プライバシーポリシー

1. 事業者情報・適用範囲

本サービス「CryptSign」（以下「本サービス」）は、サンズサンホールディングス株式会社（以下「当社」）が事業者向けに提供する電子契約プラットフォームです。本ポリシーは、当社が本サービスの提供に際して取り扱う個人情報の取扱方針を定めるものです。

本サービスは事業者間の利用を前提としており、消費者による利用を想定していません。

2. 基本方針 ― 「データ非保存」の範囲

当社は「契約書本文の非保存」を設計の中核としています。契約書本文（PDFの内容）はサーバーに永続的に保存せず、署名処理の完了後すみやかに削除します。

一方、本サービスの提供・認証・改ざん検知のためには、必要最小限の情報を取り扱います。本ポリシーにおける「非保存」とは契約書本文を指すものであり、後記の認証情報・技術情報等まで一切保持しないという趣旨ではありません。

3. 取り扱う情報

3.1 認証情報

• パスキー（WebAuthn）の公開鍵。秘密鍵は利用者のデバイス内に保持され、当社に送信されません。公開鍵は特定の個人を識別しない値です。
• Google OAuthのアカウント識別子。ログイン中のメールアドレスはGoogle OAuthから都度取得し、当社サーバーに永続保存しません。

3.2 契約関連情報

• 契約書本文のSHA-256ハッシュ値（特定の個人を識別する情報を含みません）
• 署名日時および署名イベントの検証情報
• Aleoブロックチェーンのトランザクション情報

契約書本文（PDF）は前記のとおり保存しません。

3.3 送付先情報

署名済みPDFの送付のため、各当事者のメールアドレスを署名処理時に一時的に利用します。当社は当該メールアドレスを平文で永続保存せず、監査および重複検知の目的で復元不能なコミットメント値（SHA-256ハッシュ）のみを保持します。

3.4 署名イベントログ

電子署名法第3条に定める「固有性」の立証に備えるため、署名・送信行為の発生時に以下の情報を記録します。契約書の内容は一切含みません。

• 署名・送信の種別および日時
• 認証方式（Google OAuth、GビズID等）
• メールOTPの検証有無
• メールアドレスのSHA-256ハッシュ（平文は保存しません）
• IPアドレスのSHA-256ハッシュ（平文は保存しません）
• ブラウザ種別（User-Agent）

3.5 技術情報

IPアドレス、ブラウザ種別、アクセス日時、Cookie情報。セキュリティ確保および不正検知の目的で、必要最小限の期間に限り取り扱います。

4. 利用目的

当社は、取得した情報を以下の目的の範囲内で利用します。

• 本サービスの提供、利用者認証、署名処理および署名検証
• 契約書の改ざん検知（ハッシュ値の照合）
• 署名済みPDFの送付
• 電子署名法第3条に基づく固有性の立証（署名イベントログの保持）
• セキュリティの確保、不正利用および不正アクセスの検知・対応
• 法令に基づく対応およびお問い合わせ対応

当社は、利用者および契約相手方の契約内容を、本サービスの提供に必要な範囲を超えて利用しません。契約内容を当社のAIモデルの学習または改善に利用することはありません。

5. 外部サービスの利用と外国への移転

本サービスは、提供に必要な範囲で以下の外部サービスを利用します。これに伴い利用者の個人情報が外国にある第三者へ提供される場合があるため、個人情報の保護に関する法律第28条に基づき、以下を開示します。

なお、各国（アメリカ合衆国）の個人情報保護制度に関する情報は、個人情報保護委員会のウェブサイト（https://www.ppc.go.jp/）で公表されている外国の制度に関する情報をご参照ください。

5.1 Google OAuth（認証）

5.2 Anthropic Claude API（AI契約書生成）

5.3 Aleoブロックチェーン（ハッシュ値の記録）

オンチェーンに記録するのは契約書本文のハッシュ値等、特定の個人を識別しない情報のみです。個人情報そのものは記録しないため、外国への個人情報の移転には該当しません。

6. 第三者提供

当社は、次の場合を除き、あらかじめ本人の同意を得ることなく個人情報を第三者に提供しません。

• 本人の同意がある場合
• 法令に基づく場合
• 人の生命、身体または財産の保護のために必要であり、本人の同意取得が困難な場合
• 利用目的の達成に必要な範囲で業務を委託する場合（この場合、当社は委託先を適切に監督します）

7. 保管期間

• 認証情報（パスキー公開鍵・アカウント識別子）: アカウント削除まで
• 契約書本文のハッシュ値・トランザクション情報: ブロックチェーン上に永続的に記録（技術的に削除不可）
• 署名イベントログ（メール・IPのハッシュ値を含む）: 契約成立日から5年間（民法第166条第1項の消滅時効に準拠）
• 契約書本文（PDF）: 保存しない（署名処理完了後に削除）
• 技術情報・アクセスログ: 最大1年間

8. 安全管理措置

当社は、個人情報の漏えい、滅失または毀損の防止その他の安全管理のため、アクセス制御、通信の暗号化、取扱区域の管理、従業者の監督等の技術的・組織的安全管理措置を講じます。安全管理措置の具体的内容については、お問い合わせ窓口にて回答します。

9. 利用者の権利

利用者は、当社が保有する個人データについて、利用目的の通知、開示、訂正・追加・削除、利用停止・消去、第三者提供の停止を請求することができます。請求は前記お問い合わせ窓口にて受け付けます。

ただし、ブロックチェーン上に記録されたハッシュ値は技術的に削除することができません。当該ハッシュ値は特定の個人を識別する情報を含まないため、削除請求の対象となる個人データには該当しません。

10. Cookieの使用

当社は、ログインセッションの維持等の目的でCookieを使用します。利用者はブラウザの設定によりCookieの受け入れを拒否できますが、その場合、本サービスの一部機能をご利用いただけないことがあります。

11. 本ポリシーの変更

当社は、本ポリシーを変更することがあります。利用者に重要な影響を与える変更を行う場合には、効力発生日を定めたうえで、本サービス上での掲示その他適切な方法により、事前に周知します。

12. お問い合わせ