セキュリティとデータの取扱い

1. 当社のアプローチ

当社は最小権限を前提に設計し、保有するデータを最小限に抑え、目新しい制御よりも地味で十分に理解された制御を選びます。セキュリティに関する作業は、最後に設けられる別個の関門ではなく、通常のデリバリーの一部——他のすべてと同じプルリクエストの中でレビューされるもの——です。

2. ガバナンスと説明責任

セキュリティは、最も近くにいる者に委ねられるのではなく、経営レベルで担われています。指名された経営陣の一員が、情報セキュリティ、本声明の維持管理、およびインシデントへの対応の調整について責任を負います。

データ保護およびセキュリティに関する事項（脆弱性の報告を含む）は、すべて office@c9group.dev 宛にご連絡ください。

当社は、本声明、副処理者のリスト、およびアクセス台帳を、少なくとも年1回、ならびにインフラストラクチャに重大な変更があった後に見直します。

3. 当社が保有するデータ

ウェブサイトの訪問者

標準的なリクエストのテレメトリ——IP アドレス、ユーザーエージェント、リファラー、要求されたページ——に加え、お客様が同意された場合の分析および広告の識別子。各目的の適法な根拠を含む詳細は、当社のプライバシーポリシーに記載しています。

見込みクライアント

お問い合わせフォーム、ご予約、または電子メールを通じてお送りいただく情報：通常は、お名前、業務用メールアドレス、会社名、およびプロジェクトの説明です。当社は、有益な初回の会話を行うために必要な最小限の情報のみをお尋ねし、それを超える個人データを要求することはありません。

クライアント業務のデータ

業務の過程で、当社は、ソースコード、アーキテクチャ文書、お客様が作業をご依頼になるシステムの認証情報、および作業上必要な場合には当該システム内に保持されているデータを保有することがあります。このカテゴリーは業務契約により、また個人データが関わる場合にはデータ処理契約により規律されます。

4. ホスティングとデータの所在

本ウェブサイトは Amazon Web Services 上で稼働しています。アプリケーションのコンピュートおよびオリジンストレージは、欧州連合内にある eu-central-1（ドイツ・フランクフルト）リージョンでホストされています。静的アセットは Amazon CloudFront のグローバルエッジネットワークを通じて配信され、同ネットワークは公開ページのコンテンツおよびアセットを——フォームの送信内容や個人データではなく——訪問者の近くにキャッシュします。

クライアントのプロジェクトのインフラストラクチャは、クライアントが指定するリージョンにプロビジョニングされます。クライアントが EU 域内のみのデータ所在を要求される場合、当社はそのように設計し、業務契約において書面で確認します。

5. 暗号化

• 転送中： 本ウェブサイトとの間のすべての通信は、TLS 1.2 以上を用いた HTTPS で提供されます。平文の HTTP リクエストは HTTPS にリダイレクトされます。
• 保存時： 当社の AWS 環境に保存されるデータは、AWS が管理する鍵を用いて保存時に暗号化されます。
• 内部での転送： 当社のインフラストラクチャの構成要素間の通信は、転送中に暗号化されます。
• エンドポイント： クライアントのシステムおよびソースコードへのアクセスに使用するワークステーションでは、フルディスク暗号化が有効化されています。

6. アクセス制御

• 最小権限： アクセスは、役割ごとおよび業務ごとに、作業に必要な範囲に限定して付与され、定期的に見直されます。
• 多要素認証： 当社のクラウドプロバイダーのコンソール、ソース管理、および電子メールにおいて必須としています。
• 共有アカウントの禁止： すべての者が本人として認証を行うため、行為の帰属が明確になります。
• 認証情報の取扱い： シークレットは、マネージドのシークレットストアまたは暗号化されたボールトに保管されます。これらがソース管理にコミットされ、チャットで送信され、または平文のファイルに保存されることは決してありません。
• クライアントの認証情報： お客様が当社にシステムへのアクセスを付与される場合、当社は、共有の認証情報よりも当社の役割に範囲を限定した記名アカウントを希望し、業務の終了時にはその取消しをお願いします。当社の分を取り消されていない場合は、お尋ねください。当社が現在も保有しているアクセス権を正確にお伝えします。
• オフボーディング： アクセスは、担当者が退職した時点、または業務から離れた時点で取り消されます。

7. セキュアな開発

• コードレビュー： 変更は、マージの前に作成者以外の者がレビューします。
• バージョン管理： すべての作業は Git で追跡され、完全かつ帰属可能な変更履歴が残ります。
• 自動テストと CI： テストおよびリントのスイートは変更のたびに自動的に実行され、失敗した場合はパイプラインが停止します。
• 依存関係の管理： 第三者の依存関係はロックファイルにより固定され、公表された脆弱性について監視されます。当社が提供する依存関係に影響するセキュリティ勧告は、受領した時点でトリアージされます。
• シークレットのスキャン： リポジトリはコミットされた認証情報について監視され、検出されたものは、単に履歴から削除するのではなく、失効させてローテーションします。
• Infrastructure as Code： 環境はバージョン管理された構成およびデプロイスクリプトにより定義されるため、変更は手作業で適用されるのではなく、レビュー可能かつ再現可能です。
• 環境の分離： 開発、ステージング、および本番は分離されており、本番の認証情報は本番が稼働する場所にのみ保管されます。

当社のエンジニアは AI 支援のコーディングツールを使用します。生成されたコードはすべて、手作業で書かれたコードと同じレビュー、テスト、および依存関係のチェックを経ます。また、当社はクライアントの認証情報や機密のクライアントデータを第三者の AI ツールに貼り付けることはありません。

8. 脆弱性およびパッチの管理

当社は、運用しているプラットフォームおよび依存関係についてセキュリティ勧告を監視しています。修正が当社に提供された時点から測定したパッチ適用の目標は、以下のとおりです：

修正がまだ提供されていない場合、当社は補完的な制御——該当機能の無効化、ネットワークアクセスの制限、または検知の追加——を適用し、その判断を記録します。クライアントに代わって当社が運用するシステムのパッチ適用に関する約束は、適用されるサービス契約に定められており、上記の目標より厳格な場合があります。

9. ログの記録と監視

アプリケーションおよびインフラストラクチャのログは、当社のクラウド環境に集中的に収集され、定められた期間保存され、エラーまたはインシデントの疑いを調査する際に確認されます。当社のクラウドアカウントにおける管理操作は、監査証跡に記録されます。

当社は意図的にログから不要な個人データを排除しており、認証情報やフォームの内容を含むリクエストボディをログに記録することはありません。

10. バックアップと事業継続

本ウェブサイトはステートレスであり、ソースから再構築することが可能です。デプロイ可能な成果物はバージョン管理されたコードから生成されるため、復旧はリストアではなく再デプロイを意味します。ソースコードは Git により、分散した複製とともに保管されています。

当社が運用するクライアントのシステムについては、バックアップの頻度、保存期間、目標復旧時点（RPO）、および目標復旧時間（RTO）を業務ごとに定義し、復元は動作すると想定するのではなく、実際にテストします。

11. クライアントデータの取扱い

• データ処理契約： お客様に代わって個人データを処理する場合、当社は、GDPR 第28条を満たす書面による DPA に基づき処理者として行動します。当社の標準 DPA はご要望に応じて提供し、お客様の DPA を確認することもできます。
• 秘密保持： 当社は、初回の範囲検討のための会話に先立つ場合を含め、ご要望に応じて相互 NDA を締結します。
• 指示に基づく処理： 当社は、文書化された指示に基づいてのみクライアントの個人データを処理し、当社自身の目的のために処理することは一切ありません。
• 副処理者に関する通知： お客様の個人データを処理することとなる副処理者を追加する前にお知らせし、異議を申し立てる機会を提供します。
• 返却および削除： 業務の終了時、ご要望に応じてクライアントのデータを返却または削除し、完了後に書面で確認します。
• 支援： 当社が構築または運用したシステムに関するデータ主体からの請求、セキュリティ質問票、および規制当局からの照会への対応を支援します。

12. 要員

• クライアント業務に従事するすべての者——従業員か契約者かを問わず——は、その業務の終了後も存続する書面による秘密保持義務に拘束されます。
• 下請業者は、当社自身のものと同等以上の保護水準のセキュリティおよび秘密保持の義務を負い、当社はその業務についてお客様に対して引き続き責任を負います。
• クライアント環境へのアクセスは、その業務に従事する者にのみ付与され、当該業務から離れた時点で削除されます。
• 当社のチームは分散した拠点で業務を行っています。クライアントのシステムへのリモートアクセスには、オフィスからのアクセスと同じ認証および最小権限の規則が適用されます。

13. 副処理者および第三者のサービス

以下の第三者は、本ウェブサイトに関連してデータを処理することがあります。分析および広告のサービスは、当社のクッキーバナーを通じてお客様が同意された後にのみ読み込まれます。その他は、サイトの運営またはお客様への回答に必要なものです。

当社は Google Consent Mode を実装しており、Google のタグは拒否状態で読み込まれ、お客様が同意されるまで分析用または広告用のストレージが書き込まれることはありません。クッキーバナーを通じて同意を撤回されると、当社がローカルに保持している広告識別子は消去されます。

特定のクライアント業務において使用される副処理者は、本ページではなく、当該業務の DPA に記載されます。

14. 国際移転

ウェブサイトのホスティングは、データを EU 域内に保持します。上記のプロバイダーの一部は欧州経済領域外、主として米国に設立されており、これは一定のデータが同地へ移転される場合があることを意味します。

これらの移転について、当社は、欧州委員会の標準契約条項、該当する場合にはプロバイダーの EU・米国データプライバシーフレームワークに基づく認証、および本ページに記載した補完的措置——主として転送中の暗号化およびデータの最小化——に依拠しています。各プロバイダーの移転メカニズムは、ご要望に応じて提供します。

15. インシデント対応

当社が保有するデータに影響するセキュリティインシデントを認識した場合、当社はこれを封じ込め、その範囲を評価し、原因を是正し、影響を受ける方々に通知します。

重大なインシデントの後には、当社は非難を伴わない事後レビューを実施し、根本原因および是正措置を記録し、その結果を影響を受けたクライアントと共有します。

16. 責任ある開示

本ウェブサイト、または当社が運用するいずれかのシステムにセキュリティ上の脆弱性を発見されたとお考えの場合は、ぜひご連絡ください。

その代わりに、以下をお願いします：

• 公表される前に、当社が問題を修正するための合理的な時間を与えること
• ご自身のものではないデータへのアクセス、変更、または削除を避け、脆弱性を実証した時点で中止すること
• サービス拒否（DoS）テストの実施、スパムの送信、または当社のスタッフもしくはオフィスに対するソーシャルエンジニアリングや物理的な攻撃を行わないこと
• 他の利用者のサービス品質を低下させる自動スキャナーを使用しないこと

当社は現在、有償のバグバウンティプログラムを運営していません。ただし、寄せられたすべてのご報告に目を通し、感謝をお伝えしています。

17. 当社が準拠する標準

当社の実務は、以下のフレームワークに整合するよう設計されています。当社は現在、これらのいずれについても認証を受けていません。状況が変わった場合には、認証機関および認証日を本ページに記載します。

• GDPR（規則（EU）2016/679）： データ保護バイデザインおよびバイデフォルト、第28条の処理者の義務、ならびに侵害の通知。
• ISO/IEC 27001： 当社のアクセス制御、資産管理、およびインシデント対応の実務に関する参照モデルとして使用しています。
• OWASP Top 10 および OWASP ASVS： アプリケーションセキュリティのレビューにおける参照。
• CIS Benchmarks： クラウドおよびオペレーティングシステムのベースライン構成における参照。
• NIS2（指令（EU）2022/2555）： 適用対象となるクライアント向けに構築する際に参照します。当該クライアントのサプライチェーン上の義務は、当社にも及びます。

18. ご要望に応じて提供する文書

調達およびセキュリティのご担当部門は、office@c9group.dev 宛てに以下をご請求いただけます：

• 当社の標準データ処理契約
• 相互の秘密保持契約
• 特定の業務に関する副処理者のリストおよび移転メカニズム
• お客様のセキュリティ質問票またはベンダー評価への記入済みの回答
• 特定のプロジェクトに適用される制御についての書面による説明

19. お問い合わせ

当社のプライバシーポリシー、利用規約、およびアクセシビリティ声明もあわせてご覧ください。

20. 言語