セキュリティへの取り組み

このページでは、本サービスの情報を守るために当社が行っていることを説明します。書いているのは、実際の設定と仕組みを確かめたことだけです。

どのような仕組みでも、危険をなくすことはできません。当社は点検を続け、見つかった問題を直していきます。取得する情報と使い道はプライバシーポリシーをご覧ください。

1. 組織ごとにデータを分けています

• 自社の情報・保存した制度・通知の条件・送り先・お知らせ・操作の記録は、すべて組織ごとに持ち、読み書きのたびに、ログインした利用者が所属する組織に絞ります。画面や要求に書かれた組織の指定は使いません。
• ほかの組織の情報を指定しても「見つかりません」と答え、あるかどうかも分からないようにしています。ほかの組織の情報を読めないこと、変えられないことは、自動のテストで確かめています。
• 通知の送り先は、登録した本人だけが使えます。組織をまたいだ集計を、利用者に見せることはありません。

2. ログインの方式

• ログインは Apple・Google・Microsoft・GitHub のアカウントか、組織の管理者が設定した組織の SSO（OpenID Connect）だけで行い、当社ではパスワードを預かりません。ログインの手続きは、なりすましと横取りを防ぐ標準の方式（PKCE・state・nonce）で確かめています。
• 組織の SSO では、会社のログインの仕組みが返す ID トークンの署名・発行元・宛先・期限を毎回確かめます。SSO でログインできるのは、組織が DNS で持ち主であることを確かめたメールのドメインの方だけで、1つのドメインを確かめられるのは1つの組織だけです。クライアントシークレットは暗号化して保存し、画面・記録には出しません。組織は、SSO でのログインを利用の条件にできます。
• ログインの状態を保つ Cookie は、本サービスのホストだけに送られ、ブラウザのスクリプトからは読めず、暗号化した通信でだけ送られます。データベースには、その値を元に戻せない形（ハッシュ）にして持ちます。ログインの状態は30日で切れます。
• 短い時間に多くの要求が来たときは、一時的に受け付けを止めます。

3. AI のアプリとの接続

• AI のアプリとの接続は、標準の認可の方式（OAuth）で行います。接続するときに利用者が組織を1つ選び、読み出しだけか、登録と更新も許すかを選びます。AI のアプリからは削除ができません。
• AI のアプリが扱えるのは、選んだ組織の範囲だけです。組織から外れたとき、退会したときは、接続を解除します。接続は許可した日から90日で切れ、画面からいつでも解除できます。
• AI のアプリからの操作は、画面の操作と同じ権限の確かめと回数の上限を通し、操作の記録を残します。

4. 通信の暗号化と画面の保護

• 本サービスとの通信はすべて HTTPS で暗号化しています。ブラウザには、HTTPS だけで接続するよう指示しています（HSTS）。
• ほかのサイトの画面の中に本サービスの画面を埋め込ませない設定にしています。
• 画面で読み込むスクリプトは、本サービスのものと、計測に使う Google アナリティクスと Microsoft Clarity のものだけに限っています（Content Security Policy）。

5. 通知の送り先の鍵の扱い

• Slack などの Webhook の URL と Chatwork の API トークンは、受け取ってそのまま当社の通知の仕組みに渡し、そこで暗号化して保存します。本サービスのデータベース・記録・画面には残しません。画面には一部を伏せた表示だけを出します。
• 送り先は、各サービスの決まったアドレスだけを受け付けます。

6. 記録に送らないもの

• エラーの記録（Sentry）には、許可した項目（エラーの種類・起きた場所・URL の道筋）だけを送り、Cookie・入力の内容・利用者の情報・URL の検索条件は送りません。URL の中の番号は、ひな形に置き換えてから送ります。
• 計測（Google アナリティクス 4）にも、URL の検索条件と URL の中の番号を送りません。
• サーバー側の計測には、組織の ID を元に戻せない形に変えた仮名の ID だけを入れ、検索の言葉・入力の内容・メールアドレス・IP アドレスは入れません。
• Microsoft Clarity はトップと規約のページだけで使い、画面の文字と入力の内容をすべて伏せる設定にしています。ログインした後の画面では使いません。
• 配信の事業者の自動の要求の記録（URL を含むもの）は、残さない設定にしています。

7. AI に渡す情報

• 当社の側で AI を使うのは、制度の条件があいまいで、自社の情報が合うかをコードで決められないときの判定だけです。AI は当社が管理する GPU サーバーで動かし、ほかの会社の AI には送りません。
• 送るのは、制度の原文の該当の部分と、自社の情報の該当の値だけです。会社名・組織名・メールアドレスは送りません。1件ごとに1つの組織の分だけを扱います。
• AI のサーバーには、送った内容と結果を記録として残さない設定にしています。利用者の情報を AI の学習に使いません。利用者の操作のたびに当社の側で AI を動かすことはありません。

8. 保存の期間と削除

• ログインの状態は30日、通知の記録とお知らせは90日、操作の記録は180日で消します。
• 障害に備えて、データベースの控えを毎日作り、公開しない置き場に90日だけ残します。これとは別に、データベースの事業者の機能で30日のうちのどの時点にも戻せます。
• 退会すると、ログインの識別子とメールアドレスはすぐに消し、通知の条件と送り先は30日後に消します。自分だけが所属する組織は、30日後に組織ごとすべての情報を消します。くわしくはプライバシーポリシーの10をご覧ください。

9. 事故が起きたときの対応

• 個人情報の漏えいが起きたとき、または起きたおそれがあるときは、広がりを止め、原因と影響の範囲を調べます。
• 法令に従い、個人情報保護委員会への報告と、影響を受ける方へのご連絡を行います。本サービス上でもお知らせします。

10. 障害と脆弱性の連絡先

本サービスの障害や脆弱性に気づいた場合は、次の窓口にメールでお知らせください。内容を確認し、対応します。

調べるときは、大量の通信でサービスを止めることや、ほかの利用者の情報を見ることは控えてください。

以上