お客様のデータを安全に守るための取り組みについてご説明します。
株式会社ビバラボ（以下「弊社」）は、soeruプラットフォームにおけるお客様のデータ保護を最優先事項として位置づけています。本ページでは、弊社のセキュリティに関する技術的・組織的な取り組みを詳しくご説明します。
soeruプラットフォームで保存されるすべてのデータは、AES-256暗号化方式により暗号化されています。これはデータベース内の個人情報（PII）、注文データ、メッセージ履歴、Voice DNAデータ等すべてのデータに適用されます。
すべてのネットワーク通信はTLS 1.2以上で暗号化されています。ブラウザとサーバー間、サーバーとデータベース間、外部API（Amazon SP-API、楽天API等）との通信など、すべての通信経路でTLS暗号化が適用されます。
暗号鍵はクラウドプロバイダーのマネージドキー管理サービス（KMS）を使用して管理しています。暗号鍵はアプリケーションコードから完全に分離され、アクセス権限は厳格に制限されています。鍵のローテーションはKMSの自動ローテーション機能を利用して定期的に実施しています。
データベースアクセス制限：データベースサーバーへの直接的な公開アクセスは遮断されており、アプリケーションサーバーからの接続のみを許可するファイアウォールルールを設定しています。IPアドレスベースのホワイトリスト方式で接続元を制限しています。
管理画面のアクセス制限：インフラ管理画面へのアクセスはIP制限およびVPN経由に限定し、多要素認証（MFA）を必須としています。
開発環境の分離：本番環境と開発環境は完全に分離されており、開発者エンドポイントから本番データへの直接アクセスはできません。
フロントエンドはCDN（Vercel Edge Network）を通じて配信され、DDoS攻撃への耐性を確保しています。Webアプリケーションファイアウォール（WAF）によりSQLインジェクション、クロスサイトスクリプティング（XSS）等の一般的な攻撃を検知・遮断します。
パスワード要件：最低12文字以上、英大文字・小文字・数字・特殊文字を含む複雑なパスワードを要求しています。
パスワードの強度：漏洩済みパスワードのチェック（HIBP データベース照合）と最低文字数要件を設けています。多要素認証（MFA）は運用管理者アカウントに適用するとともに、一般ユーザーアカウントは設定画面から任意で有効化いただけます。
多要素認証（MFA）：システム管理者、インフラ管理、データベースアクセスなど、機密データを取り扱うすべてのアカウントにMFAを必須としています。
APIキー・シークレット管理：Amazon SP-API認証情報を含むすべてのAPIキーおよびシークレットは、環境変数として安全に管理され、ソースコードリポジトリには含まれません。シークレット管理サービスを利用して暗号化された状態で保管しています。
弊社は、データの最小化原則に基づき、サービス提供に必要最低限のデータのみを保持します。
個人を特定できる情報（PII）：ECプラットフォームから取得した注文者の氏名・住所等のPIIは、メッセージ生成完了後最大30日間保持し、その後自動的に削除します。
アカウント退会時：ユーザーが退会手続きを完了された時点で、関連するすべてのデータ（個人情報、メッセージ履歴、Voice DNAデータ等）を即時削除します。バックアップは暗号化された状態で最大 90 日間保持され、その後安全に削除されます。
監査ログ：セキュリティ監査および法令遵守の目的で最大12ヶ月間保持し、その後安全に削除します。
データ削除は、論理削除に加えて、バックアップデータからの削除も実施します。削除処理は自動化されたスケジュールにより実行されます。
バックアップ方式：データベースの自動バックアップを毎日実施しています。バックアップデータはAES-256方式で暗号化された状態で保管されます。
地理的分散：バックアップデータはプライマリデータセンター（東京リージョン）とは地理的に離れた別リージョンにも保管し、災害時のデータ喪失リスクを軽減しています。
復元手順（RTO / RPO）：目標復旧時間（RTO）は4時間以内、目標復旧時点（RPO）は24時間以内としています。定期的に復元テストを実施し、手順の有効性を検証しています。
バックアップの保持期間：日次バックアップは最大90日間保持し、その後安全に削除します。
アクセスログ：すべてのAPIリクエスト、データベースアクセス、管理操作を記録しています。ログにはアクセス日時、アクセス元IP、操作内容が含まれます。
不正検知：異常なアクセスパターン（短時間での大量リクエスト、通常と異なる地域からのアクセス、権限外の操作試行等）を自動検知するモニタリングシステムを運用しています。異常を検知した場合、即座にアラートが発報されます。
インシデント対応：セキュリティインシデント発生時は、事前に策定されたインシデント対応手順に従い、影響範囲の特定、原因調査、是正措置、関係者への通知を速やかに実施します。重大なインシデントについては、発覚後72時間以内にお客様および関連するECプラットフォームに通知します。
ログの保持期間：セキュリティログは最大12ヶ月間保持し、定期的にレビューを実施しています。
開発ライフサイクルにおける対策：CI/CDパイプラインにおいて、自動化されたセキュリティスキャン（SAST：静的アプリケーションセキュリティテスト）を実施しています。コードレビューではセキュリティ観点のチェックを含み、脆弱性のあるコードのデプロイを防止します。
依存パッケージの管理：使用しているオープンソースライブラリおよび依存パッケージについて、既知の脆弱性を自動的にスキャンしています（npm audit、pip-audit等）。重大な脆弱性が発見された場合は、24時間以内にパッチ適用または緩和措置を実施します。
定期的なセキュリティ評価：定期的にセキュリティ診断およびペネトレーションテストを実施し、潜在的な脆弱性の早期発見と修正に努めています。
脆弱性修正のプロセス：発見された脆弱性はリスクの重大度に応じて優先順位を設定し、重大（Critical）は24時間以内、高（High）は72時間以内、中（Medium）は2週間以内に修正を完了します。
弊社は、Amazon SP-API、楽天市場API、Shopify API等を通じて取得するデータについて、各プラットフォームのデータ保護ポリシーおよび適正利用規定を遵守しています。
PIIの利用制限：注文者の氏名・住所等のPIIは、明細書へのパーソナライズメッセージ生成という本来の利用目的のみに使用します。取得したPIIをAIモデルのトレーニングデータとして使用することはありません。
データアクセスの最小化：APIを通じて取得するデータは、サービス提供に必要最低限の範囲に限定しています。不必要なデータフィールドへのアクセスは行いません。
データの分離：テナント（店舗）ごとにデータは論理的に分離されており、他のテナントのデータにアクセスすることはできません。
本セキュリティポリシーに関するご質問、セキュリティに関するご懸念、または脆弱性の報告については、以下の連絡先までお問い合わせください。