プライバシーポリシー

HEXAR SOFTWARE FACTORY S.R.L.（以下「Hexar」または「当社」）、CUIT 30-71907331-6、住所Las Palmas 2779 Piso 3, Ciudad Autónoma de Buenos Aires, Argentinaは、本プライバシーポリシーに記載するアカウント、組織、請求、および技術データについてのデータ管理者（data controller）です。

お客様自身のエージェントが報告するインフラストラクチャデータ（第2条）のうち、お客様のエンドユーザーまたは従業員等の個人データに由来する、またはこれを含むものについては、Hexarはお客様の処理者（data processor）として、お客様の文書化された指示にのみ従ってこれを取り扱います。詳細は当社のデータ処理アドエンダム（以下「DPA」、/ja/terms/dpa で公開、本ポリシーに参照により組み込まれます）をご参照ください。

本プライバシーポリシーはArchyntの利用規約の一部です。利用規約に同意することは、本プライバシーポリシーへの明示的かつ情報に基づく同意を与えることを意味し、これはArchyntのアカウントを作成するための必須要件であり、例外はありません。

本プライバシーポリシーは英語版が /privacy で、スペイン語版が /es/privacy で公開されています。アルゼンチンに住所を有する利用者および組織については、両言語版の間に齟齬がある場合、スペイン語版が法的に優先するテキストとなります。

お客様が直接提供するアカウントデータ：メールアドレス、および、メール/パスワードによる登録を選択した場合はパスワード（すべてFirebase Authenticationにより取り扱われ、当社が平文でこれを閲覧または保存することはありません）。GoogleまたはGitHubでサインインする場合、これらのプロバイダーが共有するメールアドレスおよびプロフィール識別子を受け取ります。

組織および請求データ：組織名、契約プラン、および有料プランについては当社の決済処理業者であるPaddleが処理する請求情報（カード等の決済手段の情報は、Archyntではなく、Paddleが保持します）。

利用規約同意の記録：お客様が同意した利用規約のバージョン、日時、および同意の申請元のIPアドレス。これらは監査記録として保持されます（保持期間については第6条をご参照ください）。

お客様自身のエージェントが報告するインフラストラクチャデータ（エージェントの実行を選択した場合）：サービス/コンテナのトポロジー、TCP依存関係のエッジ、ホストおよびコンテナのリソースメトリクス、ならびにお客様自身のシステムのログ行。これらは読み取り専用であり、エージェントを導入した場合にのみ送信され、お客様の組織単位に区切られています。お客様自身のシステムのログ行には、お客様のエンドユーザーまたは従業員等の個人データ（例えば、お客様のアプリケーションが記録するIPアドレスや識別子）が含まれる場合があります。Hexarはこうしたデータを抽出またはプロファイリングする目的でログを検査することはありませんが、お客様自身のシステムがこれらを記録すること自体を完全に防ぐことはできません。

コードから派生するデータ：お客様がArchyntにリポジトリを指定すると、当社はこれを解析してアーキテクチャグラフ（クラス名、パッケージ構造、関係性）を構築し、そのグラフを保存します。リポジトリのソースツリー全体のコピーを保存することはありません。

自動的に収集される技術データ：IPアドレス、ブラウザ/ユーザーエージェント、および基本的なリクエストログ。セキュリティおよび不正利用防止の目的で使用します。

本サービスの提供のため：お客様の認証、所属組織およびロールの特定、アーキテクチャグラフの構築と保存、ランタイムトポロジーおよびメトリクスの取り込みと表示、AIによるインサイトの生成、およびプランの利用制限の適用。

有料プランをご利用の場合、Paddleを通じた請求のため。

安全な運用のため：不正利用の検知、エンロールメントキーおよびセッション認証の実施、インシデントの調査。

アカウント、サービスの変更、または（必要な場合はお客様の同意を得た上で）製品に関する最新情報についてお客様とやり取りするため。

当社はお客様の個人データを販売することはなく、また、お客様のソースコードやインフラストラクチャデータをいかなるAIモデルの学習にも使用しません。

Firebase Authentication（Google） — サインインごとの本人確認のため。

Paddle — 有料プランの決済処理およびサブスクリプション請求のため。Paddleはmerchant of record（販売記録事業者）として行動します。

Anthropic（Claude） — 当社のデフォルトのAIインサイトプロバイダーです。Anthropicへのリクエストが失敗した場合、自動的にOpenAIへフォールバックします。いずれの場合も、当社はアーキテクチャグラフから派生した表現（コンポーネント名、関係性、検出された所見）のみを送信し、生のソースコードを送信することは一切ありません。これは応答の生成のみを目的としています。当社とAnthropicとの契約、およびOpenAIの商用API規約に基づき、いずれのプロバイダーも当該データを自社モデルの学習に使用することはなく、それぞれAPIデータについて独自の限定的な保持期間を適用します。これはArchynt自体の保持ポリシーとは独立したものです。

GitHub — GitHub Appのインストールを接続した場合、解析対象のリポジトリの内容を読み取り、GitHubへPRチェックを投稿するため。これはお客様が明示的に許可したリポジトリに限定されます。

インフラストラクチャ/ホスティングプロバイダー — Archyntを稼働させるサーバーおよびストレージ（Postgres、Neo4j、VictoriaMetrics、Loki）は当社が所有するものです。第三者のクラウドインフラストラクチャを利用する場合、それは厳密に当社の指示の下で処理者として行動するものです。

当社は、法令上求められる場合に限り、個人データを公的機関へ開示します。

第4条に記載するプロバイダーの一部 — Firebase/Google、Anthropic、OpenAIを含む — はアルゼンチン国外の米国に所在しています。移転先の国がアルゼンチンのデータ保護当局（AAIP）により十分な水準のデータ保護を提供すると認められていない場合、当社は、法25,326号第12条が求めるとおり、AAIPが承認した国際データ移転のための標準契約条項、または当該具体的な移転についてのお客様の情報に基づく同意に依拠します。

当社は本ポリシーにおいてプロバイダーの一覧とその所在地を最新の状態に保っています。特定のプロバイダーに適用される具体的な移転の仕組みについて知りたい場合は、当社（第9条）までご連絡ください。

アカウントおよび組織のデータは、お客様のアカウントが存在する限り保持され、その後も法令上または会計上の義務を履行するために合理的な期間保持されます。

ランタイムメトリクスおよびログデータは、お客様のプランの制限（詳細は /pricing をご参照ください）に従って保持され、その期間を超えると自動的に消去されます。これはサーバー側で強制されるものであり、単なる表示上のフィルターではありません。

利用規約/プライバシーポリシーの同意記録は、民商法典第2560条に定める契約上の請求権の一般的な消滅時効期間に合わせ、お客様のアカウントが閉鎖された日から5年間保持されます。ただし、係属中の請求や法的手続きの解決のためにより長い期間が必要な場合を除きます。

お客様の組織のアカウントが閉鎖された場合、インフラストラクチャデータは、当社の利用規約第9条に記載する猶予期間およびプロセスに従って削除されるか、不可逆的に匿名化されます。

当社は業界標準の保護措置を適用しています：パスワードは当社自身のコードでは一切取り扱われず（Firebase Authenticationのみが取り扱います）、セッショントークンは署名され有効期間が短く、ランタイムエージェントは組織ごとのエンロールメントキーおよびエージェントごとのbearerトークン（保存時にハッシュ化）により認証され、Webhookのペイロードは署名により検証されます。

完全に安全なシステムは存在しません。Hexarが本条に記載する保護措置を講じている限り、当社が合理的に防止し得なかった不正な傍受またはシステムへの不正アクセスについて、Hexarは責任を負いません。

お客様の個人データまたは組織のインフラストラクチャデータの機密性、完全性、もしくは可用性を侵害したセキュリティインシデントを当社が認知した場合、当社は不当な遅滞なく、いかなる場合においてもインシデントの確認から72時間以内に、電子メールおよびアプリ内通知により、影響を受けた組織のOwnerへ通知します。

この通知には、通知時点で判明している範囲で、インシデントの性質、影響を受けたデータの種類および概算の量、当社が講じた、または講じる予定の措置、および詳細情報の問い合わせ先が記載されます。Resolución AAIP 47/2018またはこれに相当する適用法令が求める場合には、AAIPへも通知します。

適用法に応じて、お客様は自身の個人データへのアクセス、訂正、削除、またはポータビリティを請求する権利、および処理が同意に基づく場合にはその同意を撤回する権利を有する場合があります。これらの権利は [email protected] までご連絡いただくことで行使できます。アカウントおよび組織のデータは、ダッシュボードの「組織」および「プロフィール」ページから直接管理することもできます。

当社の対応にご満足いただけない場合、適用法により認められる範囲で、アルゼンチンのデータ保護当局であるAgencia de Acceso a la Información Pública（AAIP）、またはお客様の居住国に相当するデータ保護当局へ苦情を申し立てる権利があります。

アカウントを削除すると、お客様個人のアカウントデータは削除されます。お客様が単独で所有していない組織に帰属するデータについては、その組織のOwner/Adminによる対応が必要となる場合があります。

Archyntはビジネス/開発者向けのツールであり、18歳未満の個人を対象とせず、これらの者による利用を認識した上で許容するものでもありません。18歳は、民商法典第25条から第26条に定める完全な契約能力を有する年齢、または適用法が自らデータ処理に同意するために求める年齢のうち、いずれか高い方です。当社は、当該年齢に満たない者の個人データを、認識した上で収集することはありません。

Archyntは最小限のCookieのみを使用します：ログイン状態を維持するhttpOnlyのセッションCookieであり、第三者による広告またはトラッキングのCookieは使用しません。ブラウザでセッションCookieを無効化すると、ログアウトされます。

第1条に記載するインフラストラクチャデータに関する処理者としての関係 — 当該データについて当社が利用する副処理者、セキュリティインシデントの通知プロセス、お客様自身のエンドユーザーからのデータ主体の請求への対応支援、およびサービス終了時のデータのエクスポートと削除を含む — の詳細は、/ja/terms/dpa で公開しているデータ処理アドエンダムに全て記載されており、これは本利用規約および本ポリシーの一部を構成します。

当社は、本サービスの進化に伴い本プライバシーポリシーを更新することがあります。重大な変更については、利用規約の変更と同じ手段により、少なくとも30日前までに事前通知を行い、法令上必要とされる場合には改めてお客様の同意を求めます。

本プライバシーポリシーはアルゼンチン共和国の法律に準拠します。その解釈、有効性、または履行に関連するあらゆる紛争は、当社の利用規約第12条に記載する消費者保護に関する例外と同様の条件のもと、ブエノスアイレス市に所在する通常裁判所に提起されるものとします。