WAF Compass プライバシーポリシー
制定日：2026年10月18日
1. 事業者と連絡先
事業者：西川 彰（個人）。住所は info [at] i-wind.jp（[at] を @ に置き換えてください）へのご請求に応じ、遅滞なく回答します。個人情報に関するお問い合わせ、開示・訂正・利用停止・削除等の請求窓口も同メールアドレスです。
2. 取得する情報
- ログインに伴うメールアドレス、ユーザー ID、認証用トークン。
- 提出されたルールファイル、選択した攻撃カテゴリ、言語、評価日時、評価結果。ルール内に利用者が記載した情報も含まれます。
- サービスの利用状況、ジョブ ID、エラー、アクセス元 IP アドレスなど、配信基盤とアプリケーションの運用・セキュリティログ。
- Cloudflare Turnstile がボット判定のために収集するブラウザー・端末・ネットワーク情報と、その検証結果。
3. 利用目的
アカウント認証、評価の実行と結果提供、1日あたりの回数・費用の制限、不正利用の防止、障害対応、セキュリティ確保、お問い合わせ対応、およびサービスの維持改善のために利用します。入力したルールを広告配信には利用しません。
4. 外部サービスと送信先
Amazon Web Services（CloudFront、Lambda Web Functions、Cognito、S3、DynamoDB、ECS、Bedrock など）を利用します。提出ルールと選択カテゴリ、必要なテスト結果は Amazon Bedrock に送信され、自然言語の評価作成に使われます。AWS はモデル事業者にプロンプト・応答へのアクセスを認めないと説明しています。AWS 側の保存条件は、選択するモデルや機能によって異なります。Cloudflare Turnstile の表示と検証には Cloudflare が関与し、ブラウザー・端末・ネットワーク情報を処理します。Cloudflare にルールファイルを送信する設計ではありません。外部サービスにおける処理国・保存期間は各サービスの条件にも従います。詳細は AWS の Bedrock データ保護、Bedrock の保存条件、Cloudflare Turnstile のプライバシー情報をご確認ください。
5. 保存期間
| 情報 | 設定・目安 |
|---|
| 提出ルールを含むジョブファイル | S3 ライフサイクルで7日後に削除対象 |
| テスト結果・評価レポート | S3 ライフサイクルで30日後に削除対象 |
| 評価・利用枠の管理記録 | DynamoDB TTL で、種類に応じて約3日または対象日から32日後に削除対象 |
| アプリケーション・タスクのログ | CloudWatch Logs の設定は7日 |
| 認証アカウント | アカウントを削除するまで保持 |
ライフサイクルや TTL による削除は、期日直後の即時削除を保証しません。バックアップ、法令上の義務、調査中の記録、AWS・Cloudflare 側の処理には別の期間が適用されることがあります。アカウント削除は窓口へご連絡ください。
6. Cookie と安全管理
ログイン状態と OAuth の処理に必要な Cookie を使います。認証 Cookie の有効期間は最大1時間、OAuth 状態 Cookie は最大10分です。提出物とレポートは非公開の S3 バケットに保存し、通信を暗号化し、権限を限定します。ModSecurity の試験は隔離されたタスクで行います。完全な安全性を保証するものではありません。
7. 開示等の請求、第三者提供、変更
ご本人からの保有個人データの開示、訂正、利用停止、削除などの請求には、本人確認のうえ法令に従って対応します。サービスの提供に必要な委託・外部処理、法令に基づく場合などを除き、個人データを第三者へ提供する場合は適用法令に従います。処理場所が日本国外となる場合には、適用される越境移転の要件に従います。ポリシー変更時はこのページに変更内容と効力発生日を掲示します。
WAF Compass Privacy Policy
Effective date: October 18, 2026
1. Operator and contact
Operator: 西川 彰 (individual). We will provide the Operator's address without undue delay upon request to info [at] i-wind.jp (replace [at] with @). Use the same email address for privacy inquiries and requests to access, correct, restrict, or delete personal data.
2. Information collected
- Email address, user ID, and authentication tokens used for sign-in.
- Submitted rules, selected attack categories and language, evaluation times, and results, including any information you put into a rule file.
- Service activity, job IDs, errors, IP addresses, and other operational and security logs from the application and delivery infrastructure.
- Browser, device, and network signals processed by Cloudflare Turnstile for bot detection, and the verification result.
3. Purposes
We use this information to authenticate accounts, run evaluations and deliver reports, enforce daily and cost limits, prevent abuse, investigate errors, secure and maintain the Service, answer inquiries, and improve the Service. Submitted rules are not used for advertising.
4. Service providers and transfers
We use Amazon Web Services, including CloudFront, Lambda Web Functions, Cognito, S3, DynamoDB, ECS, and Bedrock. Submitted rules, selected categories, and relevant test results are sent to Amazon Bedrock to produce the natural-language assessment. AWS states that model providers cannot access prompts or responses. AWS-side retention depends on the selected model and features. Cloudflare processes browser, device, and network information to display and verify Turnstile; our design does not send rule files to Cloudflare. Processing locations and retention at these providers also follow their terms. See AWS Bedrock data protection, Bedrock retention, and Cloudflare Turnstile privacy information.
5. Retention
| Information | Configured period |
|---|
| Job files containing submitted rules | Targeted for deletion after 7 days by S3 lifecycle |
| Test receipts and evaluation reports | Targeted for deletion after 30 days by S3 lifecycle |
| Evaluation and quota records | Targeted for deletion by DynamoDB TTL after about 3 days or 32 days from the applicable day, depending on record type |
| Application and task logs | CloudWatch Logs configured for 7 days |
| Authentication account | Until the account is deleted |
Lifecycle and TTL deletion may occur after the target date rather than immediately. Backups, legal obligations, investigations, and AWS or Cloudflare processing may follow other periods. Contact us to request account deletion.
6. Cookies and security
We use cookies needed for sign-in and the OAuth flow. The authentication cookie lasts at most one hour; the OAuth state cookie lasts at most ten minutes. We store submissions and reports in private S3 buckets, encrypt communications, restrict access, and run ModSecurity tests in an isolated task. No security measure is perfect.
7. Your requests, disclosures, and changes
We handle verified requests to access, correct, restrict, or delete personal data under applicable law. Apart from necessary service-provider processing and cases permitted or required by law, disclosures to third parties follow applicable law. Cross-border processing follows applicable transfer requirements. Changes to this Policy will be posted here with their effective date.