越境移転規制
100%対応社内AI

→ 要確認
学習されなくても“海外の第三者に提供”している事実は変わりません。適切な同意や契約が必要です。

→ 要注意
相談内容に家庭状況・病気・住所を匂わせる記述があれば個人情報になります。

→ 要確認
メールアドレス、会員ID、購入履歴、相談内容などで個人が特定できるなら個人情報です。

→ リスクあり
その番号が自社のDBで個人と紐づいていれば"個人データ扱い"に該当します。

→ リスクあり
データの保存先が外国なら、海外顧客がいなくても越境移転です。

→ 要確認
サーバーの設置場所やAPIの委託先（OpenAI等）が海外にある場合、国内ベンダー経由でも越境移転の対象となり得ます。再委託先の監督が重要です。

→ リスクあり
IPアドレス・端末ID・行動ログなども個人関連情報として、越境移転規制の対象になる場合があります。

→ リスクあり
専用サーバーであっても海外にサーバーがあれば越境移転にあたります。

→ 不十分な可能性
書くだけでは不十分です。提供先の国の法制度や安全管理体制を確認し、適切に通知・公表する義務があります。

→ 要確認
加工が不十分で再識別される可能性があれば個人情報です。統計データ化や適切な匿名加工が必要です。

→ 誤解です
“社内利用”かどうかではなく、“データがどこに渡るか”が基準です。

→ リスクあり
海外子会社も“外国にある第三者”として扱われます。

→ 要注意
Cookie・IP・行動ログも個人関連情報であり、提供先で個人データと紐づく場合などは越境移転の規制対象になります。

→ リスクあり
典型的な“外国にある第三者への提供”です。

→ リスクあり
資料に個人データが含まれていれば越境移転に該当します。

→ 要確認
Slackのデータセンター（多くが海外）に送信・保管されます。同意取得等の対応が推奨されます。

→ リスクあり
ログに個人が含まれていれば越境移転に該当します。

→ リスクあり
顔写真や特徴情報は個人情報です。AI分析のために海外サーバーへ送る場合は越境移転になります。

システム的に「国外へ送られる経路が存在しない」
契約・運用面でも「日本国内での取り扱いのみ」
という二重の保証により、理論上の越境移転リスクは0%です。

添付資料で示されているとおり、当社の社内RAGのAIチャットボットは技術面・運用面ともに「データを日本国外へ一切送らない」構成を採っています。具体的な根拠は次の三点です。

システムの計算・保存・バックアップ先をすべて東京リージョンに固定。第三者（海外リージョン）のサーバーには技術的にアクセスできません。

クラウド不可ポリシーの企業向けには、自社ラックまたは国内IaaS上に完全閉域で構築するため、物理的にも越境しません。

法律上"外国にある第三者への提供"に当たらないため、本人同意や追加契約手続きも不要になります。

はい。準拠しています。
準拠できる技術的な理由は、弊社の提案する「マネージド・セルフホスト」モデルでは、以下の構成を取ることで、データの国外流出を完全に防いでいるからです。

Difyの設置場所日本国内に限定
Difyというソフトウェアを、お客様専用のAWSアカウント内の「東京リージョン」にインストールして動かします。 クラウド型のDifyと違いリスクがありません。

データの保管場所を日本国内に限定
会話ログやナレッジの元となるPDFなどのデータは、すべてAWS東京リージョン内のデータベース（RDS）やストレージ（S3）に保管されます。

頭脳（LLM）の場所を日本国内に限定
思考の中心であるLLM（Amazon Bedrock）も、東京リージョンで稼働しているモデルを指定して呼び出します。
これにより、ユーザーが入力した質問文や、AIが参照する社内データが、処理の過程で海外のサーバーに送られることは一切ありません。

運用・保守者のアクセス日本国内に限定
貴社（または顧客自身）がメンテナンスを行う際も、日本国内から、あるいは定められた手順でアクセスします。
海外の事業者がシステムにアクセスする構成にはしません。

このように、データの発生から保管、処理、廃棄までの全てのライフサイクルが、物理的に日本国内で完結するため、個人情報保護法の越境移転規制に完全に準拠できるのです。クラウド型のDifyやSaaS型のAIチャットボットと違いリスクがありません。

お客様の環境や要件により異なりますが、標準的な構成であれば最短30～60日ほどで完了します。 専任の担当者が導入から運用まで一貫してサポートいたします。

いいえ、一切利用されません。お客様データは AWS VPC 内またはオンプレミスの閉域環境 で暗号化（AWS KMS）された状態で処理され、外部の学習モデルや共有基盤へ送信・学習フィードバックされることはありません。

はい, 可能です。独自のRAG（Retrieval-Augmented Generation）技術により、PDF、Word、HTMLなど様々な形式のドキュメントを取り込み、自動でAIが回答可能な知識ベースを構築します。再学習は不要です。

PoC（最大 30 日）は同一機能でユーザ数を100名に制限し、GPUを共有クラスタで利用します。
テスト後は設定をそのまま本番環境（専有GPU／VPC）へ移行できるため、再設定やデータ移行は不要です。

UMは、VPC完結、ソースコード譲渡、自動監査という3つの重要な要件を標準で満たす当社標準構成の特長です。
これにより、SaaSのブラックボックス性を排除し、OSS開発の負担なく、高いレベルのセキュリティと所有権を両立できる構成となっています。

金融、医療、インフラなど、機密情報を扱うため外部SaaSの利用が禁止されている企業様や、 自社での厳格なセキュリティ監査・管理が必須となる企業様に最適です。
また、将来的な内製化を見据え、ソースコードの所有権を確保したい企業様にも選ばれています。

できます。SAML2.0／OIDCに標準対応。Active Directory・Azure AD・Oktaで動作実績あり。IdPはVPC内に設置し、認証情報が外部に出ない構成を推奨します。

①LLMバージョンアップとRAGコーパスの再学習
②セキュリティパッチ適用
③24/365 監視・障害一次切り分け
④毎月の利用レポート提供が含まれます。
追加課金なしでSLA99.9 %の可用性を維持するための包括契約です（想定月額15万円）。

月間稼働率が99.9%を下回った場合、差分0.1%ごとに当月保守費の10%を返金します。 重大インシデント（P1）は4時間以内の恒久対策を義務付け、未達時は追加でPoC期間延長または保守費1か月分を無償化します。

AWS Japanとの年間リザーブ契約により、需要急増時でも原則14営業日以内に追加GPU（g5.2xlarge相当）を確保することを目指します。
リザーブ枠を超える場合は国内パートナーDCのオンプレA100ノードを一時貸与し、サービス停止を回避する対応を行います。

すべて東京リージョン（ap‑northeast‑1）またはお客様指定のオンプレVPC内RDSに保存され、国外転送は発生しません。 生成AI（Bedrock/GPT‑4）への呼び出しも東京リージョン経由で完結するため、当社標準構成では国外送信経路が生じない設計（個別要件により異なるため要確認）となっています。