1.基本方針の策定

個人情報の適正な取扱いの確保のために、関係法令・ガイドライン等の遵守、質問及び苦情処理の窓口等について基本方針を策定

2.個人情報の取扱いに係る規律の整備

取得、利用、保存、提供、削除、廃棄等の段階ごとの、取扱方法、責任者・担当者及びその任務について個人情報の取扱規程を策定

3.組織的安全管理措置

・個人情報の取扱いに関する責任者を設置するとともに、個人情報を取り扱う従業者及び当該従業者が取扱う個人情報の範囲を明確化し、法もしくは取扱規程に違反している事実または兆候を把握した場合に、責任者への報告連絡体制を整備

・漏えい事案等に対応する体制の整備

4.人的安全管理措置

個人情報の取扱いに関する留意事項について、従業者への周知徹底、教育及び定期的な研修の実施

5.物理的安全管理措置

・個人情報の取扱区域における、従業者の入退室管理及び持ち込む機器等の制限

・権限を有しない者による個人情報の閲覧防止措置の実施

・個人情報を取扱う機器、電子媒体及び書類等の盗難または紛失等を防止するための施錠・暗号化等の措置の実施

6.技術的安全管理措置

・個人情報の管理区分の設定及びアクセス制御

・個人情報データベースへのアクセス権限の管理（Row Level Security によるテーブル単位の多層防御）

・個人情報の漏えい・毀損等防止策

・外部からの不正アクセスまたは不正ソフトウェアから保護する仕組みを導入

・通信経路の暗号化（HTTPS / TLS 1.2 以上、HSTS 有効化）

・保管データの暗号化（AES-256 によるサーバーサイド暗号化が標準有効）

・SQL Injection、XSS 対策の実装

7.データ保管インフラと第三者認証

本サービスは、以下の認証取得済みクラウド基盤を採用しています。お客様のデータは、これらの基盤上で保護されます。

• Supabase Inc.（データベース・認証・ストレージ基盤）
  ・SOC 2 Type II 認証取得
  ・ISO 27001 認証取得
  ・HIPAA 対応（有料プラン）
  ・GDPR 準拠
  ・第三者監査レポート：https://trust.supabase.com/
• AWS（Supabase の基盤クラウド）
  ・東京リージョン（ap-northeast-1）に所在
  ・ISO 27001 / SOC 1, 2, 3 / PCI DSS / FedRAMP / ISMAP 等多数の認証取得
• Google Cloud（Firebase Hosting 基盤）
  ・ISO 27001 / SOC 2 / SOC 3 等取得

※ 株式会社 Cone（本サービス運営会社）による ISMS（ISO 27001）取得については、現在準備中です。

8.データ保管場所

本サービスにおける個人情報・資料データ・閲覧ログ等の主要データは、すべて日本国内（AWS 東京リージョン / ap-northeast-1）のサーバーで保管しています。

9.バックアップとデータ復旧

・Point-In-Time Recovery（PITR）により、過去 7 日間の任意時点に復元可能

・日次フルバックアップを 30 日間保持

・障害発生時の目標復旧時間（RTO）：4 時間以内、目標復旧時点（RPO）：24 時間以内

10.インシデント対応

・個人情報漏えいの可能性が判明した場合、判明から 72 時間以内に登録メールアドレスへ第一報を行います

・四半期ごとに操作ログ・アクセスログを点検し、異常な兆候の早期検知に努めます