Pipelia（パイプリア）は、お客様の営業情報・取引情報をお預かりするサービスとして、 以下のセキュリティ対策を実施しています。本ページは当サービスの情報セキュリティ方針を兼ねており、 セキュリティチェックシート等へのご回答は、原則として本ページの記載をもって代えさせていただきます。 記載のない項目については info@pipelia.com までお問い合わせください。
1. サービス提供体制
| 運営者 | 藤原 雅也（個人事業） |
|---|
| 情報セキュリティ責任者 | 代表者（藤原 雅也）が務め、本方針の策定・見直し・インシデント対応の責任を負います。 |
|---|
| 方針の見直し | 本ページを情報セキュリティ方針として運用し、実装・体制の変更時および年1回以上見直します。 |
|---|
| お問い合わせ・脆弱性報告窓口 | メール：info@pipelia.com（脆弱性のご報告を歓迎します。確認のうえ遅滞なく対応します） |
|---|
2. インフラストラクチャ
| ホスティング基盤 | Cloudflare（Workers / D1）。世界300以上の拠点をもつグローバル基盤上で稼働し、DDoS防御が標準で適用されます。 |
|---|
| データの保存場所 | Cloudflare D1（アジア太平洋リージョンで稼働）。データ保存地の法制度を把握したうえで利用しています。 |
|---|
| 保存時の暗号化 | 保存されるデータはすべて基盤側で暗号化されます（encryption at rest）。 |
|---|
| 通信の暗号化 | すべての通信をTLSで暗号化し、HTTPSを強制しています（HSTS設定済み）。平文のHTTP通信は行いません。 |
|---|
| 基盤事業者の第三者認証 | Cloudflare は ISO/IEC 27001・SOC 2 Type II 等を取得しています。決済基盤の Stripe は PCI DSS Level 1（最上位）認定事業者です。 |
|---|
| サーバーの物理管理 | サーバーレス構成のため自社管理の物理サーバーは存在せず、物理的なアクセス管理は上記基盤事業者のデータセンター管理に準じます。 |
|---|
3. アプリケーションセキュリティ
認証・アカウント保護
| パスワードの保管 | PBKDF2-SHA256（100,000回反復・ソルト付き）でハッシュ化して保管します。平文のパスワードは保持しません。 |
|---|
| 二段階認証（2FA） | 認証アプリ（TOTP・Google Authenticator 等互換）による二段階認証を全ユーザーが任意で利用できます。パスワードが漏えいしても、認証アプリが無ければログインできません。 |
|---|
| メールアドレス確認 | アカウント登録時にメールアドレスの到達確認を必須としています。 |
|---|
| ブルートフォース対策 | ログイン試行はレート制限（回数制限）により遮断します。認証エラーの理由は詳細を返しません。 |
|---|
| セッション管理 | セッションは7日で失効します。パスワードをリセットすると、それ以前の全セッションが全端末で即時無効になります。組織からメンバーを削除すると、そのユーザーのアクセス権はリクエスト単位で即時失効します。 |
|---|
アクセス制御・マルチテナント分離
| テナント分離 | すべてのデータは組織単位で分離され、全APIリクエストで所属の検証を行います。他の組織のデータにアクセスすることはできません。 |
|---|
| ID管理 | 1人1アカウント（1ID）です。アカウントの共有は利用規約で禁止しています。 |
|---|
| 最小権限 | 画面単位のロール機能により、メンバーごとに「非表示／閲覧のみ／編集可」を設定できます（例: 粗利・資金繰りを営業メンバーに見せない）。オーナー以外は課金・メンバー管理・組織設定を変更できません。 |
|---|
| 運営者のアクセス | 運営用管理機能は、あらかじめ許可されたアカウント（運営者本人）のみが利用できます。それ以外のアカウントからは、権限がないため一切アクセスできません。 |
|---|
| 監査ログ | ログイン成功／失敗・メンバーの招待／削除／ロール変更・データエクスポート等のセキュリティ関連操作を記録し、組織のオーナーが管理画面からいつでも閲覧できます（保存期間: 1年）。 |
|---|
実装レベルの対策
| SQLインジェクション対策 | すべてのデータベースクエリでプリペアドステートメント（バインド変数）を使用しています。 |
|---|
| XSS対策 | フレームワーク（Vue）による自動エスケープに加え、Content-Security-Policy を設定し、外部スクリプトの読み込みを遮断しています。 |
|---|
| セキュリティヘッダ | CSP・X-Frame-Options（クリックジャッキング対策）・X-Content-Type-Options・Referrer-Policy・HSTS 等を全レスポンスに設定しています。 |
|---|
| 入力値検証 | APIサーバー側で入力値の形式検証を行い、不正なデータを保存しない仕組みとしています。 |
|---|
| 開発プロセス | すべての変更はレビューとCI（型検査・静的セキュリティ解析 CodeQL）を通過してからリリースされます。依存パッケージの脆弱性を継続的に監査しています。 |
|---|
4. 決済情報の取り扱い
| カード情報 | クレジットカード情報は Stripe（PCI DSS Level 1）が直接取り扱い、当サービスのサーバーを経由せず、保持もしません。決済画面はStripeが提供するページを使用します。 |
|---|
| 不正利用対策 | カードの有効性確認回数の制限等はStripe側で自動的に実施されます。クレジット取引セキュリティ対策協議会のセキュリティ・チェックリストに基づく対策措置を申告済みです。 |
|---|
5. 可用性・バックアップ
| サービス提供時間 | 24時間365日（計画メンテナンスを除く）。サーバーレス構成のため、通常のリリース作業でサービス停止は発生しません。 |
|---|
| 稼働率 | 保証値（SLA）は定めていませんが、Cloudflareのグローバル基盤上で高い可用性を確保しています。 |
|---|
| バックアップ | 2層で保護しています。①データベースのポイントインタイムリカバリ（過去30日の任意時点へ復元・基盤側で自動取得）②週次でデータベース全体をSQLダンプし、別のストレージ（R2）へ8世代保存（基盤の外側に持つことで、万一のデータベース消失にも備えます）。いずれも障害復旧のための運用上の仕組みであり、個別のデータ復旧をお約束するものではありません。重要なデータはお客様自身でのエクスポート保管を推奨します。 |
|---|
| お客様側でのバックアップ | 全データ（19テーブル）をテーブルごとのCSVにまとめたZIPで、いつでもワンクリックでエクスポートできます（営業リスト単体のCSV出力も可）。 |
|---|
| 計画停止の事前通知 | サービス停止を伴うメンテナンスを行う場合は、事前に本サイトおよびメールでお知らせします。 |
|---|
| 障害時の対応 | 障害を検知した場合は本サイトまたはメールで状況をお知らせし、復旧にあたります。お問い合わせは info@pipelia.com（メール・随時受付）へお願いします。 |
|---|
6. データの取り扱い
| データの所有権 | お客様が登録したデータの権利はお客様に帰属します。 |
|---|
| 第三者提供 | 法令に基づく場合を除き、お客様のデータを第三者に提供しません。広告等の目的でデータを利用することもありません。詳細はプライバシーポリシーをご覧ください。 |
|---|
| データのエクスポート | 全データをCSV形式（テーブルごと・ZIP一括）でいつでもエクスポートできます。他ツールへの移行やお手元でのバックアップにご利用いただけます（データポータビリティ）。 |
|---|
| 解約後のデータ | 有料プランを解約してもデータは削除されず、無料プランとして引き続き閲覧・エクスポートできます。 |
|---|
| データの削除 | アカウント削除の操作により、組織のデータを即時かつ完全に削除できます（復元不可能な削除。契約中の有料プランも自動解約されます）。 |
|---|
| サービス終了時の対応 | 本サービスの提供を終了する場合は、少なくとも3ヶ月前までに本サイトおよびメールで告知し、データをエクスポートいただく期間を設けます。 |
|---|
| Google（Gmail）連携 | メール送信はお客様ご自身のGoogleアカウントの認可（OAuth 2.0）に基づいて行われ、Googleのパスワードは預かりません。認可はGoogleアカウント設定からいつでも取り消せます。 |
|---|
7. インシデント対応
| 対応体制 | 情報セキュリティ責任者（代表者）がインシデント対応の責任を負い、検知から調査・封じ込め・復旧までを実施します。 |
|---|
| お客様への通知 | お客様の情報に影響するセキュリティインシデントが発生した場合は、影響範囲を調査のうえ、影響のあるお客様へ遅滞なくメールで通知し、状況と対応を報告します。 |
|---|
| 個人情報漏えい時の対応 | 個人情報保護法に基づき、必要に応じて個人情報保護委員会への報告および本人への通知を行います。 |
|---|
8. 第三者認証の取得状況
当サービス自体は ISMS（ISO/IEC 27001）・プライバシーマーク等の認証を現時点では取得していません。 一方で、データの保管・処理・決済はいずれも第三者認証を取得した基盤事業者 （Cloudflare: ISO/IEC 27001・SOC 2 Type II 等／Stripe: PCI DSS Level 1）の上で行われており、 アプリケーション層の対策は本ページに記載のとおり実施しています。
9. セキュリティチェックシートへのご回答について
公的機関の各ガイドライン（IPA「安全なウェブサイトの作り方」・経済産業省・総務省）の様式に沿って、 1項目ずつ回答したページを公開しています。チェックシートへの転記はこちらをご利用ください:セキュリティチェックリストへの回答
上記で確認できない項目や、貴社書式へのご記入が必要な場合は、info@pipelia.com までお送りください。内容を確認のうえ対応いたします。
更新履歴
- 2026-07-17 監査ログ・全データエクスポート機能の提供開始を反映。チェックリスト回答ページを公開
- 2026-07-17 初版公開