# 競合インテリジェンスツールにCRM・商談録音を接続する前に: セキュリティと個人データのFAQ

SalesforceやHubSpot、Gong、Slackを競合インテリジェンスツールに接続する前に、情報セキュリティ担当が確認する9つの質問と、Klue、Crayon、Kompyte、Steveが公開している回答、個人情報保護法の越境移転の論点を整理します。

URL: https://www.hiresteve.ai/ja/blog/ci-platform-security-data-faq
最終更新: 2026-10-12

情報セキュリティ担当は、競合インテリジェンスツールについて、ほぼ同じ順番で9つのことを聞きます。OAuthの許可で何ができるか、誰のIDで動くか、何を複製してどれだけ保持するか、自社データがモデルの学習に使われるか、どのLLM提供事業者が見るか、再委託先は誰か、SOC 2報告書は何を対象にしているか、越境移転をどう手当てするか、日本の個人情報保護法にどう対応するか、解約時にどうなるか。製品サイトの説明文は、このほとんどに答えません。契約書が法務に届く前に9つの質問を文書で送り、「SOC 2準拠です」という回答は、報告書を請求する合図として扱ってください。

## OAuthの許可で、ツールは何ができるか

競合インテリジェンスツールは、OAuthアプリとしてCRMを読みます。できる範囲を決めるのはアプリが要求するスコープで、最初に読む文書は同意画面です。正確なスコープの一覧、そのうち書き込みスコープはどれか、誰もログインしていない間も動けるようリフレッシュトークンを受け取るか、どのオブジェクトとどの項目に書き込むかを確認します。スコープの文字列を公開しているベンダーはほとんどないため、レビューで聞いてください。

HubSpotのOAuth文書（2026年10月7日閲覧）は、次のように説明しています。各スコープはAPIエンドポイントの集合を開き、アプリのアクセストークンは、接続した利用者本人の権限や制限を反映しません。管理者が承認したアプリは、接続した利用者本人の権限では編集できないレコードにも書き込める可能性があります。また、アカウントに該当機能がない場合、任意のスコープは認可要求から自動的に外されるため、ベンダーが要求した一覧と自社が許可した一覧は一致しないことがあります。Salesforceの開発者向けページは本記事の調査で開けなかったため、同じ質問をベンダーに直接確認してください。

Gongは事情が異なります。Gongのアプリ開発文書は、利用者単位のOAuthに対応しておらず、認証はインスタンス全体で一度行われ、設定は技術管理者が行う必要があるとしています。接続を承認した人は、要求されたスコープが及ぶ範囲のすべての通話へのアクセスを許可することになります。同ページには`api:calls:read:basic`や`api:calls:create`といったスコープが載っていますが、すべてを列挙していません。ツールがどの通話スコープと文字起こしスコープを要求するか、記録を作成または変更できるスコープが含まれるかを確認してください。

Slackはすべてのスコープを公開しているため、最も読みやすい連携先です。`channels:history`は、アプリが追加されたパブリックチャンネルのメッセージの閲覧を、`chat:write`は投稿を、`users:read.email`はワークスペース全体のメールアドレスの閲覧を許します。たとえばCrayonのSlack Marketplace掲載情報は、チャンネルと会話、ワークスペースに関する内容と情報を閲覧できると宣言しています。1つのチャンネルしか必要ないツールは、1つのチャンネルにだけ入れておきます。

## 保持期間、学習への利用、再委託先

保持期間は3つに分けて聞きます。契約中の自社データ、LLM提供事業者側のプロンプトと出力、契約終了後に残るものです。多くのベンダーは3つ目だけを書き、前の2つを省きます。

Klueの利用規約（2025年10月17日版）は、契約終了時に個人データを破棄、削除または匿名化すると約束していますが、契約中の保持期間は記載していません。CrayonのSlack掲載情報は、契約期間中はデータを保持し、終了時または要請時に削除し、LLMのプロンプトと出力は不正利用の監視のため30日間保存するとしています。Kompyteについては、親会社Semrushのセキュリティページに保持に関する記述を見つけられませんでした。3つの期間をすべてデータ処理契約に書くよう、各ベンダーに求めてください。

「お客様のデータで学習しません」という文には例外が付いていることがあるので、最後まで読みます。Klueの利用規約は、顧客データを、顧客の利益のためだけに使う場合を除いてAI機能の学習、検証、改良に使わず、公開されたAIシステムや公開大規模言語モデルの学習には決して使わないとしています。Crayonの掲載情報は、Microsoft Azure OpenAIを使い、データはCrayon専用のテナントで処理され、モデルの学習には使われないとしています。Kompyteを含むSemrushのセキュリティページには、AIの学習に関する記述がありません。

次に、再委託先の一覧をURLで、変更時の通知期間とあわせて求めます。Klueの利用規約は公開された一覧を参照し、インシデントを72時間以内に通知すると約束しています。Semrushはデータ処理契約を結び、再委託先の一覧を顧客に提供するとしています。LLM提供事業者は、その一覧に名前と保持条件つきで載っているべきです。

## 「SOC 2準拠」が回答にならない理由

SOC 2は証明（アテステーション）で、監査人が一定期間の統制について報告するものです。確認すべきは、Type（Type Iはある時点、Type IIは期間）、対象期間、対象のトラストサービス規準、そして報告書を読めるかどうかです。

**レビュー担当が最初に確認する5項目について、4社の公開情報。各社のページは2026年10月7日に閲覧。**

- **対応**: ベンダー自身のページに記載あり
- **一部対応**: 一部のみ、またはプランにより制限
- **非対応**: ベンダーが提供していないと明記
- **非公開**: 情報が見つからない（非対応ではない）

| 機能 | Steve | Klue | Crayon | Kompyte |
| --- | --- | --- | --- | --- |
| **セキュリティレビュー** |  |  |  |  |
| SOC 2 Type II 報告書 | 対応: Type 2の証明を記載、2025年10月1日から12月31日 ([出典](https://hiresteve.ai/ja/legal/sla)) | 対応: Type IIを明記、報告書は請求制、期間の記載なし ([出典](https://klue.com/product/security)) | 対応: NDA付きで提供、公開告知は2022年2月付 ([出典](https://crayon.co/news/20220223/soc-2-type-2)) | 非公開: SemrushのページにSOCもISOも記載なし ([出典](https://semrush.com/company/security/)) |
| 顧客データでモデルを学習しない | 対応: SLAページに、モデルの学習を行わないと記載 ([出典](https://hiresteve.ai/ja/legal/sla)) | 対応: 規約: 公開LLMには不使用、顧客の利益のための例外あり ([出典](https://klue.com/terms)) | 対応: Slack掲載情報: Azure OpenAI、学習に不使用 ([出典](https://app.slack.com/marketplace/A0125AXHXDL-crayon)) | 非公開 |
| 再委託先の一覧を公開 | 対応: SLAページに一覧あり ([出典](https://hiresteve.ai/ja/legal/sla)) | 対応: 利用規約から一覧にリンク ([出典](https://klue.com/terms)) | 非公開 | 一部対応: Semrush: 顧客に一覧を提供 ([出典](https://semrush.com/company/security/)) |
| データの保存場所を明記 | 一部対応: SLAページを参照し、レビューで確認 ([出典](https://hiresteve.ai/ja/legal/sla)) | 対応: AWS、リージョンの記載なし ([出典](https://klue.com/product/security)) | 対応: 米国（Slack掲載情報） ([出典](https://app.slack.com/marketplace/A0125AXHXDL-crayon)) | 非公開 |
| 契約終了時の削除 | 一部対応: SLAページを参照し、書面で確認 ([出典](https://hiresteve.ai/ja/legal/sla)) | 対応: 規約: 破棄、削除または匿名化 ([出典](https://klue.com/terms)) | 対応: Slack掲載情報: 終了時または要請時に削除 ([出典](https://app.slack.com/marketplace/A0125AXHXDL-crayon)) | 非公開 |

確認日 2026-10-07. 出典:

- [hiresteve.ai/ja/legal/sla](https://hiresteve.ai/ja/legal/sla)
- [klue.com/product/security（英語）](https://klue.com/product/security)
- [klue.com/terms（英語）](https://klue.com/terms)
- [crayon.co SOC 2告知（英語）](https://crayon.co/news/20220223/soc-2-type-2)
- [Crayon Slack Marketplace（英語）](https://app.slack.com/marketplace/A0125AXHXDL-crayon)
- [semrush.com/company/security（英語）](https://semrush.com/company/security/)

Klueのセキュリティページ（英語）は、SOC 2 Type II、AES-256による保存時の暗号化、年1回の第三者による侵入テスト、AWSでのホスティングを記載し、監査報告書を請求制で提供しています。報告書の対象期間は示されておらず、ISOへの言及はありません。Crayonの公開情報は2022年2月24日付のニュース記事（英語）だけで、SOC 2 Type II報告書を顧客と見込み客にNDA付きで提供するとしています。告知は2022年付なので、現在の対象期間を確認してください。KompyteはSemrushの傘下にあり、Semrushのセキュリティページ（英語）はPCI DSS、GDPR、データ処理契約を扱いますが、SOC 2もISO 27001も挙げていません。Kompyteに認証があると推定することはできません。表の「非公開」は、見つからなかったという意味で、非対応ではありません。

**報告書はNDA付きなので、先に手当てする**

SOC 2報告書は、NDA付きで提供されることが多いものです。各ベンダーに報告書の提供方法を確認し、対象期間の終了から数か月経っていればブリッジレターもあわせて、レビューの最初の週に請求してください。NDAの締結が契約の遅れの原因にならないようにします。

## 個人情報保護法: 外国にある第三者への提供

欧州や英国の管理者にとっての論点はおなじみです。ベンダーを処理者とするデータ処理契約、移転の法的根拠、インシデント通知の期限です。Klueの利用規約はKlueを処理者と位置づけ、再委託先との関係に2021年6月版の標準契約条項を用いるとしています。SemrushはGDPRへの準拠とデータ処理契約を記載しています。セキュリティページの要約ではなく、各ベンダーの条項そのものを確認してください。

日本では、レビューに1行を追加する必要があります。個人情報保護法には、外国にある第三者への個人データの提供に関する定めがあり、個人情報保護委員会（PPC）がガイドラインとQ&Aを公表しています。外国のクラウドサービスの利用についても扱っています。個々のベンダーに適用されるかどうかは、事実関係と契約によって決まるため、ベンダーのページだけで判断せず、自社の法務部門に確認してください。法的効力を持つのは日本語の原文だけで、本記事は法的助言ではありません。

国内の買い手にとっての実務的な質問は3つです。ベンダーは、取り込む文字起こしやCRMレコードに含まれる個人データを「取り扱う」のか、保存だけなのか。サーバはどの国にあるのか。ベンダーは越境移転のどの仕組みに依拠しているのか。この3つの答えは、法務部門に確認する際の材料になります。

## レビュー担当の質問票

次の項目を文書でベンダーに送り、回答を契約書とともに保管します。デモでの口頭の回答は、保管できません。

- 連携先ごとの正確なOAuthスコープ一覧。読み取りか書き込みかの区別と、書き込む対象のオブジェクトと項目。
- 各連携が動くID。名前のある利用者か、専用の連携用ユーザーか、管理者が承認する全体アプリか。
- 契約中、LLM提供事業者側、契約終了後の保持期間。それぞれ日数で。
- 学習に関する文の全文。例外条項と、LLM提供事業者の名前とその保持条件を含めて。
- 再委託先の一覧のURLと、追加時の通知期間。
- SOC 2のType、対象期間、対象のトラストサービス規準、報告書とブリッジレターがNDA付きで届く時期。
- データ処理契約、越境移転の法的根拠、個人データのインシデント通知期限（時間単位）。
- 日本向け: サーバの所在国、ベンダーが個人データを取り扱うかどうか、依拠する個人情報保護法上の仕組み。
- 解約時の対応。エクスポート期間、削除日、書面での確認、破棄の基準。

## SteveはSLAでどう答えているか

Steveの[日本語版SLA](/ja/legal/sla)ページ（2026年10月7日閲覧）は、これらの質問の一部に答えています。TrissinoがAIモデルの学習を行わないと記載し、AI提供事業者を含む再委託先を挙げています。名前の付いた一覧と、それぞれに適用される保持条件を求めてください。また、2025年10月1日から12月31日を対象とするSOC 2 Type 2の証明を記載しています。報告書をどのように、いつ受け取れるかを確認してください。

スコープについては、Steveの[Slack連携ページ](/integrations/slack)（英語）が、Steveは追加されたチャンネルで共有されたメッセージだけを閲覧でき、既定では投稿した本人がインサイトを承認してからナレッジベースに入るとしています。[Gong連携ページ](/integrations/gong)（英語）は、Gongが提供する通話の文字起こしを取り込み、各文字起こしから競合への言及を抽出し、バトルカードが変わる前にレビューを挟むとしています。

サイトに書かれていないことがいくつかあるので、レビューで確認してください。Salesforce、HubSpot、GongのOAuthスコープの正確な文字列。各連携が動くID。SSO、SCIM、ISO 27001、データの保存地域。そして、SLA第11.5条（日本）に定められたもの以外の、日本の顧客に固有の条件です。

## よくある質問

### 競合インテリジェンスツールは、自社のデータでAIモデルを学習しますか？

ベンダーごとに違うので、必ず確認します。Klueの利用規約は、顧客の利益のためだけという例外を除いて学習を禁じています。CrayonのSlack掲載情報は、Azure OpenAIで学習に使わないとしています。SteveのSLAページは、TrissinoがAIモデルの学習を行わないと記載しています。Kompyteについては、2026年10月7日時点で公開された記述を見つけられませんでした。

### SalesforceやHubSpotの中で、ツールは何ができますか？

OAuthのスコープが許す範囲で、接続した人の権限とは別です。HubSpotの開発者向け文書は、アプリのアクセストークンは利用者本人の権限を反映しないと説明しています。正確なスコープ一覧、書き込みスコープの有無、書き込む項目をベンダーに確認してください。

### 「SOC 2準拠」という説明で十分ですか？

十分ではありません。SOC 2は監査人による証明（アテステーション）なので、Type、対象期間、報告書の閲覧方法を確認します。KlueはType IIを明記し報告書を請求制で提供、Crayonの報告書はNDA付きで公開告知は2022年2月付、SteveのSLAページは、2025年10月1日から12月31日を対象とするType 2の証明を記載しています。

### データはどこに保存され、個人情報保護法上の問題になりますか？

KlueはAWS、Crayonは米国と記載し、Kompyteは記載がありません。Steveについては、SLAページを確認し、レビューで質問してください。個人情報保護法には、外国にある第三者への個人データの提供に関する定めがあります。適用の有無は事実関係と契約によるため、保存場所と、ベンダーが個人データを取り扱うかどうかを確認したうえで、自社の法務部門に確認してください。

### 解約したら、データはどうなりますか？

削除の約束を文書で取ります。Klueの利用規約は、契約終了時に個人データを破棄、削除または匿名化するとしています。Crayonの掲載情報は、終了時または要請時に削除するとしています。Steveについては、SLAページの契約終了時の条件を確認し、書面で取ってください。