プライバシーポリシー
2026年8月14日施行
1. お客様のデータを取り扱う者
LexFlowはamirich.org LLCが運営しています。本ポリシーでは、当社がどのようなデータを、なぜ収集し、誰と共有するのか、またお客様がそれをどのように管理できるのかを説明します。本ポリシーは、lex-flow.com、弁護士向けアプリケーション、クライアントポータル、およびモバイルアプリケーションを対象とします。
2. 異なる2つの役割：お客様のデータと、お客様の依頼者のデータ
この区別は根本的に重要であり、当社の義務の範囲を決定します。
- ✓お客様のアカウントデータ（氏名、メールアドレス、請求情報、ログイン履歴）については、当社は管理者として行動し、取扱いの目的を決定します。
- ✓お客様の実務コンテンツ（案件、ドキュメント、依頼者のデータ、やり取り）については、当社は処理者として、お客様の指示にのみ従って行動します。
- ✓当社は、お客様の実務コンテンツを自社の目的に使用せず、マーケティングのための分析、販売、第三者への開示、モデルの学習への利用も行いません。
- ✓お客様は、お客様の依頼者のデータの管理者であり続け、必要な場合の同意の取得を含め、その取扱いの適法性について責任を負います。
3. 当社が収集するもの
当社は、本サービスの動作に必要なものだけを収集します。
- •アカウントデータ：氏名、メールアドレス、ハッシュ化されたパスワード、表示言語、タイムゾーン、二要素認証の設定。
- •実務コンテンツ：案件、依頼者、ドキュメントとそのバージョン、期限、期日、タスク、時間記録、請求書、メッセージ — お客様ご自身が入力するすべてのもの。
- •請求データ：プラン、サブスクリプションの状況、支払履歴。カード情報はStripeが取り扱い、当社はこれを受け取ることも保存することもありません。
- •技術データ：接続元アドレス、デバイスおよびブラウザの種類、操作のタイムスタンプ、セキュリティログ。
- •サポートへのお問い合わせとその内容。
4. 取り扱う理由
各目的には法的根拠があります。
- •契約の履行：本サービスの提供、認証、お客様のデータの保存と表示、支払いの受領。
- •正当な利益：本サービスの安全確保、不正利用の防止、障害の診断、集計された指標を用いた製品の改善。
- •法令の遵守：税務・会計上の記録、権限を有する当局からの適法な要請への対応。
- •同意：本サービスの運用に関係しない製品のお知らせ。お客様はいつでも配信を停止でき、これにより必須の通知が影響を受けることはありません。
5. データの共有先
当社はデータを販売せず、第三者の広告のために共有することもありません。当社が起用するのは、本サービスの運用に欠かせないベンダーのみであり、それらのベンダーにデータ保護上の義務を課しています。
- •ホスティングおよびストレージ — 欧州連合（フィンランド）のインフラ事業者。
- •決済 — Stripe。
- •メール配信 — Resend。
- •エラー追跡 — Sentry。当社が送信するのは、ユーザー識別子とエラーに関する技術的な詳細のみであり、クエリ文字列はマスクされ、実務コンテンツは送信されません。
- •言語モデル — お客様ご自身がAI機能を呼び出した場合に限り、かつその実行に必要な抜粋部分のみ。
- •カレンダー — Google（お客様が同期を有効にした場合）。
- •当局 — 適法かつ拘束力のある要請があった場合に限ります。法律で禁止されている場合を除き、当社はお客様に通知します。
6. データの保護方法
当社の対策は、法務データの機微性に見合ったものです。
- •ドキュメントは保存時にAES-256-GCMで暗号化され、機微なフィールドおよび第三者のキーも暗号化された状態で保存されます。
- •転送中のデータはTLSで保護されます。
- •各事務所のデータは分離されており、すべてのクエリは、ユーザーがアクセス権を持つワークスペースの範囲に限定されます。
- •パスワードはbcryptハッシュとして保存され、当社が復元することはできません。
- •二要素認証、監査ログ、アクティブなセッションの管理をご利用いただけます。
- •スタッフによる実務コンテンツへのアクセスは初期設定では閉じられており、監査ジャーナルは、オーナーに対してのみ、パスワードの再入力後に、限られた時間だけ開かれます。
7. 完全に安全なシステムは存在しません
この点について、当社は率直にお伝えします。上記の対策はリスクを大幅に低減しますが、完全に取り除くものではありません。お客様は、ご自身の側の事項（強力なパスワード、有効にした二要素認証、ワークスペースに招待する相手の管理、およびログインに使用する端末）について責任を負います。インシデントがお客様のデータに影響を及ぼした場合、当社は不当な遅滞なくお客様に通知し、判明している事実と当社が講じている対応をお伝えします。
8. データの保存期間
当社は、お客様のアカウントが有効である間、データを保存します。
- •アカウントの削除後、実務コンテンツは、サポートに依頼することにより30日間は復元可能です。
- •その後、本番システムから削除され、バックアップは、続く90日以内に通常のローテーションサイクルの中で上書きされます。
- •請求記録は、税法および会計法令が求める期間、保存されます。
- •セキュリティログは、インシデントの調査に必要な限られた期間、保存されます。
9. お客様の権利
これらの権利は、インターフェースから、または当社にご連絡いただくことで行使できます。
- •ご自身のデータにアクセスし、機械可読形式で受け取ること（エクスポートが提供されている製品のセクションから、またはサポートへの依頼により）。
- •不正確な情報を訂正すること。
- •アカウントおよび関連するデータを削除すること。
- •正当な利益に基づく取扱いについて、取扱いの制限を求め、または異議を述べること。
- •製品のお知らせへの同意を撤回すること。
- •お客様の所在地の監督機関に苦情を申し立てること。
10. データの保管場所と国際的な移転
主たる保管場所は欧州連合（フィンランド）です。一部のベンダー（決済事業者、エラー追跡、言語モデル）は、米国でデータを取り扱います。これらの移転は、標準契約条項またはその他の適法な仕組みに依拠しています。
11. クッキー
当社は、厳密に必要なクッキーを使用します。これらはお客様のセッションを保持し、リクエストの偽造からフォームを保護します。アプリケーションには、広告用または追跡用のクッキーはありません。ウェブサイトではアクセス解析を使用しており、お客様はブラウザで無効にできます。
12. 子ども
本サービスは業務上の利用を目的としており、18歳未満の方を対象としていません。当社は、そのような方のデータを、知りながら収集することはありません。そのようなデータが当社に届いた場合は、当社までお知らせください。当社が削除します。
13. 本ポリシーの変更
重要な変更については、効力を生じる少なくとも30日前に、メールまたはインターフェース上でお客様に通知し、本ポリシーの冒頭の日付を更新します。以前のバージョンは、ご要望に応じて提供します。
お問い合わせ
データ保護に関するご質問は、次のアドレスまでご連絡ください：[email protected]。管理者はamirich.org LLCです。当社は30日以内に回答します。