| 項目 | 内容 |
|---|---|
| 版 | 1.0 |
| 対象製品 | Umitake Outlook Connector for kintone |
| 位置づけ | プライバシーポリシーの一部を構成します |
最も重要な事実：メールの本文・件名・添付ファイルは、当社サーバーを経由しますが、 当社サーバーには保存されません。保存先はお客様の kintone です。
したがって、当社がお客様の過去のメールを取り出すことはできません。
本製品は、当社が運用するサーバーが常時稼働してお客様のメールデータを処理する製品です。 JavaScript を配信するだけの他のプラグインとは性質が異なりますので、 本書で預かるデータの範囲と保持期間を明示します。
すべての製品に共通する CDN とライセンス認証については、 共通基盤の文書をご参照ください。
本書は「こうしたい」ではなく「こう実装されている」を記載しています。 記載した保持期間は、いずれも自動削除の処理として実装済みで、1 日 1 回実行されます。
1. 当社の立場
お客様（kintone をご利用の事業者様）が管理者、当社が委託先となります。
お客様のメールデータおよび接続情報を、お客様の指示に基づいてお預かりし、 お客様の kintone へ書き込むために処理します。処理の目的と範囲はお客様がお決めになります。
お客様の情報システム部門が委託先管理のために本書を必要とされる場合は、 そのまま審査資料としてご利用いただけます。
2. データの流れ
お客様の Microsoft 365 ──(1)──> 当社サーバー（Fly.io / 米国）──(2)──> お客様の kintone
│
├──(3)──> Sentry（エラー監視）
└──(4)──> 標準出力（Fly のログ）
| # | 何が流れるか | 保存 |
|---|---|---|
| (1) | メールの本文・件名・添付・宛先、予定 | メモリ上のみ。処理が終われば消えます |
| (2) | 同上（お客様の履歴アプリへ書き込みます） | お客様の kintone に保存（保持期間はお客様がお決めになります） |
| (3) | 例外の種類・スタックトレース・エラーコード。本文・添付・件名・トークンは送信しません。メールアドレスはマスクします | Sentry の保持期間に従います |
| (4) | 処理の記録。(3) と同じマスク・除去を適用します | Fly は永続保存しません（転送先は設定していません） |
なぜ当社サーバーを経由するのか
複数のご担当者様のメールを 1 つのレコードに集約するには、各利用者のトークンを サーバーが預かって横断的に取得する必要があるためです。 ブラウザだけで完結する構成では、この機能は原理的に実現できません。
3. 当社が預かるデータ
メールに関する実体は 1 件も保存していません。 保存するのは接続と同期の状態のみです。
| テーブル | 内容 | 個人に関わる項目 |
|---|---|---|
tenants | kintone のドメイン、Microsoft テナント ID、機能フラグ、同意済みスコープ、共有トークン（暗号化）、ライセンスキー（暗号化） | ドメイン（法人情報） |
kintone_apps | 履歴アプリ等の kintone API トークン（暗号化） | — |
user_connections | 接続者ごとのリフレッシュトークン（暗号化）、kintone ユーザー ID / 表示名、Microsoft 365 のメールアドレス、許可スコープ | 氏名・メールアドレス |
sync_states | 監視対象ごとの最終同期時刻、差分取得の継続トークン、連続失敗回数 | — |
sync_errors | 失敗の記録（エラーコード、HTTP ステータス、リクエスト ID）。本文・宛先は含みません | — |
import_failures | 取り込みに失敗したメールの識別子と失敗回数。本文は含みません | メールの識別子 |
connection_history | 接続・解除の履歴（誰が・いつ） | メールアドレス・kintone ユーザー ID |
calendar_events | 予定の ID と作成者の表示名 | 表示名 |
auth_nonces | 接続開始用の一回限りの引換券 | kintone ユーザー ID / 表示名 |
暗号化について。 トークン類はすべて AES-256-GCM で暗号化して保存します。 暗号鍵はデータベースとは別に管理しているため、データベースのみが漏えいしても 復号できません。
4. 経由するが保存しないもの
| 当社サーバーを経由 | 当社サーバーに保存 | |
|---|---|---|
| メールの本文 | する（取り込み時に 1 回、送信時に 1 回） | しない |
| 添付ファイル | する（同上） | しない |
| 件名 | する | しない |
| 宛先・差出人のアドレス | する | 接続者ご本人のアドレスのみ保存（§3 の user_connections） |
保存先は**お客様の kintone（履歴アプリ）**です。閲覧も kintone から直接行われるため、 誰がメールを読めるかは kintone のレコード権限だけで決まります。 当社は関与しません。
5. 副委託先と所在地
| 事業者 | 目的 | 渡るもの | 渡らないもの | 所在地 |
|---|---|---|---|---|
| Microsoft（Graph API） | 本機能そのもの | お客様が送受信するメール、取得対象の指定 | — | お客様の Microsoft テナント |
| Fly.io | サーバーの実行基盤 | 上記すべての処理が動く場所 | — | 米国（バージニア） |
| Upstash（Redis） | 処理の流量制御 | テナント単位のカウンタのみ | メールの本文・宛先・トークンは載りません | 米国 |
| Sentry | エラー監視 | 例外の種類、スタックトレース、エラーコード、マスク済みのメールアドレス（t***@example.com） | 本文・添付・件名・トークン・シークレット | 米国 |
| license.umitake.com（Vercel / Neon） | ライセンス認証 | kintone のドメイン、ライセンスキー | 個人データ一切 | 米国 |
Sentry には二重のスクラビングを適用しています
ログ出力時の除去とは別の経路で、監視 SDK が例外から自動収集するローカル変数や リクエストの文脈も送信前に除去しています。ここを通り抜けるとメールの本文が 当社の監視環境に残ることになるため、暗号鍵・本文・添付はキー名で丸ごと除去し、 文字列中に現れるメールアドレスは一律マスクしています。
データの所在地について
当社サーバーは米国（バージニア）にあります。 お客様の個人データは日本国外へ 移転されます。日本リージョンへの移設は技術的には可能ですが、現状は米国です。
Sentry および ライセンス認証基盤も米国です。 なお kintone 自体はお客様がサイボウズ株式会社と直接ご契約されるサービスであり、 当社の管理外です。
詳細はプライバシーポリシーの「外国にある第三者への提供／データの越境移転」を ご参照ください。
6. 保持期間
下記の保持期間はすべて自動削除の処理として実装済みで、1 日 1 回実行されます。
| データ | 保持期間 | 実装の根拠 |
|---|---|---|
| メールの本文・件名・添付 | 保存しません | メモリ上のみ |
tenants（ドメイン、テナント ID、暗号化トークン、暗号化ライセンスキー） | 解約後 30 日 | 日次の自動削除（実装済み） |
kintone_apps（暗号化 API トークン） | 解約後 30 日 | 同上 |
connection_history（接続・解除の履歴） | 解約後 30 日 | 同上 |
calendar_events（予定 ID・作成者表示名） | 解約後 30 日 | 同上 |
user_connections（氏名・メールアドレス・暗号化トークン） | 接続解除まで（テナント削除時にも削除されます） | 同上 |
sync_states（同期状態） | 接続解除まで | 同上 |
sync_errors（エラーコードのみ） | 30 日 | 同上 |
import_failures（メールの識別子） | 取り込み成功、または再試行を打ち切るまで | 同上 |
auth_nonces（一時的な引換券） | 1 日 | 同上 |
| ライセンス情報・認証ログ | 無期限 | 共通基盤の文書 §6 のとおり |
7. 解約・接続解除時の取り扱い
ライセンスが無効になってから 30 日で、そのテナントのデータをすべて削除します。 トークン・接続情報・同期状態が対象で、関連する行もあわせて削除されます。
即時に削除しないのは、お支払いの手続き上一時的に無効となったお客様が、 再開時にすべての利用者の再接続・再設定を強いられることを避けるためです。
30 日の起算について
情報システム部門からよくお問い合わせをいただく点ですので、明示します。
起算するのは、ライセンス認証が「無効」という明確な結果を返したときだけです。 「ライセンスサーバーに到達できない」場合は起算しません。 ライセンスが有効に戻れば、起算は解除されます。
これは、ライセンスサーバーの長期障害がお客様のデータ消失につながることを 防ぐための設計です。
お客様の kintone にあるメールは当社の管理外ですので、一切触れません。 解約後も履歴アプリのレコードはそのまま残ります。
8. 当社から見えないもの
お客様が必ずご確認になる点ですので、明示します。
- メールの中身は見えません。 保存していないため、当社が過去のメールを 取り出すことはできません。
- kintone のレコードは見えません。 API トークンはお客様が発行され、 権限もお客様がお決めになります。
- 誰がどのメールを読んだかは見えません。 閲覧は kintone 内で完結します。
逆に当社から見えるものは、接続している利用者のメールアドレスと、同期の成否です。
9. お客様側で設計・管理いただくこと
履歴アプリのアクセス権限が、実質的なメールの公開範囲になります
これが本製品で最も重要な設計事項です。
本製品は複数のご担当者様のメールを 1 つのアプリに集約する方式を採っているため、 履歴アプリを開ける方は、ご自身に紐付いていないメールも閲覧できます。
案件レコード経由でしか見せたくない場合は、履歴アプリ側のレコード閲覧権限を 絞っていただく必要があります。 これは当社ではなくお客様が設計される部分です。
その他
- 誤送信の防止。 メール送信機能における宛先の確認は、お客様の運用で担保してください。
- kintone API トークンの発行と権限設定。 トークンはお客様が発行され、 付与する権限もお客様がお決めになります。
- Microsoft 365 側の管理者同意とスコープ。 本製品が要求する権限の範囲は、 管理者同意の画面でご確認いただけます。
10. お問い合わせ
本書の内容、セキュリティチェックシートへのご記入については下記までご連絡ください。
Umitake Email: [email protected]
関連文書: 共通基盤 ／ プライバシーポリシー ／ 利用規約