セキュリティ
データ保護の方法
セキュリティの概要
- 1ゼロドキュメント保持により攻撃対象領域を最小化
- 2顧客固有の暗号化 - YOUR 独自キーで YOUR データを保護
- 3処理実行ごとに自動で鍵ローテーション
- 4高度な処理技術 - 独自アルゴリズム、シグナルシステム、SOC 2 タイプIおよびタイプII認証取得済みの第三者AIサービス
- 5データ品質重視 - 多層検証でデータ精度と品質を確保
- 6全データは処理全体で暗号化
- 7ゼロ知識セキュリティ - サーバが侵害されてもデータは暗号化されたまま
- 8データはあなたの管理下にあります - YOUR Google Drive に保存
- 9情報提供のみ - データ精度分析であって、投資助言ではありません
- 10GDPR、CCPA、FCRA、ECOA 対応
セキュリティファーストアーキテクチャ
プライバシーとセキュリティを重視して構築
ゼロドキュメント保持
あなたのドキュメントは当社のサーバーに保存されません。ドキュメントは各処理実行中にリアルタイムで処理され、その後すぐに削除されます。これにより、最も大きな攻撃ベクトルである「保存されたドキュメントデータ」が排除されます。処理結果は、あなたの顧客固有のキーで暗号化され、あなたの Google Drive AppData に保存されます。
ステートレス処理
各 API リクエストは独立しています。セッションデータはアクティブなリクエストを超えて保持されません。攻撃対象領域は最小限です。
リクエスト分離
Professional と Enterprise タiers はネットワーク分離された専用インスタンスを使用し、顧客間のデータ漏洩を防止します.
転送中のデータ
HTTPS/TLS 暗号化
すべての API リクエストとレスポンスは TLS 1.3 で暗号化されます。未暗号化の HTTP トラフィックは受け付けません。
SSL 証明書
信頼できる認証機関からの有効な SSL 証明書。自動更新と監視.
API セキュリティ
API キーは安全なヘッダーを介して送信されます。レートリミティングにより濫用と DoS 攻撃を防止します。
認証 & 承認
OAuth 2.0
Google OAuth をユーザー認証に使用します。パスワードは保存しません。OAuth トークンは AES-256 で暗号化されます。
安全なセッション
httpOnly と secure フラグ付きのセッションクッキー。7-日間の有効期限で自動リフレッシュ。CSRF 保護が有効です.
API キー管理
API キーは保存前にハッシュ化されます。ダッシュボードからいつでもキーをローテーションできます。キーは特定の権限に限定されます。
マルチファクター認証
Enterprise タiers アカウント向けに MFA が利用可能です。Google アカウントの 2FA はすべての OAuth ログインを保護します。
静止データ
顧客固有の暗号化アーキテクチャ
ドキュメント
当社のサーバーに保存されません。処理後すぐに削除されます。文書は一切保持されません.
処理結果
YOUR customer-specific keysで暗号化し、YOUR Google Drive AppDataに保存されます。あなたの OAuth 権限なしに暗号化されたデータにアクセスすることはできません。
暗号化キー
お客様専用キーはYOUR Google Drive AppDataに保存されます。処理ごとに自動的にローテーションされ、古いキーは破棄されます。
アカウントデータ
メール、名前、Stripe顧客IDは暗号化されたデータベースに保存されます。休止時はAES-256暗号化が適用されます.
OAuth トークン
Google OAuth リフレッシュトークンは保存前にAES-256で暗号化されます。アクセス トークンはDrive同期操作中のみメモリ上に保持されます。
ログ
エラーログと使用統計は文書内容を含みません。最大で30日間保存されます。休止時は暗号化されます.
サードパーティーセキュリティ
Stripe（決済処理）
PCI DSS Level 1 認証済みです。クレジットカード番号は一切確認しません。Stripe顧客IDのみが保存されます.
Google (OAuth & Drive)
OAuth 2.0 は最小権限（drive.file, spreadsheets, drive.appdata）で動作します。ユーザーはGoogleアカウント設定からいつでもアクセスを取り消せます。暗号化されたデータとキーはYOUR Google Drive AppDataに保存されます。
サードパーティーAIサービス
私たちは独自のアルゴリズムとシグナルシステムを使用してデータの精度と品質を保証します。サードパーティーAIサービスはSOC 2 Type IおよびType II認証を受けており、契約上、あなたのデータをトレーニングに使用することが禁止されています。また、データは一時的に処理され、転送中は暗号化されます.
アクセス制御
最小権限の原則
従業員は業務に必要な最小限のアクセス権を持ちます。顧客文書へのアクセスはありません（文書は保存されていません）.
監査ログ
すべての管理操作が記録されます。アクセスログは定期的に異常を検出するためにレビューされます.
職務分離
開発、ステージング、プロダクション環境は分離されています。プロダクションへのアクセスは運用チームに限定されています.
監視とインシデント対応
脅威検知
疑わしい活動、失敗したログイン試行、および API の乱用を自動的に監視します。リアルタイムでセキュリティイベントのアラートを送信します。
インシデント対応計画
セキュリティインシデントに関する文書化された手順。レスポンステームは企業レベルで 24/7 でオンコールです.
違反通知
データ漏えいが発生した場合、影響を受けたユーザーは 72 時間以内に通知されます。GDPRおよび州の漏えい通知法に準拠しています.
コンプライアンスと認証
GDPR準拠
データ処理契約が利用可能です。ゼロ保持アーキテクチャによりコンプライアンスが簡素化されます。削除権は自動です（アカウント削除＝データ削除）.
CCPA準拠
個人情報を販売しません。カリフォルニア州居住者はデータにアクセスし、削除する権利があります.
SOC 2 Type II（ロードマップ）
企業レベルで正式監査が進行中です。現在の実践は、セキュリティ、可用性、機密性の原則に沿っています.
脆弱性管理
定期的なアップデート
依存関係とインフラは定期的にパッチが適用されます。セキュリティアップデートは公開から 48 時間以内に適用されます.
セキュリティテスト
定期的な侵入テストと脆弱性スキャンを実施しています。第三者によるセキュリティ監査は年に一度行われます.
責任ある開示
セキュリティ脆弱性は [email protected] に報告してください。24 時間以内に報告を確認し、72 時間ごとに更新情報を提供します。
あなたのセキュリティ責任
ご返答は1営業日以内に行います.