Smart Sequence Tech（智序資訊工作室、以下「当スタジオ」といいます）は、ForgeHelm コードガバナンス・コンプライアンスプラットフォームを運営しています。本ポリシーは、smartsequence.tech のウェブサイトまたは ForgeHelm SaaS をご利用の際に、当スタジオが個人データをどのように収集、利用、保護するかを説明し、GDPR、CCPA、および台湾の個人情報保護法（個資法）に関する義務を対象とします。ウェブサイト訪問者および請求データについては当スタジオがデータ管理者であり、SaaS のお客様がアップロードしたデータや解析エンジンから送信されたデータについては当スタジオが処理者、お客様が管理者となります。
1. データ管理者／処理者
| 項目 | 内容 |
|---|---|
| 事業者 | 智序資訊工作室（Smart Sequence Tech） |
| 統一番号 | 60295398 |
| 連絡先 | service@smartsequence.tech |
| 個人データに関するお問い合わせ | service@smartsequence.tech |
2. 収集するデータ
2.1 ウェブサイト訪問者
- お問い合わせフォーム：氏名、業務用メールアドレス、会社名、役職、開発者数、関心のあるプラン、お問い合わせ種別、メッセージ本文（フォームサービス Web3Forms が受け取り、当スタジオへ転送します）
- 分析データ：ウェブサイトでは現在、分析・トラッキングスクリプトを一切使用していません
- Cookie：ウェブサイトは Cookie を設定しません。言語とライト／ダークテーマの設定は、お使いのブラウザのローカルストレージにのみ保存されます
- サイトアシスタント：入力されたご質問は回答改善のために記録します（300 文字で切り詰め）。IP アドレスや身元を特定できる項目は記録せず、回答は長さのみ保存します。ご質問は回答生成のため Google Gemini に送信されます
2.2 SaaS のお客様
- アカウントデータ：業務用メールアドレス、氏名、会社名、ロール、サブスクリプションプラン
- 利用データ：機能ログ、ログイン時刻、API 記録
- 請求データ：決済事業者が処理します。当スタジオはカード番号全体を保存しません
- サポートデータ：チケットおよびやり取りの記録
2.3 ソースコードの取り扱い
- ハイブリッド、社内ネットワーク、エアギャップの各導入形態：解析エンジン（Agent）はお客様の環境内で解析を行い、SaaS に送信されるのはマスキング後のファイル名、行番号、集計値のみです。当スタジオはソースコードを取得しません
- フルクラウドの Core プラン：お客様がアップロードまたは指定したリポジトリには、当スタジオがホストする解析エンジンが解析の間だけアクセスします。保存期間はお客様との書面による合意に従い、別段の合意がない場合はメールで削除を請求できます
- GDPR 第 9 条の特別な種類の個人データは収集しません
3. 処理の法的根拠（GDPR）
| 目的 | 法的根拠 |
|---|---|
| お見積り・デモのお問い合わせ | 正当な利益（第 6(1)(f) 条） |
| 契約に基づく SaaS サービス | 契約の履行（第 6(1)(b) 条） |
| 請求・税務 | 法的義務（第 6(1)(c) 条） |
| サービス改善のお知らせ | 正当な利益（第 6(1)(f) 条） |
4. データの利用目的
- デモ、PoC、営業に関するお問い合わせへの対応
- ForgeHelm SaaS アカウントの提供と運用
- 請求書の発行とサブスクリプションの処理
- 技術サポートとサービスの安定運用
- サービスに必要な通知の送信（マーケティング目的の送信は同意いただいた場合のみ）
- 法令および税務上の義務の履行
5. データの保存期間
| データ種別 | 保存期間 |
|---|---|
| 契約前のお問い合わせ | 最終のやり取りから 2 年 |
| 有効な SaaS アカウント | 契約期間＋終了後 90 日 |
| 請求記録 | 7 年（法的義務） |
| サポートチケット | クローズ後 3 年 |
| Core プランでアップロードされたソースコード | 解析の間。保存期間は書面による合意に従い、メールで削除を請求できます |
| サイトアシスタントの質問ログ | ホスティング事業者（Vercel）の実行ログに保存され、同社のログ保存ポリシーに従って自動的に入れ替わります。当スタジオは別途保存しません |
請求関連以外のデータは、早期の削除を申請できます（第 7 節参照）。
6. 第三者サービス
個人データを扱うサブプロセッサー（再委託先）とはデータ処理契約（DPA）を締結しています。評価中のお客様、既存のお客様を問わず、サブプロセッサーの一覧をメールでご請求いただけます。ForgeHelm SaaS 管理プラットフォームのホスティング所在地についても、メールでお問い合わせください。
- Vercel：ウェブサイトのホスティング（EU/US、DPA 締結済み）
- ECPay：台湾のお客様のお支払い（台湾）。国際的な販売代行事業者（Merchant of Record）：海外のお客様のお支払い。販売者として取引と税務を処理します（事業者名はお問い合わせください）
- Web3Forms：お問い合わせフォームの配信（米国）
- Google Gemini API：クラウド AI モード（Core、および自社モデルを持ち込まない Professional）におけるベクトルインデックス作成と推論。サイトアシスタントの回答生成にも使用します
7. お客様の権利
適用される法令に応じ、お客様は次の権利を有する場合があります：
カリフォルニア州の居住者は CCPA に基づき、販売・共有のオプトアウトができます。当スタジオは個人データを販売しません。
台湾個資法に基づき、お客様は照会・閲覧、複製の交付、補充・訂正、収集・処理・利用の停止、および削除を請求できます。データポータビリティは GDPR に基づいて当スタジオが提供する権利ですが、台湾のお客様も同様に行使できます。
service@smartsequence.tech までご連絡ください。照会および複製の請求は 15 日以内に、訂正、削除、処理停止の請求は 30 日以内に対応します。GDPR が適用される場合は、同規則の定める 1 か月の期限に従います。
8. Cookie
| 種類 | 目的 | オプトアウト |
|---|---|---|
| 必須（SaaS プラットフォーム） | ログインセッション | 無効化不可 |
| ウェブサイト | Cookie を設定しません。言語とテーマの設定はブラウザのローカルに保存 | ブラウザのデータを消去すれば削除されます |
分析、広告、クロスサイト追跡の Cookie は使用しません。
9. 国外へのデータ移転
ハイブリッド、社内ネットワーク、エアギャップの各導入形態では、ソースコードと解析はお客様の環境に留まり、SaaS に入るのはマスキング後のコンプライアンス指標のみです。フルクラウドの Core プランのソースコードは、当スタジオがホストする環境で解析します。
9.1 データが台湾またはお客様の地域の外に出るサービス
- Vercel（米国）：公式サイトのホスティング、公式サイトアシスタントの質問ログ
- Web3Forms（サーバーは米国、運営会社はインド）：お問い合わせフォームの内容。フォームの内容は保存せず当方のメールに転送するのみで、サーバーログは約 2 か月ごとに削除されます。標準契約条項は提供していないため、経由させたくない場合は service@smartsequence.tech へ直接メールでご連絡ください
- Google Gemini API（米国および Google の世界各地の設備）：公式サイトアシスタントへの質問、クラウド AI モードでのコード片と解析結果
- 国際的な販売代行事業者（Merchant of Record）（事業者による）：海外のお客様のお支払いと請求データ
- ForgeHelm SaaS 管理プラットフォーム：アカウントと利用データ（ホスティング場所はお問い合わせください）
- 台湾のお客様は ECPay でお支払いいただき、支払いデータは台湾に留まります
9.2 法的根拠
- GDPR が適用される場合：Vercel はデータ処理補遺に含まれる EU 標準契約条項（SCC）に、Google は処理者規約に基づき EU-US データプライバシーフレームワーク（DPF）または標準契約条項に依拠します
- 台湾の個人資料保護法第 21 条により、国際移転は主管機関が法に基づき制限する場合を除き認められます
9.3 データを国外に出したくない場合
- Professional 以上のプランで社内ネットワークまたはエアギャップ導入を選び、自前のモデル（BYOL）を使えば、ソースコードも質問もお客様の環境に留まります
- ご連絡はお問い合わせフォームを使わず、直接メールでも承ります
10. セキュリティ対策
個人データの漏えい等が発生した場合、管理者としては GDPR 第 33 条に基づき 72 時間以内に監督機関へ報告し、第 34 条および台湾個資法第 12 条に基づき影響を受けるご本人に速やかに通知します。処理者としては第 33 条 2 項に基づきお客様へ速やかに通知します。企業および官公庁のお客様は、契約で通知期限を別途定めることができます。
- 転送時の暗号化：TLS 1.2 以上
- 保存時の暗号化：クラウドデータベースはホスティング事業者のストレージ層暗号化を採用し、認証トークンなどの機密フィールドは別途フィールド単位で暗号化
- アクセス制御：担当者に対する RBAC
- 監査ログ：管理操作はハッシュチェーン監査ログに記録され、完全性を検証可能
- 脆弱性管理：定期的なスキャンと依存関係の更新
11. ポリシーの更新
- 本ページに掲載し、発効日を更新します
- 重要な変更は、有効な SaaS のお客様に少なくとも 30 日前にメールで通知します
12. お問い合わせ・苦情申立て
プライバシーに関するお問い合わせ：service@smartsequence.tech
事業者：Smart Sequence Tech（智序資訊工作室、統一番号 60295398）
GDPR に基づき、お住まいの地域の監督機関に苦情を申し立てることができます。