Trust Center
MITATE のセキュリティ
MITATE は、お客様のページを壊さず、訪問者の情報を必要なぶんだけ扱い、AI には文章も金額も作らせません。 このページでは、その対策と、委託先・認証の状況をまとめています。
認証と準拠
ISO/IEC 27001（ISMS）
取得予定情報セキュリティマネジメントシステム
ISO/IEC 27017
取得予定クラウドサービスの情報セキュリティ
沿っている法令と指針
- 個人情報保護法
- 個人データの取り扱い、委託先の監督、外国にある事業者への委託の説明に沿って取り扱います。
- 電気通信事業法の外部送信規律
- タグが送る情報・送信先・目的を公開し、お客様が公表するための文の見本をドキュメントで提供しています。
- 経済産業省「クラウドサービスレベルのチェックリスト」
- この項目に沿って、セキュリティチェックシートで回答します。
- IPA「安全なウェブサイトの作り方」
- セキュリティ実装チェックリストの項目に沿って、セキュリティチェックシートで回答します。
データの保護
判定に要らない情報は集めず、集めたものは伏せ字にし、期間を決めて消します。
通信の暗号化
実施すべての通信を HTTPS で暗号化しています。
連絡先の伏せ字
実施相談の文面のメールアドレス・電話番号・郵便番号・長い数字を、ブラウザで送る前と受け取った直後の 2 か所で伏せ字にします。
入力欄を読まない
実施フォームの入力欄の値と、お客様が指定した場所の中は読みません。
訪問者を追いかけない
実施Cookie・端末の識別子を使わず、IP アドレスを保存しません。判定の区切りは、タブを閉じると消えるランダムな ID です。
保存期間での自動削除
実施判定ログは 90 日、操作の記録は 1 年で自動的に消します。契約の終了から 30 日で、お客様のデータを消します。
製品の安全
お客様のページを壊さず、承認していない内容を表示しません。
HTML を差し込まない
実施訴求の文字は文字として入れ、HTML やスクリプトとして差し込みません。
承認した訴求だけを表示
実施表示の候補は、担当者が承認した訴求だけです。承認済みを直すと、承認し直すまで表示しません。
送信元の確認
実施判定は、お客様が登録したドメインのページからだけ受け付けます。
流量と大きさの上限
実施タブごと・サイトごとの流量の上限と、1 回の送信の大きさの上限を設けています。
失敗したら標準の表示
実施判定が 1.5 秒以内に返らないときや失敗したときは、表示を変えません。停止スイッチで、次の判定から標準の表示に戻します。
アクセスの管理
管理画面は、パスワードを使わずにログインし、役割で操作を分けます。
パスワードを使わないログイン
実施メールで届く、15 分で失効する 1 回限りのリンクでログインします。
役割による権限
実施承認・停止・設定の変更・メンバーの管理は、管理者だけが行えます。
組織ごとの分離
実施データは組織ごとに分け、別の組織のデータは見ることも変えることもできません。
なりすまし送信の拒否
実施管理画面の変更の操作は、管理画面からの送信だけを受け付けます。
操作の記録
実施承認・却下・停止・再開・設定の変更を、誰がいつ行ったかとともに記録します。
2 段階認証・SSO
予定管理画面の 2 段階認証と、SAML などのシングルサインオンに対応します。
インフラ
Cloudflare の上で動かし、鍵はサーバーだけが持ちます。
保存場所
実施Cloudflare のデータベースに、アジア太平洋地域を指定して保存します。
復元用の履歴
実施データベースの復元用の履歴を保持しています。
鍵の管理
実施判定などに使う鍵はサーバーの秘密の設定に置き、ブラウザにもソースコードにも置きません。
開発の安全
変更のたびに、自動で確かめてから反映します。
変更ごとの自動テスト
実施組織の分離・役割・伏せ字・送信元の確認・停止スイッチ・保存期間などを、変更のたびに自動のテストで確かめます。
鍵の紛れ込みの検査
実施ソースコードに鍵が紛れ込んでいないかを、変更のたびに調べます。
部品の脆弱性の通知
実施使っている部品に脆弱性が見つかると通知が届き、更新します。
第三者による脆弱性診断
予定外部の専門の事業者による脆弱性診断を行います。
AI の安全
AI には文章も金額も作らせず、選ぶことだけを任せます。
判定専用のモデル
実施判定に使う AI は文章を生成せず、選択肢と確率だけを返します。AI の出力が、そのまま訪問者に表示されることはありません。
金額はプログラムで計算
実施金額は、登録した料金表の規則からプログラムが計算します。
生成 AI に訪問者のデータを渡さない
実施訴求案の下書きで文章生成 AI に渡すのは、お客様の公開ページの本文と関心の説明だけです。
下書きは承認制
実施AI が作った訴求案は下書きで、担当者が承認するまで表示されません。
組織の対策
情報セキュリティの方針と体制を定めます。
情報セキュリティ基本方針
予定情報セキュリティの目的・範囲・体制・対策を定めた基本方針を制定します。
情報セキュリティ責任者
予定方針の運用と事故への対応を統括する責任者を置きます。
従業員の教育
予定入社時と定期的に、情報セキュリティの教育を行います。
委託先の管理
予定委託先の安全管理の状況を確かめて選び、契約で必要な事項を定めます。
事故への対応
影響を止め、速やかにお知らせします。
事故のときの手順
実施影響を止める（停止スイッチ・配信の切り戻し・鍵の無効化）、範囲を調べる、お客様に知らせる、再発を防ぐ、の順で対応します。
お客様へのお知らせ
実施個人データの漏えいのおそれがある事故では、お客様に速やかにお知らせします。
脆弱性の報告の受け付け
実施脆弱性の報告を受け付け、3 営業日以内に受け取ったことをお返しします。
委託先
サービスの提供のために、次の事業者に処理を任せています。
| 事業者 | 任せる処理 | 渡すもの | 所在国 |
|---|---|---|---|
| Cloudflare, Inc. | 配信、判定の処理、データの保存 | MITATE が扱うデータのすべて | 米国 |
| TypeSafe | 判定（判定専用の AI モデル） | 伏せ字にしたあとの操作と相談の文面、ページの説明 | 米国 |
| Anthropic, PBC | 設定のときの訴求案の下書き（文章生成 AI） | お客様の公開ページの本文、関心の説明 | 米国 |
| Resend, Inc. | 管理画面へのログイン用のメールの送信 | 管理画面の利用者のメールアドレス | 米国 |
資料
セキュリティチェックシート（Excel）
予定経済産業省・IPA のチェックリストの項目に沿った回答です。
ドキュメント
公開送る項目の実物、保存と委託先、ログインと権限。
プライバシーポリシー
予定サービスサイトでの個人情報の取り扱い。
利用規約・データ処理の取り決め（DPA）
予定製品での訪問者のデータの取り扱いの契約。
よくある質問
訪問者の個人情報は集めますか
判定のために氏名や連絡先を求めることはありません。相談の文面に連絡先が書かれた場合は、伏せ字にしてから扱います。氏名と住所は機械では見分けきれないため、お客様の側で取り除いてから渡していただくようお願いしています。
AI が誤った内容を表示することはありますか
AI は表示する文章も金額も作りません。表示するのは担当者が承認した訴求と、料金表から計算したプランだけです。AI の判定が誤った場合に起こりうるのは、承認済みの別の訴求が表示されることです。
データは日本国内に保存されますか
Cloudflare のデータベースに、アジア太平洋地域を指定して保存しています。日本国内に限った保存は保証していません。
委託先はデータを学習に使いますか
判定に使う AI の提供事業者（TypeSafe）は、入力をモデルの学習に使わないと定めています。訴求案の下書きに使う文章生成 AI の提供事業者（Anthropic）は、API の入力と出力を既定ではモデルの学習に使わず、30 日以内に消すと定めています。
セキュリティチェックシートに回答してもらえますか
はい。お客様の書式での回答も承ります。お問い合わせから、種類で「セキュリティについて」を選んでご連絡ください。
窓口
- セキュリティのお問い合わせ
- チェックシートへの回答や、個別のご質問は、お問い合わせから種類で「セキュリティについて」を選んでご連絡ください。
- 脆弱性の報告
- 公開の場には書かず、同じお問い合わせからお知らせください。受け取ったことを 3 営業日以内にお返しします。 善意の調査で、利用者のデータに触れず、サービスを妨げない範囲のものについては、法的な措置を求めません。 窓口は security.txt にも載せています。