セキュリティとデータの取り扱い

1. 運営者について

Maguyva は、シンガポールで登記された企業である UT INTERNATIONAL PTE. LTD. が運営するコードインテリジェンスサービスです。Maguyva はクラウドサービスであり、顧客は MCP エンドポイント経由で接続してリポジトリを認可します。ツールが顧客のリポジトリを変更することはありません。

2. 取り扱うデータ

Maguyva をご利用の際、当社は次の3種類のデータを取り扱います：

• アカウントデータ：氏名、メールアドレス、および認可したリポジトリへのアクセスに使用する GitHub OAuth トークン
• コードデータ：ファイル内容の提供と検索の実現のために保存されるソースコード、抽象構文木、シンボルグラフ、およびコードから派生したセマンティック埋め込み
• 利用データ：呼び出したツール、タイムスタンプ、および集計されたクエリのパターン

顧客のリポジトリデータは、公開ウェブサイトのクロールポリシーとは別物です。ウェブサイトの AI クロール許可は、非公開の顧客コードには適用されません。

3. 稼働環境

顧客のソースコードおよび派生したインデックスデータは、AWS の米国リージョンにある Supabase（PostgreSQL）上の Maguyva サービスインフラに保存されます。公開ウェブサイトとエッジ配信は Cloudflare（CDN、エッジコンピュート、DNS）上で稼働します。埋め込みの生成にあたっては、完全なファイルやリポジトリではなく、AST 対応のセマンティックなコードチャンクを Voyage AI（MongoDB の子会社）に送信します。これらの埋め込みリクエストには、リポジトリ名、ユーザー名、組織識別子、ファイルパスといった顧客を特定するメタデータは含まれません。

4. アクセスモデルと分離

プロダクトへのアクセスは、組織単位およびネームスペース単位のアクセス制御によって管理されます。ある顧客のインデックス化されたリポジトリデータが、他の顧客に公開されることはありません。API キーは、保存されたメタデータとリポジトリのアクセス制限に対して検証されます。Maguyva の運用担当者は、サービスの運用・保護・サポートに必要な範囲でのみリポジトリデータにアクセスできます。転送中のデータには HTTPS/TLS を使用します。インデックス化されたリポジトリデータは、保存時にストレージレベルの暗号化を施したマネージドインフラ上に保存されます。ソースおよび派生したインデックスデータは、検索、ファイル取得、サポート、セキュリティ運用に必要な範囲で、サービスから読み取り可能な状態が維持されます。

5. サブプロセッサー

当社は、Maguyva を運営するために以下のサービスを利用しています：

• Supabase（データベースホスティング、AWS 米国リージョン）
• Cloudflare（CDN、エッジコンピュート、DNS）
• Voyage AI（現在は MongoDB の一部）（埋め込み生成 — 完全なファイルやリポジトリではなく、顧客を特定する情報を含まない AST 対応のコードチャンクを受け取ります）
• Stripe（決済処理）
• GitHub（OAuth 認証およびリポジトリアクセス）
• Umami（Cookie を使用しないウェブサイト利用解析 — 集計指標のみで、個人を特定できる情報は含みません）

6. 保持と削除

有効なアカウント：データはアカウントが有効な間、保持されます。リポジトリの接続を解除する、またはアカウントを解約すると、稼働中のインデックス化されたソースコードおよび派生データは、30日以内にサービスシステムから削除され、残存するバックアップのコピーは90日以内に失効します。請求記録は、法令の要請により7年間保持されます。当社は顧客のコードで学習を行いません。当社は顧客のコードに対していかなる知的財産権も主張しません。

7. 脆弱性の報告

Maguyva にセキュリティ上の脆弱性を発見したと思われる場合は、security@maguyva.ai までご連絡ください。報告に推奨される言語は英語です。機械可読の連絡先および開示ポリシーは /.well-known/security.txt（RFC 9116）に掲載しています。

8. 関連ドキュメント

法的事項およびポリシーの詳細については、以下をご覧ください：

• プライバシーポリシー — 個人情報およびリポジトリデータの収集と利用について
• 利用規約 — サービス契約
• security.txt — 脆弱性報告の正式な連絡先（RFC 9116）