セキュリティへの取り組み

このページでは、本サービスで扱う情報を守るために当社が行っていること、行うと決めていることを説明します。どのような仕組みでも危険をなくすことはできないため、点検を続け、見つかった問題を直していきます。

1. 今の公開の範囲

本サービスは公開の準備をしており、今公開しているのは紹介のページと規約だけです。ログイン、教材の登録、受講の記録の機能はまだありません。以下の項目のうち「提供を始めるときに」とあるものは、機能を作るときの決まりです。

2. 通信の暗号化

• 本サービスとの通信はすべて HTTPS で暗号化しています。ブラウザには、HTTPS だけで接続するよう指示しています（HSTS）。
• ほかのサイトの画面の中に本サービスの画面を埋め込ませない設定にしています。
• 画面で読み込むスクリプトは、本サービス自身のものと、計測（Google アナリティクス）のものだけに限っています。

3. 組織ごとのデータの分離

• 提供を始めるときに、教材・資料・受講の記録・スキルを組織ごとに分けて保存します。ほかの組織の利用者からは見えず、変えられません。
• 上長が見られる受講の記録は、組織に登録された上下関係の範囲に限ります。
• 動画は当社に保存しません。利用者の Google ドライブ・SharePoint・OneDrive の共有リンクを埋め込むだけで、見られる人の範囲はその置き場の共有の設定で決まります。

4. ログインの方式

• 提供を始めるときに、Apple・Google・Microsoft のアカウントでのログインだけを用意します。本サービス専用のパスワードは作らず、当社はパスワードを保存しません。
• ログインの状態を保つ Cookie は、このサイトだけに送られ、画面のスクリプトから読めない設定にします。

5. 記録に送らない情報

• エラーの記録（Sentry）には、入力した内容、Cookie、URL のクエリを送りません。URL の中の ID は置き換えてから送ります。
• 利用の状況の集計（Google アナリティクス）には、URL のクエリ、メールアドレス、利用者の ID を送りません。
• アクセスの自動の記録には、URL を残さない設定にしています。

6. AI に渡す情報

• 提供を始めるときに、資料からコースの下書きを作る機能では、利用者が渡した資料の文字だけを当社が管理するサーバーの AI に渡します。氏名・メールアドレス・受講の記録は渡しません。
• AI のサーバーには、渡した資料と作った下書きを記録として残しません。渡した資料は下書きができた後に削除します。
• 利用者の情報を AI の学習には使いません。

7. 保存の期間と削除

• 組織が退会したときは、30日を過ぎた後に、その組織の教材・資料・受講の記録をすべて削除します。
• エラーの記録は Sentry で90日を目安に削除され、Google アナリティクスの利用者ごとの記録は2か月で削除されるように設定します。
• 詳しくはプライバシーポリシーをご覧ください。

8. 障害と脆弱性の連絡先

本サービスの障害や脆弱性に気づいた場合は、次の窓口にメールでお知らせください。内容を確認し、対応します。

調べるときは、ほかの利用者の情報を見たり変えたりしないでください。大量の通信でサービスを止めることも控えてください。

以上