セキュリティ

• データベース・保存ファイルは、Supabase（バックエンド基盤）の東京リージョン（ap-northeast-1）に保管しています。
• アプリケーション（Webサーバー）は、Vercelの東京リージョン（hnd1）で稼働しています。
• お客様データを国外のリージョンへ複製・保管することはありません（下記「再委託先」の生成AI連携を除き、処理のために一時的に国外事業者へ送信される情報があります）。

• 候補者・企業・求人・選考等の全ての業務データテーブルで、行レベルセキュリティ（Row Level Security。データベース自体が「自分の組織の行しか見えない・変更できない」ことを強制する仕組み）を有効化し、組織IDで分離しています。アプリの画面を経由しない直接アクセスでも、他組織のデータには到達できない構成です。
• 削除のような重い操作（候補者・企業・求人・選考・成約・請求・添付書類の削除）は、行レベルセキュリティの段階でも「オーナー・管理者」の権限を持つメンバーに限定しており、一般メンバーの権限では削除できません。
• 本サービス運営者（当社）が調査・保守目的でお客様の組織データを操作した場合も、他の重要な操作と同じく監査ログに記録されます。
• ログイン・データのエクスポート・削除など、組織内の重要な操作はすべて監査ログに記録され、あとから改ざん・削除ができない形（追記専用）で保持されます。監査ログは設定 > メンバー・監査ログ（/settings/audit-log）からいつでも確認できます。

• お客様のブラウザと本サービス間の通信は、TLSにより暗号化されます。
• データベース・ストレージに保存されるデータは、基盤提供元（Supabase）の保存時暗号化（AES-256）により保護されます。

データベースは日次でバックアップされ、直近7日分を保持します（基盤提供元Supabaseの有料プランの機能）。バックアップからの復旧が必要になった場合は、サポート窓口までご連絡ください。日々の重要な操作の前には、お客様ご自身でのCSVエクスポートによるお手元控えもあわせてご利用いただけます。

• ログインはメールアドレスとパスワードで行います。パスワードは不可逆に変換して保存し、当社は元のパスワードを保持しません。
• 設定 > メンバーから、認証アプリ（Google Authenticator等）を使った二段階認証（TOTP）をご自身のアカウントに設定できます。
• ログイン試行には回数制限を設けており、一定時間内に一定回数失敗すると、しばらくの間そのアカウント・接続元からのログインを制限します（総当たり攻撃への対策）。
• ログインセッションの管理には、基盤提供元（Supabase Auth）の仕組みを利用しています。

• 組織内の役割は、オーナー・管理者・メンバーの3段階です。
• 候補者・企業・求人・選考・成約・請求等のデータの削除、およびデータの全件CSVエクスポートは、オーナー・管理者のみが行えます。一般メンバーはこれらの操作を行えません。

候補者一覧・企業一覧・求人一覧・選考一覧・成約/請求一覧は、設定 > データまたは各一覧画面から、いつでもCSV形式で書き出せます（オーナー・管理者のみ）。解約時や他システムへの移行の際にお使いいただけます。

• 候補者の削除をご依頼いただいた場合、進行中の選考は「終了（候補者削除）」として選考ボードの表示から外し、氏名・連絡先等の個人情報を匿名化します。ただし、成約済みの選考・過去の面談記録・請求実績（選考が実際にあったという事実そのもの）は、事業者側の管理責任・会計上の記録として保持します。
• 組織の解約（削除）は、設定 > データからオーナーが申請します。申請後、その組織は閲覧のみ（データの追加・変更ができない状態）になり、復元にお使いいただけるよう30日間データを保持します。この間はオーナーがいつでも申請を取り消せます。
• 30日が経過すると、データベース上のデータとアップロードされたファイル（履歴書・組織ロゴ等）を自動的に削除します。この操作は取り消せません。ほかの組織に所属していない利用者アカウントも同時に削除します（バックアップからの消去は、バックアップの保持期間の経過をもって完了します）。

本サービスの提供にあたり、次の外部事業者にデータの取り扱いを委託しています。委託先の一部は日本国外（米国）に所在します。

• サポート窓口は support@roster.co.jp、またはお問い合わせフォーム（/help/contact）で受け付けています。
• お問い合わせには2営業日以内（土日祝を除く）に返信します。
• 稼働率保証（SLA）は現時点では提供していません。
• 障害・インシデント発生時は、本サービス内および登録メールアドレス宛にご連絡します。

本サービスに関するセキュリティ上の懸念事項・脆弱性を発見された場合は、下記お問い合わせ窓口までご連絡ください。内容を確認の上、速やかに対応いたします。

セキュリティに関するお問い合わせ: support@roster.co.jp

第三者機関によるペネトレーションテスト（侵入テスト）や、SOC 2・ISMS（ISO/IEC 27001）・プライバシーマーク等の第三者認証は、現時点では取得・実施しておりません。事業の成長にあわせて検討しています。認証の有無にかかわらず、上記のアクセス制御・暗号化・監査ログ等の技術的措置は現時点から実施しています。