株式会社hatana.が開発・運用するシステムで、お客様からお預かりするデータをどのように守っているかを公開しています。まだ対応できていないことも、そのまま記載しています。後から「聞いていた話と違う」となることのないよう、実際に実装している内容だけを書いています。
1. 誰がどこまで見られるか
権限を3つに分け、それぞれ入れる画面を分けています。
| 権限 | 見られる範囲 |
|---|---|
| 現場（据置端末） | 自社の担当現場のKY・作業日報のみ。他社のデータや利用者一覧は見られません |
| 社内管理 | 自社のデータのみ。他社のデータは一切見えません |
| 運営（当社） | 保守のため全体を参照できます |
会社ごとの絞り込みはプログラムの1箇所に集約しており、他社のデータを直接指定しても「存在しない」として拒否されます。権限のない画面を開こうとした場合も、画面・API双方で遮断しています。
2. パスワードの扱い
- パスワードは暗号化（ハッシュ化）して保存しており、平文では保持していません
- 当社の運営者もお客様のパスワードを見ることはできません（再発行のみ可能です）
- 同一IDへのログイン失敗が10回続いた場合、15分間ロックします
- パスワード再設定用のリンクは発行から1時間で失効し、一度使用すると無効になります
3. 通信と保存
| 項目 | 状態 |
|---|---|
| 通信の暗号化 | あり（TLS） |
| ログイン情報の保護 | Cookieに HttpOnly・SameSite・Secure を付与 |
| データファイルへの外部アクセス | 不可（Web経由では取得できないことを確認済み） |
| 保存データそのものの暗号化 | 未対応（今後対応予定） |
4. 操作の記録
データの削除、アカウントの発行、パスワードの変更を記録しています。お客様ご自身も、管理画面から自社分の記録をいつでも確認できます。「データが消えた」という場合に、誰がいつ操作したかを追えるようにしています。
5. バックアップ
- サーバー側：1日1回自動取得し、30世代を保持
- 当社側：1日1回、当社の管理端末へ自動で複製
サーバー事業者側に不測の事態があった場合でも復旧できるよう、保管先を分けています。
6. データを預けている先
| 事業者 | 用途 | 所在 |
|---|---|---|
| Railway Corporation | サーバー・データ保管 | アメリカ合衆国 |
Railway Corporation は SOC 2 Type II の認証を取得しています。当社は同社とデータ処理契約を締結し、同社が利用する再委託先についても確認しています。外国にあるサーバーを利用するにあたり、当該国の個人情報の保護に関する制度を把握したうえで安全管理措置を講じています。
7. 保存期間
契約期間中は保管し、契約終了後は30日以内に、お客様のご指示に従って返却または消去します。消去した場合はその旨をご連絡します。
8. まだ対応できていないこと
今後の対応予定として、現時点で実装していない項目を明記します。
- 保存データそのものの暗号化
- 二要素認証
- 第三者機関によるセキュリティ診断
- ISMS（ISO27001）等の認証取得
ご不明な点や、貴社のセキュリティ基準に関するご確認は、お問い合わせよりご連絡ください。個別にご説明いたします。
最終更新：2026年8月21日