データ処理・国際移転方針
使うサービスを先に決めるのではなく、業務に必要なデータと最小限の処理を確認してから設計します。
外部AI、クラウド、有料ツール、国外処理は自動的に採用しません。提供者・目的・費用・保存場所を説明し、書面で合意した範囲だけを使います。
1. 役割と範囲
見積・契約時に、誰が管理者または処理者となるか、扱うデータ、目的、保存先、再委託、削除時期を確認します。実際の構成が決まる前に「GDPR対応」「SCC対応」等を一律に断定しません。
2. 最小化
- 業務に不要な個人情報・機密情報は受け取らない
- 認証情報は一般のメール、チャット、成果物、ログへ残さない
- 本番データを使わずに検証できる場合は、匿名化・ダミーデータを優先する
3. 外部サービス
外部サービスが必要な場合は、利用規約、データ利用、学習利用の有無、保存地域、削除方法、費用を確認します。お客様の許可なく、機密情報を公開AIへ入力しません。
4. 国際移転
国外での保存・処理が発生する場合は、関係国、受領者、目的、適用法令、契約上の保護措置を案件ごとに確認します。EU・英国等が関係する場合は、必要に応じて専門家の確認を受けます。
5. 安全管理・事故対応
最小権限、秘密情報の分離、バックアップ、変更記録、復旧手順を作業内容に応じて定めます。事故の疑いがある場合は新しい処理を止め、影響範囲と証拠を確認して連絡します。
6. 契約との関係
このページは基本方針です。個別契約、データ処理契約、法令上の義務がある場合は、その定めが優先します。
最終確認：2026年8月3日
