プライバシーポリシー
Busabase Cloud における個人情報、ワークスペースのレコード、ファイルの収集・利用・保護について。
発効日: 2026年8月12日
最終更新: 2026年11月3日
本プライバシーポリシーは、AI Organizer Company（以下「Busabase」「当社」）が、お客様による Busabase Cloud（ワークスペース、ベースとレコード、レビュー受信箱、ファイルストレージ、ホスト API、接続された AI エージェントを含み、以下「本サービス」）のご利用に際して、情報をどのように収集・利用・共有するかを説明するものです。本サービスをご利用いただくことで、本ポリシーに従った情報の収集および利用に同意したものとみなされます。
本ポリシーで用いる主な用語:
- ユーザーアカウント — 個人のログイン identity（メールアドレス + 認証情報）。1 つのユーザーアカウントで複数のスペースに所属できます。
- スペース — 課金および組織の単位となるワークスペース実体。ベース、レコード、ファイル、メンバー、シートを保持します。サブスクリプションは個々のユーザーアカウントではなく、スペース単位・シート単位で購入されます。
- 変更リクエスト — エージェント、連携機能、または人が提出した変更の提案。提出に用いた資格情報の権限レベルに応じて、直ちに適用されるか、人によるレビューで承認されるまでレビュー待ちとして保留されます。
1. 収集する情報
1.1 お客様が提供する情報
- アカウント情報: アカウント作成時に、氏名、メールアドレス、パスワード（ソルト付きハッシュとしてのみ保存）を収集します。
- スペース情報: スペースの作成・参加時に、スペース名、オーナー情報、メンバー一覧、ロール、シート割り当てを収集します。
- 支払い情報: 有料プランの購入時、支払い情報は当社の merchant of record である Creem（Armitage Labs OÜ）が収集・処理します。当社がカード番号の全体を受領・保存することはありません。 Creem から返却されるサブスクリプション状態、プラン、シート数、注文 ID、請求メタデータのみを保存します。
- プロフィール情報: アバター、表示名、ワークスペース設定など、お客様が任意で提供する情報。
- お問い合わせ内容: サポートへの連絡、デモ申込、営業問い合わせ、ウェイトリスト登録の際に入力された内容と連絡先。
1.2 ワークスペースのコンテンツ
- レコードとベース: お客様とエージェントが作成する構造化データ（テーブル、フィールド、レコード、ビュー、およびその値）。
- 変更リクエストとレビュー履歴: 変更提案とその差分、レビューコメント、承認・却下の判断、判断を行ったレビュー担当者と時刻。このレビュー履歴は製品の中核であり、スペースが存在する限り保持されます。
- ファイルと添付: アップロード、レコードへの添付、スペースのドライブに保存されたファイル。
- メタデータ: ファイル名、サイズ、種類、フォルダ・ノード構造、ビュー設定、アクセス権限。
- エージェントとのやり取り: プロンプト、指示、ツール呼び出し、生成物、スキル関連の内容。
1.3 自動的に収集される情報
- 利用データ: 利用した機能、アクセスしたレコードやファイル、実行したレビュー操作など。
- デバイス情報: デバイス種別、OS、ブラウザ種別、アプリバージョン。
- ログデータ: IP アドレス、アクセス時刻、API 呼び出し、Webhook 配信、リファラー URL を含むサーバーログ。
- Cookie および類似技術: 認証、セッション管理、言語設定、プロダクト分析のほか、分析と同じ選択のもとで、どの広告がサインアップにつながったかの測定に利用します。第 11 節をご覧ください。
- サインアップの獲得チャネル: ファーストパーティ Cookie が最初にどこから来たかを記憶します（Cookie ポリシーをご覧ください）。獲得状況を把握するため、チャネルのラベルと上記の情報を新しいアカウントに保存します。完全な参照元 URL やクエリ文字列は保存せず、計測情報がなくてもサインアップできます。
1.4 第三者から取得する情報
- OAuth プロバイダー: Google または GitHub でサインインした場合、基本的なプロフィール情報（氏名、メールアドレス、アバター）を受領します。
- 課金プロバイダー: Creem からスペースのサブスクリプション、請求、支払い状況のイベントを受領します。
- セルフホスト接続: セルフホスト版またはデスクトップ版の Busabase を Busabase Cloud に接続した場合、接続メタデータおよび同期対象として設定されたデータを受領します。
2. 情報の利用目的
- 本サービスの提供: ベース、レコード、ファイル、ビューの保存と提供、変更リクエストの適切なレビュー担当者への振り分け、監査履歴の維持、権限設定の適用。
- AI 処理: 提出されたリクエスト、レコード、ファイルを、レビュー支援、抽出、検索、自動化の各機能を提供するために必要な AI モデルまたはエージェントランタイムへ送信すること。
- 課金: スペースに適用されるプラン、シート数、クォータの判定と、merchant of record との消込。
- サービスの改善: 利用状況の分析、問題の調査、新機能の開発。お客様のワークスペースの内容を、第三者の基盤モデルの汎用的な学習に利用することはありません。
- 連絡: レビュー通知、招待、クォータ警告、セキュリティ通知、請求書などのトランザクションメールの送信、および同意に基づく製品アップデートの送信。
- セキュリティの確保: 不正、濫用、不正アクセス、セキュリティインシデントの検知・防止・対応。
- 法令遵守: 法的要件への対応、適法な請求への応答、当社の権利の保護。
3. 情報の共有
当社はお客様の個人情報やワークスペースの内容を販売しません。共有は以下の場合に限られます。
3.1 サービスプロバイダー
- 決済および merchant of record: Creem（Armitage Labs OÜ）、Telliskivi tn 57b/1, Tallinn, Estonia。Creem は Busabase Cloud のサブスクリプションの販売主体として、チェックアウト、請求、税務、返金を担当します。
- AI モデルおよびエージェント基盤: Busabase で利用可能なモデルを提供するプロバイダーやゲートウェイ、サンドボックス化されたエージェントランタイム。
- オブジェクトストレージと配信: アップロード、添付、ダウンロード、アプリバンドルに用いる S3 互換ストレージおよび CDN。
- メール配信: Resend、Postmark、SendGrid、AWS SES などのトランザクションメールプロバイダー。
- ホスティング、ログ、運用基盤: 本サービスの運用に用いるクラウド、データベース、キャッシュ、検索、監視、セキュリティの各プロバイダー。
すべてのサービスプロバイダーは、契約上データを保護し、当社が指定した目的にのみ利用する義務を負います。
3.1.1 名称を公開している副処理者
| プロバイダー | 役割 |
|---|---|
| Amazon Web Services | アプリケーションのホスティング、データベース（RDS）、キャッシュ（ElastiCache）、コンテンツ配信（CloudFront）、メール配信（Amazon SES） |
| Cloudflare | DNS とファイルストレージ（R2） |
| Creem（Armitage Labs OÜ） | 決済、請求書発行、税務、返金 |
| Google Analytics（Google LLC） | プロダクト分析（Cookie ポリシーの対象） |
| Microsoft Clarity（Microsoft Corporation） | プロダクト分析（Cookie ポリシーの対象） |
| Google 広告（Google LLC） | Google 広告のサインアップコンバージョン計測（Cookie ポリシーの対象）。他の非必須タグと同じ Cookie の選択がある場合にのみ読み込みます。 |
| Reddit（Reddit, Inc.） | Reddit 広告のサインアップコンバージョン計測（Cookie ポリシーの対象）。他の非必須タグと同じ Cookie の選択がある場合にのみ読み込みます。 |
| X（X Corp.） | X 広告のサインアップコンバージョン計測（Cookie ポリシーの対象）。他の非必須タグと同じ Cookie の選択がある場合にのみ読み込みます。 |
| Meta（Meta Platforms, Inc.）、有効な場合 | Facebook・Instagram 広告のサインアップコンバージョン計測（Cookie ポリシーの対象）。他の非必須タグと同じ Cookie の選択がある場合にのみ読み込みます。 |
| Sandock | AirApp のサンドボックス実行環境 |
| Microsoft Azure OpenAI および OpenAI | Busabase 側で動く AI 機能（Ask AI など）。当社のゲートウェイを経由します |
| Google Vertex AI | 画像生成 |
ご自身で接続するエージェントはこの一覧に含まれません（そのプロバイダーはお客様が選択します）。プロバイダーやこの一覧の変更についてのお問い合わせは support@busabase.com までご連絡ください。
3.2 ワークスペースでの共同作業
スペースにメンバーを招待したり、共有リンクを作成したり、ビューを公開したりすると、設定した権限に従って該当するレコードとファイルが対象ユーザーに提供されます。公開共有リンクは、リンク（および設定した場合はパスワード）を持つ誰もがアクセスできます。
3.3 送信 Webhook と連携
送信 Webhook、MCP 接続、API キー、第三者連携を設定した場合、設定内容に従ってデータが送信されます。何をどこへ送るかはお客様が制御します。
3.4 法令上の要請
法令、召喚状その他の法的手続きにより要求される場合、または適用法の遵守、Busabase・利用者・第三者の権利、財産、安全の保護、利用規約の執行のために必要と判断する場合、情報を開示することがあります。
3.5 事業譲渡
合併、買収、資産譲渡に関与する場合、お客様の情報が取引の一部として移転されることがあります。異なるプライバシーポリシーの適用対象となる前に通知します。
3.6 お客様の同意に基づく場合
明示的な同意をいただいた場合、第三者と情報を共有することがあります。
4. 当社の立場: 管理者と処理者
Busabase Cloud は 2 種類の個人データを扱っており、それぞれで当社の法的立場が異なります。GDPR、UK GDPR、または類似の法令の適用を受ける場合、この区別は重要です。
- アカウントおよび請求データ — 氏名、メールアドレス、認証情報、スペースのメンバー情報、サブスクリプションと請求の記録、当社が生成するサーバーログ。これらについて当社が管理者（controller）であり、処理の目的と方法を当社が決定します。
- ワークスペースの内容 — スペース内のレコード、ファイル、変更リクエスト、レビュー履歴。お客様やエージェントがそこに入力した第三者の個人データ（たとえば CRM ベース内の顧客氏名）を含みます。これらについてお客様が管理者であり、当社はお客様の処理者（processor）です。当社は文書化された指示（本サービスおよび本ポリシーを通じてお客様が与える指示）にのみ従って処理します。
処理者として当社は、ワークスペースの内容を本サービスの提供とお客様の指示の範囲でのみ処理し、アクセス権を持つ担当者に守秘義務を課し、第 5 節の安全対策を適用し、第 3.1 節の条件下でのみ副処理者を起用し、データ主体からの請求やセキュリティ通知について合理的に実行可能な範囲で支援し、終了時には第 4a 節に従ってワークスペースの内容を削除または返却します。
副処理者一覧および標準契約条項を含む、署名済みのデータ処理契約（DPA）が必要な場合は support@busabase.com までご連絡ください。
ワークスペースの内容の管理者であるお客様は、第三者の個人データをスペースに入れる適法な根拠を有すること、および当該個人にその利用方法を伝えることについて責任を負います。
4a. データの保持
アカウントとスペースが有効である間、または本サービスの提供に必要な間、個人情報とワークスペースの内容を保持します。
以下の表は当社が運用上目指している保持目標です。通常運用で目指す期間を示すものであり、保証された上限ではありません。インシデント、リーガルホールド、プロバイダー側のバックアップ周期、より長い保存を求める法令などにより、個々の期間が延びることがあります。特定のデータ区分について拘束力のある確約が必要な場合は support@busabase.com までご連絡ください。確約できる範囲を書面でご回答します。
| データ | 削除またはアカウント終了後の保持目標 |
|---|---|
| レコード、ファイル、ワークスペースの内容 | 稼働中のサービスから即時削除。主ストレージからは通常 30 日以内に消去 |
| 削除済み内容を含む暗号化バックアップ | 通常 35 日以内にローテーションで消滅 |
| アカウントのプロフィールと認証情報 | アカウント終了から通常 30 日以内に削除または匿名化 |
| セキュリティおよびアクセスログ | 目標 12 か月 |
| 請求書・税務記録 | 税法の要求に従い、7 年以上 |
スペースに紐づく承認履歴と監査エントリは、そのスペースが存在する限り保持されます。これらこそが、そのスペースのレコードを検証可能にしているためです。スペースを削除すると、上表の期間に従って削除されます。
当社が処理者として行動する場合、終了時には上表に従ってワークスペースの内容を削除または返却します。ただし、お客様から書面で別段の指示がある場合、または法令上保持が必要な場合を除きます。
5. データセキュリティ
通信の暗号化（TLS）、認証情報のハッシュ化、スコープ付き API キー、ロールベースのアクセス制御、レコード・ファイルへのリクエストごとの権限チェック、運用ログと監視など、管理的・技術的・組織的な安全対策を実施しています。
ただし、インターネット上の伝送方法に 100% 安全なものは存在せず、絶対的な安全性を保証することはできません。
5.1 侵害の通知
お客様の情報に影響する個人データ侵害を認識した場合、GDPR の要求に従い、認識後不当な遅滞なく、実行可能な場合は 72 時間以内に、関係する監督機関へ通知します。当該侵害がお客様の権利および自由に高いリスクをもたらす可能性が高い場合には、何が起きたか、どのデータが関係したか、当社が講じている対応、お客様が取り得る措置を示して、不当な遅滞なく直接ご連絡します。
当社が処理者として行動する場合、お客様のワークスペースの内容に影響する侵害を認識した後、お客様ご自身の通知期限に間に合うよう、不当な遅滞なくお客様へ通知します。
5.2 セルフホストとデスクトップ
オープンソースのデスクトップ版またはセルフホスト版の Busabase を運用される場合、その端末・サーバー上のデータはお客様の管理下にあり、その環境の安全確保はお客様の責任となります。
6. お客様の権利と選択
お住まいの地域に応じて、以下の権利が認められる場合があります。
6.1 アクセスとポータビリティ
本サービス上でレコードとファイルにアクセスでき、エクスポート機能、バックアップ機能、ホスト API を用いてワークスペースのデータを書き出せます。
6.2 訂正
アカウント設定から情報を更新・訂正できます。当社への連絡による訂正も可能です。
6.3 削除
個々のレコード、ファイル、スペース、またはアカウント全体を削除できます。法令上の保持義務がある場合を除き、データを削除します。
6.4 オプトアウト
- マーケティングメール: 各メール内の配信停止リンクから解除できます。アカウントが有効な間、運用に必要なトランザクションメールは停止できません。
- AI 処理: スペースにエージェントを接続しない選択ができ、API キーや連携はいつでも失効させられます。
- Cookie: ブラウザ設定、またはサイトフッターの Cookie 設定 から管理できます。
6.5 異議申立てと処理の制限
正当な利益を根拠として処理を行っている場合、特定の処理に異議を申し立て、または制限を求めることができます。
これらの権利の行使は support@busabase.com までご連絡ください。
7. AI と機械学習
7.1 AI の利用方法
Busabase は、エージェントがデータへの変更を提案できるように AI を利用します。機能とスペースの設定に応じて、リクエストは Busabase が管理するエージェントランタイム内、または第三者のモデルプロバイダーや互換ゲートウェイで処理され、プロンプト、レコード、ファイル、過去のレビュー判断などのワークスペース文脈が用いられます。
7.2 AI の学習
お客様のレコード、ファイル、レビュー履歴を、第三者の基盤モデルの汎用的な学習に利用することはありません。Busabase 自体の改善のために、集計済みまたは非識別化された運用データを利用する場合があります。
7.3 信頼する前にレビューを
Busabase は、AI の出力が変更リクエストとして届き、何がどう変わるか、誰がいつ提案したかが記録されるよう設計されています。その変更が直ちに適用されるか、レビュー待ちとして保留されるかは、提出に用いた資格情報の権限レベルによって決まり、この設定はお客様が管理します。それでも AI の出力は不完全・不正確・古い・偏っている可能性があります。レビューを設けたい箇所での設定、承認前のレビュー、および法務・財務・雇用・セキュリティ・コンプライアンスなど影響の大きい判断に用いる内容の検証は、引き続きお客様の責任です。
7.4 モデルの提供状況
リクエストに使用される具体的なモデル、プロバイダー、処理経路は、選択したモデル、プラン、機能要件、可用性、安全管理、インフラ構成により変わることがあります。
8. 国際的なデータ移転
Busabase Cloud は米国から運営され、サービスプロバイダーは複数の国で稼働しています。お客様の情報は居住国以外の国に移転・処理される場合があります。必要な場合、当局が承認した標準契約条項などの適切な保護措置に依拠します。
9. 児童のプライバシー
本サービスは 16 歳未満の児童を対象としていません。16 歳未満の児童から意図的に個人情報を収集することはありません。収集が判明した場合は速やかに削除します。
10. 第三者リンクと連携
本サービスには第三者サイトへのリンクや第三者サービスとの連携が含まれる場合があります。当社はそれら第三者のプライバシー慣行について責任を負いません。各社のプライバシーポリシーをご確認ください。
11. Cookie とトラッキング技術
11.1 利用する Cookie の種類
| 種類 | 目的 |
|---|---|
| 必須 | 本サービスの動作に必要（認証、セッション管理、CSRF 対策、セキュリティ） |
| 設定 | 言語、テーマ、ワークスペース設定の記憶 |
| 分析 | 集計ベースでの利用状況の把握 |
| 広告 | 広告パートナーが設定し、どの広告がサインアップにつながったかを測定。分析と同じ選択に従います |
11.2 Cookie の管理
ブラウザ設定から制御できます。分析 Cookie と広告 Cookie はサイトフッターの Cookie 設定 からも制御できます。必須 Cookie を無効にするとサインインできません。
個々の Cookie の一覧、保持期間、利用している分析・広告プロバイダー、オプトアウトの方法については Cookie ポリシーをご覧ください。
12. カリフォルニア州のプライバシー権（CCPA）
カリフォルニア州の居住者には、カリフォルニア州消費者プライバシー法に基づく以下の権利があります。
- 収集・利用・開示される個人情報を知る権利
- 個人情報の削除を請求する権利
- 個人情報の販売をオプトアウトする権利（当社は個人情報を販売していません）
- 権利行使による差別を受けない権利
13. 欧州のプライバシー権（GDPR）
欧州経済領域または英国にお住まいの場合、GDPR および UK GDPR に基づく権利があります。
- 法的根拠: 契約の履行（本サービスの提供）、同意（マーケティング）、法的義務（税務・会計）、正当な利益（セキュリティ、濫用防止、製品改善）。
- 管理者と処理者: アカウント・請求・ログデータについては AI Organizer Company が管理者、スペース内の内容についてはお客様の処理者として行動します。具体的な内容は第 4 節をご覧ください。署名済みのデータ処理契約（DPA）が必要な場合は support@busabase.com までご連絡ください。
- 国際移転: EEA および英国からの移転については標準契約条項に依拠します。副処理者は第 3.1.1 節に記載しています。
- 監督機関: お住まいの国のデータ保護機関に苦情を申し立てる権利があります。
- EU/英国代理人: GDPR 第 27 条に基づく EU・英国の代理人は現時点では選任していません。選任までの間、GDPR に関するご請求は support@busabase.com へ直接お送りください。法定期限内に対応します。
14. 本ポリシーの変更
本プライバシーポリシーは随時更新されることがあります。重要な変更がある場合は、本ページに新しいポリシーを掲載し「最終更新」日を更新します。重大な変更については、メールでもお知らせすることがあります。
15. お問い合わせ
カスタマーサポート: support@busabase.com
データ保護および GDPR/CCPA に関する請求: support@busabase.com
セキュリティに関する報告: support@busabase.com
運営会社: AI Organizer Company
登記住所: 8 The Green, STE R, Dover, DE 19901, USA
請求と返金: merchant of record である Creem（Armitage Labs OÜ、Telliskivi tn 57b/1, Tallinn, Estonia）が処理します。まずは support@busabase.com までご連絡ください。
Busabase Cloud をご利用いただくことで、本プライバシーポリシーを読み、理解したものとみなされます。