TheCoreOps Project（以下「当方」）は、提供するサービス「TheCoreOps」（以下「本サービス」）における個人情報の取扱いについて、以下のとおりプライバシーポリシー（以下「本ポリシー」）を定めます。

第1条（収集する情報）

当方は、本サービスの提供にあたり、以下の情報を収集・取得します。

1. ユーザー（利用企業）の担当者の情報
   氏名、会社名、部署名、役職、メールアドレス、電話番号、ログインの記録、IPアドレス、規約への同意の記録
2. バイヤー向けポータル（CoreTrade）のバイヤーの情報
   氏名、会社名、住所、電話番号、メールアドレス、適格請求書発行事業者の登録番号、請求先・経理担当者の連絡先、振込先口座情報
3. 外部サービス連携・データの取込みにより取得する情報
   ユーザーが本サービスと連携させた外部サービス（Shopify、各種POSシステム等）から取得する受注情報、顧客情報、仕入先の情報、およびユーザーがCSV等の形式でアップロードしたデータ
4. AI での読み取りに使う書類
   ユーザーが読み取りのためにアップロードした請求書・ラインシート等の書類と、そこに書かれた情報（取引先の名称・連絡先・振込先等を含むことがあります）

第2条（利用目的）

当方が前条1項・2項の個人情報を収集・利用する目的は、以下のとおりです。

1. 本サービスの提供・運営・保守のため
2. ユーザーからのお問い合わせに回答するため（本人確認を行うことを含む）
3. 本サービスのシステム改善のための分析・調査のため
4. メンテナンス、重要なお知らせなど必要に応じたご連絡のため
5. 利用規約に違反したユーザーや、不正・不当な目的でサービスを利用しようとするユーザーの特定をし、ご利用をお断りするため
6. CoreTrade において、バイヤーとブランドとの取引申請・発注・請求に関する連絡を仲介するため

第3条（ユーザーから入力・委託された個人情報の取り扱い）

1. ユーザーが本サービス上にアップロードまたは連携入力した、ユーザーの顧客およびサプライヤー等の個人情報（第1条3項・4項の情報）については、ユーザー自身が個人情報保護法上の「個人情報取扱事業者」となります。
2. 当方は、当該個人情報を、本サービスの提供に伴う「取扱いの委託」として預かる立場であり、本サービスのシステム処理（データの保存、バックアップ、AI での読み取りを含む各種機能の実行等）の目的にのみ利用します。
3. 当方は、当該個人情報を当方自身のマーケティング等に利用しません。障害の調査・ユーザーからのお問い合わせへの対応・法令に基づく場合など、本サービスの提供に必要な範囲に限って、その内容を確認することがあります。

第4条（個人情報の第三者提供）

当方は、次に掲げる場合を除いて、あらかじめ本人の同意を得ることなく、第三者に個人情報を提供することはありません。

1. 法令に基づく場合
2. 人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき
3. 国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合

なお、CoreTrade でバイヤーがブランドとの取引を申請・発注した場合、その取引に必要な範囲の情報を取引相手のブランドに提供します。これは CoreTrade の目的そのものであり、バイヤーの登録時に同意を得ています。

第5条（取扱いの委託先）

当方は、本サービスの提供のため、個人データの取扱いの全部または一部を次の事業者に委託しています。

• AI での読み取りは、ユーザーが読み取りを指示した書類だけを送ります。マイクロソフトは、送られた書類や読み取った内容を、AI の学習には使いません。ただし、Azure OpenAI Service では、マイクロソフトが不正利用の監視のために、送られた内容を最大30日間保存することがあります（当方がマイクロソフトからこの保存をしない扱いの承認を受けた場合を除きます）。
• Shopify・Square は、ユーザーが自ら契約して連携するサービスであり、当方の委託先ではありません。

第6条（外国にある第三者への提供・外国での取扱い）

当方は、前条のとおり、シンガポール及び米国の事業者に個人データの取扱いを委託しています。これらの国の個人情報保護制度の概要は次のとおりです。

• シンガポール：個人データ保護法（PDPA）があります。
• 米国：連邦レベルの包括的な個人情報保護法はなく、カリフォルニア州消費者プライバシー法（CCPA）等の州法および分野別の法律があります。

当方は、委託先がわが国の個人情報保護法に基づく措置に相当する措置を継続的に講じていることを、契約および委託先の公表情報により確認しています。各国の制度の詳細は、個人情報保護委員会が公表する資料をご覧ください。

第7条（個人情報の安全管理）

当方は、個人データの漏えい・滅失・毀損を防ぐため、次の措置を講じています。

• 通信を暗号化しています（HTTPS）。
• 利用企業ごとにデータを論理的に分離しています。
• パスワードをハッシュ化して保存し、外部サービス連携の認証情報とバイヤーの振込先口座情報を暗号化して保存しています。
• ログインの試行回数を制限し、アクセス権限を役割ごとに管理しています。
• 個人データを取り扱う者に秘密保持の義務を課し、漏えい等が発生した場合の報告・対応手順を定めています。
• 外国の委託先については、前条のとおりその国の制度を把握したうえで取り扱っています。

第8条（Cookie 等の利用）

本サービスは、ログイン状態の維持、セキュリティの確保、表示設定の保存のために、Cookie およびブラウザのローカルストレージを使用します。広告目的のトラッキングは行いません。

第9条（保有個人データの開示等の請求）

1. 本人は、当方が保有する本人の保有個人データについて、利用目的の通知、開示、訂正・追加・削除、利用停止・消去、第三者提供の停止を請求できます。請求は、第11条の窓口宛てに電子メールでご連絡ください。当方所定の方法で本人確認を行ったうえで、遅滞なく対応します。
2. 委託を受けて取り扱う個人データ（第3条）についての請求は、その情報を管理するユーザー（利用企業）にご連絡ください。当方はユーザーの対応に協力します。

第10条（プライバシーポリシーの変更）

当方は、法令の改正や本サービスの変更に応じて、本ポリシーを変更することがあります。重要な変更を行う場合は、本サービス上での掲示または電子メールによりお知らせし、必要に応じて改めて同意をお願いします。

第11条（お問い合わせ窓口）

本ポリシーに関するお問い合わせは、下記の窓口までお願いいたします。

運営：TheCoreOps Project
Eメール：info@thecoreops.com