1. 個人情報取扱事業者
本プライバシーポリシー（以下「本ポリシー」）は、個人情報の保護に関する法律（以下「個人情報保護法」）に基づき、以下の個人情報取扱事業者が、プロジェクト管理サービス「HARVASK」（以下「本サービス」）における個人情報の取扱いについて定めるものです。
| 事業者名 | 株式会社WOWN（ワオン） |
|---|---|
| 代表者 | 代表取締役 藤岡 拓己 |
| 所在地 | 〒251-0024 神奈川県藤沢市鵠沼橘1丁目5-1 サニー21ビル501 |
| 個人情報保護管理者 | 代表取締役 藤岡 拓己 |
| 連絡先 | お問い合わせフォーム |
2. 取得する個人情報の種類
当社は、本サービスの提供にあたり、以下の個人情報を取得します。
2.1 利用者から直接取得する情報
- 氏名、メールアドレス、電話番号、会社名・団体名
- パスワード（不可逆的なハッシュ化を行い保存。平文では保存しません）
- テナント情報（テナント名、サブドメイン設定等）
- お問い合わせ内容、フィードバック
2.2 決済に関する情報
クレジットカード情報は、PCI DSS準拠の決済代行サービス（Stripe, Inc.）が直接取得・管理します。当社のサーバーにクレジットカード番号が保存されることはありません。当社は、Stripeから提供される決済トークン、カード種別、有効期限（下4桁）等の限定的な情報のみを保有します。
2.3 自動的に取得する情報
- IPアドレス
- ブラウザの種類・バージョン、オペレーティングシステム
- アクセス日時、参照元URL
- ページ閲覧履歴、利用状況に関するログデータ（操作ログ、エラーログ）
- デバイス情報（画面解像度、言語設定）
- Cookie及び類似技術により取得される情報（詳細は第11条参照）
2.4 第三者から取得する情報
- 決済サービス（Stripe）から提供される決済処理結果情報
- インフラサービスから提供されるサーバーステータス情報
3. 利用目的
当社は、取得した個人情報を、以下の目的の範囲内で利用します。利用目的を変更する場合は、変更前の利用目的と関連性を有すると合理的に認められる範囲内で行い、変更後の利用目的を本ポリシーに掲示するものとします。
3.1 サービスの提供・運営
- 本サービスの提供、維持、運営
- 利用者の本人確認及び認証
- アカウント管理、テナント管理
- サーバー環境の構築・管理
- 利用料金の計算、請求及び決済処理
- お問い合わせへの対応、カスタマーサポート
3.2 サービスの改善・開発
- 本サービスの機能改善、新機能の企画・開発のための分析
- ユーザーインターフェースの改善
- パフォーマンスの最適化
3.3 コミュニケーション
- サービスに関する重要な通知の送信（障害情報、メンテナンス、規約変更等）
- 新機能やキャンペーンのご案内（利用者の事前同意がある場合に限る）
3.4 安全性の確保
- 不正利用の検知・防止
- セキュリティインシデントの調査・対応
- 不正アクセス、DDoS攻撃等の検知・防止
- 利用規約違反の調査
3.5 統計・分析
- 利用状況の統計・分析（個人を特定しない形式で）
- サービス利用動向の把握
4. 第三者提供
当社は、以下の場合を除き、あらかじめ利用者の同意を得ないで、個人情報を第三者に提供しません。
- 法令に基づく場合
- 人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
- 公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき
- 国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき
5. 業務委託先への提供
当社は、利用目的の達成に必要な範囲内において、個人情報の取扱いの全部または一部を委託することがあります。この場合、当社は委託先との間で個人情報の取扱いに関する契約を締結し、委託先における個人情報の安全管理について必要かつ適切な監督を行います。
主な委託業務の内容は以下のとおりです。
- クレジットカード決済処理
- サーバーインフラの提供・運用
- AI応答生成のための外部API利用（OpenRouter, Inc. を経由した Anthropic 社等の大規模言語モデルAPI、及び音声合成・文字起こし等のための OpenAI 社のAPI）
なお、一部の委託先は海外に所在しており、当該国の法令に基づく個人情報の保護制度が日本と異なる場合があります。当社は、委託先の選定にあたり、個人情報の安全管理に関する体制を確認し、適切な措置を講じています。
6. 合併等に伴う提供
合併、会社分割、事業譲渡その他の事由により事業を承継する場合、当該事業承継に伴い個人情報を承継先に提供することがあります。この場合、承継先に対し、本ポリシーに定める条件で個人情報を取り扱うことを義務付けます。
7. AI機能によるデータ処理
本サービスのAI機能は、利用者のプロジェクト管理を支援するために、以下のデータを処理します。当社は、「AI事業者ガイドライン」（2024年4月、総務省・経済産業省）に基づき、AIによるデータ処理の透明性確保に努めます。
7.1 AI機能が処理するデータの種類
- プロジェクト情報（プロジェクト名、説明、期限、ステータス等）
- タスク情報（タスク名、担当者、進捗状況、優先度等）
- 利用者がAI社員に対して送信したメッセージ・指示内容
- AI社員が参加するプロジェクト内のコミュニケーションデータ
- テナントの設定情報（テナント名、メンバー構成等）
- 利用者が Google カレンダー連携を有効にし、かつ AI アシスタントにカレンダーの操作を指示した場合の予定情報（タイトル、日時、説明、場所等。詳細は第17条参照）
7.2 データ処理の目的
上記のデータは、以下の目的に限り処理されます。
- AI社員によるプロジェクト進捗の分析・管理支援
- タスクの優先度判定、リスク検出、改善提案の生成
- 利用者の指示に対するAI応答の生成
- プロジェクト全体のサマリー・レポートの作成
7.3 データの分離と安全性
- 各テナントのデータは、独立した専用クラウド環境で処理され、他のテナントのデータと厳格に分離されています
- AI機能が処理するデータは、処理目的の達成に必要な範囲を超えて保存しません
- AI機能との通信は、すべてSSL/TLSにより暗号化されています
8. AI学習へのデータ利用について
- 当社は、利用者のデータを、AIモデルの学習（トレーニング）に利用しません。利用者がAI機能に入力したデータ、AI機能が処理したデータ、およびAI機能が生成したコンテンツは、当社または第三者のAIモデルの学習・改善のために使用されることはありません
- 当社は、サービス全体の品質監視および安全性向上の目的に限り、AI機能の利用に関する統計情報（個人やテナントを特定できない形式に匿名化・集計したもの）を分析に利用する場合があります
- この方針は、本サービスが利用する外部LLM API（Anthropic社、OpenAI社等）におけるデータの取扱いとは独立しています。外部APIにおけるデータの取扱いについては、次項をご確認ください
9. 外部AI APIへのデータ送信
本サービスのAI機能は、応答の生成にあたり、外部の大規模言語モデル（LLM）APIを利用しています。これに伴い、利用者のデータの一部が外部APIに送信されます。
9.1 送信されるデータ
- 利用者がAI社員に対して入力したメッセージ・指示内容
- AI応答の生成に必要なプロジェクト・タスクのコンテキスト情報
- AI社員の動作に必要なシステムプロンプト（当社が設定するもの）
なお、利用者の認証情報（パスワード等）、決済情報（クレジットカード番号等）は外部APIに送信されません。
9.2 利用する外部APIと各社のデータポリシー
本サービスが利用する主な外部AI APIは以下のとおりです。当社は、各API提供元と適切なデータ処理契約を締結しています。
- Anthropic API（OpenRouter 経由） — AI社員の応答生成に利用する主要な大規模言語モデルAPIです。OpenRouter, Inc. を経由して Anthropic 社等のモデルにデータを送信します。各社は、API経由で送信されたデータをモデルの学習に使用しない旨を表明しています
- OpenAI API — 音声の読み上げ（音声合成）、音声の文字起こし、テキスト整形等の機能に利用します。OpenAI社は、API経由で送信されたデータをモデルの学習に使用しない旨を表明しています。詳細は OpenAI API Data Usage Policies をご確認ください
なお、当社は OpenRouter のプライバシー設定において、入力データをモデルの学習（トレーニング）に利用する可能性のあるプロバイダーを除外し、加えて全てのリクエストにおいてデータを保持しない（Zero Data Retention）プロバイダーに限定する構成を採用しています。
当社は、利用するAI APIの提供元を変更・追加する場合があります。その場合、本ポリシーを更新します。
9.3 国際データ移転
外部AI APIの利用にあたり、利用者のデータが日本国外（主に米国）のサーバーに送信・処理される場合があります。当社は、個人情報保護法第28条に基づき、外国にある第三者への個人データの提供に関する適切な措置を講じています。
10. AIによるプロファイリングと自動意思決定
10.1 プロファイリングについて
本サービスのAI機能は、利用者個人のプロファイリング（利用者の行動パターン、嗜好、能力等を分析して個人の特性を評価すること）を目的とした処理は行いません。AI機能が行うのは、あくまでプロジェクトやタスクに関するデータの分析であり、利用者個人の評価や格付けを行うものではありません。
10.2 自動意思決定について
本サービスにおいて、利用者に法的効果または重大な影響を与える意思決定をAIが自動的に行うことはありません。AI機能は提案・支援を行うのみであり、最終的な意思決定は常に利用者が行います。
10.3 AI処理に対する利用者の権利
利用者は、AI機能によるデータ処理に関して、以下の権利を有します。
- AI機能が処理した自己のデータの内容について説明を求める権利
- AI機能の利用を停止する権利（AI社員機能をオフにすることで対応可能です）
- AI機能が処理したデータの削除を求める権利
これらの権利の行使については、お問い合わせフォームよりご連絡ください。
11. 安全管理措置
当社は、個人情報の漏洩、滅失、毀損の防止その他の安全管理のために、以下の措置を講じています。
11.1 組織的安全管理措置
- 個人情報保護管理者の設置
- 個人情報の取扱いに関する社内規程の整備・運用
- 個人情報の取扱状況の定期的な点検・監査
- 漏洩等の事案に対応する体制の整備
11.2 人的安全管理措置
- 従業者との秘密保持に関する契約の締結
- 個人情報の取扱いに関する従業者への定期的な教育・研修
11.3 物理的安全管理措置
- 個人情報を取り扱う区域の管理（入退室管理等）
- 機器及び電子媒体等の盗難防止措置
11.4 技術的安全管理措置
- 通信の暗号化（TLS 1.2以上）
- パスワードの不可逆的なハッシュ化（bcrypt）
- アクセス制御及び権限の最小化
- 各テナントのサーバー環境は独立して隔離されており、他のテナントからアクセスできません
- 不正アクセスの検知・防止システムの導入
- ソフトウェアの定期的なセキュリティアップデート
- アクセスログの取得・保管
12. Cookie・トラッキング
12.1 使用するCookieの種類
| 種類 | 目的 | 必須/任意 |
|---|---|---|
| セッションCookie | ログイン状態の維持、CSRF保護 | 必須 |
| 認証Cookie | 利用者の認証情報の保持 | 必須 |
| 設定Cookie | 利用者の設定情報（言語、表示設定等）の保持 | 任意 |
| 分析Cookie | サービスの利用状況の分析・改善（同意した場合にのみ有効化） | 任意 |
分析Cookieは、Google Consent Mode により、利用者が同意した場合にのみ有効化されます。同意前は分析Cookieを保存しません。
12.2 外部送信（第三者へのデータ送信）について
本サービスのLP・登録ページ等では、アクセス解析のために以下の外部サービスを利用しており、利用者の同意がある場合に端末・閲覧に関する情報を外部の事業者へ送信します。
| 送信先事業者 | 送信される情報 | 利用目的 |
|---|---|---|
| Google LLC （Google Analytics / Google タグ マネージャー） |
IPアドレス、Cookie識別子、閲覧ページURL・リファラー、ブラウザ・端末情報、操作・滞在に関する情報 | アクセス状況の測定・分析、サービスの改善 |
Googleにおける情報の取扱いについては、Googleのプライバシーポリシーをご参照ください。
12.3 オプトアウト方法
- 欧州経済領域（EU/EEA）及び英国からのアクセスでは、本サイトに表示されるCookie同意バナーで「拒否する」を選択することで、分析Cookieと外部送信を停止できます（選択内容はいつでも変更できます）
- その他の地域からのアクセスでは、下記の Google アナリティクス オプトアウト アドオン の導入、又はブラウザ設定により、Google Analyticsへの送信を無効化できます
- 利用者はブラウザの設定により、Cookieの受け入れを拒否または削除できます
- ただし、必須Cookieを無効化した場合、本サービスの一部または全部が正常に動作しなくなる場合があります
- 各ブラウザのCookie設定方法は、各ブラウザのヘルプページをご参照ください
13. データの保存期間と削除
13.1 保存期間の目安
| データの種類 | 保存期間 |
|---|---|
| アカウント情報 | アカウント存続中、及び解約後30日間 |
| プロジェクトデータ・コンテンツ | アカウント存続中、及び解約後30日間 |
| 決済記録 | 取引完了後7年間（法令上の保存義務に基づく） |
| アクセスログ | 取得後1年間 |
| お問い合わせ記録 | 対応完了後3年間 |
| 統計データ（匿名化済み） | 無期限 |
13.2 削除
- 保存期間を経過した個人情報は、速やかに削除または匿名化します
- 利用者からの削除請求があった場合、法令上保存が義務付けられている情報を除き、合理的な期間内に削除します
- サーバー環境上のデータは、解約後のサーバー削除時に完全に消去されます
14. 保有個人データの開示等の請求
利用者は、個人情報保護法の定めに基づき、当社が保有する自己の保有個人データについて、以下の請求を行うことができます。
- 利用目的の通知の請求
- 開示の請求
- 内容の訂正、追加または削除の請求
- 利用の停止または消去の請求
- 第三者への提供の停止の請求
14.1 請求手続き
上記の請求を行う場合は、以下の方法によりお申し出ください。
- 申請先: お問い合わせフォーム
- お問い合わせ内容に「個人情報〔開示/訂正/削除/利用停止〕請求」と明記してください
14.2 本人確認
請求にあたっては、ご本人様であることを確認するため、登録メールアドレスからのご連絡、またはご本人確認書類のご提出をお願いする場合があります。代理人による請求の場合は、委任状及び代理人の本人確認書類をご提出いただきます。
14.3 回答期限
請求を受けた場合、本人確認完了後、原則として2週間以内に書面または電子メールにより回答いたします。なお、以下の場合には請求に応じられないことがあります。
- 本人確認ができない場合
- 法令に基づき開示等を拒否できる場合
- 他人の生命、身体、財産その他の権利利益を害するおそれがある場合
- 当社の業務の適正な実施に著しい支障を及ぼすおそれがある場合
15. 本ポリシーの変更
当社は、法令の改正、当社の事業内容の変更その他の事由により、本ポリシーを変更することがあります。変更後のポリシーは、当社ウェブサイトに掲示された時点から効力を生じます。
16. 苦情・お問い合わせ窓口
個人情報の取扱いに関する苦情・お問い合わせは、以下の窓口までご連絡ください。
| 事業者名 | 株式会社WOWN 個人情報問い合わせ窓口 |
|---|---|
| お問い合わせ | お問い合わせフォーム |
| 所在地 | 〒251-0024 神奈川県藤沢市鵠沼橘1丁目5-1 サニー21ビル501 |
外部の相談窓口
当社の対応にご納得いただけない場合は、以下の外部機関にご相談いただくことも可能です。
- 個人情報保護委員会「個人情報保護法相談ダイヤル」: 03-6457-9849
- 一般財団法人日本情報経済社会推進協会（JIPDEC）個人情報保護相談窓口: 0120-700-779
17. Google APIから取得した情報の取扱い
本サービスは、利用者が Google アカウント連携を有効にした場合に限り、Google Calendar API を通じて利用者の Google カレンダーの予定情報にアクセスします。アクセスは利用者の明示的な OAuth 同意に基づいて行われ、利用者はいつでも連携を解除できます。
17.1 取得するスコープと用途
- 取得スコープ:
https://www.googleapis.com/auth/calendar（予定の閲覧・作成・更新・削除）。本サービスの個人カレンダー機能と Google カレンダーとの双方向同期を提供するために使用します。 - Google カレンダーから取得した予定情報は、利用者本人に対するカレンダーの表示・同期、および利用者が自らの AI アシスタントに対して明示的に指示した場合における当該予定の確認・操作（いずれも利用者本人のための個人向け機能）にのみ利用します。
17.2 Limited Use（限定的使用）の遵守
本サービスによる Google API から受領した情報の使用および他のアプリケーションへの転送は、Google API Services User Data Policy（その Limited Use 要件を含む）に準拠します。
Harvask's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
17.3 AI／MLモデルへの不使用
- Google API を通じて取得した利用者データ（Google カレンダーの予定情報を含む）を、汎用的・非個人化の人工知能（AI）または機械学習（ML）モデルの開発・改善・学習のために使用または保持することはありません。
- 当該データを、利用者本人のための個人向け機能（user-facing feature）の提供以外の目的で第三者に転送・販売することはなく、広告目的で利用することもありません。
- 利用者が AI アシスタントに対して自らのカレンダーの操作を指示した場合、当該予定情報は応答生成（推論）のために外部LLM APIへ送信されることがありますが、その送信先は第9条に定めるとおり、データをモデルの学習に利用せず、かつ保持しない（Zero Data Retention）構成のプロバイダーに限定されます。
- 当該データを人が閲覧することはありません（法令の遵守、セキュリティの確保、または利用者の同意がある場合等の限定的な場合を除きます）。
17.4 連携の解除とデータ削除
利用者は、本サービスの設定画面からいつでも Google カレンダー連携を解除できます。連携を解除すると、本サービスが保有する OAuth トークンは破棄され、Google から取り込んだ予定情報は本サービスから削除されます。
附則
本ポリシーは2026年2月12日から施行します。
本ポリシーは2026年6月3日に改定し、同日から施行します（主な変更点：応答生成に利用する外部AI APIの提供元（Anthropic社、OpenRouter経由）の明確化）。
本ポリシーは2026年6月11日に改定し、同日から施行します（主な変更点：OpenRouter のプライバシー設定における学習利用プロバイダー除外方針の明確化）。
本ポリシーは2026年6月18日に改定し、同日から施行します（主な変更点：Google APIから取得した情報（Google カレンダー）の取扱いおよび Limited Use 遵守に関する第17条の追加、外部LLM API送信におけるデータ非保持（Zero Data Retention）構成の明確化）。