セキュリティ方針

• すべての業務テーブルで行レベルセキュリティ（RLS）を有効化し、所属ワークスペースのデータのみアクセスできるよう制御しています。
• 権限は owner / admin / approver / member の区分で管理し、最小権限の原則を適用しています。
• ステータス変更や承認処理はサーバー側の関数で検証し、クライアントからの直接的な書き換えを認めていません。

• 通信はTLSにより暗号化されます。
• データベースおよびファイルストレージは、クラウド事業者が提供する保管環境を利用しています。
• 認証情報（パスワード）は認証基盤側でハッシュ化して保管され、当社が平文で保持することはありません。
• 2要素認証（TOTP）を提供しています。当社の運営管理者は登録必須とし、法務情報の公開、課金設定の変更、権限変更、組織の削除予約などの重要操作は、2要素認証で確認済みのログイン（AAL2）でのみ実行できるようサーバー側で検証しています。組織側でも、オーナー・管理者または全メンバーを対象に2要素認証を必須化できます。
• 2要素認証の登録・解除・再確認および失敗は監査ログに記録されます。
• クレジットカード番号は当社では保存せず、決済事業者側で処理されます。

• 承認、ステータス変更、重要な設定変更は監査イベントとして記録されます。
• 監査ログはワークスペースの管理者のみが閲覧できます。
• 監査ログはSHA-256のハッシュ連鎖で保護され、後からの改変・削除を検知できます。管理画面から整合性を検証できます。
• 確定PDF等のファイルは直接公開せず、所属確認を行ったうえで有効期限60秒の署名URLを都度発行してのみ取得できます。発行の事実も監査ログに記録されます。

• セキュリティ責任者：未設定
• インシデント連絡先：未設定
• インシデントを認識した場合、調査、被害拡大の防止、法令に基づく報告・通知を行います。

脆弱性を発見された場合は、未設定 までご連絡ください。実サービスに影響を与える検証（負荷試験、他組織データへのアクセス試行、サービス妨害）は行わないでください。

当社は、現時点で第三者認証（ISO/IEC 27001、SOC 2 等）の取得を表明していません。取得状況について事実に反する表示は行いません。取得または監査報告書の提供が可能になった場合は、本ページで案内します。