セキュリティポリシー
最終更新日：2026年7月
第1条（基本方針）
KANAMEは、マンション管理会社のフロント担当者が扱う業務情報・居住者情報・管理組合情報を適切に保護することを、サービス提供における最優先事項と位置づけています。
本ポリシーは、KANAMEが提供するサービスにおける情報セキュリティの基本方針および具体的な管理体制を定めるものです。
第2条（提供形態）
KANAMEは以下の2つの形態でサービスを提供しています。それぞれでデータの保管場所および責任範囲が異なります。
SaaS版
KANAMEが提供するWebアプリケーション上でサービスを利用する形態です。データの取り扱いには以下の2パターンがあります。
①SharePoint連携型：業務ファイルの正本は顧客の SharePoint 内に保持したまま、KANAMEがGraph API経由で都度データを取得します。ファイルの正本を二重管理しません。
②KANAME完結型：業務ファイルをKANAME側にアップロードし、KANAMEのクラウドサーバー上でデータを保持・管理します。
M365アドオン版
Microsoft Teams / SharePoint と連携し、Teams 上でKANAMEの機能を利用する形態です。ファイルの正本は顧客の Microsoft 365 テナント内（SharePoint / OneDrive）に保持され、KANAMEのサーバーには保存されません。
※ PoC（実証実験）期間中は、いずれの形態においてもKANAMEの環境上でサンプルデータを用いて検証を行います。実データを用いる正式版導入時の採用形態・パターンについては、顧客との協議の上で決定します。
いずれの形態においても、ユーザーアカウント情報・操作ログ・ベクトルインデックスはKANAMEの管理するクラウドインフラ（Google Cloud Platform）上に保存されます。業務ファイルの正本については、上記の通り形態・パターンによって保管場所が異なります。
第3条（データの保管場所）
SaaS版
| データ種別 | 保管場所 | 管理主体 |
|---|---|---|
| 業務ファイル（正本） | 顧客の SharePoint / OneDrive | 顧客（貴社） |
| ベクトルインデックス | KANAMEのクラウドサーバー（Google Cloud Platform） | KANAME |
| ユーザーアカウント情報 | KANAMEのクラウドサーバー（Google Cloud Platform） | KANAME |
| 操作ログ | KANAMEのクラウドサーバー（Google Cloud Platform） | KANAME |
| AI生成コンテンツ | KANAMEのクラウドサーバー（Google Cloud Platform） | KANAME |
SaaS版のうちSharePoint連携型を選択した場合、業務ファイルの正本は顧客テナント内に保持され、KANAMEのサーバーに複製・保存されません。KANAME完結型を選択した場合は、業務ファイルもKANAMEのクラウドサーバー上に保管されます。なお、PoC（実証実験）期間中は、KANAMEの環境上でサンプルデータを用いて検証を行います。
M365アドオン版
| データ種別 | 保管場所 | 管理主体 |
|---|---|---|
| 業務ファイル（正本） | 顧客の SharePoint / OneDrive | 顧客（貴社） |
| ベクトルインデックス | Google Cloud Platform | KANAME |
| ユーザーアカウント情報 | Google Cloud Platform | KANAME |
| 操作ログ | Google Cloud Platform | KANAME |
なお、外部システムとテナント・アプリケーションを連携させる場合、連携先システムが侵害された際に正規のアクセス経路を通じてデータへ影響が及ぶリスク、また外部システム側にデータを保持する場合はそのシステム自体が攻撃対象となるリスクは、KANAMEに限らずSaaS・外部システム連携全般に共通する一般的なリスクです。当社は第11条に定めるアクセス制御・監査ログ・異常検知の仕組みにより、被害の早期発見・範囲限定に努めています。貴社の情報システム方針に応じて、いずれの形態を採用するかご相談させていただければと存じます。
第4条（データの保存期間）
| データ種別 | 保存期間 |
|---|---|
| ベクトルインデックス | 契約期間中および契約終了後30日間 |
| ユーザーアカウント情報 | 契約期間中および契約終了後30日間 |
| 操作ログ | 契約期間中および契約終了後30日間 |
| AI生成コンテンツ | 契約期間中および契約終了後30日間 |
契約終了後の削除については、顧客からの要請に基づき速やかに対応します。
第5条（責任分担）
クラウドサービスにおける情報セキュリティの責任は、業界標準の「共有責任モデル」に基づき、インフラ提供事業者・KANAME・顧客の三者で分担されます。
SaaS版
| 層 | 内容 | 責任主体 |
|---|---|---|
| インフラ層 | データセンター・クラウド基盤の物理・論理セキュリティ | |
| アプリケーション層 | KANAMEのコード・認証・アクセス制御・脆弱性対応 | KANAME |
| データ層（M365内） | ファイルの保管・M365アクセス権限管理 | 顧客（貴社） |
| データ層（KANAME内） | ベクトルインデックス・ログ・アカウント情報の管理 | KANAME |
M365アドオン版
| 層 | 内容 | 責任主体 |
|---|---|---|
| インフラ層 | データセンター・クラウド基盤の物理・論理セキュリティ | Microsoft・Google |
| アプリケーション層 | KANAMEのコード・認証・アクセス制御・脆弱性対応 | KANAME |
| データ層 | ファイルの保管・M365アクセス権限管理・監査ログ | 顧客（貴社） |
第6条（利用クラウドインフラ）
KANAMEの処理エンジンは Google Cloud Platform 上で稼働します。
インフラの認証取得状況（Google Cloud として）はISO/IEC 27001、SOC 2 Type II 等に準拠しています。AI処理には Google Vertex AI を利用します（顧客データのモデル学習利用なし）。
上記認証はKANAMEではなくインフラ提供事業者（Google）が取得しているものであり、KANAMEはその上で稼働するアプリケーションとして運用されます。
第7条（アクセス制御）
Microsoft Graph API スコープ
KANAMEは Microsoft Graph API を通じて顧客の M365 テナントに接続します。申請するスコープは顧客の要件に合わせて設定し、業務上必要な最小範囲に限定します。スコープは読み取り専用への設定も可能です。人事情報・非公開チャンネル等、指定外のフォルダへのアクセスは行いません。顧客のM365管理者が承認・取り消しを随時実行できます。
機能追加時の承認
新たなスコープが必要な機能を追加する場合は、事前に顧客のM365管理者の承認を取得した上で実施します。
認証
利用者の認証は、M365アドオン版・SaaS版のいずれにおいても Microsoft Entra ID（旧 Azure Active Directory）と連携して行います。KANAME独自のパスワード認証は行わず、顧客側で設定された多要素認証および条件付きアクセスポリシーがKANAME利用時にもそのまま適用されます。
第8条（データの利用）
KANAMEが顧客データを利用するのは以下の場合に限ります。ここでいう顧客データとは、業務ファイルから生成したベクトルインデックス・操作ログ・ユーザーアカウント情報等を指します（例：議事録から生成した検索用データ、問い合わせ対応履歴など）。
以下の場合に利用します。
- KANAMEサービスの提供（RAG検索・AI回答生成・議事録作成等）
- 障害対応・セキュリティインシデントの調査・対応
以下の場合には利用しません。
- 顧客の事前同意のない第三者への提供・販売
- 他社顧客向けサービスへの転用・学習への利用
- マーケティング・広告目的での分析・利用
- サービス品質向上を目的としたプロンプト・システム改善への転用
- AIモデルの学習（利用するAIサービスのDPA上、禁止）
第9条（第三者提供）
KANAMEは、以下の場合を除き、顧客データを第三者に提供しません。
- 顧客の事前の書面による同意がある場合
- 法令に基づく開示請求がある場合
- 人の生命・身体・財産の保護のために必要な場合
第10条（委託先）
KANAMEは、サービス提供のために必要な範囲で、以下の委託先にデータ処理を委託しています。各委託先は、KANAMEと同等以上のデータ保護基準を満たしています。
| 委託先 | 処理内容 |
|---|---|
| Google LLC | インフラ・AI処理 |
| Microsoft Corporation | M365連携（Graph API経由でのSharePoint / Teams等へのアクセス） |
実際に利用する委託先は、顧客との契約に基づき選択されます。
第11条（監査とログ管理）
Microsoft側の監査ログ（両形態共通）
KANAMEによる M365 へのすべてのアクセスは、Microsoft 365 の監査ログに記録されます。顧客のM365管理者は、KANAMEのアクセス履歴をMicrosoft管理センターから確認することができます。
KANAMEのアクセスログ
KANAMEは、誰がいつどのファイルを参照・検索したかを記録しています。顧客からの要請があった場合、ログレポートを提供します。
異常検知
利用するクラウドインフラの監視サービス（Google Cloud の Cloud Logging・Cloud Monitoring・Cloud Audit Logs 等）を用いて、アプリケーションエラー・HTTPエラー・認証エラー・リソース異常・管理操作を記録・監視します。重大度に応じたアラート条件を設定し、通常の利用パターンを逸脱したアクセスを検知した場合は運用担当者へ通知するとともに、速やかに顧客へ通知します。
第12条（可用性・信頼性）
システム構成
Google Cloud のマネージドサービスを利用し、アプリケーションは複数インスタンスによる冗長化および障害時の自動復旧が可能な構成としています。データベースについても高可用性構成を前提としています。
バックアップ
データベースは Google Cloud の自動バックアップ機能を利用し、日次でバックアップを取得します（保存世代数：30日）。
稼働率（SLA）
現時点では、サービス稼働率を保証するSLAは設定していません。サービス提供開始後の稼働実績および運用体制を踏まえ、稼働率目標およびSLAを設定します。
障害対応・目標復旧時間
現時点では、障害発生時の目標復旧時間（RTO）は設定していません。障害を認知した場合は、影響範囲および重要度を確認し、速やかに復旧対応を行います。RTOについては、稼働実績および運用体制を踏まえて設定します。
第13条（機密性）
通信の暗号化
利用者端末とKANAME間、およびKANAMEと外部サービス間の通信は、HTTPSによるTLS暗号化を行います（TLS 1.2以上）。
保存データの暗号化
KANAME側に保存されるデータは、Google Cloud のマネージドサービスが提供する保存時暗号化機能により暗号化されます。
不正アクセス対策
Google Cloud Armor を利用し、WAFによる一般的なWeb攻撃への対策、アクセス制御およびレート制限を実施します。
第14条（脆弱性対応）
脆弱性診断
現時点では、第三者機関による脆弱性診断およびペネトレーションテストは実施していません。今後サービスを進める中で、実施を検討してまいります。
パッチ管理
Google Cloud のマネージドサービスについては、各サービスの更新方針に従います。定期的に脆弱性情報および更新状況を確認し、重要度と影響範囲に応じてセキュリティパッチを適用します。
第15条（インシデント対応）
報告義務
情報漏洩またはセキュリティインシデントが発生した場合、または発生した可能性が判明した場合、KANAMEは24時間以内に顧客の担当者へ報告します。
対応体制
インシデント発生時は、代表（大久保）が直接の対応窓口となり、原因調査・再発防止策の立案・実施を行います。クラウドインフラに起因するインシデントについては、Google Cloud のインシデント対応プロセスに準拠して対応します。M365連携部分に起因するインシデントについては、Microsoft のインシデント対応プロセスに準拠して対応します。
第16条（開示・訂正・削除の請求）
顧客は、KANAMEが保有する自社に関するデータについて、以下を請求することができます。
- 保有データの開示
- 内容の訂正・追加・削除
- 利用停止・消去
請求はお問い合わせフォームよりご連絡ください。本人確認の上、合理的な期間内に対応します。
第17条（外部認証・監査の取得状況）
現時点において、ISMS（ISO/IEC 27001）およびプライバシーマーク（Pマーク）はKANAMEとして未取得です。取得をロードマップに位置づけており、事業規模の拡大に応じて対応を進めます。
利用インフラである Google Cloud は、独自にISO/IEC 27001・SOC 2 Type II 等の認証を取得しています。
第18条（従業員のセキュリティ教育・再委託）
セキュリティ教育
開発・運用に関与するメンバー間で、秘密保持、顧客データの取扱い、アカウント管理、最小権限およびインシデント発生時の報告に関する基本ルールを共有しています。
再委託
インフラ運用は Google Cloud Platform に委託しています。M365連携部分については Microsoft の Graph API を利用します。それ以外の開発・運用は自社で行っています。
第19条（本ポリシーの改定）
本ポリシーは、サービスの変更・法令の改正・社会情勢の変化に応じて適宜見直しを行います。重要な変更が生じた場合は、顧客へ事前に通知します。
お問い合わせ
セキュリティに関するご質問・ご懸念は、下記までお問い合わせください。