情報セキュリティ基本方針

1. 管理体制の整備

当社は、代表取締役を責任者とする情報セキュリティの管理体制を整え、社内規程に基づいて情報資産を適切に管理します。

2. 法令・契約の遵守

当社は、個人情報の保護に関する法律をはじめとする情報セキュリティ関連の法令、国が定める指針、およびお客様との契約上の義務を遵守します。

3. 安全対策の実施

当社は、情報への不正アクセス、漏えい、改ざん、紛失などを防ぐため、次の対策を実施します。

• パソコン等の端末はOS・ソフトウェアを最新の状態に保ち、ウイルス対策を行います。
• 通信は暗号化（SSL/TLS）して行います。

4. アカウント・アクセス権限の管理

当社は、社内ツールおよびクラウドサービスのアカウントとアクセス権限について、次のルールを徹底します。

• アクセス権限は、業務上必要な最小限の範囲に限って付与します。
• アカウントは個人ごとに発行し、ID・パスワードの共有は行いません。
• 業務で利用するクラウドサービスには多要素認証を設定します。
• 退職者や契約が終了した外部協力者のアカウントは、速やかに削除または停止します。
• アカウントと権限の付与状況を定期的に見直します。

5. データの保管

当社は、お客様からお預かりした情報を次のとおり管理します。

• アクセス制御・暗号化などの対策が施された、信頼性の高いクラウドサービス上で管理します。
• 保管場所は会社が指定したサービスに限定し、個人のアカウントや私物の端末・記録媒体には保存しません。
• 重要なデータは定期的にバックアップします。

6. クレジットカード情報の非保持

当社は、お客様のクレジットカード情報を自社のサーバー等で保存・処理・通過させません。カード決済は、国際的なセキュリティ基準であるPCI DSSの最高レベル（レベル1）の認定を受けた決済代行会社Stripe（ストライプ）を通じて行い、カード情報はStripe社が管理します。

7. 生成AIの適切な利用

当社は、業務で生成AIを利用する際、次のルールを守ります。

• 入力した内容がAIの学習に利用されない、法人向けのプランまたは設定のサービスに限って利用します。
• お客様の個人情報や機密情報は、業務上必要な範囲を超えて入力しません。
• 生成AIの出力は担当者が内容を確認したうえで利用し、その正確性に責任を持ちます。

8. 従業者への教育

当社は、役員および従業者に対し、情報セキュリティの重要性と社内ルールについて継続的に教育・周知を行います。

9. 委託先の管理

当社は、業務を外部に委託する場合、委託先が適切なセキュリティ対策を講じているかを確認し、必要に応じて契約で秘密保持を義務づけます。

10. 事故への対応

当社は、情報セキュリティ上の事故が発生した場合、被害の拡大を防ぐため速やかに対応し、必要に応じてお客様および関係機関に報告します。また、原因を分析し再発防止に努めます。

11. 継続的な改善

当社は、上記の取り組みを定期的に見直し、情報セキュリティの管理を継続的に改善します。