最終更新日:2026年10月14日
Actorにおける信頼とセキュリティ
Actorは、組織がメール、カレンダー、タスク、ワークフロー、業務知識を管理できるよう支援します。これらのシステムには、機密性の高い業務情報や個人情報が含まれる場合があるため、 セキュリティ、プライバシー、責任あるAI処理は、Actorの設計と運用に組み込まれています。
このトラストセンターでは、Actorが顧客データにどのようにアクセスし、処理、保管、保護、共有するかを説明します。また、各項目の根拠となる文書や管理策へのリンクも掲載しています。
01
信頼性の概要
データの所有権
お客様は常に、ご自身のデータの所有権と管理権を保持します。
AIモデルの学習
顧客コンテンツが汎用AIモデルの学習に使用されることはありません。
アカウントへの安全なアクセス
ActorはOAuthベースの認証を使用してGoogleおよびMicrosoftに接続します。パスワードを保存することはありません。
暗号化
データは転送中に暗号化され、業界標準の管理策によって保存時にも保護されます。
データの最小化
Actorは、お客様が設定した機能を提供するために必要な情報のみを処理します。
お客様による管理
Actorアカウントを削除するには、[設定]→[アカウント]→[アカウントを削除]に進んでください。組織のデータは、リクエストに応じて手動で削除されます。接続済みアカウントへのアクセスを取り消すこともできます。
02
このトラストセンターの対象サービス
このページでは、Actor製品全体に共通する取り組みについて説明します。機能やプランによって取り組みが異なる場合は、該当するセクションに明記しています。
- Actorウェブアプリ
- メール管理機能
- カレンダー管理
- タスクとリマインダー
- オートメーションスタジオのワークフロー
- Actorライブラリ、ナレッジ、メモリー
- ブラウザー拡張機能
- Outlookアドイン
- API群
- WhatsApp、Slack、Teamsなどの有効化されたコミュニケーションチャネル
- モバイルおよびデスクトップアプリケーション
- サポートおよびフィードバックシステム
- お客様が直接選択したサードパーティサービス
- お客様が管理するインフラストラクチャ
- HTTPまたはWebhookアクションを通じて接続された外部アプリケーション
- 明示的に含まれている場合を除くベータ機能
03
Actorのプライバシー上の役割
Actorは通常、データ 処理者 顧客の指示に基づいてデータを処理する場合、顧客または組織が通常、そのデータを利用する目的と方法を決定します。
- メールの内容
- カレンダー情報
- 連絡先情報
- タスク
- お客様がアップロードしたナレッジ
- 組織のメモリ
- ワークフローの入力と出力
Actorは〜として機能します 管理者 顧客の指示とは独立して、自社の事業目的で収集・使用するデータについては、
- アカウント登録データ
- ウェブサイト訪問者
- 請求および支払い記録
- 営業・マーケティングに関するコミュニケーション
- セキュリティログ
- カスタマーサポートの連絡先
- 法務・コンプライアンス関連の記録
04
Actorによるデータ処理
接続
アカウントの認証完了
取得
許可されたデータを取得
処理
依頼されたタスクを実行
返却
結果を提供または実行
保持
必要なものだけ
削除
文書化されたポリシーに従って
認可
ユーザーは、承認済みのOAuthベースの認証方式を使用して、Google、Microsoft、その他のサービスを接続します。Actorが第三者サービスのパスワードを収集または保存することはありません。
取得
Actorは、ユーザーから付与された権限と実行する機能に応じて情報を取得します。タスクに必要な範囲を超えてアクセスすることはありません。
処理
情報は、顧客に代わって分類、要約、抽出、文書の下書き作成、検索、またはアクションの実行を行うために、Actorのサービスおよび承認済みのサブプロセッサによって処理される場合があります。
保存
ワークフロー、設定、メモリ、ナレッジ、監査可能性、タスク、サポート、またはアカウント機能を提供するため、一部の情報は一時的に処理され、その他の情報は保存される場合があります。カテゴリごとの保存対象と保存期間については、以下のデータ取り扱い一覧をご覧ください。
削除
Actorアカウントを次の場所から削除し 設定 → アカウント → アカウントを削除 確認してください。関連するアカウントデータはすべて、稼働中のシステムから直ちに削除されます。求められた場合は、先に接続済みアカウントを切断してください。
組織データの削除は、依頼に応じて手動で行います。 組織の管理者は、 privacy@actordo.com またはActorサポートにお問い合わせください。個人アカウントを削除しても、組織のデータは削除されません。
バックアップの保存期間と限定的に保持される記録については、第12節をご覧ください。
Actorは、メールやカレンダーのデータを「一切保存しない」と一律に主張しているわけではありません。保存の有無は機能によって異なります。ワークフロー、メモリ、サポートを提供するため、一部の識別子、やり取り、メモ、ユーザーが提供したコンテンツを保持します。以下の表では、カテゴリー別にその内容を明確に示しています。
05
データ取り扱い一覧
Actorが処理するデータ、その目的、保存の有無、および保存場所。契約に応じて、一部の保存期間を変更できます。
| データの種類 | 例 | 処理する理由 | 保存されるか | 通常の保存期間 | 処理場所 |
|---|---|---|---|---|---|
| アカウントデータ | 氏名、業務用メールアドレス、組織 | アカウント管理 | はい。 | アカウント存続期間+所定の期間 | Actorのインフラストラクチャ |
| OAuth認証情報 | アクセストークンとリフレッシュトークン | 連携済みアカウントを維持 | はい。 | 取り消しまたは接続解除されるまで | 認証情報を安全に保管、暗号化 |
| メールの内容 | 件名、本文、送信者、添付ファイル | 分類、要約、文書作成、ワークフロー | いいえ | 該当なし | Actorおよび承認済みAIプロバイダー |
| メールのメタデータ | メッセージID、スレッドID、ラベル | アクションとワークフローの連携 | はい。 | 30日間 | Actorのインフラストラクチャ |
| カレンダーデータ | 予定のタイトル、参加者、説明 | スケジュール管理とリマインダー | 一時キャッシュ/機能によって異なる | 1時間 | Actorと承認済みプロバイダー |
| カレンダーのメタデータ | カレンダーID、イベントID | アクションとワークフローの連携 | はい。 | 30日間 | Actorのインフラストラクチャ |
| タスク | タスク名、ステータス、期限 | タスク管理 | 一時キャッシュ/機能によって異なる | 1時間 | Actorまたは連携プロバイダー |
| タスクのメタデータ | タスクリストID、タスクID | アクションとワークフローの連携 | はい。 | 30日間 | Actorのインフラストラクチャ |
| ナレッジ | 顧客がアップロードした文書とテキスト | 検索と支援 | はい。 | 削除されるまで | Actorのインフラストラクチャ |
| メモリー | 保存済みの設定と学習したコンテキスト | パーソナライズ | はい。 | 削除または期限切れになるまで | Actorのインフラストラクチャ |
| ワークフローデータ | トリガー、条件、アクション、実行データ | 自動化 | はい。 | 削除されるまで。ログは30日間 | Actorのインフラストラクチャ |
| サポートデータ | フィードバック、スクリーンショット、選択したメールの内容 | トラブルシューティング | はい、送信時 | 6か月 | サポートシステム |
| セキュリティログ | IPアドレス、認証イベント、システムのアクティビティ | セキュリティと不正行為の防止 | はい。 | 30日間 | ログ記録インフラストラクチャ |
| Actorのブラックリスト | メールアドレス | セキュリティと不正利用 | はい。 | 2年間 | Actorのインフラストラクチャ |
| 請求データ | プラン、請求書の参照情報、支払い状況 | 請求 | はい。 | 法定保存期間 | Actorおよび決済プロバイダー |
06
AIおよび機械学習の取り組み
顧客の設定、利用する機能、地域、セキュリティ要件、エンタープライズ契約、およびモデルの利用可能状況に応じて、Actorは1社以上のAIモデルプロバイダーを利用する場合があります。お客様の組織で利用されている具体的なプロバイダーは、第10節の再委託先一覧に記載されています。
- Actor独自のモデル: Actorは、顧客のコンテンツを使用して独自の汎用AIモデルをトレーニングすることはありません。
- 外部プロバイダー: 承認済みのAIプロバイダーは、Actorとの商用契約に基づき、送信された顧客コンテンツをトレーニングに使用しません。
- 任意のフィードバック: ユーザーが任意で送信したフィードバック(例:製品内のフィードバックツールを通じて送信されたもの)は、Actorの改善に使用される場合があります。
- 集計された利用データ: 匿名化または集計された利用データは、製品のパフォーマンスと信頼性の向上に使用される場合があります。
- オプトアウト: 該当する場合、顧客はActorに連絡して、任意のフィードバックまたは集計された利用データのオプトアウトについて相談できます。
- プロバイダー側でのデータ保持期間はAIプロバイダーによって異なり、サブプロセッサー一覧に記載されています。
- 不正利用の監視に伴うデータ保持は、プロバイダーが提供している場合、プロバイダー側で適用されることがあります。
- ゼロデータ保持の設定は、対象となるエンタープライズ契約で利用できます。ただし、基盤となるプロバイダーが対応している場合に限ります。
- プロンプトと出力がActor自体によって保存されるかどうかは、機能によって異なります。セクション5のデータ取り扱い一覧をご覧ください。
- エンタープライズ向けの設定は、デフォルト設定やセルフサービス設定と異なる場合があります。組織固有の設定については、セキュリティチームにお問い合わせください。
権限を付与された担当者が顧客情報にアクセスできるのは、次の場合に限られます。
- お客様から依頼されたサポート
- セキュリティ調査
- 法的義務
- 明示的に送信されたフィードバック(例:ユーザーがサポートチケットにメールの内容を任意で添付する場合)
- アクセスを制限し、記録を残して行う運用上のトラブルシューティング
顧客データ、メモリ、ナレッジ、ワークフロー、および取得したコンテキストは、権限を付与されたユーザーと組織の範囲内で管理されます。ある組織のデータが、別の組織からアクセスされたり、別の組織によって利用されたりすることはありません。
顧客は、自組織で有効にする自動アクションを管理します。また、特に外部への影響や取り消し不能な影響を伴うアクションについては、必要に応じてAI生成の出力を確認する責任を負います。
07
セキュリティ対策
- 連携アカウント向けのOAuth 2.0連携
- Actor組織内のロールベースのアクセス制御
- 組織メンバーシップの管理
- ユーザーによる委任
- 内部システムへの特権アクセスの制限
- 定期的なアクセス権の見直し
- 従業員の退職・離職手続き
- シングルサインオン(SSO)の利用可否 — プランによる
- 多要素認証(MFA)の利用可否
GoogleまたはMicrosoftでサインインするか、 OpenID Connect(OIDC)によるエンタープライズSSO 組織で設定されているIDプロバイダーを使用してサインインしてください。SAMLには現在対応していません。「 エンタープライズSSOで続行」を選択し、勤務先のメールアドレスを入力して、会社のサインイン手続きを完了してください。SSOを利用するには、メールドメインの設定が必要です。設定については、管理者またはActorサポートにお問い合わせください。
Actorは、IDプロバイダーのパスワードを受け取ったり保存したりしません。多要素認証(MFA)は、IDプロバイダーのポリシーに従って処理されます。サインインによって本人確認が行われ、OAuthによってメール、カレンダー、タスクへのアクセスが別途認可されます。各コネクターの同意画面を確認し、必要に応じて管理者の承認を得てください。
- Actor、顧客、承認済みのサブプロセッサー間で移動するデータの通信時暗号化(TLS)
- 保存された顧客データの保存時暗号化
- 専用の安全な認証情報ストレージを使用したOAuthトークンの保護
- アプリケーションおよびインフラストラクチャの認証情報の一元的なシークレット管理
- 承認されたシステムおよび担当者に限定した鍵へのアクセス制限
- 鍵のローテーション運用
- バックアップの暗号化
- セキュアな開発ライフサイクルの実践
- マージ前のコードレビュー
- 依存関係の自動スキャン
- 静的解析
- 脆弱性スキャン
- 環境の分離(開発、ステージング、本番)
- 安全なデプロイの実践
- 変更管理
- APIセキュリティ対策
- クラウドホスティングモデル — データ処理場所については第11条を参照
- 環境間のネットワーク分離
- ファイアウォール
- インフラへのアクセスに対する最小権限の付与
- インフラの監視
- パッチ管理
- データベースのセキュリティ対策
- バックアップの保護
- 認証の監視
- 管理者操作のログ記録
- セキュリティイベントの監視
- サービス障害の監視
- 不審なアクセスの検知
- ログへのアクセス制限
- ログの保存期間の設定
- 従業員および委託先との秘密保持契約
- セキュリティ意識向上トレーニング
- 職務に応じた役割ベースのアクセス制御
- バックグラウンドチェック → 現在は実施していません
- アクセスの正式な承認および取り消し手順
08
プライバシー
- データの最小化:Actorのサービス提供に必要なデータのみを保存します
- 目的の限定:データはアシスタント機能、サポート、セキュリティ、および法令遵守のためにのみ使用します
- 顧客によるデータ管理:ユーザーは自身のデータおよび連携アカウントを管理できます
- ユーザーの権利:アクセス、訂正、削除、データポータビリティ、異議申し立て、および同意の撤回
- データの削除:ユーザーはいつでもデータを削除し、連携アカウントへのアクセスを取り消すことができます
- データのエクスポート:データは構造化された機械可読形式でエクスポートできます
- 国際的なデータ移転:DPA、SCCおよび適用される保護措置によって保護されています
- 政府機関や司法機関からの要請:法的に義務付けられている場合に限り、データを共有します
- プライバシー・バイ・デザイン:OAuth、暗号化、アクセス制限を採用し、ユーザーデータをLLMの学習に使用しません
- Cookie、分析、フィードバック:製品の改善に使用し、販売や広告には一切使用しません
09
コンプライアンスおよび規制対応
Actorは、契約上の取り決め、データ処理条件、セキュリティ対策、データ主体への支援、再委託先の透明性を通じて、お客様のGDPR上の義務への対応を支援します。 データ処理契約には、処理に関する指示、セキュリティ対策、再委託先、支援義務、削除、監査権、国際移転について記載されています。これらは、EUのデータ処理者契約に求められる技術的・組織的対策に沿ったものです。
Actorは、適用されるスイスのデータ保護要件に基づき、個人データを保護するための技術的・組織的対策を講じています。これには、スイス連邦データ保護・情報コミッショナー(FDPIC)が適切な保護措置として示す、暗号化、認証、匿名化などの管理策が含まれます。
Actorは、対象となる処理について、該当する場合、CCPA/CPRA上のサービスプロバイダーまたは委託先として業務を行います。Actorは、一般的な「CCPA認証」を取得しているとは主張しません。CCPAはSaaSの認証制度ではありません。
HIPAAに準拠した処理は、対象となる法人のお客様が業務提携契約(BAA)を締結し、承認済みの構成を使用する場合に利用できることがあります。
電子保護対象医療情報(ePHI)の処理に本サービスを使用する前に、お客様はActorに連絡する必要があります。これは、すべてのプランや連携機能において「ActorはHIPAAに準拠している」と一律に主張するものではありません。HHSのガイダンスによると、ePHIを作成、受領、維持、または送信するクラウドプロバイダーや再委託先には、通常、適切なBAAが必要です。データが暗号化されている場合や、プロバイダーが暗号鍵を保有していない場合も同様です。ePHIの処理を開始する前に、Actorは以下を確認します。
- 関連するすべてのサブプロセッサーがBAAを提供しています
- 選定されたAIプロバイダーはPHIの取り扱いが承認されています
- ログ記録とサポート用ツールも対象に含まれています
- プランと設定は、承認された範囲に明確に制限されています
- リスク分析が実施されています
- ActorのBAAは実際の運用に即した内容です
認証と保証
認証取得済み、または独立機関による評価済み
Google CASA 2、HIPAA、GDPR
準拠しているセキュリティフレームワーク
ISO 27001、NIST、CIS、OWASPなどのフレームワークに準拠した一部の管理策。
予定
SOC 2 Type I(対応中)、ISO 27001、および独立した侵入テストは今後のロードマップに含まれています。
Actorは、基盤となるクラウドプロバイダーの認証だけを根拠として、認証バッジを表示することはありません。
10
再委託先
Actorに代わって顧客データを処理する可能性があるすべての組織を、機能別に分類して記載しています。GoogleとMicrosoftは、Actorの再委託先ではなく、お客様自身が利用する独立したメール/カレンダープロバイダーとして機能する場合、個別に記載しています。表の下の注記をご覧ください。
| 法人 | サービス | 目的 | 対象となるデータ | 処理場所 | データ移転の仕組み | 必須ですか? | 発効日 |
|---|---|---|---|---|---|---|---|
| 中核インフラ — ホスティング、データベース、ストレージ、ネットワーク、バックアップ | |||||||
| Google Cloud EMEA Limited/Google LLC | Google Cloud プラットフォーム | クラウドホスティング、コンピューティング、データベース、ストレージ、ネットワーク、バックアップ、インフラのセキュリティ。 | アカウントデータ、アプリケーションデータ、構成データ、ログ、メタデータ、暗号化されたバックアップ。 | 構成に応じて、EU/EEAおよびその他のGoogle Cloudリージョン。 | DPA、SCC、および適用されるデータ移転保護措置。 | はい。 | 2024年10月15日 |
| マイクロソフト・アイルランド・オペレーションズ・リミテッド/マイクロソフト・コーポレーション | Microsoft Azure | クラウドホスティング、コンピューティング、データベース、ストレージ、ネットワーク、バックアップ、インフラのセキュリティ。 | アカウントデータ、アプリケーションデータ、構成データ、ログ、メタデータ、暗号化されたバックアップ。 | 構成に応じて、EU/EEAおよびその他のAzureリージョン。 | DPA、SCC、および適用されるデータ移転保護措置。 | はい。 | 2024年12月15日 |
| デジタルオーシャン LLC | DigitalOceanクラウドプラットフォーム | クラウドホスティング、コンピューティング、データベース、ストレージ、ネットワーク、バックアップ、インフラのセキュリティ。 | アカウントデータ、アプリケーションデータ、構成データ、ログ、メタデータ、暗号化されたバックアップ。 | 構成に応じて、EU/EEAおよびその他のDigitalOceanリージョン。 | DPA、SCC、および適用されるデータ移転保護措置。 | はい。 | 2024年10月30日 |
| AI処理 — LLMプロバイダー、埋め込みプロバイダー、音声処理 | |||||||
| Google Cloud EMEA Limited/Google LLC | Google Gemini/Vertex AI | 分類、要約、文章の下書き作成、支援、埋め込み、および関連するAI機能のためのAIモデル処理。 | ユーザーのプロンプト、処理対象として選択されたメールの内容、カレンダー/タスクのコンテキスト、メタデータ、生成された出力。 | 構成に応じて、EU/EEAおよびその他のGoogle Cloudリージョン。 | DPA、SCC、および適用されるデータ移転保護措置。 | はい、Geminiを使用するAI機能の場合 | 2024年12月01日 |
| アンソロピック公益法人 | アンソロピック・クロード | 分類、要約、文章の作成、支援、および関連するAI機能のためのAIモデル処理。 | ユーザーのプロンプト、処理対象として選択されたメールの内容、カレンダー/タスクのコンテキスト、メタデータ、生成された出力。 | サービスの設定に応じて、米国およびその他の地域。 | DPA、SCC、および適用されるデータ移転保護措置。 | はい、クロードを使用するAI機能の場合 | 2025年02月12日 |
| オープンAI有限責任会社 | オープンAI API | 分類、要約、文章の下書き作成、支援、埋め込み、および関連するAI機能のためのAIモデル処理。 | ユーザーのプロンプト、処理対象として選択されたメールの内容、カレンダー/タスクのコンテキスト、メタデータ、生成された出力。 | サービスの設定に応じて、米国およびその他の地域。 | DPA、SCC、および適用されるデータ移転保護措置。 | はい、オープンAIを使用するAI機能の場合 | 2024年10月01日 |
| 運用とセキュリティ — 監視、エラー追跡、サポート、認証、コミュニケーション | |||||||
| データドッグ株式会社 | インフラストラクチャとアプリケーションの監視 | システム監視、パフォーマンス分析、ログ、メトリクス、アラート、セキュリティ監視。 | システムログ、メタデータ、IPアドレス、デバイス/ブラウザー情報、利用イベント、技術識別子。 | 構成に応じてEU/米国。 | DPA、SCC、および適用されるデータ移転保護措置。 | 任意/要確認 | 2025年5月17日 |
| クラウドフレア社 | CDN、DNS、セキュリティ、ネットワーク保護 | コンテンツ配信、DNS、DDoS保護、ファイアウォール、ボット対策、トラフィックのセキュリティ。 | IPアドレス、リクエストのメタデータ、ブラウザー/デバイス情報、セキュリティログ、技術識別子。 | グローバルなネットワーク拠点。 | DPA、SCC、および適用されるデータ移転保護措置。 | 任意/要確認 | 2024年10月01日 |
| ストライプ社 | 決済と請求 | サブスクリプションの請求、決済処理、請求書、税務処理、不正利用の防止。 | 請求先の連絡先情報、決済メタデータ、取引データ、請求書データ、限定的なアカウント識別子。 | 構成に応じてEU/米国。 | DPA、SCC、および適用されるデータ移転保護措置。 | はい、有料顧客の場合 | 2025年5月1日 |
| グーグル LLC | Google OAuth/Google Workspace API | Gmail、Google カレンダーおよび関連する Google サービスの認証と、顧客が許可したアクセス。 | 付与された権限に応じた氏名、メールアドレス、OAuthトークン、許可されたメール/カレンダー/タスクのデータ。 | 設定に応じて、EU/米国およびその他のGoogleのデータ保存地域。 | DPA、SCC、および適用されるデータ移転保護措置。 | 任意。顧客が有効にした場合にのみ使用。 | 2024年10月15日 |
| マイクロソフト コーポレーション | Microsoft Entra ID/Microsoft Graph API | Outlook、Microsoft カレンダー、ユーザーおよび関連するMicrosoftサービスの認証と、顧客が許可したアクセス。 | 付与された権限に応じた氏名、メールアドレス、OAuthトークン、許可されたメール/カレンダー/タスクのデータ。 | 設定に応じて、EU/米国およびその他のMicrosoftのデータ保存地域。 | DPA、SCC、および適用されるデータ移転保護措置。 | 任意。顧客が有効にした場合にのみ使用。 | 2024年12月12日 |
| 任意の連携 — 顧客が該当機能を有効にした場合にのみ使用 | |||||||
| ザピア社 | ワークフロー自動化連携 | 顧客が設定したActorとサードパーティ製アプリケーション間の任意のワークフロー自動化。 | 顧客が選択したワークフローデータ、メタデータ、アカウント識別子、イベントペイロード。 | 設定に応じて、米国およびその他の地域。 | DPA、SCC、および適用されるデータ移転保護措置。 | 任意 | 2026年01月01日 |
GoogleまたはMicrosoftがお客様自身のメールおよびカレンダーサービスを提供する場合、両社はActorの再委託先ではなく、お客様の独立したプロバイダーとして機能します。一方、ActorがActorサービスの運用にGoogle CloudやMicrosoft Azureなどのインフラを自ら契約して利用する場合、その特定の目的におけるActorの再委託先として、該当する事業者を上記に記載しています。
11
データの保管場所と国際移転
| 処理活動 | 主な処理場所 | その他の可能性のある処理場所 | 顧客が選択できますか? |
|---|---|---|---|
| Actorアプリケーションのホスティング | ニューヨーク | アムステルダム、チューリッヒ | はい、エンタープライズ向け |
| データベースストレージ | ニューヨーク | バックアップ先:ニューヨーク 2 | はい、エンタープライズ向け |
| AI推論 | プロバイダーによって異なる | 米国・EUのみ | はい、エンタープライズ向け |
| モニタリングとログ | ニューヨーク | アムステルダム | はい、エンタープライズ向け |
| カスタマーサポート | スイス/欧州連合 | いいえ |
国境を越えるデータ移転では、移転先国のデータ保護水準と、その水準が十分でないと判断される場合に適切な保護措置を講じることに留意する必要があります。Actorのデータ移転の仕組みはDPAに記載されています。
12
データの保存期間と削除
データの保持期間は、データの種類によって異なります。アカウントを削除すると、関連するアカウントデータは稼働中のシステムから直ちに削除されます。バックアップは30日間のスケジュールに従って期限切れとなります。限定的なセキュリティ記録および法令で保存が義務付けられている記録には、以下の期間が適用されます。アカウントの削除は、アーカイブの手段ではありません。
| カテゴリ | 保持期間 |
|---|---|
| アカウントデータ | 利用者が取り消すか接続を解除するまで。14日間アクセスがない場合、自動的に削除 |
| 接続済みアカウントのトークン | 利用者が取り消すか接続を解除するまで |
| メールとカレンダーの内容 | 30日間、識別子のみ |
| メッセージとイベントの識別子 | 30日間 |
| 知識とメモリー | 利用者または組織が削除するまで |
| ワークフロー履歴 | 30日間 |
| 人工知能のプロンプトと出力 | 24時間 |
| サポートチケット | 12か月 |
| セキュリティログ | 6か月 |
| バックアップ | 30日間 |
| 請求記録 | 適用される法定保存要件に従って |
| 削除済みアカウント | 12か月間 |
Actorアカウントを次の場所から削除し 設定 → アカウント → アカウントを削除 確認してください。関連するアカウントデータはすべて、稼働中のシステムから直ちに削除されます。求められた場合は、先に接続済みアカウントを切断してください。
組織データの削除は、依頼に応じて手動で行います。 組織の管理者は、 privacy@actordo.com またはActorサポートにお問い合わせください。個人アカウントを削除しても、組織のデータは削除されません。
バックアップには、期限切れとなるまでの30日間、設定データが残っている場合があります。削除済みアカウントに関する限定的な暗号化済みメール記録とセキュリティ記録には、上記の保持スケジュールが適用されます。請求記録は、法令で保存が義務付けられている場合に保持されます。
- 個人のActorアカウントを削除するには、[設定]→[アカウント]→[アカウントを削除]に進んでください。
- 組織データの手動削除を依頼するには、こちらから privacy@actordo.com またはActorサポートまでご連絡ください。
- GoogleまたはMicrosoftへのアクセス権は、各プロバイダーのアプリ権限設定から取り消してください。アクセス権の取り消しは、Actorのデータ削除とは別の手続きです。
13
信頼性と事業継続性
- 公開ステータスページ
- インシデント履歴
- 契約上提供される場合の可用性目標
- 継続的な監視
- バックアップと災害復旧
- 復旧テスト
- 目標復旧時間(RTO)と目標復旧時点(RPO)
- 変更・リリース管理
具体的なRTO、RPO、稼働率の数値は、Actorがそれらを安定して達成できるようになってから公開します。確定次第、適用開始日とともにここに掲載します。
14
インシデント対応
以下では、機密性の高い内部情報を明かさず、評価に役立つレベルでプロセスを説明します。
検知
エスカレーション
封じ込め
調査
通知
復旧
レビュー
このプロセスには、社内でのエスカレーション、封じ込め、調査、顧客への通知、必要に応じた規制当局との連携、復旧、および確認された各セキュリティインシデント後のレビューが含まれます。
15
セキュリティおよび法務関連文書
公開資料
ご要望に応じて提供 → アクセスを申請
作業中
16
よくある質問
Actorはメールの内容を保存しますか?
機能によって異なります。依頼されたタスクを実行するため、一部のメール内容は一時的に処理されます。一方、識別子、要約、ワークフローやメモリーに必要なコンテキストなど、その他の内容は保存される場合があります。データの種類ごとの詳細については、セクション5のデータ取り扱い一覧をご覧ください。
Actorにはメールやカレンダーへのどのようなアクセス権限が必要ですか?
Actorは、お客様が有効にした機能に必要なOAuthスコープを要求します。GoogleまたはMicrosoftのアカウント設定から、いつでもスコープを確認し、取り消すことができます。
Actorは顧客データをAIモデルの学習に使用しますか?
お客様のコンテンツが汎用AIモデルの学習に使用されることはありません。Actor独自のモデル、外部プロバイダー、自発的なフィードバック、集計済み利用データの詳細については、セクション6をご覧ください。
ActorはどのAIプロバイダーを利用していますか?
現在のAIプロバイダー一覧は、セクション10のサブプロセッサー一覧に掲載されています。プロバイダーは、機能、地域、エンタープライズの設定によって異なる場合があります。
AIプロバイダーを選ぶことはできますか?
一部のエンタープライズ契約では、この設定を変更できる場合があります。貴組織で利用できる選択肢については、セキュリティチームにお問い合わせください。
Actorの従業員が私のメールを読むことはありますか?
メール内容に定期的または自動的にアクセスすることはありません。承認された担当者が内容にアクセスできるのは、セクション6に記載されている特定の状況に限られます。たとえば、お客様がサポート依頼にメール内容を任意で添付した場合などです。
データはどこに保存されますか?
場所ごとの処理内容については、セクション11のデータ保存場所一覧をご覧ください。
Actorはデータをどのくらいの期間保持しますか?
データの保持期間は、データの種類によって異なります。保持期間の全一覧については、セクション12をご覧ください。
データを削除するにはどうすればよいですか?
Actorアカウントを次の場所から削除し 設定 → アカウント → アカウントを削除 確認してください。関連するアカウントデータはすべて、稼働中のシステムから直ちに削除されます。求められた場合は、先に接続済みアカウントを切断してください。
組織データの削除は、依頼に応じて手動で行います。 組織の管理者は、 privacy@actordo.com またはActorサポートにお問い合わせください。個人アカウントを削除しても、組織のデータは削除されません。
バックアップおよび保持期間の例外については、セクション12をご覧ください。
GoogleまたはMicrosoftへのアクセス権限を取り消すにはどうすればよいですか?
Googleアカウントの権限ページまたはMicrosoftアカウントのセキュリティ設定から、いつでもActorのアクセス権を取り消せます。
ActorはGDPRに対応していますか?
はい。DPA、セキュリティ対策、再委託先の透明性を通じて、Actorが顧客のGDPR上の義務をどのように支援するかについては、セクション9をご覧ください。
データ処理契約書(DPA)は利用できますか?
はい。データ処理契約はセクション15でご確認いただけます。
ActorはHIPAAに準拠していますか?
HIPAAに準拠した処理は、BAAを締結し、承認済みの設定を行った対象のビジネス顧客に提供できる場合があります。すべてのプランで標準提供されるものではありません。ePHIを処理する前に必要な詳細と手順については、セクション9をご覧ください。
BAAを締結できますか?
はい。ビジネス顧客が対象です。手続きを開始するには、セキュリティチームにお問い合わせください。セクション18をご覧ください。
Actorのサブプロセッサーはどこですか?
機能別に分類した全一覧は、セクション10に記載されています。
新しいサブプロセッサーについて、どのように通知されますか?
セクション10に関する変更の最新情報は、このページでご確認ください。変更が適用される前に、所定の通知期間を設けてお知らせするとともに、異議申し立ての手続きもご案内します。
ActorはSSOとMFAに対応していますか?
GoogleまたはMicrosoftでサインインするか、 OpenID Connect(OIDC)によるエンタープライズSSO 組織で設定されているIDプロバイダーを使用してサインインしてください。SAMLには現在対応していません。「 エンタープライズSSOで続行」を選択し、勤務先のメールアドレスを入力して、会社のサインイン手続きを完了してください。SSOを利用するには、メールドメインの設定が必要です。設定については、管理者またはActorサポートにお問い合わせください。
Actorは、IDプロバイダーのパスワードを受け取ったり保存したりしません。多要素認証(MFA)は、IDプロバイダーのポリシーに従って処理されます。サインインによって本人確認が行われ、OAuthによってメール、カレンダー、タスクへのアクセスが別途認可されます。各コネクターの同意画面を確認し、必要に応じて管理者の承認を得てください。
Actorはペネトレーションテストを実施していますか?
独立した侵入テストを定期的に実施しています。認証と保証報告書については、セクション9をご覧ください。
アカウントを閉鎖すると、どうなりますか?
削除直後に何が起きるか、バックアップに一時的に何が残るか、適用される法的例外については、セクション12をご覧ください。
17
更新と変更履歴
これは、トラストセンターが静的なページではなく、継続的に更新されていることを示しています。
トラストセンターを開設
データ保持情報を更新
18
お問い合わせと書類の請求
機密文書については、security@actordo.comまでメールでお送りいただくか、非公開でお問い合わせください。
