セキュリティポリシー
最終更新日：2026年7月20日 | 適用日：2026年7月20日
1. セキュリティポリシー概要
Patentyは、ユーザーデータと個人情報の保護のため、HTTPS通信とプロジェクト単位のアクセス制御を適用しています。
本セキュリティポリシーは、当社のセキュリティ原則と実施方針を明示し、すべてのユーザーと従業員が遵守すべきセキュリティ基準を提示します。
2. セキュリティ目標
私たちのセキュリティシステムは、以下の核心目標の達成を目指します：
- 機密性: 許可されていないアクセスから情報を保護
- 完全性: データの正確性と完全性を保証
- 可用性: サービスの継続的で安定した提供
- 責任性: すべての活動に対する追跡・監査機能
3. データセキュリティ
データ保護
- 転送暗号化: HTTPS通信と本番環境のHSTSポリシー
- 保存データの保護: プロジェクト所有者と共同作業者の役割・権限に基づくデータアクセス確認
- APIキー管理: 環境変数による安全なキー管理
- 保存場所と処理場所: データベース接続はソウルリージョンに設定されています。AI推論はグローバルエンドポイントを使用するため、処理場所が異なる場合があります。
データ管理
- 個人情報最小収集原則
- 保存済みプロジェクトはユーザーが削除でき、法定保存記録は別途保管
- バックアップ設定と復旧手順の確認を運用目標とする
- アクセス権限の確認と更新を運用目標とする
4. システムセキュリティ
クラウドインフラ
- アプリケーションホスティング: HTTPS接続を使用するアプリケーションホスティング
- データベース: プロジェクト単位のアクセス権限確認とデータベースのアクセスポリシー
- ウェブファイアウォール: 悪意あるトラフィックとSQLインジェクションのリスクを低減する対策の検討
- セキュリティパッチの確認: セキュリティパッチの適用要否を検討
ウェブアプリケーションの保護目標
- CSRFトークンによるクロスサイトリクエストフォージェリ防止
- XSS防止のための入力データ検証・エスケープ
- SQLインジェクション防止のためのパラメータ化クエリ
- セキュリティヘッダーによるクリックジャッキング・コンテンツ注入防止
5. アクセス制御
認証
- 認証基盤: OAuth 2.0ベース認証システム
- セッション管理: 署名付きセッショントークンによる安全なセッション
- パスワードポリシー: 強力なパスワード要件・ハッシュ化
- アカウントセキュリティ: 異常なログイン試行への保護対策を検討
権限管理
- ロールベースアクセス制御（RBAC）
- 最小権限原則による権限付与
- 案件別細分化アクセス権限
- 権限の確認と更新を運用目標とする
6. AIサービスセキュリティ
第三者AIサービス
- AIインフラ: Pro SecureとEnterpriseはVertex AIを使用し、一般プランの対象処理はOpenRouterを経由する場合があります。
- OCRサービス: サーバーサイドでのみ処理される専門OCRサービス（AI処理に必要な最小限のデータのみ送信）
- APIキーセキュリティ: サーバーサイドからのみアクセス可能なキー管理
- データ最小化: AI処理に必要な最小限のデータのみ送信
AIセキュリティの運用目標
- AIモデルに送信されるデータの事前検証
- AI応答における機密情報の露出リスクを検討
- AIサービス利用記録のセキュリティロギング
- AIモデル更新時のセキュリティ影響評価
7. セキュリティ監視
監視の運用目標
- リアルタイムシステム状態監視
- 異常アクセスパターン検知
- サービス可用性監視
- パフォーマンス異常兆候アラート
ログと監査の運用目標
- セキュリティと運用に必要な範囲のログ記録
- システムイベント・エラーログ
- データアクセス・修正履歴追跡
- 定期的なログ分析・報告
8. セキュリティ事故対応
対応体制
- 担当人員: 事故発生時に対応担当者とエスカレーション経路を確認
- 対応手順: 事故の種類に応じた対応手順の策定と確認
- クラウドサポート: ホスティングおよびデータベース委託先の技術サポートと連携
- 外部協力: 必要時セキュリティ専門業者協力
事故通知
- 即座の内部チーム通知体制
- 顧客データに影響する事故の場合、認知後24時間以内に第一報を顧客へ通知し、確認され次第段階的に詳細を共有
- 関連機関報告（必要時）
- 事後改善方案策定・適用
9. セキュリティ意識向上と教育計画
- 従業員対象定期セキュリティ教育
- 最新セキュリティ脅威情報共有
- セキュリティポリシー熟知・遵守点検
- ソーシャルエンジニアリング攻撃対応訓練
- セキュリティ事故シミュレーション・対応訓練
10. 第三者サービスセキュリティ
Patenty.AIは、サービス提供のために以下の委託先でデータを処理します。最新の一覧と処理条件は /privacy/subprocessors で確認できます：
- アプリケーションホスティング: HTTPS接続を使用するアプリケーションホスティング
- データベース: ソウルリージョンのデータベース接続とプロジェクト単位のアクセス制御
- マネージドAI推論: Vertex AIには、Google Cloudの標準規約に含まれるデータ処理追加条項（CDPA）が適用されます。Googleは、お客様の事前の許可または指示なしに、お客様のデータをAIモデルの学習やファインチューニングに使用しません。
- 文書抽出: 文書OCR処理。処理条件は委託先一覧で確認できます。
- エコノミーAI経路: 一般プランの対象AI処理を行う場合があります。OpenRouterへのリクエストは、データ収集を拒否し、データを保持しないポリシーを持つプロバイダーにのみルーティングします。
11. 法的遵守事項
サービスに適用される法的要件を確認し、対応します：
- 韓国の法令: 個人情報保護法、情報通信網法、クラウドコンピューティング法
- クラウドセキュリティ: クラウドコンピューティング発展およびユーザー保護に関する法律
- 基本セキュリティ: サービスに適用される情報セキュリティ要件の確認
- 国際基準: GDPR、CCPAなどの海外規則は、適用の有無と必要な措置を個別に確認
12. セキュリティポリシー管理
法令、サービス構成、データ処理の変更に応じて、本ポリシーを確認し更新します。
ポリシー変更時には事前告知によりユーザーにお知らせし、重要な変更事項については明示的同意を得ます。
セキュリティポリシーに関するお問い合わせやセキュリティ事故報告は、以下の連絡先までお願いします：
セキュリティ責任者: イ・サンミン（CEO）
メール: contact@patenty.ai
住所: 韓国ソウル特別市江南区テヘラン路503、Hybroビル12階1218号（三成洞）