Security

Proyecta は、お客様のソースコード、プロンプト、およびプロジェクトデータがAIシステムおよび隔離された実行環境を通じて処理されるプラットフォームです。これらのデータの保護は、当社が本サービスを構築する上での基盤です。本ページでは、当社のセキュリティ慣行を平易な言葉で要約します。これは、当社のプライバシーポリシー、利用規約、およびサブプロセッサーリストを補完するものです。

セキュリティに関するご質問、エンタープライズセキュリティレビュー、または脆弱性の報告については、security@proyecta.dev までご連絡ください。

1. インフラストラクチャおよびホスティング

本サービスは、確立されたクラウドリージョンで運用されるKubernetesネイティブのインフラストラクチャである Google Cloud Platform 上で稼働しています。Cloudflare は、コンテンツ配信、DDoS 防御、およびWebアプリケーションファイアウォールのために、当社の公開エンドポイントの前面に配置されています。

当社は自社のデータセンターを運営していません。当社のクラウドプロバイダーは、独立したインフラストラクチャセキュリティ認証を維持しており、当社に代わってデータを処理するプロバイダーの最新リストは、当社のサブプロセッサーページで公開されています。

2. 暗号化

• 転送中： お客様と本サービスの間のすべてのトラフィックは、TLS 1.2 以上で暗号化されます。
• 保存時： お客様のコンテンツ、アカウントデータ、およびバックアップは保存時に暗号化されます。
• 機密情報： 認証情報および連携トークンは暗号化された状態で保存され、クライアントサイドのコードやログに露出することは決してありません。

3. アクセス制御

• ロールベースのアクセス制御。 本番システムおよびお客様データへのアクセスは、最小権限の原則に基づき、認可された Proyecta の担当者に限定されます。
• 監査ログ。 管理者およびデータアクセスのアクションは、説明責任のために記録されます。
• スコープ限定された認証情報。 サービスおよび連携の認証情報は、その機能に必要な最小限の権限に限定されます。
• 守秘義務。 コンテンツにアクセスする担当者は守秘義務に拘束され、セキュリティトレーニングを受けます。

当社のプライバシーポリシーに記載されているとおり、認可された担当者は、サポートの提供、問題のデバッグ、信頼性の維持、または法的義務の遵守のために必要な範囲でのみコンテンツにアクセスします。

4. お客様のコードおよびAIデータの取り扱い

これは多くのお客様が最も気にされる点ですので、明確に述べます：

• 当社はお客様のコンテンツをAIモデルの学習に使用しません。 当社は、お客様のコード、プロンプト、またはデータを当社のAIモデルの学習やファインチューニングに使用することはなく、また、AIプロバイダーのモデルを学習させる目的で、お客様のコンテンツをAIプロバイダーに送信することもありません。
• コンテンツはお客様にサービスを提供するために処理され、データマイニングの対象にはなりません。 お客様のコンテンツは、お客様自身のセッション内で応答を提供するためだけに処理されます。
• 第三者のAIプロバイダーは入力を一時的に処理します。 応答を生成するために、入力はAPIを介してAIモデルプロバイダー（Anthropic、OpenAI、Google）に送信されます。当社は、それらのプロバイダーの現行のAPI規約の下で、お客様の入力を当該プロバイダーのモデルの学習に使用しないAPIティアを利用しています。当社はこれらのプロバイダーを管理しておらず、そのデータ取り扱いは各社独自の規約に従うため、お客様は独立してこれを確認する必要があります（利用規約第10.2条参照）。
• 集約された分析のみ。 本サービスを改善するために当社が導き出すいかなる分析も、お客様を特定したり、お客様のコンテンツを再構築したりするために使用できない、集約され匿名化されたデータを使用します。

5. ランタイム分離

本サービスによって生成および実行されるコードは、隔離されたランタイム環境内で実行されます——ワークロードごとにプロビジョニングされる専用のサンドボックス化された Kubernetes Pod です。ランタイムは相互に隔離されており、ライフサイクルスケジュールに従って破棄されるため、単一の実行による影響範囲が限定されます。

6. 脆弱性管理

• 当社は本サービスについて、定期的な脆弱性評価およびセキュリティテストを実施しています。
• 当社はソフトウェア依存関係について既知の脆弱性を監視し、リスクの優先順位に基づいてアップデートを適用します。
• 責任ある開示。 セキュリティ脆弱性を発見したと思われる場合は、security@proyecta.dev までご報告ください。当社は報告を確認し、速やかに調査を行い、状況をお伝えします。公開開示の前に、適切な修正の機会をお与えください。

7. データ保持および削除

当社は、本サービスを提供し法的義務を満たすために必要な期間のみ情報を保持します。プロンプトおよび生成された出力を含む会話履歴は、お客様がそれらを削除するか、アカウントを終了するまで保持されます。アカウント終了後、お客様にはデータをエクスポートするための 30 日間の猶予期間があり、その後、当社の保持スケジュールに従って削除されます。詳細はプライバシーポリシー第 4 条に記載されています。

8. インシデント対応

当社はセキュリティイベントに対するインシデント対応プロセスを維持しています。お客様の個人データが関係する侵害が発生した場合、可能な限り発見から 72 時間以内、または適用される法律で要求される場合はより早期に、影響を受けるお客様にインシデントの性質、影響を受けたデータ、および推奨される対応について通知します。

9. サブプロセッサー

当社は、本サービスを運営するために、審査済みの第三者サービスプロバイダーを利用しています。各プロバイダーは、当社に代わって処理するデータを保護する契約上の義務を負っています。各プロバイダーの目的、処理するデータ、所在地を含む完全な最新リストは、当社のサブプロセッサーページで公開されており、同ページには変更の通知方法が記載されています。

10. コンプライアンスおよびセキュリティレビュー

• データ処理契約。 データ管理者として行動するお客様は、当社のプライバシーポリシーを補完する追加のデータ保護義務を含むDPAをリクエストできます。legal@proyecta.dev までご連絡ください。
• セキュリティ質問票。 当社はベンダーセキュリティ質問票への回答およびエンタープライズセキュリティレビューの支援を喜んで行います——security@proyecta.dev までご連絡ください。
• サブプロセッサーの透明性。 当社のサブプロセッサーリストは公開されており、常に最新の状態に保たれています。

Proyecta の成長に伴い、当社は正式なセキュリティおよびコンプライアンスプログラムを引き続き拡大していきます。特定の認証や監査の現状については、お問い合わせいただければ、現状をお伝えします。

11. お問い合わせ

• セキュリティおよび脆弱性報告：security@proyecta.dev
• プライバシーに関するお問い合わせ：privacy@proyecta.dev
• 法務およびDPAのリクエスト：legal@proyecta.dev