発効日／最終更新日: 2026年9月20日（バージョン3.0）。本ポリシーは、当社がすでに構築した保護措置と、現在積極的に整備を進めている保護措置の両方を説明するものです。ある管理策がまだ整備途中である場合には、それが完了しているかのように主張するのではなく、その旨を明確に記載します。当社がどのようなデータを収集し、誰と共有し、それに対してお客様がどのような権利を有するかの全体像については、当社のプライバシーポリシーをご覧ください。
これは英語原本の機械翻訳版であり、利便性のために提供されているものであり、まだ認証されていません。本翻訳と英語版との間に矛盾や不一致がある場合は、英語版が優先されるものとします。
1. K-12 学生安全コア™
オープンエンドな問い合わせを処理する一般的な生成AIツールとは異なり、Khypri AI はすべてのやり取りを、独自開発の7層セーフティコア™システムを通して処理します。これは、コンテンツの幻覚(ハルシネーション)、カリキュラムからの逸脱、および学生が非学術的な話題にさらされることを防止し、世界中のK-12学生に安全で年齢相応の学習環境を提供するために設計されています。以下の説明は、現時点の当社のアーキテクチャを反映したものであり、これは継続的に進化しています。自動化された安全システムが、あらゆる安全でない出力を完全に防止することを保証するものではありません。
- 第1層 — 入力フィルタリング: 入力されたプロンプトはAIモデルに到達する前にスクリーニングされ、非学術的、安全でない、または操作的なコンテンツの要求を検出します。
- 第2層 — カリキュラム境界チェック: 要求は該当するカリキュラム範囲(CBSE、ICSE、IB、Cambridge、および対応する州教育委員会)と照合され、プラットフォームが学術的な主題の範囲内にとどまるようにします。
- 第3層 — コンテンツモデレーション: 自動分類システムが、暴力的、性的、憎悪的、またはその他の有害なコンテンツを、生成または返却される前に検出します。
- 第4層 — 年齢適合性フィルター: 学生が申告した学年に基づき、出力の複雑さとトーンが調整されます。
- 第5層 — 正確性・幻覚チェック: 生成された学術コンテンツは、カリキュラムに沿った参照資料と照合され、事実誤りを減らしますが、これによって誤りを完全に排除できるわけではありません(当社の利用規約のリスク引受条項をご参照ください)。
- 第6層 — 人による確認(ヒューマン・イン・ザ・ループ): 出力のサンプルおよび前段の層で検出された内容は、人間のモデレーターによってレビューされ、抜け漏れを特定し、自動フィルターの再学習に役立てられます。
- 第7層 — 最終出力スキャン: コンテンツが学生に返却される直前に、最終的な自動チェックが実行され、前段の層で見逃された可能性のある問題を検出します。
2. Olli AI チューター及びファイルアップロード
当社のオープンエンドAIチューターである Olli、およびノート・ワークシートのアップロード機能は、いずれも上記と同じ7層セーフティコアの対象となるほか、オープンエンドな入力およびファイルコンテンツに固有の以下の追加保護措置の対象となります。
- アップロード安全性チェック: 学生がアップロードするファイルは、学生がそれを使用したり、そこから何かを生成したりする前に、安全性チェックを受けます。このチェックに不合格となったファイルは、学生に提供されません。
- 個人識別情報(PII)の削除: 当社のデフォルト設計では、そもそも個人データを第三者のAIモデルへ送信しないようにしています。チャットプロンプトやアップロードされたファイルに個人情報が誤って含まれてしまった場合に備えた追加の保護措置として、コンテンツを処理のために第三者モデルへ渡す前に、PII削除を適用して個人情報を除去します。
- トピック及びコンテンツのガードレール: 生成される演習問題に適用されるのと同じカリキュラム境界、コンテンツモデレーション、および出力スキャンの各層が、Olliのオープンエンドチャットおよびアップロードファイルから派生するあらゆるコンテンツにも適用されます。
- ログ記録: チャットプロンプト、アップロード、およびOlliの応答は内部的に記録され、安全性に関する懸念が提起された場合に特定のやり取りを確認できるようにしています。
- 保護者によるファイル保管庫の管理: 保護者/後見人は、いつでも子どものファイルアップロード/ライブラリ機能へのアクセスを許可または取り消すことができます。
3. コンテンツの報告及びエスカレーション
保護者、教師、または学生が、安全でない、不正確な、または不適切と思われるコンテンツに遭遇した場合、プラットフォーム内から、または support@khypri.com へ該当コンテンツを添えてメールすることで報告できます。当社は、安全性に関する報告を24時間以内に確認し、正当と判断される場合には、当該コンテンツを5営業日以内にレビューして削除または修正するよう努めます。子どもに対する信頼性の高い安全上のリスクを伴う報告については、優先的に即時レビューを行います。
4. 児童に対する犯罪の通報義務(インド POCSO法)
本条項は、上記第3条に定める一般的なコンテンツモデレーションとは別のものです。これは、インド法が個人に課す固有の、非任意的な義務が存在するためです。すなわち、2012年児童に対する性犯罪からの保護(POCSO)法第19条に基づき、Khypri AIのために、またはKhypri AIとともに働く者を含む何人も、児童に対する性犯罪がなされた、なされつつある、またはなされようとしていることを知り、あるいは合理的な疑い(アプリヘンション)を有した場合には、これを通報しなければなりません。POCSO法第21条のもとでは、これを怠ること自体が犯罪であり、通報されなかった元の犯罪とは独立して処罰の対象となります。この義務は、合理的な疑いが生じた時点で直ちに発生するものであり、事前の証拠、確証、または内部調査を要件とするものではありません。
4.1 誰が通報しなければならないか
学生とのやり取り、アップロードされたファイル、チャットログ、または通信に何らかの形でアクセスできるすべてのKhypri AIの従業員、業務委託先、コンテンツモデレーター、提携教師、およびサポートスタッフは、それぞれ個別にこの義務を負います。この義務は「他の誰かが通報するだろう」と考えることで免れることはできず、また第3条に基づく通常のモデレーションレビューのためにコンテンツにフラグを立てるだけでは足りません。児童に対する性犯罪の疑いは、通常のコンテンツ報告の経路ではなく、以下の経路を通して処理されなければなりません。
4.2 誰に通報するか
POCSO法第19条が求めるとおり、通報は特別少年警察ユニット(SJPU)または現地警察に対して行わなければなりません。それと並行して(代わりにではなく)、通報を行う者は直ちにKhypri AIの内部エスカレーション窓口に通知しなければなりません。
- 内部エスカレーション: 当社のデータ保護責任者であり、児童安全担当窓口であるガウラブ・チョドネカル(Debasmita Maharana)。連絡先は dpo@khypri.com、緊急の場合はCall +91 88679 64542 でも連絡可能です。この窓口は、業務時間内に限らず、いつでもスタッフが直ちにエスカレーションできるよう用意されています。
- 外部・法定通報: 最寄りの特別少年警察ユニットもしくは警察署、及び/又はチャイルドライン・インディア(1098)(無料・24時間対応の全国児童相談ヘルプライン)。同ヘルプラインは、通報者に対して手続きの案内も行います。
Khypri AIの内部窓口への通報は、法律上求められるSJPU/警察への法定通報の代わりにはなりません。両方が行われなければなりません。当社の内部窓口は、Khypri AIがプラットフォーム上での対応(4.4参照)を同時に講じ、通報者を支援できるようにするために設けられているのであり、外部への通報内容を制限したり選別したりするためのものではありません。
4.3 証拠の保全
犯罪の合理的な疑いが生じた時点から、関連資料にアクセス可能な者は、法執行機関のためにこれを改変せず保全しなければなりません。
- 疑いのある犯罪に関連するチャットログ、アップロードされたファイル、タイムスタンプ、アカウント/セッションのメタデータ、その他の記録を、それが通常のデータ保持慣行の一環として日常的な作業であるように思われる場合であっても、削除・編集・「整理」してはなりません。
- 子どものプライバシーと証拠の完全性を守るため、保全された資料へのアクセスを、報告を直接取り扱う者のみに制限してください。
- 法執行機関がもはや不要であると確認するまで、関連する特定の記録について、通常の保持/削除のスケジュール(当社のプライバシーポリシー第6条参照)を停止してください。
- 疑いが最初に提起された時点からの明確な内部の管理連鎖(チェーン・オブ・カストディ)が残るよう、何を、いつ保全したかを記録してください。
4.4 当社プラットフォーム上での対応
法定通報とは別に、信頼性のある疑いが存在する場合、Khypri AIは直ちに関係するアカウントのさらなる活動を制限し、SJPU/警察に全面的に協力します。これには、4.3で保全された証拠に対する適法な要求への迅速な対応が含まれます。
4.5 誠実な通報は保護される
本条項に基づき誠実に疑いを通報したKhypri AIの従業員、業務委託先、又はパートナーは、たとえその疑いが後に誤りであったと判明したとしても、報復、処罰、又は不利益な取り扱いを受けることはありません。当社が警戒しているのは通報過多ではなく、通報不足のリスクです。
5. 安全インシデント対応プロセス
真正な安全インシデントが確認された場合(例えば、セーフティコアにもかかわらず学生が有害なコンテンツにさらされた場合)、当社は以下のプロセスに従います。
- ステップ1 — 封じ込め: インシデントを許してしまった具体的な欠陥を特定し、できる限り迅速に遮断します。
- ステップ2 — 通知: 影響を受けた保護者/後見人、及び該当する場合には提携教育機関に通知します。
- ステップ3 — 根本原因の見直し: 関連するセーフティコアの層をレビューし、欠陥を解消するために更新します。
- ステップ4 — 記録管理: 確認されたインシデントは、当社の安全性に関する実績を経時的に把握できるよう、内部的に記録されます。
6. 保護者による管理
保護者/後見人は、dpo@khypri.com に連絡することで、いつでも子どもの活動概要を閲覧し、子どものデータのコピーを請求し、当社のプライバシーポリシー第8条（データ主体からの請求手続き）に記載された権利に沿って訂正又は消去を請求することができます。詳細な活動ログを備えた専用のセルフサービス型保護者ダッシュボードの提供が計画されていますが、まだプラットフォーム全体では利用できません。利用できない場合、請求は当社チームが手動で対応します。
7. DPDP法2023への整合(インド)
Khypri AIは、児童の個人データに関して、インドのデジタル個人データ保護(DPDP)法2023に沿うよう構築が進められています。現在の、及び整備中の運用上の境界には、以下が含まれます。
- 検証可能な保護者の同意(VPC): Khypri AIに登録できるのは保護者又は後見人のみであり、学生自身が直接アカウントを作成することはできません。登録時には、保護者の生年月日及び成人であることの自己申告が取得され、続いて保護者のメールアドレス及び携帯電話番号の確認が行われます。保護者自身のプロフィールが完成した後にのみ、子どもをアカウントに追加することができます。すでに確認済みの保護者アカウントなしに、学生プロフィールが存在することはありません。当社は、子どものデータを処理する前に、保護者から明示的な同意を求めます。その同意が得られない場合、子どものデータの処理は一切行われません。
- 公平な学習支援であり、行動プロファイリングではないこと: Khypri AIは、学校がすでに行っている生徒評価の延長として機能するよう設計されています。すなわち、生徒が概念を理解し、改善できるよう、試験成績に関する透明で公平な分析を提供します。当社は、生徒の直近の学習ワークスペースの外にあるウェブ閲覧、位置情報テレメトリー、又は行動パターンを追跡することはなく、このデータが広告又はマーケティングに使用されることは一切ありません。適法性の根拠についての詳しい説明は、当社のプライバシーポリシーをご覧ください。
- 訂正及び消去の権利: 保護者は、いつでも子どもの情報を閲覧、変更、又は消去請求することができます。確認済みの消去請求は、本番システムからの完全な削除をもって30日以内に処理されます。
- データの保持: 学生及び保護者のデータは、在籍中の期間に加えて30日間のみ保持され、その後は法律上より長い保持が義務付けられている場合を除き削除されます。
- 苦情処理責任者: DPDP法に基づくデータ保護に関する問い合わせ又は苦情は、当社のデータ保護責任者であるガウラブ・チョドネカル(Debasmita Maharana)宛て、dpo@khypri.com へお寄せください。
8. GDPRへの整合(欧州連合)
EU/EEA域内の学校及び利用者のために、Khypri AIは、データの取り扱いを一般データ保護規則(GDPR)に整合させるよう取り組んでいます。
- 処理の適法性の根拠: 学生データは、(保護者/後見人又は教育機関を通じた)同意に基づき、また該当する場合には、データ管理者としての学校の正当な利益に基づいて処理されます。
- データの保管場所: 欧州の教育機関に関するデータは、EU域内のクラウドインフラでホスティングされます。
- 国境を越えた移転に関する保護措置: EUデータをEEA域外へ移転する際にこれを規律する標準契約条項(SCC)は、現在整備が進められている段階であり、まだ完全には実行されていません。
- データ主体の権利: 利用者及び保護者は、当社のデータ保護責任者であるガウラブ・チョドネカル(Debasmita Maharana)宛て、dpo@khypri.com へ連絡することで、個人データへのアクセス、訂正、制限、又は消去を請求できます。
- 侵害通知: データ侵害が発生した場合、当社は発見から72時間以内に、影響を受けた利用者及び関連する監督機関に通知することをお約束します。
- エンドツーエンドの暗号化: データは通信時にTLS 1.3で、保存時にAES-256で暗号化されます。
9. COPPAへの整合(米国)
米国内の利用者のために、Khypri AIは、13歳未満の児童に適用される児童オンラインプライバシー保護法(COPPA)への整合に取り組んでいます。
- 最小限のデータ収集: 当社は、13歳未満の児童から、音声録音、映像メディア、又は正確な位置情報データを一切収集しません。
- 検証可能な保護者の同意: 登録及び子どもをアカウントに追加する前の本人確認ができるのは保護者又は後見人のみであるため、13歳未満の児童が自ら同意を提供したり、独立したアカウントを作成したりすることは決してできません。
- 保護者によるアクセス及び削除の権利: 保護者は、当社のデータ保護責任者であるガウラブ・チョドネカル(Debasmita Maharana)宛て、dpo@khypri.com へ連絡することで、いつでも子どもから収集されたデータを確認し、その削除を請求することができます。
- 過剰なデータ提供を条件としないこと: Khypri AIへの参加が、合理的に必要な範囲を超える個人情報を児童が開示することを条件とすることは決してありません。
10. クッキー及び第三者処理業者
当社は、ログインセッション及びセキュリティのために厳密に必要なクッキーのみを使用しており、第三者によるマーケティング又は広告用クッキーは使用しません。データは、BigRock(ホスティング及びメール)、OpenAI及びGoogle(AIコンテンツ生成及び評価)、Razorpay(決済)、並びにGoogleアナリティクス(当社の一般公開マーケティングウェブサイトに限定した、オプトイン方式による集計利用状況分析のみ)によってのみ処理されます。事業拡大に伴い、追加又は代替のホスティングインフラとしてAWS又はGoogle Cloudを導入する可能性があります。当社はそもそも児童の本名を収集することはなく、プラットフォーム内で児童を識別するために使用されるのは、保護者が選択した表示名のみです。これはAI処理業者に送信されるあらゆるコンテンツにおいても同様です。現時点では、当社のいずれのベンダーとも署名済みのデータ処理契約(DPA)は締結されておらず、当社は各社の標準規約に基づいてサービスを利用しています。詳細については、当社のプライバシーポリシーをご覧ください。
11. お問い合わせ及び苦情処理
DPDP法、GDPR、又はCOPPAに基づくご質問、訂正、削除、又は苦情のご請求については、当社のデータ保護責任者であるガウラブ・チョドネカル(Debasmita Maharana)宛て、dpo@khypri.com までご連絡ください。当社は、すべてのご請求を速やかに確認し、確認済みの消去請求については30日以内に解決するよう努めます。