サービス利用約款

本約款は、日本情報基盤サービス株式会社（以下「当社」）が提供する Webサイト・Webアプリ向け統合型セキュリティサービス「サイトドック®」（以下「本サービス」）のうち、 お客様のWebサイト等を当社のエッジに収容して提供する役務の利用条件を定めるものです。 お客様は、申込みまたは本サービスの利用開始（DNS の切替を含みます）をもって、本約款に同意したものとします。

前文

本約款は、当社が提供する「サイトドック」のうち、お客様のWebサイト等を当社のエッジ（第2条で定義）に収容して提供する役務の 利用条件を定めるものです。お客様は、申込みまたは本サービスの利用開始（DNS の切替を含みます）をもって、本約款に同意したものとします。

第1条（適用・優先関係）

1. 本約款は、当社とお客様との間の本サービスの利用に関する一切の関係に適用します。
2. 当社が別途定める個別契約書・見積書・発注書（以下「個別契約」）と本約款の内容が異なる場合は、個別契約が優先します。
3. サイトドックの Web サイト（sitedock.jp）の閲覧および無料診断の利用には、別途利用規約が適用されます。

第2条（定義）

1. 「エッジ」：当社が Cloudflare, Inc.（米国）のネットワーク上に構築・運用する中継設備。お客様のサイトへの通信は、 DNS 切替後、エッジを経由してお客様のサーバ（以下「オリジン」）へ届きます。
2. 「対象サイト」：個別契約または当社所定の手続で指定された、お客様が正当な管理権限を有する Web サイト・Web アプリ・API のホスト名。
3. 「訪問者」：対象サイトにアクセスする第三者（利用者・ボットを含みます）。
4. 「通信データ」：訪問者と対象サイトの間でエッジを通過する通信に関する記録（接続元 IP アドレス、ユーザーエージェント、 リクエストのメソッド・パス・クエリ文字列、応答ステータス、一致した防御ルール、国・ネットワーク情報等）。
5. 「防御設定」：エッジで適用する WAF ルール、レート制限、仮想パッチ、セキュリティヘッダの付与、Cookie 属性の付与、 常時 HTTPS、キャッシュ、切り離し（第8条）等の設定の総称。
6. 「プロ機能」：ログイン後の画面・フォーム入力の診断、サーバ常駐エージェント、Cloudflare Tunnel による全ポートの外部非公開、 API 保護（スキーマ検証）、カスタム防御ルール、アプリ通信のヘッダートークン等、プロプランで提供する機能。
7. 「ポータル」：お客様が本サービスの状況確認・設定・レポート閲覧を行う当社提供の Web 画面。

第3条（契約の成立・プラン・料金）

1. 契約は、お客様の申込みに対し当社が承諾の通知（メール）を行った時点で成立します。当社は、第5条の審査の結果により 申込みをお断りすることがあります。
2. プランの内容・料金は、申込時点で当社 Web サイトの料金表または個別契約に記載のとおりとします。 料金は対象サイト（プランに定める単位）ごとに月額で発生します。
3. 料金は、当社が発行する請求書に基づき、翌月末日までにお支払いいただきます（振込手数料はお客様負担）。
4. 初期費用・最低利用期間・違約金はありません（個別契約で別段の定めがある場合を除きます）。
5. 消費税等は別途申し受けます。

第4条（無料トライアル）

1. 当社は、1 サイトにつき原則 1 回、1 か月間の無料トライアルを提供することがあります。トライアルにも本約款を適用します。
2. トライアル期間中の料金は発生せず、期間満了後に自動で有料契約に移行することはありません。
3. トライアル終了時、お客様は当社の案内に従い DNS を元の設定に戻すものとします。当社は終了後、当社所定の期間内に 対象サイトのエッジ収容を解除します。

第5条（申込時の確認事項）

1. お客様は、申込みにあたり次の事項を表明し、保証します。
   1. 対象サイトについて正当な管理権限（ドメインおよびオリジンの管理権限）を有すること。
   2. 対象サイトの内容および運営が法令・公序良俗に反しないこと。
   3. 反社会的勢力に該当せず、また関係を有しないこと。
2. 当社は、ドメインの所有者確認（DNS レコードまたはページへの確認用コードの設置）を行い、確認できるまで能動的な診断や 防御設定の適用を行わないことがあります。
3. 当社は、第22条の停止事由に該当するおそれがある場合、申込みをお断りし、または契約後に第22条の措置をとることがあります。

第6条（導入・お客様の協力）

1. 本サービスの利用開始には、対象サイトの DNS レコードを当社が指定する宛先（CNAME）へ切り替える作業が必要です。 切替の作業はお客様が行い、当社は手順の案内および支援を行います（個別契約で当社が代行する場合を除きます）。
2. お客様は、次の情報を正確に提供し、変更があれば速やかに当社へ通知するものとします：オリジンの接続先、 管理用の連絡先、通知先メールアドレス、対象サイトの構成（CMS・フレームワーク・ログイン機能・API の有無等）。
3. お客様は、オリジンにおいてエッジからの接続を受け付ける設定（当社が案内する IP 範囲・秘密ヘッダの許可等）を行うものとします。
4. DNS 切替後は、対象サイトへの通信がエッジを経由します。お客様は、この方式で本サービスが提供されることを理解し、承諾します。

第7条（本サービスの内容）

1. 当社は、プランに応じて次の役務を提供します。
   1. エッジによる通信の中継（CDN 配信・TLS 終端と証明書の自動更新・常時 HTTPS・DDoS 対策）
   2. 防御設定の適用と継続的な調整（WAF・レート制限・仮想パッチ・セキュリティヘッダ・Cookie 属性）
   3. 定期診断（月次。プランにより範囲・解説の有無が異なります）
   4. 改ざん検知（夜間クロール。プロは常駐エージェントによる検知を追加）
   5. 証跡レポート（月次）とポータルでの状況提示
   6. プロ機能（プロプランのみ。第10条）
2. 当社は、エッジ上の設備・機能として Cloudflare, Inc. のサービスを利用します。同社のサービス仕様・提供状況の変更が 本サービスの内容に影響する場合、当社は可能な限り事前に通知します。
3. 本サービスは、外部から到達する Web 通信（HTTP/HTTPS）を守備範囲とします。オリジン内部のマルウェア除去、アプリケーションの 改修、サーバ設定の変更は本サービスの範囲外です（別途の有償支援として提供する場合があります）。
4. 当社は、防御設定の適用によって攻撃や不正リクエストを検知・遮断しますが、すべての攻撃を検知・遮断すること、 対象サイトに脆弱性が存在しないことを保証するものではありません。

第8条（防御設定の適用・自動修復・切り離し）

1. お客様は、当社が定期診断の結果等に基づき、当社の判断で防御設定を適用・変更・解除すること（以下「自動修復」）を承諾します。 当社は、影響の大きい変更について、段階的な適用（検証モードから遮断モードへの昇格等）と事前または事後の通知を行います。
2. 自動修復により対象サイトの表示・動作に支障が生じた場合、お客様は当社に通知し、当社は速やかに該当設定の切り戻しを行います。
3. 当社は、改ざんの検知その他対象サイトの利用者に被害が及ぶおそれがあると当社が判断した場合、お客様の事前承諾を得ずに、 対象サイトへの通信を一時的に遮断し、当社所定の案内画面を表示すること（以下「切り離し」）ができます。当社は切り離しの 実施後、遅滞なくお客様に通知し、お客様の解除の求めに応じます。
4. 切り離しの案内画面の文言は、お客様がポータルから当社所定の範囲で変更できます。文言の内容についてはお客様が責任を負います。
5. 当社は、Cloudflare, Inc. のマネージドルール・Bot 対策等のゾーン共通の防御設定を、収容するすべての対象サイトに適用します。 ゾーン共通の設定は個別のお客様の要望のみによって変更できない場合があります。

第9条（定期診断・能動的な検査）

1. 当社は、対象サイトに対して月次の定期診断を実施します。診断には対象サイトへ実際にアクセスする能動的な検査を含み、 一定の負荷が生じます。当社は、サービス停止を狙う検査（DoS・総当たり等）は行いません。
2. 定期診断には、対象サイトの URL のパラメータ等に検査用の文字列を含むリクエストを送信し、その応答から脆弱性の有無を 確認する検査（以下「能動診断」）を含みます。能動診断は、所有者確認が完了し、かつお客様が当社所定の同意事項（別紙 A-2）に 同意した対象サイトに限り実施します。同意がない間は、能動診断を含まない範囲で定期診断を実施します。
3. 能動診断は、既定では URL のパラメータ等を対象とし、フォームの送信（データの登録・更新・メール送信等を伴いうる操作）は 行いません。フォームの送信を伴う検査は、お客様が対象サイトごとに別途申し出て同意した場合に限り実施し、その場合も、 問い合わせ・注文・決済・会員登録・退会等の導線は既定で対象から除外します。お客様は、除外すべき導線を当社へ申し出ることができます。
4. 当社は、能動診断のリクエストに当社所定の識別情報（ヘッダ等）を付し、原則として当社が案内する時間帯に実施します。 識別情報および時間帯は、ポータルまたは当社の案内で確認できます。
5. 当社は影響を抑える設定で能動診断を実施しますが、対象サイトの構成によっては、ログの増加、通知メールの送信、検査用の 文字列を含むアクセス記録の残存、一時的な応答の遅延等が生じることがあります。お客様は、本番環境で実施する場合、 必要に応じて事前にバックアップを取得するものとします。
6. 本サービスのエッジを経由する対象サイトについて、当社は、対象サイト自体の弱点を確認するため、当社の診断の通信に限り エッジの防御設定の一部を適用せずに能動診断を実施することがあります。この取扱いは当社の診断の通信のみに適用され、 第三者からの通信に対する防御には影響しません。
7. 能動的な検査は、お客様側またはお客様の委託先の WAF・IDS/IPS 等により検知・遮断・アラートされることがあります。 お客様は必要に応じて関係者（ホスティング事業者・委託先を含みます）へ事前に共有するものとします。
8. お客様は、ポータルまたは当社への通知により、いつでも能動診断の同意を撤回できます。撤回後は次回の定期診断から 能動診断を含まない範囲で実施します。
9. 診断結果は検査時点で観測できた事項に基づくもので、過検知・誤検知を含む可能性があります。能動診断は対象サイトの すべての脆弱性の発見を保証するものではなく、専門家による手動の診断やペネトレーションテストの代替ではありません。 重要な判断の前に、内容の妥当性をご確認ください。

第10条（プロ機能）

1. ログイン後の画面・フォーム入力の診断は、お客様がポータルで当社所定の同意事項を確認し、テストアカウント（診断専用に 発行されたもの）を提供した場合に限り実施します。当社は資格情報を暗号化して保存し、当社所定の期間（既定 7 日）経過後または 診断完了後に削除します。退会・削除等の破壊的な操作が疑われる導線は既定で対象から除外します。
2. サーバ常駐エージェントは、お客様が自らのサーバに導入するものとし、指定されたファイル・ディレクトリの変更（パス・ハッシュ・ サイズ・権限等のメタ情報）を当社へ送信します。ファイルの内容そのものは送信しません（当社が別途明示する場合を除きます）。
3. Cloudflare Tunnel の導入により、オリジンの外部公開ポートは閉じられ、管理アクセスは当社が案内する経路（Zero Trust Access） に限られます。お客様は、管理者の登録・解除を自らの責任で管理するものとします。
4. API 保護（スキーマ検証）・カスタム防御ルール・ヘッダートークンは、お客様が提供する API 仕様・要件に基づき当社が設定します。 仕様の誤りにより正規の通信が遮断された場合、当社は通知を受けて速やかに切り戻しを行います。カスタム防御ルールの作成は 月 3 件まで（翌営業日対応）とします。

第11条（お客様の義務・禁止事項）

1. お客様は、対象サイトの内容・運営・訪問者に対する責任を負い、次の行為を行わず、また第三者に行わせないものとします。
   1. 法令・公序良俗に反する内容の掲載・配信（違法な物品・サービス、権利侵害、名誉毀損、児童の性的搾取に関するもの等）
   2. マルウェア・フィッシング・詐欺・スパムの配布または送信、これらに用いる基盤の提供
   3. 第三者のシステムへの不正アクセス、サービス妨害、これらの準備行為
   4. 本サービスまたは当社が利用する基盤（Cloudflare, Inc. のサービスを含みます）の利用規約・利用ポリシーに反する行為
   5. エッジを VPN・汎用プロキシ・動画配信の帯域確保等、Web サイトの保護以外の目的で利用する行為
   6. 本サービスを第三者に再販・転貸し、または管理権限のない第三者のサイトを対象サイトとして登録する行為
   7. 当社エッジ・ポータル・API に対する過度な負荷や解析・リバースエンジニアリング
2. 当社は、お客様が本条に違反した場合、またはお客様の対象サイトに起因して当社が利用する基盤の提供者から警告・停止の要請を 受けた場合、第22条の措置をとることができます。お客様の違反により当社の他のお客様のサービスに影響が生じた場合、 お客様はこれにより当社に生じた損害を賠償するものとします。

第12条（通信の取扱い）

1. お客様は、本サービスの提供のため、当社（および第14条の再委託先）が対象サイトに関する通信データを取得・記録・分析し、 防御設定の判断、攻撃が疑われるアクセスの抽出、改ざんの検知、証跡レポートの作成に利用することを承諾し、 お客様自身が行い得るこれらの処理を当社に委託します。
2. 当社は、通信データの取扱いについて次の措置を講じます。
   1. 攻撃の検知・遮断は原則として機械的な処理により行い、通信の内容を人が閲覧するのは、お客様からの問い合わせ対応、 誤検知の調査、障害対応等の業務上必要な場合に限ります。
   2. 接続元 IP アドレス等を含む個別の記録は当社所定の短期間（既定 35 日）で削除し、長期にわたり保持するのは 個人を識別できない集計値とします。
   3. 通信データを法令に基づく場合を除き第三者に提供しません。
3. 当社は、通信データおよび対象サイトの応答内容の一部（改ざんの疑いのある変更箇所、攻撃が疑われるリクエストの特徴等）を、 判定の補助のため第14条に定める AI 事業者の API に送信することがあります。送信する情報には、当社が知り得た お客様の認証情報・秘密のトークン・Cookie 値を含めません。
4. お客様は、対象サイトの訪問者に対し、対象サイトのプライバシーポリシー等において、当社を委託先として、 Cloudflare, Inc.（米国）および第14条の再委託先を再委託先として、通信データが取り扱われる旨を適切に説明するものとします。 当社は、その記載例を提供します（別紙 B）。

第13条（個人情報の取扱い）

1. 当社は、本サービスに関して取得した個人情報を、当社のプライバシーポリシーに従って取り扱います。
2. 当社が対象サイトの訪問者の個人情報（通信データに含まれる IP アドレス等）を取り扱う場合、当社はお客様の委託を受けた 者として、個人情報の保護に関する法律に従い、利用目的の範囲内で取り扱い、安全管理措置を講じ、再委託先を適切に監督します。
3. お客様は、自らが個人情報取扱事業者として負う義務（利用目的の特定・公表、委託先の監督、外国にある第三者への提供に関する 本人への情報提供等）を履行するものとします。

第14条（業務の再委託・外国にある第三者）

1. 当社は、本サービスの提供のため、次の事業者に業務の一部を委託します。

   事業者	所在国	委託する業務	取り扱う情報
   Cloudflare, Inc.	米国	エッジ設備の提供（通信の中継・CDN・WAF・DDoS 対策・証明書・ログ）	通信データ、対象サイトの応答内容
   Anthropic, PBC	米国	診断結果の翻訳・要約、改ざんおよび攻撃が疑われるアクセスの判定補助	所見テキスト、応答内容の差分、リクエストの特徴（認証情報等を除く）

2. 当社は、これらの事業者との契約により、個人情報の保護に関する法律が求める措置が講じられていることを確認し、 お客様の求めに応じて当該措置の概要を提供します。
3. 当社は、再委託先を変更・追加する場合、事前に当社 Web サイトまたはポータルで通知します。

第15条（サービスレベル・保守）

1. 本サービスはベストエフォートで提供し、稼働率等のサービスレベルを保証しません（個別契約で SLA を定める場合を除きます）。
2. 当社は、設備の保守・仕様変更のため、事前の通知のうえ本サービスの全部または一部を一時停止することがあります。 緊急の場合は事後の通知とします。
3. 当社が利用する基盤（Cloudflare, Inc. の網・機能）の障害・仕様変更・提供終了により本サービスが影響を受ける場合、 当社は代替手段の検討を含め合理的に対応しますが、これによる損害について第20条の範囲を超えて責任を負いません。
4. お客様は、防御設定の適用に先立ち、ステージング環境等での事前検証を行うことを推奨されます。

第16条（ポータル・アカウント管理）

1. お客様は、ポータルのアカウント（メールアドレス・認証コード・記憶された端末）を適切に管理し、第三者に利用させないものとします。
2. アカウントの不正利用による損害について、当社の責めに帰すべき事由による場合を除き、当社は責任を負いません。
3. お客様は、ポータルで行った設定（切り離しの解除・案内画面の文言・プロ機能の設定・同意の登録等）について責任を負います。

第17条（秘密保持）

1. 当社およびお客様は、本サービスに関して知り得た相手方の秘密情報（診断結果、対象サイトの構成、資格情報、料金条件を含みます）を、 相手方の承諾なく第三者に開示せず、本サービスの目的以外に利用しません。
2. 前項は、公知の情報、法令・裁判所・行政機関の命令により開示を求められた情報、第14条の再委託先への業務上必要な開示には適用しません。
3. 本条の義務は、契約終了後 3 年間存続します。

第18条（成果物・知的財産）

1. 診断レポート・証跡レポートの著作権は当社に帰属し、お客様は自社の内部利用（取引先・監督官庁への提示を含みます）のために 複製・利用できます。公表・第三者への販売はできません。
2. 本サービスに関するソフトウェア・ノウハウ・商標（「サイトドック」登録第7076490号）は当社に帰属します。
3. お客様は、対象サイトの内容について当社が本サービスの提供に必要な範囲（キャッシュ・改ざん検知のための取得と比較・ 仮想パッチのための応答の加工）で利用することを許諾します。

第19条（免責）

1. 当社は、次の事由による損害について責任を負いません。
   1. お客様が提供した情報の誤り、DNS 切替・オリジン設定の不備、お客様のサーバ・アプリケーションの障害
   2. 対象サイトの脆弱性・改ざん・情報漏えいのうち、本サービスの守備範囲（第7条第3項）外のもの
   3. 天災、通信回線・電力の障害、第三者による攻撃、当社が利用する基盤の障害等の不可抗力
   4. 防御設定による正規の通信の遮断（当社が通知を受けて速やかに切り戻した場合）
2. 診断結果および防御設定は、対象サイトの安全性を保証するものではありません。

第20条（責任の制限）

1. 当社がお客様に対して負う損害賠償責任は、債務不履行・不法行為その他請求の原因を問わず、当該損害の発生した月の 直近 12 か月間にお客様が当社に支払った本サービスの料金の総額を上限とし、逸失利益・間接損害・特別損害を含みません。
2. 前項は、当社の故意または重過失による場合には適用しません。

第21条（契約期間・解約）

1. 契約期間は契約成立日から起算し、1 か月単位で自動更新します。
2. お客様は、解約希望月の前月末日までに当社所定の方法で通知することにより解約できます。当社は、1 か月前の通知により 契約を終了できます。
3. 解約時、お客様は当社の案内に従い DNS を元の設定に戻すものとします。当社は DNS の復旧を確認した後（確認できない場合は 解約日から当社所定の期間経過後）、エッジ収容を解除します。収容解除後、対象サイトへの通信はエッジを経由しなくなり、 防御設定・証明書はすべて無効になります。
4. 当社は、契約終了後、当社所定の期間内に通信データ・資格情報・エージェントの送信データを削除し、レポート等は プライバシーポリシーに定める保持期間に従い削除します。お客様は、必要なレポートを契約終了前にダウンロードしてください。

第22条（提供の停止・解除）

1. 当社は、次の場合、事前の通知なく本サービスの全部または一部の提供を停止し、または契約を解除できます。
   1. お客様が第5条の表明保証または第11条に違反した場合
   2. 料金の支払いを 1 か月以上遅延し、催告後も支払われない場合
   3. 対象サイトに起因して、当社が利用する基盤の提供者から停止・是正の要請を受け、または当社の他のお客様への影響が生じるおそれがある場合
   4. 法令・行政機関・裁判所の命令により提供を継続できない場合
   5. 破産・民事再生等の申立てがあった場合、その他信用不安が生じた場合
2. 当社は、前項の措置によりお客様に生じた損害について責任を負いません。

第23条（反社会的勢力の排除）

当社およびお客様は、自らが反社会的勢力でないこと、反社会的勢力を利用しないこと、暴力的・脅迫的な要求行為を行わないことを 確約し、相手方がこれに違反した場合は催告なく契約を解除できます。

第24条（本約款の変更）

1. 本約款は民法第548条の2に定める定型約款です。当社は、お客様の一般の利益に適合する場合、または変更の必要性・ 内容の相当性がある場合、本約款を変更できます。
2. 変更にあたり、当社は効力発生日の 1 か月前までに、変更内容・効力発生日を当社 Web サイトへの掲示およびポータルまたはメールにより 周知します。

第25条（通知）

当社からお客様への通知は、お客様が登録したメールアドレスへの送信またはポータルへの表示により行い、送信または表示した時点で 到達したものとみなします。

第26条（権利義務の譲渡禁止）

お客様は、当社の書面による承諾なく、本契約上の地位または権利義務を第三者に譲渡できません。

第27条（準拠法・管轄）

本約款は日本法に準拠し、本サービスに関する紛争は当社所在地を管轄する地方裁判所を第一審の専属的合意管轄裁判所とします。

附則

• 施行日は別途ご案内します。本約款の施行前に本サービスの利用を開始しているお客様（無料トライアルを含みます）には、 施行日から 1 か月の周知期間を経て適用します。

別紙 A：収容申込時に取得する同意

ポータルの収容申込・DNS 切替案内の画面で、次の事項に同意いただきます（約款版・日時等を記録します）。

1. サービス利用約款に同意します。
2. 対象サイトの管理権限を有しており、DNS 切替後の通信が当社エッジを経由することを承諾します。
3. 当社およびエッジ基盤の提供者（Cloudflare, Inc.・米国）等が、対象サイトの通信データを本サービスの提供のために取り扱うことを 承諾し、対象サイトのプライバシーポリシーへ委託先の記載を行います。

別紙 A-2：能動診断の同意

能動診断（第9条）は、対象サイトごとに次の同意をいただいた場合に限り実施します。基本の 3 項目はすべてご確認いただきます。 フォームの送信を伴う検査を希望される場合は、追加の 2 項目にもご同意いただきます。書面でご同意いただいた場合は、 当社の担当者が証跡とともに代理で登録します（スタンダード・プロ共通）。

基本（能動診断を始めるための同意・すべてご確認ください）

1. 対象サイトの管理権限を有しており、月次の定期診断で、URL のパラメータ等に検査用の文字列を含むリクエストを送る検査 （能動診断）を実施することに同意します。
2. 能動診断により、アクセスログの増加・通知メールの送信・一時的な応答の遅延等が生じうることを理解しました。 ホスティング事業者や委託先への共有が必要な場合は、自社で行います。
3. 当社の診断の通信に限り、エッジの防御設定の一部を適用せずに実施することを承諾します。

追加（フォームの送信を伴う検査・希望されるサイトのみ）

4. フォームの送信を伴う検査により、データの登録・更新やメール送信が発生しうることを理解しました。 本番環境で実施する場合は、事前にバックアップを取得しています。
5. 問い合わせ・注文・決済・会員登録・退会等の導線が既定で除外されることを確認し、ほかに除外すべき導線があれば申し出ました。

別紙 B：訪問者向けプライバシーポリシー記載例

対象サイトのプライバシーポリシーに記載いただく文案の例です。