個人情報の海外移転に関する説明書
発効日: 2026-09-23
本書は、プライバシーポリシー「越境移転 (個人情報保護法 第28条)」の詳細として、個人データの移転先事業者、移転先国の個人情報保護制度の概要、および安全管理措置を説明するものです。
1. 移転先事業者
| 事業者 | 役割 | 法人・管轄 | 処理リージョン | 受領する個人データ | 安全管理措置 |
|---|---|---|---|---|---|
| Supabase Inc. | データベース・認証・ストレージ | 米国 (デラウェア州法人) | シンガポール (AWS ap-southeast-1) | 氏名・メールアドレス・所属・画像・メッセージ (暗号化)・行動履歴 | SOC 2 Type II / ISO 27001、保存時 AES-256 暗号化、TLS 1.2 以上、行レベルセキュリティ |
| Resend | メール配信 (取引メール・メールマガジン) | 米国 | 米国 | メールアドレス・表示名・メール本文 | TLS、DKIM / SPF / DMARC、配信停止ヘッダ、送信ログのみ保持 |
| Inngest | バックグラウンドジョブ実行 | 米国 | 米国 | 識別子のみ (会員 ID・通知 ID 等)。氏名・メールアドレス等は送信しません | ジョブに載せるのは識別子のみとし、実データはシンガポールの保管先から取得する設計。型検査と実行時検査で二重に強制 |
| Sentry | エラー監視 | 米国 | 米国 | エラーイベント (発生時のリクエスト情報や、エラーに付随して記録される情報を含む) | TLS、送信前に cookie と認証ヘッダのみを除去 (エラーに付随するその他の情報は除去対象外) |
| Vercel | ホスティング・エッジ配信 | 米国 | グローバルエッジ (主にシンガポール) | リクエストのメタデータ・IP アドレス (転送時) | 個人データの永続的な保管なし、TLS、SOC 2 |
| Cloudflare (R2) | データベースとファイルのオフサイトバックアップの保管 | Cloudflare, Inc. (米国法人) | アジア太平洋 | 暗号化されたバックアップ | 保存時暗号化、退会時に当該会員のオブジェクトを物理削除 |
| Stripe | 決済 (MYR + SST) | 米国・アイルランド | グローバル | 決済識別情報・請求先の氏名/ メールアドレス (カード番号は Stripe が保持し、当社は保持しません) | PCI DSS Level 1、Webhook 署名検証、当社はトークンと ID のみ保持 |
| Google (Gemini API) | 事務局チャットの AI 一次受付・翻訳 | 特定不能 (米国を含む) | 特定不能 (Gemini API は処理リージョンを指定できません) | 事務局チャットに入力された会話本文、翻訳対象の文章。氏名・メールアドレス・所属企業は送信しません | TLS。プロンプトは当該スレッドの会話履歴と運営が作成した非個人情報のナレッジに限定。入力された内容は同社のサービス改善および機械学習モデルの学習に利用される場合があります |
| Google (Google タグマネージャー / Google アナリティクス等) | アクセス解析・広告関連タグの配信 | 特定不能 (米国を含む) | 特定不能 (処理リージョンを指定できません) | IP アドレス・ブラウザ情報・閲覧した URL・ページタイトル・Cookie 等の端末内識別子。会員としてログインしている場合、閲覧した URL に会員向けページが含まれます | TLS。分析 Cookie とマーケティング Cookie の両方に同意した場合にのみ読み込みます (未選択は拒否と同じ扱い)。タグマネージャーの構成により、Google 以外の広告事業者へ送信される場合があります |
2. 移転先国の個人情報保護制度
シンガポール共和国 (主たる保管先)
個人情報保護法 (PDPA 2012) が、同意・利用目的の通知・漏えい通知・説明責任を含む 11 の主要義務を事業者に課しています。監督機関は個人情報保護委員会 (PDPC) で、違反時の制裁金は最大 100 万シンガポールドルまたは年間売上高の 10% です。EU の十分性認定は受けていません。政府によるアクセスは刑事訴訟法に基づく提出命令の形で行われ、日本と異なり独立機関による事前承認の手続きはありません。
アメリカ合衆国
連邦レベルの包括的な個人情報保護法は整備されておらず、分野別の法律と州法によります。政府によるアクセスは CLOUD Act や外国情報監視法 (FISA) 第 702 条等により生じる可能性があります。当社は移転する個人データを最小化し (Inngest へは識別子のみ)、実際の個人情報を扱う Resend・Stripe・Cloudflare については、TLS と保存時暗号化により保護しています。
特定できない国 (Google / Gemini API)
Gemini API は処理リージョンを指定できないため、移転先の国を特定できません。米国を含む複数の国で処理される可能性があります。この点は会員登録時の同意取得画面とプライバシーポリシーで開示しています。
参考: 個人情報保護委員会「シンガポールの個人情報保護制度」: https://www.ppc.go.jp/enforcement/infoprovision/laws/offshore_report_singapore/
3. 本人の権利
本人はいつでも越境移転への同意を撤回できます。撤回すると本サービスをご利用いただけなくなり、ただちにログアウトされます。撤回の記録は法令に基づき保管されます。
個人データの開示・訂正・削除も請求できます。ご自身のデータのダウンロードとプロフィールの訂正は会員ページから行えます。アカウントとデータの完全な削除は退会フローによります (退会後 30 日間の猶予期間を経て削除します)。
請求への対応期限は 21 日以内です。
4. お問い合わせ
本書および越境移転に関するお問い合わせは、お問い合わせフォームからご連絡ください。個人情報保護責任者 (DPO) の連絡先は、プライバシーポリシーに掲載しだいそちらでもお受けします。