セキュリティへの取り組み

社内wikiには、社内の手順やノウハウなど、外に出すべきでない情報が書かれます。このページでは、それらの情報を守るために当社が行うことを説明します。取得する情報と使い道はプライバシーポリシーをご覧ください。

どのような仕組みでも、危険をなくすことはできません。当社は点検を続け、見つかった問題を直していきます。

1. 今の提供の状況

• 本サービスは公開の準備をしています。今このサイトにあるのは紹介と規約のページだけで、ログインとページの保存はまだ受け付けていません。
• 下の2〜8は、提供を始めるときの作りです。

2. 組織ごとのデータの分離

• ページ・フォルダ・添付・過去の版は、組織ごとに分けて保存します。ほかの組織の利用者からは見えず、変えられません。
• 読めるのも書けるのも、組織に在籍してログインしたメンバーのうち、フォルダの権限で許された人だけです。社外への共有のリンクやゲストの招待は作りません。
• 退職・異動は、従業員マスタのサービスで反映されてから5分以内に権限へ効かせます。確かめられないときは、閲覧を止める側に倒します。

3. 通信の暗号化

• 本サービスとの通信はすべて HTTPS で暗号化しています。ブラウザには、HTTPS だけで接続するよう指示しています（HSTS）。
• ほかのサイトの画面の中に本サービスの画面を埋め込ませない設定にしています。読み込めるスクリプトは、本サービスのものと計測のものに限っています。

4. ログインの方式

• ログインは Apple・Google・Microsoft のアカウントだけで行います。当社はパスワードを預かりません。
• ログインの状態を持つ Cookie は、このサイトのホストだけに送られ、画面のスクリプトから読めない設定（HttpOnly）にします。当社には元に戻せない形（ハッシュ）でだけ保存し、30日で切れます。

5. 記録に送らない情報

• エラーの記録（Sentry）には、ページの本文、入力した内容、メールアドレス、Cookie、ログインの鍵、URL のクエリを送りません。URL の中のページなどの ID はひな形に置き換えます。
• 要求ごとの自動の記録は切っています。誰がどのページを読んだか、検索した言葉は記録しません。
• 計測（Google アナリティクス）には、メールアドレス・入力した内容・利用者の ID を送りません。

6. AI に渡す情報

• 当社のサーバーでは AI を動かしません。ページの本文を当社から AI の事業者に送ることはありません。
• 利用者がご自身の AI アシスタントをつないだときは、その利用者の権限の範囲のページだけを読み出せます。AI から作ったページは下書きとして保存し、公開は人が確かめてから行います。
• AI からの書き込みは、操作の種類・対象・日時だけを記録し、本文や入力の値は記録しません。

7. 保存の期間と削除

• ごみ箱に入れたページは、30日を過ぎるとその版と添付とともに削除します。
• 組織の削除を行うと、予告のうえ、30日を過ぎた後にその組織のすべての情報を削除します。
• くわしい期間はプライバシーポリシーに記載しています。

8. 退会した後の扱い

• 退会すると、ログインの情報とメールアドレスを直ちに削除し、ログインの状態と AI の接続を切ります。
• 作成したページは組織の情報として残り、更新者の表示は「退会した利用者」になります。

9. 障害と脆弱性の連絡先

障害や脆弱性を見つけた場合は、次の窓口にメールでお知らせください。内容を確認し、対応します。窓口は security.txt にも載せています。

• 窓口：takumi.endoh@japan-marketing.co.jp
• 責任者：JapanMarketing合同会社 代表社員 遠藤巧巳

調べるときは、ほかの利用者の情報を見たり変えたりしないでください。大量の通信でサービスを止めることも控えてください。

以上