最終更新: 2026-09-24（草案・運営者の確定前）
本ポリシーは、CELVA が取り扱う情報について定めるものです。製品の動作に関する記載は、ソースコードと本番の設定を読んで書いたもので、それぞれ書いた時点の内容です。本文を最後に改めたのは 2026-09-24 です。ただし、第3項の「言語モデル」の送り先だけは、書いた時点に読んだものではなく、このページを表示している環境の設定から、表示するたびに導いています。連絡先・保持期間・移転の根拠など、運営者だけが決められる事項は、埋めていない箇所として明示しています。
アカウントの情報 — 認証事業者から受け取る識別子、メールアドレス、表示名、表示言語、二要素認証の設定状況。パスワードそのものは本サービスに保存されません。
組織の情報 — 正式名称、表示名、タイムゾーン、および申告された場合の適格請求書発行事業者の登録番号。
取引先とその担当者の情報 — 法人名・屋号、法人番号、登録番号、所在地、電話番号、担当者の氏名・メールアドレス・電話番号・希望する連絡手段。これらには、利用企業が入力し、または資料から取り込んだ第三者の情報が含まれます。
利用企業が渡した資料そのもの — アップロードされたファイルの実体と、そこから取り出された本文・ページ・事実。
会話の内容 — 利用者が入力した文章と、CELVA の応答。
会社の記憶 — 確認された事実、判断、ルール、好み。
仕事・承認・請求・支払指示・契約の記録。
監査ログ — 誰が、いつ、どの画面で、何を実行し、結果がどうであったか。IP アドレスと User-Agent を含みます。
本サービスは、アクセス解析や広告計測のための外部タグを読み込みません。
本サービスの提供、認証、および権限の判定のため。
利用者の依頼にもとづく起案（書類の下書き、計画の作成、提案）のため。起案は提案であり、承認を経ずに外部へ送信されることはありません。
通知の配信、監査記録の作成、障害の調査および対応のため。
本サービスは、ある利用企業の記録を、他の利用企業のために利用しません。組織をまたいだ参照は、データベースの行単位のアクセス制御によって遮断されています。
運営者が記入上記以外の利用（統計の作成、品質改善のために運営者の担当者が内容を閲覧すること等）を行う場合は、その範囲と条件
本サービスは、次の事業者に取扱いを委託しています。
ホスティング — Vercel。本番環境の実行リージョンは東京（hnd1）です。
データベースおよびファイル保管 — Supabase。アップロードされたファイルは非公開のバケットに保存されます。
認証 — Auth0。本番環境のログインは Auth0 のログイン画面で行われます。
言語モデル — Anthropic。言語モデルへ送る内容（第4項）は、Anthropic の API（api.anthropic.com）へ直接送られ、Vercel AI Gateway は経由しません。組織の登録時に自動で作られる送出条件が認める送り先はこれだけで、その組織が別の送り先を承認しない限り、ほかの言語モデル事業者へは送られません。この項目は、表示している環境の設定から、送出条件の記録と同じ規則で導いています。
メール送信 — Resend。ただし 2026-09-22 時点で、本サービスにはメールおよびプッシュ通知の送信実装がありません。通知はアプリ内の通知のみで、外部の宛先へメールが送られることはありません。
運営者が記入各委託先とのデータ処理に関する契約の締結状況と、最新の委託先一覧を掲載する場所
運営者が記入実際に使用している言語モデルの提供元とモデル名。設定を変更した場合は本項も更新してください
会話の内容、資料の一部、記録から取り出した情報は、回答を作成するために言語モデル事業者へ送られます。
送出のたびに、組織ごとに定めた送出条件（送り先、目的、情報の区分）が照合されます。条件に合致しない送出は行われません。
認証情報として印の付いた情報は、送出条件の内容にかかわらず、一律に送られません。
「機密」および「区分未設定」の情報は、既定の送出条件には含まれません。
送出条件には学習利用の可否を記載する欄があり、その既定値は「禁止」です。ただし、各事業者が実際に学習へ利用するか否かは、運営者と各事業者との契約によります。
運営者が記入各言語モデル事業者との契約上、送信した内容が学習に利用されないことの根拠（契約条項、設定、事業者の掲載ページ）
本サービスには、期間の経過だけで記録を自動的に削除する仕組みがありません。定期的に実行されるのは、処理の起動と、データベース側の実行履歴を7日で掃除する処理だけです。記録は、削除の手続きが行われるまで保存されます。
102 のテーブルが追記専用です（2026-09-22 実測）。これらのテーブルでは、データベース自身が更新と削除を拒否します。版、監査ログ、各種の受領証がここに含まれます。「いつ誰が何を決めたか」を後から書き換えられないようにするための設計であり、その結果として、これらの記録は削除の対象になりません。
運営者が記入利用企業の記録を保存する期間の方針（契約終了後◯日で削除する等）と、その起算点
運営者が記入データベースのバックアップの世代と保持期間。バックアップは本サービスが運用する保管先ではないため、消去の受領証を発行できません
削除は、管理画面の「データと保持」から、見積もる → 制限する → 削除を申請 の順に進みます。削除の申請には、申請者とは別の担当者の承認と、その場での二要素認証が必要です。
承認された削除では、毎分動く処理が次のものを実際に消去し、保管先ごとに受領証を残します。書類の本文、アップロードされたファイルの実体（同じ中身を他の版が参照していない場合に限ります）、記憶の本文、検索用の写し。
取引先および担当者の記録は、読み取りを停止できます。ただし本文の物理的な消去はまだ実装されていません。この場合、その削除の申請は「消去済み」にはならず、保留のまま残ります。
次のものは消去されません。版・監査ログ・受領証（追記専用であるため）、法的保持が設定されているデータ、データベースの自動バックアップ。
上記以外の種類の記録は、削除の依頼として記録されますが、利用を停止することはできません。その旨は管理画面の明細に表示されます。
記録の控えの取得は、終了の手続きとは無関係に申請できます。
運営者が記入本人からの開示・訂正・利用停止・削除の請求を受け付ける方法、本人確認の方法、手数料の有無、回答までの期間
本サービスは、次の Cookie を使用します。所属する組織の文脈を保持する Cookie（封緘されており、ブラウザから内容を読むことはできません）、表示言語を保持する Cookie、および認証事業者が発行するログインセッションの Cookie。
アクセス解析および広告のための Cookie は使用していません。
本サービスの実行リージョンは東京です。ただし、委託先である言語モデル事業者、認証事業者およびホスティング事業者は、日本国外の設備で情報を取り扱う場合があります。
運営者が記入データベースおよびファイル保管（Supabase プロジェクト）のリージョン
運営者が記入各委託先が所在する国名と、個人情報保護法第28条にもとづく移転の根拠（基準適合体制の整備、本人の同意、その他）
組織ごとに行単位のアクセス制御を適用しており、他の組織の記録は読み出せません。
権限や支払いに関わる操作には、二要素認証を求めます。
取り込んだ資料に含まれる指示によって、承認や権限が変更されることはありません。
アップロードされたファイルは、申告された種別ではなく実際の先頭バイトで判定し、簡易的な検査を経て保管します。本サービスには専用のマルウェア対策エンジンは組み込まれておらず、検査結果には、どの検査器によるものかが記録されます。
運営者が記入運営者側の組織的・人的な安全管理措置（アクセス権限の管理、従業者の教育、委託先の監督、事故発生時の報告体制）
本ポリシーおよび個人情報の取扱いに関するお問い合わせは、次の窓口で受け付けます。
運営者が記入問い合わせ先（部署名・担当者名・メールアドレス・電話番号・受付時間）
運営者が記入個人情報の取扱いについて責任を負う者の氏名または役職
本ポリシーは改定されることがあります。改定後の内容は、本ページに掲示した時点から適用されます。
運営者が記入利用企業に重大な影響を与える改定を行う場合の通知方法と、事前告知の期間