プライバシーポリシー

当社について#

Lockpick は、Ontario, Canadaを拠点とするdatascience2go Inc.が運営しています。当社は、本ポリシーで説明する個人データに責任を負います。データ保護法で用いられる場合、当社はその管理者（controller）です。

本ポリシーは、Lockpick の Web サイト、Web アプリ、および当社が提供する API、エージェント、またはコマンドラインからのアクセスに適用されます。お客様が評価を依頼するサイトは対象外であり、それらのサイトにはそれぞれのポリシーがあります。

収集する情報#

当社は主にお客様から、およびお客様が選択したサインインプロバイダーから、以下の情報を収集します。

• アカウント情報。お名前、メールアドレス、パスワード、または Google や GitHub でサインインした際にそれらが共有する基本プロフィール。
• ワークスペースとチームの情報。ワークスペース名、メンバー、役割、招待。
• サイトと所有権の証明。お客様が追加するサイトと、その管理権を証明するために公開する DNS レコードまたはファイル。
• レポートと送信された資料。評価結果、機密情報を伏せた証拠、選択してアップロードしたファイルです。アーカイブは以下の説明に従って処理のため一時保存します。
• オンボーディングの回答と同意の記録。Lockpick を設定する際にお客様が伝える内容、および利用規約への同意や製品メールの受信を選択した記録。
• 利用および請求の記録。お客様が使用する機能、開始するスキャン、参加するウェイティングリスト、アカウントに紐付けた Early AI-dopters メンバーシップ（そのアカウント ID、メールアドレス、プラン）、お客様のプランと購入履歴。カード情報は当社ではなく、販売代理店である Polar に送信されます。
• セキュリティと監査のログ。サインインのイベント、IP アドレス、ブラウザの情報、重要な操作の記録。アカウントと Lockpick の安全性を保つために使用します。
• サポートメール。お客様が当社に送信したメッセージと、当社の返信。
• Ask Lockpick への質問。質問と会話の直近のメッセージは Google（Gemini）に送られ、Gemini が当社のヘルプページをもとに回答します。回答マッチングが有効な場合は TypeSafe（Jev）にも送られ、レビュー済みの回答を探します。サインインした状態でご自身のアカウントについて質問した場合、どのサイトのことかを判断するため、TypeSafe がお客様のサイトの名前とアドレスを参照することもあります。回答マッチングが有効な間は、回答の方法や高評価・低評価など、各回答の記録を 30 日間保管しますが、質問の本文は保管しません。質問にはパスワード、キー、個人情報を含めないでください。

各評価が収集する情報#

ウェブサイトのスキャンでは、指定サイトの公開ページ、応答ヘッダー、スクリプト、DNS、証明書ログ、ドメイン登録情報を読みます。個人情報が含まれる場合があります。レポートの証拠は機密情報を伏せて保存します。

Pulseとホスト型Deepのウェブサイトスキャンは、ログインやフォーム送信、訪問者の利用状況収集を行いません。非公開のソースリポジトリへのアクセスは不要です。

ドメインを確認するために、crt.sh などの公開データソース、Google Public DNS などの公開 DNS リゾルバ、RDAP の登録情報サービスに問い合わせます。これらが受け取るのは確認対象のドメインのみで、お客様のアカウント情報は一切渡しません。

アカウントなしのクイックチェックも同じように動作します。結果を表示できるよう、サイトのアドレスと結果を保存します。

アーカイブは当社のサーバーに送信されます。AIレビューが設定されている場合、選択したファイルのテキストとパスを機密情報の除去後にAnthropicへ送信します。処理完了時に生のアップロードデータを削除しますが、一時停止中の完全レビューでは再開のため保持します。完了または失敗した評価は30日後に失効します。 自動処理ですべての機密情報を除去できるとは限りません。認証情報や無関係な個人情報はアップロードしないでください。依存関係のチェックではパッケージ名とバージョンをOSVへ送信する場合があります。

ソースファイルとレポートはお使いのマシンに残ります。Lockpickはスキャンを許可するためにプロジェクト、要求されたチェック、スキャナーのバージョンを受信し、許可を記録します。結果をAIアシスタントと共有した場合、その提供元は共有した内容を受信します。

Monitorは送信されたパッケージ名とバージョンを保存します。接続したリポジトリからは、リポジトリとコミットの情報、選択されたマニフェストとロックファイルも取得します。公開リポジトリとスキルのチェックでは選択したコードを読み、AIレビューで機密情報を伏せた抜粋をAnthropicへ送信する場合があります。

接続されたアプリとエージェント#

Claude や Lockpick のコマンドラインなど、アプリやエージェントを Lockpick に接続した場合、以下の情報も収集します。

• 接続の記録。接続が属するアカウントとワークスペース、アプリの識別情報と戻り先アドレス、許可した権限、接続の作成・使用・取り消しの日時。アクセス資格情報はハッシュ化した形でのみ保存します。
• リクエストと結果。各リクエストで送られた内容（サイトのアドレス、サイト ID、診断 ID など）と、返した内容。上記の利用・セキュリティ・監査の記録と同様に、Lockpick の他の利用と同じように保存します。
• 操作。接続を通じて追加されたサイト、開始された診断、与えられた承認は、ウェブアプリでの操作と同様にお客様のアカウントに記録されます。

接続を通じて会話履歴を取得することはありません。アプリから送られるのはリクエストに必要な情報のみです。そのため、パスワード、キー、無関係な個人情報は含めないでください。

診断結果、マスキング済みの証拠、確認範囲、ステータス、修正のガイダンスをアプリに返します。Claude の場合は Anthropic など、アプリの提供者が、アプリを通過するデータを自社の利用規約とプライバシーポリシーに基づいて扱います。

接続を取り消すと、ただちに接続が停止します。過去の診断や上記の記録は削除されません。これらは保持の項に記載の期間まで保存します。

個人データの利用目的#

• Lockpick を提供するため。依頼された診断の実行、レポートの表示、ワークスペースの管理を含みます。
• サイトを検査する許可があることを確認し、利用上限を適用し、不正利用を防ぐため。サイト所有者が許可していない診断の報告の調査を含みます。
• アカウントと Lockpick のセキュリティを確保するため。
• サインイン、認証、招待、レポートのメールなどのサービスメールを送るため。受信に同意した場合は製品のメールも送ります。
• サポートの問い合わせに対応するため。
• Lockpick の利用状況を把握し、改善するため。
• プランと請求を処理するため。
• 法的義務を果たし、当社の権利を守るため。

個人データを販売することはなく、お客様のレポートを AI モデルの学習に使用することもありません。

EU および英国のユーザーに対する法的根拠#

GDPR または英国 GDPR が適用される場合、以下の法的根拠に基づいて処理します。

• 契約。利用規約に基づいて Lockpick を提供するため。
• 正当な利益。Lockpick の安全確保、不正利用の防止、サイトを検査する許可の確認、製品の改善のため。これらの利益はお客様の権利と比較衡量します。
• 同意。製品のメールのため、および同意が必要な場合の任意の分析のため。同意はいつでも撤回できます。
• 法的義務。法律によりデータの保存または開示が求められる場合。

Cookie と分析#

サインイン状態を保つために Cookie を使用します。Lockpick は Cookie なしでは動作しません。言語などの設定を選んだ場合、その設定も Cookie に保存することがあります。Cookie に関する選択も保存します。任意の Cookie に同意したうえで招待リンクから来た場合は、招待した人に特典が付くよう、その招待を 30 日間記憶します。広告用の Cookie は使用しません。

製品の分析は任意で、設定しない限り無効です。PostHog を使用して、ページや機能がどのように使われているかを集計します。有効にした場合は、クリックやスクロールなどのページ操作を再生することもあります。再生では匿名のメモリ内セッション ID を使い、ページのテキスト、入力欄、顧客の属性をマスクします。画像、コンソールログ、ネットワークのペイロードは除外します。ページのアドレスはルートのパターンに縮約します。使い勝手の問題を見つけるため、マスク済みのセッションリプレイとエラーレポートを Google（Gemini）と Anthropic（Claude）の AI モデルで確認することがあります。リプレイは上記のとおりマスクされた状態で渡されます。エラーレポートには固定の診断メッセージ、コードの位置、リクエストの技術情報を使用し、内部のアカウントIDやワークスペースIDが含まれる場合があります。例外メッセージの原文、パスワード、キー、トークンは削除されます。 分析とリプレイは Cookie バナーで同意した後にだけ動作し、「Cookie 設定」で選択を変えるとすぐに停止します。分析用の Cookie や永続的なブラウザストレージは書き込まず、Do Not Track と Global Privacy Control は拒否として扱います。

データを共有する相手#

個人データは、このポリシーに記載された範囲でのみ共有します。

• Lockpick の一部を当社に代わって運用するサービス事業者。データの利用を制限する契約を結んでいます。これには、ホスティング（Railway）、メール配信（Resend）、サインイン（利用する場合は Google と GitHub）、製品の分析（有効な場合は PostHog）、決済（有料プランを購入した場合は、販売代理店である Polar）が含まれます。また、AI 事業者である Google（Gemini）と Anthropic（Claude）も含まれます。これらのモデルはマスク済みのセッションリプレイとエラーレポートを確認し、当社が Lockpick の問題を見つけて修正するのに役立ちます。Ask Lockpick への質問は、上記のとおり Google（Gemini）に送られ、回答マッチングが有効な場合は TypeSafe（Jev）にも送られます。 Anthropicは、設定されたZIP、リポジトリ、スキルのAIレビューで機密情報を伏せたコード抜粋も処理します。OSVは依存関係のチェックにパッケージ名とバージョンを受信します。
• 公開データソース。上記のとおり、確認対象のドメインのみを受け取ります。
• ワークスペース内のメンバー（役割に応じて、そのサイトやレポートを閲覧できる人）。
• レポートのリンクを共有した相手。
• サイト所有者、当局、その他の関係者（悪用や被害を防ぐために必要だと判断した場合。例：サイト所有者が、許可していない診断について報告した場合）。
• 法律で義務付けられている場合の当局やその他の関係者。
• 合併、買収、または事業資産の売却が行われる場合の買い手または承継者（本ポリシーの定めに従います）。

個人データを販売したり、ターゲティング広告のために共有したりすることはありません。

データの保存場所#

当社のサーバーは米国にあります。米国外にお住まいの場合、データは米国に移転され、当社のサービスプロバイダーは他の国でデータを処理する場合があります。法律で求められる場合は、標準契約条項などの適切な保護措置をこれらの移転に用います。

データの保存期間#

• アカウントデータ：アカウントが有効な間、およびアカウント終了後も、問い合わせ、紛争、法的義務に対応するために合理的な期間。
• ウェブサイトのレポートは、適用される保持義務に従い、削除依頼またはアカウント閉鎖まで保持します。クイックチェックは標準で7日後に失効します。生のZIPデータは処理完了時に削除します。一時停止中の完全レビューでは、削除されるまで再開用に保持します。完了または失敗したZIP評価は30日後に削除します。
• セキュリティおよび監査ログ：限られた期間。
• 請求記録：税務および会計法で義務付けられている期間。
• 接続記録：接続が有効な間、およびその後はセキュリティおよび監査ログの一部として。

削除したデータは、バックアップが置き換えられるまで短期間バックアップに残る場合があります。

セキュリティ#

個人データを保護するため、暗号化された通信、アクセス制御、顧客データを閲覧できる者の制限など、合理的な技術的および組織的措置を講じています。完全に安全なシステムはありません。個人データに影響する漏えいが発生した場合は、法律で求められる場合に、お客様と当局に通知します。

お客様の選択と権利#

お客様は、個人データへのアクセス、訂正、削除、エクスポートを求めることができ、与えた同意はいつでも撤回できます。support@lockpick.appまでご連絡ください。まず本人確認が必要な場合があります。回答は法律で定められた期限内に行います。

• カナダ：PIPEDAおよび州のプライバシー法に基づき、個人データへのアクセスと訂正を求めることができ、カナダプライバシーコミッショナー事務所に苦情を申し立てることができます。
• EUおよび英国：GDPRおよび英国GDPRに基づき、一部の処理に異議を唱えたり、制限を求めたりすることもできます。お住まいの地域のデータ保護当局に、英国の場合は情報コミッショナー事務所（ICO）に苦情を申し立てることができます。
• 米国：お住まいの州によっては、当社が保有するご自身の個人データを知る権利、訂正または削除を求める権利、コピーを受け取る権利、販売またはターゲティング広告への利用をオプトアウトする権利があります。当社は個人データを販売したり、ターゲティング広告に利用したりしていません。認定代理人を利用することができ、権利を行使したことを理由に不利益な扱いをすることはありません。

児童について#

Lockpickは事業者および専門家のためのサービスです。18歳未満の方を対象としておらず、子どもの個人データを故意に収集することはありません。子どもが当社に個人データを提供したと思われる場合は、ご連絡ください。削除いたします。

本ポリシーの変更#

本ポリシーを更新する場合があります。このページ上部の施行日とバージョンで、適用されるバージョンを確認できます。変更がお客様に重大な影響を与える場合は、施行前にメールまたはLockpick内でお知らせします。

連絡先#

プライバシーに関するご質問やご請求は、support@lockpick.appまでご連絡ください。

Lockpickはdatascience2go Inc.（Ontario, Canada）が運営しています。