セキュリティチェックリスト

最終更新: 2026年8月3日

ベンダーセキュリティレビューでよく尋ねられる質問への項目別回答です。

各行にアンカーリンクがあり、個別回答を直接共有できます。

← セキュリティと信頼 · 全文ポリシー

1. サービスと運営者

# 質問 回答
1.1 サービス名 Sumarii
1.2 運営者 Sumarii（個人事業）。法令上の氏名は請求に応じて開示（特定商取引法に基づく表記 を参照）。
1.3 運営国 日本
1.4 サービス開始日 2026年7月18日
1.5 セキュリティ連絡先 help@sumarii.com
1.6 法人形態 個人事業。法人化していない。

2. 認証・認定

# 質問 回答
2.1 ISMS / ISO 27001 未取得
2.2 ISO 27017 未取得
2.3 プライバシーマーク（Pマーク） 未取得
2.4 SOC 2 未取得
2.5 SECURITY ACTION 未取得
2.6 基盤インフラが保持する認証 AWS、Akamai、Supabase、Cloudflare が ISO 27001 および／または SOC 2 を公開。Sumarii 自体は未取得（2.1–2.5）。

3. データの所在

# 質問 回答
3.1 会議音声の保管場所 日本
3.2 文字起こし・議事録の保管場所 日本
3.3 バックアップの保管場所 日本
3.4 委託先による処理 文字起こしは ElevenLabs（Scribe）の API（処理後は保持しない）。トランザクションメール・決済も委託先 API。永続保管は日本。
3.5 委託先との契約 契約により安全管理措置を整備
3.6 データセンター運営者 Supabase 日本、Linode 日本

4. データの取扱いと保持

# 質問 回答
4.1 音声の保持期間 ユーザーが削除するまで保持。自動失効なし。
4.2 文字起こし・議事録の保持期間 ユーザーが削除するまで保持。
4.3 個別セッションの削除可否 可。削除するとゴミ箱へ移り復元できる。ゴミ箱からの削除で完全削除。
4.4 削除は即時・永続か ゴミ箱内は復元可能。完全削除（ゴミ箱から削除、またはアカウント削除）では音声を直ちに破棄し、文字起こし・議事録・メタデータを本番から直ちに削除する。DBバックアップ上の残存コピーは7日以内に消去。完全削除後の復旧はない。
4.5 アカウント削除時の扱い お客様データ、ワークスペース、設定を完全に削除する。
4.6 アカウント削除後に残るもの 登録メールアドレスのみ。無料プランの再登録による繰り返し利用を防ぐために、その目的に必要な期間保持。他の目的には使用しない。
4.7 バックアップ保持期間 データベースの日次バックアップを7日間保持（Supabase Pro プランの日次バックアップ窓に準拠）。音声・メディアは当該DBバックアップに含まれない。
4.8 エクスポート形式 docx、txt、srt、音声。PDFは現時点で未対応。複数セッションの一括エクスポートはサポート（help@sumarii.com）へ依頼可能。

5. AI 処理

# 質問 回答
5.1 お客様データを AI モデル学習に使うか いいえ。当社およびいずれのサブプロセッサーも使用しない。
5.2 AI 提供事業者が入力データを保持するか いいえ。AI サブプロセッサーはゼロ保持条件で稼働。
5.3 契約で拘束されているか はい
5.4 利用する AI ベンダー 要約・チャットは Google Gemini。音声認識は ElevenLabs Scribe（セクション9）。
5.5 プロダクト分析やスタッフ閲覧に使うか いいえ

6. 暗号化

# 質問 回答
6.1 通信時の暗号化 HTTPS / TLS 1.2 以上
6.2 保存時の暗号化 あり。AES-256（データベースおよびオブジェクトストレージの基盤インフラによる）
6.3 音声ファイルは保存時に暗号化されるか はい
6.4 音声ファイルは公開 URL で取得できるか いいえ。短寿命の署名付き URL 経由でのみ取得可能。
6.5 WAF / DDoS あり。Cloudflare Pro の WAF（マネージドルール）と DDoS 緩和をエッジで稼働。TLS 終端あり。

7. 認証とアクセス制御

# 質問 回答
7.1 認証方式 メール／パスワード、Google、Microsoft
7.2 多要素認証 アカウント設定で認証アプリによる MFA（TOTP）を任意で有効化可能。Google または Microsoft サインインのアカウントは、各プロバイダ側に設定された MFA も継承する場合がある。
7.3 SAML シングルサインオン 未対応
7.4 パスワードポリシー 8文字以上。大文字・小文字・数字をそれぞれ1文字以上含むこと
7.5 セッションタイムアウト アイドルタイムアウトは現時点で未設定。アクセストークンは約1時間で失効し、クライアントが稼働中は自動更新される。サインアウトまたはリフレッシュトークン失効までサインイン状態を維持。
7.6 顧客間のデータ分離 はい。ワークスペースがテナント単位。Supabase の行レベルセキュリティ（RLS）でデータベース層から分離。所属ワークスペースの行のみ読み書き可能。他テナントの行はポリシーで拒否。
7.7 ロールと権限 Team ワークスペースは owner / admin / member。owner と admin がメンバー・招待を管理。owner が admin 管理およびワークスペース削除を行う。member はワークスペース設定（例: 共有の無効化）に従いコンテンツにアクセス。
7.8 管理者はメンバーのアクセスを即時剥奪できるか はい。設定 → メンバーから owner または admin がメンバーを削除できる。メンバーシップ削除時点でアクセスは終了。保留中の招待も取消可能。
7.9 運営者スタッフは顧客データにアクセスできるか お客様依頼によるサポート、またはシステム障害の調査に限る。それ以外の目的では行わない。
7.10 運営者アクセスは記録されるか はい。インフラ管理経路での運営者アクセスは、データベース／認証提供事業者のログに記録される。

8. ログと監査

# 質問 回答
8.1 記録されるイベント 認証イベントおよび API／データベースアクセスはインフラ提供事業者（Supabase）が記録。LLM 利用（機能、リクエスト数、入力・出力トークン）は当社データベースに記録。セッション作成・エクスポート・削除等の顧客向け専用アプリ監査ログは現時点で未提供。
8.2 ログ保持期間 7日間（Supabase Pro プランの API・データベース・認証ログのデフォルト）
8.3 顧客は監査ログを閲覧できるか 現時点では不可

9. サブプロセッサー

# 事業者 目的
9.1 Supabase データベース・認証・オブジェクトストレージ — 日本に保管
9.2 Akamai Linode 音声・メディアファイルの保管 — 日本
9.3 Google Gemini 議事録生成・チャット — 学習不使用・ゼロ保持
9.4 Cloudflare CDN、WAF、DDoS 緩和
9.5 ElevenLabs 音声認識（Scribe）— 学習不使用・ゼロ保持
9.6 Resend トランザクションメール
9.7 Stripe 決済・サブスクリプション管理
9.8 PostHog マーケティングサイトのアクセス解析 — お客様の会議コンテンツは送信しない
# 質問 回答
9.9 名称付きサブプロセッサー一覧 上記のとおり Supabase、Akamai Linode、Google Gemini、Cloudflare、ElevenLabs、Resend、Stripe、PostHog を公開。
9.10 サブプロセッサー変更の通知 お客様コンテンツを処理するサブプロセッサーを追加する場合、事前に登録ユーザーへメールで通知
9.10 サブプロセッサーはデータ取扱いで契約拘束されるか はい

10. 法務・コンプライアンス

# 質問 回答
10.1 個人情報保護法への対応 はい。プライバシーポリシー を参照
10.2 個人データを取り扱う国 保管は日本。文字起こしのため音声を ElevenLabs に送信して推論し、処理後は保持しない。
10.3 GDPR 日本市場向けサービスであり、GDPR 適合の別途表明はしない。
10.4 情報セキュリティ基本方針 公開済み
10.5 利用規約 公開済み
10.6 プライバシーポリシー 公開済み
10.7 特定商取引法に基づく表記 公開済み
10.8 個別の DPA（データ処理契約）は提供可能か はい。請求に応じて提供
10.9 NDA の締結は可能か はい

11. 可用性とインシデント対応

# 質問 回答
11.1 稼働率目標 月間稼働率 99.9% を目標とする（目標値であり、契約上の SLA ではない）
11.2 過去の稼働率 現時点では非公開
11.3 ステータスページ 現時点では未提供
11.4 障害の周知方法 登録メールアドレス宛に影響を受けるユーザーへ通知
11.5 データベースバックアップ頻度 日次
11.6 メディアストレージの耐障害性 レプリケーション付きストレージ。基盤ハードウェア障害に対して耐性あり
11.7 インシデント通知のコミットメント 確認後72時間以内に、登録メールアドレス宛に影響ユーザーへ通知
11.8 これまでにセキュリティインシデントはあったか いいえ

12. セキュリティ運用

# 質問 回答
12.1 脆弱性報告プロセス help@sumarii.com。セキュリティページ を参照
12.2 依存関係の更新方針 通常の保守の一環として、週次で依存関係を確認・更新
12.3 ペネトレーションテスト 定期実施は現時点で行っていない
12.4 WAF または同等機能 あり。Cloudflare Pro の WAF と DDoS 緩和を稼働（6.5 参照）。
12.5 開発と本番は分離されているか はい
12.6 開発・テストで顧客データを使うか いいえ
12.7 脆弱性情報の収集 CVE および JVN の情報を収集し、該当すれば発見次第パッチする。
12.8 静的解析 あり。コードベースに ESLint を実行。

関連ドキュメント