セキュリティ・データの取り扱い

1. データの保存先・システム構成

• データベース・認証・ファイルストレージには Supabase（PostgreSQL）を利用し、東京リージョンを指定して構築しています。
• アプリケーションのホスティングには Vercel を利用しています。
• 各サービスは app / chat / note.ariake-ai.com のドメインで提供しています。

2. 通信・保存データの保護

• 通信はすべてHTTPSで行い、HSTS（HTTPS接続の強制。有効期間2年・サブドメイン含む）を設定しています。
• 保存データの暗号化は、利用しているクラウド基盤（Supabase）のプラットフォーム標準機能として提供されています。
• お客様がAI利用のためにお預けになるAPIキーは、データベース保存時にアプリケーション側でも暗号化しています。
• クリックジャッキング対策（X-Frame-Options: DENY）等のセキュリティヘッダーを全サービスで設定しています。

3. 組織間のデータ分離

• すべての業務データは組織（会社）IDに紐づけ、データベースの行レベルセキュリティ（RLS）で組織外からのアクセスを遮断しています。
• 2026年8月に実施した社内セキュリティ監査で、組織をまたいだアクセスが遮断されることを実機テストで確認しています（RLSポリシー278件の検証・分離テスト86ケースを実施）。

4. ログイン・認証

• ログインは、Googleアカウント、またはメールアドレスに届くログイン用リンクで行います。パスワードを保存しない方式のため、パスワード漏えいのリスクがありません。
• 二要素認証（2FA）・SSO（シングルサインオン）は、現時点では非対応です。大蛇テック社内の管理システムには多要素認証を必須としています。

5. メンバー管理・退職者への対応

• 組織への参加は管理者による招待制です。
• 管理者は、退職などの際にメンバーのアクセスを停止できます。停止したメンバーはログインしても組織の情報を閲覧できなくなり、通知も停止されます。停止時にはログインセッションの失効も連動して行われます。
• 停止したメンバーの過去の投稿・記録は、業務記録として組織内に残ります。メンバーの復帰も可能です。

6. 監査ログ

• 設定変更・メンバーの停止・メッセージの削除など、主要な管理操作を監査ログとして記録しています。

7. バックアップ・障害復旧

• データベースは1日1回の自動バックアップを取得しています（複数世代を保持）。
• アップロードされたファイルは、独自の日次処理で別のクラウドサービス（Cloudflare R2）へ複製しています。
• 2026年7月に復旧訓練を実施し、バックアップから約17分でデータベースを復旧できることを確認しています。
• バックアップは1日1回のため、障害の内容によっては直近最大24時間分の更新が失われる可能性があります。この点は正直にお伝えします。

8. データの持ち出し・解約時の取り扱い

• 管理者は、依頼不要で、いつでもご自身の操作で組織の業務データを一括エクスポートできます（AriakeWorks：案件・タスク・工数・メンバー等をJSON/CSV形式、AriakeChat：ルーム・メッセージ等をJSON/CSV形式、AriakeNote：全ページをJSON/CSV形式）。
• AriakeChatのエクスポートでは、他のメンバー同士のダイレクトメッセージは含まれない設計です（プライバシー保護）。
• AriakeNoteのMarkdown形式での書き出しは、現時点ではページ単位のみの対応です（一括Markdown書き出しは非対応）。
• 有料プランを解約しても、データが自動的に削除されることはありません。解約後のデータ返却のご要望には個別に対応します。

9. AI機能とデータの流れ

• AI機能の接続先は Anthropic社のAPIのみです。他のAI事業者へデータを送信することはありません。
• APIに送信するのは、その機能に必要な範囲のデータのみです（例：未読要約では、対象の未読メッセージ本文と投稿者名）。
• Anthropic社の商用利用規約にもとづき、APIに送信されたデータがAIモデルの学習に利用されない方式で利用しています。
• お客様名義のAPIキーをお預かりする場合は暗号化して保存し、大蛇テックの共有キーを利用する場合はキーをデータベースに保存しない設計としています。

10. 利用している外部サービス（委託先）

• Supabase（データベース・認証・ファイル保存）
• Vercel（アプリケーションのホスティング）
• Anthropic（AI機能）
• Stripe（クレジットカード決済）
• Resend（メール送信）
• Cloudflare R2（ファイルのバックアップ複製先）
• Webプッシュ通知（各ブラウザ提供元の配信網を経由）

11. 現時点で対応していないこと

審査の判断材料として、未対応の項目も明記します。

• 二要素認証（2FA）・SSO：非対応（今後の検討課題です）
• ISMS（ISO 27001）・プライバシーマーク：未取得
• 稼働率の保証（SLA）：契約上の保証は行っておりません

認証の未取得を補うため、ご契約時の秘密保持契約（NDA）の締結、上記のデータエクスポートの自由、監査ログの記録を標準としています。

12. お問い合わせ

セキュリティチェックシートへの回答、本ページに記載のない事項のご質問には、個別に対応します。お問い合わせフォーム、またはメール（info@daija-tech.com）からご連絡ください。