セキュリティとデータの取扱い
情報システム部門の確認に先に答えるための 1 枚です。セキュリティチェックシートは内容確認のうえ回答します。
体制
- 設計・開発・運用・サポートは代表の谷口が担当します。開発の一部を委託する場合は事前にお知らせします
- 第三者認証（ISMS・SOC 2）は取得していません。取得済みの認証を必須要件とする調達には対応できません
保存場所と暗号化
- アプリケーションとデータは Cloudflare（Workers・D1・R2）上に置き、保存地域はアジア太平洋リージョンを指定します。国内リージョン限定が要件の場合は AWS 東京リージョン構成で個別に対応します
- 通信は TLS 1.2 以上で暗号化し、保存データはクラウド側で暗号化されます
- API キー等の秘密情報はクラウドのシークレット管理に置き、リポジトリや平文のメッセージには置きません
AI の利用
- OpenAI・Anthropic・Google をはじめとする AI 事業者の API を、業務ごとに選んで利用します。利用する事業者の一覧は契約時にお渡しし、変更する場合は事前にお知らせします
- 御社のデータがモデルの学習に使われない条件・設定で利用できる事業者に限ります
アクセス権限とログ
- 本番環境へのアクセスは代表のみとし、多要素認証を必須にします
- アクセスログ・操作ログは 90 日間保存します
バックアップ
- データベースは日次でバックアップし、30 日間保持します
障害・事故の連絡
- 障害を検知したら 24 時間以内に第一報を、原因と対策は 5 営業日以内に文書でお知らせします
- 個人情報の漏えいのおそれがある場合は、確認後ただちにご連絡し、対応を協議します
- 稼働率の目標は 99.5% です（保証ではありません）。対応時間は平日 10:00–19:00 です
契約終了時
- データは終了後 30 日以内に削除し、ご希望があれば CSV/JSON でお渡しします
再委託先（サブプロセッサ）
Cloudflare（インフラ）／AWS（要件により）／AI 事業者（OpenAI・Anthropic・Google ほか、契約時に一覧）／Resend（メール送信）／GitHub（コード管理）／Stripe（カード決済を始めた場合）
お問い合わせ：[email protected]