利用規約

最終更新：2026 年 7 月 30 日

本規約は、Odysec（以下「本サービス」）が提供する各セキュリティ評価サービスの利用条件を定めるものです。本サービスを利用することにより、お客様は本規約を読み、理解し、同意したものとみなされます。同意されない場合は、本サービスを利用しないでください。

第 1 条（サービスの内容）

本サービスは以下を提供します：

• 設定レビュー（無料）：お客様が設定ファイルの内容をアップロードし、即時に堅牢化の提案を受け取ります。サーバーはアップロードされたファイルを保存しません。
• メールセキュリティ診断（無料）：お客様が入力したドメインの公開 DNS レコードを照会し、メールのなりすまし対策設定を検査します。お客様のメールサーバーには接続しません。
• メールセキュリティ月次再診断サブスクリプション（無料）：ダブルオプトイン手続きの完了後、前述の公開 DNS レコードを定期的に再照会し、設定に変化があった場合に電子メールで通知します。
• Microsoft 365 テナント設定レビュー（無料）：お客様自身が読み取り専用コマンドでテナントのセキュリティ設定をエクスポートし、アップロードするかどうかも自身で判断してレビュー結果を取得します。本サービスがお客様のテナントへのアクセス権を取得することは一切ありません。
• セルフサービス型診断：お客様が収集プログラムをダウンロードし、自己所有または管理権限を授権されたホスト上で実行し、結果ファイルを自らアップロードして評価レポートを取得します。
• バックアップ復元可能性検証：お客様が自己所有または管理権限を授権されたホスト上でバックアップの復元訓練を一回実施し、検証プログラムをダウンロードして復元成果物とバックアップ基盤をオフラインで検査し、結果ファイルを自らアップロードして検証レポートを取得します。検証プログラムは外部への通信を行わず、お客様のバックアップやデータの内容が本サービスにアップロードされることはありません。
• 継続監視サブスクリプション：お客様が自己所有または管理権限を授権されたホスト上で収集プログラムをスケジュール実行し、ローカルの基準線との差分を定期的に本サービスに報告します。基準線はお客様のホストに保存され、本サービスにはアップロードされません。
• 外部アタックサーフェス監視：お客様が登録し所有権検証を完了したドメインについて、本サービスがインターネット側から外部に可視な情報を定期的に検査します。
• コンサルティング型調査：個別の委託契約に基づいて実施し、その範囲と条件は別途書面で合意します。本規約は補充的に適用されます。

上記の各サービスはいずれも収集または照会の時点における状態評価です。継続監視サブスクリプションと外部アタックサーフェス監視は周期的に反復実行されますが、その性質は定期評価であり、リアルタイム防護ではなく、遮断・隔離・自動対応の能力も有しません。

第 2 条（お客様の授権に関する表明および保証）

お客様は以下を表明し保証します：

1. 収集プログラムまたはバックアップ検証プログラムを実行するホストについて、所有権を有すること、または当該ホストの所有者から明確な授権を得ていること。またバックアップ復元可能性検証については、検証対象のバックアップおよびその復元成果物へアクセスする権利を有すること；
2. 当該ホストの設定情報を本サービスに提供して処理させる権利を有すること；
3. 外部アタックサーフェス監視について、登録するドメインおよびその名前解決先のホストにつき所有権を有するか明確な授権を得ており、本サービスの指示に従い DNS 所有権検証を完了すること；
4. Microsoft 365 テナント設定レビューについて、当該テナントの管理権限を有するか、テナント管理者から明確な授権を得ていること；
5. メールセキュリティ診断およびその月次再診断サブスクリプションについて、記入した電子メールアドレスがお客様本人のものであるか、当該アドレスの保有者の同意を得ていること；
6. 提供する注文情報が真実かつ正確であること。

上記の表明への違反から生じる紛争、損害または法的責任は、すべてお客様が自ら負担するものとし、これにより本サービスが被った損害を賠償するものとします。

第 3 条（サービス範囲の制限）

本サービスは基準線比較とヒューリスティックな判定を用いており、固有の限界があります。以下の事項は検出できないか、検出が困難であり、評価レポートにも一項目ずつ明記します：

• カーネルレベルの rootkit——OS カーネル権限を取得済みの実装は、本サービスの照会に偽の応答を返すことができます；
• メモリ上にのみ常駐し、永続化機構を持たない実装；
• アプリケーション層の脆弱性。本サービスは脆弱性スキャンでもペネトレーションテストでもありません；
• コンテナイメージレイヤー内部の内容；
• Windows その他の非 Linux オペレーティングシステム。

各サービスには、さらに以下の個別の制限があります：

• 既知脆弱性の照合は、パッケージマネージャでインストールされたソフトウェアのみを対象とし、現時点では Debian 系および Arch 系ディストリビューションのみをサポートします。自前でビルドしたソフトウェアや、pip・npm 等の言語パッケージマネージャでインストールしたソフトウェアは対象外です。照合結果はディストリビューションのセキュリティ勧告に準拠し、修正が適用可能な項目のみを列挙します。
• 外部アタックサーフェス監視はインターネットから可視な情報のみを検査します。CDN の背後にあるドメインについては、名前解決で得られるアドレスがお客様の資産ではないため、ポート検査を行いません。サブドメインの棚卸しは公開の証明書透明性ログに依存しており、ワイルドカード証明書を使用している場合、サブドメインが当該ログに現れないことがあります。
• Microsoft 365 テナント設定レビューの結果は、アップロードされたエクスポートファイルの内容に限られます。モジュール未導入や権限不足により取得できなかった項目は「未収集」と表示されます。この表示は未検査を意味するものであり、当該項目に問題がないことを意味しません。
• バックアップ復元可能性検証は、単回の復元訓練の成果物に対する検証です。その結論は、以後の期間においてバックアップのスケジュールが継続的に成功することを保証せず、未検証またはサイズ上限を超えたファイル（レポートに逐一明記）を対象とせず、データの意味的な正しさやオフサイト副本の実在も検証しません。権限や環境の制約により検査できなかった項目は「判断不能」と表示され、その意味は「問題なし」とは異なります。
• メールセキュリティ診断は公開 DNS レコードの照会のみを行い、メールの実際の配送動作の検証やお客様のメールサーバーの検査は行いません。
• 継続監視サブスクリプションの検出能力は、基準線がカバーする範囲に限られます。基準線作成時に既に存在していた状態は正常とみなされ、報告されません。

「痕跡は発見されませんでした」は、本サービスが採用する検査範囲と手法において異常が観測されなかったことのみを意味し、ホストが侵害されたことがないことの証明でも、ホストが安全であることの保証でもありません。

第 4 条（コンプライアンス対照セクションの性質）

一部のプランの評価レポートには、法令・規格との対照セクション（例：台湾個人資料保護法施行細則第 12 条に列挙される安全維持措置、ISO/IEC 27001:2022 附属書 A の管理策、台湾サイバーセキュリティ管理法「情報通信システム防護基準」の管理領域）が付属します。当該セクションは、本サービスの技術的発見をそれらの項目に対応付けた参考資料であり、発見事項を既存の管理文書に組み込む際の補助を目的とします。

当該セクションは、法的助言、コンプライアンス監査意見、またはいかなる形式の適合証明も構成しません。管理制度、業務手順、教育訓練、文書の整備状況は本サービスの検査範囲外であり、監督官庁の検査・評価や第三者監査に合格できるか否かについて、本サービスは何らの表明も保証も行いません。

第 5 条（免責事項および責任の制限）

本サービスは「現状有姿」および「提供可能な範囲」で提供されます。法令の許容する最大限の範囲において、本サービスは明示または黙示を問わずいかなる保証も行いません。商品性、特定目的への適合性、評価結果の完全性・正確性・無誤謬性の保証を含みますが、これらに限られません。

責任の上限：法令の許容する最大限の範囲において、本規約または本サービスに起因する本サービスの責任の累計額は、請求権発生前の十二（12）か月間にお客様が本サービスに対して実際に支払った料金の総額を超えないものとします。

本サービスは、間接損害、付随的損害、派生的損害、懲罰的賠償、事業の中断、データの滅失、利益または信用の喪失について、その可能性を通知されていたか否かにかかわらず、責任を負いません。

前述の制限は、本サービスの故意または重大な過失による行為には適用されず、法令上あらかじめ排除または制限できない責任を排除するものでもありません。

第 6 条（お客様の責任）

• 収集プログラムの実行前に、そのソースコードをご自身で確認してください。本サービスは意図的に、圧縮も難読化もしていない可読なソースコードとして公開し、照合用のハッシュ値を公表しています。
• 結果ファイルのアップロード前に、その内容を確認し、提供したくない情報が含まれていないことを確認してください。
• 評価レポートは専門的意見にすぎず、対応の要否および方法はお客様自身が判断し、その責任を負います。
• 注文コードとレポート URL は適切に保管してください。レポート URL を保有する者は誰でも当該レポートにアクセスできます。注文コードは継続監視サブスクリプションの報告用資格情報および設定用資格情報を兼ねるため、パスワードに準じて保管してください。
• 継続監視サブスクリプションの利用にあたっては、ホストが正常な状態であることを確認したうえで基準線を作成してください。基準線は作成された時点で以後の比較の基準となります。作成時にホストが既に侵害されていた場合、その状態は正常とみなされ、報告されません。基準線を更新する前に、すべての変動がお客様自身の作業に帰属することを一項目ずつ確認してください。
• Webhook 通知 URL を設定する場合は、当該 URL の安全性と受信側の適切性をご自身で確認してください。

第 7 条（料金と注文）

料金、検査可能なホスト数、有効期間は、注文時に表示されるプランに従います。注文コードには使用枠と期限があり、期限経過後または枠の消尽後はアップロードできません。

サブスクリプション型プラン（継続監視サブスクリプション、外部アタックサーフェス監視）は注文時に表示された期間で課金され、期間満了後の自動更新も自動決済もありません。期間中はいつでも利用を停止できます。サブスクリプション期間の満了後、本サービスは当該サービスの実行を停止し、関連データはプライバシーポリシー所定の期間に従って処理します。

本サービスは実行と同時に評価結果が生成される性質上、レポートを生成できない重大な瑕疵が本サービスにある場合を除き、原則として返金には応じません。サブスクリプション型プランを期間中に自ら終了した場合も同様です。個別の事案については別途協議できます。

第 8 条（禁止行為）

• 授権のないホストに対して収集プログラムを実行すること；
• 外部アタックサーフェス監視において、所有権も授権もないドメインを登録すること；
• 本サービスのメール購読機能に、自己の所有でなく、かつ保有者の同意を得ていない電子メールアドレスを記入すること；
• 本サービスの無料項目（設定レビュー、メールセキュリティ診断、Microsoft 365 テナント設定レビュー）を、大量・自動化された、または第三者の代理としての一括照会に使用すること；
• 自動化された手段で本サービスに大量のリクエストを送信し、またはその他の方法でサービスの運営を妨害すること；
• 注文枠の回避、他者のレポートへのアクセス、本サービスのインフラに対する無許可のテストを試みること；
• 本サービスの事前の書面による同意なく、収集プログラムまたは評価レポートを転売、再許諾、その他商業目的で頒布すること。

第 9 条（知的財産権）

収集プログラム、評価レポートの書式およびテンプレート、本ウェブサイトのコンテンツに関する知的財産権は、本サービスに帰属します。お客様が提供した結果ファイルの内容に関する権利はお客様に留保され、お客様は本サービスの履行に必要な範囲で当該内容を使用する権利を本サービスに許諾します。

第 10 条（個人情報およびデータの取扱い）

本サービスによるデータの収集・処理・利用はプライバシーポリシーに従います。同ポリシーは本規約の一部を構成します。

第 11 条（サービスの変更・中断・終了）

本サービスは、サービスの全部または一部をいつでも変更・停止・終了することができます。本サービス側の一方的な終了により、お客様が支払済みの利用枠が使用できなくなった場合、本サービスは未使用分の割合に応じて料金を返金します。

お客様が本規約に違反した場合、本サービスはお客様の注文コードを直ちに無効化しサービスを終了することができ、返金は行いません。

第 12 条（規約の変更）

本規約を変更する場合は、本ページで告知し「最終更新」日を更新します。変更後の規約は告知以降の新規注文に適用され、成立済みの注文には成立時点の規約が適用されます。

第 13 条（準拠法および管轄裁判所）

本規約の解釈および適用は、中華民国（台湾）法を準拠法とします。本規約から生じる紛争については、台湾台北地方裁判所を第一審の合意管轄裁判所とします。

第 14 条（連絡先）

本規約に関するご質問は contact@odysec.org までお寄せください。