プライバシーポリシー

バージョン 1.0 ｜ 発効日 2026-08-28 ｜ 適用範囲 odysec.org および当チームの各連絡窓口

---

1. 本ポリシーの立場

当チームの研究対象の一つは、本人の知らないうちに他者の情報が取得される仕組みです。同じ基準を自らにも適用し、特定の目的に必要な情報のみを収集し、目的を終えたら削除し、他の用途には使用しません。

本ポリシーは平易な言葉で書かれ、検証可能な具体的事項を列挙しています。ここに記載のない収集行為は、当チームが行わないことを意味します。

2. サイトの閲覧

odysec.org は静的サイトです。アクセス解析サービス・広告ネットワーク・ソーシャルプラグイン・トラッキング Cookie のいずれも使用せず、ブラウザに Cookie を書き込みません。フォント・スタイル・画像はすべて当サイトから配信し、第三者から読み込むものはありません。

サーバーは標準的なアクセスログ（送信元 IP、時刻、リクエストパス、応答コード、User-Agent）を保持しますが、用途は運用と不正利用防止に限られます。保持期間は 14 日間で、その後は自動的に削除されます。他のデータと突合せず、個々の利用者の行動分析にも使用しません。また、サーバー側ではこれらの記録から匿名化した全体の流量統計を生成します（集計時に IP を匿名化）。統計はチーム内部での利用に限られます。

当サイトは通信の暗号化と不正利用対策のためコンテンツ配信網（Cloudflare）を経由します。接続の性質上、同事業者は接続情報を処理しますが、その取扱いは同事業者のポリシーに従います。

3. 入会申込フォーム

申込を送信された際、フォームに記入された以下の項目を収集します。

あわせて送信元 IP と送信時刻を記録しますが、用途は不正利用防止（大量の重複送信の識別など）に限られます。

これらの情報は入会審査および関連する連絡のみに使用し、宣伝目的には使用せず、第三者への提供・交換・販売も行いません。保管場所は当チームが管理するサーバーおよび当チームのメールボックス（メール事業者は Proton）です。

4. 保存期間

• 審査不通過または申込の撤回：結果通知の日から 90 日以内に削除します。この期間は申込者からの問い合わせに対応するために設けています。
• 審査通過：会員情報として会員資格の存続期間中保存し、資格終了後 1 年で削除します。会計帳簿は法定期間に従い保存します。
• サイトのアクセスログ：14 日間。
• フォームの不正利用防止記録（IP と時刻）：90 日間。

5. 利用者の権利

当チームが保有するご自身の個人情報について、いつでも開示・閲覧・複製・補充・訂正の請求、および削除や収集・処理・利用の停止の請求ができます。contact@odysec.org までご連絡ください。1〜3 営業日以内に返信し、ご本人であることを確認のうえ対応します。

これらの権利の行使に費用はかからず、行使を理由に不利益な取扱いをすることもありません。当チームの対応にご不服がある場合は、所轄官庁へ申し立てることができます。

6. 安全管理

• サイトは全体が HTTPS であり、HSTS と厳格なコンテンツセキュリティポリシーを適用しています。
• 申込情報は当チームのみが到達できるサーバーに保管し、ファイル権限は必要なサービスアカウントに限定しています。
• メールは暗号化された経路（STARTTLS）で送信し、送信専用の権杖を使用します。この権杖でメールボックスを閲覧することはできません。
• サーバーへの接続は鍵認証のみで、パスワードログインは無効です。

当チームは「絶対に安全」とは主張しません——そう主張する者こそ信用すべきではないからです。主張するのは、上記の措置が実際に存在し、外部から検証できる（公開ツールで当サイトの通信暗号化と応答ヘッダーを確認できる）ということです。

7. 未成年者について

入会資格は十八歳以上に限られます。当チームは未成年者の個人情報を意図的に収集しません。

8. 本ポリシーの改定

本ポリシーを改定した場合、本ページのバージョンと発効日を更新します。収集項目や利用目的の実質的な変更については、サイト上でも別途告知します。

9. 連絡先

一般的な事項および個人情報に関する権利の行使：contact@odysec.org

セキュリティ通報（PGP 暗号化を推奨）：security@odysec.org、公開鍵は /pgp-key.txt