競合インテリジェンスツールにCRM・商談録音を接続する前に: セキュリティと個人データのFAQ

OAuthの許可で、ツールは何ができるか

競合インテリジェンスツールは、OAuthアプリとしてCRMを読みます。できる範囲を決めるのはアプリが要求するスコープで、最初に読む文書は同意画面です。正確なスコープの一覧、そのうち書き込みスコープはどれか、誰もログインしていない間も動けるようリフレッシュトークンを受け取るか、どのオブジェクトとどの項目に書き込むかを確認します。スコープの文字列を公開しているベンダーはほとんどないため、レビューで聞いてください。

HubSpotのOAuth文書（2026年10月7日閲覧）は、次のように説明しています。各スコープはAPIエンドポイントの集合を開き、アプリのアクセストークンは、接続した利用者本人の権限や制限を反映しません。管理者が承認したアプリは、接続した利用者本人の権限では編集できないレコードにも書き込める可能性があります。また、アカウントに該当機能がない場合、任意のスコープは認可要求から自動的に外されるため、ベンダーが要求した一覧と自社が許可した一覧は一致しないことがあります。Salesforceの開発者向けページは本記事の調査で開けなかったため、同じ質問をベンダーに直接確認してください。

Gongは事情が異なります。Gongのアプリ開発文書は、利用者単位のOAuthに対応しておらず、認証はインスタンス全体で一度行われ、設定は技術管理者が行う必要があるとしています。接続を承認した人は、要求されたスコープが及ぶ範囲のすべての通話へのアクセスを許可することになります。同ページにはapi:calls:read:basicやapi:calls:createといったスコープが載っていますが、すべてを列挙していません。ツールがどの通話スコープと文字起こしスコープを要求するか、記録を作成または変更できるスコープが含まれるかを確認してください。

Slackはすべてのスコープを公開しているため、最も読みやすい連携先です。channels:historyは、アプリが追加されたパブリックチャンネルのメッセージの閲覧を、chat:writeは投稿を、users:read.emailはワークスペース全体のメールアドレスの閲覧を許します。たとえばCrayonのSlack Marketplace掲載情報は、チャンネルと会話、ワークスペースに関する内容と情報を閲覧できると宣言しています。1つのチャンネルしか必要ないツールは、1つのチャンネルにだけ入れておきます。

保持期間、学習への利用、再委託先

保持期間は3つに分けて聞きます。契約中の自社データ、LLM提供事業者側のプロンプトと出力、契約終了後に残るものです。多くのベンダーは3つ目だけを書き、前の2つを省きます。

Klueの利用規約（2025年10月17日版）は、契約終了時に個人データを破棄、削除または匿名化すると約束していますが、契約中の保持期間は記載していません。CrayonのSlack掲載情報は、契約期間中はデータを保持し、終了時または要請時に削除し、LLMのプロンプトと出力は不正利用の監視のため30日間保存するとしています。Kompyteについては、親会社Semrushのセキュリティページに保持に関する記述を見つけられませんでした。3つの期間をすべてデータ処理契約に書くよう、各ベンダーに求めてください。

「お客様のデータで学習しません」という文には例外が付いていることがあるので、最後まで読みます。Klueの利用規約は、顧客データを、顧客の利益のためだけに使う場合を除いてAI機能の学習、検証、改良に使わず、公開されたAIシステムや公開大規模言語モデルの学習には決して使わないとしています。Crayonの掲載情報は、Microsoft Azure OpenAIを使い、データはCrayon専用のテナントで処理され、モデルの学習には使われないとしています。Kompyteを含むSemrushのセキュリティページには、AIの学習に関する記述がありません。

次に、再委託先の一覧をURLで、変更時の通知期間とあわせて求めます。Klueの利用規約は公開された一覧を参照し、インシデントを72時間以内に通知すると約束しています。Semrushはデータ処理契約を結び、再委託先の一覧を顧客に提供するとしています。LLM提供事業者は、その一覧に名前と保持条件つきで載っているべきです。

「SOC 2準拠」が回答にならない理由

SOC 2は証明（アテステーション）で、監査人が一定期間の統制について報告するものです。確認すべきは、Type（Type Iはある時点、Type IIは期間）、対象期間、対象のトラストサービス規準、そして報告書を読めるかどうかです。

Klueのセキュリティページ（英語）は、SOC 2 Type II、AES-256による保存時の暗号化、年1回の第三者による侵入テスト、AWSでのホスティングを記載し、監査報告書を請求制で提供しています。報告書の対象期間は示されておらず、ISOへの言及はありません。Crayonの公開情報は2022年2月24日付のニュース記事（英語）だけで、SOC 2 Type II報告書を顧客と見込み客にNDA付きで提供するとしています。告知は2022年付なので、現在の対象期間を確認してください。KompyteはSemrushの傘下にあり、Semrushのセキュリティページ（英語）はPCI DSS、GDPR、データ処理契約を扱いますが、SOC 2もISO 27001も挙げていません。Kompyteに認証があると推定することはできません。表の「非公開」は、見つからなかったという意味で、非対応ではありません。

個人情報保護法: 外国にある第三者への提供

欧州や英国の管理者にとっての論点はおなじみです。ベンダーを処理者とするデータ処理契約、移転の法的根拠、インシデント通知の期限です。Klueの利用規約はKlueを処理者と位置づけ、再委託先との関係に2021年6月版の標準契約条項を用いるとしています。SemrushはGDPRへの準拠とデータ処理契約を記載しています。セキュリティページの要約ではなく、各ベンダーの条項そのものを確認してください。

日本では、レビューに1行を追加する必要があります。個人情報保護法には、外国にある第三者への個人データの提供に関する定めがあり、個人情報保護委員会（PPC）がガイドラインとQ&Aを公表しています。外国のクラウドサービスの利用についても扱っています。個々のベンダーに適用されるかどうかは、事実関係と契約によって決まるため、ベンダーのページだけで判断せず、自社の法務部門に確認してください。法的効力を持つのは日本語の原文だけで、本記事は法的助言ではありません。

国内の買い手にとっての実務的な質問は3つです。ベンダーは、取り込む文字起こしやCRMレコードに含まれる個人データを「取り扱う」のか、保存だけなのか。サーバはどの国にあるのか。ベンダーは越境移転のどの仕組みに依拠しているのか。この3つの答えは、法務部門に確認する際の材料になります。

レビュー担当の質問票

次の項目を文書でベンダーに送り、回答を契約書とともに保管します。デモでの口頭の回答は、保管できません。

• 連携先ごとの正確なOAuthスコープ一覧。読み取りか書き込みかの区別と、書き込む対象のオブジェクトと項目。
• 各連携が動くID。名前のある利用者か、専用の連携用ユーザーか、管理者が承認する全体アプリか。
• 契約中、LLM提供事業者側、契約終了後の保持期間。それぞれ日数で。
• 学習に関する文の全文。例外条項と、LLM提供事業者の名前とその保持条件を含めて。
• 再委託先の一覧のURLと、追加時の通知期間。
• SOC 2のType、対象期間、対象のトラストサービス規準、報告書とブリッジレターがNDA付きで届く時期。
• データ処理契約、越境移転の法的根拠、個人データのインシデント通知期限（時間単位）。
• 日本向け: サーバの所在国、ベンダーが個人データを取り扱うかどうか、依拠する個人情報保護法上の仕組み。
• 解約時の対応。エクスポート期間、削除日、書面での確認、破棄の基準。

SteveはSLAでどう答えているか

Steveの日本語版SLAページ（2026年10月7日閲覧）は、これらの質問の一部に答えています。TrissinoがAIモデルの学習を行わないと記載し、AI提供事業者を含む再委託先を挙げています。名前の付いた一覧と、それぞれに適用される保持条件を求めてください。また、2025年10月1日から12月31日を対象とするSOC 2 Type 2の証明を記載しています。報告書をどのように、いつ受け取れるかを確認してください。

スコープについては、SteveのSlack連携ページ（英語）が、Steveは追加されたチャンネルで共有されたメッセージだけを閲覧でき、既定では投稿した本人がインサイトを承認してからナレッジベースに入るとしています。Gong連携ページ（英語）は、Gongが提供する通話の文字起こしを取り込み、各文字起こしから競合への言及を抽出し、バトルカードが変わる前にレビューを挟むとしています。

サイトに書かれていないことがいくつかあるので、レビューで確認してください。Salesforce、HubSpot、GongのOAuthスコープの正確な文字列。各連携が動くID。SSO、SCIM、ISO 27001、データの保存地域。そして、SLA第11.5条（日本）に定められたもの以外の、日本の顧客に固有の条件です。