セキュリティ

契約者のコンテンツおよび個人情報は、Supabase の ap-northeast-1 (東京) リージョンに保管されます。

LLM 推論は Azure OpenAI Service の Japan East リージョンを優先利用します。フォールバック先として AWS Bedrock を構成する場合がありますが、その場合の利用リージョンも日本国内を優先します。

コンテンツは契約者のテナントごとに論理分離され、テナント間の参照は技術的に遮断されます (PostgreSQL の Row Level Security による行レベル隔離 + アプリケーション層でのテナント ID 検証)。

利用者は、メールアドレス + パスワード、または M365 / Google Workspace の SSO で認証します。管理者ロールには、TOTP による多要素認証 (MFA) を必須とし、契約者設定により全利用者にも MFA を必須化できます。

ロールベースアクセス制御 (Admin / Editor / Viewer) に加え、フォルダおよびグループ単位の ACL により、検索可能な文書範囲を細かく制御できます。

通信経路は TLS 1.2 以上で暗号化します (Vercel エッジから Supabase / Azure OpenAI までのすべての経路)。

保管時暗号化: データベースは Supabase の標準暗号化 (AES-256 at rest)。外部サービス連携の OAuth アクセストークン・リフレッシュトークンは、データベースに保管する前にアプリケーション層で AES-256-GCM により暗号化します (暗号鍵は Vercel 環境変数として管理)。

文書操作、権限変更、外部連携の接続・切断、管理設定、課金・利用上限、チャット利用、管理者承認・拒否等の主要なアプリ内操作は Moru アプリ監査ログに記録され、契約者の管理画面から確認できます。ログイン・ログアウト・MFA・SSO 等の認証ログは Supabase Auth または ID プロバイダ側のログとして扱います。

Moru アプリ監査ログの保存期間は tenant settings および SOW で定めます。認証ログ、Vercel / Supabase / Sentry 等の基盤・エラー観測ログは各サービスの plan・保存設定・drain 設定に従います。

管理者ロールを保有する利用者には、TOTP (Authy、Google Authenticator、1Password 等) による MFA の設定を必須としています。契約者が全メンバー MFA を有効にした場合、管理者以外の利用者も保護された画面と API の利用には TOTP 認証済みセッションが必要です。

セッション保持期間 (AAL1) には上限が設定され、一定時間経過後は再認証および MFA 再チャレンジが要求されます。

当社は、依存ライブラリの脆弱性情報を定期的に監視し、影響度に応じて速やかにパッチを適用します。

外部報告された脆弱性については、本ポリシー末尾の「お問い合わせ窓口」を通じて受付け、CVSS 等で深刻度を評価のうえ、責任ある開示プロセスにより対応します。

個人情報漏えいその他の重大なセキュリティインシデントが発生または発生のおそれがある場合、当社は速やかに事実関係を調査し、影響を受ける契約者に対して合理的な範囲で通知します。

APPI 第 26 条に基づき、個人情報保護委員会への報告および本人通知が必要な場合は、法令で定める期間内に対応します。

本サービスの基盤となるクラウドプロバイダ (Vercel、Supabase、Microsoft Azure) は、SOC 2 Type II、ISO/IEC 27001 等の第三者認証を取得しています。当社はこれらの認証に依拠しつつ、アプリケーション層で追加の安全管理措置を実装しています。

ISMS / ISMAP / ISO 27001 等の当社自体の認証取得については、契約者数および規模に応じて段階的に検討します。

契約者ごとにテナント ID が割り当てられ、すべてのデータ (文書、ベクトル、ログ、設定) はテナント ID をキーとして物理的に同一データベース内で論理分離されます。

テナント間のデータ越境は Row Level Security + アプリケーション層のテナントスコープ検証により二重に防止され、内部テストでクロステナントリーク監視を継続実施しています。