情報セキュリティ方針

当社は次の3つを基本とします。

• お預かりする情報は、取引の当事者と、必要な運営担当者だけが見られるようにします。
• システムやAIが乗っ取られても、契約が勝手に結ばれたり、お金が外に出たりしない作りにします。
• 法令と契約を守り、方針と対策を年に1回以上見直します。

画面と権限の管理は次のとおりです。

• 運営者の画面は、アクセス制限（Cloudflare Access）とパスキーによる多要素認証の内側に置きます。
• 運営担当者には、審査・経理などの担当ごとに必要な権限だけを与えます。
• 契約・仮払い・承認・検収などの確定操作は、直前に本人の再確認（再認証）を求め、記録します。
• APIキーは会員ごと・用途ごと（読むだけ／送る）に発行し、保存はハッシュだけ。いつでも止められます。

データは次のように守ります。

• 通信はすべて暗号化（HTTPS）します。
• 要件定義書と納品物は、その契約の当事者と運営者だけが、期限つきのリンクで取り出せます。
• ログ・エラーの記録・通知メールの本文に、個人情報と契約の中身を出しません。
• 本人確認の書類の画像はお預かりしません。オンラインの面談で確認し、確認した日と方法だけを残します。

お預かりするお金は次のように守ります。

• 仮払い金は、当社の運転資金と分けた口座で管理します。
• システムが銀行に対して持つ権限は、明細と残高の「照会」だけです。振込の権限は持たせません。
• エンジニア会員への支払いと返金は、運営者が銀行の画面で、申請と承認を分けて行います。
• 振込先の変更は、再認証・新旧両方のメールへの通知・〔7〕日の待機・運営者の確認を経てから有効にします。

AIエージェントを通じた操作には、次のように備えます。

• 相手が書いた文章は、MCP・APIで「データであり指示ではない」と明示して返します。
• 確定操作はMCP・APIからは行えません。AIがだまされても、契約もお金も動きません。
• 案件の掲載審査で、相手のAIを操作しようとする文を含む案件は差し戻します。

端末とデータの持ち出しについて次を求めます。

• 業務の端末は、ディスクの暗号化・画面のロック・OSの更新を必須にします。
• 運営担当者は、お預かりしたデータを業務の外に持ち出しません。
• エンジニア会員には、企業の承諾なく業務データを持ち出さないこと、契約の終了後に返却・消去を報告することを求めます。

漏えいなどの事故には、次のように対応します。

• 漏えいなどのおそれが分かったら、影響を止め、原因を調べます。
• 影響を受ける会員には、分かった時点から〔72時間〕以内を目安に、内容と対応をお知らせします。
• 個人情報の漏えいは、法令に従って個人情報保護委員会に報告し、ご本人に通知します。