BackStage（以下「本サービス」）を提供する者（以下「当社」といいます）は、ユーザーの利用データ及び個人情報を保護することを重要な責務と位置付け、個人情報保護法、電気通信事業法に基づく通信の秘密、サイバーセキュリティ関連ガイドライン及び一般的なベストプラクティスを踏まえ、合理的かつ継続的に改善可能な安全対策を講じます。
本ページは、その概要をユーザーに分かりやすく説明するものです。 特定の技術構成・設定値・運用手順のすべてを開示するものではなく、不正競争防止やサービスの安全性確保のために開示を留保する事項があります。 詳細な個人情報の取扱いについては、プライバシーポリシーもあわせてご確認ください。
1. 基本方針と目標
当社は、情報セキュリティにおける機密性（必要な者だけがアクセスできること）、完全性（データが改ざんされていないこと）、可用性（正当な利用が継続できること）の維持に努めます。
- 法令及び社内規程の遵守、並びにアクセス権限の最小化（必要最小限の権限のみを付与する考え方）
- セキュリティインシデントの予防、検知、対応に向けた体制の維持
- クラウドサービス・委託先の適切な選定と定期的な見直し
- 技術の進展や脅威の変化に応じた継続的な見直し・改善
2. 通信の暗号化（HTTPS / TLS）
本サービスの公式サイト及び API は、ブラウザ・アプリケーションとの通信を TLS（HTTPS）で保護するよう設計されています。 証明書の適切な運用、脆弱とされるプロトコル・暗号スイートの抑制等により、通信経路上の盗聴・改ざんリスクを低減します。
3. 認証・認可・アカウント保護
- ログイン認証：ユーザー認証にはパスワード及びセッション／アクセストークン等による制御を用います。パスワードは平文で保存せず、業界で広く用いられる方式によりハッシュ化した状態で保管します。
- 権限分離：通常ユーザーと運営向け管理機能は論理的に分離し、権限のない操作が行われないよう設計します。
- 不正利用対策：ログインや API への過度なアクセスを抑止するためのレート制限等を実施する場合があります。
- モバイルアプリ：OS が提供する鍵領域や画面ロック等の機能と組み合わせて、端末上の利用環境に応じた保護を行ってください（端末の紛失時は速やかにパスワード変更等をご検討ください）。
4. アプリケーションセキュリティ
- 入力データの検証：ユーザー入力はサーバ側で適切に検証し、想定外のデータによる障害や不正利用を抑止するよう努めます。
- データベースアクセス：フレームワークの機能を利用したパラメータ化された問い合わせを原則とし、SQL インジェクション対策に配慮します。
- 本番環境の設定：本番環境ではデバッグ情報が利用者に露出しないよう運用し、例外レスポンスに内部情報が含まれないよう管理します。
- 依存コンポーネントの更新：フレームワーク・ライブラリに対し、セキュリティ修正の適用やバージョンアップを計画的に行います。
5. データの保存・バックアップ・可用性
- 利用データは、当社が契約するクラウド／サーバインフラ上に保存されます。具体的なリージョンや冗長構成はサービス運用の都度見直される場合があります。
- データベースについては、運用方針に応じてバックアップを取得し、障害時の復旧手順を整備します。バックアップの世代・保存期間はコスト・プラン・法令要件のバランスにより定めます。
- 計画メンテナンスや不可抗力による一時的な中断が生じうることを除き、サービスの継続提供に努めます。
6. ファイル・画像（領収書等）の取扱い
アップロードされた画像等については、ユーザー本人又は権限を持つ管理者のみが適切に参照できるよう、アクセス制御及び保存経路の設計に配慮します。 公開設定や共有 URL を利用する機能がある場合は、その仕様に従い取り扱われます。
7. 決済情報の取扱い
クレジットカード番号等の決済情報は、原則として当社のサーバにそのまま保存せず、PCI DSS に準拠した決済代行事業者が提供する決済フロー（例：Stripe、株式会社 DG Financial Technology が提供する決済サービス、その他当社が契約する決済サービス）を通じて取り扱います。 App Store / Google Play を経由するアプリ内課金については、各プラットフォーム提供者の規約及び決済仕様に従います。
8. ログ・監視・運用
- サービスの安定運用、不正検知、障害解析のためにアクセスログ・アプリケーションログ等を記録する場合があります。
- ログに個人情報や機密情報が過度に含まれないよう配慮し、本番環境ではログレベルを適切に設定します。
- 運用上必要な範囲での監視・アラートを行い、異常の早期発見に努めます。
9. 第三者サービス・委託・インフラ
ホスティング、DNS・CDN、メール配信、決済、サポートツール等について外部サービスを利用する場合があります。 その際は、契約及び設定により目的外利用を抑制し、必要に応じてデータ処理に関する契約又は条項を整備します。 利用するサービスの仕様変更は当社の制御外となる場合がありますので、各提供者の最新のセキュリティ情報もご参照ください。
10. インシデント対応・法令対応
- 個人情報に係る漏えい等の事故が発生した場合、個人情報保護法その他法令に基づき、必要な報告・本人通知・公表等を行います。
- 原因調査、被害拡大防止、再発防止策の実施、必要に応じた監督官庁・関係機関への連携を速やかに行います。
11. 脆弱性の報告・改善
セキュリティ上の脆弱性や改善提案は、お問い合わせフォームよりご連絡ください。 重大な内容の場合は、カテゴリ「エラー報告」等をご利用いただくとスムーズです。 調査・対応のため、再現手順や影響範囲を可能な範囲でご記載いただけますと助かります。
12. ユーザーへのお願い（セキュリティの共同責任）
いかなる技術的手段にも限界があるため、以下にご協力いただくことで、お客様ご自身のアカウントとデータをより安全に保つことができます。
- 推測されにくいパスワードの設定、及び他サービスとのパスワード使い回しの回避
- パスワード・認証コードを第三者に開示しないこと
- 共有端末・公共端末利用後のログアウト
- フィッシングサイトや偽アプリに注意し、正規の URL 又は公式ストアからのみアクセスすること
- OS・アプリのセキュリティアップデートの適用
13. 本ページの変更
技術の進展、サービス内容の変更、法令改正等に伴い、本ページを随時更新することがあります。 重要な変更がある場合は、本サービス上の通知その他適切な方法でお知らせするよう努めます。