NIDOME 再委託先一覧
版:
1.0/ 制定日: 2026-08-26 / 適用日:2026-09-01状態: 社内承認済み。初期3社限定試行で適用し、一般提供は外部法務レビューの再検討後に別途判断します。
本一覧は、NIDOMEの提供において契約者個人データを処理する可能性がある現在利用する再委託先と、任意機能の候補・適用条件を示します。各サービスは、当社と当該提供者との利用契約に基づき利用します。処理国、データ保管地域、DPAおよび再々委託先は、適用される契約資料と本番環境の受入記録により管理します。
中核サービスの提供者は全プランへ適用し、任意機能の提供者は契約者が対象機能または追加機能を有効化した場合だけ適用します。プランに利用枠が含まれていても、契約者がAIその他の任意機能を無効化している間は、当該提供者へその機能のための契約者データを送信しません。
1. 常時利用する基盤
| サービス・候補事業者 | 目的 | 主なデータ | 処理・保管場所 | 適用 |
|---|---|---|---|---|
| Amazon Web Services（AWS） | 無料評価環境のLightsail、商用本番環境のCloudFront、S3、ECS、RDS PostgreSQL、Secrets Manager、CloudWatch、SES、SNS、WAF、バックアップ | 契約者データ、画像・帳票、アカウント・監査・通信情報、メール宛先 | AWS東京リージョンを基本とします。サポート・運用アクセスが国外から行われる可能性は契約資料で確認します | 中核サービス |
| Amazon Web Services（Route 53 / Certificate Manager） | nidome.jpの権威DNS、nidome.jp・app.nidome.jp等のTLS証明書 |
ドメイン設定、DNS照会・証明書発行に伴う通信メタデータ | AWSのサービス提供・サポートに伴う処理場所は契約資料で確認します | 中核サービス |
| Microsoft 365 / Exchange Online | 契約・サポート、個人情報、セキュリティおよび障害連絡の共有メールボックス | 連絡者の氏名、所属、メールアドレス、問い合わせ本文、添付、送受信・監査情報 | Microsoftの契約、DPA、データ所在地および国外からのサポートアクセスを適用される契約資料と社内受入記録で管理します | 中核運用 |
ドメイン登録事業者はお名前.comを継続利用し、商用公開時の権威DNSをRoute 53、AWS配信面のTLS証明書をCertificate Managerへ統一します。無料評価環境はLightsailで構築済みです。商用本番環境のリージョン、リソース、再委託契約、国外アクセスはAWS検証環境と本番環境の受入後に確定します。
2. 申込・契約時に利用するサービス提供者
| サービス・候補事業者 | 目的 | 主なデータ | 処理・保管場所 | 初期状態 |
|---|---|---|---|---|
| 電子契約サービス（未選定・未利用） | 本人・権限確認、契約文書の電子署名、監査証明、完了通知 | 法人名、署名者の氏名・役職・メールアドレス、契約条件、署名・通信・端末情報 | 未選定のため契約者データを送信しません。利用開始前にデータ保管地域、サポートアクセスおよび再々委託先を確認します | 無効。提供者の選定、DPA、セキュリティ、契約・リスク・プライバシー承認および一覧更新後に有効化 |
電子契約サービス提供者が未選定の間は本番環境の申込情報を送信しません。初期導入契約者との契約前に正式法人名、契約主体、処理国、保存・削除、監査証明、Webhookのセキュリティおよび料金を確定します。
3. 機能を有効化した場合だけ利用するサービス提供者
| サービス・候補事業者 | 機能 | 主な送信データ | 認証情報 | 処理国・法的確認 | 初期状態 |
|---|---|---|---|---|---|
| OpenAI（AI機能の候補提供者） | AI経営分析 | レポート名、期間、言語、固定済み経営指標、根拠キー。氏名・メールアドレス等を指標へ含めない設計を確認 | APIキーをシークレット管理 | DPA、データ保管地域、国外処理、提供事業者の再々委託先を契約時に確認。APIリクエストはstore=false |
任意。契約者によるAI機能有効化時だけ適用 |
| Slack（業務通知機能の候補提供者） | テナント向け業務通知 | ワークスペース・チャンネルID、通知本文、送信結果 | Botトークンをテナント別にシークレット管理 | ワークスペース契約、Slack DPA、処理国を確認 | 任意 |
| Google（Google Calendar連携の候補提供者） | 個人のGoogle Calendar同期 | 予定名、日時、案件・回収に必要な情報、カレンダーID | 更新トークンを暗号化 | Google APIサービスのユーザーデータに関するポリシー（Google API Services User Data Policy）、DPA、処理国を確認 | 任意 |
| 外部販路各社 | 出品、在庫同期、価格調査 | 商品・在庫・画像・価格・配送情報、アカウントID | 提供者別シークレット | 公式API契約ごとに追記し、一覧掲載前は本番接続不可 | 無効 |
| データ消去サービス提供者各社 | 消去結果・証明書の取込または同期 | 機器・ディスク識別子、消去結果、証明原本 | 提供者別シークレット | 提供者との契約ごとに追記します。現在はBlancco形式等のファイル取込を中心に検証します | 限定試行 |
4. 現時点で再委託先に含めないもの
- 国税庁法人番号公表サイトのAPIは公開法人情報の参照に利用します。契約者個人データの処理委託に該当するかを通信内容と利用規約に基づき最終確認します。
- GitHub Actionsはソースコードの継続的インテグレーション（CI）に使用し、本番環境の契約者データをテストデータとして送信しません。本番環境の認証情報はOIDCと環境保護で管理します。
- Amazon Q Developer in chat applicationsによる
nidome-monitor通知は、AWSシステム監視専用です。通知本文へ在庫明細、個人情報、認証情報を含めません。 - ローカル開発用の提供者接続や模擬機能は、本番環境の契約者データを処理しません。
5. 変更通知
- 当社は、契約者個人データを処理する重要な再委託先を追加・変更する場合、原則として30日前までに登録管理者へ通知します。
- 緊急のセキュリティ対応、サービス継続または提供者都合で事前通知できない場合、可能な限り速やかに通知します。
- 契約者は、通知から14日以内に、データ保護上の合理的な理由を添えて異議を申し立てられます。代替手段、該当機能の無効化または契約終了の条件はDPA、利用規約および個別契約に従います。
6. サービス提供者追加時の必須記録
- 正式法人名と契約主体
- サービス名と機能
- データ区分と本人の範囲
- 処理目的
- データセンター、処理国およびサポート担当者のアクセス元となる国
- DPA、プライバシー、セキュリティ、再々委託先一覧のURLと確認日
- 保存期間、削除、AI学習利用の有無
- 認証情報、許可範囲、最小権限
- 利用開始日、対象プラン、無効化手順
- 提供者料金の負担者、基本料金への包含、追加料金および価格改定時の扱い
- 契約・リスク・プライバシー・セキュリティ承認。新しい外部データ処理者に該当する場合は、外部法務レビューを再検討する契機としても記録
7. 問い合わせ
再委託先と国外処理に関する問い合わせ先: privacy@nidome.jp（2026-08-25に開通・外部往復確認済み）
以上