ウェブサービスのセキュリティ セルフチェック
トップへ戻る

「ウェブサービスのセキュリティ セルフチェック」における個人情報の取扱い（プライバシーポリシー）

株式会社ガバナンステクノロジーズ（以下「当社」といいます）は、当社が提供するWebツール「ウェブサービスのセキュリティ セルフチェック」（以下「本ツール」といいます）において取得する情報の取扱いについて、個人情報の保護に関する法律（以下「個人情報保護法」といいます）その他の関係法令・ガイドラインに基づき、以下のとおり定めます。

本ポリシーは、本ツールにおける情報の取扱いを定めるものです。本ポリシーに定めのない事項については、当社の全社プライバシーポリシー（https://governance-technologies.co.jp/policy/privacy ）が適用されます。本ポリシーと全社プライバシーポリシーの内容が異なる場合、本ツールにおける取扱いについては本ポリシーが優先します。

1. 事業者の名称・住所・代表者

  • 名称：株式会社ガバナンステクノロジーズ
  • 住所：〒106-0032 東京都港区六本木4-9-2
  • 代表者：代表取締役兼執行役員社長 仲野 純平
  • 個人情報保護管理者：香坂 健太

2. 本ツールの概要

本ツールは、ウェブサービスのセキュリティに関する21問の質問に回答すると、スコア・レベル・推奨区分・推奨アクションが表示される、無料のWebツールです。アカウント登録やログインは必要ありませんが、チェック結果は、最後の質問のあとに連絡先（会社名・氏名・業務用メールアドレス）を入力し、本ポリシーに同意いただいた場合に表示されます。入力しない場合、チェック結果は表示されません。利用者ご本人に本ツールから自動でメールを送信することはありません（当社内の担当者向けの通知については「4-3」をご覧ください）。

3. 取得する情報

本ツールでは、次の情報を取得します。

3-1. チェックの回答データ

チェックに回答すると、次の情報が当社のデータベース（テーブル名「assessments」）に保存されます。

  • 21問の回答内容（選択した選択肢の番号）
  • 回答から算出したスコア、レベル、推奨区分、理由コード、推奨アクションコード
  • 作成日時
  • 流入情報：本ツールにアクセスした際のURLに含まれるパラメータ（utm_source、utm_medium、utm_campaign）および参照元のURL（リファラー）

回答データは、次の「3-2」の連絡先情報とチェック結果のIDによって紐づけて保存します。このため、回答データは連絡先情報と一体として個人情報として取り扱います。

3-2. 結果表示の前に入力いただく連絡先情報

最後の質問のあと、チェック結果の表示前に入力いただく次の情報が、当社のデータベース（テーブル名「leads」）に保存されます。

  • 会社名（必須、100文字以内）
  • 氏名（必須、50文字以内）
  • 業務用メールアドレス（必須、254文字以内）
  • 部署・役職（任意、100文字以内）
  • 電話番号（任意、半角数字とハイフンのみ）
  • 本ポリシーへの同意（必須）
  • 対応するチェック結果のID
  • 作成日時
  • ご相談希望の有無とその日時（結果ページの「相談する」ボタンを押した場合に記録します）
  • 対応状況（当社の社内管理用の項目で、利用者が入力するものではありません）

入力欄には、自動送信プログラム（ボット）対策のため、画面上には表示されない欄があります。この欄に入力された内容は保存しません。

3-3. 利用者のブラウザ内にのみ保存する情報（当社のサーバーには送信しません）

本ツールは、利用中の操作をスムーズにするため、利用者のブラウザが提供する保存領域を利用します。これらの情報は利用者の端末内にとどまり、当社のサーバーには送信されません。

  • localStorage：回答途中の内容と進行ステップ。チェックの完了時に削除されます。
  • sessionStorage：流入情報（UTMパラメータ・参照元URL）を一時的に保持します。ブラウザのタブを閉じると消去されます。

3-4. Webフォント（Google Fonts）の読み込みに伴いGoogleへ送信される情報

本ツールは、文字の表示のためにGoogle LLCが提供するWebフォント「Google Fonts」（fonts.googleapis.com および fonts.gstatic.com）を読み込んでいます。このため、本ツールの表示時に、利用者のブラウザからGoogleのサーバーへ、IPアドレス、ブラウザの種類などのアクセス情報が送信されます。詳細は「8. Cookie等・外部送信について」をご覧ください。

3-5. 取得しない情報

本ツールは質問への回答だけで結果を判定します。利用者のWebサービス・システムに対するスキャンや接続・アクセスは一切行わず、スキャン結果やシステムの情報は取得しません。また、パスワード、決済情報、ソースコードは取得しません。

4. 利用目的

取得した情報は、次の目的で利用します。

4-1. 回答データ・流入情報

  • チェック結果（スコア・レベル・推奨区分・推奨アクション）を算出し、結果ページに表示するため
  • 本ツールがどのような経路で利用されているかを把握し、本ツールおよび当社の情報提供を改善するため（流入情報）

4-2. 連絡先情報（および紐づく回答データ・チェック結果）

  • チェック結果に関するご連絡およびその解説を行うため
  • AIホワイトボックスペネトレーションテストをはじめとする当社サービスに関するご相談への対応、およびフォローアップのご連絡を行うため
  • AIホワイトボックスペネトレーションテストをはじめとする当社サービスのご案内を行うため
  • ご相談・ご連絡の対応状況を当社内で管理するため
  • 連絡先の入力時および「相談する」ボタンの押下時に、当社の担当者へ社内通知を行うため（「4-3」参照）
  • 重複した送信や不正な送信を防ぐため
  • 「5. 第三者提供」の「共同利用について」に記載する当社グループとの共同利用のため（ご相談へのフォローアップ、および当社グループのサービスのご案内）

4-3. 社内通知について

連絡先が送信されたとき、および結果ページの「相談する」ボタンが押されたときに、当社の担当者が速やかに対応できるよう、次の情報を記載した通知を、当社の社内チャットツール（Slack）のチャンネルに自動投稿します（Slack の Incoming Webhook という仕組みを使い、本ツールのサーバーから送信します）。この通知は当社内の担当者だけが閲覧するもので、利用者ご本人や当社以外の者に通知やメールが送信されることはありません。

  • 「3-2」の連絡先情報（会社名、氏名、業務用メールアドレス、入力がある場合は部署・役職、電話番号）
  • チェック結果の概要（レベル、スコア、確認範囲の広さ、推奨区分、「対応した方がいいこと」の上位項目）
  • 流入情報（utm_source、utm_medium、utm_campaign、参照元URL）
  • 日時、ご相談希望の有無、チェック結果ページのURL

上記以外の目的で利用する必要が生じた場合は、あらかじめ本人の同意を得るか、個人情報保護法で認められる範囲で行います。

5. 第三者提供

当社は、次の場合を除き、本ツールで取得した個人情報を第三者に提供しません。

  • 本人の同意がある場合
  • 法令に基づく場合
  • その他、個人情報保護法第27条第1項各号に定める場合

なお、次の「共同利用について」に記載する当社グループとの共同利用、「6. 委託」に記載する委託先への提供、および「7. 外国にある第三者への提供・委託」に記載する事項は、本条の第三者提供とは別に取り扱います。

共同利用について

当社は、本ツールで取得した個人情報のうち次の1に示すものを、次の3に示す利用目的を達成するために必要な範囲において、次の2に示す当社グループとの間で、個人情報保護法第27条第5項第3号に基づき共同利用します。

  1. 共同利用する個人情報の項目
    • 「3-1」のチェックの回答データ（回答内容、スコア・レベル等のチェック結果）
    • 「3-2」の連絡先情報（会社名、氏名、業務用メールアドレス、部署・役職、電話番号、ご相談希望の有無とその日時）
    • 流入情報（utm_source、utm_medium、utm_campaign、参照元URL）
  2. 共同して利用する者の範囲
  3. 共同利用する者の利用目的
    • ご相談へのフォローアップのご連絡のため
    • 当社グループの商品およびサービスのご案内その他情報提供のため
  4. 個人情報の管理について責任を有する者の名称、住所および代表者
    • 株式会社ガバナンステクノロジーズ
    • 住所：〒106-0032 東京都港区六本木4-9-2
    • 代表者：代表取締役兼執行役員社長 仲野 純平

6. 委託

当社は、本ツールの提供のために、情報の保管・処理を含む業務の一部を次の事業者に委託しています。委託先に対しては、個人情報保護法に基づき、必要かつ適切な監督を行います。

委託先委託する業務取り扱う情報
Lovable Labs Incorporated（米国）本ツールのホスティング、「Lovable Cloud」（基盤として Supabase を利用）によるデータベースの提供・保管、および社内通知の送信処理3-1 の回答データ、3-2 の連絡先情報
Slack Technologies, LLC（米国）社内チャットツール「Slack」の提供（「4-3」の社内通知の受信・保管）「4-3」に記載の通知内容

Google Fontsの提供者であるGoogle LLCは、当社の委託先ではありません。Google Fontsの読み込みに伴う情報の送信については「8. Cookie等・外部送信について」に記載します。

7. 外国にある第三者への提供・委託に関する情報

上記6の委託先であるLovable Labs Incorporated および Slack Technologies, LLC は、米国に所在する事業者です。また、本ツールのデータベース（Lovable Cloud の基盤である Supabase）は、米国のデータセンターに保管されています。このため、本ツールで取得した情報の保管・処理は、個人情報保護法第28条に定める「外国にある第三者」への提供（委託に伴う提供）に該当します。

当社は、個人情報保護法第28条および関係するガイドラインに従い、次の情報を提供します。

  • データが保管・処理される国または地域の名称：米国（データベースは、Lovable Cloud の基盤である Supabase 上にあり、Amazon Web Services の米国オハイオ州リージョンに保管されています。Lovable Labs Incorporated および Slack Technologies, LLC も米国の事業者です。なお、Lovable は、米国を含む複数の国で個人データを処理するとしています。）
  • 当該国における個人情報の保護に関する制度：米国（連邦）には、個人情報の保護に関する包括的な法令はなく、分野ごとの法令（電子通信プライバシー法（ECPA）、グラム・リーチ・ブライリー法（GLBA）、医療保険の携行性と責任に関する法律（HIPAA）等）が存在します。米国は APEC の越境プライバシールール（CBPR）システムに参加しています（EU の十分性認定はありません）。詳細は、個人情報保護委員会が公表している「外国における個人情報の保護に関する制度等の調査」（アメリカ合衆国）をご覧ください（https://www.ppc.go.jp/enforcement/infoprovision/laws/offshore_report_america/ ）。同調査は2021年10月時点の情報に基づくものです。
  • 委託先が講ずる個人情報の保護のための措置：
    • Lovable Labs Incorporated：SOC 2 Type II および ISO/IEC 27001:2022 に対応したセキュリティ管理を行っていることを公表しています（https://trust.lovable.dev ）。
    • Supabase（Lovable Cloud の基盤。Lovable の再委託先）：SOC 2 Type 2 に準拠し、年次で監査を受けていることを公表しています（https://supabase.com/security ）。
    • Slack Technologies, LLC：ISO/IEC 27001・27017・27018・27701、SOC 2（Type II）・SOC 3 等の認証・報告書を取得していること、およびデータ処理補遺（DPA）を提供していることを公表しています（https://slack.com/trust/compliance ）。

当社は、連絡先の入力画面のチェックボックスにより、上記の外国（米国）にある委託先による保管・処理を含め、本ポリシーに基づく個人情報の取扱いについて、本人の同意を取得します。

8. Cookie等・外部送信について

8-1. Cookie

本ツールのプログラム自体は、Cookieを使用していません。ただし、本ツールのホスティング基盤（Cloudflare, Inc. および Lovable）が、不正なアクセスの防止や本ツールの配信など、セキュリティと動作に必要な範囲でCookieを設定する場合があります。また、ホスティング基盤では、通常のWebサービスと同様に、アクセス元のIPアドレス、ブラウザの種類、アクセス日時、閲覧したページなどのアクセス情報が記録される場合があります。

8-2. ブラウザ内保存（localStorage・sessionStorage）

「3-3」に記載のとおり、回答途中の内容・進行ステップ・流入情報を利用者のブラウザ内に保存します。これらは本ツールの動作に必要なもので、当社のサーバーには送信されません。ブラウザの設定から削除することができます。

8-3. 外部送信（Google Fonts）

電気通信事業法の外部送信規律（第27条の12）に関連して、本ツールから外部事業者へ送信される情報を次のとおり記載します。

  • 送信先：Google LLC（Google Fonts）
  • 送信される情報：利用者のIPアドレス、ブラウザの種類・バージョン、参照元URL、フォントの取得に必要な情報など、ブラウザがフォントの取得時に自動的に送信するアクセス情報
  • 送信の目的：本ツールの画面に文字を表示するためのWebフォントを読み込むため
  • 送信先での利用目的：Googleが定めるプライバシーポリシー（https://policies.google.com/privacy?hl=ja ）をご確認ください。

8-4. アクセス解析ツール

本ツールには利用状況を計測するための仕組み（チェック開始、ステップ完了、結果表示、ボタンのクリック、フォーム送信の計測用関数）が組み込まれていますが、現時点では外部のアクセス解析ツールには接続しておらず、これらの情報は外部に送信されていません。将来、アクセス解析ツールを導入する場合は、本ポリシーを改定し、送信先・送信される情報・利用目的を記載したうえで運用を開始します。

9. 結果ページのURLについて

チェック結果ページ（/result/{ID}）のURLには、推測が困難なランダムなID（UUID）が含まれています。このURLを知っている人は、そのチェック結果の集計値（スコア・レベル・推奨区分・推奨アクション）を閲覧できます。個々の質問への回答内容、および「3-2」の連絡先情報は表示されません。結果を他の人に見せたくない場合は、URLの共有をお控えください。

10. 保存期間

取得した情報は、利用目的の達成に必要な期間保存し、その後は適切な方法で削除または匿名化します。

  • 回答データ（流入情報を含む）：取得から3年間、または利用目的を達成するまで
  • 連絡先情報：取得から3年間、または利用目的を達成するまで

11. 安全管理措置

当社は、取得した情報の漏えい、滅失または毀損の防止その他の安全管理のために、次の措置を講じています。

  • 基本方針の策定：個人情報保護法および関係ガイドラインの遵守、質問・苦情の窓口などについて、全社プライバシーポリシーおよび本ポリシーに定めています。
  • 組織的安全管理措置：担当役員を中心とした情報セキュリティ体制を確立し、情報セキュリティに関する権限および責任を明確にしています。また、情報資産の取扱いについて定期的に点検および監査を行い、発見された不備は速やかに是正します。
  • 人的安全管理措置：全ての役員および従業員に対し、個人情報および情報セキュリティに関する教育・訓練・啓発を定期的に行います。
  • 物理的安全管理措置：個人データへの不正アクセス、および個人データの漏えい、滅失または毀損を防止するための管理を行います。
  • 技術的安全管理措置：
    • データベースでは行レベルセキュリティ（Row Level Security）を有効にし、本ツールの閲覧者側からはデータの書き込みのみを可能とし、連絡先情報の読み出しはできないよう制御しています。
    • 連絡先の入力欄には、自動送信プログラムによる不正な送信や二重送信を防ぐための仕組みを設けています。
    • 入力項目には文字数の上限と形式のチェックを設けています。
  • 継続的な改善：安全管理措置は継続的に見直し、その是正および改善に努めます。
  • 外的環境の把握：情報の保管・処理を行う委託先が所在する国の個人情報保護制度を把握したうえで、安全管理措置を講じます。詳細は「7. 外国にある第三者への提供・委託に関する情報」をご覧ください。

12. 保有個人データの開示・訂正・利用停止等の請求

当社は、本人またはその代理人から、当社が保有する個人データについて、次の請求を受けた場合、個人情報保護法に基づき、本人確認を行ったうえで対応します。

  • 利用目的の通知
  • 開示（第三者提供記録の開示を含む）
  • 内容の訂正、追加または削除
  • 利用の停止または消去
  • 第三者への提供の停止

開示等を求める内容を記載のうえ、「13. お問い合わせ窓口」までご連絡ください。原則として電子メールにより回答します。他の方法をご希望の場合は、ご連絡時にその旨をお書きください。可能な範囲でご希望に沿った方法で回答します。開示等の手続に関する手数料はありません。手続に際して、当社の定める方法で本人確認をさせていただく場合があります。当社は、個人情報保護法の定めに従い、遅滞なく必要な対応を行います。

13. お問い合わせ窓口

本ツールにおける個人情報の取扱いに関するご質問・苦情、および開示等の請求は、次の窓口までご連絡ください。

当社は、現時点で認定個人情報保護団体に加入していません。

14. 本ポリシーの変更

当社は、法令の改正、本ツールの機能の変更（アクセス解析ツールの導入など）、その他必要に応じて、本ポリシーを変更することがあります。変更後のポリシーは、本ツール上に掲載した時点から効力を生じます。法令上、本人の同意が必要となる変更を行う場合は、適切な方法で同意を取得します。

15. 制定日

制定日：2026年10月26日