セキュリティ

本ページは、2026年10月時点の状況を記載しています。実施済みの事項と今後対応する事項を区別して記載し、内容に変更があった場合は本ページを更新します。
表示の見方：実施中 現在実施している事項　対応予定 今後対応する事項

1. セキュリティ方針

トンボ合同会社（以下「当社」といいます。）は、SES・SI企業の要員と契約更新の管理「COMPAS」（以下「本サービス」といいます。）において、お客様の営業情報、技術者情報、取引先情報等の重要なデータをお預かりしています。当社は、これらのデータの機密性・完全性・可用性を確保することを事業運営の前提と位置付け、次の方針に基づいて情報セキュリティに取り組みます。

1. 関係法令、個人情報保護委員会のガイドラインおよびお客様との契約を遵守します。
2. お預かりしたデータは、本サービスの提供に必要な範囲でのみ取り扱います。
3. 技術的・組織的な対策を講じ、その実施状況を定期的に見直し、改善します。
4. 事故が発生した場合は、速やかにお客様にお知らせし、被害の拡大防止と再発防止に努めます。
5. 実施している事項と実施していない事項を区別し、正確にお知らせします。

個人情報の取扱いについては、プライバシーポリシーをご覧ください。

2. 体制と責任者

本サービスの運用に携わる者は、秘密保持の誓約のうえで、業務に必要な範囲に限ってお客様のデータを取り扱います。

3. データセンター・インフラ

• 本サービスは、Cloudflare, Inc.（アメリカ合衆国）が提供するグローバルなクラウド基盤上で稼働しています。アプリケーションの実行、データベース、データの配信は同基盤のサービスを利用しています。実施中
• 当社は自社でサーバー機器を保有していません。データセンターの物理的な入退室管理、電源・空調等の設備管理は、基盤の提供事業者が行っています。
• 基盤の提供事業者のセキュリティおよびコンプライアンスに関する情報は、同社が公開している資料をご確認いただけます。

4. データの保存場所

• 本サービスのデータは、Cloudflare, Inc.のデータベースおよびストレージに保存されます。保存先の地域：［保存先の地域：確定後に記載］
• AIによる文章作成の補助を利用する際には、処理に必要な範囲のデータがAnthropic, PBC（アメリカ合衆国）に送信されます（11. をご参照ください）。
• 外国にある事業者への個人データの取扱いの委託については、プライバシーポリシー第8条に記載しています。

5. 暗号化

6. 認証とアクセス管理

ログイン

• お客様の組織のMicrosoft 365アカウントでのログイン。お客様の組織で設定されている多要素認証や条件付きアクセス等のログインに関する方針は、Microsoft 365側の設定がそのまま適用されます。対応予定
• 当社は、Microsoft 365アカウントのパスワードを受け取ったり保存したりしません。
• ログイン状態は8時間で自動的に終了します。ログイン状態の維持に用いるCookieには、改ざん防止の署名を付け、ブラウザのスクリプトから読み取れない設定（HttpOnly）および暗号化通信でのみ送信される設定（Secure）を行っています。実施中
• Microsoft 365以外のアカウントでご利用いただく場合の、本サービス独自の多要素認証対応予定

役割に応じた画面・権限

• 利用者ごとに役割（役員、営業責任者、営業担当等）を設定し、役割に応じて表示される画面、閲覧できるデータの範囲、実行できる操作を分けています。実施中
• 利用者の追加・削除および役割の変更は、お客様の管理者が行います。

不正アクセスの防止

• 他のサイトへの画面の埋め込みの禁止、ファイル種別の誤認防止等のセキュリティ設定をすべての応答に付与しています。実施中
• 当社の運用担当者がお客様のデータにアクセスするのは、障害対応やお客様からのご依頼への対応等、業務上必要な場合に限ります。

7. 操作ログ・監査

• 見積の承認等の重要な操作について、操作者、日時、操作の内容を記録しています。実施中
• すべての操作を対象とした操作ログの記録と、お客様の管理者による閲覧・書き出しの機能対応予定

8. バックアップと復旧

• データベースの控えの定期的な自動取得と、別の保管場所への保存対応予定
• 取得した控えから復元し、表ごとの件数と内容が一致することを確かめる演習対応予定
• 復旧目標時間（RTO）および復旧目標時点（RPO）は、復旧の演習で実測したうえで公表します。対応予定
• 契約期間中・契約終了日から30日間は、ご希望に応じて当社が全データを書き出してお渡しします（一覧ごとのCSVは画面からも書き出せます）。

9. 脆弱性対策・開発プロセス

• プログラムの変更時には、自動テストを実行し、結果を確認しています。実施中
• 自動テストの通過を、本番環境へ反映するための必須条件とする運用対応予定
• 本番環境の接続情報や鍵は、プログラムとは分けて基盤の機密情報の保管機能に保存し、利用者の画面には渡していません。実施中
• 外部の専門機関による脆弱性診断対応予定
• 利用しているソフトウェア部品の脆弱性情報の定期的な確認と更新の手順化対応予定

10. 障害・インシデント対応

障害やセキュリティ上の事故（以下「インシデント」といいます。）は、次の流れで対応します。

1. 検知：監視、お客様からのご連絡、委託先からの通知等によりインシデントを把握し、影響範囲を確認します。
2. お客様への連絡：本サービスの障害は、［障害情報の掲載場所：開設後に記載］およびメールでお知らせします。
3. 報告：復旧後、原因、影響範囲、実施した対策および再発防止策をご報告します。

個人データの漏えい等またはそのおそれを把握した場合は、その時点から3日以内（土曜日、日曜日および祝日を含みます。）にお客様にお知らせし、お客様が行う個人情報保護委員会への報告およびご本人への通知に協力します。

11. AIの利用とデータの扱い

• 本サービスでは、文章の下書きの作成や、技術者と案件の照合の補助に、Anthropic, PBCのAIを利用しています。
• AIが行うのは候補の提示と下書きの作成までです。金額、契約内容、受注確度等の事項は、利用者が確認し、確定します。AIが入力内容を自動的に確定・送信することはありません。
• AIは、提供元が送信した内容をAIの学習に使用しない条件で利用しています。実施中
• AIに送信するのは、処理に必要な範囲のデータに限ります。
• 各プランには、料金表に定める量のAIトークンが毎月含まれます。使い切った場合は、追加購入されない限り翌月1日まで利用者の画面でAIの機能が停止し、その旨が表示されます（AI以外の機能は引き続き使えます）。対応予定

12. お客様データの返却・削除

13. 第三者認証の取得状況

認証を取得した場合は、本ページでお知らせします。なお、本サービスが利用しているクラウド基盤の提供事業者は、同社として第三者認証を取得しています。詳細は同社の公開資料をご確認ください。

14. サービスレベル

• 月間稼働率の目標値は、稼働状況を実測したうえで公表します。対応予定
• 計画的なメンテナンスを行う場合は、7日前までにお知らせします。
• 稼働率が目標を下回った場合の利用料金の減額の条件は、目標値の公表にあわせて利用規約の改定により定めます。それまでの間、減額は行いません。
• お問い合わせへの対応は、平日10時〜18時とし、1営業日以内に返信します。障害、情報漏えい、データの削除に関するお問い合わせには、必ず担当者が対応します。

15. お問い合わせ

セキュリティに関するご質問や、御社のセキュリティチェックシートへの回答のご依頼は、お問い合わせフォームからご連絡ください。御社の様式に記入してお送りします。

2026年10月現在
トンボ合同会社