1. 適用範囲および基本方針
本書は、Loxia AIが提供するSaaS、関連API、管理画面、運用機能、およびそれらに付随するシステム運用において取り扱うデータ保護に関する情報を示すものです。対象には、利用企業の担当者情報、エンドユーザーの入力内容、会話記録、設定情報、ログデータ、アクセス記録、ならびにサービス提供のために生成・保持される技術情報が含まれます。Loxia AIは、個人データを含むデータ処理を、契約上の目的、法令遵守、セキュリティ確保、障害対応、品質維持の範囲に限定して行います。
データ保護の基本方針は、必要最小限の収集、目的外利用の禁止、保存期間の管理、アクセス管理の徹底、そして情報管理の継続的な見直しです。特に、API経由で送信されるデータや自動化処理の対象となるデータについては、処理の内容、処理者、保存場所、保存期間を明確にし、運用上の責任分界を維持します。これにより、Loxia AIの利用企業は、自社のプライバシー要件や社内統制に沿った形でサービスを導入できます。
2. 取り扱うデータの種類
Loxia AIが取り扱うデータには、利用企業が入力または連携する業務データ、システム生成データ、アクセス関連データが含まれます。業務データには、問い合わせ内容、予約情報、案内文、設定済みの自動応答フロー、管理画面で定義されたルール、APIで送信されたメッセージ本文などが含まれる場合があります。これらは、サービス機能の提供、障害の切り分け、処理結果の記録、再現性の確認に利用されます。
また、ログデータとしては、接続時刻、APIリクエストの識別情報、エラーコード、処理時間、認証結果、管理操作の履歴などが保存されることがあります。これらの情報は、セキュリティ監視、性能分析、不正利用検知、システム運用の監査に使用されます。ログデータには、原則として不要な個人データを含めない設計を採用し、含まれる場合でも、利用目的に照らして必要な範囲に限定します。
3. データ処理の目的と法的根拠
Loxia AIにおけるデータ処理は、主として契約の履行、正当な事業運営、法令上の義務への対応を目的とします。たとえば、利用企業が東京または大阪の店舗運営において自動案内や問い合わせ対応を設定する場合、関連する入力内容を処理しなければ機能を提供できません。同様に、システムの安定稼働を維持するためには、障害発生時のログ解析やアクセス記録の確認が必要となります。
個人データを含む処理については、利用企業が適法な権限を有することを前提とし、Loxia AIは受託者または処理者としての役割に応じて処理を行います。GDPR、CCPAをはじめとする適用法令が問題となる場合には、必要に応じてデータ主体の権利、越境移転、保存制限、委託契約上の管理義務が考慮されます。Loxia AIは、法令上必要な範囲を超えてデータを利用しません。
4. データ保存、保存期間、および削除
データ保存は、利用目的に応じて必要な期間に限定されます。たとえば、管理者が確認可能な設定情報や運用ログは、障害対応、監査、セキュリティ調査の必要性を踏まえて保存される場合がありますが、恒久的に保持されるものではありません。保存期間は、契約条件、技術上の必要性、法令上の保存義務、ならびに利用企業からの指示により決定されます。
保存終了後は、合理的な手段により削除または匿名化されます。ただし、バックアップ、監査証跡、法的保全義務の対象となる情報は、別途管理されることがあります。削除処理を行う場合でも、システム運用上の整合性を確保するため、即時性と完全性の両立を前提に段階的な反映が行われることがあります。保存と削除の管理は、情報管理上の重要事項として定期的に見直されます。
5. データ共有および第三者提供
Loxia AIは、サービス提供に必要な範囲でのみデータ共有を行います。共有の対象には、インフラ提供事業者、監視サービス、保守支援先、ならびに契約上必要なサブプロセッサが含まれる場合があります。これらの第三者は、Loxia AIの指示および契約条件に従って処理を行い、目的外利用を行うことはできません。
第三者提供については、法令上求められる場合、または利用企業の明示的な指示がある場合を除き、個人データを外部に提供しません。特に、企業グループ内の複数部門や、サプライチェーン上の関係者との情報連携においては、必要な項目のみを共有し、アクセス範囲を限定します。データ共有に伴うリスクは、契約、暗号化、監査、アクセス管理により低減されます。
6. セキュリティおよびアクセス管理
Loxia AIは、データ保護の中核として、技術的および組織的なセキュリティ対策を採用します。通信時の保護、保存時の保護、認証、権限分離、監査ログ、異常検知などを組み合わせ、意図しない閲覧、改ざん、漏えい、消失の防止に努めます。これらの対策は、単独で機能するものではなく、システム運用全体の設計として維持されます。
アクセス管理では、最小権限の原則に基づき、管理者、運用担当者、保守担当者ごとに必要な権限のみを付与します。多要素認証、セッション管理、権限変更の記録、管理操作の監査などが適用されることがあります。日本企業の情報管理において重視される承認手続きや職務分掌にも配慮し、社内統制と整合する形で運用可能な構成を維持します。
7. API、統合機能、および自動化に関する留意点
APIを利用したデータ連携では、送信先、送信内容、応答内容、再送条件、エラー処理が明確である必要があります。Loxia AIでは、API経由で送信されたデータが自動化処理に利用される場合、その処理が事前に定義された条件に従って実行されるよう設計されます。したがって、利用企業は、接続先システムにどのデータが送られ、どの項目が保存されるかを確認する必要があります。
自動化処理は業務効率の向上に資する一方で、誤設定による過剰収集や不要な連携を招くおそれがあります。そのため、Loxia AIでは、設定値の検証、変更履歴の保持、テスト環境での確認、運用開始後の監視を重視します。金融、医療、自動車、電子機器関連のB2B業務のように、取扱い方針の厳格性が求められる領域では、送信範囲と保存範囲をより厳密に管理することが望まれます。
8. 利用企業の責任と協力事項
Loxia AIはデータ処理の技術基盤を提供しますが、利用企業は、自社の業務目的に照らして適法にデータを収集し、必要な告知、同意、社内規程、委託管理を行う責任を負います。特に個人データを取り扱う場合、データ主体への説明責任、問い合わせ対応、保存義務の管理、削除要求への対応は、利用企業の方針と法令に基づいて整理される必要があります。
また、利用企業は、管理画面の権限設定、APIキーの保全、利用者アカウントの管理、不要アカウントの停止を適切に行う必要があります。セキュリティ事故の多くは、技術的脆弱性だけでなく、認証情報の共有、権限過多、設定変更の未監視によって発生します。Loxia AIは、これらのリスクを低減するための機能と運用情報を提供しますが、最終的な運用責任は各利用企業の統制下で確保されるべきです。
9. 継続的な見直しと問い合わせ
データ保護に関する取扱い方針は、法令改正、サービス変更、インフラ更新、セキュリティ要件の変化に応じて見直されます。Loxia AIでは、システム運用の実態に即して、保存期間、共有先、権限設計、ログの粒度、バックアップ方針を定期的に確認し、必要に応じて更新します。これにより、実装上の慣行と文書上の規程に乖離が生じないよう管理します。
利用企業または関係者からデータ保護に関する照会がある場合、当該照会が契約、法令、技術仕様のいずれに関するものかを確認したうえで対応します。確認対象には、個人データの有無、データ処理の範囲、データ保存の方法、データ共有の有無、セキュリティ管理、アクセス管理の状況が含まれます。必要に応じて、関連する契約文書、API仕様、運用記録、ログデータの管理方針を参照して説明が行われます。