EchoScan プライバシーポリシー

最終更新日: 2026 年 7 月 30 日

このポリシーは、公開 Web サイト、公開 Scan、Console、Browser Verifier、Report API、導入先サイトで EchoScan が情報を扱う方法を説明します。実際の処理範囲は、利用する機能、導入先のプランと設定、導入先サイトから送信されるリクエストによって変わります。

適用範囲

このポリシーは、EchoScan が直接提供する Web サイト、Console、API、SDK、関連サポートに適用されます。導入先が Browser Verifier を自社サイトへ組み込む場合、EchoScan は技術サービス提供者として検出情報とアクセスリスク情報を処理します。導入先も、自社のプライバシー通知に基づいてアカウント、取引、その他の業務情報を扱います。

導入先サイトのエンドユーザーに EchoScan アカウントは不要です。EchoScan Console へログインする開発者と管理者については、アカウントとセッションの情報が作成されます。

取り扱う情報の種類

利用機能に応じて、EchoScan は次の情報を扱う場合があります。

• ブラウザと環境のシグナル。ブラウザと OS の情報、画面とハードウェア機能、言語、タイムゾーン、フォント、グラフィックス、オーディオ、リアルタイム通信、自動化関連のシグナルを含みます。
• デバイスと継続性の情報。サーバー発行の Imprint、導入先の権限範囲にある Device ID、再訪状態、アクセス回数、初回・前回時刻、最近の活動、History を含みます。
• ネットワーク情報。サーバーが観測した IP、国・地域の結果、ネットワーク整合性、プロキシリスク、ネットワーク事業者、接続種別、ASN を含みます。
• アクセスと技術記録。リクエスト時刻、ページ情報、クライアント参照元、エラー、性能、セキュリティイベント、利用量を含みます。
• Console のアカウントとセッション情報。メールアドレス、表示名、ログインセッション、OAuth 関連情報、Workspace のメンバー関係を含みます。
• 導入先設定。Workspace、Browser Environment、Allowed Origins、API Key の識別子、プレフィックス、状態、権限、利用ポリシー、監査情報を含みます。
• プラン、利用量、サブスクリプション情報。プラン、クォータ、リクエスト数、契約状態、請求間隔、支払いフローの状態を含みます。

平文の Secret API Key は作成成功時に一度だけ導入先へ返します。サーバーは検証と管理に必要なハッシュ、プレフィックス、関連メタデータを保存します。平文 Secret は導入先が自社サーバー環境またはシークレット管理基盤で保護します。

処理の目的

EchoScan は、Browser Verifier の実行、Imprint の発行、Lite または Pro Report の生成、デバイス継続性と History の提供、Allowed Origins の確認、アカウントと API の保護、利用量とプラン制限の適用、サブスクリプション対応、障害調査、製品改善、サポート対応、セキュリティと不正リスクの検出・対応に情報を利用します。

集計または識別性を下げた情報を、サービス品質の評価、ブラウザ環境変化の研究、検出信頼性の改善に利用する場合があります。公開文書には、導入先の Secret API Key、内部検出の証拠、回避に利用できるルール詳細を掲載しません。

Cookie、localStorage、sessionStorage

Console ログインでは認証状態を維持するためにセッション Cookie を使います。Cookie のセキュリティ属性と有効期間は、実際のサービス設定に従います。

Web サイトは言語設定や開発者ドキュメントのテーマなどの画面設定を localStorage に保存します。一部のデバッグ機能やページ実行コンポーネントは、タブ単位の一時セッション識別子を sessionStorage に保存します。公開 Scan と Browser Verifier は環境確認のためにブラウザ API も利用します。

導入先サイトが独自の Cookie やブラウザストレージを使う場合、その運用と説明は導入先が行います。このポリシーは導入先の Cookie ポリシーやプライバシー通知に置き換わるものではありません。

Console ログインと OAuth

開発者と管理者は、現在対応しているログイン方法で Console を利用できます。OAuth を選択すると、認証プロバイダーが自社ポリシーに基づいて認証リクエストを処理し、アカウントまたはセッションの確立に必要な情報を EchoScan へ返します。EchoScan は本人確認、アカウントの作成・関連付け、セッション維持、Console 保護にその情報を利用します。

一般の訪問者は公開 Scan の実行時にログインしません。導入先サイトのエンドユーザーにも Browser Verifier 実行用の EchoScan アカウントは不要です。

情報共有と外部サービス

EchoScan は、Web サイトと API のホスティング、ネットワークとセキュリティ運用、認証、メール、支払い処理、運用支援に必要なサービス提供者を利用します。各提供者は該当サービスの実施に必要な範囲で情報を扱う場合があります。インフラと製品機能に応じて提供者は変わるため、このポリシーでは現在の実装を恒久的な事業者一覧として示しません。

認証済みの導入先には、その指示に従って Report と History を返します。法令、安全上の事故、権利保護、企業取引で必要な場合にも情報を開示することがあります。Secret API Key はブラウザコードへ渡さず、別 Workspace の API Key から導入先範囲の Imprint を読むこともできません。

データセキュリティ

EchoScan は、本番環境の暗号化通信、ブラウザ検出ペイロードの暗号化、Secret API Key のハッシュ化、セッションと Workspace の権限確認、正確な Allowed Origins の検証、アクセス制御、ログ、セキュリティ監視など、複数層の技術的・組織的対策を使います。

絶対的な安全を保証できるシステムはありません。導入先は Secret API Key を保護し、サーバーアクセスを制限し、漏えいしたキーを速やかにローテーションまたは失効させ、Browser Environment を正しく設定してください。

データ保持

記録ごとに目的が異なるため、保持期間も異なります。デバイスとアクセス履歴、アカウントとセッション、利用量とサブスクリプション、監査、安全記録は、サービス提供、導入先設定、紛争対応、安全調査、バックアップ、適用法令に必要な期間保持します。

現在の公開製品契約では、すべてのデータ種類に共通する固定の自動削除期間を定めていません。削除、利用制限、請求対応で利用できる手続きは、データの種類、導入先の設定、適用要件、現在の運用体制によって異なります。導入先は、自社の保持方針とコンプライアンス要件に EchoScan が適合するか確認してください。

利用者からの請求と選択

個人または導入先は、関連情報へのアクセス、訂正、削除、説明について EchoScan へ問い合わせることができます。対応可能な内容は、適用法令、当事者間の関係、データの種類、現在の手続きによって異なります。情報保護のため、本人、Workspace 権限、導入先との関係を確認する場合があります。導入先サイトのエンドユーザーは、通常、業務情報を収集した導入先へ最初に連絡してください。

プライバシーとセキュリティに関する請求は security@echoscan.org、一般のお問い合わせは contact@echoscan.org で受け付けています。

ポリシーの更新

製品、処理内容、法的要件が変わった場合、このポリシーを更新し、ページ上部の最終更新日を変更します。重要な変更は Web サイトまたは Console の適切な通知方法で説明します。導入先はこのページを定期的に確認し、自社のプライバシー通知で EchoScan 連携を正確に説明してください。