セキュリティポリシー

1. インフラストラクチャ

1.1 運用基盤

• 本サービスは、Amazon Web Services（AWS）東京リージョンを用いて運用しています。
• お客様データは日本国内で保管されます。海外リージョンへのデータ移転は行っていません。

1.2 ネットワーク構成

• アプリケーションおよびデータベースは、インターネットから直接アクセスできないプライベートなネットワークに配置しています。
• 外部からのアクセスは、認証・認可を経たリクエストのみを許可する設計です。
• すべての通信はHTTPSにより暗号化されます。

2. データ保護

2.1 保存時暗号化

• データベースおよびファイルストレージに保管されるお客様データは、保存時暗号化を実施しています。

2.2 通信時暗号化

• フロントエンドとバックエンド間の通信、外部APIとの通信は、すべてHTTPSにより暗号化されます。
• HTTPSの強制適用により、平文通信を行わない構成としています。

2.3 テナント分離

• お客様データはテナント単位で論理的に分離して管理しています。
• クロステナントアクセスを防止する設計とし、自動テストによって継続的に検証しています。

3. バックアップと事業継続性

3.1 バックアップ

• データベースは過去7日以内の任意時点への復元が可能な自動バックアップを行っており、障害発生時には迅速な復旧が可能です。
• ファイルストレージは変更履歴を保持する設計とし、誤削除等からの復旧が可能な構成です。

3.2 誤操作からの復旧

• 主要なデータについて、誤削除・誤更新時に復旧可能な設計としています。

3.3 ディザスタリカバリ

• バックアップデータからの迅速な復旧が可能な構成としています。本サービスの継続性に関する詳細（RTO・RPO等）については、お問い合わせください。

4. 認証・認可

4.1 認証方式

• 本サービスは、シングルサインオン（SSO）に対応しており、お客様のIDプロバイダとの連携が可能です。
• 多要素認証（MFA）は、お客様のご要望に応じて有効化することが可能です。

4.2 アクセス制御

• 本サービスは、ロール・ユーザー単位でのアクセス権設定に対応しており、お客様側で利用者ごとの権限を管理できます。
• 各利用者に必要最小限の権限のみが付与されるよう設計されています。

5. 監査ログ

• 認証・認可イベント、データ変更操作、APIアクセス等をログとして記録しています。
• ログには、操作者、操作対象、操作日時等を含み、不正アクセスや操作誤りの事後追跡が可能な設計です。
• ログは必要な期間、安全な領域で保管し、事故対応・監査対応に供します。

6. AI・機械学習データの取扱い

6.1 外部AI APIの利用

• 本サービスでは、SDS（安全データシート）からの化学物質名、CAS番号、法令情報等の抽出・整理に、外部AI APIを利用することがあります。
• 当社は、送信データをモデル学習に利用しない条件で運用している外部AI APIを選定して運用しています。機密性を伴うお客様のデータ本体が、外部AI APIのモデル学習に用いられることはありません。

6.2 お客様データの統計・改善利用

お客様データの統計分析・サービス改善目的での利用については、利用規約第12条およびプライバシーポリシー第8条をご参照ください。

7. 事故対応と通知

7.1 インシデント対応

情報セキュリティ事故（不正アクセス、情報漏えい、システム障害等）が発生または発生のおそれがある場合、当社は速やかに以下を実施します。

• 影響範囲の特定と被害拡大の防止
• 原因究明と再発防止策の策定
• 影響を受けるお客様への通知
• 所管官庁（個人情報保護委員会等）への報告（該当する場合）

7.2 連絡窓口

セキュリティに関するご相談・ご報告は、以下までご連絡ください。

8. 委託先管理

• 当社は、本サービスの運営にあたり、クラウドインフラ事業者、外部AI API提供者、その他業務支援事業者に業務を委託することがあります。
• 委託先の選定にあたっては、適切なセキュリティ水準を満たすことを確認し、委託契約により秘密保持・安全管理義務を課しています。
• 委託先に対しては、必要かつ適切な監督を行います。

9. 組織的・人的安全管理

• 当社は、情報セキュリティ規程および個人情報保護規程を策定し、全従業者・業務委託先に対して周知・教育を実施しています。
• アクセス権限の付与は最小権限の原則に基づき、定期的な見直しを行っています。
• 秘密保持義務を従業者・業務委託先に課しています。

10. 本ポリシーの改定

• 当社は、技術動向、法令の改正、サービス内容の変更等を踏まえ、本ポリシーを随時改定することがあります。
• 重要な変更を行う場合、効力発生日の30日前までに当社ウェブサイト上で公表します。