データの取り扱い

1. 役割

お客様（アカウントのオーナー）が、サイトの訪問者・ユーザーに関する個人データの管理者です。Novatiseはお客様の指示に基づき、サービス提供のためにのみ処理します。署名済みのデータ処理契約（DPA）が必要な場合は、「データ処理契約（DPA）」ページをご覧のうえ[email protected]までご連絡ください。

2. プラグインが送る情報

• サイトの状態：スコア、有効な保護機能、WordPress・PHP・プラグインのバージョン
• 検出結果：ファイルパス、サイズ、SHA-256のフィンガープリント、検出箇所のコード最大300文字（ファイル全体は送りません。含まれるキーやパスワードは伏せ字にします）
• セキュリティイベント：ログイン試行、ロックアウト、新しい管理者、プラグインの変更。IPアドレスは初期設定で短縮され（サイトのオーナーが変更可能）、ユーザー名は記録どおりに送られます。
• 月次レポートの数値

3. サイトに残る情報

• ファイル、投稿、ページ、コメント、注文、顧客情報
• パスワード、鍵、wp-config.php
• バックアップ（お客様が選んだストレージ：S3、Cloudflare R2、Backblaze B2、Wasabiに直接送られます）

4. 処理の安全性

プラグインがダッシュボードに接続しに行き、ダッシュボードがサイトにログインすることはありません。すべての通信はサイトごとの秘密鍵で署名されます。ダッシュボードがサイトに依頼できるのは、サイトのオーナーがwp-adminで許可した操作だけで、すべての操作がサイトとお客様の監査ログに記録されます。

5. データ侵害

お客様のデータに影響する侵害を把握した場合は、不当な遅滞なく、可能な限り72時間以内に、判明している事実と対応をお知らせし、新たに判明したことも順次お伝えします。法令上当社の義務となる場合は、当局と本人への通知も当社が行います（プライバシーポリシー第14項）。

6. 削除

サイトの接続を解除するかアカウントを削除すると、30日後にデータを削除します。アカウントのオーナーは、いつでもアカウントのすべてのデータを JSON ファイルでダウンロードできます（アカウント › あなたのデータ）。

7. 委託先（サブプロセッサー）

個人データを取り扱う委託先を追加する前にこの一覧を更新し、アカウントのオーナーにお知らせします。

• Contabo GmbH（ドイツ／サーバーは日本）：ダッシュボードとデータベースのホスティング
• Resend, Inc.（米国）：メールの送信（ログインコード、通知、レポート）
• OpenRouter, Inc.（米国）と経由先のAIモデル提供者：AIによるスキャン要約、クリーンアップ支援（検出結果のパスと抜粋）、チャットボットテスト（テストの質問とチャットボットの回答）
• Have I Been Pwned（オーストラリア）：アプリの漏えいパスワード確認。送るのはパスワードのSHA-1フィンガープリントの先頭5文字だけで、パスワードは送りません
• Stripe, Inc.（米国・世界各地）：決済と請求書
• Cloudflare, Inc.（世界各地）：本ウェブサイト、ボット対策、メール転送
• Google LLC（米国）：無料スキャンと監視のためのサイトアドレスのセーフ ブラウジング確認
• GitHub, Inc.（米国）：署名済みプラグインの配布（個人データは含みません）