Hatanowa プライバシーポリシー

sumurio(個人事業。代表者の氏名と所在地は、請求があれば、遅滞なく開示します)(以下「当社」)は、Hatanowa(ハタノワ)(以下「本サービス」)で扱う情報について、次のとおり定める。

1. このポリシーの対象

• 契約者の従業員等の個人情報(勤務、シフト、給与、連絡など): 契約者が、本サービスに入力するもの。契約者が、個人情報の管理者であり、当社は、契約者から委託を受けて、これを処理する。取扱いは、利用規約と、契約者との契約による。従業員の方が、自分の情報について、開示・訂正などを望む場合は、まず、勤務先(契約者)に、申し出てください。
• 当社が、自ら取得する情報: 契約者・管理者の、会社名、氏名、連絡先、請求に必要な情報、問い合わせの内容、サービスの操作の記録、アクセスの記録(IPアドレス、端末の種類、日時)。この情報は、当社が、管理者として、取り扱う。

2. 利用目的

当社が、自ら取得する情報は、次の目的に使う。

1. 本サービスの提供、本人確認、ログインの不正対策
2. 料金の請求、契約の管理
3. 問い合わせへの対応、障害・保守・セキュリティの通知
4. 不具合の調査、サービスの改善(個人を特定しない統計を含む)
5. 利用規約への違反の調査・対応
6. 法令に基づく対応

位置情報: 打刻のときだけ、端末の位置情報を使って、職場の近くかを判定する。位置の座標は保存せず、判定の結果(近い・離れている・取得できない)と、概算の距離(50m単位)だけを記録する。

契約者のデータは、サービスの提供・保守・不具合の調査に必要な範囲でのみ使う。広告、第三者への販売、AIの学習には使わない。ただし、契約者が「文書」のAI機能(手順書の下書きの作成)を使うときに限り、その操作で入力した文章(題名・カテゴリ・本文として入力した内容)を、下表の委託先(Cloudflare, Inc. の AI 処理)に送って処理する。送った内容は、当社では保存せず、AIの学習には使わない設定で利用する(Cloudflare の公式資料 https://developers.cloudflare.com/workers-ai/platform/privacy/ で、Workers AI は、お客様の内容を、AIモデルの学習や、サービスの改善に、明示の同意なしには使わないとされていることを、2026-10-20 に確認した)。給与・勤怠・メンバーの個人情報は、AIに送らない。

3. 取得する情報と、保存の方法

• 従業員の、社員番号、表示名、役割。ログインの方法(パスキーの公開鍵、パスワードのハッシュ。パスワード自体は保存しない)。
• 操作の記録(誰が、いつ、何をしたか)。改ざんを検出できる形で保存する。備考などの本文は、記録に含めない。
• 一部の項目は、暗号化して保存する。
• ブラウザには、ログインの維持のために、必要最小限の Cookie を保存する。広告用の Cookie、行動の追跡は、使わない。

4. 第三者への提供・委託

1. 法令に基づく場合を除き、本人の同意なく、第三者に提供しない。
2. 運用のために、次の事業者に、取扱いを委託する。追加・変更するときは、契約者に通知する。

| 事業者 | 目的 | 所在国・保管 |

|---|---|---|

| Cloudflare, Inc. | サーバー・データベース・ストレージ・通信の保護 | 米国の企業。データは、Cloudflare のネットワーク上で、国内外のデータセンターで処理・保管される |

| Cloudflare Turnstile | ログイン・登録時の、自動化された不正の判定 | 同上 |

| Stripe, Inc.(Stripe Payments Japan 株式会社) | 料金の決済(クレジットカード等)。カード番号などの決済情報は、Stripe が取り扱い、当社は保存しない | 米国・日本ほかの企業。国外のデータセンターで処理されうる |

| Cloudflare Workers AI(Cloudflare, Inc.) | 文書のAI機能(手順書の下書きの作成)での、入力した文章の処理 | 同上。AI機能を使うときだけ、入力した文章を送る |

1. 外国にある第三者への提供(個人情報保護法 第28条): 上の事業者は、日本国外にサーバーを持つ。当社は、委託先が、個人情報の保護に必要な措置を講じていることを確認し、保管国を、日本に限ることは、保証しない(利用規約 第8条)。主な制度の情報は、各社の公表資料で確認できる。

5. 安全管理措置

• アクセスの制限(テナントごとの分離、役割に応じた権限、管理者の追加認証)
• 通信の暗号化、保存データの暗号化(一部)、パスワードのハッシュ化
• 操作の記録の保存と、改ざんの検出
• 定期的なバックアップ(30日分)
• 従業者(当社の運営者)のアクセスの、最小化と記録。当社は、契約者の従業員の、個人情報・給与・投稿を、通常は見ない。不具合の調査などで、必要な場合に限り、契約者の許可を得て、必要な範囲で扱う。
• 情報の漏えいが、発生した場合は、法令に従い、契約者に、速やかに通知する。

6. 保存期間と削除

• 契約者のデータ: 契約の終了後30日で削除する(バックアップは、さらに最大30日で消える)。契約者が、削除を求めた場合、技術的に可能な範囲で、速やかに削除する。
• 操作の記録・請求に関する記録は、法令・正当な利益のために、必要な期間(原則として、7年)、保存する。
• アクセスの記録(IPアドレスなど)は、不正の防止と、障害の調査のために必要な期間に限って保存し、不要になったら削除する。

7. 開示・訂正・利用停止などの請求

当社が、管理者として保有する個人情報について、本人は、開示・訂正・追加・削除・利用停止を、求められる。hello@sumurio.jp へ連絡してください。本人確認のうえ、法令に従って、対応する。契約者の従業員の情報は、まず、契約者に、申し出てください(当社は、契約者の指示に従って、対応する)。

8. 未成年・特定の情報

本サービスは、事業者向けであり、個人が、私的な目的で使うことを、想定しない。契約者は、要配慮個人情報(病歴、障害など)を、本サービスに入力しない(備考欄を含む)。

9. ポリシーの変更

法令・サービスの変更に応じて、変更する。重要な変更は、30日前までに、契約者に通知する。

10. 連絡先

sumurio

代表者の氏名と所在地は、請求があれば、遅滞なく開示します。

hello@sumurio.jp

制定日: 2026年10月20日