1. あなたの仕事はあなたのもの

Tatsulok は、機密性の高い仕事に取り組むプロフェッショナルチーム向けに作られています。各チャットリクエストは、応答が返った後にコンテンツを破棄することを規約で確約したエンドポイントでのみ処理されます。学習にも使用されず、プロバイダーによる人的閲覧もありません。この経路の外側で処理される 4 つの経路については以下に記載しています。ワークスペース自体、スレッド、ファイル、メモリ、は、すべてのサーフェスをまたいであなたとともに残ります。以下のセクションで、何が送信され、何が保持され、何が決して送信されないのかを正確に説明します。

2. 収集する情報とその目的

あなたから提供されるアカウント情報: 氏名、メール、サインインプロバイダーの OAuth 識別子。あなたが保持を選んだワークスペース内容: ファイル、スレッド、メモリ、保存した連絡先、設定、引用、すべてのサーフェスで同じ Tatsu を提供するために必要です。おおよその位置情報: あなたの IP アドレスが示す市区町村・地域・国（ホスティングプロバイダーの Vercel が判定します）と、端末のタイムゾーン。あなたのいる場所に合った回答をするために使います。現在の場所、最近の場所の一覧、最もよくいる場所、タイムゾーンをメモリ内のノートに保存し、タイムゾーンは設定にも保存します。このノートは「設定」の「メモリ」で確認・削除できます。削除するとノートはゴミ箱に移り、位置情報はオフになります。そこでオンに戻すまで、TatsuはあなたのIPアドレスが示す場所を記録も使用もしません。時刻を正しく表示するため、端末のタイムゾーンは設定に残ります。位置情報がオンの間は、場所が変わるとノートが更新されます。正確な位置情報は収集しません。また、レート制限やボット対策などのセキュリティのために IP アドレスを使いますが、アカウントやメモリに追加されることはありません。運用データ: リクエスト ID、レイテンシ、エラーコード、エラーメッセージ（ID、ファイル名、メールアドレスが含まれることがあります）。スマートフォンアプリのクラッシュレポート（第 4 節の Sentry の項目に記載）。匿名のプロダクト分析: あなたが許可した場合のみ。当社はあなたのデータを販売しません。

アカウントなしで Tatsulok を試す場合。サインインする前に Tatsulok を利用すると、当社は 7 日間有効な一時的なゲストセッションを作成します。このセッションは、ブラウザ内の 3 つの Cookie によって機能します。1 つはセッションのキーを保持し、1 つは最後の訪問から最長 7 日間ゲストチャットを記憶し、1 つはサインインの手続き中に使われ、15 分間有効です。このセッションについて当社が保持するのは、あなたのメッセージ、アップロードした 1 つのファイルとそこから読み取ったテキスト、アクセスの経路（経由したキャンペーンやウェブサイト、最初に開いたページ、言語、端末の種類など）、そして行った操作の回数と日時、それにかかった費用、サインインの方法です。メッセージとファイルのテキストは、サインインした状態のチャットと同じ方法でモデルに送信されます（第 4 節および第 5 節）。

当社は IP アドレスをセッションと一緒に保存しません。1 つのネットワークが 1 日に開始できるゲストセッションの数を制限するため、IP アドレスそのものではなく、IP アドレスから作った判読できないコード（ソルト付きハッシュ）で数えます。このコードは、その日（UTC）が終わってから約 1 時間以内に削除されます。ゲストセッションの有効期間である 7 日以内にゲストチャットからサインインしなかった場合、セッション、そのメッセージ、そのファイルは、その後約 1 時間以内に削除されます。当社が残すのは、アクセスの経路の記録と上記の回数と日時のみで、メッセージ、ファイル、ファイルのテキストは含まれず、セッションとの結び付きもありません。ゲストチャットからサインインした場合、チャットとファイルはあなたのアカウントに移り、空になったゲストセッションは削除されます。その後、この記録は、訪問者がどのような経路で会員になるかを集計するためにあなたのアカウントに結び付けられ、アカウントが削除されると削除されます。メッセージの本文、ファイル名、ファイルの内容が当社の分析ツールに送信されることはありません。

3. 他の人に関する情報

Tatsulok は、Tatsu があなたの仕事を手伝えるように、あなたが仕事で関わる人のアドレス帳を保持します。1 人ごとに、氏名、メールアドレス、電話番号、組織、役職、所在地、タグ、あなたとの関係、メモ、最後にやり取りした日付を保存でき、さらにその人とのメールやその他のやり取りの記録と、他の連絡先との関係も保存できます。Tatsu は、あなたがある人について話したとき、または追加するよう依頼したときに、その人を追加します。メールアカウントを連携している場合、Tatsu はあなたのために読んだ各メールの送信者と To・Cc の全員の名前とアドレスも保存し（当社が把握しているエイリアスを含むあなた自身のアドレスと、no-reply などの自動送信用のアドレスを除く）、そのメールの件名と日付を記録します（メッセージ本文は記録しません）。この機能は初期設定でオンになっており、「設定」の「環境設定」にある「メールから連絡先を自動保存」でオフにできます。連絡先は、ライブラリの他の内容と同じ方法で保存・検索用にインデックス化され、モデルに送信されます。Tatsu に連絡先の表示や更新を依頼できます。ウェブでは「ライブラリ」で連絡先を確認・削除できます。システムファイルとフォルダーの表示をオンにし、.tatsu、user、contacts の順に開いてください。削除した連絡先はゴミ箱に移り、少なくとも 30 日が経過した後に削除されます。ゴミ箱から削除した場合はすぐに削除されます。その際、その連絡先のメールの記録と他の連絡先との関係も一緒に削除されます。Tatsu が削除した連絡先をメールから再び追加することはありません。あなたが連絡先を復元するか、ご自身でその人を再び追加するまで、当社はそのメールアドレスをあなたのアカウント内のリストに保持します。このリストが上限（5,000 件以下）に達すると、古いものから外れ、その人が再び追加されることがあります。2026 年 10 月 8 日より前に削除した連絡先は、その後のメールによりもう一度追加されることがあります。すべての連絡先とこのリストは、アカウントと共に削除されます。ご自身で削除できないものの削除をご希望の場合は、support@tatsulok.com までご連絡ください。当社が連絡先を販売したり広告に使用したりすることはなく、連絡先の人々に当社から連絡することもありません。

4. 処理者と共有

サービスを運用する処理者にのみデータを共有します: モデルルーティングのための OpenRouter（ゼロデータ保持（ZDR）構成のもと運用、OpenRouter は各リクエストを上流の推論プロバイダー（現在はモデルに応じて Microsoft Azure、Google Vertex AI、Amazon Bedrock、xAI のゼロ保持エンドポイント、Groq、Cerebras、DeepInfra、Novita、Fireworks AI、Together AI、AtlasCloud、Inceptron、Relace、SiliconFlow、または Nebius）にディスパッチし、当社の組織レベルのポリシーにより、コンテンツを保持せず学習にも使用しないエンドポイントのみにディスパッチが制限されています。1 リクエスト処理後に破棄され、トークン数やレイテンシなどの運用メタデータは課金・不正防止のために OpenRouter 側で保持される場合がありますが、プロンプトや応答は保持されません）、ファイル保管・エンベディング・リクエスト処理・ボット対策のための Cloudflare（R2 は AES-256 で保管時暗号化、Vectorize は Cloudflare 管理の暗号化、Workers の呼び出しメタデータは運用ログとして最長 7 日間保持）、ウェブサイトと API ルートのホスティングのための Vercel（IP アドレスから上記のおおよその位置情報を判定します）、アプリケーション状態のための Convex（AES-256 で保管時暗号化）、認証のための WorkOS（WorkOS のドキュメントに従う業界標準の暗号化）、招待、共有の通知、セキュリティ通知などのトランザクショナルメールのための Resend、音声入力の文字起こしのための OpenAI（下記の OpenRouter 経由のルーティングの外側で行われる直接呼び出しで、録音したクリップのみを受け取ります）、ウェブ検索のための Serper（検索クエリのテキストを受け取り、ファイルやスレッド履歴を受け取ることはありません。また、Tatsu が開くよう求められたページを当社のフェッチャーで読み取れない場合に限り、最後の手段として、そのページを取得するためにページの URL を受け取ります）、文書のテキスト抽出サービスを実行する Modal（1 回の抽出リクエストのためにファイルの内容を受け取り、PDF レンダリングなどの派生成果物は当社の Cloudflare R2 に書き込まれます）、当社チームがエラー通知とデモのお申し込みを受け取る Discord（サーバーの関数が失敗したことを知らせる通知には、関数の名前、エラーの種類とコード、リクエスト ID、そしてメールアドレス、リンク、ファイルのパス、引用されたテキスト、長い ID、一般的な拡張子を持つファイル名を取り除いたエラー内容の 1 行が含まれます。新たな失敗のまとめには、ID やアップロードに失敗したファイルの名前が含まれることがあります。デモのお申し込みには、あなたが送信した氏名、メール、会社名、メッセージが含まれます）、スマートフォンアプリのクラッシュレポートのための、Functional Software, Inc. の Sentry（レポートには、エラーの種類、コード内の発生箇所、リクエストや操作したコントロールなどの直前の操作、アプリのバージョン、機種、OS、メモリ、ストレージ、バッテリー、言語、タイムゾーンなどの端末の技術的な情報が含まれ、アカウントは結び付けられません。レポートを送信する接続の一部として、Sentry は端末の IP アドレスも受け取ります。アプリ自体のコードで起きたエラーについては、標準的な技術的メッセージでない限りメッセージの本文を取り除き、メールアドレス、ファイルのパス、一般的な拡張子を持つファイル名、長い数字を取り除き、ウェブアドレスを短くします。アプリのネイティブ部分や端末のシステムで起きたクラッシュは、端末が報告したとおりに送信され、その端末上のアプリの識別子（Android ではインストールごとのランダムな値、iPhone では Apple が当社のアプリに割り当てる識別子から作られた値）も含まれます）、匿名分析のための PostHog（あなたが許可した場合のみ、ワークスペース内容は決して含まれず、セッション録画時には画面上のコンテンツがマスクされます）。データを販売・貸与することはなく、法的に必要な場合に限り法執行機関と共有します。

5. AI リクエストのルーティング

チャット・エンベディング・音声読み上げの各リクエストは、公表されたデータポリシーで以下を確約するプロバイダーエンドポイントを経由します: 処理後にプロンプト・添付・応答を保持しないこと、入力をモデルの学習・微調整・改善に使用しないこと、プロバイダーによるあなたのコンテンツの人的閲覧を許さないこと、プロンプトや応答を公開データセットに公開しないこと。当社の側の対応は信頼に頼らずルーティング層で強制していますが、保持の挙動自体はプロバイダーのインフラ上で行われます。したがって当社が保証できるのは、プログラム外のエンドポイントにリクエストを送信しないことです。組織レベルで非準拠のエンドポイントをすべて無効化しています、学習する可能性のある有料エンドポイント、学習する可能性のある無料エンドポイント、プロンプトを公開する可能性のある無料エンドポイント、ユーザー入力に基づくプロバイダー側のプロダクト改善プログラムを含みます。現在のプロバイダーパスは OpenRouter で、すべてのリクエストにゼロデータ保持（ZDR）ポリシーを強制しています: 組織レベルの設定でデータ収集を拒否し、配信先を OpenRouter の ZDR 認定エンドポイントに制限したうえで、モデルは審査済みのプロバイダールート（現在はモデルに応じて Microsoft Azure、Google Vertex AI、Amazon Bedrock、xAI のゼロ保持エンドポイント、Groq、Cerebras、DeepInfra、Novita、Fireworks AI、Together AI、AtlasCloud、Inceptron、Relace、SiliconFlow、または Nebius）に固定されています。変更時には更新します。検索用のテキストエンベディングも同じ方法・同じゼロデータ保持の制限のもとで生成されます（現在は Nebius または DeepInfra が提供）。音声の読み上げも同じ方法・同じゼロデータ保持の制限のもとで生成されます（現在は Google Vertex AI が提供）。検索の再ランキングは Cloudflare Workers AI 上で実行されるため、パッセージのテキストは上記に記載の処理者の範囲内にとどまります。オープンウェイトモデルも、上記と同じ OpenRouter の ZDR 推論プロバイダー上で、同じ確約のもとで実行されます。本セクションが説明するのは OpenRouter 経由でルーティングされるリクエストです。コンテンツを扱う 4 つの経路はこのルーティングの外側にあり、処理者のセクションに記載しています: 音声入力は OpenAI への直接呼び出しで文字起こしされ、ウェブ検索は検索クエリのテキスト（および、当社のフェッチャーでページを読み取れない場合に限り、そのページの URL）を Serper に送信し、文書のテキスト抽出は Modal 上で実行され、検索の再ランキングは Cloudflare Workers AI（上記に記載の処理者であり、OpenRouter の ZDR エンドポイントではありません）上で実行されます。

6. Google ユーザーデータと限定使用（Limited Use）

Google アカウントを連携すると、Tatsulok は有効化した機能に必要なアクセスのみを製品ごとに要求します。Gmail: 読み取りアクセス（gmail.readonly）は、あなたが依頼したときに Tatsu がメールを参照・検索できるようにするため、下書き・送信アクセス（gmail.compose）は、Tatsu がメールの下書きを作成し、あなたが送信ボタンを押したとき、またはあなたが設定した送信時刻に Tatsulok が下書きを送信できるようにするため（この接続では、Tatsu 自身に送信の操作はありません）、そして別途あなたが許可した場合に限り、メールボックス操作（gmail.modify）により、あなたの指示でアーカイブ、スター付け、既読化、ラベル変更を行うためです。共有の通知はあなたのメールアカウントを使わず、Tatsulok 自身のアドレスから、あなたを返信先として送信されます。Google Drive: 読み取りアクセス（drive.readonly）により Tatsu が既存ファイルについての質問への回答・要約・引用を行い、ファイル単位アクセス（drive.file）により Tatsu があなたと共に作成したファイルのみを作成・更新します。Google カレンダー: カレンダー一覧へのアクセス（calendar.calendarlist.readonly）であなたのカレンダーを把握し、イベントアクセス（calendar.events）で予定を読み取って質問に答え、あなたが依頼したイベントを作成・更新します。Google フォーム: 上記のファイル単位の Drive アクセス（drive.file）で、あなたが依頼したフォームを作成・更新・公開し、その回答を読み取ります。Tatsu が扱うのは、あなたと共に作成したフォームのみです。連携アカウントを識別するために、基本的な Google プロフィール（氏名とメール）も読み取ります。Tatsulok が Google API から受け取った情報の使用および他のアプリへの転送は、限定使用（Limited Use）の要件を含む Google API サービスのユーザーデータに関するポリシー（Google API Services User Data Policy, including the Limited Use requirements）に準拠します。平たく言えば: Google ユーザーデータは、ここに記載された利用者向け機能を提供・改善するためにのみ使用し、広告には決して使用せず、あなたが要求した機能の提供に必要な場合、適用法の遵守に必要な場合、または通知を伴う合併・買収の一部である場合を除き、第三者に販売・転送することはありません。当社は、Google Workspace API を通じて取得したデータを、パーソナライズされていない AI モデルおよび/または ML モデルの開発・改善・学習のために保持または使用しないことを明示的に確約します。Google ユーザーデータが AI/ML モデル（当社のものであれ第三者のものであれ）の学習・微調整・改善に使用されることは決してありません。あなたのリクエストに応えるためにモデルが Google 由来のコンテンツを処理する場合、その処理は第 5 節に記載されたゼロデータ保持の条件のもと、当該 1 リクエストの間に限って行われ、その後破棄されます。同じく第 5 節に記載のとおり、Google 由来のコンテンツには次の 2 つの限定的な経路も適用されます: 検索の再ランク付けは Cloudflare Workers AI で行われ、ライブラリに取り込んだ Drive のファイルやメールの添付ファイルからのテキスト抽出は Modal 上の当社の抽出サービスで行われます。あなたの明示的な同意がある場合、セキュリティ上もしくは法令遵守のために必要な場合、または、適用法令に従い内部運用のためにのみ使用される、集計・匿名化されたデータを除き、Google データを人が閲覧することはありません。Google 連携はウェブの「拡張機能」からいつでも解除でき、解除すると当社のアクセスは取り消され、保存されたトークンとそのアカウントの同期の設定は削除されます。

保持するデータとその期間。Tatsulok は、あなたが使う機能を提供するために Google データを保持し、そのほか以下に記載する限られた記録を保持します。ライブラリ: あなたまたは Tatsu が追加した Drive のファイル、メール、添付ファイルと、同期しているメールや Drive のフォルダーのコピー。あなたまたは Tatsu が追加したものは、Gmail や Drive で削除しても、Tatsulok で削除するまで残ります。同期しているメールのラベルや Drive のフォルダーからのコピーは、Gmail でそのメールのスレッド全体が削除されたこと、または Drive でそのファイルがゴミ箱に移されたことを当社の確認で検出すると、Tatsulok のゴミ箱に移り、少なくとも 30 日が経過した後に完全に削除されます。編集、移動、お気に入りへの追加、または規制対象としての指定が行われたコピーは残ります。2026 年 10 月 9 日より前に Drive から同期したコピー、一度に大量に削除されたもののコピー、当社の確認より前に Drive で完全に削除されたもののコピー、共有が解除された Drive のフォルダーのようにアクセスできなくなっただけのコピー、連携を解除していた間など当社がそのアカウントを確認できなかったときに削除されたもののコピーは、Tatsulok で削除するまで残ることがあります。同期前の Drive のファイルなど、ファイルの以前のバージョンは、ファイルを削除しても、作成から約 30 日後に削除されます。会話: メール、カレンダーの予定、Google フォームの回答、スプレッドシートの内容など Tatsu があなたのために読んだ内容、長い会話を続けるための要約、そして長い会話の自動要約のメモ。これらは会話と一緒に削除されます。ただし、2026 年 10 月 9 日より前に削除した会話の自動要約のメモは、アカウントが削除されるまで残ることがあります。削除した会話やライブラリのアイテムはゴミ箱に移り、少なくとも 30 日が経過した後に、保存されたコピーや検索用のインデックスと一緒に削除されます。「完全に削除」を使うとすぐに削除されます。 Tatsu が作成したメールの下書き: 下書きを作成した会話と一緒に、添付ファイルのコピーも含めて削除されます。ただし、予約送信中または送信中の下書きは送信されるように残り、2026 年 10 月 9 日より前に削除した会話の下書きはアカウントが削除されるまで残ることがあります。会話を削除しても、Gmail の下書きフォルダーにあるコピーは変更されません。そのコピーはあなたのものです。下書きを送信または破棄してから 2 日以内に、その本文、引用したメッセージ、あなたの以前の版、下書きのもとになった指示は削除されます。送信済みフォルダーでまだ確認できていない送信については、確認できるまで、最長で約 30 日間保持します。下書きの宛先、送信元アドレス、件名、添付ファイル名、状態、ID は会話が削除されるまで残ります。送信のために残した下書きや、会話の外で作成した下書きの場合は、アカウントが削除されるまで残ります。会話の外で作成し、送信も破棄もしていない下書きは、アカウントが削除されるまで本文が残ります。添付ファイルのコピーは、下書きを送信または破棄したとき、または添付ファイルを外したときにも削除され、保存が中断されて残ったコピーは毎日の確認で削除されます。あなたが削除するか、アカウントが削除されるまで保持するもの: Tatsu がメモリに保存する事実と自動のメモ（メモには、あなたの質問と、回答に使ったメール、予定、ファイルの件名、送信者、タイトル、名前が記録されます）、そして連絡先（第 3 節）。技術的な記録: 送信の失敗、引用の不具合、取り込みの試行の記録と、完了したバックグラウンドのタスク（ID、ファイル名、エラー内容、タスクの説明と結果が含まれることがあります）は、最後に書き込まれてから約 90 日後に削除されます。アカウントが削除されるまで保持するもの: 連携を解除した Google アカウントのアドレスと ID、許可された権限、そして送信元として使う名前、アドレス、エイリアス（あなた自身のアドレスが連絡先として保存されないようにするためです。トークンと同期の設定は、連携を解除したときに削除されます）、そして ID やエラーコードなど、失敗したリクエストに関するその他の限られた記録。アカウントの削除は、削除を依頼してから 30 日以上経過した後に行われます。詳細と例外は https://www.tatsulok.com/legal/data-deletion をご覧ください。ログと通知: サービスのログ（各事業者が一定期間保持）には、ID、ファイル名、メールアドレス、件名、エラー内容が含まれることがあります。当社チームへのエラー通知（当社が削除するまで保持）には、失敗した関数の名前、エラーの種類とコード、リクエスト ID、そしてメールアドレス、リンク、ファイルのパス、引用されたテキスト、長い ID、一般的な拡張子を持つファイル名を取り除いたエラー内容の 1 行が含まれます。新たな失敗のまとめには、ID やアップロードに失敗したファイルの名前が含まれることもあります。下書きと送信の結果は、再試行で二重に送信しないための 24 時間のキャッシュに保持されますが、保持するのは下書きや送信したメールの ID だけで、その内容やサインイン用のトークンは保持しません。確認の頻度: Tatsulok は 30 分ごとに、Gmail の下書き、予約送信、送信済みのメールと、Drive のファイルやフォルダーの変更を確認し、同期しているメールの新着を取り込みます。Drive のファイルや同期しているメールに変更がない間は、この 2 つの確認の間隔が約 2.5 時間まで広がり、変更があると 30 分間隔に戻ります。 Google Workspace のスコープから受け取った情報の使用は、限定使用（Limited Use）の要件を含む Google Workspace API のユーザーデータおよびデベロッパーポリシー（Google Workspace API User Data and Developer Policy、https://developers.google.com/workspace/workspace-api-user-data-developer-policy）に準拠します。上記の Google API サービスのユーザーデータに関するポリシーは https://developers.google.com/terms/api-services-user-data-policy にあります。

7. Microsoft アカウントのデータ

Microsoft アカウント（個人用、または職場・学校用）を連携すると、Tatsulok は有効化した機能に必要なアクセスのみを製品ごとに要求します。Outlook メール: Mail.ReadWrite は、あなたが依頼したときに Tatsu がメッセージと添付ファイルを検索・閲覧し、あなたと一緒に準備する下書きを作成・更新・破棄するため、Mail.Send は、確認画面からあなたが送信したとき、またはあなたが予約した時刻にメールを送信するためです。Tatsu がこの連携を通じて自らメールを送信することはできません。この連携を通じてメールが送信されるのは、あなたが送信または予約したときに限られます。会議の更新通知については、下記の Outlook カレンダーをご覧ください。当社が受信済みのメールを削除することはありません。OneDrive: Files.ReadWrite は、Tatsu があなたのファイルを検索・閲覧・要約・引用し、あなたが依頼したフォルダーや新しいファイルを既存のファイルを上書きせずに作成し、あなたが依頼したときにファイルを移動するためです。Tatsu がファイルを OneDrive のごみ箱に移すのは、あなたが確認した場合に限ります。なお、一部の職場・学校用アカウントでは、Microsoft の設定によりごみ箱を経由せずにファイルが削除されることがあります。ライブラリの文書を Office for the web で開くと、OneDrive の Tatsulok Office フォルダー内の、その文書があるライブラリのフォルダーと同じ名前のサブフォルダー（文書がフォルダー内にある場合）に作業用のコピーを置きます。コピーが開いている間は約 20 分ごとに確認し、約 1 時間変更がないとき、あなたが文書を開いたときや Tatsu が文書を読んだとき、あなたが同期したとき、または作業を終えたときに、編集内容をライブラリに取り込みます。その後、作業を終えたとき、または終えなかった場合は最初に開いてから 24 時間後に、コピーをごみ箱に移します。その間にライブラリの文書が別の場所で変更された場合、編集内容は自動では取り込まれません。その場合、作業を終えるとコピーは OneDrive に残り、終えなかった場合は 24 時間後にごみ箱に移ります。連携を解除した後など、場合によってはコピーが OneDrive に残ることがあります。Outlook カレンダー: Calendars.ReadWrite は、予定に関する質問に答え、あなたが依頼したときにイベントを作成・変更し、あなたが確認した場合に限りイベントを削除するためです。Tatsu が出席者を追加することはありませんが、あなたが主催した会議を変更・削除すると、Microsoft が出席者に更新やキャンセルの通知を送ることがあります。Microsoft Teams（提供されている職場・学校用アカウントのみ）: Chat.Read は、あなたが依頼したときに Tatsu がチャットを一覧表示・閲覧・検索するためで、投稿はできません。Microsoft アカウントへのサインインとアカウントの識別のために、openid、profile、email、User.Read（氏名とメールを読み取ります）も要求し、接続を維持するために offline_access を要求します。メールボックス、カレンダー、OneDrive をバックグラウンドでコピーすることはありません。下書きフォルダーと送信済みフォルダーのバックグラウンドでの確認は、Tatsu が準備した下書きの状況を追跡するためだけに行います。Tatsu があなたのために読んだ内容、Tatsu が準備した下書き、Tatsu が保存するメモや要約は、第 6 節で Google のデータについて記載したとおりに保持されます。Tatsu が読む必要のある添付ファイルや OneDrive のファイル、またはあなたが取り込むよう依頼したものは、ライブラリに保存されます。メールを読むと、第 3 節のとおり送信者と受信者が連絡先に保存されることがあり、Tatsu が知った事実がメモリに保存されることがあります。Microsoft のトークンは AES-256 で暗号化して保存します。Microsoft のデータは、ここに記載された機能を提供するためにのみ使用し、広告に使用したり、販売したり、いかなるモデルの学習に使用したりすることも決してありません。モデルがこのデータを処理するのは、これらの機能（あなたのリクエストへの回答、ライブラリに取り込んだものの索引付け、メモリの維持）を提供するためだけで、第 5 節に記載されたゼロデータ保持の条件のもとで行われます。同じく第 5 節に記載のとおり、Microsoft 由来のコンテンツには次の 2 つの限定的な経路も適用されます: 検索の再ランク付けは Cloudflare Workers AI で行われ、ライブラリに取り込んだ OneDrive のファイルやメールの添付ファイルからのテキスト抽出は Modal 上の当社の抽出サービスで行われます。Microsoft アカウントの連携は、ウェブの「拡張機能」からいつでも解除できます。解除すると保存されたトークンが削除されて当社はアカウントにアクセスできなくなり、Tatsulok の未送信の下書きと予約済みの下書きは取り消されます。すでに Outlook の下書きフォルダーにある下書きはそのまま残ります。Tatsulok で下書きを 1 件破棄すると、アカウントにアクセスできる場合は、Outlook の下書きフォルダーからもその下書きが削除されます。Microsoft ではアプリが自らの権限を取り消すことができないため、Microsoft アカウントの設定で、アカウントにアクセスできるアプリから Tatsulok を削除することもできます。すでにライブラリに保存されたメールやファイルは、あなたが削除するか、アカウントが削除されるまで残ります。

8. セキュリティ

すべての接続で通信時は TLS。保管時は AES-256（Cloudflare R2 のファイルおよび Convex のアプリケーションデータ）。暗号化アルゴリズムを公表していない処理者（Cloudflare Vectorize、WorkOS、OpenRouter、PostHog）は、各社が管理する保管時暗号化を使用します。認証は WorkOS を使用し、エンタープライズ向けに OAuth と SAML をサポートします。本番データへのエンジニアアクセスは最小権限・監査ログ付きで、運用業務に限定されます、インシデント対応、および、あなたが提出したフィードバックに対し、あなたが添付すると選択した文脈のみを用いた調査です。権限を持つスタッフは、サポートとセキュリティのためにアカウントデータにアクセスすることがありますが、当社のサポートツールでは、あなたのメールの下書きを送信・予約したり、アカウントの連携を解除したり、連携アカウントを通じてファイルや予定を変更したり、あなたとして Tatsu とチャットしたりすることはできません。データレジデンシー: 現時点でアプリケーションデータベース（Convex）と認証（WorkOS）は米国リージョンのみです。日本・EU など他の地域のお客様には、ローカルリージョン外でデータが処理されることをご了承ください。Cloudflare および OpenRouter は最寄りのエッジ拠点を経由します。国際データ移転: 個人データが EEA・英国・スイスの外へ移転される場合（米国の処理者、またはフィリピンの当社運営会社への移転を含む）、その移転は欧州委員会の標準契約条項（SCC、該当する場合は英国の国際データ移転補遺を含む）や、認証を受けた米国の処理者については EU-US データプライバシーフレームワークなど、適切な保護措置により保護されます。事業者のお客様は https://www.tatsulok.com/legal/dpa のデータ処理補遺をご利用いただけます。完全に安全なシステムは存在しませんが、私たちはあなたのデータをできる限り近くで守ります。

9. Cookie とアナリティクス

サインインセッションと設定（言語、テーマ、サイドバー状態など）の保持のために最小限の必須 Cookie を使用します。広告経由でアクセスされた場合は、どのキャンペーン経由かを把握するため、ファーストパーティの計測用 Cookie を 1 つ、最大 30 日間保存します。この Cookie にはランダムなトークンのみが含まれ、個人情報は含まれません。匿名のプロダクトアナリティクスは PostHog（現在は US Cloud、フランクフルトの PostHog EU Cloud へ移行中）で動作します。Cookie バナーで選択される前の段階でも、匿名のページビューと少数のプロダクトイベントを記録しますが、アナリティクス用の識別子は端末に保存されません。識別子はメモリ上のみで保持され、ページ読み込みごとにリセットされるため、訪問をまたいで個人を識別することはできません。アナリティクスを許可された後は、再訪問を計測できるよう端末に保存されます。拒否された場合は何も記録しません。ワークスペースの内容が含まれることは決してありません。PostHog のセッション録画を有効化する場合、すべての入力フィールドと画面上のテキストはクライアント側でマスクされたうえで送信されます（https://posthog.com/docs/session-replay/privacy 参照）。アナリティクスの決定は設定からいつでも変更でき、すべての Cookie はブラウザの標準操作で管理できます。

10. あなたの権利

ワークスペース全体を設定 → データからエクスポートでき、特定のアイテムやワークスペース全体をいつでも削除でき、リクエストに使うモデルとプロバイダーを変更でき、アナリティクスの同意を取り消せます。EU GDPR、UK GDPR、CCPA、PIPEDA、APPI などの法定プライバシー権が適用される地域にお住まいの場合は、legal@tatsulok.com までご連絡いただければ権利を行使できます。法定の対応期間内に回答します。EU または英国にお住まいの場合は、監督機関（英国では情報コミッショナー事務局、ICO）に苦情を申し立てる権利もあります。

11. お子様について

Tatsulok は 13 歳未満のお子様を対象としておらず、お子様から個人情報を意図的に収集することはありません。お子様が個人情報を提供したと思われる場合は、ご連絡いただければ削除します。

12. ポリシーの変更

プラットフォームの進化に伴い、本ポリシーを更新します。重要な変更は適用前にプロダクト内でお知らせします。最新版は常に https://www.tatsulok.com/legal/privacy にあり、リポジトリ内の docs/privacy.md にもミラーされています。

13. お問い合わせ

プライバシーに関するお問い合わせは legal@tatsulok.com までご連絡ください。

プライバシーポリシー