セキュリティとデータ保護

PDFのページ画像化は原則お使いのブラウザ内で行われます。当社の処理基盤は Google Cloud の東京リージョンです。次の3つの処理では、文書の内容そのものをAIで解析します（単なる保管ではありません）。

このほか、サポート窓口へのお問い合わせ本文も、回答生成のため Google Vertex AI（Gemini）へ送信します。

処理基盤は東京リージョンですが、AI処理の所在国は下の委託先表のとおりです。 日本国内のみで処理するオプションは提供していません（「現時点で実施していないこと」）。

この表の正（法的文書）はプライバシーポリシー 第3節です。本ページは同じ内容を調達レビューで確認しやすい形に再掲したもので、委託先の追加・変更はプライバシーポリシーの改定にてお知らせします。

各社についてデータ保護契約（DPA）の適用を確認しています。署名式のDPAを締結しているのは Supabase・RunPod・PostHog の3社で、その他は各社の規約に組み込まれる標準DPAが適用され、適用版を記録しています。

文字認識・図表判定・背景復元・サポート回答の生成に用いるAIサービスは、入力データがモデルの学習に利用されない設定で契約・構成しています。

アカウントとデータの削除、および保有個人データのダウンロード（JSON）は、設定画面からご本人で実行できます。 ログや帳簿などを含む各データの保持期間はプライバシーポリシーに記載しています。

• 通信は全経路を TLS で暗号化しています。
• ストレージは全バケット非公開で、取得は有効期限付きの署名付きURL経由のみです。
• データベースは行レベルセキュリティ（RLS）を全テーブルで有効化し、API側でも所有者チェックを二重に実施しています。
• 認証は Google / Microsoft の OAuth のみで、パスワードは保持しません。
• 決済は Stripe が処理し、当社はカード番号を保持しません。
• 鍵は Secret Manager で管理し、サービスアカウントは用途別に分離して最小権限を付与しています。
• ボット・不正利用対策として、人間性確認とAPIレート制限を適用しています。
• 稼働アカウント（クラウド各社・ソースコード管理）はすべて多要素認証（MFA）を有効化しています。
• 全ての変更は、自動テスト・静的解析・ビルドの通過を必須にしています。
• 本番用のブランチはリポジトリ側の規則で保護しており、自動検査がすべて成功したコミット以外は受け付けません（管理者も例外にしていません）。
• 本番と同等の構成に分離した検証環境で通しの動作確認を行い、それを通過したものだけを本番へ反映します。
• 本番へ反映したあとにも決められた確認を行い、問題があれば直前の版へ戻せるようにしています。

Businessプランで同一チームに所属していても、資料そのものは共有されません。

• 個人データの漏えい等を認知した場合の対応手順書（初動・影響範囲の特定・監督官庁への報告・本人への通知）と、通知テンプレートを整備しています。
• 個人情報保護委員会への報告および本人への通知は、個人情報保護法第26条の定めに従って実施します。
• お客様へのご連絡の期限（何時間以内等）は、現時点で一律には定めていません。ご契約で必要な場合は個別にご相談ください。

正直にお伝えします。未実施の項目と、現在の代替となる管理策です。

第三者認証（ISMS / SOC 2）

取得していません。安全管理の実装状況は「安全管理措置」で開示しており、個別のセキュリティ質問票にはお問い合わせから回答します。

第三者によるペネトレーションテスト

実施していません。認可と公開範囲は自社で継続的に点検し、変更のたびに自動検査を通しています。

SAML/SSO・IPアドレス制限

対応していません。認証は Google / Microsoft の OAuth のみで、パスワードは保持しません。

日本国内のみでの処理

提供していません。処理基盤は東京リージョンですが、AI処理の所在国は「委託先（サブプロセッサ）」の表のとおりです。

このほか、可用性と復旧に関する項目（稼働率のSLA、復旧の単位など）にも未提供・未対応のものがあります。 審査に必要な場合は資料でご説明しますので、お問い合わせください。