セキュリティへの取り組み

このページでは、電子サインが情報を守るために行っていることを説明します。書いているのは、実際に設定と仕組みを確かめたことだけです。これから提供する機能については、「提供を始めるときに」と書いています。

どのような仕組みでも、危険をなくすことはできません。当社は点検を続け、見つかった問題を直していきます。

1. 今の提供の範囲

本サービスはただいま公開の準備をしている段階で、現在は説明のページと規約だけを公開しています。ログイン、契約書の読み込み、署名の機能はまだありません。利用者のデータは保存していません。

2. 通信の暗号化と画面の守り

• 本サービスとの通信はすべて HTTPS で暗号化しています。ブラウザには、HTTPS だけで接続するよう指示しています（HSTS）。
• ほかのサイトの画面の中に本サービスの画面を埋め込ませない設定にしています。画面で動くスクリプトは、本サービス自身のものと、計測を使うときの Google アナリティクスのものだけに限っています。

3. 記録に送らない情報

• エラーは Sentry で集めて直しています。送る前に URL のクエリを外し、Cookie・リクエストの本文・利用者の情報は送らない設定にしています。手元の開発の環境からは送りません。
• 配信の仕組み（Cloudflare）が自動で残すリクエストごとの記録は、切っています。
• Google アナリティクスには、URL のクエリを外した値だけを送ります。

4. 組織ごとのデータの分離

提供を始めるときに、契約書・署名者・合意の記録を組織ごとに分けて保存し、ほかの組織の利用者からは見られず変えられない作りにします。分けた作りになっていることは、機能を変えるたびに自動のテストで確かめます。利用者のデータをほかの組織への表示や AI の学習に使いません。

5. ログインとメールアドレスの確かめ

• 提供を始めるときのログインは、Apple・Google・Microsoft のアカウントだけです。当社はパスワードを保存しません。
• 署名する相手には、Google・Microsoft・Apple のアカウントか、メールに届く確認コードで、宛先のメールアドレスを使える人であることを確かめてから署名していただきます。身分証による本人確認は行いません。
• 署名の依頼のリンクの鍵は、URL のうちサーバーに送られない部分に置き、記録に残らないようにします。

6. 契約書の改ざんの検知

提供を始めるときに、締結した PDF に当社の電子署名をつけ、操作の日時と確かめの方法を記録します。書類が書き換えられていないかは、ブラウザの中だけで照らせる確かめのページで確かめられるようにします。このとき PDF を当社に送ることはありません。

7. AI に渡す情報

本サービスは、当社の AI に契約書や利用者の情報を渡しません。利用者がご自身の AI（Claude・ChatGPT など）から本サービスを使う口を用意するときは、ログインした組織の権限の範囲だけで動くようにし、送信・取り消しなど元に戻せない操作は利用者の確認を求めます。

8. 保存の期間と削除

提供を始めるときに、契約書と合意の記録を保存する期間、退会と組織の削除の後に消すまでの日数を、利用規約とプライバシーポリシーに定めてから受け付けます。今は利用者のデータを保存していないため、消すものはありません。

9. 障害と脆弱性の連絡先

障害に気づいた場合や、本サービスの脆弱性を見つけた場合は、次の窓口にメールでお知らせください。内容を確認し、対応します。

調べるときは、ほかの利用者の情報を見たり変えたりしないでください。大量の通信でサービスを止めることも控えてください。

以上