プライバシーポリシー（AvaTwin Chatbot）

本文書は、AvaTwin Chatbot（以下「本サービス」）の提供にあたり、当社が取り扱う個人情報の取り扱い方針を定めるものです。本文書はクライアント（本サービスを業務利用するために当社と利用契約を締結した法人・団体・事業主）およびエンドユーザー（クライアントのウェブサイト等を通じて本サービスを利用する一般利用者）の双方を対象とします。

本ポリシーは、当社が定める『個人情報保護方針』の特別規定です。本サービスにおける個人情報の取り扱いに関して、共通ポリシーと本ポリシーの内容が異なる場合には、本ポリシーの規定が優先して適用されるものとします。

第１条（事業者情報）

本サービスを提供する個人情報取扱事業者の情報は次のとおりです。

• 事業者名: 株式会社グラッドキューブ（以下「当社」といいます。）
• 所在地: 〒541-0048 大阪府大阪市中央区瓦町2-4-7 新瓦町ビル8階
• 代表者: 代表取締役 CEO 金島 弘樹
• 個人情報保護管理者: 専務取締役 財部 友希

当社は、本サービスを稼働させるためのシステム基盤を提供するシステム提供者であり、本サービスにおいて取り扱われる個人情報については、第7条に定めるエンドユーザーの同意に基づき、外部サービス提供事業者への転送を含む情報処理を行います。

第２条（取得する個人情報の種類）

当社は、本サービスの提供に伴い、以下の個人情報を取得します。

(1) クライアント側ユーザー情報（クライアントの管理者・担当者）

• 氏名、メールアドレス、所属組織、役職
• ログイン認証情報（パスワードはハッシュ化形式で保管、平文では保存しません。）
• 操作ログ・監査ログ（誰がいついかなる操作したか）

(2) エンドユーザー入力データ

• 本サービスのチャットインターフェースに入力されたテキスト情報
• 入力内容に個人情報が含まれる場合があります（クライアントを通じて入力禁止を周知していますが、入力されてしまうリスクが残存します。）

(3) アクセス情報・技術情報

• IP アドレス、User-Agent、Referer、Origin
• ログイン試行・認証成否の記録
• セッション識別子（HttpOnly Cookie）

(4) クライアントがアップロードするコンテンツ

• 本サービスでの回答生成のためにクライアントがアップロードする文書・資料
• クライアントは、個人情報が含まれる文書・資料をアップロードしてはなりません。個人情報が含まれる場合は、匿名化措置を行った上でアップロードして下さい。
• これらの文書に個人情報が含まれる場合は、クライアントが個人情報取扱事業者として責任を負い、当社は、利用規約に定めるとおりシステムの提供者としての立場にとどまり、当該コンテンツに含まれる個人情報について取扱いの委託（受託）を受けるものではありません。

第３条（取得方法）

当社は、以下の方法により個人情報を取得します。

1. クライアントからの本サービス申込時の登録
2. クライアント管理画面でのアカウント作成・運用操作
3. エンドユーザーによるチャットインターフェースの利用
4. アクセス時の Cookie・サーバーログの記録

第４条（利用目的）

当社は、取得した個人情報を以下の目的に限定して利用します。

1. 本サービスの提供（AI 回答生成、ファイル管理、認証等）
2. 本人認証およびアクセス制御
3. 利用料金の請求および収納管理
4. 本サービスの保守、障害対応、品質改善
5. 不正利用、不正アクセスその他の違反行為の検知・調査・対応
6. お知らせ、メンテナンス通知、重要事項の連絡
7. 利用状況の統計分析（個人を特定できない形式に加工した上での集計）
8. 法令対応、紛争対応、監査対応
9. クライアントからの問い合わせ・サポート対応
10. 当社サービスに関するご案内、新機能・キャンペーン情報の配信、利用状況に関するアンケートの実施その他のマーケティング目的での利用。なお、クライアント側ユーザー（管理者・担当者）は、当社からの配信メールに対し、オプトアウト等により受信を停止することができます。

利用目的の達成に必要な範囲を超えて個人情報を利用することはありません。

第５条（第三者提供）

当社は、次の各号に該当する場合を除き、あらかじめ本人の同意を得ることなく、個人情報を第三者に提供することはありません。

1. 法令に基づく場合
2. 人の生命、身体または財産の保護のために必要があり、本人の同意を得ることが困難である場合
3. 公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合で、本人の同意を得ることが困難である場合
4. 国の機関、地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要があり、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがある場合
5. 本ポリシー第６条（業務委託および再委託）または第７条（外国にある第三者への提供）に基づき提供する場合

第６条（業務委託および再委託）

当社は、本サービスの提供にあたり、業務の一部（クラウド基盤、メール配信基盤、決済基盤等）を外部の事業者に委託します。これに伴い、個人情報を委託先に提供することがあります。

(1) 委託の構造

当社は、委託先に対して本ポリシーと同等以上の安全管理措置を求め、必要かつ適切な監督を行います。

(2) AI基盤事業者（Google）の扱い

回答生成に用いるAI基盤（Google LLC等）へのデータ送信は、第7条に基づく「外国にある第三者への提供」であり、本条の委託には該当しません。

(3) 学習目的での非利用

当社は、本サービスにおける入力内容を、当社の AI モデルの機械学習・訓練の目的に利用しません。また、当社が利用する AI 基盤事業者である Google LLC は、有料プラン（Paid tier）の API について次のとおり明示しています。

“Google doesn't use your prompts (including associated system instructions, cached content, and files such as images, videos, or documents) or responses to improve our products”（訳：Google は、プロンプト（関連するシステム指示、キャッシュされたコンテンツ、画像・動画・文書等のファイルを含む）または応答を、当社製品の改善のために利用しません）

出典: Gemini API Additional Terms of Service - Paid Services（Google）

本サービスは Gemini API の有料プランを採用しており、上記非学習仕様の適用を受けます。

第７条（外国にある第三者への提供 / 越境移転）

(1) 越境移転の事実

当社は、回答生成および本サービスの提供のため、エンドユーザーの入力内容を、日本国外（米国）に所在する外部サービス提供事業者（Google LLC 等）へ提供します。当該事業者は、独立した個人情報取扱事業者として独自の責任においてデータを処理します。

(2) 個人情報保護法第28条への対応

前項の提供については、エンドユーザーから取得した「外国にある第三者への提供（個人情報保護法第28条第1項）」に関する明示的な同意を根拠として行われるものです。当社は、クライアントに対し、エンドユーザーから適法な同意を取得することを契約上義務付けています。本提供は本人同意に基づく提供であるため、当社は当該事業者に対して法第25条に基づく委託者としての監督義務を負うものではありません。

(3) 移転先国における個人情報保護制度の概要

米国における個人情報保護制度については、個人情報保護委員会「外国における個人情報の保護に関する制度等の調査 https://www.ppc.go.jp/enforcement/infoprovision/laws/offshore_report_america/」に概要が整理されていますので、ご参照ください。

なお、本サービスにおけるAI回答生成処理は、日本国内ではなく、すべて米国に所在するGoogle LLC等のサーバーへ送信された上で行われます。

(4) 移転先における安全管理措置

移転先である Google LLC は、Google Cloud Data Processing Addendum (DPA) に基づき、契約上の安全管理義務を負っており、国際的な情報セキュリティ認証および個人情報保護認証を取得しています。また、同社は、OECDプライバシーガイドライン8原則に対応する措置をすべて講じています。

第８条（安全管理措置）

当社は、個人情報の漏えい、滅失、毀損その他のリスクから保護するため、以下の安全管理措置を講じています。

(1) 基本方針の策定

個人情報の適法かつ適切な取り扱いを確保し、質問および苦情処理の窓口をお知らせするため、本ポリシーのベースとなる「個人情報保護方針」を策定・公表しています。

(2) 組織的安全管理措置

当社は ISMS（情報セキュリティマネジメントシステム）やPMS（個人情報保護マネジメントシステム）等の客観的な基準に基づく社内体制を構築・運用しており、個人情報保護管理者の選任、内部規程の整備、操作ログ・監査ログの記録および定期的な確認、業務範囲の限定および職務分掌、インシデント対応体制の整備等、これらの認証要件に基づく管理体制を運用しています。

(3) 人的安全管理措置

従業者に対する個人情報保護に関する研修を 年１回以上 実施し、従業者との秘密保持誓約書の取得、退職者からの個人情報の回収およびアクセス権限の即時停止を行います。

(4) 物理的安全管理措置

本サービスのデータは Google Cloud Platform（東京リージョン）の認証取得済データセンターに保管され、適切な物理的セキュリティのもとで運用されています。当社オフィスにおいても、個人情報を取り扱う端末・媒体への物理的アクセス制御を実施します。

(5) 技術的安全管理措置

通信の暗号化（HTTPS / TLS）、データ保管時の暗号化、パスワードの一方向ハッシュ化保管、ログイン試行制限、セッション管理、ドメインホワイトリストによるアクセス制御、レート制限、入力サニタイゼーション、XSS 対策、マルチテナントの論理的分離、認証情報の暗号化管理等の技術的措置を講じています。

(6) 外的環境の把握

本サービスにおいてエンドユーザーから取得した入力内容は、第７条に基づき米国に所在する外部サービス提供事業者（Google LLC）へ提供されます。当社は、米国における個人情報の保護に関する制度（個人情報保護委員会による調査結果等を含む）を把握した上で、適切な安全管理措置を講じています。

第９条（保有期間）

当社は、利用目的の達成に必要な期間に限り個人情報を保有し、当該期間を経過したものは、適切な方法で消去または匿名化します。具体的な保有期間は次のとおりです。

なお、システムの仕様上、バックアップデータからの完全な物理消去には合理的な期間を要する場合があり、当該期間中も本ポリシーに従い厳重に管理します。

第10条（保有個人データの開示・訂正・利用停止等の請求）

本人またはその代理人は、当社に対し、個人情報の保護に関する法律第33条から第35条までに定める権利を行使することができます。

(1) 請求できる事項

• 利用目的の通知
• 保有個人データ又は第三者提供記録の開示
• 内容の訂正、追加または削除
• 利用の停止または消去
• 第三者提供の停止

(2) 請求方法

請求は、当社所定の書式により、本人確認書類を添えて、本ポリシー第13条に記載の窓口までお申し出ください。

(3) エンドユーザーからの請求

エンドユーザーからの開示等の請求については、情報の管理主体であるクライアントが受付窓口となります。エンドユーザーの入力内容については、当社は第7条の同意に基づき外部サービスへ提供しており、当社側で個別の本人特定が困難な場合があるため、原則として利用したクライアントを通じてお申し出いただくものとします。当社に直接請求があった場合、クライアントへ転送し、その指示に従い対応します。

(4) 手数料

開示等の請求１件につき当社所定の合理的な手数料を申し受けます。請求の際にお支払い方法をご案内します。

(5) 対応期間

請求受領後、原則として２週間以内に回答します。

第11条（Cookie その他の技術）

当社は、本サービスのログイン状態維持のため、認証用のセッション Cookie を使用します。アクセス解析・行動分析用の Cookie（Google Analytics 等）は使用していません。ブラウザの設定により Cookie を無効化することも可能ですが、その場合、本サービスの一部機能を利用できなくなる場合があります。

第12条（損害賠償責任）

本サービスの提供または個人情報の取り扱いに関連して、当社の責めに帰すべき事由により損害が生じた場合、当社の賠償責任は直接かつ現実に発生した通常損害に限られるものとし、かつ、損害発生の事由が生じた日から遡って直近２ヶ月間にクライアントが当社に支払った本サービスの利用料金の累計額を上限とします。当社の故意または重過失に起因する損害については、本条の制限の適用を受けないものとします。

第13条（お問い合わせ窓口）

個人情報の取り扱いに関するお問い合わせは、当社ホームページのお問い合わせフォームよりお寄せください。

開示等の請求のように本人確認書類の提出が必要な手続きについては、お問い合わせフォーム経由で受付後、当社所定の書式により別途ご案内します。

第14条（本ポリシーの改定）

当社は、法令の改正、本サービスの仕様変更その他の事由により、本ポリシーを変更することがあります。重要な変更を行う場合は、変更内容および効力発生日を、当社のクライアント管理画面における掲示および電子メールその他の合理的な方法により事前に通知します。

第15条（制定日・最終改定日）

制定日: 2026年6月1日

最終改定日: 2026年6月11日