セキュリティステートメント

概要

この声明は当社のセキュリティ管理策をまとめたものです。詳細は「セキュリティと信頼性」のページで説明しており、契約上の約束はデータ処理補足契約に記載しています。インフラ提供者やアーキテクチャの詳細は、攻撃者を利することになるため公開していません。

インフラ

• サービスは125か国以上にまたがる分散型の暗号化ネットワークから提供され、公開ページを訪問者の近くに置くとともに、1つの拠点に障害が起きても利用を継続できます。
• すべての通信は最新のTLSとHTTP Strict Transport Securityで暗号化されます。データはバックアップを含め、保存時にも暗号化されます。
• アプリケーションは、コンテンツセキュリティポリシーを含む厳格なセキュリティヘッダーを送信します。

アクセスと分離

• すべてのクライアントとスタッフのアカウントで、認証アプリのコードによる多要素認証が必須です。使い捨てのリカバリーコードはハッシュとしてのみ保存されます。
• 各クライアントのワークスペースはアプリケーション層とデータベース層で分離されており、あるクライアントが他のクライアントのデータを読むことはできません。
• スタッフの権限はロールベースかつ最小権限です。重要な操作は追記専用の監査ログに記録されます。
• 当社が広告アカウントのパスワードを求めることはありません。クライアントが管理し、いつでも削除できるプラットフォームのユーザー権限またはパートナー権限を通じて作業します。

支払い

• カード決済は、PCI DSS（Payment Card Industry Data Security Standard）の認証を受けた決済代行会社が処理します。当社がカード番号を見たり保存したりすることはありません。
• メディア費用は、クライアントが自身の支払い方法から広告プラットフォームに直接支払います。

インシデント

当社には、エスカレーション手順を定めたインシデント対応手続きがあります。個人データ侵害がクライアントのデータに影響する場合、当社は不当に遅れることなく、48時間以内にクライアントに通知し、法律が求める場合は規制当局に報告します。