プライバシーポリシー / Privacy Policy

最終更新日 / Last updated: 2026-10-18

1. 対象範囲 / Scope

本プライバシーポリシーは、スグクル株式会社（以下「当社」）が提供する法人番号・適格請求書発行事業者照会 MCP サーバー（@sugukuru/mcp-houjin-bangou、以下「本サービス」）の ホスト版（リモート MCP サーバー） および ローカル実行版（npx / Docker 等によるセルフホスト） における情報の取扱いを定めるものです。

2. 動作方式とデータの流れ / Operating Modes & Data Flow

本サービスには以下の 2 つの利用形態があり、データの流れが異なります。

2.1 ホスト版（当社が運用するリモート MCP サーバー）

  • 当社は、国税庁の「法人番号公表サイト」および「適格請求書発行事業者公表サイト」で公開されているダウンロードデータ（全件 CSV）を月1回取得し、当社が管理するデータベース（Google Cloud SQL）に格納して検索・照会に応答します。
  • ホスト版への照会リクエストは当社のサーバー（Google Cloud Run）で処理され、照会のつど国税庁の Web-API へ通信することはありません（ホスト版では国税庁 Web-API のアプリケーション ID を使用しません）。

2.2 ローカル実行版（利用者環境でのセルフホスト）

  • 利用者自身の環境で npx @sugukuru/mcp-houjin-bangou 等をローカル HTTP モード（PORT=3001 等）で起動し、DATABASE_URL を指定せず利用者自身が取得した国税庁 Web-API アプリケーション ID（NTA_APPLICATION_ID）を設定した場合、照会通信は利用者の端末から国税庁の Web-API エンドポイントへ直接送信されます。
  • この場合、当社のサーバーには一切の通信およびデータが送信されません。国税庁側で記録される情報（IP アドレス、アプリケーション ID、アクセス日時等）は、国税庁の個人情報保護方針にしたがって取り扱われます。

3. ホスト版で取得・記録する情報と記録しない情報 / Information Collected & Not Collected (Hosted Edition)

3.1 アプリケーションログに記録する情報

ホスト版のアプリケーションログには、稼働監視および障害調査のため、以下の項目のみを記録します。

  • 呼び出されたツール名（例: lookup_corporate_by_number, search_corporate_by_name, lookup_invoice_issuer）
  • 返却件数およびステータス（成功・エラー種別）
  • 処理所要時間（ミリ秒）

3.2 アプリケーションログに記録しない情報（入力値の非記録）

利用者がツールに入力した以下の値は、アプリケーションログに記録しません。

  • 法人番号（13桁）
  • 適格請求書発行事業者の登録番号（T + 13桁）
  • 検索語（法人名・商号・所在地・都道府県・市区町村等）

3.3 インフラ基盤のリクエストログおよび接続元 IP アドレスの取扱い

ホスト版が稼働するインフラ基盤（Google Cloud Armor / Google Cloud Run / Google Cloud Load Balancing）およびレート制限機構では、以下の情報を扱います。

  • 接続元 IP アドレスとレート制限:
    • 短時間の大量アクセスおよび登録番号の総当たり照会を抑止するため、Google Cloud Armor（エッジ層）およびアプリケーションのメモリ上（サーバー層）において、接続元 IP アドレス単位のリクエスト回数をカウントします（レート制限: 1分あたり最大60リクエスト）。
    • Cloud Armor のレート制限カウンタおよびアプリケーションメモリ上のカウンタは、集計ウィンドウ（60秒間）の経過後に自動的に破棄されます。
    • Google Cloud Load Balancing のアクセスログは無効化（lb_log_enabled = false）されており、ロードバランサ層でのアクセスログ収集や個人関連情報の蓄積は行っていません。
    • Google Cloud Run の標準 HTTP リクエストログには、障害調査およびサービス保護のため、接続元 IP アドレス、リクエスト日時、HTTP メソッド・パス・ステータスコード、User-Agent、レスポンスサイズ等が記録されます。
  • Cookie・セッション・アクセス解析:
    • 本 MCP サーバーはステートレス（sessionIdGenerator: undefined）で動作し、Cookie や永続的なセッション識別子を発行・保持しません。
    • また、Google Analytics などのアクセス解析ツールやサードパーティの追跡ツールは一切使用していません。

4. ホスト版が保持する公表データと個人事業者情報の取扱い / Publicly Available Data & Sole Proprietor Information

ホスト版のデータベースには、国税庁が公開する以下の 2 種類の公表データを保持します。

  1. 法人番号公表データ（出典: 国税庁法人番号公表サイト 全件データ）
    • 法人番号、商号又は名称、フリガナ、本店又は主たる事務所の所在地、法人種別、処理区分、更新年月日、変更年月日、登記記録の閉鎖等の事由・年月日、承継先法人番号
  2. 適格請求書発行事業者公表データ（出典: 国税庁適格請求書発行事業者公表サイト 全件データ）
    • 登録番号（T + 13桁）、人格区分（法人／人格のない社団等／個人）、登録年月日、更新年月日、取消年月日、失効年月日、本店又は主たる事務所の所在地（法人のみ）

個人事業者の登録番号に関する取扱い

適格請求書発行事業者公表データには個人事業者の登録番号が含まれています。国税庁の「適格請求書発行事業者公表サイト利用規約」冒頭（公開情報及び個人情報の取扱い）において、「当サイトから取得した個人情報（氏名、登録番号）に該当する部分について、本人の同意なく公表するなどした場合は、個人情報保護法の規定に抵触するおそれがあります」と位置づけられており、政府標準利用規約「公共データ利用規約（第1.0版）」の重要情報「２）第三者の権利を侵害しないようにしてください」においても第三者の権利保護が求められています。当社はこれらを踏まえ、以下のとおり厳格に取り扱います。

  • 保持する項目と保持しない項目:
    • 個人事業者（人格区分が個人）のデータについては、登録番号（T + 13桁）、人格区分、登録年月日、更新年月日、取消年月日、失効年月日のみをデータベースに取り込みます。
    • 個人事業者の氏名・通称・屋号・公表申出書記載の所在地は、データベースに取り込まず、保持も出力もしません。
  • 照会方法の制限:
    • lookup_invoice_issuer ツールは、利用者が指定した登録番号（T + 13桁）1件に対する完全一致照会のみを行います。個人事業者の登録番号の一覧取得、前方一致検索、範囲検索、一括出力は提供しません。
  • データベースの権限分離:
    • データベースのロールをスキーマ管理用・月次取り込み用・MCP サーバー読み取り専用に分離し、MCP サーバー実行プロセスには読み取り専用権限（SELECT のみ）を付与します。

5. データの更新頻度と反映時期に関する留意事項 / Update Frequency & Reflection Lag

  • ホスト版の公表データ（法人番号公表データおよび適格請求書発行事業者公表データ）は、月1回（前月末時点の全件データ） で更新（全件入れ替え）します。
  • そのため、月途中で生じた新規登録・商号や所在地の変更・登録の取消・失効のほか、法人番号公表データにおける処理区分「99（削除）」（人格のない社団等が公表への同意を撤回した場合等）や 適格請求書発行事業者における個人事業者の公表申出の取り下げ 等は、次回の月次データ更新までホスト版のデータベースに反映されません。
  • 各ツールが返すレスポンスには、現在保持しているデータの基準日（data_as_of）を含めています。月途中の最新状態を確認する必要がある場合は、国税庁の法人番号公表サイト（https://www.houjin-bangou.nta.go.jp/）または適格請求書発行事業者公表サイト（https://www.invoice-kohyo.nta.go.jp/）にて直接ご確認ください。

6. 利用目的 / Purpose of Use

当社は、取得・保持する情報を以下の目的の範囲内で利用します。

  1. 法人番号および適格請求書発行事業者登録番号に関する事実照会（法人基本情報の確認、取引先マスタの表記正規化、請求書等に記載された登録番号および取引日時点の登録有効期間の確認）の提供
  2. 短時間の大量アクセス・不正アクセス・総当たり照会の検知および制限（レート制限）
  3. サービスの稼働監視、障害調査、およびセキュリティ監査

7. 第三者提供および外部委託先（インフラ基盤） / Third-Party Provision & Infrastructure Subprocessors

  • 第三者提供: 当社は、法令に基づく場合を除き、本サービスへのアクセスログや接続元 IP アドレス等の情報を第三者に提供しません（なお、ツール呼び出しに対する応答として、国税庁の公表データに基づく照会結果を呼び出し元の利用者に返却します）。
  • 外部委託先（クラウドインフラ）: 本サービスのホスト版およびデータベースは、以下のクラウド基盤上で運用しています。
    • 提供事業者: Google LLC（Google Cloud）
    • 利用サービス:
      • Google Cloud Run: MCP サーバーの実行環境（Streamable HTTP）
      • Google Cloud SQL for PostgreSQL: 公表データの保管および検索
      • Google Cloud Load Balancing: HTTPS 終端および負荷分散（アクセスログ無効化）
      • Google Cloud Armor: エッジでの DDoS / レート制限防御（IP単位・60秒ウィンドウ）
      • Google Cloud Storage: 月次全件取り込み用 CSV の一時配置（取り込み処理完了後に運用手順に基づき速やかに削除）
      • Google Cloud Logging: アプリケーションログおよび Cloud Run 標準リクエストログの保管
    • データ保管リージョン: 日本（東京リージョン asia-northeast1）

8. 保存期間 / Retention Period

  • インフラ基盤のリクエストログおよびアプリケーションログ: Google Cloud Logging 上で原則 30 日間 保存した後、自動的に削除されます。Google Cloud Load Balancing のアクセスログは無効化しています。
  • レート制限用カウンタ: Google Cloud Armor およびアプリケーションのメモリ上でのみ一時保持され、集計ウィンドウ（60秒間）の経過後に破棄されます（ディスクやデータベースには保存されません）。
  • 一時データ（Cloud Storage）: 月次全件データ更新のために Cloud Storage に一時配置された CSV ファイルは、データベースへの取り込み処理完了後に運用手順（docs/deployment/hosted.md）に基づき速やかに削除されます。
  • 公表データのテーブルおよびバックアップ:
    • 月次の全件データ入れ替えが正常に完了した時点で、旧世代のテーブルは DROP TABLE により速やかに削除されます。
    • Google Cloud SQL の日次自動バックアップは 7 日間 保持（retained_backups = 7）された後、自動的に破棄されます。ポイントインタイムリカバリ（PITR）は無効化しています。

9. 利用者が取れる手段およびお問い合わせ窓口 / User Options & Contact

9.1 利用者が取れる手段

  • 入力値を当社サーバーへ送信しない選択:
    • 法人番号のチェックデジット検証（validate_corporate_number）および会社名の表記揺れ正規化（normalize_company_name）は外部通信を行わない純粋関数であり、本パッケージをローカル実行（HTTP モード）することで、当社サーバーへ一切通信せずに利用できます。
    • また、利用者自身が国税庁から Web-API アプリケーション ID を取得してローカル実行版を利用することで、当社サーバーを経由せずに照会を行うことができます。
  • 公表データからの削除・訂正等:
    • 本サービスが保持する公表データは国税庁の各公表サイトの公開データに基づいています。公表内容の訂正・公表同意の撤回（処理区分 99）・公表申出の取り下げ等については、管轄の税務署・インボイス登録センター・国税庁での手続を行ってください。国税庁の公表データに反映された内容は、当社の月次データ更新時に反映されます。
    • 国税庁の公表サイトで公表が終了した情報は、次回の月次更新（全件データの入れ替え）で本サービスのホスト版データベースからも削除されます。月次更新を待たずに対応を希望される場合は、下記窓口までご連絡ください。状況を確認のうえ、対応の可否と時期をお知らせします。
    • ご自身の個人情報の開示・訂正・利用停止等を求められる場合は、下記の窓口までご連絡ください。

9.2 お問い合わせ窓口

  • 運営事業者: スグクル株式会社（Sugukuru K.K.）
  • 所在地: 〒899-4332 鹿児島県霧島市国分中央１丁目２−３２ 3F
  • 連絡先メールアドレス: info@sugu-kuru.co.jp

同じ本文を GitHub のリポジトリにも置いています：https://github.com/SUGUKURU-CO-LTD/mcp-houjin-bangou/blob/main/docs/policy/privacy-policy.md

← トップページに戻る|会社プライバシーポリシー|取引先確認MCP 利用規約