ソースコード・セキュリティ診断サービス利用規約

第1条（目的及び適用）

1. 本規約は、株式会社グルコース（以下「当社」といいます。）が提供する「ソースコード・セキュリティ診断サービス」（以下「本サービス」といいます。）の利用条件を定めるものです。本規約は、本サービスを利用する事業者（以下「お客様」といいます。）と当社との間の本サービスに関する一切の関係に適用されます。
2. 当社とお客様が本サービスに関して記名押印、電子署名その他これに準ずる方法により締結した契約書、申込書その他の書面（秘密保持契約を除きます。以下「個別契約」といいます。）に本規約と異なる定めがある場合は、個別契約の定めが優先します。お客様が発行する注文書その他の書面に記載された取引条件は、当社が記名押印または電子署名を付した書面で個別に承諾した場合を除き、適用しません。
3. 本サービスの内容について、当社のサービスサイト、提案書等の記載と本規約または個別契約の定めが異なる場合は、個別契約、本規約、サービスサイトの順に優先します。提案書は、個別契約に取り込まれた範囲で効力を有します。
4. 本サービスは事業者向けのサービスです。消費者契約法に定める消費者は本サービスを利用できません。

第2条（定義）

本規約で使用する用語の意味は、次のとおりとします。

1. 「対象コード」：お客様が本サービスのために当社に提供するソースコード、設定ファイル、IaC（Infrastructure as Code）の定義ファイルその他の資料（それらの複製物を含みます。）
2. 「提供情報」：対象コードを含め、お客様が本サービスに関して当社に提供する一切の情報（当社が第3条第3項の検査で取得した応答データその他の情報を含みます。）
3. 「AI診断」：外部サービスのうち別紙2で区分を「AI解析」としたもの（以下「AI解析サービス」といいます。）を利用して、対象コードを解析すること
4. 「外部サービス」：当社が本サービスにおいて提供情報または報告書を取り扱うために利用する第三者のサービスのうち、別紙2に記載したもの
5. 「報告書」：診断の結果を記載し、当社がお客様に提供する文書
6. 「指摘事項」：報告書に記載される脆弱性その他のセキュリティ上の懸念事項
7. 「深刻度」：CVSS等の公開された評価基準を参考に当社が定める基準により評価した、指摘事項の重大性の区分
8. 「対象システム」：対象コードにより構成される、お客様のシステムまたはサービス
9. 「利用契約」：本規約に基づき当社とお客様との間で成立する本サービスの利用に関する契約（個別契約がある場合は個別契約を含み、秘密保持契約を含みません。）
10. 「秘密保持契約」：第8条第1項に基づき締結された秘密保持契約、または既存の秘密保持契約のうち本サービスに適用することをお客様と当社が書面で確認したもの
11. 「秘密情報」：第18条第1項に定める情報
12. 「無料相談」：第3条第6項に定める相談
13. 「情報セキュリティインシデント」：提供情報または報告書の漏えい、滅失、毀損、不正なアクセスによる閲覧もしくは改ざんその他これらの安全を損なう事象
14. 「削除」：情報を、当社の担当者が通常の業務で用いる操作によっては利用及び復元ができない状態にすること。バックアップ及び外部サービスの提供者のもとに残るものの扱いは、第10条第6項及び第12条第2項によります。
15. 「担当者」：本サービスの業務に従事する者として当社が指名した当社の役員及び従業員、並びに第11条により再委託先が従事させる者
16. 「業務用端末」：当社が貸与し管理する端末（ディスクを暗号化したもの）
17. 「書面」：紙の文書、及び電子メールその他の電磁的記録。ただし、本規約で記名押印または電子署名を付すことを定めている場合は、その方法によるものに限ります。
18. 「営業日」：土曜日、日曜日、国民の祝日及び12月29日から1月3日までを除く日

第3条（本サービスの内容）

1. 本サービスは、対象コードについて、AI診断及び当社のエンジニアによる確認（誤検知の除去、深刻度の評価、悪用可能性の確認等）を行い、その結果を報告書として提供する有償のサービスです。当社は、悪用可能性の確認を対象コードの読解及び解析により行い、対象コードを実行せず、対象システムその他お客様または第三者のシステムに接続しません（第8条第2項による対象コードの受領を除きます。）。ただし、お客様の書面による事前の承諾を得た場合に限り、当社は、認証情報及び本番環境の接続先を無効な値に置き換えた上で、業務用端末上の検証用環境（担当者以外がアクセスできず、外部への通信を遮断したものに限ります。依存ライブラリは、実行の前に公開の配布元から取得します。）で対象コードを実行（ビルドを含みます。）することがあります。この実行は、次項第1号の検査に当たりません。
2. 本サービスは対象コードの解析を内容とし、次の各号は含みません。ただし、第1号及び第3号は、お客様と当社が個別契約で合意した場合はこの限りではありません。
   1. 稼働中のシステム、ネットワークまたは本番環境に対する疑似攻撃、侵入試験（ペネトレーションテスト）その他の動的な検査
   2. 指摘事項の修正、リファクタリングその他の実装作業
   3. 対象コード以外の事項（サーバーやクラウド環境の実機の設定、運用体制、物理的なセキュリティ等）の評価
3. 前項第1号の検査を個別契約により行う場合は、次の各号をすべて満たすことを条件とします。
   1. 検査の対象はお客様が管理する検証環境に限り、本番環境及び本番データを含まないこと
   2. お客様が、検査の開始前に、検査の対象（ホスト名、IPアドレス、URL等）、期間及び時間帯、検査の内容、当社の接続元、緊急時の連絡先並びに中止の手順を記載した当社所定の実施承諾書を、当該対象のアクセス管理者（不正アクセス行為の禁止等に関する法律第2条第1項に定める者をいいます。）から承諾の権限を与えられた者の記名押印または電子署名を付して、当社に提出すること
   3. 検査の対象に第三者（クラウド事業者、ホスティング事業者その他お客様が利用するサービスの提供者等）が管理する設備が含まれる場合、お客様が当該第三者の承諾を得ていること、または当該第三者の定める検査に関する規程に従っていることを確認し、その記録を当社に提出すること
   4. 検証環境が、本番環境とアカウント、認証情報及び外部の決済・メール送信等のサービスの本番用の鍵を共有していないことを、お客様が確認していること
   5. お客様が、検査の開始前に検証環境のバックアップを取得していること
   6. 検査用のアカウントはお客様が発行し、検査の終了後に無効化すること
4. 第2項第2号の作業は、当社が別途提案し、お客様と個別契約を締結した場合に提供します。
5. 診断の手順、報告書の構成その他の本サービスの詳細は、当社のサービスサイト、提案書または個別契約で定めます。
6. 当社は、本サービスの利用を検討する事業者に対し、申込みの前に無料で相談に応じることがあります（以下「無料相談」といいます。）。無料相談は本サービスに含まれず、無料相談によって利用契約は成立しません。
7. 当社は、無料相談において、ソースコード、設定ファイル、IaCの定義ファイル及び認証情報（以下「コード等」といいます。）の提供を求めず、会議の録画及び自動記録の機能を使用しません。コード等が当社に送付され、または画面共有等で提示された場合、当社はこれを診断その他の目的に利用せず、送付されたものを削除した上でその旨を送付者に通知します（削除については第10条第6項を準用します。）。当社は、無料相談において開示を受けたその他の情報（使用技術、規模、システム構成等）を、本サービスの提案及び見積り以外の目的に利用せず、開示者の承諾なく第三者に開示しません。

第4条（対象範囲）

1. 本サービスで診断できる言語、フレームワーク及びIaCの対象となるクラウドサービス等は、別紙1「対応技術一覧」のとおりとします。当社は、別紙1を当社のウェブサイトに掲載し、随時更新します。利用契約には、申込みの時点の別紙1を適用します。
2. 別紙1に記載のない技術を用いた対象コードについては、お客様は事前に当社に相談するものとします。当社が対応の可否を判断し、対応する場合はその範囲と条件を個別契約で定めます。
3. 当社は、診断の品質を確保するため、診断の対象をリポジトリ、ディレクトリまたは機能（API、Web画面等）の単位で限定するよう求めることがあります。診断の対象範囲は、申込みの際にお客様と当社で合意します。

第5条（業務の実施及び完了）

1. 本サービスの内容、対象範囲、料金、実施期間、報告書の提出日及び報告会の有無は、個別契約で定めます。
2. 利用契約は、当社が善良な管理者の注意をもって診断の業務を行うことを内容とする準委任契約です。仕事の完成または成果に対して報酬を支払う旨の合意（民法第648条の2）を内容とするものではなく、報告書の提出は業務の結果の報告として行うものです。本サービスは、すべての脆弱性の発見その他の特定の結果の達成を約するものではありません。
3. 本サービスの業務は、当社が報告書を提出した時点（個別契約で報告会を行うと定めた場合は、報告会を実施した時点）で完了します。ただし、お客様の都合により報告書の提出から10営業日以内に報告会が実施されない場合は、その期間が満了した時点で完了したものとみなします。
4. お客様は、報告書の受領後10営業日以内に限り、報告書に明らかな誤記または記載漏れがあることを当社に通知できます。当社は、通知を受けた場合、合理的な範囲で報告書を修正します。
5. 対象コードの提供を受けた後に、対象コードの規模、使用技術または指摘事項の件数が、申込書に記載された前提（第6条第1項）を著しく超え、または対象コードが別紙1の範囲外であることが判明した場合、当社はお客様に通知し、対象範囲の縮小、実施期間の延長または料金の追加について協議します。協議が整うまで、当社は当初合意した範囲を超える業務を行う義務を負いません。
6. 前項の協議が通知から10営業日以内に整わない場合、お客様または当社は利用契約を解約できます。この場合、お客様は解約の時点までに当社が行った業務の割合に応じた料金を支払うものとし、第22条第1項ただし書は適用しません。
7. 指摘事項の修正後の再診断は、別途個別契約により提供します。

第6条（申込み及び契約の成立）

1. 本サービスの申込みは、当社所定の申込書により行うものとします。申込書には、次の事項を記載するものとします。
   1. 料金及び実施期間の前提として、対象コードのリポジトリ数、概算のコード行数、使用する言語・フレームワーク及びそのバージョンその他当社が定める事項
   2. 第19条の通知を受けるお客様の連絡窓口
   3. 報告書の受領者
   4. 対象コードの提供方法（第8条第2項）
2. 利用契約は、秘密保持契約が締結された後に、お客様が当社所定の申込書を当社に提出し、当社が承諾した時点で成立します。
3. 当社は、次のいずれかに該当する場合、申込みを承諾しないことがあります。
   1. 申込みの内容に虚偽、誤記または記載漏れがある場合
   2. 第7条第2項の確認書面の提出がない場合
   3. 秘密保持契約が締結されていない場合、または秘密保持契約の内容が第18条第5項各号の取扱いを許さない場合
   4. 対象コードが第4条の対応範囲外であり、当社が対応できないと判断した場合
   5. お客様が第23条第1項の表明に反する者である場合、または同条第2項に定める行為を行った場合
   6. 当社の競合サービスの調査を目的とする申込みであるなど、当社が不適当と判断した場合
4. お客様は、申込みの時点で当社のウェブサイトに掲載されている本規約（版及び日付を申込書に表示します。）に同意の上で申し込むものとし、本規約は利用契約の内容となります。

第7条（お客様の表明保証及び確認書面）

1. お客様は、当社に対し、次の事項を表明し、保証します。
   1. 対象コードを当社に提供し、当社が本規約に従って解析（外部サービスを用いる解析を含みます。）することについて、必要な権限を有していること。対象コードの全部または一部が第三者（開発委託先、ライセンサー、共同開発者等）に帰属する場合は、当該第三者から必要な承諾を得ていること
   2. 対象コードの提供が、お客様が第三者と締結した契約（秘密保持契約、ライセンス契約等）及び法令に違反しないこと
   3. 本サービスの申込みについて、お客様の社内で必要な承認を得ていること
   4. 対象コードに、外国為替及び外国貿易法その他の法令により日本国外への提供が規制される技術情報が含まれないこと。含まれる場合は、申込みの前に当社に通知すること
2. お客様は、申込みの際、前項各号の事項、及び第12条に定める外部サービスへの送信（秘密保持契約の定めにかかわらず第18条第5項に従って行われることを含みます。）について確認した責任者の氏名及び役職を記載した当社所定の確認書面を当社に提出するものとします。
3. 第1項の表明保証が事実と異なっていたことにより、当社に損害が生じた場合または第三者から当社に請求がなされた場合、お客様は、自らの責任と費用でこれを解決し、当社に生じた損害（合理的な弁護士費用を含みます。）を賠償するものとします。

第8条（秘密保持契約の締結及び対象コードの提供）

1. お客様と当社は、本サービスの申込みの前に、当社所定の、またはお客様と当社が合意した秘密保持契約を締結するものとします。当社は、利用契約が成立するまでは、対象コードを受け取りません。
2. お客様は、次のいずれかの方法により対象コードを提供するものとします。
   1. 当社が発行する、アクセスできる者及び期限を限定したアップロード用のリンクにより、外部サービスとして別紙2に記載したストレージにアップロードする方法
   2. 対象のリポジトリについて、担当者に読み取り専用の権限を期間を限って付与する方法
   3. その他お客様と当社が合意した、通信の際に暗号化される方法。ただし、当社が対象コードを保存する場所は、業務用端末及び外部サービスに限ります。
3. 前項第2号の場合、お客様は本サービスの業務の完了後に当該権限を取り消すものとし、当社は担当者が作成した複製を第10条に従って削除します。
4. お客様は、対象コードを提供する前に、次の情報を取り除き、またはダミーの値に置き換えるよう努めるものとします。
   1. パスワード、APIキー、秘密鍵、アクセストークンその他の認証情報
   2. 本番環境のデータ、個人情報その他、診断に必要のない実データ
5. 前項の情報が対象コードに含まれていた場合も、当社はこれを秘密情報として取り扱います。当社は、AI診断の前に認証情報の検出ツールで対象コードを確認し、検出した認証情報を外部サービスに送信する前に取り除きます。当社は、認証情報を発見した場合はお客様に通知して無効化または変更を推奨し、当該認証情報を用いて対象システムその他のシステムにアクセスしません。当社は、実データ（個人データを含みます。）を発見した場合もお客様に通知し、当該実データをAI診断の対象から除きます。
6. お客様は、本サービスの実施に必要な範囲で、当社からの質問への回答、資料の提供その他の協力を行うものとします。お客様の協力が得られないことにより診断に支障が生じた場合、当社はその範囲で責任を負いません。

第9条（個人データの取扱い）

1. お客様は、対象コードに個人データ（個人情報の保護に関する法律（以下「個人情報保護法」といいます。）に定める個人データをいいます。以下同じ。）を含めないよう努めるものとし、含める必要がある場合は事前に当社に通知するものとします。
2. 対象コードに個人データが含まれる場合、その取扱いはお客様から当社への個人データの取扱いの委託として行い、当社は次の義務を負います。
   1. 本サービスの提供の目的以外に利用しないこと
   2. 個人情報保護法に基づく安全管理措置を講じること
   3. 個人データの漏えい、滅失もしくは毀損またはこれらのおそれ（個人情報保護法第26条第1項の報告の対象となる事態であるか否かを問いません。）を把握した場合、第19条第1項の期限内にお客様に通知すること。当該事態が同項の報告の対象となるものである場合は、同法施行規則第8条第1項各号に定める事項のうちその時点で把握しているものを通知し、お客様が行う個人情報保護委員会への報告及び本人への通知に協力すること
   4. 第10条に従って削除すること
   5. 当該個人データの取扱いを第三者に再委託しないこと（第11条によりお客様の承諾を得た場合を除きます。）、及びお客様が第20条に定める方法により行う監督に協力すること
3. お客様は、対象コードに含まれる個人データが、第12条に従い外部サービスで取り扱われることを承諾します。当社は、個人データを日本国外にある外部サービスの提供者のサーバーに送信する場合、個人情報保護法に従い必要な措置を講じた上で行います。当社は、お客様の求めに応じ、移転先の国の名称、当該国の個人情報の保護に関する制度及び外部サービスの提供者が講じる措置の概要に関する情報を提供します。
4. 当社は、本サービスに関してお客様の担当者から取得する個人情報（氏名、連絡先等）を、当社のプライバシーポリシーに従って取り扱います。

第10条（対象コードの取扱い）

1. 当社は、対象コードを本サービスの提供（報告書の作成、報告会の実施及びお問い合わせへの対応を含みます。）の目的にのみ利用し、その他の目的には利用しません。ただし、第8項に定める統計情報の作成はこの限りではありません。
2. 当社は、対象コードを、業務用端末及び外部サービスでのみ取り扱い、アクセスできる者を担当者に限定します。当社の役員及び従業員が個人で所有する端末では、対象コードを取り扱いません。
3. 当社は、対象コード、並びに指摘事項のうちお客様または対象システムを特定し得る記述を、AIモデル（当社が開発し、または調整するものを含みます。）の学習に利用せず、当社のツール、手法、チェックリスト及びプロンプトに含めません。お客様及び対象システムを特定し得ない一般的な脆弱性の類型及び検出の観点は、この限りではありません。
4. お客様は、当社に対し、本サービスの提供に必要な範囲で、対象コードを複製し、解析のために変換し、第3条第1項に従って実行（ビルド及び依存ライブラリの取得を含みます。）し、外部サービスに送信し、及び報告書に抜粋することを許諾します。
5. 当社は、本サービスの業務が完了した日または利用契約が終了した日のいずれか早い日から30日以内に、業務用端末及び外部サービス上にある対象コード（複製物、展開したファイル及び外部サービス上の会話履歴に含まれるものを含みます。）を削除します。お客様から求めがあった場合、当社は、当社の記録に基づき、削除した対象、場所、日時及び次項に基づき残るものを記載した削除完了の通知を、当社所定の様式により書面で行います。ただし、次の各号の場合は、当該各号に定めるところに従います。
   1. お客様が削除の時期を別途指定した場合：その指定
   2. お客様が指摘事項の修正その他の業務を当社に発注し、同じ対象コードをその業務に用いることに同意した場合：当該業務の利用契約の定め
6. 前項にかかわらず、外部サービスの提供者のもとに残るデータは、別紙2に記載の当該提供者の定めに従って保持及び削除されます。当社はこれを操作できず、その削除の時期を保証しません。当社は、当社の操作で削除できるデータを前項の期限内に削除し、残るものが削除されるまでの間、これを秘密情報として取り扱います。
7. 第5項にかかわらず、当社は、報告書及び診断業務の記録を、お客様への説明、再診断及び紛争への対応のため、報告書の提出後1年間保管し、期間の経過後は遅滞なく削除します。診断業務の記録は、報告書の作成過程を示す作業記録（指摘事項ごとの判断の根拠及び報告書に記載した範囲の対象コードの抜粋を含みます。）とし、外部サービス上の会話履歴及び当該抜粋を超える対象コードを含みません。お客様が求めた場合、当社は保管期間内であっても報告書、診断業務の記録または対象コードの抜粋を削除します。この場合、当社は、削除した情報に基づく説明及び再診断に応じられないことがあります。ただし、お客様と当社の間に紛争が生じ、またはそのおそれがある場合は、当社はその解決まで削除を留保できます。
8. 当社は、お客様及び対象システムを特定できない形に加工し、対象コードの全部または一部を含まず、指摘事項の内容を特定できない統計情報を、本サービスの品質向上のために利用することがあります。当社がお客様の名称または診断の結果を事例として公表する場合は、事前にお客様の書面による承諾を得ます。

第11条（再委託）

1. 当社は、お客様の事前の承諾を得た場合に限り、本サービスの業務の一部を第三者に再委託できます。この場合、当社は、再委託先に本規約で当社が負う義務と同等の義務を負わせ、再委託先の行為についてお客様に対して責任を負います。
2. 外部サービスの利用は、前項の再委託に当たらず、第12条に定めるところによります。
3. 当社の役員及び従業員以外の者（業務委託契約による個人及び派遣労働者を含みます。）に提供情報を取り扱わせる場合は、第1項の再委託として扱います。

第12条（外部サービスの利用）

1. 当社は、外部サービスの提供者を、そのデータの取扱条件及びセキュリティ対策を確認した上で選定します。
2. 当社は、対象コードを、業務用端末及び外部サービス以外の生成AIサービスその他の第三者のサービスに入力し、または保存しません。報告書及び診断業務の記録は、業務用端末及び外部サービスで取り扱います。外部サービスが利用できない場合も、別紙2に記載のない代替のサービスは利用しません。当社は、業務用端末上の対象コードを、バックアップ（外付けの記憶媒体へのものを含みます。）及び別紙2に記載のないクラウド同期の対象としません。
3. 当社は、AI解析サービスを、法人向けに提供されるプランにより、契約条件または設定によって入力データがAIモデルの学習に利用されない状態で使用します。当社は、外部サービスのうち、入力データが学習に利用され、または第三者に共有されるおそれのある機能（フィードバックの送信、外部共有リンク、Web検索、会話をまたいで内容を記憶する機能、他のサービスとの連携、担当者以外へのプロジェクトの共有等）を、対象コードの取扱いに用いません。
4. 外部サービスの提供者の名称、サービス名、データの処理・保管地域、データの保持及び削除の条件その他の事項は、別紙2のとおりとします。当社は、外部サービスを追加し、または変更する場合、その10営業日前までに、実施中の利用契約があるお客様、及び提供情報または報告書が当該外部サービスに残るお客様に通知します。外部サービスの提供者が規約、データの保持期間、処理地域等を変更したことにより別紙2を変更する場合は、当社がこれを知った後、遅滞なく通知します。お客様は、実施中の診断について変更に異議を述べることができ、その場合はお客様と当社で対応を協議します。協議が通知から10営業日以内に整わない場合、お客様は利用契約を解約できます。この場合、お客様は解約の時点までに当社が行った業務の割合に応じた料金を支払い、第22条第1項ただし書は適用しません。別紙2の変更は本項の手続により行い、第24条は適用しません。変更後の別紙2は、通知に定める日以降、実施中の利用契約にも適用されます。
5. お客様は、本サービスのために、対象コードが外部サービスのサーバー（日本国外に所在するものを含みます。）に送信され、別紙2に記載の当該提供者の定め（不正利用の監視のための保持を含みます。）に従って保持される場合があることに同意します。
6. 当社は、外部サービスの提供者について、年1回以上、別紙2に記載の事項及び第三者認証の取得状況を確認し、その記録を保管します。

第13条（報告書の取扱い）

1. 報告書の著作権その他の知的財産権は当社に帰属します。ただし、報告書に引用された対象コードの部分に関する権利は、お客様またはその正当な権利者に帰属します。
2. お客様は、次の目的に限り、報告書を無償で利用（複製及び改変を含みます。）できます。第2号及び第3号の開示先には、お客様と同等の秘密保持義務を負わせるものとします。
   1. お客様（親会社、子会社及び関連会社を含みます。）の内部での利用
   2. 指摘事項の修正のため、お客様の開発委託先に開示すること
   3. お客様の顧客、監査人その他お客様が指摘事項への対応のために必要と認める者に開示すること
   4. お客様の取引先から求められた場合に、第15条第5項の内容を明示した上で、報告書の要約を開示すること
   5. 報告書に記載された修正案を対象システムに組み込むこと
3. お客様が前項以外の目的で報告書を第三者に開示する場合は、事前に当社の承諾を得るものとします。ただし、法令に基づき開示を求められた場合、及び弁護士、公認会計士その他の法令上の守秘義務を負う専門家に開示する場合は、この限りではありません。
4. 当社は、お客様による前2項の利用について著作者人格権を行使しません。ただし、お客様は、改変した報告書を当社が作成したままの報告書であるかのように表示してはなりません。
5. 当社は、本サービスの過程で当社が作成し、または利用したツール、手法、チェックリスト、報告書のひな形その他のノウハウに関する権利を保持し、これらを他の業務に利用できます。ただし、第10条第3項に定めるものは含めません。
6. 当社は、報告書を、お客様が申込書で指定した受領者に限ってアクセスを許可し、期限を設定した当社指定のストレージ（外部サービスとして別紙2に記載したもの）により提供します。受領者の変更は、お客様の書面による通知により行います。
7. 当社は、報告書を、業務用端末及び外部サービスで、担当者に限ってアクセスできる状態で保管します。
8. お客様は、報告書の漏えいを知った場合、速やかに当社に通知するものとします。

第14条（料金及び支払）

1. 本サービスの料金（消費税等別）は、個別契約で定めます。
2. お客様は、当社が発行する請求書に従い、本サービスの業務が完了した日（利用契約が中途で終了した場合は、終了した日）の属する月の翌月末日までに、当社が指定する銀行口座への振込みにより料金を支払うものとします。振込手数料はお客様の負担とします。
3. お客様が料金の支払いを遅延した場合、支払期日の翌日から支払済みの日まで、年14.6%の割合による遅延損害金を支払うものとします。

第15条（保証の範囲）

1. 本サービスは、診断を行った時点の対象コードについて、合意した範囲と方法で確認を行い、その結果を報告するものです。当社は、次の事項を保証しません。
   1. 対象コードに含まれるすべての脆弱性を発見すること
   2. 報告書に記載のない脆弱性が存在しないこと
   3. 指摘事項のすべてが実際に悪用可能であること、または指摘事項に誤検知が含まれないこと
   4. 指摘事項を修正することにより、対象システムへの攻撃や情報漏えいが防止されること
   5. 対象システムが特定の規格、認証基準または法令に適合していること
2. AI診断には、その性質上、誤検知や検出漏れが生じることがあります。当社はエンジニアによる確認でこれを減らすよう努めますが、なくすことを保証するものではありません。
3. 診断後の対象コードの変更、新たな攻撃手法の出現、利用しているライブラリ等の新たな脆弱性の公表などにより、報告書の内容と実際の状況が異なることがあります。
4. 指摘事項に対応するかどうか、その優先順位及び対応方法は、お客様が最終的に判断するものとします。
5. 報告書は、対象システムの安全性を第三者に対して証明するものではありません。

第16条（責任の制限）

1. 当社は、本サービスに関して当社の責めに帰すべき事由によりお客様に損害を与えた場合、お客様に直接かつ現実に生じた通常の損害に限り、賠償する責任を負います。
2. 前項の賠償額は、損害の原因となった利用契約について個別契約で定めた料金の額（利用契約が中途で終了した場合は、第5条第6項、第12条第4項または第22条によりお客様が支払うべき料金の額）を上限とします。
3. 当社が利用契約で合意した範囲及び方法に従い、善良な管理者の注意をもって診断を行った場合、報告書に記載のない脆弱性に起因する損害について、当社は賠償する責任を負いません。
4. お客様は、当社に対する損害賠償の請求を、損害及び賠償義務者を知った日から1年以内に行うものとします。
5. 前各項の規定は、当社の故意または重大な過失による損害については適用しません。

第17条（不可抗力）

天災地変、戦争、暴動、感染症の流行、法令の制定または改廃、通信回線もしくは電力の障害、外部サービスの停止（提供情報または報告書の安全に関わる事象を除きます。）その他当社の責めに帰することができない事由により本サービスの履行が遅延し、または不能となった場合、当社はその責任を負いません。この場合、お客様と当社は、実施期間の変更その他の対応を協議します。

第18条（秘密保持）

1. 本規約において「秘密情報」とは、本サービスに関して一方の当事者（以下「開示者」といいます。）が他方の当事者（以下「受領者」といいます。）に開示した技術上または営業上の情報（無料相談において開示された情報を含みます。）をいいます。提供情報（対象コードを含みます。）及び報告書に記載された指摘事項は、開示の方法や秘密である旨の表示の有無にかかわらず、お客様の秘密情報とします。
2. 次の各号に該当する情報は、秘密情報に含みません。ただし、対象コードと公知の情報との組合せ、及び対象システムに特定の脆弱性が存在するという事実は、第1号の公知の情報に当たらないものとします。
   1. 開示を受けた時点で既に公知であった情報、または開示後に受領者の責めによらず公知となった情報
   2. 開示を受けた時点で既に受領者が正当に保有していた情報
   3. 受領者が正当な権限を有する第三者から秘密保持義務を負わずに取得した情報
   4. 受領者が秘密情報によらず独自に開発した情報
3. 受領者は、秘密情報を善良な管理者の注意をもって管理し、本サービスの目的以外に利用せず、開示者の事前の書面による承諾なく第三者に開示しないものとします。ただし、次の各号の場合はこの限りではありません。
   1. 自らの役員及び従業員、並びに弁護士、公認会計士、税理士その他の法令上の守秘義務を負う専門家に、本サービスの目的に必要な範囲で開示する場合。ただし、当社が対象コード及び指摘事項を開示できる役員及び従業員は、担当者に限ります。
   2. 当社が、第11条の再委託先及び外部サービスの提供者に、本規約に従って提供する場合
   3. 法令または裁判所もしくは行政機関の命令に基づき開示する場合。この場合、受領者は、法令上許される範囲で事前に（事前の通知が困難な場合は開示後速やかに）開示者に通知し、開示を必要最小限の範囲に限るものとします。
4. 本条の義務は、利用契約の終了後も3年間存続します。ただし、対象コード及び指摘事項に関する義務は、期間の定めなく存続します。
5. 秘密情報の取扱いについては、秘密保持契約の締結が利用契約の成立の前後いずれであるかを問わず、秘密保持契約の定めが本条に優先します。ただし、次の各号の事項については、秘密保持契約にこれと異なる定め（第三者への開示、日本国外への移転、複製、返還・破棄、損害賠償または通知に関する一般的な定めを含みます。）がある場合でも、本規約の定めによるものとし、お客様は第7条第2項の確認書面においてこれに同意するものとします。
   1. 第12条に基づく外部サービスへの対象コードの送信、及び別紙2に記載の定めに従った保持
   2. 第11条に基づく再委託先への開示
   3. 第10条第4項に定める複製、変換、実行及び報告書への抜粋
   4. 第10条第5項から第7項までに定める保管及び削除
   5. 第16条に定める損害賠償の範囲及び上限
   6. 第19条に定める通知の期限及び方法（秘密保持契約に定める期限が本規約より長い場合に限ります。）
6. お客様が前項各号の事項について異なる取扱いを希望する場合は、申込みの前に当社に申し出るものとし、当社が応じる場合はその取扱いを個別契約で定めます。
7. 当社は、担当者に対し、在職中（役員については在任中）及び退職後の秘密保持義務を課し、情報セキュリティ及び秘密情報の取扱いに関する教育を、本サービスの業務に従事させる前及び年1回以上行います。

第19条（情報セキュリティインシデントへの対応）

1. 当社は、情報セキュリティインシデントが発生したこと、または発生したと疑うに足りる合理的な理由があることを当社の情報セキュリティの責任者が把握した場合、速やかに、遅くとも把握した時から72時間以内に、その時点で判明している事項（概要、対象となる情報、判明している影響）を第6条第1項第2号の連絡窓口に第一報として通知し、その後判明した事項を遅滞なく報告します。外部サービスの提供者から、提供情報または報告書が対象に含まれる情報セキュリティインシデントの通知を受けた場合も同様とします。
2. 当社は、前項の場合、被害の拡大を防ぐ措置を講じ、原因、影響の範囲及び再発防止策を、当社が調査し、または外部サービスの提供者から知り得た範囲でお客様に報告します。当社は、調査に必要な記録を保全し、お客様が行う調査及び関係機関への報告に合理的な範囲で協力します。これらの対応に要する費用は当社の負担とします。ただし、情報セキュリティインシデントがお客様の責めに帰すべき事由による場合は、この限りではありません。
3. 情報セキュリティインシデントが個人データに関わる場合は、第9条第2項第3号の定めもあわせて適用します。
4. お客様は、連絡窓口を変更する場合、遅滞なく当社に書面で通知するものとします。当社は、変更の通知を受けるまでは、届出済みの連絡窓口に通知すれば足ります。

第20条（情報セキュリティに関する確認）

1. 当社は、お客様の求めに応じ、利用契約1件につき1回、当社所定の質問票または本サービスにおける情報セキュリティの取組みの概要資料により回答します。お客様所定の様式による回答、2回目以降の回答その他これを超える対応は、その範囲及び費用をお客様と当社で協議の上、個別契約で定めます。
2. お客様が、当社の事業所（従業員の自宅を含みません。）への立入りその他の方法による確認を希望する場合は、その方法、範囲、時期及び費用をお客様と当社で協議します。この場合、次の各号を前提とします。
   1. お客様は、30日前までに、目的、範囲、日時及び実施者を書面で通知すること
   2. 実施は当社の営業時間内とし、利用契約1件につき1回を目安とすること（情報セキュリティインシデントが発生した場合を除きます。）
   3. 実施者は、お客様の役員もしくは従業員、または秘密保持義務を負う監査人とし、当社の競合事業者に属する者を含まないこと
   4. 当社の他の顧客の情報は、確認の対象に含まないこと
3. 外部サービスの提供者に関する確認は、当該提供者が公開する第三者認証の報告書その他の情報の提供により行います。
4. 当社は、第三者による認証または監査の結果を示す資料を提示することにより、第2項の確認に代えることを提案でき、お客様は合理的な理由なくこれを拒まないものとします。
5. 当社が本条により提供する回答及び資料は提供の時点の内容であり、本規約または利用契約の内容を変更するものではありません。

第21条（禁止事項）

お客様は、本サービスの利用にあたり、次の行為をしてはなりません。

1. 提供する権限のない対象コードを当社に提供すること
2. 報告書その他本サービスで得た情報を利用して、第三者のシステムへの攻撃その他の違法行為を行うこと
3. 正当な権限なく、第三者のシステムの脆弱性を探索する目的で本サービスを利用すること
4. 当社の競合となるサービスの開発または調査を目的として本サービスを利用すること
5. 報告書を改変し、当社が作成したままの報告書であるかのように表示すること、または当社が承認していない形で当社の名称を表示すること
6. 法令または公序良俗に違反する行為
7. 当社の業務の遂行を妨げる行為

第22条（中途解約及び解除）

1. お客様は、本サービスの業務が完了する前であっても、当社に書面で通知することにより利用契約を解約できます。この場合、お客様は、解約の時点までに当社が行った業務の割合（個別契約に工程ごとの割合を定めた場合はこれに従います。）に応じた料金を支払うものとします。ただし、AI診断の実施後に解約する場合、支払額は料金の30%を下回らないものとします。
2. 当社は、第5条第6項、第12条第4項、本条第3項、第4項及び第7項並びに第23条第3項の場合を除き、利用契約を中途で解約しません。
3. お客様または当社は、相手方が本規約または利用契約に違反し、相当の期間を定めて是正を催告したにもかかわらず、その期間内に是正しない場合、利用契約の全部または一部を解除できます。
4. お客様または当社は、相手方が次のいずれかに該当した場合、何らの催告を要せず、直ちに利用契約の全部または一部を解除できます。
   1. 支払いの停止があった場合、または手形もしくは小切手の不渡りがあった場合
   2. 破産手続、民事再生手続、会社更生手続または特別清算の開始の申立てがあった場合
   3. 差押え、仮差押え、仮処分または租税滞納処分を受けた場合
5. 前項各号のいずれかに該当した当事者は、相手方に対する一切の金銭債務について期限の利益を失います。
6. 当社が第3項、第4項または次項により利用契約を解除した場合、お客様は、解除の時点までに当社が行った業務の割合に応じた料金を支払うものとします。
7. お客様が利用契約の成立後30日以内に対象コードを提供しない場合、当社は、お客様に通知の上、利用契約を解除できます。
8. 利用契約が終了した場合、当社は第10条に従って対象コードを削除します。

第23条（反社会的勢力の排除）

1. お客様及び当社は、自ら、自らの役員（取締役、執行役、執行役員、監査役その他名称を問わず経営に実質的に関与する者をいいます。）及び主要株主が、現在及び将来にわたり、暴力団、暴力団員、暴力団員でなくなった時から5年を経過しない者、暴力団準構成員、暴力団関係企業、総会屋等、社会運動等標ぼうゴロまたは特殊知能暴力集団等その他これらに準ずる者（以下「反社会的勢力」といいます。）に該当しないこと、及び反社会的勢力と社会的に非難されるべき関係を有しないことを表明し、保証します。
2. お客様及び当社は、自らまたは第三者を利用して、暴力的な要求行為、法的な責任を超えた不当な要求行為、脅迫的な言動もしくは暴力を用いる行為、風説の流布もしくは偽計もしくは威力を用いて相手方の信用を毀損しもしくは業務を妨害する行為、その他これらに準ずる行為を行わないことを確約します。
3. お客様または当社は、相手方が前2項に違反した場合、何らの催告を要せず、直ちに利用契約を解除できます。この場合、解除した者は、解除により相手方に生じた損害を賠償する責任を負わず、解除により自らに生じた損害の賠償を相手方に請求できます。

第24条（本規約の変更）

1. 当社は、次のいずれかに該当する場合、民法第548条の4の規定に基づき、本規約を変更できます。
   1. 変更がお客様の一般の利益に適合する場合
   2. 変更が契約をした目的に反せず、かつ、変更の必要性、変更後の内容の相当性その他の変更に係る事情に照らして合理的なものである場合
2. 当社は、本規約を変更する場合、効力発生日の1か月前までに、変更する旨、変更後の内容及び効力発生日を当社のウェブサイトへの掲載その他の適切な方法で周知します。
3. 変更前に成立し、変更の効力発生日の時点で業務が完了していない利用契約には、お客様と当社が別途合意しない限り、変更前の本規約を適用します。
4. 本規約が民法第548条の2第1項に定める定型約款に該当しない場合も、変更後の本規約は、変更の効力発生日以降に成立する利用契約に適用されます。

第25条（権利義務の譲渡禁止）

お客様及び当社は、相手方の記名押印または電子署名を付した書面による事前の承諾なく、本規約または利用契約に基づく地位及び権利義務を第三者に譲渡し、承継させ、または担保に供してはなりません。ただし、合併、会社分割または事業譲渡に伴う場合は、相手方への通知をもって足りるものとします。

第26条（存続条項）

第1条、第2条、第5条第4項、第7条第1項及び第3項、第8条第3項及び第5項、第9条、第10条（同条第6項に定めるものを含め、対象コードの削除が完了するまでの間。ただし第3項及び第8項は期間の定めなく、第7項は同項に定める期間）、第11条第1項及び第3項、第12条第2項から第4項まで及び第6項（提供情報または報告書が当社または外部サービスの提供者のもとに残る間）、第12条第5項、第13条、第14条（未払いの料金がある場合に限ります。）、第15条、第16条、第18条（同条第4項に定める期間）、第19条及び第20条（提供情報または報告書が当社または外部サービスの提供者のもとに残る間）、第21条第2号及び第5号、第22条第1項、第5項、第6項及び第8項、第23条第3項、第25条、本条、第27条及び第28条は、利用契約の終了後も効力を有します。

第27条（準拠法及び合意管轄）

1. 本規約及び利用契約は、日本法に準拠し、日本法に従って解釈されます。
2. 本規約または利用契約に関して紛争が生じた場合は、訴額に応じ、東京地方裁判所または東京簡易裁判所を第一審の専属的合意管轄裁判所とします。

第28条（協議）

本規約に定めのない事項または本規約の解釈に疑義が生じた事項については、お客様と当社が誠実に協議して解決します。

附則

本規約は、2026年11月1日から施行します。（第1版）

別紙1　対応技術一覧

別紙2　外部サービス一覧

各提供者は、法令または訴訟等への対応のためにデータを保持する場合があります。社内の連絡（チャット等）で対象コードまたは指摘事項を取り扱う場合は、そのサービスをこの表に追加します。

前のページに戻る