データ分離
- すべてのテーブルに会社単位の行レベルセキュリティ（RLS）が適用され、他社のデータは照会自体ができません。
- 給与・採用・健診・決裁などの機微テーブルはクライアント権限を撤回し、サーバーAPIのみが扱います。
- 添付ファイルは非公開バケットにパス別ポリシー（本人・決裁者・管理権限者）で保護され、許可された形式のみ保存されます。
- 運営のサポートモードは読み取り専用で、DB側で書き込みが拒否され、すべて記録されます。
暗号化
- 個人番号・口座・賃金・連絡先などの個人情報はアプリケーションキーで暗号化して保存し、画面にはマスク値を表示します。
- 復号は細かな権限を持つ人のみサーバーAPIで行え、誰がいつ何を閲覧したかが記録されます。
- 通信はTLSのみ（HSTS preload）、データベース・バックアップは保存時に暗号化されます。
認証
- 2段階認証（認証アプリ）に対応し、会社ポリシーで管理者または全員に強制できます。バックアップコードで復旧できます。
- ログインはネットワーク・アカウント単位の試行制限、アカウントロック、ボット確認（Turnstile）、流出パスワード拒否で保護されます。
- 新しい端末・ネットワークからのログイン、パスワード変更、2段階認証の変更は本人へメールで通知します。
- アクティブなセッションを確認して他の端末をすべてログアウトできます。パスワード再設定は1時間・1回のリンクのみです。
アクセス制御
- ロール（最高管理者・マネージャー・メンバー）と権限グループで人事・給与・契約情報へのアクセスを分けます。マネージャーは担当組織の範囲のみ閲覧します。
- 給与・個人番号の閲覧はロールとは別の権限が必要で、自分の人事情報は自分で変更できません。
- 設定・権限・休暇調整・ログイン・運営アクセス・メッセンジャー書き出しの記録を監査ログとして92日まで照会・CSV出力できます。
監視・可用性
- サーバー・クライアントのエラーは即時に運営へ通知され、5分周期の稼働確認と公開ステータスページを運用しています。
- ログイン失敗の推移とクレデンシャルスタッフィングの兆候（1つのIPが複数アカウントを試行）を常時監視し、IPを遮断します。
- 会社データはいつでも全体エクスポート（CSV）でき、削除要請後30日の猶予を経て完全に削除されます。
開発セキュリティ
- デプロイ前に型検査・リント・単体テストと実環境E2E（70以上のスイート、権限・個人情報ガード含む）を通過します。
- 依存関係は自動更新（Dependabot）と脆弱性監査を経て、ロックファイル・整合性ハッシュで固定します。ビルドにDB管理キーは渡しません。
- nonce CSP、クリックジャッキング・MIMEスニッフィング防止、SSRF遮断、レート制限が既定で適用されます。
- 定期的な全数点検（権限・分離・正確性・運用・サプライチェーン）を実施し記録します。
データの所在・処理
- データベース・ファイルストレージはSupabase（AWS）、アプリケーションはVercelで運用しています。委託先一覧はプライバシーポリシーに記載しています。
- AI機能は暗号化された個人情報をプロンプトに含めず、使用量の上限と費用を計測します。
- メッセンジャーの保存期間は会社が設定でき、通知・ログは定められた保存期間後に自動削除されます。
