セキュリティへの取り組み
制定 2026年10月10日
「見積書・請求書作成」（以下「本サービス」）には、自社と取引先の情報、書類の内容、振込先、印影の画像などが登録されます。このページでは、それらの情報を守るためにJapanMarketing合同会社（以下「当社」）が行っていることを説明します。書いているのは、実際に設定と仕組みを確かめたことだけです。
どのような仕組みでも、危険をなくすことはできません。当社は点検を続け、見つかった問題を直していきます。取得する情報と使い道はプライバシーポリシーをご覧ください。
1. 保存と暗号化
- 書類・取引先・品目・自社の情報は Cloudflare のデータベース（D1）に、PDF と印影の画像は Cloudflare のファイルの保存先（R2）に保存しています。どちらも保存する領域は Cloudflare が暗号化しています。ファイルの保存先は公開していません。
- 発行した書類は、内容から作った指紋（ハッシュ値）とともに保存し、書き換えを検知できるようにしています。発行した書類はデータベースの仕組みで書き換えられないようにしており、直すときは訂正の新しい版を作ります。
- ログインの状態を表す値、招待のコード、閲覧用のリンクの鍵は、元に戻せない形（ハッシュ）でだけ保存しています。
- ログインの鍵などの秘密の値は、サーバー側にだけ置き、画面やソースコードには書きません。
2. 通信の暗号化
- 本サービスとの通信はすべて HTTPS で暗号化しています。ブラウザには、HTTPS だけで接続するよう指示しています（HSTS）。
- ほかのサイトの画面の中に本サービスの画面を埋め込ませない設定にしています。画面で動くスクリプトは、本サービスのものと、計測に使う Google アナリティクスのものに限っています。
3. 組織ごとのデータの分離
- 書類・取引先・品目・自社の情報・PDF・印影の画像は、組織ごとに分けて保存しています。ほかの組織の利用者からは見えず、変えられません。
- 機能を変えるたびに、ほかの組織の書類・取引先・品目・メンバー・招待・閲覧用のリンクに届かないことを、自動のテストで確かめています。
- 組織の中では役割を分けており、メンバーの招待と役割の変更、自社の情報の変更、組織の削除の申し込みは管理者だけが行えます。
- 閲覧用のリンクは、期限を過ぎるか取り消すと開けなくなります。短い時間に多く開こうとする要求は、接続元ごとに止めます。
4. ログイン
- ログインは Apple・Google・Microsoft のアカウントだけで行います。本サービスはパスワードを持ちません。
- ログインのやり取りでは、途中の値のすり替えを防ぐ仕組み（state・nonce・PKCE）を使っています。
- ログインの状態を持つ Cookie は、画面のスクリプトから読めない設定（HttpOnly）にし、本サービスのホストにだけ置きます。情報を変える操作は、本サービスの画面からの要求だけを受け付けます。
- ログインの状態は30日で切れ、ログアウトしたときに使えなくなります。
5. 委託先と渡す情報
| 事業者 | 任せること | 渡す情報 |
|---|---|---|
| Cloudflare, Inc. | アプリの実行、データ・PDF・印影の画像の保存、画面の配信 | 登録された情報（暗号化して保存します） |
| Functional Software, Inc.（Sentry） | 不具合の発見 | エラーの種類と、クエリと書類などの ID を除いた URL。書類の内容・入力した内容・Cookie・利用者の情報は送りません |
| Google LLC（Google アナリティクス） | 使われ方の集計 | 見た画面の URL（クエリと ID を除きます）と操作の種類。各ページの下の「計測を止める」で止められます |
6. AI に渡す情報
本サービスは AI を使っていません。登録された情報を AI の事業者に送ることはなく、AI の学習にも使いません。
7. 監視と記録
- サーバーで起きたエラーは Sentry で集めて直しています。送る前に、書類の内容・入力した内容・Cookie・URL のクエリを取り除きます。
- サーバーの自動の要求の記録（URL を含むもの）は残さない設定にしています。
- 機能を変えるたびに、型の検査、自動のテスト、使っている部品の既知の脆弱性の検査を流しています。
8. 保存の期間と削除
- 組織の削除を申し込むと、申し込みから30日を過ぎた後に、発行した書類を含むその組織のすべての情報と、PDF・印影の画像を削除します。
- 退会すると、ログインの情報とメールアドレスを削除します。詳しくはプライバシーポリシーの第7項をご覧ください。
- 書類の保存の義務（法人税法などによるもの）は利用者にあります。削除の前に、PDF と CSV の一括の取り出しで控えを保存してください。
9. 事故が起きたときの対応
- 個人情報の漏えいが起きたとき、または起きたおそれがあるときは、広がりを止め、原因と影響の範囲を調べます。
- 法令に従い、個人情報保護委員会への報告と、影響を受ける方へのご連絡を行います。本サービス上でもお知らせします。
- 原因を直したうえで、同じことが起きないよう、仕組みと自動のテストに対策を加えます。
10. 脆弱性の報告の窓口
本サービスの脆弱性や障害に気づいた場合は、次の窓口にメールでお知らせください。内容を確認し、対応します。
| 窓口 | takumi.endoh@japan-marketing.co.jp |
|---|---|
| 責任者 | JapanMarketing合同会社 代表社員 遠藤巧巳 |
調べるときは、ほかの利用者の情報を見たり変えたりしないでください。大量の通信でサービスを止めることも控えてください。
以上