プライバシーポリシー

1. 当社の役割

アカウント情報および請求情報について、当社は管理者（コントローラー）です。顧客組織（以下「ワークスペース」）が本サービスに入力したコンテンツ（メッセージ、ファイル、タスク、お知らせ、Wikiページ）については、ワークスペースが管理者であり、当社はワークスペースの指示に基づいてこれを処理します。人事データ（社員名簿、人事発令、給与明細、有給休暇の通知、各種証明書など）は、雇用関係の管理のため、雇用主であるワークスペースが管理者として取り扱い、当社は雇用主の委託を受けて処理します。口座番号、住民登録番号などの国民識別番号（ワークスペースが保存を許可した場合のみ）および給与額は項目ごとに暗号化され、検索、AIおよび外部連携（MCP）には一切使用されず、権限を持つ人事担当者とご本人のみが閲覧でき、すべての閲覧が記録されます。人事データに関するご請求はワークスペース（雇用主）へ、本サービスに関するご質問は[email protected]へお寄せください。会社メール連携をご利用の場合、メンバーが接続したメールボックス（Google Workspace/Gmail、Microsoft 365/Outlook、またはNaver Works、Daum、HiworksなどのIMAP/SMTPサービス）のメールの写し（差出人、宛先、件名、日時、本文、添付ファイルの一覧）は、ワークスペースを管理者、当社を受託者として処理されます。当社はメールサーバー（MX）を運用しておらず、本サービスは既存のメールボックスに接続するメールアプリとしてのみ機能します。接続したメールは接続したメンバー本人のみが閲覧でき、ワークスペース管理者や他のメンバーは閲覧できません。OAuthトークンおよびアプリパスワードは暗号化（AES-256-GCM）して保存し、メールはワークスペース検索およびCrane AIの検索対象から除外されます。メンバーがメールをタスク、稟議の下書き、チャンネル投稿に変換する場合、共有されるのはメンバーが選択した部分のみであり、メールの内容は、メンバーがAIボタンを押した場合に限りワークスペースのAIプロバイダーに送信されます。外部画像は既定でブロックされ、メンバーが表示を選んだ場合に限り当社サーバーを経由して読み込まれます。メール連携（利用時）で取り扱う項目：接続したメールアドレス、メールのヘッダーおよび本文の写し、添付ファイルの一覧（添付ファイルの内容は保存せず、開くときにメールサーバーから取得します）、暗号化されたOAuthトークンまたはアプリパスワード、送信ログ（日時と宛先数のみ。アドレス、件名、本文は含みません）。メールの写しは、メールボックスの接続解除、メンバーの退職または無効化の時点で直ちに削除され、ワークスペースが保存期間を設定した場合はその期間経過後に削除されます。元のメールボックスのメールが削除されることはありません。接続するメールサービス（例：Google LLC（米国）、Microsoft Corporation（米国）、韓国のメール事業者）：メンバーがメールボックスを接続した場合に限り、Gmail API、Microsoft GraphまたはIMAP/SMTP（TLS）で接続し、メールを同期・送信します。これらのサービスは、お客さままたはワークスペースとの契約に基づいてメールを処理します。

2. 収集する情報

• アカウント：メールアドレス、表示名、パスワード（Argon2idハッシュとしてのみ保存）、言語およびタイムゾーン。
• ワークスペース：管理者が入力した会社名、部署、役職およびロール。
• コンテンツ：利用者が作成したメッセージ、ファイル、タスク、コメント、お知らせおよびWikiページ。ワークスペースが関連機能を利用する場合は、次の情報も処理します：人事記録（国民識別番号、給与明細および口座情報は暗号化して保存）、勤怠および休暇の記録、人事評価および1on1の記録、研修の受講記録、接続された業務用メールボックス、ヘルプデスクの顧客およびWebサイト訪問者、受付キオスクの来訪者の氏名・連絡先（暗号化）および同意記録。
• 利用ログおよびセキュリティログ：ログイン日時、IPアドレス（可能な場合はハッシュとして保存）、ブラウザの種類、閲覧ページおよびエラーログ。
• Webサイト解析：ページパス、参照元、言語およびおおよその国。当社は広告用Cookieを使用しません。

3. 利用目的

• 本サービスの提供、利用者の認証および権限管理。ワークスペースが有効にした機能（人事・給与・勤怠管理、人事評価、法定研修、業務用メール連携、顧客サポート、来訪者管理）の提供を含みます。
• 招待、パスワード再設定、および利用者が有効にした通知の送信。
• セキュリティ確保、不正利用の防止、監査ログの記録およびインシデント対応。
• 集計統計による本サービスの改善。
• お問い合わせへの対応および法的義務の履行。

4. 保存期間および削除

• アカウント情報：アカウント削除まで保存し、削除後30日以内に消去します。
• ワークスペースのコンテンツ：ワークスペースの解約時、またはワークスペースの保持ポリシーに基づきコンテンツが削除されるまで保存し、その後30日以内に消去します。ワークスペースの削除が請求された場合、30日間の猶予期間（取り消し可能）の後にすべてのデータとファイルを消去し、データが残っていないことを確認します。メンバーの退職または個人情報の消去請求があった場合、本人専用のデータは直ちに消去し、本人が作成した共有コンテンツは匿名化します。法令で保存が義務付けられている記録（例：韓国の勤労基準法に基づく労働者名簿・賃金台帳・勤怠記録3年、税法上の証憑5年、法定研修記録3年、または雇用主に適用される法令が定める期間）は、その期間に限り保存した後に消去します。来訪者情報は、ワークスペースが定めた期間が経過すると自動的に消去されます。
• バックアップ：最大35日の周期で順次上書きされます。ファイルストレージの別途のバックアップコピーを保持する場合は、30日以内に削除します。
• アクセスログ：最低1年間（韓国法令上のアクセス記録の最低保存期間）、または法令がより長い期間を定める場合はその期間保存します。

削除されたデータは復元できない方法で消去し、紙の記録がある場合はシュレッダーで裁断します。

5. 第三者への提供

当社は個人情報を販売しません。当社が個人情報を第三者に提供するのは、ご本人の同意がある場合、ワークスペースの指示がある場合、または法令で求められる場合に限られます。

6. 委託先および国外移転

当社は以下の委託先を利用しています。本サービスのご利用時、データは暗号化されたネットワークを通じて移転されます。

• Cloudflare, Inc.（米国、グローバルネットワーク）：Webサイトの配信、セキュリティおよびプロキシ。
• Railway Corporation（米国）：アプリケーションサーバーおよびデータベースのホスティング。
• Anthropic PBCやOpenAI, L.L.C.などのAIプロバイダー（米国）：ワークスペースがAI機能を有効にした場合のみ。送信されるのは質問と、利用者がアクセス可能な抜粋のみであり、当社との契約に基づきモデルの学習には使用されません。
• メール配信事業者（米国）：招待、パスワード再設定および通知メールの送信。

移転する項目：第2条に記載の情報のうち各機能に必要なもの。保存期間：第4条に記載のとおり。関連機能を利用しない、またはアカウントを削除することで国外移転を拒否できますが、その場合一部の機能をご利用いただけなくなることがあります。

7. 利用者の権利

利用者は、アプリの設定またはメールにより、いつでも個人情報の開示、訂正、削除、処理の停止、または写しの提供を請求できます。データがワークスペースに属する場合、当社はその請求をワークスペースの管理者に転送することがあります。当社は不当な遅延なく、法令で定められた期間内に対応します。

8. 安全管理措置

• 通信の暗号化（HTTPS/TLS）およびパスワードのハッシュ化。
• 厳格なテナント分離、ロールベースのアクセス制御、およびすべてのリクエストに対する権限確認。
• 短時間のみ有効なダウンロードリンク、アップロード時のシグネチャ検査およびレート制限。
• 管理操作の監査ログおよび従業員によるアクセスの最小化。

9. Cookie

当社は、ログインセッションの維持とCSRF対策のために厳密に必要なCookieのみを使用します。Webサイト解析ではCookieを使用せず、訪問者は毎日変わる匿名ハッシュで集計されます。ブラウザでCookieをブロックすることもできますが、その場合ログインできなくなります。

10. 児童

本サービスは業務用であり、14歳未満の児童を対象としていません。

11. 個人情報保護責任者および連絡先

個人情報保護責任者：Workbamiプライバシーチーム

メール：[email protected]

個人情報侵害申告センター（privacy.kisa.or.kr、118）または個人情報紛争調停委員会（www.kopico.go.kr、1833-6972）にお問い合わせいただくこともできます。

12. 日本にお住まいの方への追加事項（個人情報保護法）

本条は、日本の個人情報保護法に基づき、日本にお住まいの方に適用される事項を定めます。本条と本ポリシーの他の部分が異なる場合、日本にお住まいの方には本条が優先して適用されます。

当社は、アカウント情報および請求情報について個人情報取扱事業者として個人情報を取り扱います。ワークスペースのコンテンツについては、ワークスペース（お客さまである事業者）が個人情報取扱事業者であり、当社はその委託を受けて取り扱います。

第三者提供：当社は、法令に基づく場合を除き、あらかじめご本人の同意を得ることなく個人データを第三者に提供しません。第6条の委託先への取扱いの委託は第三者提供には当たりませんが、委託先は外国にあるため、次項のとおり情報を提供します。

外国にある第三者への提供：個人データは米国の委託先（Railway Corporation、Cloudflare, Inc.、AI機能を有効にした場合のAIプロバイダー、メール配信事業者）で取り扱われます。米国には日本の個人情報保護法に相当する包括的な連邦法はなく、カリフォルニア州消費者プライバシー法などの州法や分野別の法令があります（個人情報保護委員会「外国における個人情報の保護に関する制度等の調査」参照）。当社は、各委託先との契約により、個人情報保護法の趣旨に沿った措置（安全管理措置、目的外利用の禁止、再委託の管理など）を講じさせています。

外的環境の把握：当社は大韓民国の事業者であり、本サービスのデータは米国のサーバーで保存・処理されています。当社は大韓民国および米国の個人情報保護に関する制度を把握したうえで、第8条の安全管理措置を講じています。

安全管理措置：個人情報の取扱いに関する規律の整備、責任者の設置と従業者による取扱いの最小化（組織的・人的措置）、通信の暗号化、アクセス制御、パスワードのハッシュ化、監査ログ（技術的措置）を講じています。物理的な設備は委託先のデータセンターが管理しています。

開示等の請求：ご本人は、保有個人データの利用目的の通知、開示（第三者提供記録を含みます）、訂正・追加・削除、利用停止・消去、第三者提供の停止を請求できます。[email protected]まで、アカウントに登録されたメールアドレスからご連絡ください。ご本人確認のうえ、遅滞なく対応します。手数料はいただきません。

当社の名称はWorkbamiチームです。住所および代表者の氏名については、ご請求があれば遅滞なくお知らせします。保有個人データの利用目的は第3条、安全管理措置は第8条および本条に記載のとおりです。

苦情・お問い合わせ：個人情報の取扱いに関する苦情は、Workbamiプライバシーチーム（[email protected]）で受け付けます。個人情報保護委員会の個人情報保護法相談ダイヤルにご相談いただくこともできます。

データの保存場所：アプリケーションサーバー、データベースおよびアップロードされたファイルは現在米国（Railway）で運用しており、Webサイトの配信・セキュリティ・プロキシはCloudflareのグローバルネットワークで処理しています。日本国内でのデータ保管には現在対応していません。

13. 変更

本ポリシーを変更する場合、少なくとも7日前（重要な変更の場合は30日前）までに、本ページまたは本サービス内でお知らせします。