SECURITY, PRIVACY & CONTROL
取引先ごとに分離し、
必要以上に集めない。
個人データの役割分担、国外処理、再委託、安全管理を契約と実装の両方で管理します。Productionでは実装・検証済みの内容だけを公開仕様として扱います。
SCOPEtenant単位で認可
DATA必要最小限
PROCESSINGDPAで役割を固定
GATE公開前E2E監査
ISOLATION
別の取引先へ越境できないことを、前提ではなく試験する。
Tenant分離顧客系データにtenant scopeを持たせ、サーバー側認可で越境アクセスを拒否する設計。
役割分離Partner Owner / Staff / Sillion Super Adminを分け、必要最小権限で設計。
ファイル分離ロゴ・レポート・エクスポート等をtenant別に扱う設計。
監査重要操作・失敗・セキュリティ事象を追跡できるログを保持し、顧客向け画面へ秘密情報を露出させません。
PERSONAL DATA
出生情報は、占術上必要なときだけ。
選択占術に応じて必要項目を限定します。マイナンバー、公的本人確認番号、カード番号、パスワード等は鑑定入力として求めません。
- 利用目的を明確化
- 選択占術に必要な項目だけ取得
- 出生時刻不明を推測で補完しない
- 高リスク・要配慮情報は原則入力しない
- DPAに基づく返却・削除
- テナント越境をAPI単位で試験
JAPAN → NETHERLANDS
国外処理を、契約上も明示する。
日本の取引先が最終顧客データをオランダのSillion B.V.へ委託する場合、取引先を管理者、Sillionを処理者とすることを基本にDPAで処理条件を固定します。日本の個人情報保護法が域外適用される場合も、その適用範囲に従います。
EU域内のSillion
日本の個人情報保護制度上、EUは同等水準国の枠組みが利用可能です。取引先側の委託先監督・情報提供等の義務は別途維持します。
再委託を公開
Google Cloud、OpenAI、Vercel等、Productionで個人データを処理し得る主要事業者を再委託先一覧で公開し、DPAに従って管理します。
EEA外への再移転
十分性認定のない国への移転が必要な場合は、SCCその他適法な移転メカニズムと必要な追加措置を使用します。
PRE-PRODUCTION TEST
公開前に、攻撃者の視点で確認する。
Access
URL/APIを書き換えて他tenantの顧客・鑑定・ファイルへ到達できないこと。
Input
フォーム、ログイン、生成APIのrate limit、CSRF/XSS、ファイル形式・容量・内容検証。
Secrets
API key、secret、内部prompt、Evidence IDをrepo・ブラウザ・顧客画面へ露出しないこと。
Recovery
バックアップ、復旧、停止、データ削除の手順を検証すること。
Environment
PreviewとProductionの設定・DB・メール・決済・domainを分離すること。
Delivery
有効化する配信機能についてbounce、complaint、停止条件を反映すること。