セキュリティへの取り組み

経費精算には、経費の申請、領収書などの書類、承認の記録が登録されます。このページでは、それらの情報を守るために当社が行うことを説明します。書いているのは、いま動いている仕組みと、提供を始めるときの作りとして決めていることです。

1. いま提供しているもの

• いま公開しているのは、この紹介のページと規約のページだけです。申請・承認の機能はまだ提供しておらず、利用者の申請や書類は預かっていません。
• このサイトは検索エンジンに載せない設定にしています。

2. 通信の暗号化

• 本サービスとの通信はすべて HTTPS で暗号化しています。ブラウザには、HTTPS だけで接続するよう指示しています（HSTS）。
• ほかのサイトの画面の中に本サービスの画面を埋め込ませない設定にしています。画面で読み込むスクリプトは、本サービスのものと、計測を使うときの Google アナリティクスのものに限っています。

3. 組織ごとのデータの分離

• 提供を始めるときは、申請・書類・承認の経路・設定を組織ごとに分けて保存し、すべての読み書きで組織を確かめます。ほかの組織の利用者からは見えず、変えられません。
• 組織の中でも、申請した方・承認の経路にいる方・経理と管理者の役割に応じて、見られる範囲を分けます。
• お使いの AI から接続したときも、ログインした方の権限の範囲だけを読み書きできます。承認や差し戻しなど取り消せない操作は、ご本人の確認がないと行いません。

4. ログインの方式

• ログインは Apple・Google・Microsoft のアカウントで行います。当社はパスワードを預かりません。
• ログインの状態を持つ Cookie は、画面のスクリプトから読めず、このサイトのホストだけに送られる設定にします。

5. 書類と記録の保存

• 添付した書類は、削除も書き換えもできない形で保存します。差し替えは新しい版として追加し、前の版も残します。保存した日時はサーバーで記録します。
• 承認の記録は追記だけにし、承認済みの申請は変えません。

6. AI に渡す情報

• 書類の読み取りは、利用者がボタンで頼んだときだけ、当社が管理するサーバーで行います。外部の AI の事業者には送りません。
• 読み取りのサーバーに送るのは、読み取りに要る書類の画像だけです。入力と出力をサーバーの記録に残しません。
• 読み取った値は下書きで、利用者が書類と見比べて確かめるまで申請に使えません。利用者の情報を AI の学習には使いません。

7. 記録と監視

• エラーは Sentry で集めて直しています。送る前に、書類・金額・支払先・入力した内容・Cookie・URL のクエリを取り除きます。
• 配信のサーバーの自動の要求の記録（URL を含むもの）は残さない設定にしています。
• 秘密の値（鍵など）はサーバーの側にだけ置き、画面やソースコードには書きません。

8. 保存期間と削除、退会の後

• 書類と記録は、組織が選んだ保存期間（初めは事業年度の末から7年、10年を選べます）が過ぎた後に削除します。削除の前に画面と管理者のメールでお知らせし、書き出せるようにします。
• 組織が退会した場合は、退会から90日の間は書き出しだけをできる状態にし、その後すべて削除します。書類を保存する法令上の義務は利用者にあるため、退会の前に書き出してください。
• 詳しくは利用規約とプライバシーポリシーをご覧ください。

9. 障害と脆弱性の連絡先

本サービスの障害や脆弱性を見つけた場合は、次の窓口にメールでお知らせください。内容を確認し、対応します。

調べるときは、ほかの利用者の情報を見たり変えたりしないでください。大量の通信でサービスを止めることも控えてください。

以上