メインコンテンツへスキップ
トップに戻る

Privacy Policy

プライバシーポリシー

最終改定日: （公開前に確定）

OKIRAKUWORKS（以下「当社」といいます）は、個人情報の保護に関する法律（個人情報保護法）その他関連法令を遵守し、お客様および顧客企業の従業員等の個人情報を適切に取り扱います。本ポリシーは、当社ウェブサイト（okirakuworks.jp）およびGenbaPhish等の提供サービスにおける個人情報の取扱いについて定めるものです。

第1条 事業者情報

  • 事業者名: 株式会社 WAKUWAKUWORKS（屋号: OKIRAKUWORKS）
  • ウェブサイト: okirakuworks.jp
  • 問い合わせ先: okirakuworks@gmail.com

第2条 取得する個人情報の種類

2.1 お客様・顧客企業担当者が直接提供する情報

情報の種類取得場面
氏名・会社名・部署名・役職名問い合わせフォーム、サービス申込、アカウント登録
メールアドレス・電話番号問い合わせフォーム、サービス申込、アカウント登録
所在地（住所・都道府県）サービス申込、契約締結
支払い関連情報有償サービスの申込（決済手段を利用する場合）
その他任意にご提供いただく情報問い合わせ内容、サポート対応

2.2 サービス利用に伴い自動的に取得する情報

情報の種類取得方法
IPアドレス、ブラウザ種類・バージョン、OS・デバイス情報アクセスログ、User-Agent
アクセス日時・閲覧ページ・リファラーアクセスログ、アナリティクス
Cookie識別子・セッション情報Cookie
サービス内の操作ログ管理画面の操作記録

2.3 GenbaPhish（フィッシング訓練サービス）に関して取得する情報

GenbaPhish のご利用にあたり、法人顧客との契約（SOW・DPA）に基づき、以下の情報を顧客から取得・生成します。取扱い主体は、原則として顧客が管理者（個人情報取扱事業者）、当社が委託先という位置づけです（第4条）。

情報の種類取扱い
訓練対象者（顧客従業員等）の氏名・メールアドレス顧客が提供。訓練メールの送信に利用
訓練メールの開封状況・リンクのクリック状況・報告（通報）の有無訓練結果として記録、統計・レポート作成、および訓練結果に基づく個人別の追加教育（第3条9）に利用
訓練用フォームへの入力状況（入力の有無・タイミング）記録するが、入力された認証情報等の内容自体は保存しない（第6条）

なお、訓練対象者ごとの個別の訓練結果（開封・クリック・入力・報告の状況）を顧客企業の管理者が個人単位で閲覧できるのは、顧客企業がテナント単位で明示的に有効化（オプトイン）した場合に限られ、既定では無効です。この閲覧は、後述する追加教育（第3条9）を目的とし、権限を有する管理者に限定されます。経営層等へ提出するレポートは、常に個人を特定できない集計情報のみで構成されます。

第3条 個人情報の利用目的

取得した個人情報は、以下の目的のために利用します。

  1. お問い合わせへの対応・回答
  2. サービスの提供、運営、保守および改善
  3. 料金の請求・決済処理
  4. サービスに関する重要な通知（障害・メンテナンス情報等）の送付
  5. 本人・顧客担当者の確認・認証
  6. 不正アクセス・不正利用の検知および防止
  7. 法令上の義務の履行
  8. 統計データの作成（個人を特定できない形式に加工した上で利用）
  9. GenbaPhish: 顧客との契約に基づく模擬フィッシング訓練の実施、訓練結果レポート（統計情報）の作成・提供、セキュリティ意識向上に関するフォローアップ支援、および訓練結果に基づく個人別の追加教育（訓練対象者ごとの結果に応じた教育コンテンツの配信）。この個人別の追加教育は教育目的に限られ、顧客企業が訓練対象者個人の人事評価・懲戒その他の不利益な処遇の判断材料として利用することは、利用規約（GenbaPhish特則 第13条）により禁止されています。

利用目的の範囲を超えて個人情報を取り扱う必要が生じた場合は、あらかじめ本人の同意を得るものとします。

第4条 委託に伴う提供（GenbaPhishのデータフロー）

  1. GenbaPhish において、顧客企業が当社に対して訓練対象者（従業員等）のメールアドレス等を提供する行為は、個人情報保護法第27条第5項第1号に定める「委託に伴う提供」に該当し、訓練対象者本人の同意を要しません。
  2. 上記の適法性は、顧客企業が自社の就業規則・情報セキュリティポリシー等において訓練実施の根拠を整備していることを前提とします（詳細は利用規約 GenbaPhish特則 第5条を参照）。
  3. 当社は、委託の趣旨の範囲を超えて訓練対象者の情報を利用しません。

平易に言うと: 従業員の方の情報を顧客企業から当社が受け取るのは「訓練業務の委託」に基づくものであり、法律上、従業員お一人お一人からの個別同意は不要とされています。

第5条 再委託先（クラウドインフラ）

  1. 当社は、本サービスの提供にあたり、クラウドインフラとして Amazon Web Services（AWS）を利用します。
  2. データの保存・処理は東京リージョン（ap-northeast-1）に限定し、海外リージョンへのレプリケーション・処理は行いません。
  3. 前項の運用により、AWS の利用は個人情報保護法第28条が定める「外国にある第三者への提供」には該当しないものと整理しています（データが国内で保存・処理され、越境移転を伴わないため）。この整理は法解釈を伴うため、最終的な適法性判断は弁護士に確認することを推奨します。
  4. 当社は、AWS を含む委託先に対して、契約（DPA等）を通じた適切な監督を行います。
委託先カテゴリ提供情報リージョン目的
クラウドインフラ（AWS）アカウント情報、訓練対象者データ、利用ログ等東京（ap-northeast-1）限定サービス運用基盤
メール配信基盤（SES等）メールアドレス東京（ap-northeast-1）限定訓練メール・通知メールの送信
アクセス解析サービス（Google Analytics 4）Cookie、閲覧情報、IPアドレス（一部）提供事業者の定めるところによるアクセス解析（第11条）

第6条 訓練で入力された認証情報等の取扱い（重要）

  1. GenbaPhish の訓練用フォームに訓練対象者が誤って入力した可能性のあるパスワード等の認証情報・機微情報は、技術的措置により即時に廃棄し、当社のサーバー・ログに平文で保存・送信・出力しません。
  2. 本方針は、刑法上の「正当な理由」の担保および個人情報保護法上のリスク低減のために不可欠な措置であり、顧客の指示によっても変更しません。
  3. 廃棄の実装状況は、社内の技術検証（結合テスト等）により継続的に確認しています。

平易に言うと: 訓練ページで従業員の方が誤って本物のパスワードを入力してしまっても、そのパスワードの中身自体は当社に保存されません。すぐに捨てる仕組みになっています。

第7条 データの保持期間と廃棄

データの種類保持期間根拠・備考
アカウント情報契約終了後【要記入: 〇ヶ月/年】不正利用対応・法的紛争対応
問い合わせ履歴最終対応から3年品質管理・紛争対応
契約情報・請求書契約終了後10年商法（商業帳簿）・電子帳簿保存法
アクセスログ6ヶ月セキュリティ調査・法令対応
GenbaPhish 訓練結果（開封・クリック等の統計）契約期間中およびプランに定める保持期間（例: 12〜36ヶ月）報告書提供・品質管理
GenbaPhish 訓練フォーム入力値（認証情報等の内容）即時廃棄（保存しない）データ最小化・第6条
訓練対象者リスト・個人データ契約終了後、当社所定の手続きによりテナント単位で完全削除データ最小化

解約・契約終了時の廃棄証明: 顧客からの請求に基づき、当社は訓練対象者データの削除完了を証する廃棄証明（削除実施日・削除範囲を記載した書面またはデータ）を発行します。手続きの詳細はDPAに定めます。

第8条 安全管理措置

当社は、個人情報の漏洩・滅失・毀損を防止するため、以下の安全管理措置を実施します。

8.1 組織的安全管理措置

  • 個人情報保護管理者の設置、取扱いに関する社内規程の整備
  • 取扱状況の定期的な点検・監査

8.2 人的安全管理措置

  • 取扱従業員への守秘義務（雇用契約・就業規則）、退職後も継続する守秘義務

8.3 技術的安全管理措置

  • テナントID単位でのデータ論理分離（他顧客データが一切混在しないことを結合テストで検証）
  • 通信の暗号化（TLS 1.2以上）、保管データの暗号化（KMS等）
  • アクセス制御（最小権限の原則）、多要素認証
  • 脅威検知（GuardDuty等）、設定監査（Security Hub/Config等）、APIログの改ざん防止保存（CloudTrail・一定期間のWORM保存）
  • シークレット情報（APIキー等）の暗号化保管（Secrets Manager/SSM SecureString）

8.4 物理的安全管理措置

  • データセンターの物理セキュリティは AWS の管理に依拠（AWS の認証・コンプライアンス基準に準拠）

第9条 漏洩等が発生した場合の対応

  1. 個人データの漏洩、滅失またはき損等（以下「漏洩等」）が発生し、またはそのおそれがある場合、当社は個人情報保護法に基づき、個人情報保護委員会への報告および本人への通知等、必要な対応を行います。
  2. 当社は社内基準として、事案を認知してから72時間以内を目途に個人情報保護委員会への報告要否を判断し、影響を受ける顧客企業へは24時間以内を目途に第一報を行うことを目標とします。ただし、法令上の報告期限（速報・確報）はこれと別に定められており、最終的な対応は当該時点の法令・ガイドラインに従います。
  3. GenbaPhish のテナント侵害が疑われる場合、当該テナントのアクセスを速やかに遮断し、影響範囲を特定した上で顧客に報告します。

平易に言うと: 万一情報漏洩が疑われたら、社内目標として72時間以内に当局報告の要否を判断し、お客様には24時間以内にまず一報します。

第10条 開示・訂正・利用停止等の請求

お客様（および顧客企業経由で訓練対象者）は、当社が保有する個人情報について、個人情報保護法に基づき以下の請求を行うことができます。

  1. 利用目的の通知
  2. 保有個人データの開示
  3. 内容の訂正・追加・削除
  4. 利用停止・消去
  5. 第三者提供の停止

請求手続き: 第16条の窓口へ、氏名・登録メールアドレス・請求内容を明記の上、書面またはメールでご連絡ください。原則として請求受領から2週間以内に対応します。

訓練対象者からの請求について: GenbaPhish の訓練対象者は、原則として所属する顧客企業（雇用主）を通じて開示等の請求を行っていただくことを想定しています。顧客企業を経由できない事情がある場合は、当社窓口までご連絡ください。

第11条 Cookie・アクセス解析

11.1 Cookieの利用

Cookieの種類目的保持期間
必須Cookieログイン状態の維持、セッション管理セッション終了時〜最大1年
機能Cookie表示設定の保存最大1年
分析Cookieサービス利用状況の把握・改善最大2年

ブラウザの設定によりCookieを無効化できますが、一部機能が制限される場合があります。

11.2 アクセス解析（Google Analytics 4）

当社ウェブサイトでは、アクセス状況の把握・改善のため Google Analytics 4（GA4） を利用しています。GA4はCookie等を用いて匿名の利用状況データを収集します。

11.3 外部送信規律（電気通信事業法第27条の12）

当社は、以下のサードパーティサービスに利用者情報を送信することがあります。追加した場合は本ポリシーを更新します。

サービス名送信情報利用目的
Google Analytics 4Cookie、閲覧情報等アクセス解析
【要記入: 決済代行サービス名】決済情報決済処理（有償サービス利用時）

第12条 未成年者の個人情報

当社のサービスは、原則として法人・事業者を対象としています。GenbaPhish の訓練対象者に未成年の従業員等が含まれる可能性がある場合、当該取扱いは雇用主である顧客企業の責任において適法に行われることを前提とします。

第13条 越境データ移転（GDPR等、該当する場合）

当社が EU 域内の個人データを取り扱う場合、GDPR の要件に従い、標準契約条項（SCC）の締結等、必要な保護措置を講じます。GenbaPhish は現時点で東京リージョン限定・国内顧客を主対象としており、GDPR該当性は個別案件ごとに評価します。

第14条 プライバシーポリシーの改定

当社は、法令の改正、サービス内容の変更等に伴い、本ポリシーを改定することがあります。重要な変更がある場合は、ウェブサイト上への掲載および（登録がある場合は）登録メールアドレスへの通知により周知します。改定後のポリシーは、ウェブサイト掲載時から効力を生じます。

第15条 個人データの取扱いに関する契約（DPA）との関係

GenbaPhish を利用する顧客企業との間では、本ポリシーに加え、個人データ取扱委託契約（DPA）を別途締結し、取扱範囲・利用目的制限・再委託（第5条）・安全管理措置・漏洩時報告・保持期間と廃棄証明・東京リージョン利用の明示等を定めます。DPAの内容が本ポリシーと矛盾する場合、当該顧客との関係ではDPAが優先します。

第16条 お問い合わせ窓口

個人情報の取扱いに関するご意見・ご相談・苦情および各種請求は、以下の窓口までご連絡ください。

個人情報保護窓口

個人情報保護委員会への申告

当社の対応にご不満がある場合は、個人情報保護委員会（https://www.ppc.go.jp）に申告することができます。

本プライバシーポリシーは、個人情報保護法、電気通信事業法その他関連法令に準拠して作成しています。

OKIRAKUWORKS

改定履歴

版改定日改定内容
1.0【要記入】初版制定（ドラフト。弁護士レビュー前）
トップ お問い合わせ →