データ保護

AIとデータの利用

お客様のデータでAIやLLMモデルをトレーニング・改善することは決してなく、また販売することもありません。お客様のデータは、あくまでお客様だけのものです。

• Airparserは、前処理、OCR、構造化抽出モデル(独自モデルおよび委託先ページに記載のプロバイダーをベースに強化・特化させたモデルを含む)、後処理・検証を組み合わせたデータ抽出手法を採用しています。
• AI委託先との契約に基づき、データが彼らのモデルの学習に使用されることは決してなく、彼らとのすべての通信は転送時に暗号化されています。
• 長文書への対応方法を含む詳細については、AIデータ処理に関する詳しい説明をご覧ください。

データのセキュリティと完全性

転送時、保存時、処理中のデータを保護するために複数の対策を講じています。

• すべての通信はTLS(TLS 1.2以上)を使用したHTTPSで暗号化されます。安全なWebおよびAPI通信のために有効なデジタル証明書を使用しています。
• 保存データはAES-256で暗号化され、暗号化されたAmazon S3バケットに保存されます。
• パスワードは、ワークファクター12のbcryptでハッシュ化されています。これは意図的に低速でソルト付きの一方向アルゴリズムです。私たちがお客様の実際のパスワードにアクセスすることは決してありません。
• クレジットカード情報は保存していません。決済は、PCI DSSに準拠したStripeによって処理されます。
• アクセスはファイアウォール、厳格なネットワークセグメンテーション、継続的な監視によって保護されています。
• オペレーティングシステムと依存関係は定期的に強化・パッチ適用されています。

クラウドセキュリティ

Airparserのコンピューティングとネットワークは、ドイツのファルケンシュタインとニュルンベルクにあるデータセンターを持つHetzner上で稼働しており、両拠点ともISO/IEC 27001認証を取得しています。データはEUと米国で処理されます。必要な場合は標準契約条項(SCC)がデータ移転を保護します。

• Hetznerは、冗長性確保のため、ドイツ国内の2つの独立した拠点でコンピューティングとネットワーキングのワークロードをホストしています。
• Amazon S3は暗号化されたオブジェクトストレージに使用され、アプリケーションデータはMongoDB Atlasに保存されています。
• 暗号化ストレージ、キー管理、アクセスログ、きめ細かなIAMといったプロバイダーの機能を活用しています。
• サーバー間は、インターネットから隔離され、許可されていない機器からはアクセスできないプライベートネットワークで通信しています。

可用性とレジリエンス

稼働時間、スケーラビリティ、事業継続性を考慮して設計しています。

• 水平スケーラビリティと耐障害性のための分散型クラウドデータベース・サービス。
• データ損失のリスクを最小限に抑えるための、自動化された定期的なバックアップの安全な保管。
• リアルタイムアラート付きの24時間365日のインフラ監視。
• 文書化された災害復旧手順と定期的な訓練。
• 99.99%の稼働率を維持しています。リアルタイムの稼働状況とインシデント履歴はステータスページでご確認いただけます。

ダウンタイムと計画メンテナンス

CI/CDと自動スケーリングインフラを使用して、サービスの中断なく安全に変更をデプロイし、キャパシティを調整しています。

• リスクを軽減するためのブルー/グリーンデプロイとローリングデプロイ。
• 一般公開されているステータスページで、リアルタイムの稼働状況とインシデント情報をご確認いただけます。

監視とログ記録

セキュリティ、信頼性、カスタマーサポートを支えるために詳細なログを保持しています。

• 認証、アクセス、システム操作に関する包括的な内部監査ログ。
• 透明性のため、アプリケーションのアクティビティは文書履歴タブでユーザー向けに要約されています。
• 一元化されたログ集約とアラートにより、異常を迅速に検知・調査できます。

お客様がデータを所有します

Airparserで処理するすべての文書、メール、抽出データは、お客様のものです。

• 解析サービスについては、お客様がデータ管理者であり、Airparserはお客様の指示に基づいてのみデータを処理するデータ処理者として機能します。
• いつでも文書、スキーマ、またはアカウント全体を削除できます。データは稼働中のシステムから即座に削除されます。バックアップは独自の固定ローテーション周期(最長30日)で入れ替わります。
• 設定可能な保持ポリシーにより、法的またはビジネス上の要件に合わせて、1日から180日の間でデータを自動削除できます。

プライバシーと機密性

お客様のプライバシーを尊重し、お客様の情報へのアクセスを制限しています。

• お客様の同意なしにデータを販売、貸与、共有することは決してありません。
• 顧客データへのアクセスは最小権限の原則により制限され、定期的に監査されています。
• すべての従業員はセキュリティとプライバシーのトレーニングを完了し、機密保持義務を負っています。
• 社内では、ツールへの多要素認証を必須とし、全社共通のパスワードマネージャーを使用し、従業員のノートPCにはフルディスク暗号化を適用しています。

コンプライアンス

私たちの実践は主要なフレームワークと規制に準拠しています。

• GDPRに準拠しています。データ処理契約(DPA)をご用意しています。
• 国際的なデータ転送は、該当する場合、標準契約条項(SCC)を用いて保護されています。
• 広く認知された認証(ISO 27001、SOC 2など)を維持するクラウドプロバイダーを活用しています。

安全な開発とコード管理

セキュリティは、私たちのソフトウェア開発ライフサイクルに組み込まれています。

• すべての機能、アップデート、修正は、リリース前にピアレビューを受けます。
• 定期的なコード監査、ユニット・統合テスト、自動化されたパイプラインが、回帰やぜい弱性を防ぎます。
• インフラとコードベース全体にわたる継続的な静的解析、依存関係のスキャン、自動化された脆弱性スキャンにより、問題を迅速に特定・修正できます。

データの最小化

サービスの提供と改善に不可欠な情報のみを収集・保存しています。必要以上に長くデータを保持することは避けています。

インシデント対応

文書化されたインシデント対応とエスカレーション手順を備えています。

• 継続的な監視により、異常な活動を検知します。
• 法律で義務付けられている場合、侵害が発生した際には、影響を受けたユーザーと関係当局に72時間以内に通知します。

信頼できる委託先

私たちのセキュリティとプライバシーの基準を満たす委託先を慎重に選定し、そのアクセスを厳密に必要な範囲に制限しています。

• 委託先の完全かつ最新の一覧で、利用しているすべてのベンダーとその役割をご確認いただけます。