セキュリティへの取り組み

このページでは、取引先チェックが利用者の情報を守るために行っていることを説明します。書いているのは、実際に設定と仕組みを確かめたことと、提供を始めるときの決まりだけです。まだ提供していない機能は「提供を始めるときに」と書いています。

どのような仕組みでも、危険をなくすことはできません。当社は点検を続け、見つかった問題を直していきます。取得する情報と使い道はプライバシーポリシーをご覧ください。

1. 今の公開の範囲

• 今は本サービスの紹介と規約類のページだけを公開しています。ログイン、取引先の登録、入力の受け付けはしていません。
• 本サービスは Cloudflare, Inc. の Workers で動いています。

2. 通信の暗号化と画面の保護

• 本サービスとの通信はすべて HTTPS で暗号化しています。ブラウザには、HTTPS だけで接続するよう指示しています（HSTS）。
• ほかのサイトの画面の中に本サービスの画面を埋め込ませない設定にしています。画面で読み込むスクリプトは、本サービスのものと、計測を有効にしたときの Google アナリティクスのものだけに限っています（Content Security Policy）。

3. 組織ごとのデータの分離

• 提供を始めるときに、登録した取引先・通知の設定・お知らせを組織ごとに分けて保存し、ほかの組織の利用者からは見えず、変えられないようにします。
• どの組織がどの取引先を登録しているかは、ほかの組織からは分からないようにします。

4. ログインの方式

• 提供を始めるときに、Apple・Google・Microsoft のアカウントでのログインだけを用意します。パスワードは当社では受け取らず、保存しません。
• ログインの状態を持つ Cookie は、画面のスクリプトから読めない設定（HttpOnly）にし、このサイトのホストだけで使います。

5. 記録に送らない情報

• エラーは Sentry で集めて直しています。送る前に、Cookie、入力した内容、通信のヘッダー、URL のクエリを外し、URL の中の法人番号などの ID をひな形に置き換えます。
• 要求ごとの自動の記録（URL を含むもの）は残さない設定にしています。
• 手元の開発の環境からは、Sentry にも Google アナリティクスにも送りません。

6. AI に渡す情報

• 当社のサーバーでは、最初の版で AI を使いません。取引先と出来事の結びつけは、法人番号と、名称・所在地の一致の決まりだけで行います。
• 利用者がお使いの AI から本サービスを使うときは、利用者が許可した範囲の情報だけを、その AI に返します。

7. 保存の期間と削除

• 提供を始めるときに、取引先の登録は解除から30日、画面の中のお知らせは90日で削除します。
• 退会したときは、ログインの情報を直ちに削除し、通知を止めます。
• 出典のページから削除された出来事は、本サービスの表示からも外します。

8. 障害と脆弱性の連絡先

障害や本サービスの脆弱性に気づいた場合は、次の窓口にメールでお知らせください。内容を確認し、対応します。

調べるときは、ほかの利用者の情報を見たり変えたりしないでください。大量の通信でサービスを止めることも控えてください。

以上