このサイトは現在閲覧専用です。お問い合わせはメールでお送りください。 [email protected]
プライバシーポリシー
最終更新日:
Hato APIでは、お客様のプライバシーを尊重し、お預かりした情報の保護に努めています。本プライバシーポリシーでは、アカウント情報、リクエスト定義、実行アーティファクトの収集、利用、保管、保護方法について説明します。
Hato APIはオーストラリアの登録事業名です。ABN：47 618 691 045。本ポリシーでHato API、当方または当サービスという場合、このABNで識別される運営者を指します。
1. 収集する情報
アカウントとプロフィール
メールアドレス、表示名、言語とタイムゾーンの設定、プラン、アカウントの確認状況を収集します。パスワードは暗号学的にハッシュ化され、平文では保存されません。
リクエスト設定
Letterflowのリクエストコンポーネント、配達ポリシー設定、定義、スケジュールを保存します。リージョンのリクエスト内容にはURL、ヘッダー、ボディ、認証情報、アップロードまたは生成したSFTP秘密鍵が含まれる場合があります。
実行アーティファクトとレターボックス
実行により状態、時刻、使用量のメタデータとリージョンのリクエスト・レスポンス成果物が作成されます。Letterflow成果物には固定定義、式、中間出力、詳細エラーが含まれます。一時的なValueテストの結果は保存されません。
連携とセキュリティログ
Integration APIキーの名前、プレフィックス、シークレットのハッシュ、権限、ライフサイクルの日時を保存します。レート制限では、IPアドレスとメール識別子をハッシュ化したRedisキーで処理します。本番環境のアクセスログには、クライアントIPアドレス、日時、リクエスト識別子、メソッド、大まかなルート分類、ステータス、サイズ、処理時間を記録します。保存するログには、生のリクエストパス、クエリ文字列、認証ヘッダー、Cookie、リクエストボディやレスポンスボディを含めません。
不正利用の防止のため、ブロックされたIPアドレスとネットワーク、送信先のブラックリスト規則、ブロックの有効期限、および関連する管理者の操作を保存します。プロキシのカウンターはメモリ上に保持され、プロキシを使用しないリージョンの通信カウンターでは送信元IPアドレスをリージョンのデータベースに一時的に保存します。
アカウント復旧とメール
確認・復旧用のチャレンジ、メール配信の入力とステータス、プロバイダーのメッセージ識別子、バウンスや苦情による送信抑止情報、スタッフによる復旧操作の監査記録を保存します。
お問い合わせとブラウザ内の保存
お問い合わせには、返信先メールアドレス、問い合わせ種別、メッセージが含まれます。必須Cookieはセッション、リクエストの安全性、言語選択を支えます。テーマ設定はブラウザ内にも保存されます。
Directoryの値には、テキスト、秘密情報、JSON/XML文書、共有ヘッダー、認証情報、秘密鍵が含まれる場合があります。内容は選択したSpokeで暗号化され、Hubには名前、型、サイズ、依存パス、リビジョン参照が保存されます。許可された参照により、必要な内容がCoordinatorやLetterの実行リージョンへ転送される場合があります。有料プランの連携キーのDirectory読み取り権限には、秘密情報へのアクセスも明示的に含まれます。
2. 情報の利用目的
-
API Letterflowの配達。
お客様に代わってHTTP、FTP、SFTPリクエストを送信し、そのレスポンスをお客様のレターボックスにお届けするために、Letterおよび配達ポリシーの定義を使用します。
-
サービス通知と認証。
登録確認、パスワード復旧、確認済みのメールアドレス変更、セキュリティ通知、お問い合わせへの返信にメールを使用します。権限のあるスタッフはアカウント復旧を行うことができ、その操作は監査されます。
お問い合わせはHubに保存され、権限のあるスタッフが確認します。返信は運営者のメールプロバイダーから手動で送信され、そのプロバイダーが返信先アドレスと通信内容を処理します。お問い合わせフォームから受付確認や通知のメールは送信されません。不正な送信を制限するためにメールアドレスとリクエストのIPアドレスを使用します。
-
適正利用とセキュリティ制限の適用。
プランの上限に照らしてリクエスト量とスケジュールの頻度を監視します。不正利用の防止、障害やセキュリティインシデントの調査、権限を伴う操作の監査のため、アクセス、診断、認証、管理操作の記録を使用します。これらにはIPアドレスや、アカウント、ジョブ、タスク、リクエストの内部識別子が含まれる場合があります。
3. リージョン別のデータ保管と分離
当サービスのホスティング構成では、Hubのアカウントデータとデータベースバックアップを日本に置きます。各Spokeは選択した国で実行内容を処理します。権限を持つ運営者がオーストラリアからシステムを管理する場合があります。メール、決済、ブラウザー向けアセットの各提供者や送信先サービスの処理場所は別であり、Spokeの選択によってすべての個人情報がその国に限定されるわけではありません。
ログは該当するHubまたはSpokeの稼働ホストに保存し、権限を持つ運用担当者がオーストラリアからアクセスする場合があります。ログアーカイブは通常のバックアップに含めません。データベースのバックアップには別の保存期間が適用され、バックアップの期限が切れるまで古い監査記録が含まれる場合があります。復元した監査履歴は、公開アクセスを再開する前に期限切れの記録を削除します。
リージョン分散実行
Hubには、アカウントデータ、表示名と説明、プラン、スケジュール、ルーティング情報、運用メタデータが保存されます。保存済みリクエストのURL、認証情報、ヘッダー、ボディ、詳細なエラー、Letterflow定義、評価結果は、選択されたリージョンのSpokeで保存・処理されます。ブラウザは署名付きのリージョンURLを使用して、この内容を直接アップロード・取得します。
Letterflowで選択されたCoordinatorが定義と実行コンテキストを処理します。複数リージョンのLetterflowでは、Coordinatorと選択されたLetterのリージョン間で内容が転送されます。Letterのリージョンを変更すると、保存済み入力も転送される場合があります。送信先サービスには、設定された配信に必要なリクエスト内容が送られます。アカウントとメールのデータは、リージョン内の実行内容に関する境界の対象ではありません。
マルチテナントの完全分離
Letterboxの項目と成果物へのアクセスは、所有アカウントに限定されます。ブラウザと外部連携からの成果物アクセスには、所有者、成果物、許可された操作に限定された短期間有効な署名付きURLを使用します。有効なベアラーURLを持つ人は期限まで使用できるため、URLを秘密にしてください。
4. データの保持と削除
保存したDirectoryの値は、削除と保護されたリビジョン参照の扱いに従い、保存されている間保持されます。待機中の配信には自動有効期限がなく、固定された入力リビジョンは配信の完了またはキャンセルまで保護されます。変数を編集しても、待機中または実行中の配信が取得済みのリビジョンは置き換わりません。
保存済み定義に添付されていないアップロードと生成済み秘密鍵は、1 時間後にクリーンアップの対象となります。一時アップロードには、別個のバイト数とファイル数の制限があります。保存済み定義または受付済みの実行中ジョブに添付された入力は保護されます。保存済みコンテンツと Letterbox の保持枠は引き続き適用されます。
| データの種類 | 保持期間 | 管理操作 |
|---|---|---|
| アカウントおよびLetter設定 | アカウントまたは保存済み設定が存在する間は保持されます。下記のアカウント削除をご覧ください | ダッシュボードまたは設定から編集・削除 |
| ピン留めされていない実行内容 | 標準の最大保存期間: Tinkerer 14日、Aspiring 60日、Coder 180日 | 自動的に期限切れになります。FIFO、クリア、削除によって、それ以前に削除される場合もあります |
| ピン留めされた実行内容 | ピン留め中は自動期限切れと通常のFIFO削除の対象外です | 保存容量に算入され、明示的に削除できます |
| 連携APIキー | キーの記録はアカウント削除まで残ります。失効しても記録は消去されません | 設定から失効できます。有効期限、プラン制限による無効化、パスワード変更による失効もあります |
| お問い合わせと内部メモ | 完了から60日間。未完了のお問い合わせは完了まで保存されます | 毎日の削除処理で削除されます。外部メールボックスのコピーには別の保存期間が適用されます |
| メール配信とプロバイダーイベントの受信記録 | 終了状態の配信記録とイベント受信記録は30日後に削除され、チャレンジは有効期限の7日後に削除されます | 配信待ちメールは別途処理されます。外部メールボックス内のコピーには、その保存方針が適用されます |
| 通常のアクセスログと診断ログ | 通常は最大30日間保存し、自動的に削除します。保存容量の制限により、それより早く削除する場合があります。 | 障害調査、セキュリティ、監査のため、権限を持つ運用担当者のみがアクセスできます。 |
| セキュリティイベントログと管理操作の監査履歴 | セキュリティイベントログと、アカウント復旧、制限変更、ネットワーク保護に関する監査履歴は、通常90日後に削除します。有効な保護ルールとメール送信抑止情報は別途保持します。 | 障害調査、セキュリティ、監査のため、権限を持つ運用担当者のみがアクセスできます。 |
実行内容の保存期間は結果の保存時に始まり、ボディだけでなく、ヘッダー、URL、エラー、式、中間結果、実行時に固定された定義も対象です。期限切れの内容には、物理的な削除処理前でも新たなアクセス権を発行できません。最小限の運用メタデータはHubに残る場合があります。保存済みリクエスト入力は、実行履歴とは別のライフサイクルで管理されます。
Letterboxをクリアしても、ピン留めされた項目は残ります。ピン留めを解除すると、適用プランに従い、結果を最初に保存した時点から計算した期限が復元されるため、古い内容はすぐに期限切れになる場合があります。期限切れの内容をピン留めで復元することはできません。保存制限やダウングレードに伴う保存停止によって、実行が成功しても新しい結果が保存されない場合があります。アカウントごとのポリシー例外により、標準の制限が変更される場合があります。
Letter、Letterflow、Letterbox の削除では、関連するリージョン内アーティファクトのクリーンアップをキューに登録します。共有されている保存済み入力と実行中の入力は保護されます。アカウントを削除すると、Hub のアカウント記録とアクセス権を削除し、設定済みまたは参照されているすべてのリージョンで所有者全体の削除処理を永続的にキューへ登録します。リージョン内の削除処理は、その後のアクセスと書き込みを禁止し、実行中の処理を停止して、リージョン内ファイルと実行キュー記録を削除します。利用できないリージョンには再試行します。データの消去は非同期です。アカウント削除後も、アクセス、セキュリティ、監査の記録は保存期間が終了するまで残る場合があります。メール送信抑止情報と必要な保護状態には別の保持ルールが適用されます。
期限切れ前の古い許可を拒否するため、削除フェンスには最小限の所有者識別子を保持します。
5. 第三者への開示とセキュリティ
Paddleは有料購入の正規再販業者および販売主体（Merchant of Record）であり、サービスはHatoが提供します。Paddleは自社のプライバシーポリシーに基づき、購入手続き、支払情報、税金、請求記録を処理します。Hatoはカード情報ではなく、アクセス管理に必要な識別子とサブスクリプション情報を受け取ります。
アカウント削除時は、解約を確認してから、アカウントに紐づくHato側の決済記録を削除します。重複処理を防ぐため、Webhookの受信記録には決済事業者のイベント・オブジェクト識別子、日時、処理状態のみを保持し、決済データ全体やカード情報は保存しません。Paddleは、自社の方針や適用される要件に基づいて財務記録を保持する場合があります。
個人データやAPIペイロード情報を広告主やデータ仲介業者に販売、貸与、交換することはありません。ホスティングとインフラの提供者は、HubとリージョンのSpokeを運用するためにデータを処理します。設定された送信先サービスには送信リクエストのデータが渡り、複数リージョンのLetterflowでは上記のとおり実行内容が転送されます。
本番環境のメールはAmazon Simple Email Service（SES）を使用します。宛先アドレスと、確認リンクやセキュリティ通知を含むメッセージ内容は、このプロバイダーが処理します。配信、バウンス、苦情のイベントはAmazon SNSで処理します。メール処理には独自に設定されたリージョンがあり、Letterで選択したリージョンには従いません。開発環境では標準でダミーのメールバックエンドを使用します。
開発環境ではSendPulseを通じてアプリケーションのメールを送信するように設定できます。有効にすると、SendPulseが宛先アドレスと、確認・復旧リンクやセキュリティ通知を含むメッセージ内容を処理します。このメール処理はAPI実行で選択したリージョンとは別です。
Letterflowのメールコンポーネントは、宛先、件名、本文と任意のReply-Toを設定されたメールプロバイダーへ送信します。テンプレートと評価済みの内容は選択したCoordinatorリージョンに保存されます。プロバイダーは設定された場所で処理します。Hubは割り当て・配信メタデータと、送信抑止用の鍵付き宛先フィンガープリントを保持し、Letterboxの削除では使用量をリセットしません。プロバイダー通知のヘッダーや本文は保存せず破棄します。HTMLは安全化され、開封・クリックの追跡は無効です。
決済ページではPaddle.jsを読み込みます。他のページではGoogle Fontsのフォントを使用し、LetterflowエディターではUNPKGとcdnjsのアセットも読み込みます。これらのリクエストにより、IPアドレスやブラウザーのリクエスト情報などの接続情報が各提供者に送られます。テーマと表示通貨の設定はブラウザーのローカルストレージに保存されます。為替レートはHubが取得するため、ブラウザーから為替レート提供者へ直接接続することはありません。
LetterflowのCookieセッションは、ウェブサイトのログインCookieとは別です。一時的なセッションアーティファクトは、実行後にリージョンのライフサイクル処理で削除されます。保持されたリクエストやレスポンスのヘッダーに記録されたCookieおよびSet-Cookieの値には履歴の保持・ピン留め規則が適用されるため、フロー終了時にすべてのCookie値が消去されるわけではありません。
6. お問い合わせとポリシーの改定
公開のお問い合わせフォームから、個人情報の開示・訂正の請求、削除に関する相談、プライバシーに関する苦情をお送りいただけます。アカウントデータの開示や変更の前に本人確認を行う場合があります。適用法に基づき請求を検討し、保持に関する制限を説明したうえで、ご指定の返信先に回答します。本ポリシーは、プライバシー監督機関へ苦情を申し立てる法令上の権利を制限しません。
サービスの機能強化や法的な要件を反映するため、本プライバシーポリシーを随時改定することがあります。改定されたポリシーは、更新日を明記した上で本ページに掲載されます。