データを守る仕組み
お客様のビジネスと、その顧客のデータをどのように守っているかを、わかりやすくご説明します。
企業ごとに完全に分離
- すべての画面とリクエストで、データを読み取ったり変更したりする前に、所属するワークスペースを確認しています。
- 約60,000件のワークスペース間リクエストで自動テストを行い、データが漏れないことを確認しています。
- プラットフォームの運営チームが見られるのは件数と請求情報のみで、お客様の顧客データを見ることはありません。
安全なログイン
- パスワードはそのまま保存せず、ソルト付きの一方向ハッシュのみを保存しています。
- 認証アプリまたはメールで届くコードによる2段階認証と、リカバリーコードに対応しています。
- オーナーと管理者は2段階認証の利用が必須です。
- 新しいデバイスや新しい国からのログインを通知し、ワンクリックでどのデバイスからもログアウトできます。
機密データの保護
- パスポート番号、NHS番号、UTRなどの身分証番号は暗号化（AES-256）し、マスク表示しています。
- 誰かが「表示」を押すたびに、アクティビティログに記録されます。
- メールボックスのパスワードや連携サービスのキーは暗号化され、ブラウザーに送り返されることはありません。
メールとファイル
- 受信メールは無害化したうえで、制限された安全な枠内に表示します。
- 危険な種類のファイルは受け付けず、ファイル名ではなく中身でファイルを確認しています。
ボットと不正利用の対策
- 新規登録、ログイン、公開フォームでCloudflare Turnstileによるチェックを行っています。
- 隠しトラップ項目、入力速度のチェック、レート制限を導入しています。
バックアップとお客様のデータ
- データベース全体を毎晩暗号化してバックアップし、日次30件、月次12件、年次5件のコピーを保管しています。
- すべてのデータをいつでもスプレッドシート形式でダウンロードできます。
- GDPR対応ツール：特定の個人のデータをワンクリックでエクスポートまたは消去できます。
法人のお客様へ：当社のデータ処理契約では、英国一般データ保護規則（UK GDPR）に基づくデータの取り扱いを定め、利用しているすべての再委託先処理者を記載しています。
セキュリティ上の問題を見つけた場合は、security@companyflowhq.comまでお知らせください（security.txtをご覧ください）。