# セキュリティとデータの取り扱い

Canonical source: https://maguyva.ai/ja/security

License: text under [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/); code samples under [MIT-0](https://opensource.org/license/mit-0); the Maguyva name, logos, brand assets and other code are not covered. Details: [maguyva.ai/license](https://maguyva.ai/license).

Maguyva は、コードインテリジェンスを提供するために顧客のリポジトリをインデックス化します。本ページでは、そのデータがどのように保存され、誰がアクセスでき、どのサブプロセッサーが処理し、セキュリティ上の問題をどう報告するかを説明します。

2026年7月17日発効。掲載するのは事実のみで、当社のプライバシーポリシー、security.txt、および公開されているデータ取り扱いに関する声明に基づいています。公開ウェブサイトの AI クロール許可は、顧客のリポジトリには適用されません。

- 顧客のコードでモデルを学習させない
- テナント単位のアクセス制御
- security@maguyva.ai

> これは利便性のために提供されるAI翻訳版です。拘束力を持つのは公式の英語版のみであり、サインアップ時に成立する契約は英語の本文に準拠します。 [公式の英語版を読む](https://maguyva.ai/security)

**tl;dr**: 当社は、検索とファイル取得を実現するために、顧客のソースコードとそこから派生したインデックスを保存します。データはテナント単位に分離されています。顧客を特定する情報を含まない AST 対応のコードチャンクは、埋め込み生成のために Voyage AI に送信されます。当社は顧客のコードで学習を行いません。脆弱性は security@maguyva.ai までご報告ください。

## 1. 運営者について

Maguyva は、シンガポールで登記された企業である UT INTERNATIONAL PTE. LTD. が運営するコードインテリジェンスサービスです。Maguyva はクラウドサービスであり、顧客は MCP エンドポイント経由で接続してリポジトリを認可します。ツールが顧客のリポジトリを変更することはありません。

## 2. 取り扱うデータ

Maguyva をご利用の際、当社は次の3種類のデータを取り扱います:

- アカウントデータ: 氏名、メールアドレス、および認可したリポジトリへのアクセスに使用する GitHub OAuth トークン
- コードデータ: ファイル内容の提供と検索の実現のために保存されるソースコード、抽象構文木、シンボルグラフ、およびコードから派生したセマンティック埋め込み
- 利用データ: 呼び出したツール、タイムスタンプ、および集計されたクエリのパターン

顧客のリポジトリデータは、公開ウェブサイトのクロールポリシーとは別物です。ウェブサイトの AI クロール許可は、非公開の顧客コードには適用されません。

## 3. 稼働環境

顧客のソースコードおよび派生したインデックスデータは、AWS の米国リージョンにある Supabase(PostgreSQL)上の Maguyva サービスインフラに保存されます。公開ウェブサイトとエッジ配信は Cloudflare(CDN、エッジコンピュート、DNS)上で稼働します。埋め込みの生成にあたっては、完全なファイルやリポジトリではなく、AST 対応のセマンティックなコードチャンクを Voyage AI(MongoDB の子会社)に送信します。これらの埋め込みリクエストには、リポジトリ名、ユーザー名、組織識別子、ファイルパスといった顧客を特定するメタデータは含まれません。

## 4. アクセスモデルと分離

プロダクトへのアクセスは、組織単位およびネームスペース単位のアクセス制御によって管理されます。ある顧客のインデックス化されたリポジトリデータが、他の顧客に公開されることはありません。API キーは、保存されたメタデータとリポジトリのアクセス制限に対して検証されます。Maguyva の運用担当者は、サービスの運用・保護・サポートに必要な範囲でのみリポジトリデータにアクセスできます。転送中のデータには HTTPS/TLS を使用します。インデックス化されたリポジトリデータは、保存時にストレージレベルの暗号化を施したマネージドインフラ上に保存されます。ソースおよび派生したインデックスデータは、検索、ファイル取得、サポート、セキュリティ運用に必要な範囲で、サービスから読み取り可能な状態が維持されます。

## 5. サブプロセッサー

当社は、Maguyva を運営するために以下のサービスを利用しています:

- Supabase(データベースホスティング、AWS 米国リージョン)
- Cloudflare(CDN、エッジコンピュート、DNS)
- Voyage AI(現在は MongoDB の一部)(埋め込み生成。完全なファイルやリポジトリではなく、顧客を特定する情報を含まない AST 対応のコードチャンクを受け取ります)
- Stripe(決済処理)
- GitHub(OAuth 認証およびリポジトリアクセス)
- Umami(Cookie を使用しないウェブサイト利用解析。集計指標のみで、個人を特定できる情報は含みません)

## 6. 保持と削除

有効なアカウント: データはアカウントが有効な間、保持されます。リポジトリの接続を解除する、またはアカウントを解約すると、稼働中のインデックス化されたソースコードおよび派生データは、30日以内にサービスシステムから削除され、残存するバックアップのコピーは90日以内に失効します。請求記録は、法令の要請により7年間保持されます。当社は顧客のコードで学習を行いません。当社は顧客のコードに対していかなる知的財産権も主張しません。

## 7. 脆弱性の報告

Maguyva にセキュリティ上の脆弱性を発見したと思われる場合は、security@maguyva.ai までご連絡ください。報告に推奨される言語は英語です。機械可読の連絡先および開示ポリシーは /.well-known/security.txt(RFC 9116)に掲載しています。

## 8. 関連ドキュメント

法的事項およびポリシーの詳細については、以下をご覧ください:

- プライバシーポリシー — 個人情報およびリポジトリデータの収集と利用について
- 利用規約 — サービス契約
- security.txt — 脆弱性報告の正式な連絡先(RFC 9116)

- [プライバシー](https://maguyva.ai/ja/privacy)
- [ステータス](https://maguyva.ai/ja/status)
- [方法論](https://maguyva.ai/ja/methodology)
- [利用規約](https://maguyva.ai/ja/terms)
- [security.txt](https://maguyva.ai/.well-known/security.txt)

セキュリティ上の問題の報告やデータ取り扱いに関するご質問は、次の宛先までお寄せください: [security@maguyva.ai](mailto:security@maguyva.ai)