プライバシーポリシー

1. 運営者について

QA Spider(以下「当社」)は、Webアプリケーション向けの自動ソフトウェアテストサービスを提供しています。本ポリシーは、QA SpiderのWebサイトとQA Spiderのダッシュボードに適用されます。プライバシーに関するご質問や、以下に記載する権利の行使については、[email protected]までメールでご連絡ください。

2. 収集する情報

当社は、サービスの提供に必要なものだけを収集します。具体的には次のとおりです。

• アカウントデータ — お名前、メールアドレス、ハッシュ化されたパスワード(パスワードを読み取り可能な形で保存することはありません)。GoogleまたはGitHubでサインインする場合は、代わりにそのプロバイダーからお名前、メールアドレス、アバターを受け取ります。
• ワークスペースデータ — 組織名、チームメンバーとその役割、送信した招待。
• プロジェクト設定 — テストを依頼するアプリケーションのURL、定義した環境、テストがサインインできるように保存することを選択したテスト用アカウントの認証情報。
• 連携の認証情報 — バグトラッカーやチャットツールを接続するために提供いただくAPIトークンやWebhook URL。
• Google Search Consoleへのアクセス — 接続を選択した場合のみ:Googleアカウントの読み取り専用アクセストークン(暗号化して保存)、そのアカウントのメールアドレス、選択したSearch Consoleプロパティ。そのうえで、そのプロパティの検索パフォーマンス(クエリ、ページ、クリック数、表示回数、平均掲載順位)、Googleがインデックスしたページ、送信されたサイトマップを読み取り、ダッシュボードに表示します。また、改善案や内部リンクを提案するため、お客様自身の公開ページ最大30件のタイトル、見出し、本文、リンクを読み取ります。Boost SEOの「ページがインデックスされない理由」では、お客様のサイトマップと内部リンクから最大約100件のアドレス(HTTPステータス、リダイレクト、noindexタグ、canonicalタグ)も確認し、robots.txtを読み取ります。これらはお客様自身のWebサイト上の公開ファイルと公開ページです。「Googleで確認」を押すと、そのうち最大25件ずつのアドレスについてGoogleのURL検査に問い合わせ、その回答を表示します。これらのコピーは保存しません。ページを開いたときやボタンを押したときに取得し、メモリ内にのみ保持します(数分間。お客様自身のページの確認は最長1時間、Googleが報告するインデックス状況は最長24時間)。サーバーを再起動すると消去されます。結果はほかのサービスには渡しません。唯一の例外はBoost SEOです。提案に対して「実施した」を押すと、あとで変化をお見せできるよう、そのページのクリック数、表示回数、平均掲載順位(提案が特定の検索クエリに関するものであれば、そのクエリも)を、対象期間とともに保存します。
• Boost SEOのトピック案、構成案、BingおよびYandexへの更新通知 — ご利用の場合のみ。お客様のサイトに対して返されたキーワード案、各検索を行った日時(月間の利用枠にも数えられます)、依頼されたコンテンツ構成案を、削除をご依頼いただくかアカウントを閉鎖するまで保管します。これらにSearch Consoleのデータは含まれません。キーワードは、お客様自身の公開ページ上の言葉とキーワードデータサービスから得られます。BingおよびYandexへの更新通知に使うキーは保存せず、必要になるたびにサイトのアドレスから算出します。
• 週次監査と日次サイト監視 — これらを含むプランで、かつお客様が有効にした場合のみ(日次監視は、週次監査の対象サイト、または最新の監査のサイトを対象とします)。変化があったときにメールでお知らせするため、サイトのアドレス、最後に確認した日時、最後の確認結果(トップページが応答したか、Googleから閉じられていないか、証明書の有効期限)を保管します。日次の確認は、お客様自身の公開トップページとrobots.txtへの数回のリクエストです。
• テスト結果 — 実行結果、所要時間、ステップごとの結果、エラー出力、テストしたページから取得したスクリーンショット、およびそこから生成されたバグレポート。
• 利用状況と請求のデータ — プラン、トークン残高、消費イベントの台帳(どの実行や生成が何を使ったか)。SoloまたはProをお支払いの場合は、ワークスペースのStripeの顧客IDとサブスクリプションID、およびサブスクリプションの状態(有効、支払い遅延、または特定の日付での解約予定)も保管します。カード番号を当社が目にしたり保存したりすることはありません。カード番号はStripe自身のチェックアウトページで入力いただきます。
• お問い合わせ内容 — お問い合わせフォームから送信されたお名前、メールアドレス、メッセージ。
• スキャンのご依頼 — ホームページからご自身のサイトのスキャンを依頼された場合は、入力いただいたアドレスと依頼されたサイト。レポートの送付と、ご返信への対応のために使います。第6条をご覧ください。
• 無料ツール — /toolsにある無料チェックのいずれかに入力したアドレス。回答のため、そのサイトの公開ページ、robots.txt、サイトマップ、llms.txt、DNSレコードを読み取り、結果を表示します。何も保存しません。アドレスと結果は保存されず、1つの接続で実行できるチェック数を制限するため、IPアドレスのみを最長1時間メモリ内に保持します。構造化データのチェックでは、ページのアドレスを公開のSchema.org検証ツール(validator.schema.org)に渡し、同ツールがページ自体を読み取ります。
• サーバーログ — IPアドレスとユーザーエージェントを含む標準的な技術ログ。セキュリティとデバッグのために保管します。
• Webサイトの分析 — どのページが閲覧され、どのリンクがクリックされたか。人々が何を役立つと感じているかを把握するためです。同意に関する法律が適用される地域では、Cookieも識別子も使わずに計測するため、訪問はそれぞれ単独で数えられます。それ以外の地域では、再訪を認識できるようCookieを設定します。その場合、サインイン後は、PostHogがこれらのイベントをアカウントの内部ID(メールアドレスや名前は使いません)に紐づけ、プロダクトのどのステップが使われているかを把握できるようにします。第11条をご覧ください。

3. 当社が行わないこと

• 当社は個人データを販売しません。これまで販売したこともありません。
• 当社は広告目的のプロファイルを作成せず、パーソナライズ広告やリマーケティングも行いません。同意に関する法律で別途求められていない地域では、広告のクリックがサインアップにつながったかを計測し、どの広告に費用をかける価値があるかを判断します。
• 当社が企業に送る監査レポートに、分析やトラッキングのスクリプトを入れることはありません。
• お客様のアプリケーションデータやテスト結果を、機械学習モデルの学習に使用しません。
• 接続されたGoogle Search Consoleのデータを、広告のために販売、共有、利用することはありません。また、AIモデル、キーワードデータサービス、検索エンジン、その他の第三者に送信せず、それらの学習にも使用しません。このデータは、お客様自身のダッシュボード上で、お客様とチームにのみ表示されます。第7条に記載したキーワード検索、コンテンツ構成案、BingおよびYandexへの更新通知は、お客様自身のWebサイトの公開テキスト、お客様が選んだキーワード、お客様のサイトマップにあるかお客様が入力したページのアドレスのみを使い、Search Consoleからのものは一切使いません。QA Spiderによる、Google APIから受け取った情報の使用と転送は、限定的使用の要件を含む、Google API Services User Data Policyに準拠します。
• お客様自身がリポジトリを接続しない限り、ソースコードは読み取りません。接続された場合も、アクセスは読み取り専用で、お客様が選択したリポジトリに限られ、GitHub上でいつでも取り消すことができます。コードを保存することはなく、ファイルは質問に答える間だけ読み取られ、その後破棄されます。

4. 処理の目的

お申し込みいただいたサービス(テストの実行、結果の報告、トラッカーへのバグ登録、アラートの送信)を提供するため — これは契約の履行にあたります。アカウントの保護、不正利用の防止、障害のデバッグのため — 当社の正当な利益にあたります。サインインコードや実行通知など、サービスに欠かせない取引メールをお送りするため — 契約の履行にあたります。任意のマーケティングメールなど、同意に基づく場合は、いつでも同意を撤回できます。

5. テスト用アカウントの認証情報 — 必ずお読みください

テストがアプリケーションにサインインできるよう認証情報を保存する場合は、必要最小限の権限を持つ専用のテスト用アカウントを使い、可能な限り本番以外の環境で行ってください。実際の顧客や管理者のアカウントは保存しないでください。

連携用トークンとテスト用アカウントの認証情報は、いずれもAES-256-GCMで暗号化して保存します。サーバーが暗号化できない場合は、読み取り可能な形で保管せず、保存を拒否します。それでも、当社に渡す認証情報は、ローテーションしても差し支えないものにし、QA Spiderの利用をやめる場合はローテーションしてください。

6. 監査レポート — ご依頼いただいたものと、依頼なしにお送りするもの

当社のレポートが作られる経緯は2通りあり、両者は同じではありません。

ご依頼いただいた場合:ホームページでURLとメールアドレスを入力いただき、当社がそのサイトを読み取ってレポートをお送りしたものです。お送りするため、ご質問に対応するため、ご請求に応じて削除するために、アドレスを保管します。メーリングリストには追加せず、お客様から連絡をいただかない限り、ほかには何も送りません。この方法で依頼されたレポートは、既定では浅い深さで読み取ります。より深い確認は、レポート内でお客様がそのボタンを押した場合にのみ実行されます。

ご依頼がない場合:取引をしたいと考える企業の、公開されているページを当社が読み取り、見つけた内容のレポートをその企業に送ることがあります。これは何らかの関係が生まれる前に行うため、何を伴うかを率直に記します。

読み取るのは、ブラウザーを持つ誰でも読める内容です。サイトマップからリンクされたページを1回ずつ取得し、robots.txtを尊重し、お客様のシステムに負荷をかけません。テスト用アカウントをいただかない限りサインインしません。いただいた場合も、ログイン以外のフォームは送信せず、ページを読み取るだけです。レポートは非公開リンクで提供され、検索エンジンから除外され、ご請求に応じて取り下げることができます。

各レポートのリンクは、開かれた日時、IPアドレス、そこから割り出した都市と国、ブラウザーを記録します。依頼なしに送ったレポートについては、これを使って、読まれたか、転送されたかを判断します。フォローアップが歓迎されるかを知る唯一の方法だからです。この処理は、企業間の営業活動における当社の正当な利益に基づきます。ご依頼いただいたレポートにも同じ記録はありますが、当社にそのような利点はありません。リンクを持つ誰もが開けるため、リンクが出回っていないかを把握したいという理由で存在します。アドレスとブラウザーの情報は90日後に削除され、その後は開かれた回数のみが残ります。

これらを一切保持してほしくない場合は、[email protected]までメールでご連絡ください。レポート、リンク、閲覧記録を削除します。今後の連絡も停止します。理由は不要です。

7. データの保管場所と、ほかに関与する者

アプリケーションとそのデータベースは、EU(フランクフルト)リージョンのRender上で、暗号化された永続ディスクにホストされています。当社は少数の委託先を使い、それぞれ明確に限定された目的でのみ利用します。

• Render — アプリケーションのホスティングとデータベースの保管(EU)。
• Anthropic — テストケース、QAドキュメント、バグレポートを下書きするAIモデル。その成果物に必要なプロンプトとプロダクトの文脈を受け取ります。Boost SEOで「構成案を作成」を押した場合は、お客様が選んだキーワード、その検索数値、お客様の公開ページ最大12件のタイトル、見出し、説明文を受け取り、Search Consoleのデータは一切受け取りません。
• OpenAI — 機能に対してサーバーがその利用に設定されている場合に、Anthropicの代わりに使われる別のAIモデルプロバイダー。その機能についてAnthropicが受け取るのと同種のプロンプトを受け取り(Boost SEOの構成案では上記に記載した内容のみ)、Search Consoleのデータは一切受け取りません。
• DataForSEO — キーワードデータサービス。Boost SEOで「トピックを探す」を押した場合にのみ使います。お客様自身の公開ページのタイトル、見出し、説明文から取った短いフレーズ最大10個、国と言語のコード、当社のアカウント認証情報を受け取ります。個人データやSearch Consoleのデータは受け取りません。
• IndexNow(Bing、Yandex、Naver、Seznam、Yepなどの参加検索エンジン) — Boost SEOの「Bing & Yandex」セクションで送信ボタンを押した場合にのみ使います。サイトのホスト名、IndexNowキー、キーファイルのアドレス、お客様の公開サイトマップにあるか入力されたページのアドレス最大100件を送信します。参加エンジンは受け取った内容を互いに共有します。Googleは参加していません。個人データやSearch Consoleのデータは送信しません。
• Stripe — SoloプランとProプランの決済処理。カード情報は自社のチェックアウトページで収集して保管し、当社がカード番号を受け取ったり保存したりすることはありません。当社はStripeに、メールアドレス(チェックアウトへの事前入力と領収書のため)、ワークスペースID、選択されたプランを送信し、Stripeから返されるStripeの顧客IDとサブスクリプションID、およびサブスクリプションの状態のみを保管します。
• Resend — 取引メール(サインインコード、通知、お問い合わせへの返信)の配信。
• GitHub Actions — テストの実行と、結果の当社への報告。
• Firecrawl — 分析を依頼されたサイトの公開ページの取得とマッピング。
• Browserbase — 任意のライブテスト録画に使うホスト型ブラウザーを提供します。ワークスペースでその機能が有効な場合にのみ使います。
• Umami — Webサイトへの訪問数を計測します。Cookieを設定せず、お使いのデバイスには何も保存しません。一意性は、毎日変わるソルトからサーバー上で計算されるハッシュによって判断されます。
• Google Analytics — Webサイトとダッシュボードへの訪問を計測します。IPアドレスは切り詰められます。同意に関する法律が適用される地域ではストレージは無効、それ以外では有効です。
• PostHog — プロダクト分析、およびお客様の同意がある場合に限り、当社Webサイトのセッションリプレイ。同意いただくまではストレージを使わずに動作します。
• GitHub — リポジトリを接続された場合に、失敗したテストに関する質問に答えるため、必要なファイルを読み取ります。読み取り専用で、当社は何も保存しません。
• GoogleとGitHub — IDプロバイダー。それらでのサインインを選択された場合のみ。
• Google Search Console — 接続された場合のみ:お客様が選択したプロパティの検索パフォーマンス、インデックス状況、送信済みサイトマップを読み取るため、読み取り専用の権限でSearch Console APIを呼び出します。Search Consoleから読み取った内容は、このリストにあるほかの委託先には一切渡しません。アクセスはいつでも取り消せます(第8条をご覧ください)。

8. 保管期間

アカウントとワークスペースのデータは、アカウントが存在する間、保管します。テスト結果、スクリーンショット、生成されたバグレポートは、履歴と指標が意味を保てるよう保管します。個々の実行、バグ、プロジェクトはいつでも削除でき、削除は即座に反映されます。お問い合わせフォームのメッセージは、返信に必要な間、保管します。サーバーログは短い運用期間のみ保持します。アカウントを閉鎖されると、法律上または会計上必要なものだけを残して、ワークスペースのデータを削除します。Google Search Consoleを接続されている場合、暗号化されたアクセストークン、Googleアカウントのメールアドレス、選択したプロパティ、保存されたBoost SEOの施策前後の記録は、Boost SEOのGoogleタブで「接続解除」を押す(すべて即座に削除されます)か、アカウントを閉鎖するまで保管します。Boost SEOで作成されたキーワード案、検索の記録、コンテンツ構成案は、削除をご依頼いただくか、アカウントを閉鎖するまで保管します。Googleアカウントの「セキュリティ」の「サードパーティのアクセス」から、いつでもアクセスを取り消すこともでき、当社が保持しているトークンは使えなくなります。

9. お客様の権利

お客様は、ご自身のデータにアクセスし、訂正し、エクスポートし、削除することができます。その多くはダッシュボードでご自身で行えます。生成されたドキュメントのエクスポート、バグ、実行、プロジェクトの削除、チームメンバーの管理が可能です。それ以外(完全なエクスポート、アカウントの削除、処理への異議、苦情など)については、[email protected]までメールでご連絡ください。30日以内に回答します。EEAまたは英国にお住まいの場合は、お住まいの地域のデータ保護当局に苦情を申し立てる権利もあります。

10. セキュリティ

本番環境へのアクセスは、運用する担当者に限られます。通信はHTTPSで提供されます。連携用トークンは保存時に暗号化されます。トラッカーへのチケット登録、チャットへの投稿、本番に見える環境に対する実行など、外部に影響する操作は、黙って行われることはなく、プロダクト内での明示的な承認が必要です。完全に安全なシステムはありません。お客様のデータに影響する侵害を把握した場合は、不当に遅れることなくお知らせします。

11. Cookie

当社が設定するCookieは、厳密に必要なもののみで、サイトがそれなしでは動作しないために存在します。サインイン状態を保つセッションCookieです。ライトまたはダークのテーマの設定は、Cookieではなくお使いのブラウザーのローカルストレージに保存されるため、当社には送信されません。

分析が何を保存するかは、お客様の所在地によって異なります。同意に関する法律が適用される地域(EU、EEA、英国、スイス)では、Google AnalyticsとPostHogはストレージを無効にして動作します。訪問があったことと読まれたページを数えるだけで、お使いのデバイスには何も書き込まれず、この訪問と次の訪問が結びつけられることもありません。それ以外の地域では、Cookieを設定し、再訪を認識して、広告のクリックがサインアップにつながったかを判断できるようにします。

主な計測ツールであるUmamiは、どの地域でもCookieを設定せず、許可も不要です。このため、サイトでCookieの同意を求めて閲覧を妨げることはありません。

当社Webサイトのセッションリプレイ(ページがお客様にとってどう動作したかの記録)は、お尋ねしたうえでお客様が同意した場合にのみ有効になります。拒否しても不利益はなく、訪問は引き続き数えられます。

当社はパーソナライズ広告やリマーケティングを行わず、訪問者のプロファイルも作成しません。

12. 子ども

QA Spiderはビジネス向けのツールであり、16歳未満の方を対象としていません。16歳未満の方のデータを故意に収集することはありません。

13. 変更

本ポリシーを重要な点で変更する場合は、上記の日付を更新し、データの取り扱いに影響する変更については、変更の発効前にアカウント所有者へメールでお知らせします。