プライバシーポリシー

1.1 本ポリシーについて

本プライバシーポリシー（「ポリシー」）は、Polyscopea（「当社」、「私たち」、「プラットフォーム」）が、当社のストーリーインテリジェンスプラットフォーム、ウェブサイト、アプリケーション、API、AIを活用した分析ツール、および関連するすべてのサービス（総称して「サービス」）にアクセスまたは利用する個人（「あなた」、「ユーザー」）に関する情報をどのように収集、使用、開示、保持、保護するかを説明します。Polyscopeaは、市場、技術、規制、ベンチャーキャピタル、地政学、エネルギー、健康などの分野にわたる進化するナラティブを追跡、分析、接続するAIを活用したストーリーインテリジェンスプラットフォームです。

1.2 適用範囲

本ポリシーは、Polyscopeaによって処理されるすべての個人データに適用され、収集の媒体や方法に関わらず有効です。以下の手段を通じて収集される情報を対象とします：

• http://localhost/Polyscopea でアクセス可能な当社のウェブサイトおよびウェブアプリケーション
• アカウント登録、認証、およびプロファイル管理
• サブスクリプション購入および支払い処理
• AIエージェント分析、ストーリー追跡、および調査レポート生成
• 電子メール通信、アプリ内通知、およびニュースレター
• カスタマーサポートとのやり取りおよびフィードバックの提出
• クッキー、アナリティクス、および類似の追跡技術
• 当社のサービスに関連して個人データが収集されるオフラインでのやり取り

1.3 データ管理者

Polyscopeaは、プラットフォームを通じて処理される個人データのデータ管理者として機能します。データ管理者として、当社はあなたの個人データを処理する目的と方法を決定します。当社によるデータ処理方法に関するご質問は、本ポリシーの第18項に記載の詳細にてデータ保護責任者までお問い合わせください。

1.4 本ポリシーへの同意

当社のサービスにアクセスまたは利用することにより、あなたは本ポリシーに記載されている情報の収集、使用、開示について読み、理解し、同意したことを認めるものとします。本ポリシーの条件に同意しない場合は、サービスにアクセスまたは利用してはなりません。処理の法的根拠として同意が必要な管轄区域（欧州経済領域など）のユーザーについては、必要に応じてあなたの個人データを処理する前に明示的な同意を取得します。

1.5 他の文書との関係

本ポリシーは、当社の利用規約、クッキーポリシー、およびサービス固有の補遺またはデータ処理契約と併せて読まれるべきです。本ポリシーとあなたがPolyscopeaと締結している他の契約との間に矛盾がある場合、プライバシーおよびデータ保護に関する事項については、Polyscopeaの権限ある代表者が署名した書面による契約で明示的に別段の定めがない限り、本ポリシーの条件が優先されます。

当社は、お客様の個人データを以下の目的で処理します。各目的は、セクション4で説明する1つ以上の法的根拠に基づいています。

3.1 サービスの提供とプラットフォームの運営

• お客様のユーザーアカウントと認証情報の作成、維持、保護
• お客様のサブスクリプション階層（無料、プロフェッショナル、エンタープライズ）およびユーザーロール（閲覧者、アナリスト、編集者、管理者）に基づくプラットフォーム機能へのアクセス提供
• サブスクリプション注文の処理と履行、請求サイクルの管理、および当社の決済プロセッサーを通じた支払い取引の処理
• ストーリー追跡、AIを活用した分析、調査レポート、インテリジェンスブリーフィングの提供
• お客様のブックマーク、保存済み検索、通知設定、その他のパーソナライズ機能の管理
• カスタマーサポートの提供およびお客様からのお問い合わせ、フィードバック、苦情への対応

3.2 AI処理と分析

• 当社の6種類の専門AIエージェントを実行し、対象セクター全体で展開するストーリーやナラティブの発見、検証、分析、関連付け、レポート作成、監視を行う
• 自動化されたアルゴリズム評価を通じて、ストーリー、情報源、進展に対する信頼性スコアを生成する
• AI生成の調査レポート、セクター分析、ストーリー関連性マッピングを作成する
• 集約されたパフォーマンス分析を通じて、当社のAIモデルの精度、関連性、信頼性を継続的に改善する（明示的な同意なしに個々の個人データをモデルトレーニングに使用することはありません）

3.3 パーソナライゼーションとレコメンデーション

• お客様の関心、閲覧履歴、表明された設定に基づいて、コンテンツのレコメンデーションとストリーフィードを調整する
• お客様の言語、テーマ、アクセシビリティ設定に基づいてプラットフォームインターフェースを調整する
• お客様の追跡設定に合わせた、セクター固有およびトピック固有のアラートと通知を提供する

3.4 分析とプラットフォーム改善

• 集約された利用パターンを分析し、当社サービスがどのように使用されているかを理解し、改善すべき領域を特定する
• A/Bテストと機能実験を実施してユーザーエクスペリエンスを最適化する
• プラットフォームのパフォーマンス、稼働時間、信頼性を監視する
• プラットフォームの利用動向に関する集約された匿名化統計レポートを生成する

3.5 コミュニケーション

• アカウント確認メール、パスワードリセット通知、サブスクリプション確認、支払い領収書を含む取引関連のコミュニケーションを送信する
• ストーリー更新、新たな進展、AI分析完了、編集レビューステータス変更に関するアプリ内通知を配信する
• マーケティングコミュニケーション、ニュースレター、製品アップデートを送信する（法律で要求される場合にはお客様の同意を得た上で、すべてのコミュニケーションにオプトアウト機能を設けます）
• セキュリティアラート、ポリシー変更、メンテナンス通知を含む重要なサービス告知を提供する

3.6 セキュリティと不正防止

• 不正アクセス、セキュリティインシデント、詐欺、その他の悪意のある活動の検出、防止、調査
• 当社の利用規約およびその他の適用されるポリシーの執行
• ユーザーIDの確認およびアカウント侵害の防止
• セキュリティおよびコンプライアンス目的のための監査ログの維持

3.7 法的遵守

• 適用される法律、規制、法的プロセス、政府の要求への遵守
• 法的請求の確立、行使、または防御
• 税務、会計、財務報告義務の履行
• 国家安全保障または法執行機関の要件を含む、公的機関からの合法的な要求への対応

PolyscopeaはAIを活用したプラットフォームであり、人工知能は当社のサービスに不可欠です。当社は、AIシステムの動作方法およびそれがユーザーに与える影響について透明性を確保することに努めています。このセクションでは、GDPR第22条に基づき必要な情報を提供します。

5.1 当社のAIエージェントの種類

5.2 信頼性および信憑性スコアリング

当社プラットフォームは、アルゴリズム的手法を用いて、ストーリーおよびソースの信頼性および信憑性スコアを算出します。これらのスコアは、以下の要素から導き出されます：裏付けとなるソースの数と多様性、発信元出版物の過去の信頼性、報告された情報の時間的一貫性、事実確認の結果、編集レビューのステータス。信頼性スコアは情報提供ツールとして表示されるものであり、個人に対して法的効果または同様に重大な影響を及ぼす自動意思決定を構成するものではありません。信頼性スコアについて人的レビューを希望される場合は、編集チームまでお問い合わせください。

5.3 コンテンツのパーソナライゼーション

当社は、自動処理を使用して、プラットフォーム上でユーザーに表示されるコンテンツをパーソナライズします。これには、閲覧履歴、ブックマーク、表明された関心、サブスクリプション階層に基づいて、ストーリー、調査レポート、セクターカバレッジエリアを推薦することが含まれます。このパーソナライゼーションはユーザー体験を向上させるものであり、公開されているコンテンツへのアクセスを制限するものではありません。プロファイルの関心、ブックマーク、通知設定を変更することで、推薦に影響を与えることができます。

5.4 自動処理のための保護措置

• 人的監視: AI生成コンテンツはすべて編集レビュープロセスを経ます。AI分析、信頼性スコア、レポートは、編集レビュー済みとして指定される前に人的検証の対象となります。
• 透明性: AI生成コンテンツはプラットフォーム上で明確にラベル付けされます。ユーザーは視覚的指標を通じて、AI生成分析と編集レビュー済みコンテンツを区別できます。
• 異議申し立ての権利: ユーザーは、自動意思決定またはスコアに対して異議を申し立て、プロファイル設定またはサポートチームを通じて人的介入を要求する権利を有します。
• 定期的な監査: 当社は、AIシステムの正確性を評価し、潜在的なバイアスを特定し、アルゴリズムが意図通りに動作することを確保するために、定期的な監査を実施します。
• 法的効果を伴う完全自動意思決定の禁止: 当社は、ユーザーの明示的な同意がない限り、または適用法令に基づき適切な保護措置が講じられている場合を除き、ユーザーに対して法的効果を生じさせ、または同様に重大な影響を与える、完全に自動化された処理に基づく意思決定を行いません。

5.5 AIモデルトレーニング

当社は、ユーザーの明示的な同意なしに、ユーザーの個人データを使用してAIモデルをトレーニングすることはありません。当社のAIエージェントの改善は、集約された匿名化されたパフォーマンスデータおよび公開利用可能なトレーニングデータセットに基づいて行われます。将来、識別可能なユーザーデータをAIモデルトレーニング目的で使用することを希望する場合は、事前に十分な情報に基づく同意を求め、オプトアウトする能力を提供します。

Polyscopeaはグローバルに事業を展開し、複数の法域にわたるユーザーにサービスを提供しています。お客様の個人データは、お客様が居住する国以外の国々に移転、保存、処理される場合があり、それらの国々は異なるデータ保護法を有している可能性があります。

7.1 移転メカニズム

個人データを国際的に移転する際、当社は適切な保護措置が講じられていることを確保します：

• 十分性認定： 欧州委員会が第三国が十分なレベルのデータ保護を提供していると認定した場合、当社はその十分性認定に基づいてデータを移転することがあります。
• 標準契約条項（SCCs）： 十分性認定のない国への移転については、欧州委員会の標準契約条項（2021年6月に更新）を、Schrems II判決で要求される補足的措置とともに使用します。
• 拘束的企業準則： 該当する場合、当社は、管轄データ保護当局によって承認されたサービスプロバイダーの拘束的企業準則に依拠します。
• 例外規定： 限られた状況において、GDPR第49条に基づく適用可能な例外規定、例えばお客様の明示的な同意や契約履行の必要性に基づいてデータを移転することがあります。

7.2 補足的措置

• 機密データに対する送信中および保存時のAES-256-GCM暗号化
• 可能な場合、国境を越えた移転前に適用される仮名化およびデータ最小化技術
• 移転されたデータへのアクセスを許可された担当者のみに制限する厳格なアクセス制御
• 受入国の法的枠組み（政府によるアクセスや監視法を含む）の定期的な評価
• 受領者からの契約上のコミットメント：政府のアクセス要求があった場合に当社に通知し、不均衡または違法な要求に対して異議を申し立てること

7.3 移転影響評価

重要な国際データ移転ごとに、当社は移転影響評価（TIA）を実施し、受入国の法的枠組み、移転されるデータの性質、移転メカニズム、および必要な補足的措置を評価します。当社はこれらの評価の記録を維持し、定期的に、または重要な法的変更が発生した際に更新します。

当社は、お客様の個人データのセキュリティを真剣に受け止め、不正アクセス、改ざん、開示、または破壊から情報を保護するための包括的な技術的および組織的対策を実施しています。

9.1 暗号化

• 保存データ: 機密性の高い個人データは、AES-256-GCM（ガロア/カウンターモードにおける256ビット鍵を使用した高度暗号化標準）を使用して暗号化され、機密性と真正性の両方を提供します。当社のコア暗号化サービスは、鍵の生成、ローテーション、および暗号化操作を管理します。
• 転送中のデータ: すべての通信はTLS 1.2以上（TLS 1.3を推奨）を使用して暗号化されます。すべてのエンドポイントでHTTPSを強制し、プロトコルダウングレード攻撃を防ぐためにHSTSヘッダーを使用しています。
• パスワードセキュリティ: ユーザーパスワードは、ブルートフォース攻撃に耐えうる十分なコストファクターを持つbcryptを使用してハッシュ化されます。平文でパスワードを保存することは決してありません。パスワードリセットトークンは暗号的に生成され、時間制限があり、1回限りの使用です。

9.2 アクセス制御

• ロールベースアクセス制御: プラットフォームは、最小権限の原則に従って定義された権限を持つ4つのユーザーロール（リーダー、アナリスト、エディター、管理者）によるRBACを実装しています。
• ミドルウェアによる強制: 当社のAuthMiddlewareおよびRoleMiddlewareコンポーネントは、すべてのリクエストに対して認証および認可チェックを強制します。
• 管理アクセス: サーバーインフラストラクチャ、データベース、および管理ツールへのアクセスは、多要素認証、VPNアクセス、個別に割り当てられた資格情報を通じて、承認された担当者に制限されています。すべての管理アクションは記録されます。

9.3 インフラストラクチャセキュリティ

• サーバーOS、PHP 8.2ランタイム、MySQLデータベース、およびすべての依存関係への定期的なセキュリティパッチ適用
• SQLインジェクション、XSS、CSRF、その他のOWASP Top 10の脆弱性から保護するWebアプリケーションファイアウォール（WAF）
• MVCフレームワーク全体での入力検証と出力エンコーディング
• ブルートフォース攻撃およびDoS攻撃から保護するためのレート制限とスロットリング
• 別の地理的場所に保存される暗号化されたデータベースバックアップ

9.4 インシデント対応

当社は、文書化されたデータ侵害インシデント対応計画を維持しています：

• 検出と封じ込め: 侵害の範囲と影響を制限するための即時封じ込め手順を伴う継続的監視システム。
• 評価: 侵害の性質、範囲、深刻度、影響を受けたデータ主体、および関連するデータカテゴリの迅速な評価。
• 通知: 侵害に気づいてから72時間以内に関連する監督機関への通知（GDPR第33条）。侵害が個人に高いリスクをもたらす可能性が高い場合、不当な遅延なく影響を受けた個人にも通知します（第34条）。
• 是正措置: 根本原因分析、システム強化、およびプロセス改善を含む是正措置。
• 文書化: すべてのインシデント、事実、影響、および是正措置の包括的な文書化。

9.5 セキュリティの限界

当社は堅牢なセキュリティ対策を実施していますが、電子的な送信または保存の方法で完全に安全なものはありません。当社はお客様の個人データの絶対的な安全性を保証することはできず、強力で固有のパスワードを使用し、資格情報を秘密に保ち、共有デバイスを使用する際にはログアウトすることをお勧めします。