法的事項
SaQura CertWatch 製品プライバシー通知
最終更新: 2026年10月28日
Datenschutzhinweis zum Produkt · SaQura CertWatch Product privacy notice · 製品プライバシー通知 Stand / as of: 2026-10-28 · Version 2.0 · gilt für / applies to SaQura CertWatch ab / from 1.3.0 einschließlich / including CertWatch Agent Deutsch: Abschnitte 1 bis 6 · English: sections 1 to 6 below · 日本語：下記第1項から第6項
============================================================
日本語
============================================================
本通知は、本ソフトウェアがお客様のシステム上に何を保存し、どのような外部への
接続を行うかを説明するものです。本通知はプログラム（サーバーおよびCertWatch
Agent）のみを対象とします。ウェブサイト、購入およびライセンスサービスについては、
https://kyototech.co.jp/legal/privacy のプライバシー通知も適用されます。契約上の
定めは、使用許諾契約（EULA）第9条に記載されています。
============================================================
1. ソフトウェアの稼働場所と保存データ
============================================================
SaQura CertWatchは、すべてお客様ご自身のシステム上で稼働します（セルフホスト）。
お客様の監視データが送られる、KyotoTechが運営するサービスはありません。インベン
トリ、チェック結果、評価、レポート、継続的な監査チェーン、ログ、設定、受信者お
よび認証情報は、お客様のインストール環境、すなわちインスタンスのデータフォルダー
（データベースおよびファイル）内で生成され、そこにとどまります。
保存される認証情報（例えばSMTP、DNSプロバイダーおよび認証局のためのもの）は、
インストールキーで暗号化されます。インストールキーの保存場所はオペレーティング
システムによって異なります。
· Windows：データフォルダー内のファイルとして、Windows Data Protection
API（DPAPI）により保護され、作成されたコンピューター上でのみ読み取り可能、
· macOS：キーチェーン内、
· Linux：データフォルダー外のsystemd credentialとして。
データフォルダーとインストールキーは、必ず一緒にバックアップしてください（EULA
第4.3条）。
CertWatch Agentは、新しい証明書の秘密鍵を対象サーバー上で生成し、署名要求のみを
お客様のインスタンスに送信します。Agentは対象サーバー上に証明書と鍵を配置し、
デプロイ中は以前のファイルの一時的なバックアップを作成します。このバックアップには
以前の鍵ファイルが含まれる場合があります。バックアップは対象サーバー上に留まり、
Agentのアカウントのみが読み取ることができ、ロールバック後または同じ対象への次回の
デプロイ時に削除されます。
KyotoTechは、お客様のアドレス、結果、レポート、受信者リストまたは認証情報を、
自動的にも、ライセンス確認の際にも受け取りません。KyotoTechは、お客様のインスタ
ンスまたはAgentへのリモートアクセス権を持ちません。ライセンスファイル（`.lic`）
は、その署名によりローカルで検証されます。KyotoTechへの接続が発生するのは、ライ
センス自動更新確認（2.6項、無効化可能）および新しいプログラムバージョンのお知ら
せ（2.4項、無効化可能）の場合に限られます。
============================================================
2. 発生する外部への接続
============================================================
これらの各接続において、インターネット上のあらゆるリクエストと同様に、接続先には
お客様のシステムのIPアドレスが見えます。
2.1 お客様の監視対象
本ソフトウェアは、お客様が登録したアドレスおよびポートに接続し、そこで
証明書、証明書チェーン、ならびにプロトコルおよび鍵の品質をチェックします。
これらはお客様ご自身のシステム、またはお客様がチェックする権限を有する
システムです（EULA第4.1条）。
2.2 公開証明書ログ（インベントリの検出、未知の証明書に関するアラート）
お客様のドメインに対して発行された証明書を見つけるため、本ソフトウェアは
公開のCertificate Transparencyログに問い合わせます。
· crt.sh （Sectigo Ltd.）
· api.certspotter.com （SSLMate, Inc.、crt.shが利用できない場合の代替）
送信されるのは検索対象のドメイン名（登録可能ドメイン、例えば
`example.co.jp`）のみです。結果、ポートリスト、受信者または顧客データは
送信されません。そこで照会される証明書データは公開情報であり、公的に
信頼されたすべての認証局がいずれにせよそこに公開しているものです。
お客様が削除したアドレスは、以後照会されません。
2.3 失効確認サービス（OCSP/CRL）および中間証明書（AIA）
証明書が失効しているかどうかを確認するため、本ソフトウェアは証明書自体に
記載された失効確認サービスに問い合わせます。その際、チェック対象の証明書
の識別子が送信されます。システムに中間証明書が欠けている場合、オペレー
ティングシステムは信頼性の確認のため、証明書に記載された発行元の場所
（AIA）から中間証明書を取得します。これらのアドレスは、チェック対象の
システムの認証局に由来するものであり、KyotoTechに由来するものではあり
ません。
2.4 新しいプログラムバージョンのお知らせ
本ソフトウェアは、最大で1日1回、
https://saqura.de/downloads/certwatch/latest.json から小さなバージョン
ファイルを読み込み、そこに記載されたバージョンをインストール済みの
バージョンと比較します。お客様のデータは一切送信されません。本ソフト
ウェアは自らを更新することはなく、新しいバージョンをお知らせするのみです。
無効化するには、環境変数 CERTWATCH_NO_UPDATE_CHECK=1 を設定してください。
その場合も監視は変わらず継続されます。
2.5 お客様の送信メールおよびWebhook
本ソフトウェアは、お客様が登録したSMTPサーバーを通じて、またお客様が登録
したWebhookアドレスに、アラートおよびレポートを送信します。Webhookは
アラートの主要データ（アドレスおよびポート、レベル、件名、記録番号、
時刻）を受け取ります。受信者、認証情報および配信経路はお客様が決定し、
そのいずれもKyotoTechを経由しません。
2.6 ライセンス情報の自動取得
ライセンスを取得したすべてのプランにおいて、ライセンス情報の自動取得は初期設定で
有効になっています（「歯車メニュー → ライセンス」）。本ソフトウェアはその
場合、https://license.kyototech.co.jp に対し、最大で1日1回の成功を限度と
して、更新、変更または失効されたライセンスが存在するかどうかを問い合わせ
ます。ネットワークエラーの後は、約1時間後に再試行します。ライセンスの
ない試用モードでは問い合わせを行いません。
送信されるのは、製品識別子、ライセンス番号のハッシュ（SHA-256）（番号
そのものではありません）、インストール済みライセンスの発行日、および
ライセンスに関するメールの受信を希望するかどうかについてのお客様の設定
です。アドレス、結果、レポート、受信者または設定は送信されません。より
新しいライセンスが存在する場合、それが取得され、インストールされます。
ライセンスが失効している場合、本ソフトウェアは新たな更新ジョブおよび
新たなテナントを作成しません（EULA第2.10条）。
これらのデータについては、KyotoTechが個人情報取扱事業者（管理者）です。
法的根拠は使用許諾契約の履行（GDPR（EU一般データ保護規則）第6条第1項
(b)）です。データは日本で処理されます。欧州委員会は日本について十分性
認定を採択しています。
無効化するには、「歯車メニュー → ライセンス」で「ライセンスを自動で更新する」をオフに
するか、環境変数 CERTWATCH_NO_LICENSE_REFRESH=1 を設定してください。その
場合、更新のたびにライセンスファイルをメールで受け取り、お客様ご自身で
配置していただきます。
2.7 認証局（自動更新が有効な場合のみ）
本ソフトウェアは、ACMEプロトコルにより、お客様が選択した認証局（初期
設定：Let's Encrypt）に新しい証明書を申請します。送信されるのは、認証
対象の名前を含む署名要求、およびACMEプロトコルに必要なアカウントデータ
（アカウント鍵、およびご希望の場合は認証局のアカウント紐付け）です。本
ソフトウェアは連絡先メールアドレスを登録しません。認証局は、発行した
証明書を、そこに含まれるすべての名前とともに公開のCertificate
Transparencyログに公開します。この処理には、認証局の利用条件および
プライバシー通知が適用されます。
2.8 DNSプロバイダーおよびネームサーバー（自動更新が有効な場合のみ）
ドメインの管理権を証明するため、本ソフトウェアは、お客様が設定したDNS
プロバイダー（現在はCloudflareまたはAzure DNS。CNAMEによりこれらの
プロバイダーに委任されたゾーンを含みます）に検証用レコードを一時的に
作成し、その後削除します。このプロバイダー用のお客様の認証情報および
検証用レコードが送信されます。レコードが参照可能かどうかを確認するため、
本ソフトウェアは、該当ゾーンの権威ネームサーバーおよびお客様のシステムに
設定されたリゾルバーにも直接問い合わせます（DNS、ポート53）。
2.9 CertWatch Agent（自動更新が有効な場合のみ）
Agentは、お客様のインスタンスへの接続を自ら開始します（初期設定では
インスタンスのポート5443。このポートは自動更新が有効な間のみ有効です）。
必要に応じてローカルのHTTPプロキシを経由することもできます。Agentは
署名要求およびステータスメッセージを送信し、新しい証明書を受け取ります。
秘密鍵は対象サーバーの外に出ません。Agentは、KyotoTechを含め、他のいかなる
接続先にも接続しません。
2.10 デプロイ後の外部チェック
デプロイの後、本ソフトウェアは新しい証明書が配信されているかどうかを
外部からチェックします。これは2.1項と同様の接続です。
============================================================
3. 発生する個人データ
============================================================
本ソフトウェアは技術的データ（アドレス、ポート、証明書）を対象として設計されて
います。個人データは、次のものを通じて発生する可能性があります。
· アラートおよびレポートの受信者のメールアドレス、
· 管理画面のユーザー名およびログインデータ、
· 個人に関連するアドレス（例えば `yamada-taro.jp`）、
· 証明書内の名前（例えば個人用証明書におけるもの）。
これらのデータについては、GDPRの意味における個人情報取扱事業者（管理者）はお客様
です。KyotoTechはお客様のインストール環境にアクセスできないため、お客様のインス
トール環境に関して個人データの取扱いの委託先ではありません。したがって、セルフ
ホストでの運用には、個人データの取扱いの委託に関する契約は必要ありません。サポー
トの際は、問題の分析に必要な範囲でのみ個人データを送付し、可能な場合は事前に省略
してください。お客様の委託による処理が必要となった場合、KyotoTechはご要望に応じ
て個人データの取扱いの委託に関する契約を提供します（EULA第9.4条）。
保存期間：データベース内のチェック結果、レポートおよび監査チェーンは、お客様が
保持する限り保存されます。例外はテキストのログファイルです。これは5 MBでローテー
ションされ、古いローテーション分は削除されます。データベース内の監査チェーンは
これの影響を受けません。デプロイ中にAgentが作成するバックアップは一時的なもので
す。お客様は、ご自身のインストール環境内のインベントリ、レポートおよびログをいつ
でも削除できます。監査チェーンのエントリを削除すると証拠の連鎖が途切れることに
ご注意ください。それを可視化することが監査チェーンの目的です。
============================================================
4. お客様の顧客のシステムを監視する場合（テナント）
============================================================
お客様がエンドカスタマーのためにCertWatchを運用する場合、アドレス、ドメインおよび
サーバーの選定、受信者ならびに保存期間について、エンドカスタマーに対して責任を負
うのはお客様です。監視を開始する前およびあらゆる自動更新の前に、お客様はエンド
カスタマーの同意を取得します（EULA第4.1条および第4A.4条）。本ソフトウェアは、
インベントリ、受信者およびレポートにおいてテナントを分離します。エンドカスタマー
との関係の法的性質については、お客様ご自身で判断してください。
============================================================
5. お問い合わせ先
============================================================
KyotoTech LLC (合同会社KyotoTech) · 〒612-8083 京都府京都市伏見区京町2-237-202 ·
support@kyototech.co.jp
============================================================
6. 有効性
============================================================
本通知は、本通知が添付されたプログラムバージョンの動作を説明するものです。動作が
変更された場合、本通知は次のバージョンで変更されます。