プライバシーポリシー

1. 当社について

Palguは、Palgu, Inc.（所在地：c/o Raie & co, 1875 S. Bascom Ave, Suite 2400, Campbell, CA, United States）によって運営されています。プライバシーに関するご質問やリクエストについては、workhub.ai/contactよりお問い合わせください。

2. 収集する情報

当社は、サービスの運営に必要な情報のみを収集します：

• アカウントおよび組織データ。サインアップ時、ウェイトリスト登録時、またはSSOプロバイダー経由で提供される氏名、業務用メールアドレス、役職、および組織名。また、ウェイトリスト登録時には、ユースケース、チーム規模、および当社を知ったきっかけに関してご提供いただいた情報も保持されます。
• ゲートウェイのメタデータ。 Palguを経由してルーティングされる各リクエストについて、リクエストされたモデルと提供されたモデル、ルーティングの理由、トークン数、コスト、レイテンシ、およびステータスを、お客様の組織のスコープに限定して記録します。
• サインインおよびデバイスデータ。サインインリクエストのIPアドレス、ユーザーエージェント、おおよその国、およびサインイン元の各デバイスの名前、オペレーティングシステム、アプリのバージョンです。セクション3の「サインインおよびデバイスの記録」をご覧ください。
• プロバイダーの認証情報。プロジェクトトラッカーのトークンや独自のOAuthアプリを含め、お客様が接続したAPIキーおよびOAuthトークンは、保存時に暗号化され、お客様が設定したプロバイダーおよびトラッカーへの接続にのみ使用されます。暗号化キーが設定されていない限り、Palguがこれらを保存することはありません。
• 会話コンテンツ。 トランスクリプト、セッションメモリ、およびオプトインした場合はセッション履歴。セクション3を参照してください。
• お客様またはお客様のツールから当社に送信されるその他のコンテンツ。インデックス化されたドキュメント、スキル、Palgu Assistantの会話、組織メモリ、リスクレビューの調査結果、品質ゲートの出力、Webリサーチの抜粋およびクロールされたページ、インポートされたエージェント指示ファイル、ならびに当社Webサイト上のアシスタントを通じて寄せられた質問が含まれます。セクション3をご参照ください。

3. プロンプト、会話、その他のコンテンツ

Palguは、通過するコンテンツの一部を保存します。このセクションでは、何が保存され、どのように保護され、どのくらいの期間保持され、誰が閲覧でき、どのようにオフにできるかについて説明します。

• 監査ログ。すべてのリクエストについて、第2項のメタデータ、プロンプトのSHA-256ハッシュ、およびセッションIDを含む監査レコードが作成されます。セッションIDには、クライアントが送信したもの、または送信されない場合は会話の最初のメッセージのハッシュから一方向で導出されたIDが使用され、サポート時に一連の会話のリクエストをグループ化できるようになっています。監査レコードにはプロンプトや応答のテキストは含まれません。
• セッションID。Palguコーディングエージェント（Palgu StudioおよびCLI内）は、報告された問題をサポートがゲートウェイの記録と照合できるよう、各リクエストとともにセッションIDを送信します。ゲートウェイは、それが正しい形式のIDであることを確認し、組織のスコープ内で監査記録に保存します。また、すべてのゲートウェイのレスポンスにはリクエストIDが含まれ、同様に保存されます。エージェントは、各セッションの直近20件のリクエストIDを、お使いのマシン上のそのセッションのファイル（~/.srooter/agent/sessions/）に保持します。どちらのIDにもプロンプトやレスポンスのテキストは含まれず、セッションIDが何らかのアクセス権の付与に使用されることは一切ありません。
• 会話のトランスクリプト。 Palguは、セッションのレビューや障害の診断を行えるよう、コーディングツールがゲートウェイのAnthropic互換およびOpenAI互換エンドポイントを通じて送信するメッセージを記録します。Anthropic互換エンドポイント（Claude Codeが使用）では、中継したモデルの応答も記録します。OpenAI互換エンドポイントでは、ツールが各リクエストとともに送信する会話履歴を記録します。これにはツールが再送した過去の応答は含まれますが、セッションの最後の応答など、ツールが再送しない応答は含まれません。ツールはプロンプトにファイルやコマンド出力を含めるため、トランスクリプトにはソースコードやツールが送信するその他のあらゆる情報が含まれる可能性があります。トランスクリプトの取得は、組織ごとにデフォルトで有効になっています。レビュー、カウンシル（合議）、およびMCPの各エンドポイントは別個の取得ソースであり、デフォルトでは無効になっています。これらはご自身の組織で有効化されている場合にのみ記録されますが、現在Palguではこれらを有効にする設定を提供していません。
• セッションのハンドオフ。 Claude CodeまたはCodexのセッションをPalguで継続する場合（--continue-claude、またはPalgu Studioの「Continue where it left off」）、コーディングエージェントはお使いのマシン上でそのセッションのトランスクリプトを読み取り、そこから構築したブリーフをゲートウェイ経由で送信します。これには、目標（最大1,500文字）、要約（最大4,000文字）、およびクレデンシャルが墨消しされた最近のコマンド、ファイル、ToDoが含まれます。その後、このブリーフはそのセッションのリクエストの一部となり、他のリクエストと同様にトランスクリプトに記録されます。
• 送信時の認証情報のマスキング。デフォルトでは、ゲートウェイはAnthropic互換およびOpenAI互換エンドポイントへのリクエストに含まれる認識可能な認証情報（Anthropic、OpenAI、Stripe、GitHub、Slack、AWS、Googleのキー、srooterゲートウェイキー、および秘密鍵）を、リクエストがモデルプロバイダーに送信される前に[REDACTED:anthropic_key]などのマーカーに置き換えます。Anthropic互換エンドポイントでは、この処理は他のどの機能よりも先にリクエストを読み取る段階で行われるため、後述するルーティング分類器およびカウンシルもマスキングされたテキストを受け取ります。なお、モデルが返した拡張思考（extended-thinking）ブロックは、プロバイダーが署名を検証するため、変更されずにそのまま返されます。これはパターンマッチングによる処理であるため、認識できない形式の認証情報はそのまま送信される可能性があります。セルフホスト型ゲートウェイの運用者は、この機能をオフにしたり、メールアドレス、カード番号、米国の社会保障番号を追加でマスキング対象にしたりできます。
• ルーティング分類器。 リクエストに対してモデルを選択するため、ゲートウェイは最新の開発者メッセージ（最新のターンにツール実行結果しか含まれない場合は最初のメッセージ）の先頭2,000文字を、組織の分類器モデル（マネージドサービスではGoogleの gemini-3.5-flash）に送信します。高度な作り込みを要するビルド（スライド資料、ダッシュボード、ランディングページなど）と見なされるリクエストの場合、同じテキストと一致するスキルのリストがそのモデルに送信され、一致が確認されます。テキスト内の認識されたクレデンシャルは事前に置換されますが（後述の「送信時のクレデンシャル墨消し」を参照）、それ以外の内容は墨消しされません。分類器の呼び出し自体は保存されません。ゲートウェイは同一のテキストが繰り返された場合に備えて結果のラベルをメモリに保持し、監査ログにはルーティングの理由のみを記録します（リクエスト自体は前述のとおりトランスクリプトに記録されます）。Claude Codeが独自に行うバックグラウンド呼び出し（会話テキストを含むセッションのタイトルや要約）は、廃止されたClaude Haikuモデルを指定しますが、マネージドサービスでは組織が別のルーティングを設定しない限り、Googleの gemini-3.7-flash によって処理されます。
• カウンシルレビュー。 リクエストがセキュリティまたはアーキテクチャに関する作業と分類された場合、あるいはセッションが行き詰まった場合、ゲートウェイはカウンシル（合議）を招集することがあります。これは、クールダウン期間中に組織およびトピックごとに最大1回、最新の開発者メッセージの最大4,000文字を異なるプロバイダーの5つのモデル（マネージドサービスではZ.ai、DeepSeek、Google、Moonshot、OpenAI）に送信するものです。各モデルの判定結果は組織メモリ（後述）に保持されます。
• リスクレビュー。 Anthropic形式のリクエスト（Claude Codeからのリクエストなど）におけるエージェントの編集が機密領域（認証、クレデンシャル、権限、データベースクエリなど）に触れる場合、その編集内容（ファイルパスと最大6,000文字の新しいコンテンツ）および関連するコードシンボルの名前がリスクモデルに送信されます。マネージドサービスでは、最初にGroq、次にCerebrasでチェックが行われ、エスカレーションされたケースはOpenAIに送信されます。これらの指摘は「リスクレビューの指摘」（後述）として保持されます。この機能はデフォルトで有効になっており、組織はルーティング設定で無効にすることができます。
• コードレビュー、ボードレビュー、およびカウンシル審議。 コードレビュー（srooterctl review、セッション内の/review、Palgu StudioのReviews、CI、またはreview_changes MCPツール）を実行すると、ブランチのdiff（差分）と組織のコードグラフからのコンテキストが、ゲートウェイを経由して各カウンシルモデルに送信されます。srooterctl review、/review、およびreview_changes MCPツールではdiffの上限が120,000文字に制限されており、srooterctl reviewは以下のシークレットファイルを一切送信しません。Palgu StudioのReviews（作業ツリー、またはGitHubのプルリクエストのリンクに対するレビュー）では、コミットされていない変更を含むdiff全体が文字数制限なしで送信されるほか、変更された最大50ファイル（プルリクエストの場合は30ファイル）の現在のソース（各最大200,000バイト）が送信されます。Studioではシークレットファイルは除外されません。レビューの深度に応じて、ゲートウェイは変更されたファイルのソースから最大120,000文字、およびクライアントがそれと共に送信した関連ファイルから最大80,000文字をカウンシルモデルに渡します。srooterctl quality --run code_review（およびStudioのQualityビューにあるRunボタン）は、作業ツリー（コミット済みおよび未コミットの変更に加え、最大300個の未追跡ファイルの全内容）を同じ120,000文字の上限内でレビューします。その際、.env.exampleを含む同じシークレットファイルはスキップされます。ボードレビュー（コーディングエージェントのフローからの仕様、計画、diff、またはStudioのExploreビューからの質問と回答で、最大約120,000文字）はパートごとに分割されて各ボードシート（担当者）に読み込まれ、その後リードモデルが各シートの回答を読み込みます。カウンシル審議では、Studioで入力した質問が、そのスレッドの直近3件の質問と回答をコンテキストとして添えてカウンシルモデルに送信されます。レビューの検出事項についてカウンシルに質問した場合は、その検出事項のファイル、行、および根拠も送信されます。Python CLIのsrooter review --base（review-initがインストールするCIゲートでも使用されます）を使用すると、各レビュアーモデルはチェックアウトからファイル（diffに含まれないファイルを含め、1ファイルあたり最大18,000文字）を読み取って検索することもでき、それらの結果はdiffと共に送信されます。srooter review --baseは、.env*ファイル（.env、.env.*、.env.exampleを含む）、*.env、*.pem、*.key、*.p12、*.pfx、*.keystore、id_rsa*、id_ed25519*、credentials、credentials.*、*.credentials、.netrc、.git-credentials、.npmrc、.pypirc、.pgpass、**/.docker/config.json、.envrc、*.jks、Terraformの*.tfvars、*.tfvars.json、*.tfstateおよび*.tfstate.*、kubeconfig、**/.kube/config、**/.aws/credentials、application_default_credentials.json、service-account*.json、またはソースコード以外の*secret*ファイル（secrets.py、credentials.py、src/secrets/index.ts、あるいはkubeconfig/ディレクトリ配下のコードなどはレビュー対象のコードとみなされますが、srooterctl reviewは引き続き*secret*に該当するものを除外します）、あるいはそのような名前のディレクトリ内にあるもの、およびgit自体の.gitディレクトリを一切読み取らず、送信もしません。これらはファイル一覧、diff、ファイルの読み取りおよび検索から除外され、これらのファイルから名前が変更されたファイルやコピーされたファイルも同様に除外されます。これは、srooterctl reviewおよびsrooterctl quality --runが使用するリストと同じです。srooter review --baseおよびsrooterctl reviewでは、他のファイルに貼り付けられた認識可能なキーやトークン（例えば、OpenAI、Anthropic、Stripe、GitHub、GitLab、Slack、AWS、Google、npm、Hugging Faceのキー、JWT、秘密鍵、URL内のパスワード、API_KEYやpasswordなどの名前に割り当てられた値）は、レビューモデルに送信されるすべてのデータ内で[REDACTED:aws_key len=20]のようなマーカーに置き換えられます。墨消し（リダクション）に失敗した場合、そのコンテンツは送信されずに保留されます。これはパターンマッチングによるものであるため、認識されない形式の認証情報はそのまま送信される可能性があります。また、Palgu StudioのReviews、ボードレビュー、およびreview_changes MCPツールではこの処理は適用されません。認証情報はここに記載されているようなファイルに保管してください。組織の管理者およびPalguはパターンを追加できますが、既存のパターンを削除することはできません。追加されたパターンはsrooter review --baseにのみ適用されます（srooterctl reviewはデフォルトのリストを使用します）。review_changes MCPツールは、ハーネスから渡されたdiffをそのまま送信します。これらのsrooter review --baseの呼び出しはOpenAI互換のエンドポイントを使用するため、キャプチャが有効になっている間は会話トランスクリプトに記録されます。マネージドサービスでは、これらのモデルはZ.ai、DeepSeek、Google、Moonshot、およびOpenAIから提供され、お客様のキーまたは当社のキーを使用して実行されます。ボードレビューはトランスクリプトのキャプチャ対象ではないため、そのテキストは保持されません。レビューおよびカウンシルのテキストは、組織でレビューまたはカウンシルのキャプチャが有効になっている場合にのみ記録されます（「会話トランスクリプト」を参照してください）。
• 敵対的レビュー（Adversarial review）。品質上の検出事項に対して敵対的レビュー（srooterctl quality --run adversarial、review --adversarial、またはPalgu StudioのRunボタン）を実行すると、未解決の各検出事項は、その前後の墨消し（リダクション）された数行のコードとともに、ゲートウェイを経由して組織のルーティング設定が選択した反証（Refuter）モデルへ送信されます（シークレットを含む可能性のあるファイルや、それと同一内容のファイルは一切送信されません）。これはレビュー呼び出しとして扱われ、監査レコード（メタデータおよびプロンプトのハッシュ）が記録されます。また、上記のレビュー用エンドポイントと同様に、レビュー記録（キャプチャ）が有効になっていない限り、そのテキストはトランスクリプトには保持されません。何が検査され何が検出されたかを記録する品質台帳（Quality ledger）自体は、当社のサーバーではなく、お使いのマシン上のリポジトリ内（.srooter/quality/）にファイルとして保持されます。
• セッションメモリ。Anthropic形式のリクエスト（Claude Codeからのリクエストなど）について、Palguは各セッションの短い作業記録を保持します。これには、最初のリクエスト（最大2,000文字）、セッションが（Edit、Write、またはNotebookEditツール呼び出しを通じて）編集または書き込んだファイルのパス、およびツールエラーのテキストが含まれます。現在、これは確認用の記録として機能します。開発者はダッシュボード（SessionsのMemoryタブ）およびPalgu Studioで自身のセッションを確認でき、管理者はダッシュボードのCortex検索などを通じて組織のセッションを確認できます。また、変更の引き継ぎ、意思決定（ADR ID）、インシデント（ランブックまたはポストモーテムのパス）という3種類の参照ノードを保持することもできます。これらはIDとリンクのみを保持し、コピーされたテキストは保持しません。コンテンツは元の場所に留まります。この内容は現在、エージェントのリクエストに再度追加されることはありません。
• エージェントの応答（音声）。コーディングエージェントに対し、応答を短く平易な英語に書き直すよう、またはご使用の言語に翻訳するよう求めることができます。この機能はデフォルトでオフになっており、オンにしたユーザーにのみ実行されます。オンにすると、エージェントは応答の文章を、組織のルーティング設定で選択された音声モデル（現在はGoogle Geminiモデル）に送信します。送信前に、エージェントは認識した認証情報（APIキー、トークン、パスワード、メールアドレス）を墨消しします。コード、ファイルパス、URL、コマンド、および数値は一切送信されず、それでもなお機密性が高いと判断されるテキストは、変換されずにそのまま表示されます。組織のポリシーで当該モデルまたはそのリージョンが許可されていない場合、何も送信されません。これらのリクエストは他のリクエストと同様にトランスクリプトに記録され、同様に課金されます。
• Askモード。Palgu StudioのExploreビューまたはsrooterctl askでコードに関して行った質問、アシスタントが回答のために読み取ったファイルの抜粋、およびその回答は、他のリクエストと同様にゲートウェイを経由するため、キャプチャがオンの間は上記のように会話トランスクリプトに記録されます。アシスタントがファイル内で検出したシークレットは送信前にマスクされますが、通常のソースコードはマスクされません。Askモードでの会話はStudioの履歴には保持されず、お使いのマシンにも保存されません。
• ページインスペクション。お客様に質問する代わりにページを直接確認するため、コーディングエージェントはお客様のマシン上のヘッドレスブラウザでローカル開発サーバー（localhostのみ）を開き、レンダリングされたページ（タイトル、表示テキスト、見出しとボタン、レイアウトの計測値、コンソールエラーと失敗したリクエスト、およびスクリーンショット）を読み取ることができます。認識された認証情報は、事前にテキストからマスキングされます。そのテキストはエージェントのリクエストの一部として組織のルーティングが選択したモデルに送信されるため、キャプチャがオンになっている間は前述のとおり会話トランスクリプトに記録されます。スクリーンショットもモデルに送信されます。エージェントのモデルが画像を受け付ける場合は画像としてそのモデルへ、そうでない場合は組織のバリデーターモデルへ送信され、バリデーターモデルが返す書面での判定結果がエージェントのリクエストの一部となります。スクリーンショットのコピーはお使いのマシンに一時ファイルとして保存され、Palgu Studioのタスクログに表示されます。ブラウザは使い捨てのプロファイルを使用し、ブラウザを閉じると削除されます。組織の管理者はagent.inspect_page設定を使用してページインスペクションをテキストのみ（スクリーンショットなし）に制限するか、またはオフにすることができ、開発者もローカルでSROOTER_INSPECT_PAGEを使用して同様の設定を行えます。エージェントが質問する代わりに自ら確認するよう指示された場合、一致したルールのみを報告し、質問内容は一切報告しません。
• チャットの添付ファイル。チャット（Palgu Studio、CLI、またはダッシュボードアシスタント）に貼り付け、ドロップ、またはアップロードしたファイルはゲートウェイに送信されます。ゲートウェイはファイル形式を確認し、組織の添付ファイル設定を適用して、モデルが読み取れる内容を抽出します。アップロードされたファイル、そのマニフェスト、およびマスキング前の中間抽出出力は、ゲートウェイ上の組織ごとの一時的なスクラッチ領域にのみ保持され、データベースやバックアップには一切書き込まれません。これらは15分後に期限切れとなり、次回添付ファイルが使用されたときに実行されるクリーンアップによって削除されるため、それより長くゲートウェイのディスク上に残る場合があります。ゲートウェイの外部に送信されるデータは次のとおりです。抽出されたドキュメントのテキスト、画像、動画のキーフレーム、およびPDFのページ画像は、リクエストを処理するモデルのプロバイダーに送信されます。音声（動画のサウンドトラックを含む）は、組織の文字起こしモデルのプロバイダーに送信されます。ネイティブ動画は、組織の動画モデルのプロバイダーに送信されます。マネージドサービスでは、リクエストを処理するモデルが画像や動画を読み取れない場合、それらは gemini-3.8-flash（Google）に送信されます。また、文字起こしモデルは設定されていないため、音声ファイルは拒否され、動画はサウンドトラックなしのキーフレームとして読み取られます。アップロードされたメディアには各プロバイダー独自の保持期間が適用され、その期間はプロバイダーごとに一覧表示されています（例：Gemini Filesは最大48時間）。プロバイダーが許可している場合、ゲートウェイはターンの終了後にアップロードを削除します。抽出されたテキスト内で検出されたシークレットは、事前にマスキングされます。会話のトランスクリプトには、他のリクエストと同様に、モデルが参照した内容（マスキングされ、場合によっては短縮されたテキスト、画像、キーフレーム、文字起こし）がそのまま保持されます。これはデフォルトで有効になっており、保持期間は30日に設定されています（現在の削除の仕組みについては、以下の「保持期間」を参照してください）。暗号化は SROOTER_SECRETS_KEY が設定されている場合にのみ行われ、設定されていない場合は記録されないか、運用者が許可している場合は平文で保存されます。StudioおよびCLIでは、元のファイルはタスクの存続期間中、プロジェクト内の .srooter/attachments/<task>/ 配下にコピーされ、タスクログにはその名前、パス、形式、およびマニフェストIDが記録されますが、ファイルの内容は一切記録されません。添付ファイルのプレビューはメモリ内にのみ保持され、Webチャットに添付されたファイルは回答後に保持されません。組織の管理者は、添付機能を無効にするか、画像のみに制限することができます。
• 並列実行の概要。Palguコーディングエージェントがタスクを並列レーンに分割すると、実行のイベントと状態が、タスク名、アイテムのタイトル、ステップのテキストとともにお客様のマシン上のリポジトリ（.srooter/runs/）に保持されます。また、エージェントはIDと数値のみを含む実行状態のコピー（実行、フェーズ、レーンおよびアイテムのID、状態と理由コード、カウント、トークン使用量、コスト、経過時間、予算であり、タスク名、アイテムのタイトル、ステップのテキストは含まれません）をゲートウェイに送信します。ゲートウェイはそのコピーをお客様の組織およびエージェントが送信したセッションIDとともに保存するため、ダッシュボードのSessionsページで実行状態を読み取り専用で表示できます（実行の停止や変更はできません）。お客様はご自身の実行の概要を確認でき、組織の管理者は組織内のすべての実行を確認できます。アイテムIDはプランから生成されるため、プランのアイテム名には機密情報を含めないでください。このコピーはお客様から削除のご依頼があるまで組織のデータとともに保持され、アプリケーションによる暗号化は行われません。
• 変更ハンドオフ。Palguコーディングエージェントがコードを変更するタスクを完了すると、認証情報を墨消しした上で、簡潔な変更ハンドオフ（変更内容、仕組み、エビデンス、リスク、未解決の疑問点、および変更によって追加または更新されたアーキテクチャコンポーネントの名称）をお使いのマシン上のセッションフォルダに書き込みます。組織でトランスクリプトのキャプチャがオンになっている場合、エージェントはそのハンドオフをゲートウェイにも送信します。ゲートウェイはそれを再度墨消しし、他のトランスクリプトと同じ保持期間およびアクセス権限のもと、別個のセッションの一部としてお客様のトランスクリプトに記録します。キャプチャがオフの場合、または墨消しに失敗した場合は、何も送信・記録されません。この内容はsrooter-agent handoffコマンドやPalgu StudioのHandoffパネルで閲覧できます。これと並行して、エージェントはお使いのマシン上にのみ（ファイルモード0600）、表示用の説明プラン（どの程度詳細に表示するか、およびその理由を、お客様固有の説明プロファイルから算出したもの）を保持します。このプランがハンドオフとともに送信されることは一切ありません。セッションの決定ログには理由コード（選択された詳細度と適用された説明ルール）のみが記録され、お客様の習熟度が記録されることはありません。
• セッション決定ログ。 Palguのコーディングエージェントは、セッション内でそのフレームワークとコードレビューが下した決定（レビュー指摘の修正、保留、ToDoとしての残置など）を記録する際、そのログをお客様のマシン上のセッションファイルに保持し、すべてのリクエストで送信するセッションIDとともにコピーをゲートウェイに送信します。各エントリは固定のフィールド群から再構築されます。これには、ID、決定コードと理由コード、重要度とカテゴリ、根拠となるエビデンスID、変更したコミット・テスト・ファイルのパス（エージェントが変更したファイルのパスであり、行範囲は含まれません）、および認識されたクレデンシャルが墨消しされた最大200文字のメモが含まれます。また、このコピーには、ダッシュボードからコミットやファイルにリンクできるようリポジトリURL（クレデンシャルを除く）が含まれるほか、各エビデンスIDについて、その背後にあるレビュー台帳レコードの要約（レコードIDと指摘ID、同様に墨消しされた最大160文字の指摘タイトル、エビデンスレベル、エビデンスの作成者、チェック対象のコミット）が保持されます。この中にコード、プロンプト、トランスクリプトは含まれません。エージェントが後からエントリを再発行した場合や、200件の上限を超えたエントリを要約にまとめた場合、コピーには新しいバージョンが表示され、置き換えられたエントリのIDとそのSHA-256ダイジェスト（直近1,000件分）が保持されるため、変更が秘匿されることはありません。これはダッシュボードのSessionsページにあるDecisionsタブに表示されます。ユーザーは自身のセッションのログを閲覧でき、組織の管理者は組織内のすべてのセッションを閲覧できます。管理者限定のエントリ（未検証のレビュー指摘）は、ゲートウェイによって他のすべてのユーザーから秘匿されます。このコピーは、お客様から削除の要請があるまで組織のデータとともに保持され、アプリケーションによる暗号化は行われません。
• レビューのキャリブレーション。 各コードレビュアー（プロンプトのバージョンとモデルを備えたレビューレンズ）の信頼性を学習するため、ゲートウェイはレビュー指摘イベントごとに1行のレコードを保持します。これに含まれるのは、トレースIDや指摘ID、レビュアーIDやモデルID、カテゴリ、重要度、結果（検証済み、却下、修正済みなど）、フラグ、レイテンシ、コスト、および記録者のユーザーID（APIキーのユーザーまたはサインイン中の管理者）といったID、ラベル、数値のみです。これらの行にコード、指摘のテキスト、プロンプトは含まれません。また、各レビュアーのキャリブレーション状態、管理者のユーザーIDを伴うすべての昇格・降格のログ、および組織の昇格しきい値とそれを最後に変更した管理者のユーザーIDも保持します。イベント行、メトリクス、変更ログは、組織の管理者のみがダッシュボードのキャリブレーションページで閲覧できます。レビュアーの状態、強制適用されるカテゴリ、および取り下げられた指摘ID（トレースIDと指摘IDのみ）については、コーディングエージェントがレビューと修正のループで使用するため、組織のどのAPIキーまたはメンバーでも読み取ることができます。キャリブレーション自体が変更をブロックすることはなく、レビュアーが組織のレビューポリシーにとって十分に信頼できるかどうかを判断するだけです。
• セッションステージの結果。Palgu Studioのタスクが完了すると、Studioはステージマップに表示されている内容をセッションIDとともにゲートウェイに送信します。これには、計画が作成されたかどうかとその項目数、各ステージの完了数と合計数、各チェックの合否状態、タスクのステータス、およびプロジェクトフォルダの名前が含まれます。送信されるのはID、状態、数値のみであり、プロンプト、タスク名、項目タイトル、ファイルパス、ステップのテキストは含まれません。ゲートウェイは、削除のご依頼があるまでセッションごとの最新のレポートを組織のデータとともに保持します。これはアプリケーションによって暗号化されません。Palguのサポートスタッフは、問題の原因を調査するために、セッションのステージ結果、リクエストのメタデータ、実行の概要、およびトランスクリプトの構造（テキストそのものではありません）を参照できます。このような参照はすべて記録されます。
• ローカルのエージェントセッション。 Palguのコーディングエージェント（Palgu Studioおよびsrooterctl内）は、タスクが一時停止した場合（ノートPCがスリープした、シャットダウンした、またはネットワークが切断された場合など）に再開できるよう、各会話をユーザー自身のデバイスの~/.srooter/agent/sessions配下に保存します。これらのファイルには、プロンプトとモデルの応答が含まれます。ファイル自体はアップロードされず（ファイル内のリクエストは上記のようにゲートウェイを経由しています）、ご自身のユーザーアカウントのみが読み取り可能です（ファイルモード0600）。30日以上一時停止または中断されたままのセッションは、Palgu Studioの起動時およびsrooterctl tasks --pruneの実行時に削除されます。その他のセッションは、ユーザーが削除するまで保持され、フォルダはいつでも削除できます。また、Palgu Studioは各タスクのエージェント出力（応答、ツール呼び出し、およびその出力）のログを~/.srooter/studio/tasks/配下に（ご自身のユーザーアカウントのみが読み取り可能な状態で）保持し、最近50件までのタスクのプロンプトを~/.srooter/studio/tasks.jsonに保持します。タスクのログは、セッションファイルが整理（prune）された後も含め、タスクを破棄するまで保持されます。対話型エージェントは、入力されたプロンプトを~/.srooter/historyに保持します。これらのファイルはいずれもアップロードされず、いつでも削除できます。
• ローカルの並列実行。 Palguのコーディングエージェントがプランを並列実行する際、クラッシュ、終了、または使用制限によって停止した実行を再開できるよう、プロジェクト内の.srooter/runs/<run>/配下に実行データを保持します。これには、実行の進捗状況と消費額、完了した各ステップのジャーナル（ID、コミットハッシュ、およびハッシュ化されたステップの入力）、ならびに実行中のプラン（ご自身のユーザーアカウントのみが読み取り可能な、ステップのタイトルと受け入れ基準）が含まれます。これらのファイルはアップロードされず、いつでも削除できます。
• ローカルのプロジェクトメモリ。 Palguのコーディングエージェントが同じ質問を2度繰り返さないよう、リポジトリ内の.srooter/engine/memory/配下にプロジェクトに関するいくつかの事項を記憶します（ご自身のユーザーアカウントのみが読み取り可能、ファイルモード0600）。これには、設定から読み取った事実（たとえば営業週が何曜日に終わるかについて、変更されたファイルが再度読み取られるよう、読み取り元のファイルパスと行、およびそのファイルのハッシュとともに記録）、承認されたプロダクトポリシー（エージェントが質問した際にサインイン中のユーザーが選択したオプションを、その決定へのリンクおよび回答したAPIキーの短い一方向フィンガープリントとともに記録し、キー自体は一切含まれません）、および重要な未解決の質問が含まれます。保持されるのはID、オプション番号、ファイルパス、行番号、およびハッシュのみであり、タスクのテキスト、コード、または回答のテキストは一切保持されません。自動的に選択された回答や自由記述テキストとして入力された回答は記憶されません。これらのファイルはアップロードされず、いつでも直接削除するか、srooter-agent assurance engine memory clearで削除できます。
• 説明プロファイル。 Palguコーディングエージェントがどの程度詳しく説明すべきかを記録する任意のレコードであり、ご自身のデバイス内の ~/.srooter/agent/profile/ に保存されます（ご自身のユーザーアカウントからのみ読み取り可能、ファイルモード0600）。これには3段階のオプトインがあります。詳細度の設定（トピックごとのguided、standard、またはcompact）はオプトイン不要で、設定したときにのみ保存されます。トピック（PythonやKafkaなど）に対する習熟度をPalguに伝える自己申告（Self-description）は、有効にするまでオフになっています。Palguでの作業（Palguで検証されたタスク、理解度確認の質問への回答、修正したレビュー指摘事項、説明の選択）からの推論（Inference）は別個のオプトインであり、これもデフォルトでオフになっています。コミット数、Palgu外のチャット、人事データ、役職、経験年数は一切使用しません。推論によって行われたすべての変更は、その理由とともにご自身に表示されます。これを閲覧できるのはご自身だけです。組織の管理者、Palguの管理者、サポート経路のいずれからも読み取ることはできず、ご自身の評価（人事考課、ランキング、またはあらゆるチームビュー）に使用されることは決してありません。srooterctl profile を使用して、表示、編集、リセット、エクスポート、削除を行うことができ、推論をオフにすると推論によって保存された内容は削除されます。デバイス間で引き継げるようにゲートウェイへ同期することはさらなるオプトインであり、SROOTER_SECRETS_KEY が設定されていない限りゲートウェイは同期を拒否し、暗号化した状態でのみ保存します。同期されたコピーは、プロファイルを削除したとき、同期をオフにしたとき、組織から削除されたとき、およびこのストアの保持設定（下記一覧を参照）によって直ちに削除されます。Palgu Studio（Settings › How Palgu explains）および、同期されたプロファイルの場合はご自身のWebアカウントページにも表示されますが、そのページを開けるのはご自身だけです。
• オーナーシップの証跡。重要な変更について、ゲートウェイはその変更のオーナーシップ状態（例：説明済み、レビュー済み、オーナーシップ確認済み、未解決、または期限切れ）、対象となるアーキテクチャコンポーネント、リスクティア、およびその背景にあるコード、テスト、意思決定への参照を保持します。理解度を確認する質問に対するお客様の回答テキストは一切保存されません。お客様の氏名およびお客様の推論に対する検証者の判定結果がレコードに紐付けられるのは、お客様がそのレコードに対してオプトインした場合のみであり、このオプトインはデフォルトでオフになっています。チームに表示されるのは変更ごとのオーナーシップのみであり、誰がどのように回答したかは一切表示されません。組織の管理者向けAPIやPalguのシステム管理者向けAPIが個人別の情報を返すこともなく、人事評価、ランキング、その他お客様に対するいかなる評価にも使用されず、変更のマージ、出荷、デプロイの可否を決定することも一切ありません。後の変更が該当コンポーネントに及んだ場合、状態は期限切れ（stale）になります。お客様はご自身のレコードを閲覧し、異議を申し立て、ご自身の紐付けと判定結果を即座に削除することができます（/v1/me/ownership-evidence）。また、組織から脱退した際にも紐付けは解除され、レコードはこのストアの保持設定（下記参照）に従って削除されます。
• セッション履歴。フォローアップのためにセッションにタグを付けるオプション機能です。デフォルトではオフになっており、所属する組織と個々のユーザーの両方がオンにしない限り、何も記録されません。テキストの抜粋を保存するには、さらなるオプトインが必要です。1つの組織につき、未解決の項目は最大500件まで保持されます。30日以上経過した解決済みの項目は、固定のスケジュールではなく、次回セッション履歴の読み取りまたは書き込みが行われた際に削除されます。未解決の項目は解決されるまで保持されます。セッションが行き詰まっている、または難航しているとラベル付けするため、TypeSafeキーが設定されている場合、ゲートウェイはコンテンツを含まないシグナル（ターン数、エラー数、開発者が差し戻したかどうか）をTypeSafeの分類器に送信できます。テキスト抜粋のオプトインが有効な場合は、認証情報や個人データを伏せた後の最新の開発者メッセージ（最大600文字）も送信します。この抜粋がプレーンテキストとして保持されます。
• プロジェクトトラッカーの接続。組織の管理者がプロジェクトトラッカー（Jira、Linear、Asana、GitHub Issues、またはGitLab Issues）を接続すると、Palguはトラッカーの種類、そのアドレス、付与されたスコープ、接続した人物と日時、およびアクセストークンとリフレッシュトークンをSROOTER_SECRETS_KEYで暗号化して保持します。暗号化キーが設定されていない限り、Palguがこれらを保存することはありません。パーソナルアクセストークンについては、管理者がトークンを識別できるよう末尾の4文字のみが保持されます。トークンのそれ以外の部分がダッシュボードやAPIに表示されたり、ログに書き込まれたりすることはありません。独自のOAuthアプリを使用する組織の場合、そのアプリのクライアントIDとクライアントシークレットも同様に暗号化されて保持されます。すべての接続、ローテーション、使用、再認可、および切断は、トークンを含めずに記録されます。切断すると、トラッカー側で可能な場合はトークンが失効し、保存されていたトークンは削除されます。管理者がトラッカーのWebhookをオンにすると、署名シークレットも同様に暗号化され、一度だけ表示されます。Webhookのボディは検証後に破棄され、Palguはチケットのキー、ステータス、リビジョン、および受理・拒否された配信の件数のみを保持し、チケットの本文は一切保持しません。
• チケットのリンク。 タスクまたはセッションがチケットから開始されると、Palguはそれがどのチケットから発生したかを記録します。記録されるのはキーとIDのみです（接続、トラッカー、プロジェクトおよびチケットキー、タスク、セッション、プランアイテムのID、タスクが作成したプルリクエストのリンク、Palguが最後に確認したチケットのリビジョンとステータス、および開始したユーザー）。同期バックやチケットごとの所要時間の計測でこれが読み取られます。チケット自体のテキストについては、以下の「タスク内のチケット」の対象となります。
• プロジェクトトラッカーへの投稿。接続済みのプロジェクトトラッカーへの書き込みをお客様の組織がPalguに許可した場合（組織の管理者が書き込みをオンにするまではオフになっています）、すべての書き込み、拒否された書き込み、および競合について、ユーザーとセッション、トラッカー、チケットとアクション、結果、ならびにテキストのSHA-256ハッシュとサイズを含む監査レコードが作成されます。テキストは投稿前に墨消し（マスキング）され、識別可能な認証情報、メールアドレス、内部ホスト名、およびリポジトリ外のファイルパスは除去されます。また、コード、差分（diff）、トランスクリプトが投稿されることは一切ありません。墨消しされたテキストは、問題となった投稿を確認できるよう、暗号化された状態でレコードとともに30日間保持された後に削除されます。暗号化キーが設定されていない限り、Palguがこれを保持することはありません。各監査レコードはハッシュによって直前のレコードに連鎖しているため、監査レコード自体を編集することはできません。
• プランのエクスポート。プランがトラッカーにエクスポートされると、Palguはプランの各マイルストーンおよびアイテムがどのチケットになったか（ID、チケットキーとリビジョン、レーンID、およびタイトルのSHA-256ハッシュ）を保持します。投稿されたタイトル、受け入れ基準、およびレーンラベルはトラッカー内に保存され、各投稿は前述のプロジェクトトラッカーへの投稿として監査記録に残ります。
• タスク内のチケット。 チケットからタスクを開始すると（Palgu Studio内で、srooterctl ticketsまたは--ticketを使用して、あるいはsrooter-agent plan from-ticketを使用して）、ゲートウェイは組織の接続を使用してトラッカーからチケットを読み取り、組織のトラッカーポリシーを確認して、タイトル、説明、受け入れ基準、ラベル、およびリンクを返します。コーディングエージェントは、タスクの設定を変更できないようにマークされた信頼できないコンテキストとして、そのテキストをタスクのリクエストに追加します。そのため、チケットのテキストはタスクのリクエストと同じ場所に保存されます。すなわち、キャプチャがオンの間は会話トランスクリプトに、最初のリクエストの一部である場合はセッションメモリ（最大2,000文字）に、そしてご使用のマシン上のエージェントのセッションファイル（~/.srooter/agent/sessions）に、タスクの他の部分と同じ保持期間とアクセス権限で保存されます。トランスクリプトとセッションメモリは、SROOTER_SECRETS_KEYが設定されている場合に暗号化されます（以下の「暗号化」を参照）。チケット内のリンクは一覧表示されるのみで自動的に開かれることはなく、添付ファイルもダウンロードされません。

暗号化。 暗号化キー（SROOTER_SECRETS_KEY）が設定されている場合、トランスクリプトおよびセッションメモリのコンテンツは、データベースに書き込まれる前にアプリケーションによってFernet（HMAC-SHA256認証付きCBCモードのAES-128）を使用して暗号化されます。マネージドサービスはこのキーが設定された状態で稼働しており、起動ログにはトランスクリプトのコンテンツが暗号化されていることが報告されます。このキーはサービスの運営者としてPalguが管理しており、顧客ごとに個別のキーではありません。キーがない場合、セッションメモリは暗号化されずに保存され、トランスクリプトは記録されないか、運営者が明示的に許可した場合に限り暗号化されずに保存されます。セルフホスト環境では、お客様がこの設定を管理します。

保持期間。トランスクリプト、セッションメモリ、および以下に記載するその他のストアは、デフォルトでは削除されるまで保持されます。Palguは各ストアに対して日数単位で有効期限を設定できます。すべてのストアの現在の設定は、以下の「現在の保持設定」に記載されています。有効期限のあるストアは1時間ごとに実行されるクリーンアップによって消去されるため、コンテンツは有効期限を過ぎてから最大1時間残る場合があります。有効期限のないストアがクリーンアップされることはありません。これとは別に、キャプチャ設定を保存した組織では、トランスクリプトの保持期間がデフォルトで30日に設定されます。組織の管理者はこれを最短1日まで短縮できます（より長い期間は、ご要望に応じてPalguのみが設定できます）。これにも同じ1時間ごとのクリーンアップが適用されます。削除されたコンテンツも、データベースのバックアップが期限切れになるまではバックアップ内に残ります。お客様はいつでも、これらのコンテンツの削除を当社に依頼することができます。

閲覧できるユーザー。 開発者は、ダッシュボード（Sessions、Transcriptタブ）で自身のトランスクリプトを閲覧できます。組織の管理者は、組織内の全員のトランスクリプトを閲覧できます。トランスクリプトは記述されたまま表示され、墨消し（リダクション）はされません。管理者が他のユーザーのトランスクリプトのテキストを開くと、その閲覧はアクセスログに記録されます（管理者、セッション、および1時間あたり最大1回）。テキストを表示せずにトランスクリプトの概要のみを閲覧した場合は記録されません。管理者は、管理API（GET /admin/ledger/access）を通じてそのログを確認できます。また、管理者は組織全体のセッションメモリも閲覧できます。

無効化の方法。 組織の管理者は、管理API（PUT /admin/ledger/config）を通じて、トランスクリプトのキャプチャをオフにしたり、保持期間を変更したりできます。ダッシュボードにはまだこの切り替えスイッチがないため、当社にご依頼いただければ設定を変更することも可能です。キャプチャをオフにすると新たな記録は停止しますが、すでに保存されているデータは削除されません。現在、セッションメモリをオフにすることはできません。セルフホスト環境では、これらすべてのデータはお客様自身のインフラストラクチャ内に留まります（セクション5を参照）。

当社が保存するその他のコンテンツ。 以下のデータは、データベース内にプレーンテキストとして保存されます。これらはアプリケーションによって暗号化されず、デフォルトでは自動的な有効期限はなく（Palguが一部のデータに有効期限を設定することは可能です。以下の現在の保持設定をご参照ください）、特記されている場合を除き、お客様から削除のご依頼があるまで保持されます。

• インデックス化されたドキュメント。 プロジェクトをCortexにインデックス化すると、AWSアクセスキーおよびsk-/pk-/rk-形式のAPIキーが削除された後、ドキュメントファイルのテキストがセクションごとに保存されます。これらのファイル内のその他のシークレットは削除されません。再インデックス化を行うと内容は置き換えられ、プロジェクトのドキュメントを消去すると削除されます。インデックス化により、ソースファイルはゲートウェイにアップロードされ、メモリ内で解析されます。コードグラフ自体は、ソースファイルの内容ではなく、シンボル名、ファイルパス、依存関係、およびdocstringから導出された意図を保持します。また、各シンボルと依存関係について、出所クラス（コード内で確認されたもの、宣言されたもの、履歴によるもの、推論されたもの、または不明）とそのソース参照（行番号とコミットを含むファイルパス、ADRのID、テストのID、および設定キー名であり、それらの値は一切含まれません）を保持します。組織内の誰かが推論された事実を「宣言されたもの」または「履歴によるもの」に昇格させると、Palguはその変更を、確認した人物（ユーザーID）、日時、ソース参照、およびソースリビジョンとともに記録します。この記録はプロジェクトが再インデックス化されても保持され、組織内に留まります。また、インデックス化により、docs/ADRsやdocs/adrなどのフォルダ配下にある番号付きのアーキテクチャ決定記録（ADR）もアップロードされます。ゲートウェイはそれらをメモリ内で解析し、テキスト自体ではなく、各記録のID、ステータス、日付、ファイルパス、それが置き換える記録、およびそこで指定されているファイルパスやシンボルへのリンクを保持します。取り込まれた各記録、提案されたリンク、および置き換えは、同じ決定記録に追加されます。再インデックス化を行うと、解析された記録は置き換えられますが、そのログは保持されます。マージされたブランチの各インデックスには、プロジェクトのアーキテクチャスナップショットも保存されます。これには、マニフェスト、設定ファイル、およびフォルダからPalguが導出したシステム、コンテナ、およびコンポーネント（名前、ファイルパス、出所、およびソース参照であり、ファイルの内容は一切含まれません）、ビルド元のコミット、および配置できなかったファイルが含まれます。プロジェクトごとに最新20件のスナップショットが保持されます。
• Palgu Assistantの会話。お客様がダッシュボードでアシスタントに尋ねた質問（各最大8,000文字）とその回答であり、お客様の組織のメンバー、ならびにサポートおよび不正利用審査を目的としてPalgu自身の管理者が閲覧できます。回答を作成するため、アシスタントは会話内容、お客様の組織における直近のアシスタントとの質疑応答（最大12件のメッセージ）、およびアシスタントが使用するデータツールの結果（メールアドレス別のメンバーごとの利用量やコストなど、組織のデータを含む場合があります）を、マネージドサービス上の高速モデルであるgemini-3.5-flash（Google）、またはディープモデルであるglm-5.3（Z.ai）に送信します。カウンシルモードでは、質問は前述のカウンシルモデルにも送信されます。
• 組織メモリ。 ルーティングを改善するためにPalguが保持する短いメモです。開発者が回答に異議を唱えた場合のメッセージ（最大160文字）、リクエストが遭遇したプロバイダーエラーのテキスト（最大160文字）、および合議レビュー（council review）の判定結果が含まれます。
• リスクレビューの指摘。 リスクの高い編集に関するモデルが作成した説明と、エージェントに提示される修正メモです。これらにはコードが引用される場合があります。
• エージェント指示ファイル。お客様がPalguにインポートした指示ファイル（CLAUDE.mdやAGENTS.mdなど）のテキスト。
• 受容されたリスク。組織の管理者が品質上の検出事項（Finding）をリスクとして受容した場合、その検出事項の識別子、スコープ、および管理者が記載した理由（最大500文字）が、受容した人物および日時とともに監査証跡に保持されます。
• Webサイトアシスタント。 当社の公開Webサイト上のアシスタントを使用する場合、入力されたメールアドレス、質問（最大1,000文字）、およびその回答が記録されます。お客様のIPアドレスはソルトなしのSHA-256ハッシュとして保存されますが、元のアドレスと照合可能であるため、個人データとして扱います。質問には、マネージドサービス上のgemini-3.5-flash（Google）が回答します。Palguの管理者もこれらの会話を閲覧できます。
• スキル。組織が作成したスキルのテキスト（名前、タグ、ディレクティブ）はプレーンテキストとして保存され、一致するリクエストのシステムプロンプトに追加されます。スキルを意味で検索するため、ゲートウェイはプラットフォームのOpenAIキーを使用して、スキルのテキスト（スキルの保存時に1スキルあたり最大4,000文字）および各検索クエリ（最大500文字）をOpenAIのtext-embedding-3-smallモデルに送信します。生成されたエンベディングは、テキスト自体ではなく、計算元のテキストのハッシュとともに保存され、自動的な有効期限はありません。検索クエリは保存されず、そのエンベディングはメモリ内にのみキャッシュされます。OpenAIキーがない場合、検索はキーワードの一致によって行われ、何も送信されません。
• 組織の標準規約。 組織の管理者がPalgu内で作成したコーディング規約（それぞれのタイトルとディレクティブ）、そのすべてのバージョン、および各変更を誰が提案し承認したかは、自動的な有効期限なしで保存され、過去のバージョンも保持されます。ディレクティブはエージェントの指示に追加され、ゲートウェイからコーディングツールに提供されるため、それらのリクエストを処理するモデルがこれを受け取ります。これらは保存時に暗号化されません。
• Webリサーチ。 デフォルトでオフになっている仕様作成のオプションステップです。これを使用するには、サービスでこの機能が有効になっており、組織の管理者の同意があることが必要です（誰がいつ同意または撤回したかが記録されます）。実行されると、リサーチクエリ（最大500文字）がGoogle検索によるグラウンディングを伴うGoogle Geminiに送信され、その後ゲートウェイ自体が引用されたページを最大5件まで取得します。それらのページから引用された抜粋（各最大1,200文字）は、URLおよびタイトルとともに保存され、30日後に期限切れとなります。
• アシスタントのWebツール。設定されている場合、ダッシュボードアシスタントはWebページのクロールやテキストの音声読み上げを行うことができます。クロールを実行すると、ページのURLがApifyに送信され、Apifyがそのページを取得します。ページのテキスト（最大40,000文字）とURLはデフォルトで自動有効期限なしで保存され、URLはダッシュボードの通知にも表示されます。音声読み上げを実行すると、アシスタントが選択したテキスト（最大5,000文字）がElevenLabsに送信されますが、そこから何も保存されることはありません。組織が独自のStripeキーを追加している場合、アシスタントは組織のStripeアカウント内のオブジェクトをIDで検索（読み取り専用）することもできます。返されたStripeオブジェクトはアシスタントのモデルに送信され、保存される回答に含まれる場合があります。この検索にPalgu自身のStripeアカウントが使用されることは一切ありません。組織は、当社のキーの代わりに独自のApifyキーまたはElevenLabsキーを使用することができます。Stripeの検索は組織独自のキーでのみ機能します。組織が追加したキーは暗号化して保存されます。
• 品質ゲートの結果。コーディングエージェントがプロジェクトの品質ゲート（テスト、リンター、型チェック）を実行すると、各ゲートの終了コードと出力の末尾4,000文字（ファイルパス、テスト名、コードを含む場合があります）を報告します。リポジトリおよびゲートごとの最新の結果は、新しい実行結果に置き換えられるまで保持されます。
• プロジェクトマニフェストの確認。お客様の組織内のメンバーがプロジェクトマニフェスト（.palgu/manifest.yaml）のフィールドを確認した場合、またはそのような変更を承認もしくは取り消した場合、ゲートウェイはプロジェクト名、フィールド名、値のSHA-256ダイジェスト（値そのものは決して記録されません）、要求または承認を行った人物とそのロール、およびその日時を記録します。これらの記録には自動的な有効期限はありません。
• GitHubチェック。 CI用にPalguのGitHub Appをインストールした場合、ゲートウェイはリポジトリごとに、検証した実行（run）、プルリクエスト、コミットの識別子、チェックを要求したGitHub Actionsトークンのクレーム（実行をトリガーしたGitHubユーザー名を含む）、およびプルリクエストに公開したチェック結果のテキストを保持します。これらの記録に自動的な有効期限はありません。
• サインインおよびデバイスの記録。各サインインリクエストについては、IPアドレス、おおよその国、ユーザーエージェントを記録します。サインイン元の各デバイスについては、その名前、オペレーティングシステム、アーキテクチャ、アプリのバージョン、最初と最後に接続したIPアドレス、ならびにIPアドレスとユーザーエージェントを含むサインインイベントログを記録します。同じイベントログには、デプロイの承認（リポジトリ、コミット、デプロイプラットフォームのアカウントとプロジェクト、デプロイURL、承認者のメールアドレス、および記載された理由（最大300文字））も記録されます。ログインコードはハッシュとしてのみ保持され、10分後に失効します。これらの記録に自動的な有効期限はなく、デバイスはそのユーザーが組織から削除されたときに削除されます。サインインのレート制限カウンターは、リクエスト元のIPアドレス（IPv6アドレスの場合はその/64プレフィックス）をキーとしています。スケジュールされたクリーンアップにより、設定された期間（Palguが変更しない限り1時間であり、現在の値は以下に記載されています）を超えたカウンターは10分ごとに削除されます。
• 同期された設定。お使いのデバイス間で同期されるPalguアプリの設定です（最大32 KB。シークレットのように見える値は拒否されます）。これらは、あなたが組織から削除されたときに削除されます。

4. 情報の利用目的

当社は上記のデータを、リクエストのルーティングおよびガバナンス、お客様の組織のポリシーおよび予算の適用、監査記録および請求記録の作成、サービスのセキュリティ確保、ならびにサポートの提供のために使用します。当社はお客様のデータを一切販売せず、またお客様のプロンプト、レスポンス、またはコードをモデルの学習に一切使用しません。

5. セルフホスト型デプロイ

Palguをお客様自身のインフラストラクチャ内でセルフホストする場合（エンタープライズモード）、すべてのゲートウェイデータ、認証情報、および監査ログはお客様の環境内に留まります。この構成において、Palgu, Inc.がお客様のリクエストメタデータや認証情報を受け取ることはありません。

6. 情報の共有と復処理者（サブプロセッサー）

マネージド（クラウド）サービスでは、以下の企業が当社に代わってデータを処理します。リクエストは、それを提供するモデルのAIプロバイダー（組織が固定または設定したプロバイダー、あるいはPalguのルーティングが選択したプロバイダー）に、お客様自身のプロバイダーキーまたはプラットフォームのキーのいずれかを使用して送信されます。各プロバイダーはそれぞれの規約に基づいてそのデータを取り扱います。機能ごとにどのコンテンツがどのプロバイダーに送信されるかについては、セクション3に記載されています。セルフホスト環境では、お客様がプロバイダーを選択します。

• Render（ドイツ・フランクフルト）：ゲートウェイとWebサイト、および第3項に記載のすべての保存データを保持するPostgreSQLデータベースのホスティング。
• Cloudflare：Claude CodeおよびCodexのトラフィックをゲートウェイに転送するエッジリレーであり、Cloudflareは各リクエストのクライアントIPアドレスを処理します。当社のリレーコードがリクエストボディをログに記録することは一切ありません。リレーのバージョン allowlist-v1 以降、リレーはリクエストごとに1行のログを出力し、メソッド、クエリ文字列を除いたパス、ステータス、処理時間、および一部のリクエストヘッダー（Content-Typeやユーザーエージェントなど）を記録します。認証、APIキー、またはCookieヘッダーは一切記録されず、すべてのリクエストヘッダーを記録するCloudflare自身の呼び出しログは無効化されています。以前のリレーバージョンではこれらの呼び出しログが有効になっていたため、URL、メソッド、ヘッダー、クライアントIPアドレスなどのリクエストメタデータが記録されていました。これらの記録は、Cloudflareのログ保持期間が過ぎて削除されるまでCloudflare側に残ります。
• AIモデルプロバイダー：Anthropic、OpenAI、Google (Gemini)、DeepSeek、Z.ai (GLM)、Moonshot (Kimi)、xAI (Grok)、Groq、Cerebras、およびMiniMax。これらのプロバイダーは、自身が処理するリクエスト、および第3項に記載された内部呼び出し（ルーティング分類、メディア、Webリサーチ、音声、およびアシスタントにはGoogle、スキル検索の埋め込み（Embedding）およびリスクレビューにはOpenAI、リスクレビューにはGroqおよびCerebras、ならびにカウンシルメンバー）を受信します。
• TypeSafe：オプトインされたセッション履歴に対するセッション健全性ラベル（セクション3）。
• ApifyおよびElevenLabs：設定されている場合、ダッシュボードアシスタントのWebクロールツールおよび音声読み上げツールとして使用されます（第3項）。
• Resend：メール配信。宛先アドレスとメッセージ（ログインコード、チームおよびウェイトリストへの招待、新しいデバイスからのサインイン通知（デバイス名を含む）、残高不足の通知、ウェルカムメール）を受け取ります。
• Stripe：決済。組織ID、シート数、金額、および使用量の合計を受け取ります。カード番号とセキュリティコードはStripe独自のフォームに入力され、Palguには一切届きません。当社はStripeから返されるカードブランドと下4桁のみを保持します。ダッシュボードアシスタントのStripe検索ツールは、その組織のキー（セクション3）を使用して、組織自身のStripeアカウントからのみ読み取りを行い、Palguの請求アカウントを読み取ることは一切ありません。
• GitHub：接続したリポジトリでのCIチェック用のPalgu GitHub App、要求時にプルリクエストに投稿されるレビューコメント、およびバグ報告が有効な場合にPalguのGitHubリポジトリにIssueとして登録されるバグレポート（タイトル、テキスト、および入力されたメールアドレス）。
• Google Fonts：当社のWebサイトはすべてのページにおいて、Cookieの選択に関わらずGoogleのサーバーからフォントを読み込むため、Googleはお客様のIPアドレスとブラウザの詳細情報を受信します。
• Google Analytics：当社Webサイトの利用状況分析です。Cookieに同意した後にのみ読み込まれ、サインインページでは一切読み込まれません。この同意はいつでも撤回できます。すべてのページのフッターにある「Cookie settings」から選択画面を再度開くことができます。お客様の選択内容はブラウザにのみ保存され、当社では記録しません。

プロジェクトトラッカーは復処理者（サブプロセッサー）ではありません。GitHub Issues、Jira Cloud、Jira Data Center、Linear、Asana、およびGitLab Issuesは、お客様の組織が選択して接続する連携先であり、受け取ったデータはお客様の組織と各サービスとの間の独自の契約に基づいて処理されます。Palguはお客様の組織の接続を通じてチケットを読み取り、トラッカーポリシーでお客様の組織が有効にした内容のみをトラッカーに送信します。管理者が書き込みをオンにするまでは何も送信されず、オンにした後は、コメント、ステータス変更、所要時間、およびエクスポートされた計画項目が、第3項の「プロジェクトトラッカーへの投稿」に記載のとおり墨消し（マスキング）された上で送信されます。コード、差分（diff）、トランスクリプトが投稿されることは一切ありません。セルフホスト環境では、ゲートウェイはお客様のインフラストラクチャから各トラッカーを呼び出します。

7. データの保持

アカウント記録および監査記録は、お客様のアカウントが存続する期間、ならびに法律、請求、またはコンプライアンスの目的で必要とされる期間保持され、その後は削除または匿名化されます。会話コンテンツには独自の保持期間があり、セクション3で説明されています。お客様はいつでも、組織のデータのエクスポートまたは削除をリクエストできます。

8. セキュリティ

プロバイダーの認証情報は保存時に暗号化され、会話コンテンツはセクション3に記載されているとおりに暗号化されます。アクセスはロールベースで制御され、すべての管理アクセスには認証が必要です。完全に安全な送信または保存の方法はありませんが、当社はデータの機密性に応じた合理的な対策を講じています。

9. お客様の権利

お客様の管轄区域によっては、個人データへのアクセス、訂正、エクスポート、または削除を求める権利、および特定の処理に異議を唱えたり制限したりする権利を有する場合があります。これらの権利を行使するには、workhub.ai/contactまでご連絡ください。

10. 本ポリシーの変更

当社は本ポリシーを随時更新することがあります。重要な変更が行われた場合は、上部の「最終更新日」を更新するとともに、必要に応じてアカウント管理者に通知します。