に当社が削除します |
| バックアップ | データベースのバックアップは、作成から30日で自動削除します。削除した情報は、最長30日間バックアップに残ることがあります |
利用契約が終了した場合、当社は、利用規約第20条に従い、上記の情報を終了日から30日以内に削除します（監査記録、問い合わせの記録、バックアップ、委託先のシステムに自動的に記録されるログ、および法令により保存が義務付けられる情報を除きます）。当社は、契約者の GitHub 上の顧客データには変更を加えません。
第7条（第三者への提供）
当社は、次の場合を除き、本人の同意なく個人データを第三者に提供しません。
- 法令に基づく場合
- 人の生命、身体または財産の保護のために必要があり、本人の同意を得ることが困難である場合
- 公衆衛生の向上または児童の健全な育成の推進のために特に必要があり、本人の同意を得ることが困難である場合
- 国の機関、地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに協力する必要がある場合
- 合併、会社分割、事業譲渡その他の事業の承継に伴って提供する場合
利用者が本サービスで行う操作（文書の保存、提案、コメント、承認等）に伴い、利用者が入力した情報およびアカウント情報は、利用者自身の指示に基づき、利用者の名義で GitHub, Inc.（米国）に送信されます。GitHub における取扱いは、GitHub, Inc. のプライバシーポリシーおよび契約者と GitHub, Inc. との契約に従います。
第8条（委託および外国にある第三者への提供）
当社は、本サービスの提供に必要な範囲で、次の事業者に個人データの取扱いを委託し、または個人データを提供します。
| 事業者 | 所在国とデータの所在 | 委託する業務 | 提供する情報 |
|---|---|---|---|
| Google LLC およびその関連会社（Google Cloud、Firebase） | 米国。データの取扱いの場所は、第6条のとおり日本、米国および台湾です | サーバーおよびデータベースの提供、認証基盤、暗号鍵の管理、ログの保管、バックアップ、画面の配信 | 第4条の A から F のすべて（アクセストークンは暗号化した状態） |
| Plus Five Five, Inc.（サービス名 Resend） | 米国。送信サーバーは日本、アカウントの情報、送信ログおよび API の記録は米国に保存されます | 通知メールおよび問い合わせメールの送信 | 宛先メールアドレス、氏名、件名、本文（提案の説明の冒頭、依頼の本文の冒頭、差し戻しの一言、依頼への返信、権限に関する警告に含まれる GitHub ログイン名、問い合わせの内容） |
米国および台湾における個人情報の保護に関する制度については、個人情報保護委員会が公表する情報（https://www.ppc.go.jp/personalinfo/legal/kaiseihogohou/#gaikoku）をご確認ください。当社は、上記の事業者との間で、個人情報保護法に基づく基準に適合する体制の整備に関する契約（Google Cloud の Cloud Data Processing Addendum、Firebase の Data Processing and Security Terms、Resend の Data Processing Addendum）を締結し、当該事業者による個人データの取扱いの状況および当該事業者が所在する外国の制度を定期的に確認します。当該事業者による相当措置の実施に支障が生じたときは、当社は、必要かつ適切な措置を講じ、相当措置の継続的な実施の確保が困難となったときは、当該事業者への個人データの提供を停止します。本人の求めがあった場合、当社は、当該事業者が所在する外国の名称、当該外国の個人情報の保護に関する制度、当該事業者が講じる措置の概要、当社による確認の頻度および方法その他個人情報の保護に関する法律施行規則第18条第3項に定める事項を、遅滞なく提供します。
第9条（安全管理措置）
当社は、個人データの漏えい、滅失または毀損を防止するため、次の措置を講じます。
- 基本方針および規律の整備: 本ポリシーおよび利用規約において取扱いの範囲を定め、取得する情報、保存期間および削除の方法を文書化しています。
- 組織的安全管理措置: 個人データの取扱いに関する責任者を定め、当社のサーバーおよびクラウド基盤への管理アクセスを業務上必要な担当者に限定し、操作の記録を保持しています。漏えい等の事案が発生した場合の報告および対応の手順を定めています。漏えい等が発生した場合、当社は、法令に従い個人情報保護委員会への報告および本人への通知を行い、契約者に速やかに連絡します。
- 人的安全管理措置: 個人データを取り扱う従業者に対し、秘密保持の義務を課し、取扱いに関する教育を行います。
- 物理的安全管理措置: 個人データは、委託先が運用するデータセンターに保存し、当社の事業所内にサーバーを置きません。業務用の端末での保存は問い合わせへの対応に必要な範囲にとどめ、端末には画面ロック、ディスクの暗号化および紛失時の措置を講じます。
- 技術的安全管理措置:
- 利用者の認証は GitHub および認証基盤に委ね、当社はパスワードを保持しません
- GitHub のアクセストークンは、委託先の鍵管理サービスで管理する鍵により暗号化して保存します。利用者のブラウザにはアクセストークンを置きません
- 契約者ごとのデータを分離して保存し、すべての要求について、ログインの検証、Organization への所属の確認、および閲覧できるリポジトリの確認を行います
- 通信はすべて暗号化し、アクセストークンおよび顧客データの本文をログに出力しません
- 重要な操作を監査記録として保持し、異常なアクセスを検知するための監視を行います
- 依存するソフトウェアを更新し、既知の脆弱性に対応します
- 外的環境の把握: 第8条の事業者が所在する米国および台湾の個人情報の保護に関する制度を把握した上で、上記の措置を講じています。
第10条（Cookie、ブラウザの保存領域および外部への送信）
- 当社は、本サービスおよびサービス紹介サイトにおいて、広告またはアクセス解析を目的とする Cookie および第三者のトラッキングタグを使用しません。
- 本サービスは、ログインの状態、編集中の下書きその他の利用の便宜のための情報を、利用者のブラウザ内に保存します。これらは、ログインの状態を除き、当社のサーバーに送信されません。
- 本サービスの利用中、利用者の端末から次の送信先に情報が送信されます。
| 送信先 | 送信される情報 | 当社の利用目的 | 送信先の利用目的 |
|---|---|---|---|
| 当社のサーバー（https://app.simplehub.jp） | 本サービスの操作に必要な情報、第4条 F の情報 | 本サービスの提供、安全の確保、障害対応 | 当社の委託先としての処理 |
| Firebase Authentication（Google LLC） | GitHub の認可により得られる認証情報、IP アドレス、ブラウザの情報 | ログインの認証 | 認証基盤の提供および不正利用の防止（https://policies.google.com/privacy） |
| Google Fonts（Google LLC。fonts.googleapis.com、fonts.gstatic.com） | IP アドレス、ブラウザの情報、参照元 URL | 画面の書体の表示 | 書体の配信および利用状況の集計（https://developers.google.com/fonts/faq/privacy） |
- 文書に外部の画像等が埋め込まれている場合、利用者のブラウザは、その画像等を提供元から直接取得します。この取得に伴う情報の送信先および取扱いは、提供元によります。
- サービス紹介サイト（https://simplehub.jp）は、書体を含めてサイト内から配信し、当社が利用するホスティング基盤以外への送信を行いません。
第11条（通知メール）
- 通知先メールアドレスの初期値は、GitHub に登録された主メールアドレスです。利用者は、本サービスの設定画面で変更できます。
- 当社は、通知メールについて開封の追跡およびリンクのクリックの追跡を行いません。
第12条（開示等の請求）
- 本人またはその代理人は、当社が保有する保有個人データについて、利用目的の通知、開示、内容の訂正・追加・削除、利用の停止・消去、第三者への提供の停止、および第三者提供記録の開示を請求できます。
- 請求は、第1条の窓口（support@accordsystem.co.jp）へ電子メールで行ってください。本サービスにログインした状態で問い合わせ機能から送信された場合、または GitHub に登録されたメールアドレスから送信された場合、当社はこれを本人確認の手段とします。それ以外の場合、当社は、本人確認のための書類の提示を求めることがあります。代理人による請求の場合、委任状その他代理権を証する書類の提示を求めます。
- 開示等の請求に手数料はかかりません。
- 当社は、請求を受け付けた後、遅滞なく（原則として2週間を目安に）回答します。開示は、本人が請求した方法（電磁的記録の提供または書面の交付）により行います。ただし、当該方法による開示に多額の費用を要する場合その他当該方法による開示が困難である場合は、書面の交付により行います。法令の定めにより請求の全部または一部に応じられない場合、当社は、その旨と理由を通知します。
- 第3条第2項の情報に関する請求は、契約者が対応します。当社は、契約者からの求めに応じて協力します。
第13条（苦情の申出先）
本サービスにおける個人情報の取扱いに関する苦情および相談は、第1条の窓口（support@accordsystem.co.jp）で受け付けます。当社は、認定個人情報保護団体に加入していません。
第14条（未成年者）
本サービスは事業者向けのサービスであり、16歳未満の者は本サービスを利用できません。契約者は、16歳未満の者を利用者としないものとします。
第15条（本ポリシーの改定）
- 当社は、法令の改正、本サービスの内容の変更、委託先の変更その他の理由により、本ポリシーを改定することがあります。
- 改定後の本ポリシーは、当社ウェブサイトおよび本サービスの画面に掲載した時点から効力を生じます。重要な変更については、当社は、本サービスの画面または電子メールで利用者に通知します。法令上本人の同意が必要となる変更については、当社は、法令に従って同意を取得します。
附則
本ポリシーは、2026年9月7日から実施します。
株式会社AccordSystem京都府京田辺市興戸和井田56-1 A&Kビル202問い合わせ窓口: support@accordsystem.co.jp