組織・教育データ取扱方針
版：org-data-2026-08-14-v1／制定・施行：2026-08-14
本方針は、契約組織が本サービスで取り扱う児童生徒、保護者、教職員、受講者、従業者等の情報（以下「組織データ」）について、契約組織と運営者の役割を定めるものです。一般利用者についてはプライバシーポリシーも適用されます。
1. 役割と責任分担
組織データの取得目的・対象者・利用方法を決定する契約組織が、本人への通知・公表、法的根拠、同意、開示等請求、保存期間等を管理します。運営者は、契約と文書化された設定・操作指示に従い、サービス提供に必要な範囲で組織データを取り扱います。公立学校・教育委員会等では、個人情報保護法の行政機関等の規律、条例、教育委員会規程、委託契約を優先します。
運営者が自ら決定するアカウントセキュリティ、請求、不正利用防止、法令対応、問い合わせ対応の情報については、運営者が利用目的と責任を負います。
2. 取り扱う情報
| 分類 | 主な項目 |
|---|---|
| 組織・契約 | 正式名称、表示名、種類、タイムゾーン、プラン、席数、保存日数、Stripe顧客・サブスクリプションID、決済状態 |
| 構成員 | 氏名、メールアドレス、役割、所属グループ、役職、職員コード、アカウント状態、最終ログイン |
| 学習・課題 | 課題、対象者、期限、回答、提出、採点、コメント、進捗、視聴・復習履歴、学習目標 |
| 教材・AI | プリント写真、ファイル名、抽出文字、学習プロンプト、科目・単元、信頼度、AI出力、人による確認・修正 |
| 勤務補助 | 出退勤、休憩、手入力、承認、契約上の週時間、警告状態 |
| 運用・監査 | 操作履歴、役割変更、エクスポート、同意版、日時、仮名化したIP情報、エラー・セキュリティ記録 |
3. 利用目的
- 認証、組織・役割・席数管理、課題配信、学習・提出・確認機能の提供
- 教材画像の保管、AI読取り、学習検索・診断・復習への接続
- 請求、契約、不正・二重決済防止、使用量・プラン上限管理
- 問い合わせ、障害対応、性能・品質・安全性改善、監査、法令対応
- 契約組織が画面で指定した学習・研修運用の実行
組織データを広告ターゲティングに使用しません。運営者独自の汎用AIモデルの学習データとして使用する場合は、匿名加工情報等を除き、別途の明示と法的根拠を必要とします。
4. データ最小化と禁止データ
契約組織は、氏名の代わりに管理番号を用いる、プリントの氏名欄を隠す、必要な範囲だけ撮影する等、目的に必要な最小限の情報のみを登録します。マイナンバー、決済カード番号、診療情報、障害・家庭環境・相談記録等の要配慮個人情報、原本証明書、他者の機密情報は、法的根拠、必要性、本人への説明、別途の安全管理合意がない限り入力しないでください。
5. 未成年者と学校利用
契約組織は、児童生徒の発達段階、情報の性質、利用目的に応じて平易な説明を行い、本人だけで同意の結果を判断できない場合は法定代理人等の同意を取得します。教育機関は、自治体・学校設置者の個人情報保護、情報セキュリティ、生成AI利用の各方針を確認します。
6. AI処理
教材画像、抽出文字、教材タイトル、組織種別等をAI APIへ送信する場合があります。プリント読取りでは個人名・学籍番号・連絡先を抽出文中で置き換える指示を行いますが、送信前の画像自体に含まれる情報を除去するものではありません。契約組織が撮影前にマスキングし、AI出力を人が確認してください。詳細はAI利用方針に定めます。
7. 委託、外部サービス、第三者提供
運営者は、ホスティング、決済、メール、AI処理、動画再生、認証等のために必要な範囲で外部事業者を利用し、選定、契約、必要な監督を行います。詳細は外部委託先・連携サービス一覧に示します。委託に伴う提供と法令上の第三者提供を区別し、本人同意や確認・記録が必要な第三者提供は、法令上の例外を除き必要な手続を行います。
8. 外国での取扱い
Stripe、Google / YouTube、AI API等は日本国外のサーバーまたはサポート拠点を使用する場合があります。外国にある第三者への提供に該当する場合、基準適合体制の確保、情報提供と本人同意その他適用法令に必要な措置を行います。契約組織が本人同意等を取得する設計の場合、運営者は判断に必要な利用先情報を提供します。
9. 安全管理
組織別データ分離、サーバー側の権限確認、パスワードのハッシュ化、TLS通信、教材の公開領域外保存、CSRF対策、レート制限、監査ログ、エラー表示の秘匿化等を実施します。詳細は情報セキュリティ方針をご確認ください。
10. インシデント対応
組織データの漏えい、滅失、毀損、不正アクセス等が発生した、またはそのおそれを把握した場合、運営者は拡大防止、保全、原因調査、影響確認を行い、契約組織に不当な遅滞なく、判明した事実、影響範囲、措置、問い合わせ先を連絡します。個人情報保護委員会等への報告、本人通知、公表は、各当事者の法的立場と契約に応じて協力して行います。
11. 保存・削除
教材画像は、契約プランの最大保管日数（試用30日、スターター90日、スタンダード365日、エンタープライズ1,095日）を上限に組織設定の保存期限を設け、期限後に削除対象とします。監査ログ、契約・請求、セキュリティ記録は、紛争、不正防止、法令・会計上の必要期間のみ保持します。契約終了前に必要データをエクスポートし、終了後は契約終了条件に従って取り扱います。
12. 開示、訂正、利用停止等
組織データに関する本人からの請求は、原則として利用目的を決定する契約組織が受け付け、運営者は合理的な範囲で検索、輸出、訂正、停止、削除に協力します。運営者が利用目的を決定するアカウント・請求等の情報はお問い合わせから請求できます。本人確認、代理権確認、法令上の不開示事由の確認を行う場合があります。
13. 変更と問い合わせ
取扱いに実質的な影響を与える変更は、施行日と概要を管理画面等で事前に通知します。別途の同意が必要な変更は同意を取得します。運営者の名称・連絡先は事業者表示、質問・苦情・漏えい等の連絡はお問い合わせ窓口をご利用ください。