プライバシーポリシー

Nessieが処理する個人データ、その理由、そのデータについてご依頼いただける内容です。

このページは翻訳であり、お客様の言語でお読みいただけるように提供しています。英語版と内容が異なる場合は、英語版が優先されます。

これは草案です。現時点でソフトウェアが実際に行っていることを記述していますが、弁護士による確認は受けておらず、Nessieも正式にはローンチされていません。

1. セルフホストかNessie Cloudか：最初に押さえるべき点

Nessieには2つの提供形態があり、プライバシーの面ではまったく異なります。ほかの部分を読む前に、どちらについて読んでいるのかを確認してください。

• セルフホスト。お客様ご自身のインフラでNessieを運用する形態です。その中にあるすべてについて、お客様の組織が管理者（コントローラー）となります。UnlikeOtherAIはお客様のインスタンスにアクセスできず、そこから何も受け取らず、お客様に代わって個人データを処理することもありません。本ポリシーは、お客様ご自身のポリシーを作成できるよう、ソフトウェアの動作を説明するものであり、当社をお客様の処理者にするものではありません。
• Nessie Cloud。当社が運用する形態です。お客様の組織がNessie Cloudに入力した個人データについては、当社はお客様の指示に基づく処理者（プロセッサー）として行動し、お客様の組織が管理者となります。当社が自らの立場で取り扱うわずかなデータ（アカウント管理、請求、サポートのやり取り、このWebサイト）については、当社が管理者です。本ポリシーの以降の部分は、Nessie Cloudについて述べています。

セルフホストの場合について、1点補足します。Nessieは他のサービスと通信するソフトウェアであるため、お客様のインスタンスは、お客様が設定した接続先（モデルプロバイダー、メールプロバイダー、検索サービス、ブラウザサービスなど）に接続します。それらはお客様ご自身の取引関係であり、当社の管理の外にあり、本ポリシーの対象外です。

2. 当社について

UnlikeOtherAI s.r.o.は、チェコ共和国で設立された会社です。このページの内容に関するお問い合わせは、hello@nessie.worksまでお寄せください。

Missing: the company registration number (IČO) and the registered office address.

Missing: whether a data protection officer has been appointed, and their contact details if so. Nobody is named as DPO today.

Missing: the effective date of this policy.

3. 当社が処理する個人データとその入手元

UnlikeOtherAI SSOから得られるID情報

Nessie Cloudにはパスワードも新規登録フォームもありません。ログインはUnlikeOtherAI SSOを通じて行います。UnlikeOtherAI SSOは、お客様がどなたか、どの組織に所属しているか、どのチームに参加しているかを確定する権限を持ちます。Nessieはアカウントを作成せず、パスワードの設定も受け付けず、プロフィール画像の変更リクエストも拒否します。画像はUnlikeOtherAIにあるためです。お名前、メールアドレス、プロフィールの変更は、同サービスで行います。

Nessieは、これらの一部のコピーを保持しています。そうでないと主張するよりも、そう明記するほうがよいと考えています。データベースには、UnlikeOtherAIにおけるお客様の恒久的なサブジェクト識別子と、その横に、メールアドレス、表示名、画像URLのキャッシュされたミラーが保存されています。これは、チャットの百行分を表示するために百回の照会をしなくても名前を表示できるようにするためです。このミラーは明確に非権威的なものです。値を勝手に作ることはなく、お客様による変更が同サービスに書き戻されることもなく、ログイン、チームの切り替え、セッションの更新のたびに、IDプロバイダーの検証済みクレームから再同期されます。組織の最新の名簿は、表示する時点でUnlikeOtherAIから読み取られ、短期間のキャッシュを経由しますが、そのキャッシュが誰が何を見られるかを決めることは決して許されません。ミラーされた列を完全に削除することは計画中の作業であり、すでに完了したことではありません。

また、次のものを継続的に保持します。お客様の組織とチームのUnlikeOtherAI識別子、それらの中でのお客様のメンバーシップと役割、暗号化されたUnlikeOtherAIのリフレッシュ認証情報、およびローカルのセッション記録です。これにより、ログインした状態を維持でき、ログアウト時には未処理のすべてのトークンを一括で無効化できます。

お客様と同僚がNessieに入力するもの

メッセージ、スレッド、ダイレクトメッセージ。ファイルと添付ファイル。ナレッジベースのドキュメント。タスク、プロジェクト、チャンネル。エージェントの名前、役割、指示。ステータスと各種設定。これらのいずれにも、お客様自身、同僚、またはお客様の顧客などの第三者に関する個人データが含まれる可能性があります。何が書かれるかは、完全にお客様の組織次第です。

エージェントが作業中に出会うデータ

ここは最も注意が必要な部分です。エージェントは、チャットアプリよりも広い範囲に手が届くためです。

• 接続されたメールボックス。誰かがメールボックス（ご本人のもの、またはチームの共有アドレス）を接続すると、エージェントはそのメールを読み、その人に代わって送信できます。接続されたアカウントのメールは、プロバイダーからリアルタイムで読み取られます。Nessieが保持するのは認証情報と監査記録だけで、メッセージはインポートせず、接続を解除したときにコピーされたやり取りが残ることもありません。例外は、sales@やsupport@のようにClientsの受信トレイに接続するメールボックスです。この場合は、やり取りを各顧客の記録とともに保管するよう依頼していることになるため、Nessieはそのメールボックスのメッセージを、過去のやり取りの一定範囲とともにコピーします。いずれの場合も、エージェントがメッセージを処理している間、そのメッセージの内容はNessie内にあり、モデルに送信されます。そのメールボックスに書き込むすべての人がこの影響を受けますが、その人たちはこれに同意していません。
• ホスト型のエージェントメールボックス。デプロイメントによっては、エージェントに専用のアドレスを持たせることができます。そのアドレス宛てのメールは、Nessieに保存されます。メッセージは解析され、添付ファイルは保存され、元の生データは、設定可能な期間（運用者が変更しない限り30日）が過ぎると、受信用バケットから削除されます。
• Webとブラウザ。エージェントは、ページの取得、検索の実行、実際のブラウザセッションの操作を行えます。ユーザーは、指定したサイトに限定したプライベートブラウザを、最長15分間エージェントに貸し出すことができます。Nessieはまた、エージェントのブラウザが最後に開いていた各タブの小さなスクリーンショットを保持し、製品内で表示できるようにしています。つまり、それらの画像にはログイン済みページの内容が含まれる場合があります。
• 接続されたツール。お客様が接続したMCPサーバー、カレンダー、その他の連携サービスは、エージェントのコンテキストにデータを返します。そのデータは、ほかのすべてとともにモデルに送られます。

Nessieが何が起きたかについて保持する記録

• 監査証跡。コントロールプレーンのすべての操作は、誰が行ったか（人、エージェント、サービス）、何を行ったか、何に対してか、成功したか拒否されたか、およびその理由、リクエストID、そして取得できる場合はIPアドレスとブラウザのユーザーエージェントとともに記録されます。追記専用で、組織ごとのハッシュチェーンに連結されているため、改ざんを検出できます。シークレット、認証情報、リクエスト本文の全体は、意図的に記録から除外されています。
• トークンコスト台帳。すべてのモデル呼び出しは、プロバイダー、モデル、トークン数、推定コストとともに記録され、組織、チーム、プロジェクト、チャンネル、エージェント、個人に紐づけられます。
• ストレージの集計。組織ごと、個人ごとのストレージ使用量を常に把握するためのものです。
• セッションとデバイスの記録：ハッシュ化されたセッショントークンとリフレッシュトークン、有効期限、クライアントの種類とユーザーエージェント、そしてモバイルアプリやデスクトップアプリをご利用の場合はプッシュトークン。
• 障害の診断。ホスト型アプリは、捕捉されなかったJavaScriptの障害を、標準のエラークラスとビルドファイル上の位置情報とともに報告します。エラーメッセージ、スタックの内容、ページのURL、会話の内容、NessieのユーザーIDや組織IDは送信しません。iOSとAndroidのリリース版では、ネイティブのクラッシュレポートも使用しており、クラッシュのトレースと、デバイスおよびインストールのメタデータを収集します。

お客様のコンテンツから派生するデータ

エージェントが物事を思い出せるようにし、検索を機能させるために、Nessieはテキストを数値ベクトル（埋め込み）に変換してデータベースに保存します。対象は、エージェントのメモリ、ナレッジベースの内容、そしてお客様の検索クエリそのものです。ベクトルを生成するには、テキストを埋め込みプロバイダーに送信する必要があります。埋め込みプロバイダーが設定されていない場合、想起と検索は単純なキーワード照合に切り替わります。

このWebサイト

設定用Cookie、アナリティクス、トップページの見出しに使うローカルでの国判定については、第9項をご覧ください。

4. 処理の目的と適法根拠

お客様の組織が管理者である場合、特定の個人のデータ（たとえば顧客のメール）をNessieに入力するための適法根拠を確立する責任は、当社ではなく、お客様の組織にあります。

当社は個人データを販売しません。また、お客様のコンテンツを、お客様への広告に使用することもありません。

5. ほかに誰が見るか

モデルプロバイダー：最も重要な点

エージェントが実行されると、会話の内容が言語モデルに送られます。つまり、メッセージ、関連するファイル、処理中のメール、呼び出したツールの結果がNessieの外に出て、お客様のデプロイメントで設定されたモデルプロバイダーに届きます。これが起きずにエージェントを動かす方法はありません。

どのプロバイダーになるかは設定によります。Nessieは、コード内に名前が定められた少数の固定されたプロバイダー、または運用者が指定する任意のOpenAI互換エンドポイントと通信できます。また、個々のユーザーは自分のAIサブスクリプションを接続して、すでに料金をお支払いのアカウントでエージェントを動かすことができます。Nessie Cloudでは、呼び出しはUnlikeOtherAIが運用するゲートウェイを経由し、そこから上流のプロバイダーに渡されます。その際、呼び出しの発生元である組織、チーム、個人、エージェント、実行を特定する署名付きの情報が添えられます。Web検索とディープリサーチも同じゲートウェイを通ります。

Nessie Cloudは、チャットと埋め込みのために複数の推論プロバイダーを使い、コストと品質に応じて使い分けます。その一部はEU域外にあります。組織は管理画面で、エージェントが使えるプロバイダーを選べるようになる予定です。欧米のプロバイダーのみ、欧州のプロバイダーのみ、中国のプロバイダーのみ、または指定なしのいずれかで、指定なしの場合はNessieがジョブごとに最も効率的なプロバイダーを選びます。

Missing, and required before launch: the providers in each group, whether any of them may use traffic for training, and the date the regional choice is available in Admin.

当社が依存しているほかの事業者

• ホスティング：ScalewayやHetznerなど、サービスごとに選んだ欧州のホスティングプロバイダー。第6項をご覧ください。
• ID管理：UnlikeOtherAI SSO。お客様のアカウント、プロフィール、組織のメンバーシップを保持します。
• 決済：サブスクリプションと明細はUnlikeOtherAIが扱い、カード決済はStripeが処理します。Nessie自体は、カード情報、サブスクリプション、請求書を保存しません。
• 機能が必要とするサービス。ホスト型のエージェントメールボックスは、Amazon SESを通じて送受信します。エージェントの電話番号、通話、テキストメッセージは、Twilioを通じて動作します。FacebookとInstagramのメッセージとコメントは、Metaの公式APIを通じて届きます。クラウドブラウザセッションは、Browserbase上で動作します。アプリ内でアシスタントに音声通話をかけると、お客様のデバイスとGoogleとの間に直接の音声接続が開きます。音声入力されたメッセージは、当社のゲートウェイを通じてGoogle Speech-to-Textが文字起こしします。エージェントのメモリは、当社自身が運営するメモリサービスremember.ninjaが保持します。ミーティングリンクは、お客様の組織が選んだプロバイダー（Google Meet、Jitsi、Microsoft Teams）で発行されます。モバイル通知はAppleとGoogleのプッシュサービスを経由し、メッセージの内容ではなく内部参照を運びます。
• 障害レポート。無害化されたホスト型アプリのJavaScriptエラーは、SentryのEUデータリージョンに送られます。ネイティブのiOSとAndroidのクラッシュレポートは、Google Firebase Crashlyticsに送られます。これらのプロバイダーは、レポートの配信とグループ化に必要なネットワークおよびデバイスのメタデータを処理することがあります。当社は、Nessieの会話内容をそれらのレポートに意図的に添付することはありません。
• 利用状況の計測。Nessieのアプリは、どの領域が開かれたか、いくつかの操作が成功したかを、内容を添付せずに1日単位で集計します。国は接続から読み取った後に破棄され、日次の合計がGoogle Analyticsに送られます。この計測は、「ご自身の設定」→「プロフィール」→「Nessieの改善に協力する」でオフにできます。初回訪問時の言語選択のために、アプリはGeoJSに接続元の国を問い合わせます。
• お客様ご自身が接続するすべてのもの：メールプロバイダー、MCPサーバー、ご自身のAIアカウント、HubSpot、Mailchimp、LinkedIn、Xeroなどのサービス。これらはお客様ご自身の取引関係であり、各プロバイダーのポリシーが適用されます。

Missing: a proper sub-processor list — every processor by legal name, what it does, where it processes data, and a way to be told before we add one. The list above is based on the current implementation, not a maintained register.

また、法律で求められる場合、および守秘義務を負う専門アドバイザーに対しても、個人データを開示します。

6. データの所在地とEU域外への移転

Nessie Cloudは、ScalewayやHetznerなど、欧州のホスティングプロバイダー上で動いています。各プロバイダーが提供する最適なサービスを選んでいるため、製品の部分ごとに異なるプロバイダーで動くことがありますが、いずれも欧州域内です。

お客様のコンテンツがその境界の内側にとどまらない重要なケースが1つあります。エージェントが実行されると、リクエストはモデルプロバイダーに送られ、そのプロバイダーがEU域外で処理する可能性があります。検索、ブラウザセッション、音声通話、お客様ご自身が接続するものすべてについても同様です。セルフホストにすればストレージはお客様の管理下に置かれますが、それだけではこの点は変わりません。モデルの呼び出しは、やはりお客様の手元の外に出ていきます。

Missing: the transfer mechanism relied on for each non-EU processor — standard contractual clauses, an adequacy decision, or something else — and the transfer impact assessment behind it.

7. 保持期間

率直に申し上げます。Nessieには、自動的な保持期間や削除のスケジュールがありません。コンテンツは、誰かが削除するまで残ります。監査証跡は意図的に追記専用であり、現時点では一切削除されません。改ざんを検出できるログの意義は、記録が気づかれずに消えないことにあるからです。製品内には、セルフサービスのデータエクスポートも、セルフサービスの組織削除もありません。エクスポートや消去をご依頼いただいた場合は、当社が手作業で対応します。

コード上で示せる例外は次のとおりです。

• ホスト型エージェントメールボックスの受信メールの生データは、メッセージのインポート後、設定可能な期間（既定では30日）が過ぎるとストレージバケットから削除されます。
• 一時的なプライベートブラウザの許可は、最長でも15分で失効します。
• IDのキャッシュはメモリ内にのみ保持され、数秒から数分で失効します。恒久的な保存先になることはありません。
• Firebaseによると、Crashlyticsはクラッシュのトレースと関連するインストール識別子を、削除を開始するまで90日間保持します。Sentryのイベント保持期間は、当社のEU組織に設定されたプランに従います。
• 接続されたメールボックスの接続を解除しても、コピーされたやり取りは残りません。保持していないためです。Clientsの受信トレイに接続したメールボックスのメールは、削除されるまで会話履歴として残ります。

Missing: actual retention periods for content, audit entries, ledger entries, session records and backups, and a period after an account or organisation closes. We will not publish numbers the software does not enforce.

8. 保護の方法

具体的に、そしてコードに実在するものだけを挙げます。

• シークレットが平文でデータベースに置かれることはありません。お客様のシークレットは専用のボールトに保存されます。ボールトが設定されていない場合、Nessieは平文にフォールバックせず、保存を拒否します。個人のAIサブスクリプションの認証情報は、別の2つ目のボールトに保存されるため、一方にスコープされたIDは他方を読み取れません。リフレッシュ認証情報、コネクタートークン、プッシュキーは、ローテーション可能なバージョン付きのキーリングのもと、AES-256-GCMのエンベロープとして保存されます。
• シークレットの実体はモデルから遠ざけられています。エージェントはシークレットが存在することを知り、それを使うことを許可される場合がありますが、その値がプロンプト、ツールの引数、ツールの結果、メモリ、埋め込み、ログ、通知に入ることは決してあってはなりません。値を開示する権限がエージェントに与えられることはありません。
• スキャナーが認証情報を含むメッセージを拒否します。コンポーザーで拒否し、サーバーでも再度拒否します。また、すでに投稿された認証情報は、そのメッセージから取り込まれたエージェントのメモリも含めて、遡って消去できます。
• 監査証跡は改ざんを検出できます。組織ごとにSHA-256で連結されており、後からでも検証できます。
• エージェントは、与えられたものしか見られません。また、エージェントが読んだものによって、その回答を誰が読めるかが制限されるため、プライベートな情報源の内容が公開の場に流出することはありません。
• 外向きのリクエストはIPが固定されています。リダイレクトのたびに再検証されるため、モデルやユーザーが指定したアドレスを使って、内部インフラに向けて誘導することはできません。
• アップロードされた写真の位置情報メタデータは削除されます。EXIFとGPSの情報は、ファイルが保存される唯一の地点で取り除かれます。組織がこれをオフにした場合を除きます。
• すべての通信は転送中に暗号化され、アクセスは組織、チーム、プロジェクトの各レベルで役割によってスコープが設定されています。

完璧なセキュリティはありません。問題を見つけた場合は、hello@nessie.worksまでご連絡ください。

Missing: whether backups are encrypted and where they are held, and our breach notification commitment — how quickly we tell a customer after we become aware of a personal data breach.

9. CookieとこのWebサイト

トップページの見出しを選ぶために、当社のサーバーは、お客様の接続元IPアドレスの国をローカルのデータベースで照合します。IPアドレスが外部のジオロケーションサービスに送られることはありません。判定結果は、お客様のブラウザには保存されません。本製品には、MaxMindが作成したGeoLite2データが含まれています。データはMaxMindから入手でき、CC BY-SA 4.0ライセンスに基づいています。

使用しているのは、これですべてです。

• Cookieの選択結果は、nessie-cookie-consentという名前のファーストパーティCookieに保存されます。このCookieはnessie.worksとそのサブドメインに1年間設定されるため、一度答えれば十分です。保持する値は、アナリティクスを許可したかどうかの1つだけで、識別子は含まれません。Cookieがブロックされている場合に備え、ブラウザのローカルストレージにもコピーを保存します。どちらもサーバーが読み取ることはありません。
• 設定用Cookieのnessie-device-colourは、トップページでお客様が選んだコンピューターの色を記憶します。ファーストパーティで、有効期間は1年間、保持する内容は色の名前です。
• アナリティクスは、お客様がオンにしない限りオフです。バーで選択肢を提示し、当社はお客様の回答を記憶します。拒否しても、お客様に不利益はありません。当社のアナリティクスツールはGoogle Analyticsで、このWebサイトでは、お客様が許可した後にのみ動作します。

ご許可がない限り、トラッキングスクリプト、広告ピクセル、サードパーティのタグは一切ありません。フッターのCookieリンクからバーを開き直して、考えを変えることもできます。Nessieのアプリが送信する利用状況の集計は、第5項で説明しています。

Missing: what Google Analytics stores for this website and for how long.

製品にログインすると、ログイン状態を維持するために厳密に必要なCookieが設定され、トークンが保存されます。これらは任意ではなく、トラッキングには使用されません。

10. お客様の権利

GDPRがお客様に適用される場合、お客様は当社に対して次のことを請求できます。

• 当社がお客様について保有している個人データを知らせること、およびそのコピーを提供すること。
• 誤っている情報を訂正すること。
• 個人データを削除すること。
• 正当な利益に基づいて当社が行っていることを含め、当社による利用を制限すること、またはこれに異議を述べること。
• 個人データを機械で読み取れる形式で別のサービスに移転する（ポータビリティ）こと。
• 当社が同意に依拠している場合の同意の撤回。当社の場合、これはアナリティクスCookieを指します。

hello@nessie.worksまでご連絡ください。当社は1か月以内に回答します。

率直に、2点補足します。第一に、お客様の組織がNessie Cloudを利用している場合、その中にあるものの管理者はお客様の組織です。そのため、お客様のメッセージやファイルに関するご請求は、通常、組織に引き継ぎ、組織の指示に従って対応します。組織に直接お問い合わせいただくほうが、早く回答を得られます。第二に、お客様のアカウント自体はUnlikeOtherAI SSOにあります。そのため、お名前、メールアドレス、プロフィールに関するご請求は、実際には同サービスへのご請求となります。その場合は、同サービスをご案内します。

Nessieは、お客様に法的効果または同様の重大な影響を及ぼす自動化された意思決定を行いません。エージェントが作成するのは、下書き、提案、操作です。エージェントが人の承認なしに何を行えるかは、お客様の組織が管理する設定です。

お客様は、データ保護の監督機関に苦情を申し立てることもできます。チェコ共和国では個人データ保護庁、またはお客様が居住または勤務するEU加盟国の監督機関です。まず当社にご連絡いただければ幸いです。

11. 子ども

Nessieは組織向けのツールであり、子どもを対象としていません。当社は、Nessieを通じて16歳未満の方の個人データを故意に処理することはなく、その一部であっても子どもを対象にすることはありません。子どものデータがNessie Cloudに入ってしまったと思われる場合は、当社にお知らせください。削除いたします。

12. 本ポリシーの変更

製品の変化に合わせて、このページを更新します。そして変更は必ず生じます。上記のいくつかの項で、まだ備わっていないものがあると明記しているためです。変更がお客様に重大な影響を及ぼす場合は、ページをひそかに編集するのではなく、その旨をお知らせし、更新版には日付を記載します。

Missing: how we notify customers of a material change, and whether earlier versions of this policy will stay available.

13. お問い合わせ

hello@nessie.works：プライバシーに関するご質問、権利行使のご請求、このページに関するその他すべてのご連絡。

Missing: an EU representative under Article 27, if one is required and appointed. None is appointed today.