プライバシーポリシー

株式会社Concreto（以下「当社」といいます。）は、当社が提供するFndmntl（ウェブアプリケーション app.fndmntl.app および API を含みます。）、そのウェブサイト（fndmntl.app）、ウェイトリストおよび関連するサポート（以下、総称して「本サービス」といいます。）における個人情報その他の利用者情報を、個人情報の保護に関する法律（以下「個人情報保護法」といいます。）その他の適用法令に従い、次のとおり取り扱います。

第1節 個人情報取扱事業者

• 名称：株式会社Concreto

• 住所：〒107-0062 東京都港区南青山6-1-32 214

• 代表者：代表取締役 小川遥介

• 個人情報に関するお問い合わせ先：Fndmntlサポート窓口（support@concreto.jp）

第2節 本ポリシーの適用範囲

本ポリシーは、ウェイトリスト登録者、ウェブサイトの閲覧者、契約者、ワークスペースの利用者、お問い合わせをされる方、および本サービスに取り込まれる情報に含まれる方の情報に適用されます。「個人情報」「個人データ」「保有個人データ」等の用語は、個人情報保護法に定める意味によります。「契約者」「利用者」「ワークスペース」その他の用語は、本ポリシーで別に定めるものを除き、Fndmntl サービス利用規約（https://fndmntl.app/terms。以下「利用規約」といいます。）に定める意味によります。

当社は、アカウント管理、サポート等に必要な情報を自らの利用目的で取り扱います。一方、契約者が本サービスに入力または連携する会議記録、資料等に含まれる個人データを契約者の委託により処理する場合は、当該契約者の適法な指示および利用契約に従って取り扱います。委託された情報を、契約者の指示を超えて当社独自の広告配信や当社または第三者のAIモデルの学習に利用しません。契約者が個人情報取扱事業者に当たらない場合、入力・連携情報に含まれる個人情報は、当社が第4節第3号の目的の範囲で取り扱う個人情報として、本ポリシーに従って取り扱います。

連携先などの外部サービスが独自に取得する情報には、当該外部サービスのプライバシーポリシーが適用されます。当社が外部サービスから取得した後の情報は、本ポリシーに従って取り扱います。

利用者が外部のAIクライアント等による本サービスへの接続（MCP連携）を許可した場合、当社は、当該利用者の指示に基づき、その利用者の権限の範囲で、プロジェクト、ドキュメント、取り込んだ資料等の情報を当該クライアントに提供し、また当該クライアントからの書き込みを受け付けます。提供後の情報の取扱いは、当該クライアントの提供者のプライバシーポリシー等によります。

第3節 取得する情報と取得方法

当社は、ご利用の機能および設定に応じ、次の情報を本人からの入力、契約者または管理者からの提供、利用者が許可した外部サービスとの連携（外部のAIクライアントからの書き込みを含みます。）、および端末からの通信によって取得します。

1. 登録・連絡情報：氏名、メールアドレス、パスワード（当社はハッシュ化した値を保存します。）、組織の名称、招待・参加に関する情報（招待先のメールアドレスを含みます。）、組織が所有確認のために登録したドメイン名、およびシングルサインオン（SSO）を利用する場合に組織の認証基盤から受け取る識別情報。

2. 契約・決済情報：当社が有料プランを提供する場合の、契約プラン、請求先、請求・支払履歴、決済の識別子および決済状況。有料機能の決済におけるクレジットカード番号等のカード情報は、当社が利用する決済事業者が取得・保管し、当社はカードブランド、カード番号の下4桁、有効期限その他の識別情報および決済状況のみを取り扱います。当社は、現在、本サービスを無料で提供しており、この情報を取得していません。

3. 入力・連携情報（利用規約の「入力情報」に相当します。）：プロンプト、AIチャットの記録、アップロードされたファイル（PDF、画像、音声ファイル等）、取り込んだ資料から抽出した本文、文書、仕様、図表、コメント、音声ファイルの文字起こし、および外部のAIクライアントから書き込まれた情報。当社は、会議の録音、会議への参加および会議の参加者情報の取得を行いません。音声ファイルに含まれる発言や、文字起こし・資料に記載された氏名等の個人情報は、入力・連携情報として取り扱います。

4. 生成・編集情報（利用規約の「生成物」およびワークスペースの履歴に相当します。）：AIの生成結果、要件・意思決定の記録、承認・変更の履歴（図の版およびAIによる変更の記録を含みます。）、情報間の関係（オントロジー）、および検索や参照に必要な派生データ。

5. 利用・技術情報：IPアドレス、端末・ブラウザーの情報（ユーザーエージェント）、ログイン状態の維持のためのCookie、アクセス日時、実行・認証・障害のログ、および機能の利用量（処理の回数、AIの処理量等）。当社のウェブサイトの閲覧時に外部の事業者へ送信される情報は、第9節に示します。

6. お問い合わせ情報：お問い合わせや不具合報告の内容、添付資料（本サービスの画面の画像を含むことがあります。）、および対応履歴。

本サービスの利用に必要でない個人情報や第三者の秘密情報は、入力しないでください。要配慮個人情報、個人番号その他特別な管理を要する情報の取扱いは、事前に当社と合意した場合を除き予定していません。当社が要配慮個人情報を取得する場合は、法令上の例外を除き、本人の同意その他法令上必要な手続を確認します。

未成年の方は、法定代理人の同意を得たうえで本サービスを利用し、個人情報を提供してください。

第4節 利用目的

当社は、取得した情報を次の目的に必要な範囲で利用します。

1. ウェイトリストの管理、ベータ版・先行アクセスの案内、および開発状況の連絡。

2. 利用登録、認証、ワークスペースの作成、メンバー招待・権限管理、および利用契約の履行。

3. 入力・連携情報の解析、音声ファイルの文字起こし、PDF・画像の変換、要約、意思決定の整理、要件定義書・サービスブループリント・クラス図・サイトマップ・仕様書等の生成・更新・同期、および利用者への提案。

4. 利用量の計測。当社が有料プランを提供する場合の、料金の計算、請求、決済、契約・更新・解約の管理。

5. お問い合わせ対応、障害の調査・復旧、不正アクセス・不正利用の防止、およびセキュリティの維持。

6. 機能の利用状況や性能等の分析に基づく使いやすさ・品質の改善。この分析は、本サービスの稼働状況、機能ごとの利用回数、処理時間、エラー発生状況等の利用状況データ（顧客コンテンツを含みません。）を、契約者および個人を識別できない統計情報に加工して行います。顧客コンテンツ（第5節に定めます。）を研究・開発、評価用データの作成その他の改善目的またはAI学習に転用することは、この目的に含みません。

7. 規約・機能の重要な変更、メンテナンス、障害、セキュリティ等、本サービスの運営に必要な連絡。

8. 法令上の義務への対応、権利侵害等への対応、および紛争の解決。

9. 登録・連絡情報を用いた、契約者および利用者に対する当社の他のサービス、新機能、プラン、キャンペーン等のご案内（電子メールによる広告・宣伝は、特定電子メールの送信の適正化等に関する法律に従い同意を得た方または法令上認められる方に限ります。）。

ウェイトリストへの登録のみを理由として、上記1以外の営業・広告メールを送信しません。広告・宣伝の配信を別途行う場合は、必要な同意を得たうえで配信し、配信停止の方法を案内します。配信停止後も、契約や安全性に関する必要な連絡は行うことがあります。入力・連携情報および生成・編集情報は、第9号の目的に利用しません。

第5節 AIによる処理と学習利用

当社は、入力・連携情報、関連するワークスペース内の情報および生成・編集情報のうち、処理に必要な範囲を外部のAI処理事業者へ送信することがあります。文章・図の生成やPDFの読み取りはOpenAIのAPIで、音声ファイルの文字起こしやPDF・画像の変換はCloudflareのWorkers AIで処理します。検索用の索引・埋め込み表現等の作成や、契約者の情報を参照して回答を生成する処理も、本サービスの提供に必要な処理に含まれます。

当社は、入力・連携情報、生成・編集情報、およびお問い合わせ情報に含まれる添付資料（以下「顧客コンテンツ」といいます。）を、当社または第三者のAIモデルの学習、再学習またはファインチューニングに利用せず、AI処理の委託先にもその利用を認めません。本ポリシーの顧客コンテンツは、利用規約の「顧客データ」と同じ範囲です。本サービスの利用に必要な推論、検索・参照および索引作成と、AIモデルの学習とは区別します。将来、学習への協力を募る場合は、対象データ、目的、提供先、撤回の方法および撤回の効果・限界を別途示し、必要な本人の同意および契約者の明示的な承諾を取得します。通常利用への同意を学習への同意とみなしません。

AI処理事業者の名称、処理・保存される国、送信情報、保存期間、不正利用監視等のための保持・人による確認の有無は、別表1に示します。AI処理事業者が不正利用の監視のために一定期間保持し、当該事業者の限られた担当者が確認することがあります。この取扱いは当該事業者のポリシーに基づき、学習には利用されません。例えば、OpenAIのAPIでは、不正利用の監視のための記録（プロンプト、応答およびそれらから作成された分類結果を含むことがあります。）が最長30日間（法令上必要な場合等を除きます。）保持されます。当社は、OpenAIとの間でゼロデータ保持等の特別な保持条件の契約をしていません。学習に利用しない場合でも、一時保存やセキュリティ上の保持がないことを意味するものではありません。

第6節 共同利用機能と管理者による取扱い

ワークスペース内の情報は、利用者または管理者が設定した共有範囲と権限に従って他のメンバーに表示されます。契約者が指定する管理者は、提供される管理機能の範囲で、メンバーの招待・削除、権限の変更、およびワークスペース情報の管理を行います。

組織のワークスペースから退出し、または退会（個人のアカウントの削除。申込みから14日間は取り消せます。）をしても、組織が管理する文書、承認履歴等は組織に残り、投稿者名は「退会したユーザー」と表示されます（第11節）。ただし、組織のメンバーが退会する本人だけである場合は、退会の確定時にその組織のプロジェクトをゴミ箱へ移し、30日後に削除します（第11節）。当社に対する法令上の開示等の請求を制限するものではありません。組織自身による取扱いは、その組織の規程等も確認してください。

本節の共同編集・共有は、個人情報保護法上の「共同利用」を一律に意味するものではありません。当社が同法上の共同利用を実施する場合は、共同利用する項目、利用者の範囲、利用目的、管理責任者の名称・住所・代表者等を、あらかじめ通知または容易に知り得る状態に置きます。

第7節 委託および第三者提供

当社は、AI処理、ホスティング・データの保管、メール配信、ウェブサイトの運営・アクセス解析、保守等（当社が有料プランを提供する場合は決済を含みます。）に必要な範囲で、個人データの取扱いを委託します。委託先の適切な選定、秘密保持・目的外利用の禁止等の契約、および取扱状況の確認により、再委託を含め必要かつ適切な監督を行います。

当社は、本人の同意がある場合または法令により認められる場合を除き、個人データを第三者に提供しません。法令に基づく場合、人の生命・身体・財産の保護のために必要で本人の同意を得ることが困難な場合等は、法令に定められた要件を満たす範囲に限ります。

利用目的の達成に必要な委託、合併等による事業承継、および法令上の要件を満たした共同利用は、法令上第三者提供に当たらない場合があります。ただし、外国への提供については次節の対応を別途行います。個人データを第三者の独自の広告目的のために販売・提供しません。

第8節 外国における取扱い

外国のAI処理事業者やクラウド事業者等に個人データを取り扱わせる場合は、提供先と実際の取扱形態を確認し、個人情報保護法第28条その他の適用法令に従います。

本人の同意を根拠として外国にある第三者へ提供する場合は、国名、当該国の制度、提供先の保護措置等の法令上必要な情報を事前に提供し、必要な同意を取得します。本ポリシーの閲覧または本サービスの利用のみをもって、この同意を得たものとは扱いません。

提供先が相当措置を継続的に講ずる体制を整備していることを根拠とする場合は、その継続的な実施を確保するための確認・対応を行い、本人の求めに応じて法令に従い必要な情報を提供します。法令上認められる国への提供等についても、適用される安全管理・委託先監督の義務に対応します。国外で情報を取り扱う場合は、その国の制度等の外的環境を把握して安全管理措置を講じます。

具体的な提供先・国・取扱方法は別表1に示します。

第9節 Cookie等と外部送信

本サービスのウェブアプリケーション（app.fndmntl.app）では、ログイン状態の維持のためのCookie（当社のAPIにのみ送信されます。）を利用し、アクセス解析、広告、エラー監視等のための第三者のスクリプトは使用していません。当社のウェブサイト（fndmntl.app）では、アクセス解析（Google Analytics、Framer Analytics）、Webフォントの配信（Google Fonts）およびサイトのホスティング・ウェイトリストのフォーム（Framer）のため、閲覧者の端末から外部の事業者へ情報が送信されます。

送信される情報、送信先、当社および送信先の利用目的、停止の方法と停止した場合の影響は、「外部送信に関する公表」（https://fndmntl.app/external-transmission）に示します。

利用者はブラウザーの設定等によりCookieを制限できますが、ログインなど一部の機能を利用できなくなる場合があります。同意が必要なツールは、必要な同意を得てから作動させます。個人関連情報が提供先で個人データとして取得されることが想定される場合は、個人情報保護法第31条等に従い必要な確認を行います。

第10節 安全管理

当社は、個人データの漏えい、滅失、毀損等を防ぐため、責任者と取扱規程の整備、取扱状況の点検、従業者への教育・秘密保持、アクセス権限の制限、認証・通信の保護、機器・媒体の管理、ログの確認、委託先の監督等、情報の性質とリスクに応じて必要かつ適切な措置を講じます。

従業者や委託先による情報へのアクセスは、サポート、障害対応、セキュリティ対応等の正当な業務に必要な範囲に限定します。安全管理措置の詳細は、措置の実効性を損なうおそれのある情報を除き、第1節の窓口でお問い合わせに対応します。

漏えい等が生じた場合は、影響の調査、被害の拡大防止、再発防止等を行い、法令上必要な個人情報保護委員会への報告および本人への通知を行います。委託を受けた情報に事故が生じた場合は、契約者に速やかに連絡し、その法令対応に必要な協力を行います。

第11節 保存期間と削除

当社は、利用目的に必要な期間に限って情報を保持し、保存する必要がなくなった情報は、法令上の保存義務等を考慮して削除し、または特定の個人を識別できない統計情報に処理します（入力・連携情報および生成・編集情報の内容は、統計情報への処理の対象としません。）。単なる氏名の削除だけで、個人情報ではなくなったものとは扱いません。

顧客データの削除は、利用規約第17条と同じく次のとおりです。

その他の情報の主な保存期間は次のとおりです。

紛争・不正対応に必要な記録は、その対応に必要な合理的期間に限り保持します。削除対象のバックアップを通常の業務に再利用せず、復旧時には削除対象を再反映します。

第12節 開示等の請求と苦情相談

本人または正当な代理人は、第1節の窓口を通じ、当社が保有個人データについて対応する権限を有する範囲で、利用目的の通知、保有個人データ・第三者提供記録の開示、内容の訂正・追加・削除、利用停止・消去および第三者提供の停止を、法令に従って請求できます。

請求時には、連絡先、請求対象と内容をお知らせください。当社は必要最小限の資料により本人または代理権を確認し、法令に従い遅滞なく対応します。開示は、本人が希望する電磁的記録等の方法で対応することを原則とし、その方法での対応が困難な場合は理由を説明して代替方法を案内します。全部または一部に対応しない場合も、その旨を通知し、理由の説明に努めます。

手数料：無料。

契約者の委託データで、当社に開示・訂正等を決定する権限がない場合は、当該契約者への請求方法を案内し、必要な範囲で協力します。この取扱いにより当社自身が負う法令上の義務が免除されるものではありません。個人情報の取扱いに関する苦情・相談も同じ窓口で受け付けます。

第13節 変更

当社は、法令の改正や取扱いの変更等に応じ、本ポリシーを変更することがあります。変更内容と適用開始日は、本サービス上の掲示その他適切な方法で周知し、利用者に重要な影響がある場合は事前に案内します。利用目的の変更は法令上認められる範囲で行い、本人の同意が必要な変更については別途同意を取得します。本ポリシーのうち利用規約が参照する事項（別表1に定める処理先・国・保存期間を含みます。）の変更のうち契約者に不利益なものは、利用規約第20条に定める手続に従います。

別表1 外部事業者と国外での取扱い

当社が個人データの取扱いを委託し、または本サービスの提供のために情報を送信する外部事業者は次のとおりです。当社は、このほかの決済事業者、エラー監視ツールおよびAI処理事業者を利用していません。有料プランの提供などで事業者を追加する場合は、本表を改訂します。

1. OpenAI（OpenAI API）

• 事業者の正式名称：OpenAI OpCo, LLC（米国。事業者の OpenAI Services Agreement 上、欧州経済領域・スイス以外の顧客の契約の相手方です。）

• 役割と利用目的：AIによる文章・図の生成と更新（オントロジーの導出、サービスブループリント・サイトマップ・クラス図の生成、要件定義書の構造化、AIチャット、取り込んだ資料からの概念の抽出、AIによる編集の検証）、およびPDFの読み取り（文字認識）。

• 取り扱う情報：プロンプト、ドキュメントの本文とその関連情報（オントロジー、取り込んだ資料の抜粋を含みます。）、文字認識のために送信するPDFファイル。

• 所在国および処理・保存される国：米国

• 国外移転の法的整理・保護措置：個人情報保護法第28条第1項の基準に適合する体制を整備している者への提供（データ処理契約による相当措置）として取り扱います。【要確認: OpenAI とのデータ処理契約（DPA）の締結の有無と、この整理でよいか（弁護士確認）】

• 保存期間・削除方法・人による確認の有無：当社は Chat Completions API（/v1/chat/completions）を利用し、送信内容を事業者側に保存する Responses API・Assistants・Conversations の機能を利用していません。事業者は、不正利用の監視のための記録（プロンプト、応答およびそれらから作成された分類結果を含むことがあります。）を最長30日間保持し（法令上必要な場合等は延長されることがあります。）、不正利用の疑いがある場合に限られた担当者が確認することがあります。当社は、ゼロデータ保持（ZDR）および不正利用監視の変更（Modified Abuse Monitoring）の契約をしていません。

• AI学習利用の有無・制御方法：事業者の公式の説明（Data controls in the OpenAI platform）上、Chat Completions API に送信したデータはモデルの学習に利用されません。

• 事業者のポリシー：https://openai.com/policies/privacy-policy/ 、https://developers.openai.com/api/docs/guides/your-data

2. Cloudflare（Cloudflare の各サービス）

• 事業者の正式名称：Cloudflare, Inc.（米国）

• 役割と利用目的：

  • Workers：API（api.fndmntl.app）の実行

  • Pages：ウェブアプリケーション（app.fndmntl.app）の配信

  • D1：アカウント、組織、プロジェクト、取り込んだ資料から抽出した本文、AIチャットの記録、利用量等の保存

  • R2：図の状態と版、貼り付けた画像、取り込んだ資料の原本、取り込み処理の一時ファイル、エクスポート、オントロジー等の保存

  • Durable Objects：図の共同編集とその状態の保存、AIチャットの実行

  • Queues：AI処理・取り込み処理の非同期実行

  • Email：パスワード再設定メール、組織への招待メールの送信

  • Workers Logs：API の実行ログの記録

  • Workers AI：音声ファイルの文字起こし（Whisper）、PDF・画像の変換（画像の内容の解釈を含みます。）

  • DNS over HTTPS：組織が登録したドメインの所有確認（DNSレコードの参照）

• 取り扱う情報：本サービスで取り扱う情報全般（登録・連絡情報、入力・連携情報、生成・編集情報、利用・技術情報、お問い合わせ情報）。Workers AI には音声ファイル・PDF・画像を、Email には宛先のメールアドレス・氏名・リンクを、DNS over HTTPS には組織が登録したドメイン名を送信します。

• 所在国および処理・保存される国：米国（事業者の所在国）。データは、Cloudflare が世界各地で運用するデータセンターで処理・保存されることがあります。当社は保存地域を指定していません。

• 国外移転の法的整理・保護措置：外国（米国）にある第三者として、個人情報保護法第28条第1項の基準に適合する体制を整備している者への提供（データ処理契約による相当措置）として取り扱います。【要確認: Cloudflare のデータ処理契約（DPA）の適用と、この整理でよいか（弁護士確認）】

• 保存期間・削除方法・人による確認の有無：第11節のとおりです。実行ログの保持期間は第11節の「実行ログ」の行のとおりです。事業者の公式の説明（Workers AI の Data usage）では、Workers AI に送信した入力（音声ファイル・画像等）と出力は顧客のコンテンツとして扱われ、R2 等の保存サービスを併せて使う場合に Cloudflare に保存されることがあるとされています。当社が R2 に保存する音声ファイル等は第11節のとおり削除します。【要確認: Workers AI の処理に伴う事業者側での一時的な保持の有無（事業者の説明に記載がありません）】

• AI学習利用の有無・制御方法：事業者の条件上、Workers AI に送信したデータはモデルの学習に利用されません。事業者の公式の説明（Workers AI の Data usage：https://developers.cloudflare.com/workers-ai/platform/data-usage/ ）は、明示の同意がない限り、顧客のコンテンツを Workers AI で提供するモデルの学習や Cloudflare・第三者のサービスの改善に利用しないと定めています。

• 事業者のポリシー：https://www.cloudflare.com/privacypolicy/

3. Framer（当社ウェブサイト fndmntl.app）

• 事業者の正式名称：Framer B.V.

• 役割と利用目的：当社ウェブサイト（fndmntl.app）のホスティング、サイトのアクセス解析（Framer Analytics）、ウェイトリスト登録フォームの受付。

• 取り扱う情報：ウェブサイト閲覧時の通信情報（IPアドレス、ブラウザーの情報、閲覧ページ、参照元等）、ウェイトリストのフォームに入力された情報（メールアドレス）。

• 所在国および処理・保存される国：オランダ。フォームの入力内容は Framer（api.framer.com）に送信されます。【要確認: フォームの送信先（Framer 内での保存・メール転送・Webhook 等）と処理・保存地域】

• 国外移転の法的整理・保護措置：【要確認: 法的整理（EU域内での取扱いに限られるか、EU域外での処理がある場合の根拠を含め弁護士確認）】

• 保存期間・削除方法・人による確認の有無：ウェイトリスト情報は第11節のとおりです。【要確認: Framer Analytics のデータ保持期間】

• AI学習利用の有無・制御方法：該当しません（AI処理の委託ではありません）。

• 事業者のポリシー：https://www.framer.com/legal/privacy-statement/

4. Google（Google Analytics、Google Fonts、Google Apps Script。当社ウェブサイト fndmntl.app のみ）

• 事業者の正式名称：Google LLC

• 役割と利用目的：当社ウェブサイト（fndmntl.app）のアクセス解析（Google Analytics 4）、Webフォントの配信（Google Fonts）、ウェイトリストの登録者数の表示（Google Apps Script）。ウェブアプリケーション（app.fndmntl.app）では使用しません。

• 取り扱う情報：Cookie による識別子、閲覧ページ・参照元・閲覧日時、ブラウザー・端末の情報、IPアドレス（詳細は「外部送信に関する公表」に示します。）。

• 所在国および処理・保存される国：米国

• 国外移転の法的整理・保護措置：【要確認: 個人データの提供に当たるか、個人関連情報（個人情報保護法第31条）としての整理を含め弁護士確認】

• 保存期間・削除方法・人による確認の有無：【要確認: Google Analytics のデータ保持期間の設定】Google Fonts への送信情報は、Google のポリシーに従って取り扱われます。

• AI学習利用の有無・制御方法：該当しません（AI処理の委託ではありません）。

• 事業者のポリシー：https://policies.google.com/privacy?hl=ja 、https://policies.google.com/technologies/partner-sites?hl=ja

本表の事業者のほか、利用者が接続を許可した外部のAIクライアント（MCP連携）や、組織が設定した認証基盤（SSO）に情報が送られることがあります。これらは利用者または組織の指示による送信であり、当社の委託先ではありません（第2節・第3節）。