個人情報・個人関連情報の取扱い
Property Risk Scoring API プライバシーポリシー
Property Risk Scoring API プライバシーポリシー
最終更新日: 2026-06-05
バージョン: 1.0
第1条（事業者）
本プライバシーポリシー（以下「本ポリシー」）は、株式会社理（以下「当社」）が提供する Property Risk Scoring API（以下「本API」）における個人情報および利用者から提供される情報の取扱いを定めるものです。
- 事業者名: 株式会社理
- 代表者: 代表取締役 岩谷 昇英
- 本店所在地: 〒150-0041 東京都渋谷区神南１丁目１１−４ ＦＰＧリンクス神南 5階
- 法人番号: 6011001177671
- 個人情報保護管理者: 代表取締役 岩谷 昇英（連絡先は第13条）
第2条（適用範囲）
本ポリシーは、本API（https://api.propriskapi.com/v2 およびその関連エンドポイント）、ウェブサイト（https://propriskapi.com 等）、ダッシュボード、ならびに当社が提供するSDK・MCPブリッジ等の関連サービスに適用されます。
第3条（取得する情報）
当社は、本APIの提供に伴い、以下の情報を取得します。
3.1 利用者がAPIに送信する入力情報（リクエストデータ）
| 項目 | 例 | 性質 |
|---|---|---|
| 物件所在地（住所文字列） | "東京都千代田区..." | 個人関連情報になりうる |
| 緯度・経度 | (35.68, 139.76) | 個人関連情報になりうる |
| 物件種別 | "apartment", "office" 等 | 非個人情報 |
| その他クエリパラメータ | 階数、築年、構造種別 等 | 非個人情報 |
/v2/ops/stigma/* 経由で登録される心理的瑕疵関連データ（incident情報、証憑、メモ等） | — | 別途、利用規約 第8条の2 が適用されます |
注: 住所・緯度経度は単独では個人情報に該当しませんが、特定の自然人と結びつく場合は「個人関連情報」または「個人情報」に該当しうるため、本ポリシーで保護対象として取り扱います。
3.2 アカウント・課金情報
- 法人名・担当者氏名・部署・役職・メールアドレス・電話番号
- 請求先情報（クレジットカード番号・銀行口座番号等の決済情報は決済代行会社（Stripe, Inc.）が直接取得・管理し、当社サーバーには保存しません）
- 利用プラン、契約状況、利用開始日、利用終了日
- AWS Marketplace 経由で契約された場合、AWS から提供される
customerIdentifier等の購読者識別子
3.2.1 お問い合わせ情報
問い合わせフォームから送信された氏名、会社名、メールアドレス、問い合わせ種別、本文を、回答および対応履歴管理のため取得します。これらの情報は TTL 付き問い合わせ管理テーブルで保持し、通知メールには問い合わせIDおよび種別のみを記載します。
3.3 自動的に取得する情報（リクエストメタデータ）
| 項目 | 用途 |
|---|---|
APIキーのハッシュ値 (key_hash) | 利用者識別 |
顧客ID (customer_id) | 利用量集計 |
| エンドポイント、HTTPメソッド、ステータスコード、レイテンシ | 運用監視 |
| User-Agent | 不正検知・互換性対応 |
| IPアドレス（salt付きSHA-256でハッシュ化して保存。生のIPは保存しません） | 不正検知・地域分析 |
| リクエスト/レスポンス時刻 | 監査 |
3.4 レスポンス要約
- コンポジットスコア、各カテゴリ別スコア、利用データソース数等の集計値
3.5 当社が取得しない情報
当社は、利用者の以下の情報を取得しません。
- 要配慮個人情報（人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他の本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するもの）
- 生のクレジットカード番号、銀行口座番号（決済代行会社が直接取得します）
- 生のIPアドレス（リクエストログには salt付きSHA-256 ハッシュ値のみを保存します）
第4条（利用目的）
当社は、取得した情報を以下の目的で利用します。
- 本APIの提供 — リクエストに対するスコアリング結果の生成・返却
- 本人確認・契約管理 — APIキー発行、契約管理、本人確認
- 課金および利用量集計 — 従量課金の算定、請求書の発行
- サービスの維持・改善 — 障害監視、品質改善、レイテンシ最適化
- モデル精度の改善および統計分析 — 入力パラメータの分布分析、スコア精度のバックテスト
- 不正利用・セキュリティインシデントの検知および対応 — レートリミット違反、不正アクセス、インジェクション攻撃の検知
- 法令遵守、紛争対応、監査対応 — 法令により要求される範囲、または訴訟・監査・規制対応のため
- 重要なお知らせの通知 — 仕様変更、停止予定、規約改定の通知
モデル学習に関する明示:
当社は、利用者がAPIに送信した raw な住所文字列を、当社の機械学習モデルの訓練データとして第三者へ提供することはありません。第4条5号に基づく統計分析は、当社内部での集計・分析に限定されます。
第5条（取得方法）
- 利用者からの直接の入力（API リクエスト、Web フォーム、契約書面）
- AWS Marketplace 経由での購読時に AWS から提供される顧客識別子
- 自動取得（リクエストヘッダ、ログ）
第6条（第三者提供）
当社は、以下の場合を除き、取得した情報を第三者に提供しません。
- 利用者の同意がある場合
- 法令に基づく場合（裁判所、捜査機関等からの正当な要請を含む）
- 人の生命・身体・財産の保護のために必要であって、本人の同意を得ることが困難な場合
- 業務委託先への提供（次条）
第7条（業務委託）
当社は、本サービスの提供に必要な範囲で、以下の業務委託先に情報の取扱いを委託する場合があります。委託先には、本ポリシーと同等以上の安全管理措置を契約により義務付けます。
| 委託先 | 委託内容 | 所在国 |
|---|---|---|
| Amazon Web Services Japan G.K. / Amazon Web Services, Inc. | 本APIおよびダッシュボードのクラウドインフラ（コンピュート、データベース、ログ、オブジェクトストレージ）。本番アカウント 054436065343、リージョン ap-northeast-1（東京） | 日本（プライマリ）、米国（一部の管理メタデータ・請求情報） |
| Stripe, Inc. | 自社直販プランの決済処理、請求書発行、サブスクリプション管理 | 米国 |
| Amazon Web Services, Inc.（AWS Marketplace） | AWS Marketplace 経由で契約された購読の課金処理および購読者識別 | 米国 |
| Cloudflare, Inc. | 公開チェックおよび問い合わせフォームにおける不正利用対策（Cloudflare Turnstile によるボット判定） | 米国 |
海外移転について（個人情報保護法 第28条）:
上記の通り、Stripe, Inc.、AWS Marketplace および Cloudflare, Inc. は米国に所在します。米国における個人情報保護制度の概要、ならびに各委託先が講じている安全管理措置の内容については、第13条の問合せ窓口にて情報提供します。当該移転は、各社のデータ処理契約（DPA）および標準契約条項（SCC）等に基づき行われます。
個人情報保護委員会による外国制度の調査結果は、同委員会ウェブサイト (https://www.ppc.go.jp/) でも参照できます。
委託先の追加・変更:
当社が将来、エラー監視（例：Sentry, Datadog）、メール配信、カスタマーサポート等のSaaSを業務委託先として追加する場合は、本ポリシーを改定し、第14条の方法により事前に告知します。
第8条（保存期間および削除）
8.1 データ種別ごとの保存期間
| データ種別 | 保存期間 |
|---|---|
api_request_log のリクエスト監査メタデータ（request_id、customer_id、key_hash、channel、endpoint、status_code、latency_ms、request_lat、request_lon、request_address、request_params、response_summary、ip_hash、user_agent、called_at 等） | 取得から180日。SOC2・金融機関監査・障害切り分け・顧客ダッシュボード分析のため保持し、180日経過後は retention job により物理削除します |
| アカウント・契約情報 | 契約終了後5年間（会社法・税法上の保存義務に基づく） |
| 課金・請求書データ | 法令上の保存義務期間（原則7年） |
| 問い合わせフォーム情報（氏名、会社名、メールアドレス、問い合わせ種別、本文） | 取得から365日。TTL 付き問い合わせ管理テーブルで保持し、削除請求があった場合は第10条に基づき対応します |
| stigma evidence（顧客提供の心理的瑕疵データ） | 利用規約第8条の2に従う（削除依頼から原則30日以内に物理削除、ただしlegal hold時は除く） |
| 監査ログ・review log・migration履歴 | 法令遵守および紛争対応のため、必要期間保持 |
| エラーログ・セキュリティログ | 取得から13ヶ月 |
8.2 180日経過後の削除
api_request_log は、取得から180日を経過した時点で自動削除対象になります。削除後に長期分析が必要な場合は、特定の利用者・物件・IP・APIキーに結びつかない集計値のみを別途保持します。
8.3 利用者の請求による早期削除
利用者は、第10条に基づき、自己に関する api_request_log の早期削除（180日経過前の削除）を請求できます。当該請求を受けた場合、当社は本人確認のうえ、原則として30日以内に物理削除を行います。ただし、利用規約第6条の禁止行為違反の調査中、課金請求中、法令対応中、紛争対応中、その他 legal hold がある場合は、当該事由が解消されるまで削除を保留することがあります。
第9条（安全管理措置）
当社は、取得した情報の漏えい、滅失、毀損、不正アクセス等を防止するため、以下を含む安全管理措置を講じます。
- 組織的措置: 個人情報保護管理者の設置、取扱規程の整備、定期的な内部監査
- 人的措置: 従業員への教育・研修、秘密保持契約
- 物理的措置: サーバー設備への物理アクセス制限（クラウド事業者の措置を含む）
- 技術的措置:
- APIキーのハッシュ化保存
- IPアドレスのsalt付きSHA-256ハッシュ化保存（生IPは保存しない）
- 通信経路の TLS 暗号化
- 保存データの暗号化（AWS RDS / S3 の at-rest 暗号化）
- 最小権限のIAM設計、アクセスログの取得
第9条の2（漏えい等が発生した場合の対応）
当社は、当社が取り扱う個人情報または個人関連情報について、漏えい、滅失、毀損その他の安全確保にかかる事態（以下「漏えい等」）が発生し、または発生したおそれが認められる場合、個人情報保護法および同法施行規則に従い、以下の対応を行います。
9.2.1 個人情報保護委員会への報告
法令に基づく報告義務（個人情報保護法第26条第1項、施行規則第7条）が生じる漏えい等（要配慮個人情報の漏えい、財産的被害のおそれがある漏えい、不正の目的によるおそれがある漏えい、1,000人を超える本人の個人データの漏えい等）が発生した場合、当社は次のとおり個人情報保護委員会に報告します。
- 速報: 漏えい等の事態を知った後、速やかに（概ね3〜5日以内）
- 確報: 漏えい等の事態を知った日から30日以内（不正アクセス等によるものは60日以内）
9.2.2 本人への通知
法令に基づく通知義務が生じる漏えい等が発生した場合、当社は、本人の権利利益を保護するため必要な範囲で、書面、電子メールその他適切な方法により、対象となる本人に対し、以下の事項を通知します。
- 漏えい等の概要
- 漏えい等が発生した個人情報の項目
- 原因
- 二次被害またはそのおそれの有無およびその内容
- 当社の対応（再発防止策を含む）
- 本人が問合せを行うための窓口
本人への通知が困難な場合は、本人の権利利益を保護するため必要な代替措置（当社ウェブサイトでの公表等）を講じます。
9.2.3 二次被害防止および再発防止
漏えい等の発生時、当社は二次被害の防止のために必要な措置（影響を受けたAPIキーの即時無効化、影響範囲の調査、関係者への注意喚起等）を速やかに講じます。事後的に、原因分析および再発防止策を策定し、必要に応じて公表します。
9.2.4 業務委託先における漏えい等
業務委託先（第7条）において漏えい等が発生した場合も、当社が委託元として本条と同等の対応を行います。委託契約には、業務委託先による速やかな当社への通知義務、ならびに当社による調査協力義務を定めます。
第10条（利用者の権利）
利用者本人または法定代理人は、当社に対し、以下の請求を行うことができます。
- 開示請求 — 当社が保有する自己の個人情報の開示
- 訂正・追加・削除請求 — 内容が事実でない場合
- 利用停止・消去請求 — 利用目的の範囲を超えて取り扱われている場合等
- 第三者提供の停止請求
- モデル改善目的での利用に対するオプトアウト — 第4条5号の統計分析からの除外を希望する場合、第13条の問合せ窓口にご連絡ください
請求方法および本人確認の手続については、第13条の問合せ窓口にご連絡ください。請求への対応にかかる手数料は、原則として無料とします（書面での郵送回答をご希望の場合に限り、実費をいただくことがあります）。
第11条（Cookie および外部送信される情報）
11.1 APIエンドポイント
本API（api.propriskapi.com）は、Cookie を使用せず、第三者へのトラッキング目的の情報送信も行いません。
11.2 ウェブサイトおよびダッシュボード
ウェブサイト（propriskapi.com）およびダッシュボードでは、ログインセッションの維持、CSRF対策、利用者の利便性向上等の目的で Cookie および類似技術（localStorage 等）を使用することがあります。利用者はブラウザの設定により Cookie を無効化できますが、その場合ログインや一部機能が利用できなくなる可能性があります。
11.3 外部送信規律対応（電気通信事業法 第27条の12）
当社のウェブサイトおよびダッシュボードは、第三者の広告配信・行動解析SDK（Google Analytics、Hotjar 等）を導入していません。
ただし、公開チェックおよび問い合わせフォームでは、不正利用対策として Cloudflare Turnstile を利用し、ボット判定のためブラウザから Cloudflare, Inc.（米国）へ必要最小限の情報（Turnstile トークン、ブラウザ環境情報等）を送信します。また、住所入力を緯度経度に変換するため、入力された住所文字列を国土地理院のジオコーディングAPI（GSI msearch）および OpenStreetMap Nominatim に送信する場合があります。OpenStreetMap Nominatim への送信は海外送信となる場合があります。
将来、広告配信・行動解析SDKを導入する場合は、送信先・送信される情報の項目・利用目的を本ポリシーまたは別途の「外部送信に関する公表事項」ページに掲載のうえ運用します。
第12条（未成年者の利用）
本APIは法人および個人事業主を主たる利用対象としており、16歳未満の個人による利用は想定していません。
第13条（問合せ窓口・苦情処理）
本ポリシーに関するお問い合わせ、開示・訂正・利用停止・第三者提供停止・モデル改善目的のオプトアウト等の請求は、以下の窓口までご連絡ください。
- 窓口名称: 株式会社理 個人情報お問い合わせ窓口
- メールアドレス: privacy@propriskapi.com
- 受付時間: 平日 10:00–17:00（土日祝・年末年始を除く）
- 対応言語: 日本語、英語
請求にあたっては、本人または正当な代理人であることの確認のため、当社所定の方法により本人確認をさせていただく場合があります。請求への回答は、原則として請求受領日から2週間以内に行います。
認定個人情報保護団体・個人情報保護委員会への申出
当社は、2026-04-28 時点で認定個人情報保護団体に加盟していません。本ポリシーに関する苦情について当社の対応にご不満がある場合、利用者は個人情報保護委員会に対し、個人情報保護法に基づく相談・申出を行うことができます。
- 個人情報保護委員会:
https://www.ppc.go.jp/ - 個人情報保護法相談ダイヤル: 03-6457-9849
第14条（改定）
- 当社は、法令の改正、サービス内容の変更その他の事由により、本ポリシーを改定することがあります。
- 重要な変更については、当社ウェブサイト等で30日前までに告知します。
- 軽微な変更については、ウェブサイトへの掲載をもって効力を生じます。
付録: 利用規約との関係
- 本ポリシーは、
docs/TERMS_OF_SERVICE.md（利用規約）と一体として適用されます。 - 利用規約と本ポリシーの内容に矛盾がある場合、個人情報・個人関連情報の取扱いについては本ポリシーが優先します。
改訂履歴
| バージョン | 日付 | 変更内容 |
|---|---|---|
| 1.0 | 2026-06-05 | 公開版として確定。保存期間を180日物理削除に統一し、問い合わせフォーム情報365日TTL、salt付きSHA-256、Cloudflare Turnstile、住所ジオコーダ外部送信を明記 |