セキュリティ

1. 決済セキュリティ

すべての決済は、PCI-DSS Level 1認証を取得した決済代行業者であるStripeによって処理されます。カード情報はStripeへ直接送信され、当社サーバーに保存されることはありません。当社が保持するのは、アカウント管理に必要な限定的で非機微な請求メタデータ（サブスクリプション状態、カード下4桁など）のみです。これにより、機微なカード会員データはStripeのPCI準拠環境内で管理されます。

2. 暗号化

• 通信時:：本サービスとのすべての通信はTLS（HTTPS）で暗号化されます。
• 保存時:：データは、業界標準アルゴリズムによる保存時暗号化を備えたマネージド基盤に保存されます。

3. インフラとホスティング

本サービスは、強固な物理・ネットワークセキュリティ、冗長性、継続的監視を備えた信頼性の高いクラウド基盤上で稼働します。データベース層とアプリケーション層は分離され、本番環境へのアクセスは制限され、記録されます。

4. アクセス制御

当社は最小権限の原則を採用しています。本番システムおよび顧客データへのアクセスは、本サービス運用上必要な権限を持つ担当者に限定し、強固な認証で保護します。アカウントサインインは保護されており、お客様にも強固で一意な認証情報の使用を推奨します。

5. データ保護と保持

当社は本サービス提供に必要なデータのみを収集し、プライバシーポリシーと整合する範囲で必要期間のみ保持します。顧客データはアカウント単位で論理的に分離され、不正アクセス、漏えい、喪失を防ぐ対策を実施しています。

6. サブプロセッサー

当社は、Stripe（決済）、クラウドホスティング・データベース事業者、メール配信事業者、AI/大規模言語モデル事業者を含む、審査済みの第三者サブプロセッサーを利用します。これらの事業者は機密保持義務およびデータ保護義務を負います。当社は顧客データを販売しません。

7. 監視とレジリエンス

当社は可用性、エラー、不審な活動を監視し、障害時の復旧を支えるためにバックアップと冗長性を備えたマネージド基盤を利用しています。また、依存関係に対するセキュリティ更新を継続的に適用しています。

8. インシデント対応

当社は、セキュリティインシデントの検知、調査、対応のためのプロセスを維持しています。お客様の個人情報に影響するデータ侵害が発生した場合、適用法令に従い、影響を受けるユーザーおよび関係当局に通知します。

9. お客様の責任

セキュリティは共同責任です。認証情報を機密に保ち、強力なパスワードを使用し、組織内で必要最小限のアクセス権のみを付与してください。アカウントへの不正アクセスが疑われる場合は、直ちに当社へご連絡ください。

10. 脆弱性報告

当社はセキュリティ研究者からの報告を歓迎します。脆弱性を発見した可能性がある場合は、詳細を security@citationworks.com までお知らせください。調査のためにご協力をお願いします。公開開示の前に合理的な修正期間を設け、調査中に他ユーザーのデータへアクセスまたは変更しないでください。

11. 連絡先

セキュリティに関するご質問は security@citationworks.com までご連絡ください。

CitationWorks株式会社
東京都渋谷区, 日本