プライバシーポリシー（ドラフト）
ステータス：ドラフト（オーナー確認済み・専門家レビュー前）
作成日：2026-04-30
オーナー確認日：2026-04-30
次工程：弁護士または社労士監修者によるレビュー
前提ドキュメント：docs/04_data_model.md、docs/07_tech_decisions.md、docs/05_mvp/09_out_of_scope.md
【ドラフトに関する注記】 本ドキュメントは、Claude Code が
CLAUDE.mdおよび関連設計ドキュメントから抽出した事実に基づいて作成したプライバシーポリシーのドラフトです。個人情報保護法（令和2年改正および令和4年4月1日施行版）の遵守を目指して構成しています。2026-04-30 にオーナー確認を完了し、要オーナー判断 17 項目のうち 15 項目を確定（お問合わせメールアドレス・施行日のみ保留）。法的妥当性の最終判断は、弁護士または個人情報保護に詳しい専門家による正式レビューを経た後に行ってください。 本文中の 【保留：...】 マーカーは、ドメイン取得・ベータ運用開始日など外部要因により本確定が後段になる項目です。
1. 基本方針
株式会社more&F（以下「当社」といいます）は、当社が提供する助成金申請業務支援サービス「shinsei-saas（仮称）」（以下「本サービス」といいます）における個人情報の取扱いについて、本プライバシーポリシー（以下「本ポリシー」といいます）を定めます。
当社は、本サービスが社会保険労務士事務所による顧問先従業員の個人情報を取り扱う性質を有することに鑑み、個人情報の保護に関する法律（以下「個人情報保護法」といいます）、関連政令・省令・ガイドラインを遵守し、適切な取扱いに努めます。
2. 取得する個人情報
本サービスにおいて当社が取得する個人情報は、次のとおりです。
2.1 利用者（事務所担当者）に関する情報
本サービスにアカウント登録し本サービスを利用する社会保険労務士事務所の担当者（以下「利用者」といいます）について、次の情報を取得します。
| 区分 | 項目 |
|---|---|
| 識別情報 | 氏名、メールアドレス |
| 認証情報 | パスワード（ハッシュ化して保存し、当社は復元できません）、Google アカウント連携時の OAuth ID トークン |
| 事務所情報 | 事務所名、住所、電話番号、適格請求書発行事業者番号（任意） |
| プロファイル | 表示名、アバター画像（任意）、タイムゾーン |
| 通信情報 | IP アドレス、ユーザーエージェント、操作ログ |
| 課金情報 | 決済代行業者（Stripe）が発行するカスタマー ID、サブスクリプション ID（クレジットカード番号は当社のサーバには保存されません） |
2.2 顧問先および顧問先従業員に関する情報
利用者が本サービスにアップロードする顧問先企業および当該顧問先従業員（助成金申請の対象労働者）に関する情報。
| 区分 | 項目 |
|---|---|
| 顧問先（法人）情報 | 法人名、フリガナ、所在地、電話番号、メールアドレス、業種、従業員数、雇用保険適用事業所番号、社会保険加入状況 |
| 顧問先担当者 | 氏名、メールアドレス、電話番号、役職 |
| 対象労働者の識別情報 | 氏名（漢字・カナ）、生年月日、雇用保険被保険者番号 |
| 雇用情報 | 入社日、退職日、雇用形態（有期／無期／派遣／パート等）、転換前後の雇用形態 |
| 賃金情報 | 月次の基本給、時間外手当、各種手当、総支給額、労働日数、労働時間 |
| 出勤情報 | 月次の実出勤日数、所定労働日数、実労働時間、時間外労働時間、有給取得日数 |
| アップロード書類 | 賃金台帳、出勤簿、就業規則、雇用契約書、その他申請に必要な根拠資料 |
当社はマイナンバー（個人番号）を取得しません。利用者は本サービスにマイナンバーを入力・アップロードしない義務を負います（利用規約 第6条第4項）。
2.3 自動的に取得する情報
利用者が本サービスにアクセスする際、自動的に次の情報を取得します。
- IP アドレス、ブラウザ種別、OS、画面解像度
- アクセス日時、参照元 URL、操作内容（クリック・遷移）
- 認証セッションを維持するための Cookie（後述「8. Cookie 等の利用」を参照）
3. 利用目的
当社は、取得した個人情報を次の目的で利用します。
| # | 目的 | 該当データ |
|---|---|---|
| 1 | 本サービスのアカウント認証および利用者本人確認 | 利用者の識別情報・認証情報 |
| 2 | 本サービスの提供（顧問先管理、申請プロジェクト管理、要件チェック、書類自動生成、進捗管理） | 利用者・顧問先・対象労働者のすべての情報 |
| 3 | AI（大規模言語モデル）による申請書類のドラフト生成および要件判定の補助 | 申請に必要な範囲の顧問先・対象労働者情報、賃金・出勤情報 |
| 4 | 本サービスの稼働状況通知、期限アラート、メンテナンス通知、重要なお知らせの配信 | 利用者のメールアドレス |
| 5 | 顧問先からの書類アップロード受付（顧問先専用 URL の発行・通知） | 顧問先の連絡先 |
| 6 | カスタマーサポート、お問合わせ対応、不具合調査 | お問合わせいただいた利用者の情報、関連する操作ログ |
| 7 | 本サービスの利用料金請求および収納（決済代行業者を通じて） | 利用者・事務所の課金情報 |
| 8 | 不正利用、規約違反、セキュリティインシデントの調査および対応 | アクセスログ、操作ログ、関連する利用者・顧問先情報 |
| 9 | 本サービスの改善・機能開発のためのアクセス解析および利用統計の作成（個人を特定しない形に集計） | 操作ログ、機能利用状況 |
| 10 | 法令に基づく開示・報告義務への対応 | 該当範囲の情報 |
当社は、上記目的の範囲を超えて個人情報を利用しません。利用目的を変更する場合、変更後の目的を本ポリシーまたは本サービス内で利用者に通知します。
4. 第三者提供および外部委託先
4.1 基本方針
当社は、利用者の同意がある場合、または個人情報保護法その他法令に定める例外事由に該当する場合を除き、個人情報を第三者に提供しません。
4.2 業務委託先（個人情報の取扱いを委託する事業者）
本サービスの提供にあたり、当社は以下の事業者に個人情報の取扱いを委託します。各事業者には、個人情報保護法に基づく適切な監督を行い、契約上の安全管理義務を課しています。
| 委託先 | 委託する業務 | 取り扱う情報の範囲 | サービス所在地・契約形態 |
|---|---|---|---|
| Supabase, Inc.（米国） | データベース、認証基盤、ファイルストレージの提供 | 本ポリシー §2.1 〜 2.3 のすべて | データベースおよびストレージは東京リージョン（ap-northeast-1）に保管。SCC（標準契約条項）相当の DPA に基づく |
| Vercel, Inc.（米国） | アプリケーションのホスティングおよびサーバ実行環境 | 本サービスの処理に必要な範囲のデータ（処理時に通過、永続化はしない） | サーバ実行リージョンは東京（hnd1）に固定 |
| Anthropic, PBC（米国） | AI（Claude API）による申請書類のドラフト生成および要件判定の補助 | 申請書類生成・要件判定に必要な範囲の情報。入力に先立ち、可能な範囲でメールアドレス・電話番号等の個人識別情報をマスク・最小化したうえで送信 | 米国所在。Anthropic Claude API の業務利用において、Anthropic は当社からの入力をモデル学習に使用しないものとされています（同社の利用規約・データ取扱方針による） |
| Stripe, Inc.（米国／日本法人：ストライプジャパン株式会社） | 決済処理、サブスクリプション管理、適格請求書発行 | 利用者の課金情報、メールアドレス、事業者情報 | クレジットカード番号は Stripe のシステム上のみで処理され、当社サーバには保存されません |
| Resend, Inc.（米国） | トランザクションメールの送信（認証メール、招待メール、期限通知等） | 送信先メールアドレス、メール本文 | - |
| Functional Software, Inc.（Sentry／米国） | エラー監視、不具合調査 | エラー発生時のスタックトレース、リクエスト情報。個人識別情報（メールアドレス、電話番号、住所、12 桁連続数字、氏名等）はサーバ送信前にマスキング | - |
| Google LLC（米国） | Google アカウント連携によるサインイン（OAuth） | OAuth により取得する識別子・メールアドレス | 利用者が任意で Google ログインを選択した場合のみ |
各委託先のプライバシーに関する詳細は、各社のプライバシーポリシーを参照してください。
4.3 外国にある第三者への提供
上記委託先のうち、Supabase, Inc.、Vercel, Inc.、Anthropic, PBC、Resend, Inc.、Sentry（Functional Software, Inc.）、Stripe, Inc.（米国本社利用部分）、Google LLC は、いずれも米国に所在する事業者です。当社は、これらの事業者が提供するサービスに関して、個人情報保護法第28条に基づき、外国にある第三者への個人情報の提供についての利用者の同意を得るものとします。
各国の個人情報保護制度の概要、当該事業者が講じる安全管理措置については、本ポリシー末尾の「補足資料：外国にある第三者への提供にあたっての参考情報」に記載します。
5. 個人情報の保管期間および削除
| データ区分 | 保管期間 |
|---|---|
| 利用者アカウント情報、事務所情報 | アカウントが有効な期間中。解約後 90日 で削除 |
| 顧問先情報、対象労働者情報、申請プロジェクト、書類 | 利用者がアカウント内で削除した時点でソフト削除（復元可能期間 30日）。ハード削除は 解約後90日 |
| 監査ログ（操作履歴） | 3年 保管後アーカイブ・削除（docs/04_data_model.md §3.5 の「無期限保管」予定はストレージコスト観点で見直し） |
| アクセスログ（IP、UA 等） | 取得から 1年 |
| 課金情報（適格請求書要件） | 法定保存期間（電子帳簿保存法等）に従い、7年間 保管 |
| AI 生成履歴（プロンプト・生成結果） | 不具合調査・サポート対応のため 1年 保管後削除 |
利用者は、解約前または保管期間中、/settings 画面または当社サポート窓口（後述）を通じて利用者データのエクスポートを求めることができます。
6. 個人情報の保管場所
当社は、本サービスにおける個人情報を、原則として 日本国内（東京リージョン） に物理的に保管します。
| データ種別 | 保管場所 |
|---|---|
| データベース（顧問先・対象労働者・申請プロジェクト・書類メタデータ等） | Supabase（東京リージョン ap-northeast-1） |
| アップロードファイル（賃金台帳、出勤簿、生成書類等） | Supabase Storage（東京リージョン ap-northeast-1） |
| アプリケーション処理 | Vercel Functions（東京リージョン hnd1） |
| 認証セッション | Supabase Auth（東京リージョン） |
ただし、第4条第3項に定める米国所在の委託先（Anthropic、Resend、Sentry、Stripe、Google）に対しては、目的の範囲内で当該事業者のサーバへ情報が送信されます。
7. 安全管理措置
当社は、個人情報の漏洩、滅失、毀損を防止するため、次の安全管理措置を講じます。
7.1 技術的安全管理措置
- テナント分離（Row Level Security）：データベースに RLS（Row Level Security）を実装し、利用者が他事務所のデータにアクセスできない構造を強制します
- 通信の暗号化：本サービスへのすべての通信を TLS（HTTPS）で暗号化します
- 保管データの暗号化：Supabase の標準機能により、データベースおよびストレージは保管時にも暗号化されています
- パスワードの一方向ハッシュ化：パスワードは bcrypt 等のハッシュ関数で一方向ハッシュ化して保存し、当社は復元できません
- エラー監視時の個人情報マスキング：Sentry へエラー情報を送信する前に、メールアドレス、電話番号、住所、氏名、12 桁の連続数字（マイナンバー的データの誤検知含む）等をクライアント／サーバ両側でマスキングします
- AI モデルへの入力時のサニタイズ：Anthropic Claude API へ送信するプロンプトについても、目的に必要な最小限の情報のみを入力します
- 多要素認証：利用者は任意で TOTP による多要素認証（MFA）を設定できます
- 監査ログ：アカウント・組織・申請・書類等の重要操作はすべて監査ログとして記録します
7.2 組織的・人的安全管理措置
- 個人情報を取り扱う者を限定し、その役割と責任を明確化します
- 当社の従業者および業務委託先に対し、個人情報保護に関する教育を行います
- 個人情報漏洩等のインシデントが発生した場合、速やかに事実関係を把握し、必要に応じて利用者・監督機関への報告を行います
7.3 物理的安全管理措置
データセンターの物理セキュリティは、Supabase および Vercel が運用するクラウドインフラ事業者（AWS）の標準的なセキュリティ管理（入退室管理、監視カメラ、災害対策等）に依拠します。
8. Cookie 等の利用
本サービスは、以下の目的で必要最小限の Cookie および類似技術を使用します。
| 目的 | 内容 |
|---|---|
| 認証セッションの維持 | Supabase Auth が発行する認証 Cookie。これがないと本サービスを利用できません |
| CSRF（クロスサイトリクエストフォージェリ）対策 | サーバが発行するワンタイムトークン |
当社は、本サービスにおいて第三者の広告事業者およびトラッキング事業者の Cookie を使用しません。第三者解析ツール（Google Analytics 等）も MVP 段階では使用せず、利用統計は当社サーバ内で完結する形で取得します（プロダクト分析ツールの導入は将来検討）。
9. 利用者の権利（開示・訂正・削除等の請求）
利用者および本人は、個人情報保護法に基づき、当社に対し次の請求を行うことができます。
- 保有個人データの利用目的の通知
- 保有個人データの開示
- 保有個人データの訂正、追加または削除
- 保有個人データの利用停止または消去
- 保有個人データの第三者への提供の停止
- 保有個人データの第三者提供記録の開示
これらの請求は、後述「12. お問合わせ窓口」に記載の連絡先までご連絡ください。当社は、本人確認のうえ、個人情報保護法第32条以下に基づき遅滞なく対応します。
なお、顧問先従業員に関する個人情報については、当該従業員ご本人からの請求を受けた場合、当社は当該従業員を本サービスにアップロードした事務所（利用者）と協力して対応します。
請求にあたっては、本人確認のため運転免許証その他の本人確認書類のご提示をお願いする場合があります。請求対応の手数料は 無料 とします。
10. 個人情報保護管理責任者
| 項目 | 内容 |
|---|---|
| 個人情報保護管理責任者 | 代表取締役 北嶋雄一 |
| 所属 | 株式会社more&F |
11. 本ポリシーの改定
- 当社は、必要に応じて本ポリシーを改定することがあります。
- 重要な変更を行う場合、本サービス内の通知またはメールにより、変更施行日の 30日 前までに利用者に告知します。
- 改定後の本ポリシーは、当社ウェブサイトに掲示した時点から効力を生じます。
12. お問合わせ窓口
本ポリシーに関するお問合わせ、開示請求等は、下記窓口までご連絡ください。
| 項目 | 内容 |
|---|---|
| 事業者名 | 株式会社more&F |
| 所在地 | 茨城県つくば市（詳細所在地はベータ運用開始時に確定） |
| お問合わせ先メールアドレス | 【保留：ドメイン取得後に privacy@【ドメイン】 で確定】 |
| 受付時間 | 平日 10:00 〜 17:00（土日祝・年末年始を除く） |
附則
本ポリシーは、【保留：ベータ運用開始日に合わせて確定】 より施行します。
補足資料：外国にある第三者への提供にあたっての参考情報
§4.3 に基づき、本サービスが個人情報の取扱いを委託する米国所在の事業者について、各国の個人情報保護制度の概要および当該事業者が講じる安全管理措置の参考情報を以下に示します。
| 委託先 | 所在国 | 個人情報保護制度の概要 | 安全管理措置 |
|---|---|---|---|
| Supabase, Inc. | 米国 | 連邦レベルの包括的な個人情報保護法は未制定。州法（CCPA/CPRA 等）あり。EU-US DPF 認証取得 | SOC2 Type II 認証、データセンターは AWS（東京リージョン）。標準契約条項（SCC）相当の DPA に基づく |
| Vercel, Inc. | 米国 | 同上 | SOC2 Type II 認証、データセンターは AWS。実行リージョンを東京に固定 |
| Anthropic, PBC | 米国 | 同上 | SOC2 Type II 認証。業務利用の API 入力をモデル学習に使用しない契約条項。データ保持期間を限定 |
| Stripe, Inc. | 米国／日本（ストライプジャパン株式会社） | 同上。日本法人は国内法準拠 | PCI DSS Level 1 認証、SOC2 Type II 認証 |
| Resend, Inc. | 米国 | 同上 | SOC2 Type II 認証 |
| Functional Software, Inc.（Sentry） | 米国 | 同上 | SOC2 Type II 認証。エラー情報の個人識別情報マスキングを当社側で実施 |
| Google LLC | 米国 | 同上。EU-US DPF 認証取得 | ISO 27001、SOC2/3 認証。OAuth 連携時のみ利用 |
最新の認証情報・データ取扱い詳細は、各社のプライバシーポリシーおよびトラストセンターをご確認ください。
オーナー確認済み項目一覧（2026-04-30 確定）
| # | 項目 | 確定内容 |
|---|---|---|
| 1 | 法人名 | 【確定】株式会社more&F |
| 2 | プロダクト名 | 【確定】shinsei-saas（仮称のまま記載。本確定はプロダクト名確定後） |
| 3 | §4.3 外国第三者提供の参考情報の掲載方法 | 【確定】本ポリシー末尾に追記（補足資料セクション） |
| 4 | §5 利用者アカウント情報の解約後保管期間 | 【確定】90日（利用規約と整合） |
| 5 | §5 顧問先データのソフト削除復元期間 | 【確定】30日 |
| 6 | §5 顧問先データのハード削除タイミング | 【確定】解約後90日 |
| 7 | §5 監査ログの保管期間 | 【確定】3年 |
| 8 | §5 アクセスログ保管期間 | 【確定】1年 |
| 9 | §5 課金情報保管期間 | 【確定】7年（電子帳簿保存法準拠） |
| 10 | §5 AI 生成履歴保管期間 | 【確定】1年 |
| 11 | §9 開示請求対応期間 | 【確定】遅滞なく（個人情報保護法第32条踏襲、具体期間明示せず） |
| 12 | §9 開示請求手数料 | 【確定】無料 |
| 13 | §10 個人情報保護管理責任者 | 【確定】代表取締役 北嶋雄一 |
| 14 | §11 ポリシー改定告知期間 | 【確定】30日前（利用規約と整合） |
| 15 | §12 お問合わせメールアドレス | 【保留：ドメイン取得後 privacy@【ドメイン】で確定】 |
| 16 | §12 受付時間 | 【確定】平日10:00〜17:00（土日祝・年末年始を除く） |
| 17 | 附則 施行日 | 【保留：ベータ運用開始日に合わせて確定】 |
変更履歴
| 日付 | 内容 |
|---|---|
| 2026-04-30 | 初版ドラフト作成。取得情報・利用目的・第三者提供（Supabase / Vercel / Anthropic / Stripe / Resend / Sentry / Google）・保管期間・安全管理措置・Cookie・開示請求対応を記載。マイナンバー非取得を明示。要オーナー判断 17 項目を inline で明示 |
| 2026-04-30 | オーナー確認実施。15/17 項目を確定、お問合わせメールアドレス・施行日のみ保留（ドメイン取得・ベータ運用開始日まで）。本文中の【要オーナー判断】マーカーを確定値に置換。§4.3 の外国第三者提供 補足資料セクションを末尾に追加。ステータスを「ドラフト（オーナー確認済み・専門家レビュー前）」に更新 |
| 2026-05-05 | V2-A 規約反映セッションでの確認。インボイス未登録（2026年7月以降登録予定）の取扱いは利用規約第4条の課税取扱いの問題であり、本プライバシーポリシーへの影響なし（変更なし） |