信頼

プライバシーとセキュリティ

プロンプトの行き先

保存される内容

• 入力した内容がサーバーに保存されることはありません。アカウントは任意で、保持するのは本人確認用の情報（メールアドレスのキー付きハッシュとセッショントークン）だけです。プロンプトや操作履歴を受け付けるエンドポイントはありません。
• Chrome 拡張機能と VS Code 拡張機能は、お使いのデバイス上に操作履歴を保持できます。有効にして通知に同意するまではオフです。記録するのはメタデータ（時刻、サイト、イベントの種類、機密データのカテゴリと件数、アクション、品質スコア）で、プロンプトのテキストは、別途プロンプト履歴をオンにした場合にのみ、検出した秘密情報を置き換えたうえで記録します。アップロードも同期もされず、一時停止、サイトの除外、エクスポート、削除ができます。ブラウザやエディタのストレージは PromptFlowEngine では暗号化していません。
• AI Insights の記事はデータベースに保存されます。記事を開くとその閲覧数に 1、共有ボタンを使うと共有数に 1 が加わります。保存されるのは件数だけで、IP アドレス、識別子、リファラーは一緒に保存されません。
• ワークスペースは、下書き、設定、保存したプロンプト、言語の選択を、このブラウザの localStorage に保存します。サイトデータを消去すると削除されます。
• 言語セレクターで言語を選ぶと、その選択が pf-lang Cookie（1 年間、このサイトのみ）に保存され、次回からその言語でページが開きます。保持するのは言語コードだけで、言語を選ばない限り設定されることはありません。
• Google アナリティクス（GA4）は promptflowengine.com のすべてのページで動作し、ページビューを記録します。Google シグナルと広告のパーソナライズはオフです。プレビュー版やローカルのビルドは何も送信しません。EEA、英国、スイスからの訪問者、および Global Privacy Control を送信するブラウザでは、GA4 は分析用 Cookie なしで動作します（同意モードで分析ストレージを拒否）。
• このサイトは利用イベントを GA4 に送信します：optimize_run、optimize_apply、template_load、prompt_save、prompt_copy、prompt_download、share_create、share_open、sanitize、library_open、library_share、insight_share、social_landing（当社のソーシャル投稿の UTM タグ付きリンクのネットワーク、キャンペーン、投稿 ID）、get_started_click、trial_signup_click、signup_started、signup_completed、demo_request、contact_sales、docs_view、vscode_extension_click、chrome_extension_click、demo_center_click、extension_listing_click（どのストアか、リンクがあったページ）。パラメーターは、設定（モデル、モード、目標）、テンプレート ID、スコア、件数、100-500 トークンのようなサイズ区分です。プロンプトのテキスト、検出結果、入力内容は一切送信されません。
• Cloudflare Web Analytics が有効な場合は、Cookie を使わずにページビューを記録します。プロンプトのテキストを見ることはありません。
• Chrome 拡張機能と VS Code 拡張機能のエラーレポートは既定ではオフです。オンにすると（Chrome: 設定 → 診断、VS Code: promptflow.diagnostics.errorReports。VS Code のテレメトリがオフの間は送信されません）、予期しない失敗が起きたときに、固定リストのエラー種別（process_internal など）、重大度、拡張機能のバージョンを設定済みのサーバーに送信します。エラーメッセージ、スタックトレース、プロンプト、ページやファイルの内容、あなた・アカウント・デバイスを識別できる情報は一切送信しません。件数として最長 90 日間保存され、PromptFlowEngine の管理者だけが閲覧できます。
• このサイト自身のコードがブラウザーで失敗すると、promptflowengine.com 自体に匿名のエラーレポートを送信します（第三者なし、Cookie なし）。送るのは固定リストのエラー種別（chunk_load_failed など）、重大度、閲覧していたサイトのセクション（docs など）だけです。エラーメッセージ、完全なアドレス、? や # 以降（共有リンクはここにプロンプトを保持します）、入力した内容は一切送信しません。他サイトのスクリプトやブラウザー拡張機能のエラーは無視します。ブラウザーが Global Privacy Control または Do Not Track を送信している場合は何も送信しません。

ログに記録される内容

API リクエストごとに、リクエスト ID、ルート、メソッド、ステータス、所要時間、入力サイズの区分（1k-10k など）、レート制限されたかどうかを記録します。プロンプトのテキストと結果は記録しません。

セキュリティモデル

• 厳格な Content Security Policy（ハッシュベースのスクリプト、frame-ancestors 'none'）、HSTS、nosniff。
• サードパーティのスクリプトは Google アナリティクスと、任意の Cloudflare アナリティクスのビーコンだけで、CSP はそれ以外を許可しません。フォントは自社ホストで、翻訳もサイトの一部です。プロンプトやページのテキストが翻訳サービスに送られることはありません。
• API はすべてのフィールドを検証し、入力サイズを制限し、IP ごとにレート制限をかけ、内部の詳細を含まない型付きのエラーを返します。
• 機密データの検出はカテゴリと位置を返し、一致した値は返しません。
• プロンプトインジェクションの検出はシグネチャベースです。リスクを報告するものであって証拠ではなく、未知の攻撃を見逃すことがあります。

脆弱性を見つけましたか？公表する前に、メンテナーへ非公開で報告してください。開発者ページを参照してください。

お問い合わせ

プライバシー、お客様のデータ、アカウント削除に関するご質問：support@promptflowengine.com。