プライバシーポリシー

制定日：2026年12月1日

Alpha-War合同会社（以下「当社」）は、idcc.centerおよびIDCCトレーニングプラットフォーム（以下あわせて「本サービス」）における個人情報の取扱いについて、以下のとおりプライバシーポリシーを定めます。本ポリシーは、個人情報の保護に関する法律（以下「個人情報保護法」）、EUおよび英国の一般データ保護規則（GDPR）、ならびにカリフォルニア州消費者プライバシー法（CPRAによる改正後のCCPA）に対応しています。日本語版と英語版に相違がある場合は、日本語版が優先します。

概要

当社は、アカウント、受講、請求の運営に必要な情報のみを取得します。個人情報の販売や広告目的での共有は行わず、広告・アクセス解析用のトラッカーも使用しません。
データはAmazon Web Servicesの東京リージョンに保存します。決済はSquareが行い、当社がカード番号を見たり保存したりすることはありません。
ご自身の情報の開示、訂正、データの受け取り、削除、一部の利用の停止を請求できます。お問い合わせ先：privacy@idcc.center

1. 事業者情報

個人情報取扱事業者（GDPR上の管理者）：Alpha-War合同会社（Ａｌｐｈａ－Ｗａｒ合同会社）
所在地：〒247-0022 神奈川県横浜市栄区庄戸4-20-10
代表社員：Keiko Knox
個人情報に関するお問い合わせ窓口：privacy@idcc.center

当社は現在、EUおよび英国にお住まいの方に本サービスを提供していないため、同地域の代理人を選任していません。提供を開始する場合は代理人を選任し、本ポリシーを改定します。
当社はデータ保護責任者（DPO）の選任義務の対象ではないため、選任していません。

法人がチームプランを利用する場合、受講者の登録はその法人が決定し、法人の管理者は受講者の進捗を閲覧できます（第5条）。チーム管理に関する情報については、当該法人も自社の方針に基づき従業員の情報を管理する責任を負います。

2. 取得する情報、利用目的および法的根拠

情報	取得元	利用目的	GDPR上の法的根拠	保存期間
アカウント情報：メールアドレス、ユーザーID、表示言語	ご本人、または招待を行った法人管理者	アカウントの作成・保護、ログイン、本サービスに関するご連絡	契約の履行（第6条1項b）	アカウント有効期間中。解約後30日以内に削除
認証情報：パスワード、認証アプリ（多要素認証）の秘密鍵	ご本人	ログインおよび必須の多要素認証。Amazon Cognitoが保持し、当社はパスワードを閲覧できません	契約の履行、アカウント保護に関する正当な利益（第6条1項f）	アカウント解約まで
受講記録：修了したレッスン、クイズの回答と得点、ベルト、連続学習日数、受験バウチャーと試験結果、ラボ利用時間、認定証に記載する氏名	本サービスの利用に伴い生成	講座の提供、クイズの採点、進捗管理、認定資格の発行、プランの利用上限の管理	契約の履行	アカウント有効期間中。認定記録は、勤務先などによる確認のため有効期間終了後1年間保存
チーム情報：所属チーム、参加日、未承認の招待	法人管理者	チームプランおよび管理コンソールの運営	法人との契約、チーム機能を提供する当社の正当な利益	チーム脱退または法人の解約まで。招待は承認または取消まで
請求記録：プラン、契約状況、Squareの顧客・カード参照ID、支払いおよび請求書の履歴	ご本人およびSquare	決済、領収書・請求書の発行、支払い失敗時の対応	契約の履行、法的義務（第6条1項c）	税法に基づき取引から7年間
カード情報	ご本人がSquareの決済フォームに直接入力	決済。カード情報はブラウザ上でSquareがトークン化し、当社が受け取るのは参照IDのみです（カード番号・セキュリティコードは受け取りません）	契約の履行	Squareのポリシーに基づきSquareが保持
AI相談：ご質問、AIの回答、会話のタイトル、1日あたりの送信数	ご本人	Amazon Bedrock上のAnthropic社のClaudeモデル（国内で処理）により、セキュリティに関するご質問に回答します。パスワードや秘密鍵と思われる内容は、モデルに送る前に拒否します。「担当者に相談する」を押した場合に限り、その会話の直近の内容を当社スタッフにメールで送ります	契約の履行	会話は90日後、またはご自身で削除した時点で削除。送信数は2日後に削除
脆弱性ブリーフの配信登録：メールアドレス、言語	ご本人（任意の登録）	毎朝の脆弱性ブリーフのメール配信	同意（第6条1項a）。アカウント設定からいつでも撤回できます	配信停止まで
技術ログ：IPアドレス、日時、リクエストおよびエラーの情報、ラボの起動・停止時刻とネットワーク接続の記録	ご利用のブラウザおよび当社サーバー	本サービスの安全確保と安定運用、不正利用・障害の調査	セキュリティと安定運用に関する正当な利益	システムにより14日から90日
試験監督（オンライン試験の提供開始後）：身分証明書による本人確認、試験中のWebカメラ・マイク・画面の録画	ご本人	受験者の本人確認、不正の防止と調査。試験は当社のWebベースのラボ環境で実施し、AI監督ソフトウェアが不正の疑いを検出します。外部の試験会社は利用しません。結果の保留などの判断の前に、必ず当社スタッフが確認します（第3条）	契約の履行、試験の公正性に関する正当な利益	録画は90日後に削除。本人確認の結果は認定記録とともに保存
ラボ環境：一時的な演習用ワークステーションと、そこに入力した内容	ご本人	ハンズオン演習	契約の履行	ラボ停止時に削除（制限時間で自動停止します）
お問い合わせ内容	ご本人	ご質問・ご相談への回答	回答に関する正当な利益。アカウントに関するものは契約の履行	やり取り終了後3年以内

また、本サービスの測定と改善のため、個人を特定できない統計情報（クイズの平均点、トラックの修了者数など）に加工して利用します。

アカウントの開設には、メールアドレスの登録と多要素認証の設定が必要です。これらがない場合、本サービスを提供できません。その他の情報は任意で提供いただくもの、または本サービスの利用に伴い生成されるものです。

当社は要配慮個人情報（GDPR第9条の特別な種類の個人データを含みます）を取得しません。これらの情報を当社に送らないでください。

3. 自動化された判断

クイズおよび試験は、あらかじめ定めた正答に基づき自動で採点され、合格点に達するとベルトや認定資格が付与されます。試験中は、AI監督ソフトウェアがWebカメラ、マイク、画面を確認し、不正の疑いを検出します。検出結果だけで判断することはなく、結果を保留する前に必ず当社スタッフが確認します。当社は、この採点以外に、法的効果またはこれと同様の重大な影響を及ぼす判断やプロファイリングに個人情報を使用しません。採点結果について当社担当者による確認をご希望の場合は、privacy@idcc.centerまでご連絡ください。毎朝の脆弱性ブリーフは、公開されている脆弱性情報のみを使ってAIモデルで要約しています。AI相談は、送られたご質問に回答するもので、利用者について判断を行うものではありません。他人の個人情報や秘密情報は送らないでください。

4. Cookieおよび類似技術

ログイン用トークンは、ブラウザのセッションストレージに保存し、タブを閉じると消去されます。
表示言語の設定は、ブラウザのローカルストレージに保存します。
ログイン画面（Amazon Cognito）およびSquareの決済フォームは、セキュリティと不正防止のために必要なCookieを使用します。

当社は、アクセス解析、広告、サイトをまたいだ追跡のためのCookieを使用しません。将来これらを導入する場合は、法令が求めるところにより、事前に同意をいただきます。

当社は、法令に基づく場合などを除き、ご本人の同意なく個人情報を第三者に提供しません。また、CCPAにいう個人情報の「販売」および行動ターゲティング広告のための「共有」は行っておらず、過去12か月間にも行っていません。個人情報を取り扱う先は次のとおりです。

業務委託先（契約により、委託業務の範囲内でのみ利用が認められています）
- Amazon Web Services（アマゾンウェブサービスジャパン合同会社／Amazon Web Services, Inc.）：ホスティング、データベース、ログイン（Cognito）、メール配信（SES）、AIによる要約・相談（Bedrock、Anthropic社のClaudeモデル）。東京リージョン（ap-northeast-1）、AI処理は国内リージョン。対象：第2条のうちカード情報を除くすべての項目
- Square（Square株式会社／Block, Inc.）：決済、定期課金、請求書。対象：メールアドレス、顧客ID、請求記録、カード情報
公開の脅威情報ソース：アラートとコマンドポストには、abuse.ch Feodo Tracker、JPCERT/CC、CISA、NVD、JVN iPedia、FIRST EPSSから取得したデータを表示します。これらのソースに個人情報を送ることはありません。
所属法人のチーム管理者（チームプランで参加した場合）：メールアドレス、参加日、受講進捗、ベルト、認定結果
法令に基づく場合、人の生命・財産の保護に必要な場合、または合併・事業譲渡に伴う場合（本ポリシーに従うことを条件とします）

6. 外国にある第三者への提供および外国での取扱い

当社はデータを日本国内に保存します。欧州委員会および英国は、個人情報保護法の枠組みのもとで移転される個人データについて、日本が十分な保護水準にあると認めています。

SquareおよびAWSは米国に本社を置き、一部の情報を米国で取り扱う場合があります。米国には包括的な連邦プライバシー法はなく、分野別の法律や州法（CCPAなど）および各社との契約によって保護されています。当社は、個人情報保護法に基づき、委託先に同法と同等の措置を講じることを契約で求め、その実施状況を確認しています。GDPRの対象となるデータについては、受領者がEU-米国データプライバシーフレームワークの認証を受けている場合はそれに、それ以外の場合は欧州委員会の標準契約条項に依拠します。詳細はお問い合わせください。

7. 安全管理措置

すべてのアカウントで多要素認証を必須としています。
通信（TLS）および保存データを暗号化し、システムの各部分には必要最小限の権限のみを与えています。
カード情報は当社のサーバーを通りません。決済通知は署名を検証して処理します。
ラボ環境は他のシステムから隔離され、停止時に削除されます。
個人情報にアクセスできるのは権限を与えられた従業者のみで、守秘義務を課しています。
外的環境の把握：委託先が個人情報を取り扱う国（米国）の個人情報保護制度を把握したうえで、安全管理措置を講じています。

漏えい等により権利利益を害するおそれがある場合は、法令に従い、ご本人および関係当局に報告・通知します。

8. ご本人の権利

お住まいの地域にかかわらず、次の請求ができます。

保有個人データの利用目的の通知、開示（電磁的記録による提供を含みます）
内容の訂正、追加または削除
利用の停止、消去、第三者提供の停止
第三者提供記録の開示
脆弱性ブリーフその他のメール配信の停止（アカウント設定からも変更できます）

EUおよび英国にお住まいの方は、上記に加え、データポータビリティ、取扱いの制限、正当な利益に基づく取扱いへの異議、同意の撤回（撤回前の取扱いには影響しません）、居住国のデータ保護監督機関への苦情申立てを行う権利があります。日本の個人情報保護委員会に相談することもできます。

カリフォルニア州にお住まいの方は、知る権利（取得した個人情報の項目と具体的な内容、取得元、利用目的、提供先）、削除権、訂正権、販売・共有のオプトアウト権、センシティブ個人情報の利用制限権を有します。当社がCCPAのセンシティブ個人情報として取得するのは、アカウントの認証情報のみです。これはログインとアカウント保護のためにだけ使用するため、利用制限権を行使しても取扱いは変わりません。権利の行使を理由に差別的な取扱いをすることはありません。当社はグローバル・プライバシー・コントロール（GPC）信号を、ログインを求めることなく、販売・共有のオプトアウトとして尊重します。個人情報に関する金銭的インセンティブは提供していません。

請求方法：アカウントに登録したメールアドレスからprivacy@idcc.centerまでご連絡ください（脆弱性ブリーフの配信はアカウント設定からご自身で変更できます）。ご本人確認として、メールアドレスの管理権限を確認し、削除などの重要な請求では多要素認証によるログインもお願いします。代理人による請求の場合は、ご本人が署名した委任状を提出いただき、ご本人の確認を別途お願いすることがあります。回答期限は、個人情報保護法では遅滞なく、GDPRでは1か月以内（複雑な請求は2か月延長することがあります）、CCPAでは45日以内（1回に限り45日延長することがあります）です。手数料はいただきません。ただし、法令が認める範囲で、明らかに根拠のない請求や過度な請求はお断りし、または合理的な手数料をいただくことがあります。

9. 子どもの個人情報

本サービスは社会人向けであり、子どもを対象としていません。16歳未満の方の個人情報を当社が意図して取得することはありません。お子さまの情報が提供されたと思われる場合はご連絡ください。削除いたします。

10. 本ポリシーの変更

当社は本ポリシーを少なくとも年1回見直します。重要な変更を行う場合は、改定日を更新して本ページに掲載し、効力発生前にアカウント保有者へメールでお知らせします。

11. お問い合わせ・苦情の窓口

Alpha-War合同会社　〒247-0022 神奈川県横浜市栄区庄戸4-20-10　privacy@idcc.center
個人情報の取扱いに関する苦情には、適切かつ迅速に対応します。