SymVal AI プライバシーポリシー

制定日：2026年7月1日／最終改定日：2026年10月6日／施行日：2026年11月1日／バージョン：v3.0.2

はじめに

株式会社シンフォニード（以下「当社」といいます。）は、組織可視化サービス「SymVal AI」（以下「本サービス」といいます。）の提供にあたり、利用者および利用者の従業員等の個人情報・プライバシーを尊重し、個人情報の保護に関する法律（以下「個人情報保護法」といいます。）その他の関連法令を遵守します。本プライバシーポリシー（以下「本ポリシー」といいます。）は、当社が本サービスにおいて取り扱う情報の取扱方針を定めるものです。

本サービスは、法人その他の事業者（以下「利用者」といいます。）が行う業務管理および情報セキュリティ管理等のために、利用者の組織としての意思決定にもとづき導入される事業者向けサービスです。当社は、対象従業員による個別の同意操作または同意書の提出を、本サービスの導入および利用の条件としません。本サービスにおいて本人の同意を取得しない場合、これを要する処理は、その適用除外その他の適法な根拠が確認された場合を除き、実施の対象に含めません。

本サービスは、データ最小化の方針のもと、取得する情報を目的の達成に必要な範囲に限定しています。本ポリシーは、本サービスの利用規約と一体として適用されます。

第1条　事業者の名称・連絡先

第2条　本ポリシーの適用範囲および当社の立場

1. 当社は、本サービスにおいて、次の二つの立場で個人情報を取り扱います。本ポリシーは、いずれについても適用されますが、当社が負う義務および本人からの請求への対応方法は、立場ごとに異なります。

2. 前項（B）の情報について、当社は、利用者との間の利用規約およびデータ取扱条件に従い、委託の範囲を超えて当該情報を取り扱いません。

3. 当社は、前項の区分および処理ごとの役割分担の詳細を、当社が別途定めるデータ取扱条件に定め、当社ウェブサイトに掲載します。

第3条　標準機能により取得する情報

1. 当社は、本サービスの標準機能において、次の情報を取得します。

(1) アカウント・契約に関する情報（第2条（A））

・会社名（個人事業主の場合は屋号・氏名等）、部署、担当者氏名、住所、メールアドレス、電話番号等の連絡先情報。

・ログインIDその他の管理画面のアカウントに関する情報、利用プラン、課金・支払に関する情報（クレジットカード決済を利用する場合、決済処理は決済代行事業者が行い、当社はカード番号そのものを保持しません）。

(2) 対象端末から取得する稼働データ（第2条（B））

・PCの稼働・停止時刻、稼働時間帯、アプリケーション別およびプロジェクト別の作業時間、稼働タイムライン。

・深夜稼働・休日稼働、就業時間外アクセス、外部ストレージの利用、通信・アクセスに関する検知イベント等のセキュリティ関連情報。

・対象端末の識別子、OSおよびそのバージョン等の環境情報。

(3) 上記から生成される分析結果（第2条（B））

・生産性スコア、セキュリティスコア、コンディションスコア、AI解説、各種サマリー、面談推奨リスト等。いずれのスコアも0から100までの数値で表示され、数値が大きいほど良好な状態であることを示します。

(4) 本サービスの利用に伴い自動的に取得される情報（第2条（A））

・管理画面のアクセスログ、IPアドレス、端末・ブラウザ情報、Cookie等の識別子。

2. 前項(2)の情報のうち、対象端末上でのみ処理しクラウドへ送信しないもの、クラウドへ送信する項目、および管理画面に表示する内容の区分は、データ取扱条件に定めます。アクセス先のURLおよびドメイン、ファイル名およびファイルパス、アプリケーション名およびウィンドウタイトル並びにプロジェクト名その他の自由記述は、クラウドへ送信し、管理画面に表示します。ただし、利用規約第8条第2項各号に定める除外の対象となる通信に係るこれらの情報は、送信および表示の対象から除外します。

3. 本ソフトウェアによる通信内容の検査（TLS通信の復号・解析を含みます。）の対象および除外する領域は、利用規約第8条第2項およびデータ取扱条件の定めによります。

4. 通信本文は、利用者が明示的に有効化した場合に限り取得します。当社は、保存前に認証情報、トークン、パスワード、クレジットカード番号、個人番号等を自動的にマスクし、目的の達成に必要な最短の期間（既定1時間・上限24時間）の経過後に削除します。当該マスク処理は、取得の対象から除外すべき情報を減らすための技術的措置であり、取得そのものの適法性を当然に確保するものではありません。

第4条　拡張機能により取得する情報

1. 当社は、本サービスの拡張機能として、次の情報を取得する場合があります。

(1) 対象端末の画面キャプチャ。

(2) 通信本文の全量（raw_body）。

(3) その他、当社が拡張機能利用条件により明示する情報。

2. 前項の取得は、次の各号のすべてを満たす場合に限り行います。

(1) 当社が、当該拡張機能に係る拡張機能利用条件を、有効化に先立って利用者に提示していること。

(2) 利用者が、当該機能を明示的に有効化していること。

(3) 利用者が、取得の内容、目的、保存期間、閲覧権限および問い合わせ先を対象従業員に事前に周知し、かつ適用法令上必要な手続を完了していること。

3. 本サービスは利用者の組織単位で導入されるものであり、当社は、拡張機能を含む本サービスのいずれの機能についても、対象従業員本人による個別の同意の取得を要件としません。当社は、個別同意を取得しない運用において適法な根拠および必要な保護措置が確認できない範囲については、当該機能を提供せず、または制限します。

4. 拡張機能により取得する情報の範囲、保存期間、秘匿化・マスク処理の有無その他の取扱条件は、当該拡張機能利用条件の定めによります。ただし、拡張機能利用条件によっても、第5条（取得しない情報）、第8条（利用目的）、第14条（保存期間）および第15条（安全管理措置）に定める最低保護水準を下回ることはできません。

5. 利用者は、いつでも当該機能を無効化することができます。無効化があった場合、当社は、当該拡張機能による新規の取得を速やかに停止し、対象端末内の未送信データを削除します。既に当社が受領した当該拡張機能によるデータは、当該拡張機能利用条件に定める保存期間の経過後遅滞なく削除し、または第6条に定める統計情報に加工します。バックアップに含まれるデータは、データ取扱条件に定めるバックアップの保存サイクルに従い削除します。

第5条　取得しない情報

1. 当社は、次の各号の情報を取得および送信しないための措置を講じます。

(1) 個人番号（マイナンバー）。

(2) パスワード、認証トークンその他の認証情報。

(3) クレジットカード番号その他の決済情報。

(4) 病歴、診療の内容、心身の機能の障害その他の要配慮個人情報。

(5) 個人情報の保護に関する法律の改正規定の施行後に同法に定める特定生体個人情報に該当することとなる情報（当社は、当該改正規定の施行を待たずに、これを取得しないための措置を講じます。）。

(6) その他、データ取扱条件に定める情報。

2. 前項の措置は、画面キャプチャその他の拡張機能により取得する情報についても同様に適用されます。

3. 取得の対象から除外すべき情報が混入していることが判明した場合、当社は、当該データへのアクセス、利用および転送を制限し、法令上保存が必要な場合を除き、遅滞なくこれを削除します。当社は、当該事実および対応の内容を利用者に通知します。

第6条　情報の加工に関する用語の定義

本ポリシーにおいて、情報の加工に関する用語は次の意味で用います。当社は、これらを個人情報保護法に定める匿名加工情報または仮名加工情報として取り扱うものではなく、これらの用語を用いる場合は、その旨を明示します。

第7条　コンディションスコアと要配慮個人情報の取扱い

1. コンディションスコアは、深夜稼働・休日稼働の頻度と連続性、総稼働時間の過多または急増、稼働パターンの本人の平常時からの乖離など、PCの客観的な稼働記録から算出される行動指標です。当社は、コンディションスコアを、負荷の偏りに関する気づきを本人と組織に返す目的でのみ生成・提供します。

2. 当社は、コンディションスコアの算出にあたり、病歴、診断結果、服薬、心理検査の結果その他の健康に関する情報を入力せず、また、AI解説においてこれらを推知する記述を出力しない仕様とします。当社は、当該仕様を定期的に検証します。

3. 当社は、前二項の仕様および実際の出力内容を前提として、コンディションスコアを要配慮個人情報に該当しない範囲で提供します。要配慮個人情報に該当するおそれがある情報は、取得、生成および提供を行いません。当社は、実際に取り扱う情報の内容に変更が生じた場合、該当性をあらためて判断し、必要に応じて本ポリシーを改定します。

4. 当社は、本サービスにおいて要配慮個人情報を取得することを予定していません。万一、稼働データに要配慮個人情報が含まれることが判明した場合、当社は、第5条第3項に従い対応します。

5. コンサルティング、産業医サービス、データ顧問、業界比較レポートその他のオプションサービスは、本サービスの利用規約および本ポリシーの対象外であり、その利用には別途の契約または規約が適用されます。当該オプションサービスにおいて健康情報その他の要配慮個人情報を取り扱う場合、当社または当該サービスの提供者は、あらかじめ本人の同意を取得します。

第8条　利用目的

1. 当社は、第2条（A）の情報を、次の目的のために利用します。

(1) 本サービスの提供、維持および保護のため。

(2) 利用者への連絡、問い合わせ対応、本人確認のため。

(3) 料金の請求・決済処理のため。

(4) 本サービスの不正利用の防止およびセキュリティの確保のため。

(5) 法令にもとづく対応、当社の権利・財産の保護のため。

2. 当社は、第2条（B）の情報を、利用者から委託された次の範囲でのみ取り扱います。

(1) スコア等の生成、レポート・サマリーの提供のため。

(2) 本サービスの提供に伴う障害対応、不正利用の防止およびセキュリティの確保のため。

(3) 法令にもとづく対応のため。

3. 当社は、本サービスの品質向上、新機能の開発およびスコアの精度向上のために、第6条に定める統計情報を利用します。当社は、この目的のために、次の各号の取扱いを行いません。

(1) 個人データを利用者の枠を超えて突合すること。

(2) 対象従業員ごとのデータを、統計情報に加工することなく分析に用いること。

(3) 稼働データ、スコア等または通信本文を、当社または外部のAI事業者による機械学習モデルの学習の用に供すること。

4. 当社は、将来の金融・保険関連サービスの検討・提供のために個人情報を利用する場合、別途の契約・規約および適用法令上必要な手続を経るものとし、本ポリシーは当該サービスの提供を約束するものではありません。

第9条　利用目的の変更

当社は、第2条（A）の情報の利用目的を、変更前の利用目的と関連性を有すると合理的に認められる範囲で変更することがあり、変更した場合は、本人に通知し、または本サービス上に公表します。第2条（B）の情報の利用目的の変更は、利用者の指示によります。

第10条　本人および管理者への開示

1. 本サービスは、対象従業員本人に対しても、自己に関するスコア等および算出の理由を、管理者と同一の内容で開示します。対象従業員は、他の個人のデータを閲覧することはできません。

2. 当社は、本サービスにおいて、スコア等を利用者およびその管理者に提供します。これは、利用者から委託を受けた処理の結果を利用者に返すものであり、第11条に定める第三者提供には該当しません。

3. 本条に定める画面上の表示は、第17条に定める法令上の開示等の請求に対する対応とは別のものです。

4. 利用者は、利用規約第11条に従い、スコア等のみを根拠として対象従業員の評価、配置、処遇その他の重要な事項を自動的に決定してはなりません。

第11条　第三者提供

当社は、次のいずれかに該当する場合を除き、あらかじめ本人の同意を得ないで、個人情報を第三者に提供しません。

(1) 法令にもとづく場合。

(2) 人の生命、身体または財産の保護のために必要があり、本人の同意を得ることが困難な場合。

(3) 公衆衛生の向上または児童の健全な育成の推進のために特に必要があり、本人の同意を得ることが困難な場合。

(4) 国の機関等の法令の定める事務の遂行に協力する必要がある場合。

(5) 第12条に定める委託、または合併その他の事由による事業の承継に伴って提供する場合。

第12条　個人情報の取扱いの委託

1. 当社は、利用目的の達成に必要な範囲で、個人情報の取扱いの全部または一部を外部に委託することがあります。この場合、当社は、委託先との間で秘密保持および安全管理に関する契約を締結し、必要かつ適切な監督を行います。主な委託先・利用サービスは次のとおりです。

2. 当社は、AI／LLM処理の委託先に対し、送信するデータを目的の達成に必要な項目に限定し、当該データを委託先の機械学習モデルの学習に利用しない条件で契約します。

第13条　外国にある第三者への提供（国外移転）

1. 前条の委託先には、外国に所在する事業者が含まれる場合があります。

2. 当社は、外国にある第三者へ個人データを提供する場合、処理ごとに、次の各号のいずれかの適法な根拠を選定します。当社は、本サービスにおける委託処理について、対象従業員本人の同意に依拠しない根拠を用います。

(1) 個人情報保護法第28条第1項に定める、我が国と同等の水準にあると認められる国に所在する第三者への提供。

(2) 同項に定める基準に適合する体制を整備している第三者への提供（契約による措置を含みます。）。

(3) 法令にもとづく場合その他同法において本人の同意を要しないこととされている場合。

3. 前項(2)の根拠による場合、当社は、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講じ、本人の求めに応じて当該措置に関する情報を提供します。

4. 当社は、移転先の国名・地域、当該国の個人情報保護制度に関する情報および移転先が講ずる措置に関する情報を、当社ウェブサイトにおいて公表し、または本人の求めに応じて提供します。

5. 当社は、前各項の要件を満たすことができない場合、当該国外への送信を行いません。

6. 当社は、本サービスにおける委託処理に係る外国にある第三者への提供について、いずれも第2項(2)の基準に適合する体制を整備している第三者への提供を根拠とし、契約による措置を講じたうえ、当該措置の継続的な実施を年1回以上確認します。

第14条　保有期間・データの削除

1. 当社は、利用目的の達成に必要な期間に限り個人情報を保有します。

2. 稼働データおよびスコア等の保持期間は、原則として全プラン共通で3年間とし、保持期間の経過後は削除し、または第6条に定める統計情報に加工します。

3. 通信本文は、目的の達成に必要な最短の期間（既定1時間・上限24時間）の経過後に削除します。拡張機能により取得する通信本文の全量（raw_body）は上限30日間とし、上限まで一律に保存するものではありません。画面キャプチャ、対象端末内の一時保存、バックアップおよびAI推論基盤における保存については、いずれも目的の達成に必要な期間を超えて保存しません。

4. 本契約の終了後の削除については、利用規約第20条の定めによります。当社は、法令上の保存義務がある場合を除き、同条に定める期間内に個人情報を削除し、または統計情報に加工します。

5. 無料トライアルにおいて取得した情報の取扱いは、SymVal AI 無料トライアル約款の定めによります。

第15条　安全管理措置

当社は、個人情報の漏えい、滅失または毀損の防止その他の安全管理のため、次の措置を講じます。

(1) 組織的安全管理措置：個人情報保護管理者の設置、取扱規程の整備、責任体制の明確化、インシデント記録の一元管理。

(2) 人的安全管理措置：従業者に対する教育・監督、秘密保持義務の遵守。

(3) 技術的安全管理措置：通信経路およびクラウドに保存するデータの暗号化、権限マトリクスにもとづくロールベースアクセス制御、当社の管理者アカウントに対する多要素認証（利用者の管理画面については、多要素認証を機能として提供します。）、テナントごとのソルト・管理トークンの分離、キーレス認証（GitHub OIDC／Google Cloud WIF）によるCI/CD、ログの監視。

(4) 物理的安全管理措置：高いセキュリティ基準を満たすクラウドデータセンター事業者の採用、オフィスへの不正侵入および端末の盗難・紛失の防止。

(5) 外部評価：当社は、年1回以上の外部脆弱性診断の実施に努めます。また、SOC 2 タイプ2の保証報告書の取得に向けた準備を進めています。当社は、現時点において当該保証報告書を取得していません。

第16条　漏えい等が発生した場合の対応

1. 当社は、当社が取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態（以下「漏えい等」といいます。）が発生し、またはそのおそれがあることを認知した場合、速やかに調査を開始し、被害の拡大の防止および証拠の保全のために必要な措置を講じます。

2. 当社は、第2条（B）の情報について漏えい等を認知した場合、認知後72時間以内に利用者に第一報を通知し、その後、調査の進捗に応じて続報を提供します。当該通知には、判明している事態の概要、対象となる情報の項目および件数、原因、二次被害のおそれの有無ならびに当社が講じた措置を含めます。

3. 当社は、個人情報保護委員会への報告および本人への通知について、法令に定める期限および要件に従って対応します。第2条（B）の情報については、法令上の報告義務者が利用者となる場合があるため、当社は、利用者が期限内に報告および通知を行うために必要な情報を提供し、これに協力します。本条の定めは、法令に定める報告および通知の期限を延長するものではありません。

4. 当社は、原因の究明および再発防止策の策定を行い、その結果を利用者に報告します。

第17条　開示・訂正・利用停止等の請求

1. 本人は、当社に対し、第2条（A）の情報（当社の保有個人データ）について、利用目的の通知、開示、内容の訂正・追加・削除、利用の停止・消去、第三者提供の停止を請求することができます。当社は、本人確認を行ったうえで、法令に従い遅滞なく対応します。

2. 第2条（B）の情報は、利用者が利用目的を決定し管理するものであるため、これに関する開示等の請求は、原則として所属する利用者にお問い合わせいただきます。当社は、当該請求を受領した場合、遅滞なく利用者に連携し、利用者の指示にもとづき、利用者が請求に対応するために必要な情報の提供その他の協力を行います。

3. 前項にかかわらず、当社が法令上直接に対応すべき義務を負う場合、当社は、当該義務に従って対応します。

4. 本サービスの管理画面において対象従業員本人が自己のスコア等を閲覧できること（第10条第1項）は、本条に定める法令上の請求への対応とは別のものであり、これを代替するものではありません。

5. 請求は、第1条のお問い合わせ窓口宛に、当社所定の方法により行うものとします。

第18条　Cookie等の利用

当社は、本サービスの管理画面等において、利便性の向上、利用状況の分析およびセキュリティの確保のためにCookieおよび類似技術を利用することがあります。ユーザーは、ブラウザの設定によりCookieの利用を制限することができますが、その場合、本サービスの一部機能が利用できないことがあります。

第19条　本ポリシーの改定

1. 当社は、法令の改正やサービス内容の変更等に応じて、本ポリシーを改定することがあります。

2. 当社は、改定を行う場合、改定後の内容および施行日を、施行日の30日前までに、本サービス上の掲示その他適切な方法により周知します。改定後の本ポリシーは、あらかじめ公表した施行日から効力を生じます。

3. 当社は、施行日前に取得した情報について、改定後の取得条件または利用目的を遡って適用しません。改定により取得する情報の種類または利用目的を実質的に拡張する場合、当該拡張は、施行日以後に新たに取得する情報についてのみ適用されます。取得する情報の種類または利用目的を実質的に拡張する改定は、利用者との個別の合意によるものとします（利用規約第23条第3項）。

第20条　お問い合わせ窓口

本ポリシーに関するお問い合わせ、開示等の請求は、下記の窓口までご連絡ください。

附則

本ポリシーは、2026年7月1日に制定し、2026年7月29日、2026年8月19日および2026年9月22日に改定し、2026年10月6日に字句を訂正のうえ、2026年11月1日から改定後のポリシーを施行します。

改定履歴

v1.0（2026年7月1日）制定。

v2.0（2026年7月29日改定・2026年8月1日施行）：事業者を株式会社シンフォニードに特定し、所在地・代表者・連絡先を確定。「バーンアウトリスクスコア」を「コンディションスコア」に改称。当社が取得しない情報を新設。本人への開示に関する条項を新設。委託先を更新。

v2.1（2026年8月19日改定・2026年8月25日施行）：第3条を「拡張機能により取得する情報（本人の個別同意にもとづく取得）」に全面改定。

v2.2（2026年9月17日改定）：拡張機能を含むすべての機能について、対象従業員本人の個別同意の取得を要件としない建付けに統一。

v3.0（2026年9月22日改定・2026年11月1日施行）：当社の立場を「自ら取得する情報」と「利用者から委託を受けて取り扱う情報」に区分し、処理ごとの役割分担と本人請求の窓口を明記（第2条・第17条）。取得する情報を標準機能と拡張機能に分けて整理し、取得しない情報を独立の条として新設（第3条ないし第5条）。加工に関する用語を「最小化処理」「稼働データ・スコア等」「統計情報」に区分し、匿名加工情報・仮名加工情報と混同しない旨を明記（第6条）。コンディションスコアについて、入力しない情報とAI解説の出力仕様を明記したうえで、該当性の判断を実際に取り扱う情報に応じて行う旨に改めた（第7条）。改善目的の利用を統計情報に限定し、企業横断の突合、本人ごとの分析および学習利用を行わない旨を明記（第8条第3項）。共同利用の条項を削除（下記参照）。国外移転について、本人同意に依拠しない根拠を処理ごとに選定する構成に変更し、要件を満たせない送信を行わない旨を明記（第13条）。漏えい等が発生した場合の対応を新設（第16条）。第三者認証に関する記載をSOC 2の取得状況にあわせて修正（第15条第5号）。改定の効力発生を、掲示時から、あらかじめ公表した施行日に変更し、遡及適用を行わない旨を明記（第19条）。

v3.0.1（2026年10月6日訂正・2026年11月1日施行）：第3条第1項(1)において、第5条（取得しない情報）に掲げる「認証情報」と同じ語が別の情報（管理画面のアカウント）を指していたため、「ログインIDその他の管理画面のアカウントに関する情報」に改めた。取得する情報の範囲に変更はありません。

v3.0.2（2026年10月6日訂正・2026年11月1日施行）：v3.0の施行前に、文書間の記載の食い違いを訂正。第5条(5)の特定生体個人情報を、改正個人情報保護法の施行後に該当することとなる情報として記載し、施行を待たずに取得しない措置を講じる旨に改めた。第6条の最小化処理の例示から「ファイルパスのハッシュ化」を削除し、第3条第2項（ファイル名・ファイルパスをクラウドへ送信し管理画面に表示する旨）と整合させた。第7条第3項を、要配慮個人情報に該当しない範囲で提供し、該当するおそれがある情報は取得・生成・提供しない旨に改めた。第4条第5項において、拡張機能の無効化後に受領済みのデータの取扱いを明記。第19条第3項に、取得する情報の種類または利用目的を実質的に拡張する改定には利用者との個別の合意を要する旨を追加（利用規約第23条第3項と統一）。

※旧第9条（共同利用）は、現時点において共同利用の実施予定がないため削除しました。将来、当社のグループ会社等との間で共同利用を行う場合は、共同利用する者の範囲（法人名の一覧または確認可能なURL）、共同して利用する個人情報の項目、利用目的および管理責任者を特定したうえで、あらためて本ポリシーに定めます。利用者から委託を受けて取り扱う情報（第2条（B））は、共同利用の対象としません。

以上