セキュリティ
CORE SECURITY
6つのセキュリティ基盤
データの収集・処理・保管のすべての段階で、安全性を確保しています。
日本リージョン処理
AWS東京リージョン（ap-northeast-1）で完結。AI処理（Bedrock）も日本国内で実行されます。データは国外に一切送信されません。
多層暗号化
通信時はTLS 1.3、保管時はAES-256で暗号化。データベース、ストレージ、バックアップすべてに適用されています。
各種法規制準拠
個人情報保護法・GDPR・EU AI Act 2026/8/2準拠。プライバシーポリシー・利用規約を整備し、Enterprise契約企業にはDPA（データ処理契約）を個別対応で提供いたします。
AI処理データの即時破棄
AWS Bedrockの会話データはAPIリクエスト完了後にメモリ上で即時破棄。永続保存・学習目的での利用は一切ありません。Anthropic・AWS いずれの従業員もアクセス不可です。
即時削除機能
GDPR第17条「削除権」に対応。管理画面から個別・一括のリード情報を即時削除できます。削除実行の監査ログを自動記録します（個人情報は含まず）。
監査ログ
管理画面の操作・データアクセス・APIコールはすべて監査ログに記録。不審な操作の検出・追跡が可能です。
DATA FLOW
データの流れとセキュリティ
サイト訪問者の対話から営業への通知まで、
各段階で多重のセキュリティ対策が組み込まれています。
ウィジェット
読込
訪問者のブラウザで対話開始
HTTPS / TLS 1.3
CSP対応
AWS Bedrock
(AI処理)
Claudeでメモリ内処理のみ実行
東京リージョン
履歴・ログなし
即時破棄
ナレッジ
参照
自社のFAQ・PDF・URLを参照
テナント分離
暗号化Storage
Supabase
(データ保管)
会話・リードを暗号化保管
東京リージョン
At-Rest暗号化
RLSで完全分離
期間後自動削除
通知配信
営業にメール・Slackで通知
Resend
SPF/DKIM/DMARC
Anthropic・AWS・Supabaseいずれのスタッフも、顧客データへのアクセスは構造的に不可能な設計です。会話データは AWS Bedrock のメモリ内でのみ処理され、即座に破棄されます。
認証・準拠
✓
個人情報保護法
準拠済
✓
GDPR
対応
✓
EU AI Act
2026/8/2準拠
DATA POLICY
データ保持・削除ポリシー
プラン別に明確な保持期間を定め、期限後は自動削除します。
保持期間（プラン別）
- STARTER: HOT/WARMリード 90日 / COLDリード 30日
- TEAM: HOT/WARMリード 180日 / COLDリード 60日
- BUSINESS: HOT/WARMリード 365日 / COLDリード 90日
- ENTERPRISE: カスタム設定可能（無制限〜）
- 保持期間後は cron で自動削除
即時削除（GDPR対応）
- 管理画面から個別・一括のリード情報を即時削除
- 削除は関連する会話履歴・アクセスログを含めて完全削除
- 削除完了は即時反映
- 削除実行の監査ログを自動記録（個人情報は含まず）
- 保持期間経過後はプラン別に自動削除
DPA（データ処理契約）
- Enterprise契約企業に個別対応で提供
- GDPR第28条準拠の内容で締結
- 業種別要件（医療・金融など）にも柔軟対応
- お問い合わせはinfo@aicomms.jpまで
FAQ
セキュリティに関するよくある質問
私たちのデータは、海外サーバーに送信されますか？
いいえ、すべてのデータはAWS東京リージョン内で処理・保管されます。AI処理に使用するBedrockも日本リージョンを使用しており、海外への送信は一切ありません。
Anthropic（Claude開発元）のスタッフは、私たちの会話データを見ることができますか？
いいえ、できません。AWS Bedrock経由でAPIを呼び出しており、Bedrockはモデル呼び出しのログを保存しません。データはSupabaseに暗号化保管され、Anthropic・AWSのスタッフは構造的にアクセスできない設計です。
エンドユーザーの個人情報を削除したい場合、どう対応できますか？
管理画面から即時削除が可能です。リード詳細画面で個別のリード情報を削除できるほか、設定画面から全リード情報を一括削除することもできます。削除は連絡先・会話履歴・アクセスログを含めて完全に消去され、監査ログのみ記録として残ります（個人情報は含みません）。全プランで即時削除機能をご利用いただけます。
DPA（データ処理契約）は締結できますか？
Enterprise契約企業に個別対応で提供いたします。GDPR第28条準拠の内容で締結し、必要に応じて業種特化条項も追加できます。詳細はお問い合わせください。
セキュリティインシデント発生時の対応は？
インシデント検知から72時間以内に影響範囲を特定し、お客様への通知を行います。GDPR第33条・34条の通知義務に準拠しています。Enterprise契約企業には、DPAにて詳細な対応プロセスを個別に定めます。
ENTERPRISE導入時のセキュリティポリシーは個別対応可能ですか？
はい、ENTERPRISE案件ではお客様のセキュリティ要件に応じて個別の打ち合わせを行い、データ取扱い・契約条件・SLAなどを取り決めます。導入前のセキュリティアセスメント対応や、業種特化要件（医療・金融など）にも柔軟に対応いたします。