最終更新日:2026年10月14日

Actorにおける信頼とセキュリティ

Actorは、組織がメール、カレンダー、タスク、ワークフロー、業務知識を管理できるよう支援します。これらのシステムには、機密性の高い業務情報や個人情報が含まれる場合があるため、 セキュリティ、プライバシー、責任あるAI処理は、Actorの設計と運用に組み込まれています。
このトラストセンターでは、Actorが顧客データにどのようにアクセスし、処理、保管、保護、共有するかを説明します。また、各項目の根拠となる文書や管理策へのリンクも掲載しています。

01

信頼性の概要

データの所有権

お客様は常に、ご自身のデータの所有権と管理権を保持します。

AIモデルの学習

顧客コンテンツが汎用AIモデルの学習に使用されることはありません。

⏳ 対象範囲はセクション6で明確化

アカウントへの安全なアクセス

ActorはOAuthベースの認証を使用してGoogleおよびMicrosoftに接続します。パスワードを保存することはありません。

暗号化

データは転送中に暗号化され、業界標準の管理策によって保存時にも保護されます。

データの最小化

Actorは、お客様が設定した機能を提供するために必要な情報のみを処理します。

お客様による管理

Actorアカウントを削除するには、[設定]→[アカウント]→[アカウントを削除]に進んでください。組織のデータは、リクエストに応じて手動で削除されます。接続済みアカウントへのアクセスを取り消すこともできます。

02

このトラストセンターの対象サービス

このページでは、Actor製品全体に共通する取り組みについて説明します。機能やプランによって取り組みが異なる場合は、該当するセクションに明記しています。

対象
  • Actorウェブアプリ
  • メール管理機能
  • カレンダー管理
  • タスクとリマインダー
  • オートメーションスタジオのワークフロー
  • Actorライブラリ、ナレッジ、メモリー
  • ブラウザー拡張機能
  • Outlookアドイン
  • API群
  • WhatsApp、Slack、Teamsなどの有効化されたコミュニケーションチャネル
  • モバイルおよびデスクトップアプリケーション
  • サポートおよびフィードバックシステム
対象外
  • お客様が直接選択したサードパーティサービス
  • お客様が管理するインフラストラクチャ
  • HTTPまたはWebhookアクションを通じて接続された外部アプリケーション
  • 明示的に含まれている場合を除くベータ機能
03

Actorのプライバシー上の役割

処理者としてのActor

Actorは通常、データ 処理者 顧客の指示に基づいてデータを処理する場合、顧客または組織が通常、そのデータを利用する目的と方法を決定します。

  • メールの内容
  • カレンダー情報
  • 連絡先情報
  • タスク
  • お客様がアップロードしたナレッジ
  • 組織のメモリ
  • ワークフローの入力と出力
管理者としてのActor

Actorは〜として機能します 管理者 顧客の指示とは独立して、自社の事業目的で収集・使用するデータについては、

  • アカウント登録データ
  • ウェブサイト訪問者
  • 請求および支払い記録
  • 営業・マーケティングに関するコミュニケーション
  • セキュリティログ
  • カスタマーサポートの連絡先
  • 法務・コンプライアンス関連の記録
04

Actorによるデータ処理

1

接続

アカウントの認証完了

2

取得

許可されたデータを取得

3

処理

依頼されたタスクを実行

4

返却

結果を提供または実行

5

保持

必要なものだけ

6

削除

文書化されたポリシーに従って

認可

ユーザーは、承認済みのOAuthベースの認証方式を使用して、Google、Microsoft、その他のサービスを接続します。Actorが第三者サービスのパスワードを収集または保存することはありません。

取得

Actorは、ユーザーから付与された権限と実行する機能に応じて情報を取得します。タスクに必要な範囲を超えてアクセスすることはありません。

処理

情報は、顧客に代わって分類、要約、抽出、文書の下書き作成、検索、またはアクションの実行を行うために、Actorのサービスおよび承認済みのサブプロセッサによって処理される場合があります。

保存

ワークフロー、設定、メモリ、ナレッジ、監査可能性、タスク、サポート、またはアカウント機能を提供するため、一部の情報は一時的に処理され、その他の情報は保存される場合があります。カテゴリごとの保存対象と保存期間については、以下のデータ取り扱い一覧をご覧ください。

削除

Actorアカウントを次の場所から削除し 設定 → アカウント → アカウントを削除 確認してください。関連するアカウントデータはすべて、稼働中のシステムから直ちに削除されます。求められた場合は、先に接続済みアカウントを切断してください。

組織データの削除は、依頼に応じて手動で行います。 組織の管理者は、 privacy@actordo.com またはActorサポートにお問い合わせください。個人アカウントを削除しても、組織のデータは削除されません。

バックアップの保存期間と限定的に保持される記録については、第12節をご覧ください。

正確性に関する注記

Actorは、メールやカレンダーのデータを「一切保存しない」と一律に主張しているわけではありません。保存の有無は機能によって異なります。ワークフロー、メモリ、サポートを提供するため、一部の識別子、やり取り、メモ、ユーザーが提供したコンテンツを保持します。以下の表では、カテゴリー別にその内容を明確に示しています。

05

データ取り扱い一覧

Actorが処理するデータ、その目的、保存の有無、および保存場所。契約に応じて、一部の保存期間を変更できます。

データの種類 例 処理する理由 保存されるか 通常の保存期間 処理場所
アカウントデータ 氏名、業務用メールアドレス、組織 アカウント管理 はい。 アカウント存続期間+所定の期間 Actorのインフラストラクチャ
OAuth認証情報 アクセストークンとリフレッシュトークン 連携済みアカウントを維持 はい。 取り消しまたは接続解除されるまで 認証情報を安全に保管、暗号化
メールの内容 件名、本文、送信者、添付ファイル 分類、要約、文書作成、ワークフロー いいえ 該当なし Actorおよび承認済みAIプロバイダー
メールのメタデータ メッセージID、スレッドID、ラベル アクションとワークフローの連携 はい。 30日間 Actorのインフラストラクチャ
カレンダーデータ 予定のタイトル、参加者、説明 スケジュール管理とリマインダー 一時キャッシュ/機能によって異なる 1時間 Actorと承認済みプロバイダー
カレンダーのメタデータ カレンダーID、イベントID アクションとワークフローの連携 はい。 30日間 Actorのインフラストラクチャ
タスク タスク名、ステータス、期限 タスク管理 一時キャッシュ/機能によって異なる 1時間 Actorまたは連携プロバイダー
タスクのメタデータ タスクリストID、タスクID アクションとワークフローの連携 はい。 30日間 Actorのインフラストラクチャ
ナレッジ 顧客がアップロードした文書とテキスト 検索と支援 はい。 削除されるまで Actorのインフラストラクチャ
メモリー 保存済みの設定と学習したコンテキスト パーソナライズ はい。 削除または期限切れになるまで Actorのインフラストラクチャ
ワークフローデータ トリガー、条件、アクション、実行データ 自動化 はい。 削除されるまで。ログは30日間 Actorのインフラストラクチャ
サポートデータ フィードバック、スクリーンショット、選択したメールの内容 トラブルシューティング はい、送信時 6か月 サポートシステム
セキュリティログ IPアドレス、認証イベント、システムのアクティビティ セキュリティと不正行為の防止 はい。 30日間 ログ記録インフラストラクチャ
Actorのブラックリスト メールアドレス セキュリティと不正利用 はい。 2年間 Actorのインフラストラクチャ
請求データ プラン、請求書の参照情報、支払い状況 請求 はい。 法定保存期間 Actorおよび決済プロバイダー
06

AIおよび機械学習の取り組み

顧客の設定、利用する機能、地域、セキュリティ要件、エンタープライズ契約、およびモデルの利用可能状況に応じて、Actorは1社以上のAIモデルプロバイダーを利用する場合があります。お客様の組織で利用されている具体的なプロバイダーは、第10節の再委託先一覧に記載されています。

  • Actor独自のモデル: Actorは、顧客のコンテンツを使用して独自の汎用AIモデルをトレーニングすることはありません。
  • 外部プロバイダー: 承認済みのAIプロバイダーは、Actorとの商用契約に基づき、送信された顧客コンテンツをトレーニングに使用しません。
  • 任意のフィードバック: ユーザーが任意で送信したフィードバック(例:製品内のフィードバックツールを通じて送信されたもの)は、Actorの改善に使用される場合があります。
  • 集計された利用データ: 匿名化または集計された利用データは、製品のパフォーマンスと信頼性の向上に使用される場合があります。
  • オプトアウト: 該当する場合、顧客はActorに連絡して、任意のフィードバックまたは集計された利用データのオプトアウトについて相談できます。
  • プロバイダー側でのデータ保持期間はAIプロバイダーによって異なり、サブプロセッサー一覧に記載されています。
  • 不正利用の監視に伴うデータ保持は、プロバイダーが提供している場合、プロバイダー側で適用されることがあります。
  • ゼロデータ保持の設定は、対象となるエンタープライズ契約で利用できます。ただし、基盤となるプロバイダーが対応している場合に限ります。
  • プロンプトと出力がActor自体によって保存されるかどうかは、機能によって異なります。セクション5のデータ取り扱い一覧をご覧ください。
  • エンタープライズ向けの設定は、デフォルト設定やセルフサービス設定と異なる場合があります。組織固有の設定については、セキュリティチームにお問い合わせください。

権限を付与された担当者が顧客情報にアクセスできるのは、次の場合に限られます。

  • お客様から依頼されたサポート
  • セキュリティ調査
  • 法的義務
  • 明示的に送信されたフィードバック(例:ユーザーがサポートチケットにメールの内容を任意で添付する場合)
  • アクセスを制限し、記録を残して行う運用上のトラブルシューティング
取り扱いに関する注記 サポート依頼の一環として、ユーザーが自発的にメールの内容を提出した場合、依頼を解決する目的で、サポート担当者がその内容を確認することがあります。これは、メールの内容に日常的または自動的にアクセスすることとは異なり、そのようなアクセスは行われません。

顧客データ、メモリ、ナレッジ、ワークフロー、および取得したコンテキストは、権限を付与されたユーザーと組織の範囲内で管理されます。ある組織のデータが、別の組織からアクセスされたり、別の組織によって利用されたりすることはありません。

顧客は、自組織で有効にする自動アクションを管理します。また、特に外部への影響や取り消し不能な影響を伴うアクションについては、必要に応じてAI生成の出力を確認する責任を負います。

07

セキュリティ対策

  • 連携アカウント向けのOAuth 2.0連携
  • Actor組織内のロールベースのアクセス制御
  • 組織メンバーシップの管理
  • ユーザーによる委任
  • 内部システムへの特権アクセスの制限
  • 定期的なアクセス権の見直し
  • 従業員の退職・離職手続き
  • シングルサインオン(SSO)の利用可否 — プランによる
  • 多要素認証(MFA)の利用可否
アーキテクチャに関する注記 Google、Microsoft、または企業の ID プロバイダーに認証を委任する場合、多要素認証(MFA)とシングルサインオン(SSO)は Actor 内で直接適用されるのではなく、その ID プロバイダーによって適用されます。このページでは、Actor がこれらの制御を独自に再実装しているかのように示すのではなく、実際の認証アーキテクチャについて説明します。

GoogleまたはMicrosoftでサインインするか、 OpenID Connect(OIDC)によるエンタープライズSSO 組織で設定されているIDプロバイダーを使用してサインインしてください。SAMLには現在対応していません。「 エンタープライズSSOで続行」を選択し、勤務先のメールアドレスを入力して、会社のサインイン手続きを完了してください。SSOを利用するには、メールドメインの設定が必要です。設定については、管理者またはActorサポートにお問い合わせください。

Actorは、IDプロバイダーのパスワードを受け取ったり保存したりしません。多要素認証(MFA)は、IDプロバイダーのポリシーに従って処理されます。サインインによって本人確認が行われ、OAuthによってメール、カレンダー、タスクへのアクセスが別途認可されます。各コネクターの同意画面を確認し、必要に応じて管理者の承認を得てください。

  • Actor、顧客、承認済みのサブプロセッサー間で移動するデータの通信時暗号化(TLS)
  • 保存された顧客データの保存時暗号化
  • 専用の安全な認証情報ストレージを使用したOAuthトークンの保護
  • アプリケーションおよびインフラストラクチャの認証情報の一元的なシークレット管理
  • 承認されたシステムおよび担当者に限定した鍵へのアクセス制限
  • 鍵のローテーション運用
  • バックアップの暗号化
  • セキュアな開発ライフサイクルの実践
  • マージ前のコードレビュー
  • 依存関係の自動スキャン
  • 静的解析
  • 脆弱性スキャン
  • 環境の分離(開発、ステージング、本番)
  • 安全なデプロイの実践
  • 変更管理
  • APIセキュリティ対策
  • クラウドホスティングモデル — データ処理場所については第11条を参照
  • 環境間のネットワーク分離
  • ファイアウォール
  • インフラへのアクセスに対する最小権限の付与
  • インフラの監視
  • パッチ管理
  • データベースのセキュリティ対策
  • バックアップの保護
  • 認証の監視
  • 管理者操作のログ記録
  • セキュリティイベントの監視
  • サービス障害の監視
  • 不審なアクセスの検知
  • ログへのアクセス制限
  • ログの保存期間の設定
正確性に関する注記 Actorのシステムでは、メールの内容は一切記録されません。アプリケーションログ、エラー報告、監視ツール、キュー、サポートツールにおけるログの取り扱いが、この記述と一貫しているか確認中です。確認済みの範囲を反映するため、このセクションは更新されます。メールの識別情報を含むログはありますが、メールの内容は含まれていません。
  • 従業員および委託先との秘密保持契約
  • セキュリティ意識向上トレーニング
  • 職務に応じた役割ベースのアクセス制御
  • バックグラウンドチェック → 現在は実施していません
  • アクセスの正式な承認および取り消し手順

Actorは、次のものを維持しています。

脆弱性開示プログラム

セキュリティ研究者向けに、対象範囲、報告ルール、セーフハーバー条項、報告手順を定めたものです。

08

プライバシー

  • データの最小化:Actorのサービス提供に必要なデータのみを保存します
  • 目的の限定:データはアシスタント機能、サポート、セキュリティ、および法令遵守のためにのみ使用します
  • 顧客によるデータ管理:ユーザーは自身のデータおよび連携アカウントを管理できます
  • ユーザーの権利:アクセス、訂正、削除、データポータビリティ、異議申し立て、および同意の撤回
  • データの削除:ユーザーはいつでもデータを削除し、連携アカウントへのアクセスを取り消すことができます
  • データのエクスポート:データは構造化された機械可読形式でエクスポートできます
  • 国際的なデータ移転:DPA、SCCおよび適用される保護措置によって保護されています
  • 政府機関や司法機関からの要請:法的に義務付けられている場合に限り、データを共有します
  • プライバシー・バイ・デザイン:OAuth、暗号化、アクセス制限を採用し、ユーザーデータをLLMの学習に使用しません
  • Cookie、分析、フィードバック:製品の改善に使用し、販売や広告には一切使用しません
09

コンプライアンスおよび規制対応

Actorは、契約上の取り決め、データ処理条件、セキュリティ対策、データ主体への支援、再委託先の透明性を通じて、お客様のGDPR上の義務への対応を支援します。 データ処理契約には、処理に関する指示、セキュリティ対策、再委託先、支援義務、削除、監査権、国際移転について記載されています。これらは、EUのデータ処理者契約に求められる技術的・組織的対策に沿ったものです。

Actorは、適用されるスイスのデータ保護要件に基づき、個人データを保護するための技術的・組織的対策を講じています。これには、スイス連邦データ保護・情報コミッショナー(FDPIC)が適切な保護措置として示す、暗号化、認証、匿名化などの管理策が含まれます。

Actorは、対象となる処理について、該当する場合、CCPA/CPRA上のサービスプロバイダーまたは委託先として業務を行います。Actorは、一般的な「CCPA認証」を取得しているとは主張しません。CCPAはSaaSの認証制度ではありません。

HIPAAに準拠した処理は、対象となる法人のお客様が業務提携契約(BAA)を締結し、承認済みの構成を使用する場合に利用できることがあります。

電子保護対象医療情報(ePHI)の処理に本サービスを使用する前に、お客様はActorに連絡する必要があります。

これは、すべてのプランや連携機能において「ActorはHIPAAに準拠している」と一律に主張するものではありません。HHSのガイダンスによると、ePHIを作成、受領、維持、または送信するクラウドプロバイダーや再委託先には、通常、適切なBAAが必要です。データが暗号化されている場合や、プロバイダーが暗号鍵を保有していない場合も同様です。ePHIの処理を開始する前に、Actorは以下を確認します。

  • 関連するすべてのサブプロセッサーがBAAを提供しています
  • 選定されたAIプロバイダーはPHIの取り扱いが承認されています
  • ログ記録とサポート用ツールも対象に含まれています
  • プランと設定は、承認された範囲に明確に制限されています
  • リスク分析が実施されています
  • ActorのBAAは実際の運用に即した内容です

認証と保証

✓ 完了

認証取得済み、または独立機関による評価済み

Google CASA 2、HIPAA、GDPR

→ 整合性の確認

準拠しているセキュリティフレームワーク

ISO 27001、NIST、CIS、OWASPなどのフレームワークに準拠した一部の管理策。

⏳ 予定

予定

SOC 2 Type I(対応中)、ISO 27001、および独立した侵入テストは今後のロードマップに含まれています。

Actorは、基盤となるクラウドプロバイダーの認証だけを根拠として、認証バッジを表示することはありません。

10

再委託先

Actorに代わって顧客データを処理する可能性があるすべての組織を、機能別に分類して記載しています。GoogleとMicrosoftは、Actorの再委託先ではなく、お客様自身が利用する独立したメール/カレンダープロバイダーとして機能する場合、個別に記載しています。表の下の注記をご覧ください。

コアインフラ
AI処理
運用とセキュリティ
任意の連携機能
法人 サービス 目的 対象となるデータ 処理場所 データ移転の仕組み 必須ですか? 発効日
中核インフラ — ホスティング、データベース、ストレージ、ネットワーク、バックアップ
Google Cloud EMEA Limited/Google LLC Google Cloud プラットフォーム クラウドホスティング、コンピューティング、データベース、ストレージ、ネットワーク、バックアップ、インフラのセキュリティ。 アカウントデータ、アプリケーションデータ、構成データ、ログ、メタデータ、暗号化されたバックアップ。 構成に応じて、EU/EEAおよびその他のGoogle Cloudリージョン。 DPA、SCC、および適用されるデータ移転保護措置。 はい。 2024年10月15日
マイクロソフト・アイルランド・オペレーションズ・リミテッド/マイクロソフト・コーポレーション Microsoft Azure クラウドホスティング、コンピューティング、データベース、ストレージ、ネットワーク、バックアップ、インフラのセキュリティ。 アカウントデータ、アプリケーションデータ、構成データ、ログ、メタデータ、暗号化されたバックアップ。 構成に応じて、EU/EEAおよびその他のAzureリージョン。 DPA、SCC、および適用されるデータ移転保護措置。 はい。 2024年12月15日
デジタルオーシャン LLC DigitalOceanクラウドプラットフォーム クラウドホスティング、コンピューティング、データベース、ストレージ、ネットワーク、バックアップ、インフラのセキュリティ。 アカウントデータ、アプリケーションデータ、構成データ、ログ、メタデータ、暗号化されたバックアップ。 構成に応じて、EU/EEAおよびその他のDigitalOceanリージョン。 DPA、SCC、および適用されるデータ移転保護措置。 はい。 2024年10月30日
AI処理 — LLMプロバイダー、埋め込みプロバイダー、音声処理
Google Cloud EMEA Limited/Google LLC Google Gemini/Vertex AI 分類、要約、文章の下書き作成、支援、埋め込み、および関連するAI機能のためのAIモデル処理。 ユーザーのプロンプト、処理対象として選択されたメールの内容、カレンダー/タスクのコンテキスト、メタデータ、生成された出力。 構成に応じて、EU/EEAおよびその他のGoogle Cloudリージョン。 DPA、SCC、および適用されるデータ移転保護措置。 はい、Geminiを使用するAI機能の場合 2024年12月01日
アンソロピック公益法人 アンソロピック・クロード 分類、要約、文章の作成、支援、および関連するAI機能のためのAIモデル処理。 ユーザーのプロンプト、処理対象として選択されたメールの内容、カレンダー/タスクのコンテキスト、メタデータ、生成された出力。 サービスの設定に応じて、米国およびその他の地域。 DPA、SCC、および適用されるデータ移転保護措置。 はい、クロードを使用するAI機能の場合 2025年02月12日
オープンAI有限責任会社 オープンAI API 分類、要約、文章の下書き作成、支援、埋め込み、および関連するAI機能のためのAIモデル処理。 ユーザーのプロンプト、処理対象として選択されたメールの内容、カレンダー/タスクのコンテキスト、メタデータ、生成された出力。 サービスの設定に応じて、米国およびその他の地域。 DPA、SCC、および適用されるデータ移転保護措置。 はい、オープンAIを使用するAI機能の場合 2024年10月01日
運用とセキュリティ — 監視、エラー追跡、サポート、認証、コミュニケーション
データドッグ株式会社 インフラストラクチャとアプリケーションの監視 システム監視、パフォーマンス分析、ログ、メトリクス、アラート、セキュリティ監視。 システムログ、メタデータ、IPアドレス、デバイス/ブラウザー情報、利用イベント、技術識別子。 構成に応じてEU/米国。 DPA、SCC、および適用されるデータ移転保護措置。 任意/要確認 2025年5月17日
クラウドフレア社 CDN、DNS、セキュリティ、ネットワーク保護 コンテンツ配信、DNS、DDoS保護、ファイアウォール、ボット対策、トラフィックのセキュリティ。 IPアドレス、リクエストのメタデータ、ブラウザー/デバイス情報、セキュリティログ、技術識別子。 グローバルなネットワーク拠点。 DPA、SCC、および適用されるデータ移転保護措置。 任意/要確認 2024年10月01日
ストライプ社 決済と請求 サブスクリプションの請求、決済処理、請求書、税務処理、不正利用の防止。 請求先の連絡先情報、決済メタデータ、取引データ、請求書データ、限定的なアカウント識別子。 構成に応じてEU/米国。 DPA、SCC、および適用されるデータ移転保護措置。 はい、有料顧客の場合 2025年5月1日
グーグル LLC Google OAuth/Google Workspace API Gmail、Google カレンダーおよび関連する Google サービスの認証と、顧客が許可したアクセス。 付与された権限に応じた氏名、メールアドレス、OAuthトークン、許可されたメール/カレンダー/タスクのデータ。 設定に応じて、EU/米国およびその他のGoogleのデータ保存地域。 DPA、SCC、および適用されるデータ移転保護措置。 任意。顧客が有効にした場合にのみ使用。 2024年10月15日
マイクロソフト コーポレーション Microsoft Entra ID/Microsoft Graph API Outlook、Microsoft カレンダー、ユーザーおよび関連するMicrosoftサービスの認証と、顧客が許可したアクセス。 付与された権限に応じた氏名、メールアドレス、OAuthトークン、許可されたメール/カレンダー/タスクのデータ。 設定に応じて、EU/米国およびその他のMicrosoftのデータ保存地域。 DPA、SCC、および適用されるデータ移転保護措置。 任意。顧客が有効にした場合にのみ使用。 2024年12月12日
任意の連携 — 顧客が該当機能を有効にした場合にのみ使用
ザピア社 ワークフロー自動化連携 顧客が設定したActorとサードパーティ製アプリケーション間の任意のワークフロー自動化。 顧客が選択したワークフローデータ、メタデータ、アカウント識別子、イベントペイロード。 設定に応じて、米国およびその他の地域。 DPA、SCC、および適用されるデータ移転保護措置。 任意 2026年01月01日
GoogleとMicrosoftに関する役割の明確化

GoogleまたはMicrosoftがお客様自身のメールおよびカレンダーサービスを提供する場合、両社はActorの再委託先ではなく、お客様の独立したプロバイダーとして機能します。一方、ActorがActorサービスの運用にGoogle CloudやMicrosoft Azureなどのインフラを自ら契約して利用する場合、その特定の目的におけるActorの再委託先として、該当する事業者を上記に記載しています。

11

データの保管場所と国際移転

処理活動 主な処理場所 その他の可能性のある処理場所 顧客が選択できますか?
Actorアプリケーションのホスティング ニューヨーク アムステルダム、チューリッヒ はい、エンタープライズ向け
データベースストレージ ニューヨーク バックアップ先:ニューヨーク 2 はい、エンタープライズ向け
AI推論 プロバイダーによって異なる 米国・EUのみ はい、エンタープライズ向け
モニタリングとログ ニューヨーク アムステルダム はい、エンタープライズ向け
カスタマーサポート スイス/欧州連合 いいえ
スイス連邦データ保護・情報コミッショナー(FDPIC)のガイダンス

国境を越えるデータ移転では、移転先国のデータ保護水準と、その水準が十分でないと判断される場合に適切な保護措置を講じることに留意する必要があります。Actorのデータ移転の仕組みはDPAに記載されています。

12

データの保存期間と削除

データの保持期間は、データの種類によって異なります。アカウントを削除すると、関連するアカウントデータは稼働中のシステムから直ちに削除されます。バックアップは30日間のスケジュールに従って期限切れとなります。限定的なセキュリティ記録および法令で保存が義務付けられている記録には、以下の期間が適用されます。アカウントの削除は、アーカイブの手段ではありません。

カテゴリ 保持期間
アカウントデータ 利用者が取り消すか接続を解除するまで。14日間アクセスがない場合、自動的に削除
接続済みアカウントのトークン 利用者が取り消すか接続を解除するまで
メールとカレンダーの内容 30日間、識別子のみ
メッセージとイベントの識別子 30日間
知識とメモリー 利用者または組織が削除するまで
ワークフロー履歴 30日間
人工知能のプロンプトと出力 24時間
サポートチケット 12か月
セキュリティログ 6か月
バックアップ 30日間
請求記録 適用される法定保存要件に従って
削除済みアカウント 12か月間

Actorアカウントを次の場所から削除し 設定 → アカウント → アカウントを削除 確認してください。関連するアカウントデータはすべて、稼働中のシステムから直ちに削除されます。求められた場合は、先に接続済みアカウントを切断してください。

組織データの削除は、依頼に応じて手動で行います。 組織の管理者は、 privacy@actordo.com またはActorサポートにお問い合わせください。個人アカウントを削除しても、組織のデータは削除されません。

バックアップには、期限切れとなるまでの30日間、設定データが残っている場合があります。削除済みアカウントに関する限定的な暗号化済みメール記録とセキュリティ記録には、上記の保持スケジュールが適用されます。請求記録は、法令で保存が義務付けられている場合に保持されます。

  • 個人のActorアカウントを削除するには、[設定]→[アカウント]→[アカウントを削除]に進んでください。
  • 組織データの手動削除を依頼するには、こちらから privacy@actordo.com またはActorサポートまでご連絡ください。
  • GoogleまたはMicrosoftへのアクセス権は、各プロバイダーのアプリ権限設定から取り消してください。アクセス権の取り消しは、Actorのデータ削除とは別の手続きです。
13

信頼性と事業継続性

  • 公開ステータスページ
  • インシデント履歴
  • 契約上提供される場合の可用性目標
  • 継続的な監視
  • バックアップと災害復旧
  • 復旧テスト
  • 目標復旧時間(RTO)と目標復旧時点(RPO)
  • 変更・リリース管理
正確性に関する注記

具体的なRTO、RPO、稼働率の数値は、Actorがそれらを安定して達成できるようになってから公開します。確定次第、適用開始日とともにここに掲載します。

14

インシデント対応

以下では、機密性の高い内部情報を明かさず、評価に役立つレベルでプロセスを説明します。

1

検知

2

エスカレーション

3

封じ込め

4

調査

5

通知

6

復旧

7

レビュー

このプロセスには、社内でのエスカレーション、封じ込め、調査、顧客への通知、必要に応じた規制当局との連携、復旧、および確認された各セキュリティインシデント後のレビューが含まれます。

セキュリティインシデント

security@actordo.com

一般的なセキュリティ

security@actordo.com

脆弱性の報告

security@actordo.com
15

セキュリティおよび法務関連文書

公開資料

プライバシーポリシー表示 →
利用規約表示 →
再委託先一覧表示 →
技術的・組織的対策表示 →
脆弱性開示プログラム表示 →
クッキーポリシー表示 →
利用規定表示 →
データ保持ポリシー(概要)表示 →

ご要望に応じて提供 → アクセスを申請

データ処理契約リクエスト →
HIPAA業務提携契約リクエスト →
セキュリティアーキテクチャの詳細リクエスト →
記入済みのセキュリティ質問票リクエスト →
ペネトレーションテストのエグゼクティブサマリーリクエスト →
事業継続の概要リクエスト →
インシデント対応の概要リクエスト →
ベンダーリスクに関する文書リクエスト →
移転影響評価リクエスト →
技術的・組織的措置の詳細リクエスト →

作業中

SOC 2 Type I報告書⏳対応中
ISO 27001認証⏳取得予定
16

よくある質問

機能によって異なります。依頼されたタスクを実行するため、一部のメール内容は一時的に処理されます。一方、識別子、要約、ワークフローやメモリーに必要なコンテキストなど、その他の内容は保存される場合があります。データの種類ごとの詳細については、セクション5のデータ取り扱い一覧をご覧ください。

Actorは、お客様が有効にした機能に必要なOAuthスコープを要求します。GoogleまたはMicrosoftのアカウント設定から、いつでもスコープを確認し、取り消すことができます。

お客様のコンテンツが汎用AIモデルの学習に使用されることはありません。Actor独自のモデル、外部プロバイダー、自発的なフィードバック、集計済み利用データの詳細については、セクション6をご覧ください。

現在のAIプロバイダー一覧は、セクション10のサブプロセッサー一覧に掲載されています。プロバイダーは、機能、地域、エンタープライズの設定によって異なる場合があります。

一部のエンタープライズ契約では、この設定を変更できる場合があります。貴組織で利用できる選択肢については、セキュリティチームにお問い合わせください。

メール内容に定期的または自動的にアクセスすることはありません。承認された担当者が内容にアクセスできるのは、セクション6に記載されている特定の状況に限られます。たとえば、お客様がサポート依頼にメール内容を任意で添付した場合などです。

場所ごとの処理内容については、セクション11のデータ保存場所一覧をご覧ください。

データの保持期間は、データの種類によって異なります。保持期間の全一覧については、セクション12をご覧ください。

Actorアカウントを次の場所から削除し 設定 → アカウント → アカウントを削除 確認してください。関連するアカウントデータはすべて、稼働中のシステムから直ちに削除されます。求められた場合は、先に接続済みアカウントを切断してください。

組織データの削除は、依頼に応じて手動で行います。 組織の管理者は、 privacy@actordo.com またはActorサポートにお問い合わせください。個人アカウントを削除しても、組織のデータは削除されません。

バックアップおよび保持期間の例外については、セクション12をご覧ください。

Googleアカウントの権限ページまたはMicrosoftアカウントのセキュリティ設定から、いつでもActorのアクセス権を取り消せます。

はい。DPA、セキュリティ対策、再委託先の透明性を通じて、Actorが顧客のGDPR上の義務をどのように支援するかについては、セクション9をご覧ください。

はい。データ処理契約はセクション15でご確認いただけます。

HIPAAに準拠した処理は、BAAを締結し、承認済みの設定を行った対象のビジネス顧客に提供できる場合があります。すべてのプランで標準提供されるものではありません。ePHIを処理する前に必要な詳細と手順については、セクション9をご覧ください。

はい。ビジネス顧客が対象です。手続きを開始するには、セキュリティチームにお問い合わせください。セクション18をご覧ください。

機能別に分類した全一覧は、セクション10に記載されています。

セクション10に関する変更の最新情報は、このページでご確認ください。変更が適用される前に、所定の通知期間を設けてお知らせするとともに、異議申し立ての手続きもご案内します。

GoogleまたはMicrosoftでサインインするか、 OpenID Connect(OIDC)によるエンタープライズSSO 組織で設定されているIDプロバイダーを使用してサインインしてください。SAMLには現在対応していません。「 エンタープライズSSOで続行」を選択し、勤務先のメールアドレスを入力して、会社のサインイン手続きを完了してください。SSOを利用するには、メールドメインの設定が必要です。設定については、管理者またはActorサポートにお問い合わせください。

Actorは、IDプロバイダーのパスワードを受け取ったり保存したりしません。多要素認証(MFA)は、IDプロバイダーのポリシーに従って処理されます。サインインによって本人確認が行われ、OAuthによってメール、カレンダー、タスクへのアクセスが別途認可されます。各コネクターの同意画面を確認し、必要に応じて管理者の承認を得てください。

セクション15に記載の脆弱性開示プログラムをご利用いただくか、メールで

security@actordo.com

直接ご連絡ください。

独立した侵入テストを定期的に実施しています。認証と保証報告書については、セクション9をご覧ください。

削除直後に何が起きるか、バックアップに一時的に何が残るか、適用される法的例外については、セクション12をご覧ください。

17

更新と変更履歴

これは、トラストセンターが静的なページではなく、継続的に更新されていることを示しています。

2026年1月18日

トラストセンターを開設

2026年3月3日

データ保持情報を更新

18

お問い合わせと書類の請求

機密文書については、security@actordo.comまでメールでお送りいただくか、非公開でお問い合わせください。

security@actordo.com・privacy@actordo.com