株式会社siracusa（以下「当社」）は、「Proofline」（以下「本サービス」）の提供のため、以下の事業者（サブプロセッサー）に個人データの取扱いを委託します。追加・変更の手続は Proofline DPA 第 5 条によります。
第 1 条 サブプロセッサー
| 事業者 | 所在国 | 用途 | 取り扱うデータ |
|---|---|---|---|
| Cloudflare, Inc.（101 Townsend Street, San Francisco, CA 94107, USA） | 米国（データの保管場所は日本に限定されません） | 本サービスの実行基盤（Cloudflare Workers）、データの保管（D1・R2・KV）、報告書の PDF の作成（Browser Rendering）、ドメインの名前の解決（DNS over HTTPS）、実行のログ | お客様データ全般（連携先サービスから取得した記録・ログ、お客様が登録した記録、報告書） |
| Nango Inc（2093 Philadelphia Pike #2885, Claymont, Delaware 19703, USA。Nango Cloud） | 米国 | 連携先サービスの資格情報（API キー・OAuth のトークン）の保管と、OAuth による連携の処理 | 連携先サービスの資格情報。本サービスの保存先には資格情報そのものを置きません |
| 当社（Polastack） | 日本（Google Cloud の東京リージョン） | 利用者の認証（ログイン）、お客様が登録する記録の保管（PolaStore）。Polastack が利用するサブプロセッサーは サブプロセッサー一覧 による | 利用者のアカウント情報、お客様が登録した記録、統制目標の状態 |
| Google LLC（Google Cloud） | 米国 | Google Workspace の連携に用いる認証（Workload Identity 連携。鍵ファイルを使わずに Google の API を呼ぶための短時間のトークンの発行） | 認証のためのトークン。お客様データは保存しません |
予定: 連携先サービスから取得したログの写しの置き場を、Cloudflare D1 から ClickHouse Cloud（ClickHouse, Inc.・米国。データは Google Cloud の東京リージョンに保管）に移す予定です。移す前に、DPA 第 5 条第 2 項に従い、効力発生日の 30 日前までにお客様に通知し、本表に追加します。
第 2 条 外部の照会先（委託ではないもの）
本サービスは、外部からの露出の点検と脆弱性の照合のため、次の公開のサービスに照会します。照会に用いるのは、お客様が登録したドメインの名前・その名前から得た IP アドレス・製品の名前等であり、従業員等の個人データは送りません。これらは個人データの取扱いの委託には当たりません。
| 照会先 | 所在国 | 照会の内容 |
|---|---|---|
| Cert Spotter（SSLMate） | 米国 | ドメインの名前（証明書の公開ログの検索） |
| crt.sh | 英国 | ドメインの名前（Cert Spotter が使えないときの代わり） |
| rdap.org | — | ドメインの名前（登録の情報の照会） |
| Shodan InternetDB | 米国 | IP アドレス（公開されているサービスの照会） |
| 米国 CISA（Known Exploited Vulnerabilities） | 米国 | なし（公開の一覧の取得） |
| JVN iPedia（IPA・JPCERT/CC） | 日本 | 製品の名前（脆弱性の情報の検索） |
第 3 条 お客様が選んだ AI エージェント（MCP）
本サービスは、お客様が AI エージェント（Claude 等）を MCP で本サービスにつないだ場合、お客様の利用者の操作に応じて、本サービスのデータ（名簿・アラート・統制目標の状態等）を当該 AI エージェントに渡します。当該 AI エージェントの提供者は、お客様が選んで契約した事業者であり、当社のサブプロセッサーではありません。
第 4 条 連携先サービス
お客様が本サービスに連携する連携先サービス（Google Workspace、EDR・端末管理・ゼロトラストの製品、GitHub 等）は、お客様が契約するサービスであり、当社のサブプロセッサーではありません。