サブプロセッサ一覧
本書は、合同会社ALTEA が提供する CRM/SFA サービス「MeMe」がお客様データの取扱いに利用するサブプロセッサ (再委託先) を開示するものです。データ処理に関する追加条項 (DPA) とあわせてご参照ください。
- バージョン
- v1.0
- 施行日
- 2026年7月1日
- 最終改定日
- 2026-07-01
1. サブプロセッサとは
本書で「サブプロセッサ (再委託先)」とは、合同会社ALTEA (以下「当社」) が提供する CRM/SFA サービス「MeMe」 (以下「本サービス」) において、お客様データの取扱いの一部を当社が再委託する第三者を指します。当社はお客様データの委託を受ける立場 (受託者) であり、以下のサブプロセッサを介して本サービスを提供します。詳細はデータ処理に関する追加条項 (DPA) に定めます。
当社は、各サブプロセッサとの間でデータ処理契約 (DPA) を締結し、当社が負う義務と同等の義務を課したうえで適切に監督します。
2. 現行のサブプロセッサ
本サービスが現に利用する、または導入を予定するサブプロセッサは次のとおりです。お客様データ (CRM データ) の保存・AI 処理を担う主要なサブプロセッサは、現時点では Google LLC のみです。
| 事業者 | 用途 | 所在 / 処理ロケーション | 取り扱うデータ | 状態 |
|---|---|---|---|---|
| Google LLC (Google Cloud Platform / Vertex AI / Firebase) | ホスティング、データベース、ストレージ、認証基盤、AI 処理 (Vertex AI Gemini) | 米国 (本社) / 保存データは asia-northeast1 (東京) | お客様の CRM データ全般 (取引先・案件・活動・担当者・見積・名刺画像)、認証情報、ログ | 利用中 |
| Anthropic, PBC (Claude) | 開発者向け補助機能 (拡張機能の要望チャット) のみ | 米国 (AI利用ポリシー参照) | 当該機能でお客様が入力した要望テキストのみ。本番の営業データ処理には使用しません | 利用中 (限定用途) |
| Stripe, Inc. | サブスクリプション課金 (決済処理) | 米国 (一部 EU、日本) | 請求先情報 (会社名・メール・決済手段)。カード情報は Stripe が保持し当社は保持しません。CRM データは送信しません | 導入予定 (β 公開時) |
3. 各サブプロセッサの詳細
3.1 Google LLC (Google Cloud Platform / Vertex AI / Firebase)
当社が現在利用する主要なサブプロセッサです。本サービスの中核 (アプリケーション実行、データベース、ストレージ、認証、AI 処理) を担います。
| 項目 | 内容 |
|---|---|
| 事業者名 | Google LLC |
| 所在地 | 米国 (本社) |
| 利用サービス | Cloud Run, Cloud Firestore, Cloud Storage, Firebase Authentication, Vertex AI (Gemini), Cloud Logging / Monitoring |
| 処理ロケーション (保存データ) | asia-northeast1 (東京) |
| 契約形態 | Google Cloud Platform 利用契約 + Cloud Data Processing Addendum (DPA) |
| 学習利用 | 保存データは国内固定。AI 推論経路のリージョン完結は保証対象外。お客様データの学習利用は AI利用ポリシーのプラン別ポリシーに従います |
| 第三者認証 (Google が取得) | ISO/IEC 27001・27017・27018、SOC 1/2/3、ISMAP、PCI DSS 等 (Google が責任を負う基盤領域に適用) |
3.2 Anthropic, PBC (Claude)
開発者向けの補助機能でのみ利用します。本番の営業データ (取引先・案件・活動等) の処理には使用しません。
| 項目 | 内容 |
|---|---|
| 事業者名 | Anthropic, PBC |
| 所在地 | 米国 |
| 用途 | 拡張機能の要望チャット (要望の整理・要件定義の補助) のみ。お客様の営業データを学習に渡しません |
| 取り扱うデータ | 当該機能でお客様が入力した要望テキスト |
| 本番データの取扱い | 本番の CRM データ処理には使用しません (開発者ツールとしての限定利用) |
3.3 Stripe, Inc. (導入予定)
決済処理に利用を予定しています。カード番号は Stripe のセキュアな環境にトークン化して保管され、当社のシステムには渡りません。
| 項目 | 内容 |
|---|---|
| 事業者名 | Stripe, Inc. |
| 所在地 | 米国 (一部 EU、日本) |
| 用途 | サブスクリプション課金 (決済処理) |
| 取り扱うデータ | 請求先情報 (会社名・メール・決済手段)。業務データ (CRM データ) は送信しません |
| 第三者認証 | PCI DSS Level 1 (Service Provider)、ISO 27001、SOC 1/2 Type II |
| 契約形態 | Stripe Services Agreement + DPA |
| 状態 | β 公開時に導入予定 |
4. 利用していない事業者 (透明性のための開示)
よくあるご質問にお答えするため、現時点で利用していない事業者を開示します。
| 事業者 | 利用状況 |
|---|---|
| OpenAI | 利用していません (本番の AI は Vertex AI Gemini のみ) |
| Anthropic (Claude) の本番データ処理 | 本番の営業データには利用していません (開発者ツールとしての限定利用のみ) |
| AWS / Microsoft Azure | 利用していません |
| Cloudflare | 利用していません |
| 海外データ分析事業者 (Mixpanel, Segment 等) | 利用していません |
将来これらを導入する場合は、必ず事前に本書を更新し、お客様に通知します。
5. サブプロセッサの採用基準
新規サブプロセッサを採用する際の判断基準です。
- ISO 27001 / SOC 2 Type II 同等以上の認証・監査実績があること。
- 日本国内、または適切な保護水準のある地域での処理を選択できること。
- 標準的なデータ処理契約 (DPA) を提供していること。
- 自社のサブプロセッサ変更を事前通知する運用があること。
- 転送時 TLS、保存時 AES-256 同等の暗号化を提供していること。
- 重大インシデント発生時に速やかに通知する体制があること。
6. 変更通知ポリシー
- 追加・変更: サブプロセッサの追加・変更を行う場合、原則として変更の30日前までに、本書の更新または当社所定の方法によりお客様に通知します。
- 重大変更: お客様データの処理ロケーション変更等、重大な変更の場合は60日前までに通知します。
- 異議: お客様が当該変更に合理的な理由により同意できない場合、当社所定の方法により異議を述べることができ、当社は誠実に協議します。協議が調わない場合、お客様は当該変更の効力発生日までに本サービスを解約できます。
7. お問い合わせ窓口
本書およびサブプロセッサに関するお問い合わせは、以下までご連絡ください。
- 事業者名: 合同会社ALTEA
- 連絡先: altea.110515@gmail.com