経済産業省チェックリストへの回答

経済産業省「クラウドサービスレベルのチェックリスト」（49項目）および「技術情報管理自己チェックリスト」（20項目）に、様式に沿って1項目ずつ回答したものです。チェックシートへのご記入が必要な場合は、本ページの回答をそのまま転記いただけます。チェックリスト回答の一覧に戻る／全体方針はセキュリティ・信頼性への取り組みをご覧ください。

クラウドサービスレベルのチェックリストへの回答

出典様式: 経済産業省「クラウドサービスレベルのチェックリスト」（2010年8月16日・別添1）。目標値を定めていない項目・該当しない項目も、そのまま正直に記載しています。

No.	サービスレベル項目	当サービスの内容
1	サービス時間	24時間365日（計画停止を除く）。
2	計画停止予定通知	サーバーレス構成のため、通常のリリース作業で停止は発生しません。停止を伴うメンテナンスを行う場合は、事前に本サイトおよびメールで通知します。
3	サービス提供終了時の事前通知	終了する場合は少なくとも3ヶ月前までに本サイトおよびメールで通知し、データのエクスポート期間を設けます。
4	突然のサービス提供停止に対する対処	プログラムの第三者預託は行っていません。お客様のデータはいつでも全件エクスポートでき（項目36）、手元に保管いただけます。
5	サービス稼働率	保証値（SLA）は定めていません。Cloudflareのグローバル基盤上で高い可用性を確保しています。
6	ディザスタリカバリ	Cloudflareの世界分散基盤で稼働。データベースはポイントインタイムリカバリ（過去30日の任意時点へ復元）に対応しています。
7	重大障害時の代替手段	全データのエクスポート機能により、お客様側でデータを保持・参照いただけます。
8	代替措置で提供するデータ形式	CSV形式（テーブルごと・ZIP一括ダウンロード）。Excelで開ける形式です。
9	アップグレード方針	無停止で随時リリースします。操作方法が大きく変わる変更は事前にお知らせします。
10	平均復旧時間（MTTR）	目標値は定めていません（ベストエフォート）。障害発生時は状況と復旧見込みを個別にお知らせします。
11	目標復旧時間（RTO）	目標値は定めていません（ベストエフォート）。
12	障害発生件数	公表している実績値はありません。重大障害が発生した場合は影響と対応を個別に報告します。
13	システム監視基準	基盤（Cloudflare）側の常時監視に加え、アプリケーションのエラーログを監視しています。
14	障害通知プロセス	本サイトまたはメールでお知らせします。お問い合わせ窓口: info@pipelia.com
15	障害通知時間	目標値は定めていません。検知後、速やかにお知らせします。
16	障害監視間隔	基盤側で常時監視。
17	サービス提供状況の報告方法／間隔	定期報告は行っていません。お問い合わせに応じて個別に回答します。
18	ログの取得	有。監査ログ（ログイン成功/失敗・メンバー変更・データエクスポート等）を記録し、組織のオーナーが管理画面からいつでも閲覧できます。保存期間は1年です。
19	性能（応答時間）	目標値は定めていません。CDNエッジからの配信により応答性を確保しています。
20	遅延	目標値は定めていません。
21	バッチ処理時間	大量処理（メールの分散送信等）は非同期キューで実行し、画面の応答には影響しません。
22	カスタマイズ性	営業リストの項目（カスタム項目の追加・名称変更）とステータス定義を設定画面から変更できます。
23	外部接続性	CSVの取り込み／書き出しに対応。AI連携用のAPI（MCP・トークン認証）を提供しています。
24	同時接続利用者数	上限は設けていません（ベストエフォート型）。
25	提供リソースの上限	Freeプランは営業リスト100件まで。Proプランに件数制限はありません（公正な利用の範囲で）。
26	サービス提供時間帯（障害対応）	メールで24時間365日受付（info@pipelia.com）。対応はベストエフォートで、受付後遅滞なく行います。
27	サービス提供時間帯（一般問合せ）	同上（メール受付・遅滞なく対応）。
28	バックアップの方法	基盤側で自動・継続的にバックアップ（ポイントインタイムリカバリ）。加えてお客様自身で全データをZIP（CSV）でいつでもダウンロードできます。
29	バックアップデータを取得するタイミング（RPO)	継続的に記録されており、過去30日内の任意の時点へ復元できます（日次バックアップより細かい粒度）。
30	バックアップデータの保存期間	30日（ポイントインタイムリカバリの遡及可能期間）。
31	データ消去の要件	アカウント削除の操作により、組織のデータを即時かつ復元不可能な形で削除します。削除前にCSV形式でのエクスポートが可能です。
32	バックアップ世代数	世代方式ではなく、過去30日内の任意時点へ復元できるポイントインタイム方式です。
33	データ保護のための暗号化要件	有。保存時（encryption at rest）・通信時（TLS）ともに暗号化しています。
34	マルチテナントストレージにおけるキー管理要件	保存時の暗号鍵は基盤（Cloudflare）が管理。アプリケーション層では全データを組織IDで分離し、毎リクエストで所属を検証します。
35	データ漏えい・破壊時の補償／保険	損害賠償保険には加入していません。責任範囲は利用規約の定めによります。
36	解約時のデータポータビリティ	有。全データ（19テーブル）をCSV形式のZIPでダウンロードできます。解約後もデータは保持され（無料プランとして閲覧・エクスポート可）、削除を希望する場合はアカウント削除で即時消去できます。
37	預託データの整合性検証作業	データベースの外部キー制約とトランザクションにより整合性を担保しています。
38	入力データ形式の制限機能	有。APIサーバー側で入力値の形式検証を行い、不正なデータを保存しません。
39	公的認証取得の要件（ISMS・プライバシーマーク等）	当サービス自体は未取得です。基盤事業者が取得しています（Cloudflare: ISO/IEC 27001・SOC 2 Type II 等／Stripe: PCI DSS Level 1）。
40	アプリケーションに関する第三者評価	すべてのコード変更に対して静的セキュリティ解析（GitHub CodeQL）を実施し、依存パッケージの脆弱性を継続的に監査しています。ペネトレーションテストは未実施です。
41	情報取扱い環境	お客様のデータにアクセスできるのは運営者1名のみで、運営用管理機能はあらかじめ許可されたアカウントに限定しています（二段階認証も任意で利用できます）。
42	通信の暗号化レベル	TLS 1.2以上（Cloudflareの標準構成）。HTTPSを強制し、HSTSを設定しています。
43	会計監査報告書における情報セキュリティ関連事項の確認	該当なし（SOC1/18号監査等の対象となる規模・形態ではありません）。
44	マルチテナント下でのセキュリティ対策	全データを組織IDでスコープし、全APIリクエストで所属を検証します。他組織のデータへのアクセスはできません。
45	情報取扱者の制限	運営側は運営者1名（許可アカウントに限定）。お客様側は画面単位のロール機能で「非表示／閲覧のみ／編集可」をメンバーごとに設定できます。
46	セキュリティインシデント発生時のトレーサビリティ	1人1IDを発行（アカウント共有は規約で禁止）。監査ログでログイン・メンバー変更・エクスポート等を追跡でき、保存期間は1年です。
47	ウイルススキャン	サーバーレス構成のためサーバーへのウイルス対策ソフト導入は該当しません。開発端末は常時保護（リアルタイムスキャン）を有効にしています。
48	二次記憶媒体の安全性対策	該当なし（テープ・USB等の物理媒体を使用していません。バックアップも基盤内で暗号化保管）。
49	データの外部保存方針	データはCloudflare D1のアジア太平洋リージョンで保管しており、保存地の法制度に基づく制約を把握したうえで利用しています。

技術情報管理自己チェックリストへの回答

出典様式: 経済産業省「技術情報管理自己チェックリスト」（技術情報管理認証制度の基準に基づく20項目）。当サービス運営者（個人事業）としての実施状況です。

No.	項目	実施状況
1	情報セキュリティ対応方針の策定・周知	実施。セキュリティページ（本サイト /security）を方針として策定・公開し、年1回以上見直します。
2	守るべき情報の特定・識別	実施。お客様データはすべて組織IDで識別・分離され、他の情報と混在しません。
3	機密性に応じた管理方法の規則化	実施。認証情報（OAuthトークン等）はデータベース内でのみ扱い、エクスポートや画面表示の対象から除外しています。
4	責任者の選任・事故対応体制	実施。代表者が情報セキュリティ責任者を務め、インシデント対応手順を定めています（/security 参照）。
5	従業員への社内教育	該当なし（従業員なし）。運営者本人がセキュリティ動向を継続的に把握しています。
6	漏えい時の影響のシミュレーション	実施。漏えい時の影響範囲・通知手順を想定し、インシデント対応（個人情報保護委員会への報告を含む）を定めています。
7	外部情報システムへの接続状況の把握	実施。外部接続は Cloudflare（基盤）・Stripe（決済）・Google（お客様自身のメール送信）のみで、データの流れを把握しています。
8	取引先から提供を受けた情報の漏えい防止	実施。お客様データは本ページ記載の対策で保護し、第三者提供は行いません。
9	持出し・複製・廃棄の管理	実施。データは電子情報のみで、エクスポート操作は監査ログに記録されます。
10	復元不可能な方法による廃棄	実施。アカウント削除で復元不可能な形で消去します。物理媒体は使用していません。
11	必要最小限のアクセス権の設定	実施。画面単位のロール（非表示／閲覧／編集）と1人1IDで最小権限を実現しています。
12	守るべき情報が物の場合の施錠保管	該当なし（紙・物理媒体で顧客情報を扱いません）。
13	ログイン手順・ID/パスワードの適切な保管	実施。パスワードはPBKDF2-SHA256（100,000回）でハッシュ化し、二段階認証を利用できます。
14	サーバ等の施錠区域への設置	基盤事業者（Cloudflare）のデータセンター管理に準じます（ISO/IEC 27001等取得済み）。
15	信頼できるベンダーによるシステム構築	実施。Cloudflare・Stripe・Google という第三者認証取得済みの基盤の上に構築しています。
16	OSの最新化・ウイルス対策ソフトの常時稼働	実施。開発端末はOS自動更新＋リアルタイム保護を常時有効化。サーバーはサーバーレスのため該当しません。
17	外部送信時の暗号化・誤送信防止	実施。すべての通信をTLSで暗号化。一括メールは送信前に対象と内容の確認画面を挟みます。
18	パソコン・記録媒体の持ち出し管理	実施。顧客データを端末や物理媒体に保存せず、クラウド上でのみ扱います。
19	保守・点検を第三者に行わせる場合の秘密保持	該当なし（保守・点検の外部委託はなく、運営者本人が行います）。
20	外部委託先の情報管理体制の確認・秘密保持契約	データを取り扱う委託先は Cloudflare・Stripe のみで、いずれも第三者認証取得済み・利用規約（DPA含む）に基づき利用しています。

個別のチェックシートへの対応

本ページおよびセキュリティ・信頼性への取り組みで確認できない項目や、貴社書式へのご記入が必要な場合は、info@pipelia.com まで書式をお送りください。内容を確認のうえ対応いたします。

更新履歴

2026-07-17　初版公開

経済産業省チェックリストへの回答

クラウドサービスレベルのチェックリストへの回答

技術情報管理 自己チェックリストへの回答

個別のチェックシートへの対応

更新履歴

技術情報管理自己チェックリストへの回答