policyforge

PolicyForge MCP サーバー

Model Context Protocol を介して、AI コーディングツール（Claude Code、Cursor、Windsurf、Claude Desktop）から直接、プライバシーポリシー、利用規約、Cookie ポリシー、 返金ポリシー、EULA、免責事項、HIPAA 業務提携契約などの法的ポリシーを 生成できます。

エージェントに 「このアプリ向けに GDPR と CCPA に準拠したプライバシーポリシーを生成して」 と頼むと、 コードベースから詳細を補い、PolicyForge を呼び出して、ポリシーを プロジェクトに直接追加します。

無料でお試しいただけます： コンプライアンス監査（audit_compliance）、ポリシーの 変更確認（check_policy_freshness）、スキャン基準（get_disclosure_checklist）は 無制限で、利用枠を消費することはありません。まずは 「コンプライアンスを監査して。このコードが実際に行っていることをプライバシーポリシーですべてカバーしている？」 と尋ねてみてください。また、アカウントが MCP 経由で初めて接続すると、 無料の月 2 回分に加えてポリシー生成 3 回分のボーナスが付与されます。 新しいプロジェクトのプライバシーポリシー、利用規約、Cookie ポリシーを、1 回の会話で生成するのに十分です。

接続

お使いのクライアントに合った行を選んでください。迷った場合は、A から始めてください。

	サインイン方法	最適な用途
A. リモート + OAuth	ブラウザーでサインイン。コピーするキーは不要	OAuth に対応したクライアント（Claude、ChatGPT）
B. リモート + API キー	Authorization ヘッダー	ヘッダーを送信できるすべてのクライアント
C. ローカル（npx）	POLICYFORGE_API_KEY 環境変数	サーバーをローカルプロセスとして実行する場合

3 つとも同じツールを利用できます。A と B ではインストールは不要です。

A. OAuth を使ったリモート接続（最も簡単）

コピーするキーも、編集する設定ファイルも不要です。まず PolicyForge アカウントが必要です。 https://policyforge.co で無料で作成できます。カード登録も不要です。

1. サーバーを追加します。 -s user を指定すると、実行したディレクトリだけでなく、 すべてのプロジェクトで利用できるようになります。

claude mcp add -s user --transport http policyforge https://policyforge.co/api/mcp

--header がないことに注意してください。これを省略すると、クライアントは OAuth を使用します。

2. クライアントを再起動します。 MCP の設定は起動時に読み込まれるため、 すでに実行中のセッションには新しいサーバーが表示されません。

3. 認証します。 /mcp を実行し、policyforge を選択して Enter キーを押します。

policyforge · △ needs authentication

ブラウザーが開くので、サインインして承認してください。クライアントがトークンを 保存します。/mcp に戻り、✔ connected · 16 tools と表示されます。

別の側から確認するには、https://policyforge.co/api-dashboard に MCP · <your client> という名前のキーが表示されていることを確認してください。 これが付与されたアクセス権です。削除するとアクセス権が取り消されます。

手順 3 はクライアントによって異なります。明示的な認証操作を提示せず、 初めてツールを使う際にプロンプトを表示するクライアントもあります。

B. API キーを使ったリモート接続

まだ OAuth に対応していないクライアント向けです。 https://policyforge.co/api-dashboard でキーを作成してから、次のようにします。

claude mcp add --transport http policyforge https://policyforge.co/api/mcp \
  --header "Authorization: Bearer pf_your_key_here"

Cursor、Windsurf など、URL ベースの MCP 設定を使うクライアントの場合：

{
  "mcpServers": {
    "policyforge": {
      "url": "https://policyforge.co/api/mcp",
      "headers": { "Authorization": "Bearer pf_your_key_here" }
    }
  }
}

C. ローカル（npx）

ローカルプロセスを使いたい場合は、サーバーを npx 経由で実行できます。 グローバルへのインストールは不要です。環境変数から API キーを使います。 これは MCP 仕様で stdio トランスポートに推奨されている方法です。

Claude Code

claude mcp add policyforge \
  --env POLICYFORGE_API_KEY=your_key_here \
  -- npx -y @policyforge/mcp@latest

Cursor / Claude Desktop / Windsurf

MCP 設定に追加してください（.cursor/mcp.json、claude_desktop_config.json など）。

{
  "mcpServers": {
    "policyforge": {
      "command": "npx",
      "args": ["-y", "@policyforge/mcp@latest"],
      "env": {
        "POLICYFORGE_API_KEY": "your_key_here"
      }
    }
  }
}

Windows では、クライアントによってはコマンドを次のようにラップする必要があります。"command": "cmd" を設定し、 "args": ["/c", "npx", "-y", "@policyforge/mcp@latest"] を指定してください。

ワンクリックインストール（Cursor/VS Code）やクライアントごとの手順については、 https://policyforge.co/mcp をご覧ください。サインイン済みの場合は、API キーがあらかじめ入力されています。

トラブルシューティング

• 401 — OAuth で接続した場合は、認可が取り消されたか期限切れです。再接続して、もう一度承認してください。API キーを使用した場合は、削除、無効化、または入力ミスの可能性があります（キーは pf_ で始まります）。https://policyforge.co/api-dashboard でキーをローテーションするか新しく作成し、クライアントを再起動してください。
• 402 — 生成クォータを使い切りました。無料プランでは、暦月あたり 2 回の生成に加え、MCP への初回接続時に一度だけ 3 回分の追加生成が付与されます。クォータを消費するのは generate_policy／regenerate_policy のみです。監査とドリフトチェックは無料です。残りの回数を確認するには、エージェントに get_usage を実行するよう依頼してください。
• 429 — リクエストのレート制限です（無料プランでは 1 分あたり 10 回、1 日あたり 100 回）。レスポンスには retry_after が含まれます。
• /mcp にサーバーが表示されない — セッションがサーバー追加前に開始された（クライアントを再起動してください。設定は起動時に読み込まれます）か、別のプロジェクトスコープに追加されています。claude mcp add -s user … を実行すると、すべての場所で利用できるようになります。
• ツールが見つからない — 設定を変更した後はクライアントを再起動してください。Windows では上記の cmd ラッパーを使用してください。
• 「The redirect URI is not registered for this application」 — クライアントが、こちらで確認したことのないコールバック URL を使用しています。ループバックコールバックは任意のポートで動作するため（RFC 8252 に準拠）、この問題はまれなはずです。正確な URI を報告していただければ、対応できます。

詳しくは、https://policyforge.co/mcp#troubleshooting をご覧ください。

ツール

ツール	機能
generate_policy	ポリシーを生成し、Markdown コンテンツとホストされた URL を返します。クォータを 1 回分消費します。
generate_baa	対象事業体と PHI を取り扱うベンダーとの間の HIPAA 業務提携契約を生成します。45 CFR 164.504(e) で求められる条項に基づいて作成され、条項ごとに検証されます。Pro プラン限定です。一般公開されることはありません。クォータを 1 回分消費します。
regenerate_policy	事業コンテキストを変更して AI エンジンを再実行します。同じ ID とホストされた URL が維持され、以前のコンテンツはバージョンとして保存されます。
check_generation	ツールがジョブ ID を返した時点でまだ実行中だった生成の結果を取得します（生成には 40～60 秒かかり、ツールは最大 45 秒待機します）。
update_policy	検索と置換による編集、またはコンテンツ全体の置き換えでポリシーを直接編集します。同じ ID とホストされた URL が維持されるため、公開済みのリンクは引き続き機能します。
audit_compliance	ギャップ分析：コードが実際に行っていること（スキャン済みマニフェスト）と、ポリシーで開示されている内容を比較します。
check_policy_freshness	ドリフト検出：現在のコードベースのスキャン結果と、生成時に保存されたマニフェストを比較します。
list_policy_versions	バージョン履歴を表示します。更新、再生成、復元の前にはスナップショットが保存されます。
restore_policy_version	ポリシーを任意の以前のバージョンに戻します（復元も取り消し可能です）。
list_policies	アカウントのポリシー一覧を表示します（種類／ステータスで絞り込み、ページネーションに対応）。
get_policy	ID を指定して単一のポリシーを取得します。コンテンツ全体も含まれます。
delete_policy	ポリシーを完全に削除します（ホストされた URL は機能しなくなります）。
get_usage	生成前に、プランと残りの生成クォータを確認します。
get_disclosure_checklist	コードベーススキャンの基準を確認します。開示が必要な SDK／パターンと、検出結果を generate_policy のフィールドに対応付ける方法が含まれます。
get_integration_guide	Next.js、React、プレーン HTML、WordPress 用の埋め込み／リンク手順をコピーして使える形式で取得します。
list_policy_types	対応するポリシーの種類、事業の種類、管轄区域を一覧表示します。

コードベースを考慮したワークフロー

エージェントはプロジェクトを読み取れるため、ポリシーは記憶に頼るのではなく、コードが実際に行っていることに基づいて作成されます。

1. get_disclosure_checklist → エージェントが依存関係、スクリプトタグ、Cookie の書き込み、外部接続先ホストを評価基準に照らしてスキャンし、検出した内容のスタックマニフェストを作成します
2. 検出したコンテキストと stack_manifest を指定して generate_policy を実行します（ドリフト検出のため、サーバー側に保存されます）
3. get_integration_guide → エージェントがホスト型ポリシーをフッターに組み込みます
4. 後日、スタックに変更があった場合は、check_policy_freshness がドリフトを報告し、audit_compliance が具体的な不足点を示し、regenerate_policy がそれらを修正します。同じホスト URL が維持され、リンク切れもなく、以前のバージョンに復元できます

generate_policy の入力

必須： type、business_type、jurisdiction、company_name、contact_email

• type — privacy_policy · terms_of_service · cookie_policy · refund_policy · eula · disclaimer
• business_type — e-commerce · saas · healthcare · education · financial · fintech · real-estate · non-profit · consulting · media · mobile_app · other
• jurisdiction — gdpr ccpa pipeda lgpd us eu ca uk au br global のいずれか、または複数（組み合わせる場合はカンマで区切ります。例：gdpr,ccpa）

任意のコンテキスト（出力の質が向上します）：website_url、service_description、data_collection[]、third_party_integrations[]、data_retention、user_accounts、payments、marketing、analytics、cookies、children_data、sells_data、target_audience[]、security_measures[]、governing_law、physical_address、dpo_email、consent_tracking、hosting_enabled

generate_baa の入力

業務提携契約（BAA）は公開ポリシーではなく、名前を明記した 2 者間の契約であるため、専用のツールと専用のフィールドを使用します。Pro プラン。

必須： acknowledge_contract（true である必要があります）、baa_direction、company_name、contact_email、両当事者の正式名称と住所、baa_effective_date（YYYY-MM-DD）、baa_services_description、baa_phi_types[]、baa_permitted_uses[]、baa_governing_law_state

• baa_direction — covered_entity_to_vendor（あなたが契約を発行する医療機関の場合）または business_associate_to_client（医療機関のクライアントに契約を提示するベンダーの場合）
• baa_phi_types[] — 対象となる PHI のカテゴリです。"Substance use treatment records (42 CFR Part 2)" を含めると、Part 2 の追加条項が追加されます
• baa_permitted_uses[] — ここに記載されていない用途は、契約で許可されません（45 CFR 164.504(e)(2)(i)）

任意： baa_electronic_phi（デフォルトは true）、baa_uses_subcontractors（デフォルトは false）、baa_term_type、baa_term_end_date、baa_breach_notification_days（1～60、デフォルトは 30）、baa_return_or_destroy、baa_include_indemnification、baa_include_insurance、baa_insurance_amount

生成された契約はすべて、返却前に 45 CFR 164.504(e) が求める 15 条項と照合されます。不完全なドラフトは返却せず、生成を拒否します。生成結果は引き続き弁護士による確認が必要なドラフトであり、公開 URL で公開されることはありません。

設定

ローカル（npx）トランスポートの場合にのみ必要です。リモート接続では、OAuth または Authorization ヘッダーを使用して認証します。

環境変数	必須	デフォルト	用途
POLICYFORGE_API_KEY	はい（ローカルのみ）	—	PolicyForge API キーです。
POLICYFORGE_API_URL	いいえ	https://policyforge.co	API ベース URL を上書きします（セルフホスト／テスト用）。

仕組み

このサーバーは PolicyForge の公開 REST API（/api/v1）を薄くラップしています。各ツールは認証済みの HTTP リクエスト 1 件に対応しているため、クォータ、レート制限、ポリシー生成は PolicyForge サーバー側で一元管理されます。MCP レイヤーが保持するのは API キーのみで、独自のビジネスロジックは持ちません。

ライセンス

MIT